CELEX: 32021D1093
Language: ro
Date: 2021-06-28 00:00:00
Title: Decizia (UE) 2021/1093 a Consiliului din 28 iunie 2021 de stabilire a normelor de aplicare privind responsabilul cu protecția datelor din cadrul Consiliului, aplicarea Regulamentului (UE) 2018/1725 al Parlamentului European și al Consiliului și restricțiile privind drepturile persoanelor vizate în contextul exercitării sarcinilor responsabilului cu protecția datelor din cadrul Consiliului și de abrogare a Deciziei 2004/644/CE a Consiliului

5.7.2021   
               
               
                  RO
               
               
                  Jurnalul Oficial al Uniunii Europene
               
               
                  L 236/55
               
            
         DECIZIA (UE) 2021/1093 A CONSILIULUI
         din 28 iunie 2021
         de stabilire a normelor de aplicare privind responsabilul cu protecția datelor din cadrul Consiliului, aplicarea Regulamentului (UE) 2018/1725 al Parlamentului European și al Consiliului și restricțiile privind drepturile persoanelor vizate în contextul exercitării sarcinilor responsabilului cu protecția datelor din cadrul Consiliului și de abrogare a Deciziei 2004/644/CE a Consiliului
         CONSILIUL UNIUNII EUROPENE,
         având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 240 alineatul (3),
         având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (1), în special articolul 45 alineatul (3),
         întrucât:
         
                     (1)
                  
                  
                     Regulamentul (UE) 2018/1725 stabilește principiile și normele care se aplică tuturor instituțiilor și organelor Uniunii și prevede numirea de către fiecare instituție sau organ al Uniunii a unui responsabil cu protecția datelor.
                  
               
                     (2)
                  
                  
                     Articolul 45 alineatul (3) din Regulamentul (UE) 2018/1725 prevede adoptarea unor norme de aplicare cu privire la responsabilul cu protecția datelor de către fiecare instituție sau organ al Uniunii (denumite în continuare „normele de aplicare”). Normele de aplicare ar trebui să se refere în special la sarcinile, atribuțiile și competențele responsabilului cu protecția datelor din cadrul Consiliului și al Secretariatului General al Consiliului („RPD”).
                  
               
                     (3)
                  
                  
                     Normele de aplicare ar trebui să prevadă procedurile pentru exercitarea drepturilor persoanelor vizate și pentru îndeplinirea obligațiilor tuturor actorilor relevanți din cadrul Consiliului și al Secretariatului General al Consiliului („SGC”) privind prelucrarea de date cu caracter personal.
                  
               
                     (4)
                  
                  
                     Regulamentul (UE) 2018/1725 prevede responsabilități clare ale operatorilor de date, în special în ceea ce privește drepturile persoanelor vizate. Normele de aplicare ar trebui să asigure faptul că Consiliul și SGC își îndeplinesc responsabilitățile de operator într-un mod uniform și transparent. Ar trebui stabilite norme pentru a identifica persoanele responsabile de o operațiune de prelucrare care este efectuată în numele Consiliului sau al SGC. În această privință, este oportună introducerea conceptului de „operator delegat” pentru a indica în mod exact responsabilitățile entităților SGC, în special în ceea ce privește deciziile individuale referitoare la drepturile persoanelor vizate. În plus, este oportună introducerea conceptului de „operator operațional” care, sub răspunderea operatorului delegat, este desemnat să asigure conformitatea în practică și să prelucreze cererile persoanelor vizate cu privire la o operațiune de prelucrare. Pentru a indica cu precizie responsabilitățile în cadrul SGC pentru fiecare activitate de prelucrare, operatorul operațional ar trebui să fie indicat cu precizie în evidențele păstrate în registru. Desemnarea unui operator operațional nu împiedică utilizarea în practică a unui punct de contact, de exemplu sub forma unei cutii poștale funcționale care să fie pusă la dispoziție pentru cererile persoanelor vizate.
                  
               
                     (5)
                  
                  
                     În anumite cazuri, mai multe direcții generale sau servicii din cadrul SGC pot să efectueze în comun o operațiune de prelucrare pentru a-și îndeplini misiunea. În astfel de cazuri, acestea ar trebui să asigure adoptarea unor acorduri interne pentru a stabili în mod transparent responsabilitățile lor respective conform Regulamentului (UE) 2018/1725, în special în ceea ce privește drepturile persoanele vizate, notificarea Autorității Europene pentru Protecția Datelor („AEPD”) și păstrarea evidențelor.
                  
               
                     (6)
                  
                  
                     Pentru a facilita exercitarea responsabilităților operatorilor delegați, fiecare direcție generală sau serviciu din cadrul SGC ar trebui să desemneze un coordonator pentru protecția datelor. Coordonatorii pentru protecția datelor ar trebui să asiste direcția generală sau serviciul din cadrul SGC în ceea ce privește toate aspectele protecției datelor cu caracter personal și să participe la rețeaua de coordonatori pentru protecția datelor din cadrul SGC pentru a asigura punerea în aplicare și interpretarea coerente ale Regulamentului (UE) 2018/1725.
                  
               
                     (7)
                  
                  
                     În temeiul articolului 45 alineatul (1) litera (b) din Regulamentul (UE) 2018/1725, RPD ar putea să emită orientări suplimentare cu privire la funcția de coordonator pentru protecția datelor.
                  
               
                     (8)
                  
                  
                     Articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725 oferă fiecărei instituții sau fiecărui organ al Uniunii posibilitatea de a restricționa aplicarea articolelor 14-17, 19, 20 și 35 din regulamentul menționat, precum și a principiului transparenței prevăzut la articolul 4 alineatul (1) litera (a) din regulamentul menționat, în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19 și 20 din regulamentul menționat.
                  
               
                     (9)
                  
                  
                     În anumite cazuri, RPD poate fi nevoit să restricționeze drepturile persoanelor vizate pentru a îndeplini sarcinile de monitorizare, investigare, audit sau consultative prevăzute la articolul 45 din Regulamentul (UE) 2018/1725, respectând totodată standardele de protecție a datelor cu caracter personal prevăzute în regulamentul menționat. Este necesar să se adopte norme interne în temeiul cărora RPD poate restricționa drepturile persoanelor vizate, în conformitate cu articolul 25 din regulamentul menționat (denumite în continuare „normele interne”).
                  
               
                     (10)
                  
                  
                     Normele interne ar trebui să se aplice tuturor operațiunilor de prelucrare a datelor efectuate de Consiliu și de SGC în cadrul îndeplinirii sarcinilor de monitorizare, investigare, audit sau consultative ale RPD. De asemenea, normele interne ar trebui să se aplice operațiunilor de prelucrare care fac parte din sarcinile legate de funcția de investigare sau de audit a RPD, cum ar fi procedurile de tratare a plângerilor desfășurate de RPD. Totodată, normele interne ar trebui să se aplice sarcinilor de monitorizare și celor consultative exercitate de RPD, atunci când acesta din urmă oferă asistență și cooperare direcțiilor generale și serviciilor SGC în afara cadrului investigațiilor sale administrative și al auditurilor sale.
                  
               
                     (11)
                  
                  
                     Consiliul și SGC ar putea fi nevoite să aplice restricții, din motivele menționate la articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725, operațiunilor de prelucrare a datelor efectuate în cadrul sarcinilor de monitorizare, investigare, audit sau consultative ale RPD, atunci când este necesar pentru a proteja sarcinile RPD, investigațiile și procedurile conexe, instrumentele și metodele RPD de investigare și de audit, precum și drepturile altor persoane legate de sarcinile RPD.
                  
               
                     (12)
                  
                  
                     Pentru a menține o cooperare eficace, Consiliul și SGC pot fi nevoite să aplice restricții privind drepturile persoanelor vizate pentru a proteja informațiile care conțin date cu caracter personal ce provin de la alte direcții generale și servicii din cadrul SGC sau de la alte instituții sau organe ale Uniunii. În acest scop, RPD ar trebui să consulte direcțiile generale și serviciile respective sau alte instituții sau organe ale Uniunii cu privire la motivele relevante pentru impunerea respectivelor restricții și cu privire la necesitatea și proporționalitatea acestora.
                  
               
                     (13)
                  
                  
                     RPD și, dacă este cazul, direcțiile generale și serviciile SGC ar trebui să gestioneze toate restricțiile într-un mod transparent și să consemneze fiecare aplicare a restricțiilor în sistemul de înregistrare corespunzător.
                  
               
                     (14)
                  
                  
                     În temeiul articolului 25 alineatul (8) din Regulamentul (UE) 2018/1725, operatorii pot să amâne sau să omită furnizarea de informații privind motivele aplicării unei restricții persoanei vizate, dacă acest lucru ar compromite în vreun fel scopul restricției. În special, în cazul în care se aplică o restricție privind drepturile prevăzute la articolele 16 și 35 din regulamentul menționat, notificarea unei astfel de restricții ar compromite scopul restricției. Pentru a garanta că dreptul persoanei vizate de a fi informată, în conformitate cu respectivele articole, este restricționat numai atât timp cât sunt valabile motivele amânării, RPD sau direcția generală sau serviciul din cadrul SGC care aplică restricția ar trebui să își reexamineze periodic poziția.
                  
               
                     (15)
                  
                  
                     În cazul în care se aplică o restricție privind alte drepturi ale persoanelor vizate, RPD ar trebui să evalueze, de la caz la caz, în ce măsură comunicarea restricției ar compromite scopul acesteia.
                  
               
                     (16)
                  
                  
                     RPD ar trebui să efectueze o reexaminare independentă a aplicării restricțiilor în temeiul prezentei decizii de către alte direcții generale sau servicii din cadrul SGC, pentru a asigura conformitatea cu prezenta decizie.
                  
               
                     (17)
                  
                  
                     Orice restricție aplicată în temeiul prezentei decizii ar trebui să fie necesară și proporțională într-o societate democratică.
                  
               
                     (18)
                  
                  
                     AEPD a fost informată și consultată în conformitate cu articolul 41 alineatele (1) și (2) din Regulamentul (UE) 2018/1725 și a emis un aviz (2).
                  
               
                     (19)
                  
                  
                     Normele de aplicare a Regulamentului (UE) 2018/1725 nu aduc atingere Regulamentului (CE) nr. 1049/2001 al Parlamentului European și al Consiliului (3), Deciziei 2004/338/CE, Euratom a Consiliului (4), în special anexei II la aceasta, Deciziei 2013/488/UE a Consiliului (5), în special părții II secțiunea VI din anexa la aceasta, și nici Deciziei secretarului general al Consiliului/Înaltului Reprezentant pentru politica externă și de securitate comună din 25 iunie 2001 (6).
                  
               
                     (20)
                  
                  
                     Decizia 2004/644/CE a Consiliului (7) stabilește normele de aplicare a Regulamentului (CE) nr. 45/2001 al Parlamentului European și al Consiliului. Regulamentul (UE) 2018/1725 a abrogat, cu efect de la 11 decembrie 2019, Regulamentul (CE) nr. 45/2001. Pentru a asigura faptul că este aplicabil un singur set de norme de aplicare, Decizia 2004/644/CE ar trebui să fie abrogată,
                  
               ADOPTĂ PREZENTA DECIZIE:
         SECȚIUNEA 1
         
            DISPOZIȚII GENERALE
         
         
            Articolul 1
            Obiect și domeniu de aplicare
            
               (1)   Prezenta decizie stabilește norme și proceduri pentru aplicarea Regulamentului (UE) 2018/1725 de către Consiliu și Secretariatul General al Consiliului (SGC) și stabilește norme complementare de aplicare privind responsabilul cu protecția datelor din cadrul Consiliului (RPD).
            
            
               (2)   Prezenta decizie stabilește normele pe care trebuie să le respecte Consiliul și SGC în legătură cu sarcinile de monitorizare, investigare, audit sau consultative ale RPD, atunci când informează persoanele vizate despre prelucrarea datelor lor cu caracter personal în conformitate cu articolele 14, 15 și 16 din Regulamentul (UE) 2018/1725.
            
            
               (3)   Prezenta decizie stabilește condițiile în care Consiliul și SGC pot restricționa, în ceea ce privește sarcinile de monitorizare, investigare, audit sau consultative ale RPD, aplicarea articolelor 4, 14-17, 19, 20 și 35 din Regulamentul (UE) 2018/1725, în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h) din regulamentul menționat.
            
            
               (4)   Prezenta decizie se aplică prelucrării datelor cu caracter personal de către Consiliu și SGC în scopul exercitării sarcinilor RPD menționate la articolul 45 din Regulamentul (UE) 2018/1725 sau în legătură cu aceste sarcini.
            
         
         
            Articolul 2
            Calitatea de operator
            În înțelesul prezentei decizii, se consideră că operatorul, în înțelesul articolului 3 punctul 8 din Regulamentul (UE) 2018/1725, este Consiliul și SGC.
         
         
            Articolul 3
            Definiții
            În sensul prezentei decizii, se aplică următoarele definiții:
            
                        1.
                     
                     
                        „responsabil cu protecția datelor” (RPD) înseamnă persoana desemnată de secretarul general al Consiliului în temeiul articolului 43 din Regulamentul (UE) 2018/1725;
                     
                  
                        2.
                     
                     
                        „sarcinile RPD” înseamnă sarcinile menționate la articolul 45 din Regulamentul (UE) 2018/1725;
                     
                  
                        3.
                     
                     
                        „personalul SGC” înseamnă toți funcționarii SGC, precum și orice altă persoană vizată de Statutul funcționarilor Uniunii Europene și Regimul aplicabil celorlalți agenți ai Uniunii Europene stabilite prin Regulamentul (CEE, Euratom, CECO) nr. 259/68 al Consiliului (8) (denumit în continuare „Statutul funcționarilor”) sau care lucrează pentru SGC în temeiul unui contract (și anume stagiari, consultanți, contractanți, funcționari detașați de statele membre);
                     
                  
                        4.
                     
                     
                        „operator delegat” înseamnă persoana care conduce direcția generală sau serviciul SGC care, singură sau împreună cu alte persoane, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal în numele Consiliului sau al SGC în îndeplinirea misiunii respectivei direcții generale sau a respectivului serviciu;
                     
                  
                        5.
                     
                     
                        „operator operațional” înseamnă membrul personalului SGC din cadrul structurii de conducere de nivel mediu sau superior care este desemnat de operatorul delegat pentru a-l ajuta în asigurarea conformității cu Regulamentul (UE) 2018/1725 a operațiunilor de prelucrare pentru care acesta este responsabil și pentru a acționa în calitate de punct principal de contact pentru persoanele vizate;
                     
                  
                        6.
                     
                     
                        „coordonator pentru protecția datelor” înseamnă membrul personalului SGC desemnat în cadrul fiecărei direcții generale sau al fiecărui serviciu al SGC, în consultare cu RPD, pentru a acorda asistență respectivei direcții generale sau respectivului serviciu în toate chestiunile legate de protecția datelor cu caracter personal și pentru a trata, în calitate de reprezentant al acestora, chestiuni legate de protecția datelor în strânsă cooperare cu RPD.
                     
                  
         SECȚIUNEA 2
         
            RESPONSABILUL CU PROTECȚIA DATELOR
         
         
            Articolul 4
            Desemnarea și statutul RPD
            
               (1)   Secretarul general al Consiliului desemnează RPD din rândul personalului SGC și îl înregistrează la Autoritatea Europeană pentru Protecția Datelor („AEPD”), în conformitate cu articolul 43 din Regulamentul (UE) 2018/1725.
            
            
               (2)   RPD este selectat pe baza calităților profesionale și, în special, a cunoștințelor de specialitate în dreptul și practicile din domeniul protecției datelor, precum și pe baza capacității de a îndeplini sarcinile prevăzute la articolul 45 din Regulamentul (UE) 2018/1725. RPD are, de asemenea, o cunoaștere temeinică a SGC, a structurii sale și a normelor și procedurilor sale administrative. În scopul îndeplinirii sarcinilor sale, RPD este eliberat de orice altă sarcină în cadrul SGC.
            
            
               (3)   RPD este desemnat pentru un mandat de cinci ani și este eligibil pentru o nouă numire.
            
            
               (4)   RPD și personalul acestuia sunt direct subordonați secretarului general al Consiliului și raportează direct acestuia.
            
            
               (5)   În îndeplinirea sarcinilor sale, RPD acționează în mod independent și nu primește nicio instrucțiune din partea secretarului general al Consiliului, a operatorilor delegați sau a operatorilor operaționali ori din partea vreunei alte persoane cu privire la aplicarea la nivel intern a dispozițiilor Regulamentului (UE) 2018/1725 sau cu privire la cooperarea sa cu AEPD.
            
            
               (6)   Consiliul și SGC sprijină RPD în îndeplinirea sarcinilor menționate la articolul 45 din Regulamentul (UE) 2018/1725, asigurându-i resursele necesare pentru executarea acestor sarcini și accesul la datele cu caracter personal și la operațiunile de prelucrare a acestora și oferindu-i posibilitatea de a-și actualiza cunoștințele de specialitate.
            
            
               (7)   RPD nu este demis sau sancționat pentru îndeplinirea sarcinilor sale. RPD nu poate fi demis decât în conformitate cu articolul 44 alineatul (8) din Regulamentul (UE) 2018/1725. În scopul obținerii acordului AEPD cu privire la o astfel de demitere în temeiul articolului respectiv, AEPD este consultată în scris. O copie a acordului respectiv este transmisă RPD.
            
            
               (8)   SGC, în special operatorii delegați și operatorii operaționali, se asigură că RPD este implicat în mod corespunzător și în timp util în toate chestiunile legate de protecția datelor cu caracter personal.
            
         
         
            Articolul 5
            Sarcini și atribuții
            
               (1)   RPD exercită toate sarcinile prevăzute la articolul 45 din Regulamentul (UE) 2018/1725. În special, RPD:
               
                           (a)
                        
                        
                           asigură aplicarea și punerea în aplicare a Regulamentului (UE) 2018/1725 de către Consiliu și SGC și monitorizează respectarea regulamentului menționat și a cadrului juridic aplicabil privind protecția datelor cu caracter personal;
                        
                     
                           (b)
                        
                        
                           consiliază secretarul general al Consiliului, operatorii delegați și operatorii operaționali cu privire la aspectele legate de aplicarea dispozițiilor referitoare la protecția datelor;
                        
                     
                           (c)
                        
                        
                           consiliază și asistă operatorii delegați și operatorii operaționali atunci când efectuează o evaluare a impactului asupra protecției datelor în conformitate cu articolele 39 și 40 din Regulamentul (UE) 2018/1725;
                        
                     
                           (d)
                        
                        
                           asigură faptul că operațiunile de prelucrare nu afectează negativ drepturile și libertățile persoanelor vizate;
                        
                     
                           (e)
                        
                        
                           sensibilizează cu privire la cadrul juridic aplicabil privind protecția datelor cu caracter personal și contribuie la crearea unei culturi a protecției datelor cu caracter personal în cadrul SGC.
                        
                     RPD poate fi consultat de către secretarul general al Consiliului, de către operatorii vizați, de către Comitetul pentru personal și de către orice persoană, fără să se recurgă la căile oficiale, în orice problemă privind aplicarea sau punerea în aplicare a Regulamentului (UE) 2018/1725.
            
            
               (2)   RPD păstrează un registru al evidențelor activităților de prelucrare și îl pune la dispoziția publicului, în conformitate cu articolul 12.
            
            
               (3)   RPD ține un registru intern privind încălcarea securității datelor cu caracter personal în sensul articolului 3 punctul 16 din Regulamentul (UE) 2018/1725.
            
            
               (4)   RPD consiliază operatorul delegat, la cerere, cu privire la aplicarea unei restricții referitoare la aplicarea articolelor 14-22, a articolului 35 și a articolului 36, precum și a articolului 4 din Regulamentul (UE) 2018/1725.
            
            
               (5)   RPD organizează și prezidează reuniunile periodice ale coordonatorilor pentru protecția datelor.
            
            
               (6)   RPD prezintă un raport anual privind activitățile sale secretarului general al Consiliului și pune acest raport la dispoziția personalului SGC.
            
            
               (7)   RPD cooperează cu responsabilii cu protecția datelor desemnați de celelalte instituții și organe ale Uniunii și participă în mod regulat la reuniunile convocate de AEPD sau de responsabilii cu protecția datelor din cadrul celorlalte instituții și organe ale Uniunii în vederea facilitării bunei cooperări, în special prin schimbul de experiență și de bune practici.
            
            
               (8)   RPD este considerat operatorul delegat pentru operațiunile de prelucrare efectuate în exercitarea sarcinilor sale.
            
         
         
            Articolul 6
            Competențe
            Pentru îndeplinirea sarcinilor și atribuțiilor sale, RPD:
            
                        (a)
                     
                     
                        are acces în orice moment la datele care fac obiectul operațiunilor de prelucrare și la toate birourile, instalațiile de prelucrare a datelor și suporturile de date;
                     
                  
                        (b)
                     
                     
                        poate solicita avize Serviciului juridic al Consiliului;
                     
                  
                        (c)
                     
                     
                        poate solicita alte tipuri de sprijin din partea direcțiilor generale și serviciilor relevante din cadrul SGC;
                     
                  
                        (d)
                     
                     
                        poate atribui dosare direcțiilor generale si serviciilor din cadrul SGC implicate în vederea adoptării măsurilor ulterioare adecvate;
                     
                  
                        (e)
                     
                     
                        poate efectua investigații la cerere sau din propria inițiativă cu privire la aspecte și cazuri direct legate de sarcinile RPD, în conformitate cu procedura prevăzută la articolul 14;
                     
                  
                        (f)
                     
                     
                        poate propune măsuri administrative secretarului general al Consiliului și poate emite recomandări generale privind aplicarea corespunzătoare a Regulamentului (UE) 2018/1725;
                     
                  
                        (g)
                     
                     
                        poate formula recomandări SGC, operatorilor delegați și operatorilor operaționali în vederea îmbunătățirii practice a aplicării Regulamentului (UE) 2018/1725, putând inclusiv:
                        
                                    (i)
                                 
                                 
                                    solicita operatorului delegat sau persoanei împuternicite de operator să dea curs unei cereri a unei persoane vizate pentru exercitarea drepturilor sale în temeiul Regulamentului (UE) 2018/1725;
                                 
                              
                                    (ii)
                                 
                                 
                                    emite avertismente operatorului delegat sau persoanei împuternicite de operator atunci când o operațiune de prelucrare încalcă dispozițiile Regulamentului (UE) 2018/1725 și solicita acestora să asigure conformitatea operațiunilor de prelucrare, dacă este cazul, într-o manieră specificată și într-o perioadă specificată;
                                 
                              
                                    (iii)
                                 
                                 
                                    solicita operatorului delegat sau persoanei împuternicite de operator să suspende fluxurile de date către un destinatar dintr-un stat membru, către o țară terță sau către o organizație internațională;
                                 
                              
                                    (iv)
                                 
                                 
                                    să solicite operatorului delegat sau persoanei împuternicite de operator să raporteze RPD, într-un termen stabilit, cu privire la măsurile adoptate în urma recomandării sau a consilierii oferite de RPD;
                                 
                              
                  
                        (h)
                     
                     
                        poate solicita serviciile unor experți externi în domeniul tehnologiilor informației și comunicațiilor, cu acordul prealabil al ordonatorului de credite, în conformitate cu Regulamentul (UE, Euratom) 2018/1046 al Parlamentului European și al Consiliului (9);
                     
                  
                        (i)
                     
                     
                        este invitat la consiliile de administrație și la comitetele de direcție relevante ale SGC ori de câte ori se discută chestiuni legate de prelucrarea datelor cu caracter personal și poate propune puncte relevante pe ordinea de zi a respectivelor consilii și comitete;
                     
                  
                        (j)
                     
                     
                        poate aduce în atenția autorității împuternicite să facă numiri din cadrul SGC orice situație în care un membru al personalului SGC nu își îndeplinește obligațiile ce îi revin în temeiul Regulamentului (UE) 2018/1725 și poate propune declanșarea unei investigații administrative, în vederea eventualei aplicări a sancțiunilor prevăzute la articolul 69 din regulamentul menționat;
                     
                  
                        (k)
                     
                     
                        este responsabil pentru deciziile inițiale cu privire la cererile de acces la documentele deținute de biroul său în temeiul Regulamentului (CE) nr. 1049/2001, cu consultarea serviciilor relevante din cadrul SGC.
                     
                  
         SECȚIUNEA 3
         
            DREPTURILE ȘI OBLIGAȚIILE PERSOANELOR CARE INTERVIN ÎN DOMENIUL PROTECȚIEI DATELOR
         
         
            Articolul 7
            Consultarea și informarea RPD
            
               (1)   Operatorii implică RPD atunci când planifică și discută o activitate care implică prelucrarea datelor cu caracter personal. RPD este informat cu privire la orice operațiune de prelucrare, precum și cu privire la orice modificare substanțială a unei operațiuni de prelucrare existente.
            
            
               (2)   RPD este informat cu privire la proiectele de note interne și de decizii din cadrul SGC care au legătură directă cu aplicarea internă a Regulamentului (UE) 2018/1725.
            
            
               (3)   RPD este informat despre toate contactele cu părțile externe referitoare la aplicarea internă a Regulamentului (UE) 2018/1725 și despre orice interacțiune cu AEPD, în special atunci când AEPD este consultată sau informată în temeiul articolelor 40 și 41 din regulamentul respectiv.
            
            
               (4)   RPD este consultat cu privire la proiectele de acorduri dintre operatorii asociați și cu privire la proiectele de clauze contractuale privind protecția datelor sau la alte acte juridice atunci când datele cu caracter personal sunt prelucrate de către o persoană împuternicită de operator.
            
         
         
            Articolul 8
            Operatorii delegați
            
               (1)   Operatorii delegați au obligația de a asigura conformitatea cu Regulamentul (UE) 2018/1725 a tuturor operațiunilor de prelucrare aflate sub supravegherea lor.
            
            
               (2)   În special, operatorii delegați:
               
                           (a)
                        
                        
                           desemnează un operator operațional pentru a acorda asistență operatorului delegat în ceea ce privește asigurarea respectării Regulamentului (UE) 2018/1725, în special referitor la persoanele vizate;
                        
                     
                           (b)
                        
                        
                           păstrează evidențe ale activităților de prelucrare aflate în responsabilitatea lor și se asigură că evidențele și declarația de confidențialitate aferente sunt transmise RPD de către operatorul operațional pentru a fi înscrise în registrul menționat la articolul 12;
                        
                     
                           (c)
                        
                        
                           răspund de activitățile persoanelor împuternicite de operatori și ale persoanelor împuternicite de operatori subsecvente care prelucrează date cu caracter personal în numele lor și se asigură că prelucrarea este reglementată printr-un contract sau un alt act juridic în conformitate cu articolul 29 alineatul (3) din Regulamentul (UE) 2018/1725.
                        
                     
            
               (3)   Operatorii delegați se asigură că RPD este implicat în timp util în toate chestiunile legate de datele cu caracter personal și instituie mecanisme adecvate pentru a se asigura că coordonatorul pentru protecția datelor este implicat în mod corespunzător în toate chestiunile legate de protecția datelor în direcția lor generală sau în serviciul lor din cadrul SGC.
            
            
               (4)   Operatorii delegați se asigură că sunt instituite măsuri tehnice și organizatorice adecvate pentru a demonstra că activitățile de prelucrare respectă Regulamentul (UE) 2018/1725 și dau instrucțiuni adecvate personalului SGC pentru a asigura atât confidențialitatea prelucrării, cât și un nivel de securitate corespunzător riscurilor reprezentate de prelucrare. Aceștia pot consulta RPD pentru a selecta aceste măsuri.
            
            
               (5)   Operatorii delegați raportează RPD cu privire la tratarea oricărei cereri primite de la o persoană vizată pentru exercitarea drepturilor sale și asistă RPD și AEPD în îndeplinirea atribuțiilor care le revin, în special prin furnizarea de informații ca răspuns la cererile acestora în termen de 30 de zile.
            
            
               (6)   Operatorii delegați sunt responsabili de aplicarea unei restricții referitoare la aplicarea articolelor 14-22, a articolului 35 și a articolului 36 din Regulamentul (UE) 2018/1725, precum și a articolului 4 din regulamentul menționat, în conformitate cu normele interne relevante. Operatorii delegați implică RPD pe parcursul întregii proceduri atunci când aplică o astfel de restricție.
            
            
               (7)   Operatorii delegați se asigură că au fost încheiate acorduri interne cu alte direcții generale sau servicii din cadrul SGC, în cazul în care operatorul delegat efectuează operațiuni de prelucrare în comun cu aceste direcții generale sau servicii din cadrul SGC sau în cazul în care aceste direcții generale sau servicii efectuează o parte a operațiunii de prelucrare a operatorului delegat.
               Acordurile menționate la primul paragraf stabilesc responsabilitățile respective ale operatorilor delegați și ale celorlalte direcții generale sau servicii din cadrul SGC pentru îndeplinirea obligațiilor lor privind protecția datelor. Respectivele acorduri includ, în special, identificarea operatorului delegat care stabilește mijloacele și scopurile operațiunii de prelucrare, precum și a operatorului operațional pentru operațiunea de prelucrare și, dacă este cazul, a persoanelor sau a entităților care urmează să asiste operatorul operațional, printre altele, oferind informații în cazul încălcărilor securității datelor sau pentru a permite respectarea drepturilor persoanelor vizate.
            
         
         
            Articolul 9
            Operatorii operaționali
            
               (1)   Operatorii operaționali asistă operatorul delegat pentru a asigura conformitatea cu Regulamentul (UE) 2018/1725 a operațiunilor de prelucrare pentru care acesta este responsabil și acționează în calitate de punct principal de contact pentru persoanele vizate.
            
            
               (2)   În special, operatorii operaționali:
               
                           (a)
                        
                        
                           primesc și prelucrează toate cererile formulate de persoanele vizate;
                        
                     
                           (b)
                        
                        
                           pregătesc evidențele activităților de prelucrare desfășurate sub responsabilitatea lor și declarația de confidențialitate aferentă, în consultare cu coordonatorul pentru protecția datelor;
                        
                     
                           (c)
                        
                        
                           se asigură că contractele sau alte acte juridice care reglementează prelucrarea datelor cu caracter personal de către o persoană împuternicită de operator respectă Regulamentul (UE) 2018/1725 și consultă RPD cu privire la proiectele de clauze contractuale referitoare la protecția datelor;
                        
                     
                           (d)
                        
                        
                           asigură disponibilitatea documentației pentru a demonstra conformitatea cu Regulamentul (UE) 2018/1725.
                        
                     
            
               (3)   Operatorii operaționali informează fără întârzieri nejustificate RPD în cazul unor încălcări ale securității datelor cu caracter personal și îi furnizează toate informațiile necesare care să îi permită să se asigure că Consiliul respectă obligațiile legate de încălcările securității datelor cu caracter personal prevăzute la articolele 34 și 35 din Regulamentul (UE) 2018/1725.
            
            
               (4)   Operatorii operaționali, coordonându-se cu operatorul delegat și cu RPD, notifică AEPD încălcările securității datelor cu caracter personal, dacă este cazul. Aceștia informează, de asemenea, persoanele vizate, dacă este cazul.
            
            
               (5)   Operatorii operaționali se asigură că coordonatorul pentru protecția datelor este informat cu privire la toate aspectele legate de protecția datelor.
            
            
               (6)   Operatorii operaționali evaluează riscul pentru drepturile și libertățile persoanei vizate pe care îl prezintă operațiunile de prelucrare pentru care sunt responsabili și, după caz, efectuează o evaluare a impactului asupra protecției datelor. Operatorii operaționali solicită consiliere din partea RPD atunci când efectuează respectivele evaluări ale impactului, precum și cu privire la necesitatea unei consultări prealabile în conformitate cu articolele 39 și 40 din Regulamentul (UE) 2018/1725.
            
            
               (7)   La cererea operatorului delegat, operatorii operaționali îndeplinesc orice altă sarcină care se încadrează în domeniul de aplicare al prezentei decizii.
            
         
         
            Articolul 10
            Coordonatorii pentru protecția datelor
            
               (1)   Fiecare direcție generală sau serviciu din cadrul SGC numește, în consultare cu RPD, unul sau mai mulți coordonatori pentru protecția datelor care să asiste operatorul delegat și operatorii operaționali din direcția sa generală sau din serviciul său din cadrul SGC în ceea ce privește toate chestiunile legate de protecția datelor cu caracter personal.
            
            
               (2)   Coordonatorii pentru protecția datelor sunt aleși pe baza cunoștințelor și a experienței lor în ceea ce privește funcționarea direcției generale respective sau a serviciului respectiv din cadrul SGC, a adecvării lor pentru funcția respectivă, a competențelor lor legate de protecția datelor, a cunoașterii de către aceștia a principiilor sistemelor de informații, precum și pe baza aptitudinilor lor de comunicare. Coordonatorii pentru protecția datelor nou-desemnați urmează, în termen de șase luni de la desemnare, o formare pentru a dobândi competențele necesare în vederea îndeplinirii rolului lor. Sunt exceptați de la această cerință privind formarea coordonatorii pentru protecția datelor care au lucrat în calitate de persoane de contact în alte direcții generale sau servicii din cadrul SGC în ultimii doi ani anteriori desemnării.
            
            
               (3)   Funcția de coordonator pentru protecția datelor face parte din fișa postului fiecărui membru al personalului SGC numit în calitate de persoană de contact. În raportul anual de evaluare se menționează responsabilitățile și realizările acestora.
            
            
               (4)   Coordonatorii pentru protecția datelor sunt implicați în mod corespunzător și în timp util în toate chestiunile legate de protecția datelor din cadrul direcției lor generale sau al serviciului lor din cadrul SGC și își îndeplinesc sarcinile în strânsă cooperare cu RPD.
            
            
               (5)   Coordonatorii pentru protecția datelor au dreptul de a obține de la operatori și de la personal informațiile adecvate care sunt necesare pentru a-și îndeplini sarcinile în cadrul direcției lor generale sau al serviciului lor din cadrul SGC. Acest drept nu include accesul la datele cu caracter personal prelucrate sub responsabilitatea operatorului delegat. Coordonatorii pentru protecția datelor au acces la date cu caracter personal numai dacă acest lucru este necesar pentru îndeplinirea sarcinilor lor.
            
            
               (6)   Coordonatorii pentru protecția datelor desfășoară acțiuni de sensibilizare cu privire la aspectele legate de protecția datelor și asistă operatorii delegați din cadrul direcției lor generale sau al serviciului lor din cadrul SGC în îndeplinirea obligațiilor care le revin, în special în ceea ce privește:
               
                           (a)
                        
                        
                           punerea în aplicare a Regulamentului (UE) 2018/1725;
                        
                     
                           (b)
                        
                        
                           identificarea operatorilor operaționali și pregătirea evidențelor operațiunilor de prelucrare și a declarațiilor de confidențialitate înaintea transmiterii lor către RPD;
                        
                     
                           (c)
                        
                        
                           întocmirea unei liste a tuturor operațiunilor de prelucrare existente în cadrul direcției generale sau al serviciului din cadrul SGC.
                        
                     
            
               (7)   Coordonatorii pentru protecția datelor asistă operatorii operaționali din cadrul direcției lor generale sau al serviciului lor din cadrul SGC în îndeplinirea obligațiilor care le revin, în special în ceea ce privește:
               
                           (a)
                        
                        
                           pregătirea evidențelor operațiunilor de prelucrare și a declarațiilor de confidențialitate înaintea transmiterii lor către RPD;
                        
                     
                           (b)
                        
                        
                           documentarea prelucrării;
                        
                     
                           (c)
                        
                        
                           prelucrarea solicitărilor persoanelor vizate;
                        
                     
                           (d)
                        
                        
                           gestionarea încălcărilor securității datelor.
                        
                     
         
         
            Articolul 11
            Personalul SGC
            Personalul SGC contribuie la asigurarea aplicării și a punerii în aplicare a Regulamentului (UE) 2018/1725. Personalul SGC nu are acces la date cu caracter personal și nu prelucrează astfel de date decât în conformitate cu instrucțiunile operatorului delegat sau ale operatorului operațional, cu excepția cazului în care dreptul Uniunii sau dreptul unui stat membru impune acest lucru.
         
         SECȚIUNEA 4
         
            ALTE OBLIGAȚII ȘI PROCEDURI
         
         
            Articolul 12
            Registrul
            
               (1)   RPD ține un registru al operațiunilor de prelucrare și asigură faptul că registrul este accesibil prin intermediul site-ului web al RPD de pe intranetul SGC și prin intermediul site-ului web al Consiliului.
            
            
               (2)   Operatorul operațional notifică RPD orice operațiune de prelucrare și transmite evidențele activităților de prelucrare și declarația de confidențialitate aferentă prin intermediul unui formular disponibil pe site-ul intranet al SGC (în cadrul rubricii „Protecția datelor”). Notificarea se transmite RPD prin mijloace electronice. După consultarea RPD, operatorul delegat confirmă înregistrarea și declarația de confidențialitate aferentă, iar RPD le publică în registru.
            
            
               (3)   Înregistrarea cuprinde toate informațiile menționate la articolul 31 din Regulamentul (UE) 2018/1725. Cu toate acestea, informațiile introduse în registru de RPD pot fi limitate, în situații excepționale, la ceea ce este necesar pentru a asigura securitatea unei anumite operațiuni de prelucrare. RPD este informat în cel mai scurt timp de către operatorul operațional cu privire la orice modificare ce vizează aceste informații.
            
         
         
            Articolul 13
            Încălcări ale securității datelor
            
               (1)   Atunci când are loc o încălcare a securității datelor cu caracter personal, operatorul delegat sau operatorul operațional solicită asistența coordonatorului pentru protecția datelor și informează fără întârzieri nejustificate RPD cu privire la incident, furnizându-i toate informațiile necesare care să îi permită să se asigure că Consiliul respectă obligația referitoare la notificare și informare în ceea ce privește încălcarea securității datelor cu caracter personal prevăzută la articolele 34 și 35 din Regulamentul (UE) 2018/1725.
            
            
               (2)   RPD creează și menține un registru intern al încălcărilor securității datelor cu caracter personal. Operatorii delegați și operatorii operaționali furnizează informațiile necesare pentru a fi introduse în registru.
            
            
               (3)   Operatorii delegați și operatorii operaționali pregătesc notificarea către AEPD consultându-se cu RPD, cu excepția cazului în care este puțin probabil ca încălcarea securității datelor cu caracter personal să genereze un risc pentru drepturile și libertățile persoanelor fizice.
            
         
         
            Articolul 14
            Investigații
            
               (1)   RPD poate, din proprie inițiativă sau la cererea operatorului delegat, a operatorului operațional, a persoanei împuternicite de operator, a Comitetului pentru personal sau a oricărei persoane fizice, să investigheze problemele și faptele legate de sarcinile sale, prezentând un raport persoanei care a solicitat investigația sau operatorului delegat, operatorului operațional ori persoanei împuternicite de operator.
            
            
               (2)   Solicitările de investigații se adresează RPD în scris. În cazul în care dreptul de a solicita o investigație este exercitat într-un mod vădit abuziv, de exemplu atunci când aceeași persoană a mai făcut de curând o cerere identică, RPD nu este obligat să răspundă solicitantului.
            
            
               (3)   În termen de 15 zile de la primirea unei solicitări de investigație, RPD trimite o confirmare de primire persoanei care a formulat solicitarea și verifică dacă cererea trebuie să fie tratată ca fiind confidențială.
            
            
               (4)   RPD solicită operatorului delegat care este responsabil de operațiunea de prelucrare a datelor care face obiectul solicitării de investigație un raport cu privire la chestiunea respectivă. Operatorul delegat îi transmite RPD răspunsul în termen de 15 zile. RPD poate solicita informații suplimentare de la operatorul delegat, de la operatorul operațional, de la persoana împuternicită de operator sau de la alte servicii relevante din cadrul SGC. După caz, RPD poate solicita un aviz asupra chestiunii din partea Serviciului juridic al Consiliului. Informațiile solicitate sau avizul i se transmit RPD în termen de 30 de zile.
            
            
               (5)   RPD răspunde persoanei care a făcut solicitarea de investigație în termen de cel mult trei luni de la primirea acesteia. Acest termen poate fi suspendat până când RPD obține toate informațiile necesare pe care le-a solicitat.
            
            
               (6)   Nimeni nu poate suferi un prejudiciu ca urmare a unui fapt adus la cunoștința RPD prin care se invocă o încălcare a Regulamentului (UE) 2018/1725.
            
         
         
            Articolul 15
            Norme generale privind exercitarea drepturilor de către persoanele vizate
            
               (1)   Drepturile persoanelor vizate prevăzute la articolele 14-24 din Regulamentul (UE) 2018/1725 pot fi exercitate numai de persoana vizată sau de reprezentantul acesteia mandatat în mod corespunzător.
            
            
               (2)   Persoana vizată adresează solicitările în scris operatorului operațional, transmițând o copie RPD. Dacă este necesar, RPD acordă asistență persoanei vizate în vederea identificării operatorului operațional în cauză. Solicitarea poate fi adresată în format electronic și conține:
               
                           (a)
                        
                        
                           numele, prenumele și datele de contact ale persoanei vizate, precum și data solicitării;
                        
                     
                           (b)
                        
                        
                           indicarea dreptului care urmează să fie exercitat și, după caz, a documentelor justificative referitoare la solicitare;
                        
                     
                           (c)
                        
                        
                           categoria sau categoriile de date cu caracter personal în cauză.
                        
                     
            
               (3)   Operatorul operațional îi trimite persoanei vizate o confirmare de primire în termen de cinci zile lucrătoare de la înregistrarea solicitării. Operatorul operațional cere orice clarificări necesare în cazul în care solicitarea este neclară sau incompletă. Termenele aplicabile prevăzute la articolul 14 alineatele (3) și (4) din Regulamentul (UE) 2018/1725 încep să curgă doar după ce au fost furnizate toate clarificările necesare.
            
            
               (4)   Operatorul operațional verifică identitatea persoanei vizate în conformitate cu articolul 14 alineatul (6) din Regulamentul (UE) 2018/1725. Termenele aplicabile prevăzute la articolul 14 alineatele (3) și (4) din regulamentul menționat nu încep să curgă cât timp este verificată identitatea.
            
            
               (5)   Operatorul operațional fie dă curs solicitării persoanei vizate, fie precizează în scris motivele pentru care solicitarea este respinsă integral sau parțial, în termenele prevăzute la articolul 14 alineatele (3) și (4) din Regulamentul (UE) 2018/1725.
            
            
               (6)   Operatorul operațional consultă RPD în cazul unei solicitări deosebit de complexe, al existenței unor nereguli sau al exercitării vădit abuzive de către persoana vizată a drepturilor sale, atunci când este probabil ca prelucrarea unei solicitări să creeze un risc pentru drepturile și libertățile altor persoane vizate sau în cazul în care persoana vizată susține că prelucrarea este ilegală.
            
         
         
            Articolul 16
            Reclamații introduse în temeiul articolului 90
            În cazul unei reclamații în înțelesul articolului 90 din Statutul funcționarilor (denumită în continuare „reclamația introdusă în temeiul articolului 90”) referitoare la o chestiune legată de prelucrarea datelor cu caracter personal, autoritatea împuternicită să facă numiri consultă RPD. Fără ca admisibilitatea reclamației introduse în temeiul articolului 90 să fie afectată, membrul personalului SGC indică în reclamația introdusă în temeiul articolului 90 dacă a fost depusă în paralel o plângere la AEPD. RPD își prezintă avizul în scris în termen de cel mult 15 zile lucrătoare de la primirea cererii din partea autorității împuternicite să facă numiri. În cazul în care, la expirarea acestui termen, RPD nu și-a prezentat avizul, acesta nu mai este necesar. Avizul RPD nu este obligatoriu pentru autoritatea împuternicită să facă numiri.
         
         SECȚIUNEA 5
         
            RESTRICȚII PRIVIND DREPTURILE PERSOANELOR VIZATE ÎN CONTEXTUL EXERCITĂRII SARCINILOR RPD
         
         
            Articolul 17
            Excepții și restricții
            
               (1)   Atunci când își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, Consiliul sau SGC analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul respectiv.
            
            
               (2)   Sub rezerva articolelor 18-22 din prezenta decizie, Consiliul sau SGC poate restricționa, în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul(UE) 2018/1725, aplicarea articolelor 14-17, 19, 20 și 35 din regulamentul respectiv, precum și a principiului transparenței prevăzut la articolul 4 alineatul (1) litera (a) din regulamentul respectiv în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19 și 20 din regulamentul menționat, în cazul în care exercitarea acestor drepturi și obligații ar periclita exercitarea sarcinilor RPD, printre altele prin dezvăluirea instrumentelor și a metodelor sale de investigare sau de audit sau ar afecta în mod negativ drepturile și libertățile altor persoane vizate.
            
            
               (3)   Sub rezerva articolelor 18-22 din prezenta decizie, Consiliul sau SGC poate restricționa drepturile și obligațiile menționate la alineatul (2) al prezentului articol în legătură cu datele cu caracter personal obținute de RPD de la direcțiile generale sau serviciile SGC sau de la alte instituții sau organe ale Uniunii. Consiliul sau SGC poate proceda astfel în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de respectivele direcții generale sau servicii din cadrul SGC sau de alte instituții sau organe ale Uniunii pe baza altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul respectiv ori în conformitate cu Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului (10) sau cu Regulamentul (UE) 2017/1939 al Consiliului (11).
               Înainte de a aplica restricții în situațiile menționate la primul paragraf, Consiliul sau SGC consultă instituția relevantă a Uniunii sau organul relevant al Uniunii, cu excepția cazului în care este clar că aplicarea unei restricții este prevăzută de unul dintre actele menționate la paragraful respectiv.
            
            
               (4)   Orice restricționare a drepturilor și obligațiilor menționată la alineatul (2) trebuie să fie necesară și proporțională, ținând seama de riscurile la adresa drepturilor și libertăților persoanelor vizate.
            
         
         
            Articolul 18
            Furnizarea de informații persoanelor vizate
            
               (1)   SGC publică pe site-ul web al Consiliului avize privind protecția datelor, prin care persoanele vizate sunt informate în legătură cu sarcinile RPD care implică prelucrarea datelor lor cu caracter personal.
            
            
               (2)   SGC informează în mod individual, într-un format adecvat, orice persoană fizică pe care o consideră ca fiind o persoană vizată de sarcinile RPD.
            
            
               (3)   În cazul în care SGC restricționează, integral sau parțial, furnizarea informațiilor către persoanele vizate menționate la alineatul (2) din prezentul articol, acesta consemnează și înregistrează motivele restricției, în conformitate cu articolul 21.
            
         
         
            Articolul 19
            Dreptul de acces al persoanelor vizate, dreptul la ștergerea datelor și dreptul la restricționarea prelucrării datelor
            
               (1)   În cazul în care restricționează, integral sau parțial, dreptul de acces la datele personale al persoanelor vizate, dreptul la ștergerea datelor sau dreptul la restricționarea prelucrării menționate la articolele 17, 19 și, respectiv, 20 din Regulamentul (UE) 2018/1725, Consiliul sau SGC informează persoana vizată în cauză, în răspunsul său la o cerere a acesteia privind accesul, ștergerea sau restricționarea prelucrării, cu privire la restricția aplicată și la principalele motive ale acesteia, precum și cu privire la posibilitatea de a depune o plângere la AEPD sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.
            
            
               (2)   Furnizarea informațiilor cu privire la motivele restricției menționate la alineatul (1) poate fi amânată, omisă sau refuzată atât timp cât furnizarea acestor informații ar submina scopul restricției. Consiliul furnizează informațiile persoanei vizate de îndată ce aceste informații nu mai pot submina respectivul scop.
            
            
               (3)   SGC consemnează și înregistrează motivele restricției în conformitate cu articolul 21.
            
         
         
            Articolul 20
            Informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal
            În cazul în care Consiliul sau SGC restricționează informarea persoanei vizate cu privire la o încălcare a securității datelor cu caracter personal, astfel cum se prevede la articolul 35 din Regulamentul (UE) 2018/1725, SGC consemnează și înregistrează motivele restricției în conformitate cu articolul 21 din prezenta decizie.
         
         
            Articolul 21
            Consemnarea și înregistrarea restricțiilor
            
               (1)   SGC consemnează motivele oricărei restricții aplicate în temeiul prezentei decizii, inclusiv o evaluare de la caz la caz a necesității și a proporționalității restricției, ținând seama de elementele relevante prevăzute la articolul 25 alineatul (2) din Regulamentul (UE) 2018/1725.
               În acest scop, consemnarea precizează modul în care exercitarea oricărora dintre drepturile menționate la articolele 14-17, 19, 20 și 35 din regulamentul respectiv sau a principiului transparenței prevăzut la articolul 4 alineatul (1) litera (a) din regulamentul respectiv ar periclita activitățile RPD prevăzute în prezenta decizie sau scopul restricțiilor aplicate în temeiul articolului 17 alineatul (2) sau (3) din prezenta decizie ori ar afecta în mod negativ drepturile și libertățile altor persoane vizate.
            
            
               (2)   Elementele consemnate și, dacă este cazul, documentele care conțin elementele de fapt și de drept aferente se înregistrează. La cerere, ele sunt puse la dispoziția AEPD.
            
         
         
            Articolul 22
            Durata restricțiilor
            
               (1)   Restricțiile menționate la articolele 18, 19 și 20 continuă să se aplice atât timp cât motivele care le justifică rămân aplicabile.
            
            
               (2)   În cazul în care motivele unei restricții menționate la articolele 18 și 20 nu se mai aplică, SGC elimină restricția și informează persoana vizată cu privire la motivele restricției. În același timp, SGC informează persoana vizată cu privire la posibilitatea de a depune în orice moment o plângere la AEPD sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.
            
            
               (3)   SGC reexaminează aplicarea restricțiilor menționate la articolele 18 și 20 la fiecare șase luni după adoptarea acestora și, în orice caz, la încheierea sarcinii relevante a RPD. După încheierea sarcinii respective, SGC verifică anual dacă este necesar să se mențină restricțiile sau amânările.
            
         
         
            Articolul 23
            Reexaminarea de către RPD
            
               (1)   În cazul în care alte direcții generale sau servicii din cadrul SGC concluzionează că drepturile unei persoane vizate ar trebui să fie restricționate în temeiul prezentei decizii, acestea informează RPD. De asemenea, acestea acordă RPD acces la evidențe și la orice documente care conțin elementele de fapt și de drept aferente. Implicarea RPD în aplicarea restricțiilor este documentată în detaliu.
            
            
               (2)   RPD îi poate solicita operatorului delegat în cauză să reexamineze aplicarea restricțiilor. Operatorul delegat în cauză informează RPD în scris cu privire la rezultatul reexaminării solicitate.
            
         
         SECȚIUNEA 6
         
            DISPOZIȚII FINALE
         
         
            Articolul 24
            Abrogare
            Decizia 2004/644/CE se abrogă.
         
         
            Articolul 25
            Intrare în vigoare
            Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.
         
         
            Adoptată la Luxemburg, 28 iunie 2021.
            
               
                  Pentru Consiliu
               
               
                  Președintele
               
               M. do C. ANTUNES
            
         
         
            (1)  JO L 295, 21.11.2018, p. 39.
         
            (2)  Avizul din 6 aprilie 2021 (nepublicat încă în Jurnalul Oficial).
         
            (3)  Regulamentul (CE) nr. 1049/2001 al Parlamentului European și al Consiliului din 30 mai 2001 privind accesul public la documentele Parlamentului European, ale Consiliului și ale Comisiei (JO L 145, 31.5.2001, p. 43).
         
            (4)  Decizia 2004/338/CE, Euratom a Consiliului din 22 martie 2004 de adoptare a Regulamentului de procedură al Consiliului (JO L 106, 15.4.2004, p. 22).
         
            (5)  Decizia 2013/488/UE a Consiliului din 23 septembrie 2013 privind normele de securitate pentru protecția informațiilor UE clasificate (JO L 274, 15.10.2013, p. 1).
         
            (6)  Decizia secretarului general al Consiliului/Înalt Reprezentant pentru politica externă și de securitate comună din 25 iunie 2001 de stabilire a unui cod de bună conduită administrativă pentru Secretariatul General al Consiliului Uniunii Europene și personalul acestuia în relațiile profesionale cu publicul (JO C 189, 5.7.2001, p. 1).
         
            (7)  Decizia 2004/644/CE a Consiliului din 13 septembrie 2004 de adoptare a normelor de aplicare a Regulamentului (CE) nr. 45/2001 al Parlamentului European și al Consiliului privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și libera circulație a acestor date (JO L 296, 21.9.2004, p. 16).
         
            (8)  JO L 56, 4.3.1968, p. 1.
         
            (9)  Regulamentul (UE, Euratom) 2018/1046 al Parlamentului European și al Consiliului din 18 iulie 2018 privind normele financiare aplicabile bugetului general al Uniunii, de modificare a Regulamentelor (UE) nr. 1296/2013, (UE) nr. 1301/2013, (UE) nr. 1303/2013, (UE) nr. 1304/2013, (UE) nr. 1309/2013, (UE) nr. 1316/2013, (UE) nr. 223/2014, (UE) nr. 283/2014 și a Deciziei nr. 541/2014/UE și de abrogare a Regulamentului (UE, Euratom) nr. 966/2012 (JO L 193, 30.7.2018, p. 1).
         
            (10)  Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului din 11 mai 2016 privind Agenția Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii (Europol) și de înlocuire și de abrogare a Deciziilor 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI și 2009/968/JAI ale Consiliului (JO L 135, 24.5.2016, p. 53).
         
            (11)  Regulamentul (UE) 2017/1939 al Consiliului din 12 octombrie 2017 de punere în aplicare a unei forme de cooperare consolidată în ceea ce privește instituirea Parchetului European (EPPO) (JO L 283, 31.10.2017, p. 1).