CELEX: 32020D0969
Language: hr
Date: 2020-07-03 00:00:00
Title: Odluka Komisije (EU) 2020/969 оd 3. srpnja 2020. o utvrđivanju provedbenih pravila o službeniku za zaštitu podataka, ograničenjima prava ispitanika i primjeni Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća te o stavljanju izvan snage Odluke Komisije 2008/597/EZ

6.7.2020   
               
               
                  HR
               
               
                  Službeni list Europske unije
               
               
                  L 213/12
               
            
         ODLUKA KOMISIJE (EU) 2020/969
         оd 3. srpnja 2020.
         o utvrđivanju provedbenih pravila o službeniku za zaštitu podataka, ograničenjima prava ispitanika i primjeni Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća te o stavljanju izvan snage Odluke Komisije 2008/597/EZ
         EUROPSKA KOMISIJA,
         uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 249. stavak 1.,
         uzimajući u obzir Uredbu (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (1), a posebno njezin članak 45. stavak 3.,
         budući da:
         
                     (1)
                  
                  
                     Kako bi se osiguralo pravilno funkcioniranje ureda Komisijina službenika za zaštitu podataka, potrebno je detaljno utvrditi zadaće, dužnosti i ovlasti službenika za zaštitu podataka.
                  
               
                     (2)
                  
                  
                     Uredbom (EU) 2018/1725 voditeljima obrade podataka dodijeljene su jasne odgovornosti, posebno u odnosu na ispitanike. Kako bi se osiguralo da Komisija svoje odgovornosti voditelja obrade obavlja ujednačeno i transparentno, trebalo bi utvrditi pravila o tome kako odrediti tko je u službama Komisije odgovoran za postupak obrade koji se provodi u ime Komisije. U tom je pogledu primjereno uvesti pojam delegiranog voditelja obrade kako bi se precizno odredile odgovornosti tijela Komisije, posebno u pogledu pojedinačnih odluka koje se odnose na prava ispitanika. Osim toga, primjereno je uvesti pojam operativnog voditelja obrade koji se, pod odgovornošću delegiranog voditelja obrade, imenuje kao osoba odgovorna za osiguravanje sukladnosti u praksi te za obradu zahtjeva ispitanika povezanih s postupkom obrade. Imenovanje operativnog voditelja obrade ne sprječava upotrebu kontaktne točke u praksi, na primjer u obliku zajedničke adrese e-pošte na koju ispitanici mogu uputiti svoje zahtjeve.
                  
               
                     (3)
                  
                  
                     U određenim slučajevima više službi Komisije može zajednički provoditi postupak obrade kako bi ispunilo svoju misiju. U takvim bi slučajevima te službe trebale osigurati uspostavu internih dogovora kako bi se na transparentan način odredile njihove odgovornosti na temelju Uredbe (EU) 2018/1725, posebice odgovornosti u odnosu na ispitanike, izvješćivanje Europskog nadzornika za zaštitu podataka i vođenje evidencije.
                  
               
                     (4)
                  
                  
                     Kako bi se olakšalo izvršavanje odgovornosti delegiranih voditelja obrade, svaka služba Komisije trebala bi imenovati koordinatora za zaštitu podataka. Koordinator za zaštitu podataka trebao bi sudjelovati u mreži koordinatora za zaštitu podataka u Komisiji kako bi se osigurala dosljedna provedba i tumačenje Uredbe (EU) 2018/1725 u Komisiji te raspravljalo o temama od zajedničkog interesa.
                  
               
                     (5)
                  
                  
                     S obzirom na svoju zadaću raspodjele odgovornosti na temelju članka 45. stavka 1. točke (b) Uredbe (EU) 2018/1725, službenik za zaštitu podataka trebao bi izdati dodatne smjernice o funkciji koordinatora za zaštitu podataka.
                  
               
                     (6)
                  
                  
                     Komisija obrađuje nekoliko kategorija osobnih podataka za potrebe aktivnosti praćenja te istražnih, revizijskih i savjetodavnih aktivnosti službenika za zaštitu podataka. Konkretno, Komisija obrađuje identifikacijske podatke, podatke za kontakt, podatke o profesionalnoj djelatnosti i podatke o uključenosti u predmet. Ti se podaci čuvaju pet godina od završetka aktivnosti u skladu sa Zajedničkim popisom čuvanja dokumenata Europske komisije (2).
                  
               
                     (7)
                  
                  
                     U određenim okolnostima potrebno je uskladiti prava ispitanika na temelju Uredbe (EU) 2018/1725 s potrebom da Komisija provodi zadaće praćenja, istražne, revizijske i savjetodavne zadaće službenika za zaštitu podataka, s potrebom za povjerljivošću razmjene informacija s drugim službama Komisije te s potrebom da se u potpunosti poštuju temeljna prava i slobode drugih ispitanika. U tu svrhu, člankom 25. stavkom 1. Uredbe (EU) 2018/1725 Komisiji se omogućuje da ograniči primjenu članaka od 14. do 17. i članaka 19., 20. i 35. te načela transparentnosti utvrđenog u članku 4. stavku 1. točki (a) u mjeri u kojoj se njegove odredbe odnose na prava i obveze iz članaka od 14. do 17. i članaka 19. i 20. te uredbe.
                  
               
                     (8)
                  
                  
                     Kako bi se osigurala povjerljivost i djelotvornost zadaća praćenja te istražnih, revizijskih i savjetodavnih zadaća službenika za zaštitu podataka, uz istodobno poštovanje standarda zaštite osobnih podataka na temelju Uredbe (EU) 2018/1725, nužno je donijeti interna pravila na temelju kojih službenik za zaštitu podataka može ograničiti prava ispitanikâ u skladu s člankom 25. Uredbe (EU) 2018/1725.
                  
               
                     (9)
                  
                  
                     Navedena interna pravila trebala bi se primjenjivati na sve postupke obrade podataka koje Komisija provodi u okviru zadaća praćenja te istražnih, revizijskih i savjetodavnih zadaća službenika za zaštitu podataka. Trebala bi se primjenjivati na postupke obrade koji se provode prije pokretanja istrage ili revizije, tijekom istrage ili revizije te tijekom praćenja daljnjih mjera poduzetih na temelju ishoda istrage ili revizije. Ta bi se pravila trebala primjenjivati i na postupke obrade koji se provode u okviru zadaća povezanih s istražnim ili revizijskim funkcijama službenika za zaštitu podataka, kao što su postupci na temelju pritužbi koje vodi službenik za zaštitu podataka. Osim toga, pravila bi se trebala primjenjivati i na zadaće praćenja te savjetodavne zadaće koje službenik za zaštitu podataka obavlja pri pružanju pomoći službama Komisije i suradnji s njima izvan okvira svojih administrativnih istraga i revizija.
                  
               
                     (10)
                  
                  
                     Radi postupanja u skladu s člancima 14., 15. i 16. Uredbe (EU) 2018/1725, Komisija bi trebala obavijestiti sve pojedince o zadaćama praćenja te istražnim, revizijskim i savjetodavnim zadaćama službenika za zaštitu podataka koje uključuju obradu njihovih osobnih podataka te o njihovim pravima na temelju Uredbe (EU) 2018/1725. Komisija bi te pojedince trebala obavijestiti na transparentan i dosljedan način, u obliku obavijesti o zaštiti podataka koje se objavljuju na internetskim stranicama Komisije, te bi trebala obavijestiti svakog ispitanika na kojeg se odnose aktivnosti praćenja ili istražne, revizijske ili savjetodavne aktivnosti službenika za zaštitu podataka.
                  
               
                     (11)
                  
                  
                     U određenim okolnostima Komisija će možda trebati ograničiti pružanje informacija ispitanicima te primjenu njihovih drugih prava. To može učiniti kako bi zaštitila zadaće praćenja te istražne, revizijske i savjetodavne zadaće službenika za zaštitu podataka, povezane istrage i postupke drugih službi Komisije, alate i metode istraga i revizija koje provodi službenik za zaštitu podataka te prava drugih osoba koje su povezane sa zadaćama službenika za zaštitu podataka.
                  
               
                     (12)
                  
                  
                     U nekim bi slučajevima pružanje određenih informacija ispitanicima ili otkrivanje postojanja aktivnosti praćenja ili istražne, revizijske ili savjetodavne aktivnosti službenika za zaštitu podataka moglo onemogućiti ili ozbiljno ugroziti svrhu postupka obrade i sposobnost službenika za zaštitu podataka da provede takav postupak.
                  
               
                     (13)
                  
                  
                     Nadalje, Komisija bi trebala zaštititi identitet informatora, koji ne bi smjeli trpjeti negativne posljedice zbog suradnje sa službenikom za zaštitu podataka.
                  
               
                     (14)
                  
                  
                     Zbog toga će Komisija na postupke obrade koji se provode u okviru zadaća praćenja te istražnih, revizijskih ili savjetodavnih zadaća službenika za zaštitu podataka navedenih u članku 45. Uredbe (EU) 2018/1725 možda trebati primijeniti razloge za ograničenja iz članka 25. stavka 1. točaka (c), (g) i (h) te uredbe.
                  
               
                     (15)
                  
                  
                     Osim toga, radi održavanja djelotvorne suradnje, Komisija će možda trebati primijeniti ograničenja prava ispitanika kako bi zaštitila informacije koje sadržavaju osobne podatke koji potječu iz drugih službi Komisije ili institucija ili tijela Unije. U tu svrhu službenik za zaštitu podataka trebao bi se savjetovati s tim službama, institucijama ili tijelima o relevantnim razlozima za uvođenje ograničenja te o nužnosti i razmjernosti tih ograničenja.
                  
               
                     (16)
                  
                  
                     U okviru svojih zadaća praćenja te istražnih, revizijskih i savjetodavnih zadaća službenik za zaštitu podataka razmjenjuje informacije, uključujući osobne podatke, s drugim službama Komisije. Stoga bi sve službe Komisije koje obrađuju osobne podatke koje službenik za zaštitu podataka obrađuje pri izvršavanju svojih zadaća trebale primjenjivati pravila utvrđena u ovoj Odluci radi zaštite postupaka obrade koje provodi službenik za zaštitu podataka. U takvim okolnostima, predmetne službe Komisije trebale bi se stoga savjetovati sa službenikom za zaštitu podataka o relevantnim razlozima za ograničenja te njihovoj nužnosti i razmjernosti kako bi se osigurala njihova dosljedna primjena.
                  
               
                     (17)
                  
                  
                     Službenik za zaštitu podataka i, prema potrebi, druge službe Komisije, trebali bi transparentno postupati sa svim ograničenjima i evidentirati svaku primjenu ograničenja u odgovarajućem sustavu evidencije.
                  
               
                     (18)
                  
                  
                     Na temelju članka 25. stavka 8. Uredbe (EU) 2018/1725 voditelji obrade mogu odgoditi ili uskratiti obavješćivanje ispitanika o razlozima za primjenu ograničenja ako bi to na bilo koji način ugrozilo svrhu ograničenja. Posebice kada se primjenjuje ograničenje prava iz članaka 16. i 35., obavješćivanje o takvom ograničenju ugrozilo bi svrhu ograničenja. Kako bi se osiguralo da je pravo ispitanika da bude obaviješten u skladu s člancima 16. i 35. Uredbe (EU) 2018/1725 ograničeno samo dok postoje razlozi za odgodu, Komisija bi trebala redovito preispitivati svoje stajalište.
                  
               
                     (19)
                  
                  
                     Ako se primjenjuje ograničenje drugih prava ispitanika, službenik za zaštitu podataka trebao bi za svaki slučaj pojedinačno procijeniti bi li obavješćivanje o ograničenju ugrozilo njegovu svrhu.
                  
               
                     (20)
                  
                  
                     Radi osiguravanja sukladnosti s ovom Odlukom, službenik za zaštitu podataka trebao bi provoditi neovisno preispitivanje ograničenja koja druge službe Komisije primjenjuju na temelju ove Odluke.
                  
               
                     (21)
                  
                  
                     Ograničenja koja se primjenjuju na temelju ove Odluke trebala bi biti nužna i razmjerna uzimajući u obzir rizike za prava i slobode ispitanika.
                  
               
                     (22)
                  
                  
                     U skladu s člankom 41. stavcima 1. i 2. Uredbe (EU) 2018/1725 obaviješten je Europski nadzornik za zaštitu podataka, provedeno je savjetovanje s njim te je on dao mišljenje 16. rujna 2019.
                  
               
                     (23)
                  
                  
                     Odlukom Komisije 2008/597/EZ (3) utvrđena su provedbena pravila u vezi sa službenikom za zaštitu podataka u skladu s Uredbom (EZ) br. 45/2001 Europskog parlamenta i Vijeća (4). Uredbom (EU) 2018/1725 stavljena je izvan snage Uredba (EZ) br. 45/2001, s učinkom od 11. prosinca 2019. Kako bi se osiguralo da se na službenika za zaštitu podataka primjenjuje samo jedan skup provedbenih pravila, trebalo bi staviti izvan snage i Odluku 2008/597/EZ,
                  
               DONIJELA JE OVU ODLUKU:
         POGLAVLJE 1.
         
            OPĆE ODREDBE
         
         
            Članak 1.
            Predmet i područje primjene
            
               1.   Ovom se Odlukom propisuju pravila i postupci u skladu s kojima Komisija treba primjenjivati Uredbu (EU) 2018/1725 te utvrđuju provedbena pravila o Komisijinu službeniku za zaštitu podataka.
            
            
               2.   Ovom se Odlukom utvrđuju i pravila koja Komisija treba poštovati u vezi sa zadaćama praćenja te istražnim, revizijskim i savjetodavnim zadaćama službenika za zaštitu podataka pri obavješćivanju ispitanika o obradi njihovih osobnih podataka u skladu s člancima 14., 15. i 16. Uredbe (EU) 2018/1725.
            
            
               3.   Ovom se Odlukom utvrđuju i uvjeti pod kojima Komisija, u vezi sa zadaćama praćenja te istražnim, revizijskim i savjetodavnim zadaćama službenika za zaštitu podataka, može ograničiti primjenu članka 4., članaka od 14. do 17. i članaka 19., 20. i 35. Uredbe (EU) 2018/1725, u skladu s člankom 25. stavkom 1. točkama (c), (g) i (h) te uredbe.
            
            
               4.   Ova se Odluka primjenjuje na obradu osobnih podataka koju provodi Komisija za potrebe zadaća službenika za zaštitu podataka iz članka 45. Uredbe (EU) 2018/1725 ili u vezi s njima, posebice zadaća praćenja te istražnih, revizijskih i savjetodavnih zadaća.
            
         
         
            Članak 2.
            Voditelj obrade
            Za potrebe ove Odluke Komisija se smatra voditeljem obrade u smislu članka 3. točke 8. Uredbe (EU) 2018/1725.
         
         
            Članak 3.
            Definicije
            Za potrebe ove Odluke primjenjuju se sljedeće definicije:
            
                        1.
                     
                     
                        „službenik za zaštitu podataka” znači osoba koju je Komisija imenovala u skladu s člankom 43. Uredbe (EU) 2018/1725;
                     
                  
                        2.
                     
                     
                        „zadaće službenika za zaštitu podataka” znači zadaće službenika za zaštitu podataka iz članka 45. Uredbe (EU) 2018/1725, posebno zadaće praćenja te istražne, revizijske i savjetodavne zadaće službenika za zaštitu podataka;
                     
                  
                        3.
                     
                     
                        „koordinator za zaštitu podataka” znači član osoblja Komisije kojeg je glavna uprava ili služba Komisije imenovala za savjetovanje i pomoć toj glavnoj upravi ili službi u svim aspektima zaštite osobnih podataka;
                     
                  
                        4.
                     
                     
                        „delegirani voditelj obrade” znači načelnik glavne uprave, službe ili kabineta koji u ime Komisije provode postupak obrade u okviru obavljanja misije te glavne uprave, službe ili kabineta;
                     
                  
                        5.
                     
                     
                        „operativni voditelj obrade” znači član osoblja Komisije na srednjoj ili višoj rukovodećoj razini kojeg imenuje delegirani voditelj obrade kao osobu koja osigurava vođenje evidencije o postupku obrade te služi kao primarna kontaktna točka za ispitanike u vezi s postupkom obrade;
                     
                  
                        6.
                     
                     
                        „interni dogovor” znači svaki dogovor između dviju ili više glavnih uprava ili službi kojim se određuju njihove odgovornosti i koordinacija vođenja evidencije o obradi u vezi s postupkom obrade koji zajedno provode ili kada jedna ili više glavnih uprava ili službi provodi dio postupka obrade delegiranog voditelja obrade;
                     
                  
                        7.
                     
                     
                        „informator” znači osoba koja službeniku za zaštitu podataka skreće pozornost na navodnu povredu odredaba Uredbe (EU) 2018/1725 ili traži da službenik za zaštitu podataka istraži pitanja i događaje koji su izravno povezani sa zadaćama službenika za zaštitu podataka, a na koje je ta osoba upozorila službenika za zaštitu podataka.
                     
                  
         POGLAVLJE 2.
         
            SLUŽBENIK ZA ZAŠTITU PODATAKA I KOORDINATOR ZA ZAŠTITU PODATAKA
         
         
            Članak 4.
            Imenovanje i funkcija
            Službenik za zaštitu podataka bira se iz redova osoblja Komisije na temelju svojih profesionalnih kvaliteta, među ostalim, dobrog poznavanja službi Komisije, njihova ustroja i administrativnih pravila i postupaka.
         
         
            Članak 5.
            Zadaće i dužnosti
            
               1.   Službenik za zaštitu podataka doprinosi stvaranju kulture zaštite osobnih podataka unutar Komisije na temelju procjene rizika i odgovornosti.
            
            
               2.   Službenik za zaštitu podataka prati provedbu Uredbe (EU) 2018/1725 u Komisiji tako što, među ostalim, svake godine donosi i provodi program rada za inspekcije i revizije.
            
            
               3.   Službenik za zaštitu podataka organizira redovite sastanke koordinatora za zaštitu podataka te predsjeda tim sastancima.
            
            
               4.   Službenik za zaštitu podataka vodi Komisijinu evidenciju o aktivnostima obrade u središnjem registru te registar stavlja na raspolaganje javnosti.
               Službenik za zaštitu podataka vodi i interni Komisijin registar povreda osobnih podataka u smislu članka 3. točke 16. Uredbe (EU) 2018/1725.
            
            
               5.   Pri obavljanju svojih dužnosti službenik za zaštitu podataka surađuje sa službenicima za zaštitu podataka koje su imenovale druge institucije i tijela Unije.
            
            
               6.   Službenik za zaštitu podataka smatra se delegiranim voditeljem obrade za potrebe pojedinačnih odluka koje se odnose na prava ispitanika na temelju Uredbe (EU) 2018/1725 u pogledu postupaka obrade koje provodi službenik za zaštitu podataka.
            
         
         
            Članak 6.
            Ovlasti
            Pri izvršavanju svojih zadaća službenik za zaštitu podataka:
            
                        (a)
                     
                     
                        ako je to nužno za izvršavanje njegovih zadaća, ima pristup podacima koji su predmet postupaka obrade osobnih podataka te svim uredima, uređajima za obradu podataka i nosačima podataka;
                     
                  
                        (b)
                     
                     
                        može zatražiti pravno mišljenje Pravne službe Komisije;
                     
                  
                        (c)
                     
                     
                        u slučaju neslaganja između službenika za zaštitu podataka i delegiranog voditelja obrade, operativnog voditelja obrade ili izvršitelja obrade u vezi s tumačenjem ili provedbom Uredbe (EU) 2018/1725, može obavijestiti nadležnog delegiranog voditelja obrade i glavnog tajnika;
                     
                  
                        (d)
                     
                     
                        može dodijeliti predmete odgovarajućim glavnim upravama ili službama Komisije kako bi poduzele primjerene daljnje mjere;
                     
                  
                        (e)
                     
                     
                        na zahtjev ili na vlastitu inicijativu može provoditi istrage pitanja i događaja koji su izravno povezani sa zadaćama službenika za zaštitu podataka u skladu s postupkom utvrđenim u članku 11.;
                     
                  
                        (f)
                     
                     
                        kada daje preporuke i savjete, može:
                        
                                    i.
                                 
                                 
                                    zatražiti od delegiranog voditelja obrade ili izvršitelja obrade da poštuju zahtjev ispitanika za ostvarivanje njegovih prava u skladu s Uredbom (EU) 2018/1725;
                                 
                              
                                    ii.
                                 
                                 
                                    delegiranom voditelju obrade ili izvršitelju obrade izdati upozorenja ako se postupkom obrade krše odredbe Uredbe (EU) 2018/1725 i pozvati ih da usklade postupke obrade s navedenom uredbom, prema potrebi na određeni način i u određenom roku;
                                 
                              
                                    iii.
                                 
                                 
                                    pozvati delegiranog voditelja obrade ili izvršitelja obrade da suspendira protok podataka primatelju u državi članici, trećoj zemlji ili međunarodnoj organizaciji;
                                 
                              
                                    iv.
                                 
                                 
                                    zatražiti od delegiranog voditelja obrade ili izvršitelja obrade da mu u utvrđenom roku podnesu izvješće o daljnjem postupanju u vezi s njegovom preporukom ili savjetima;
                                 
                              
                  
                        (g)
                     
                     
                        može obavijestiti glavnog tajnika ako delegirani voditelj obrade, operativni voditelj obrade ili izvršitelj obrade ne postupaju u skladu s mjerama poduzetima na temelju članka 6. točke (f);
                     
                  
                        (h)
                     
                     
                        odgovoran je za početne odluke o zahtjevima za pristup dokumentima koji se nalaze u posjedu njegova ureda na temelju Uredbe (EZ) br. 1049/2001 Europskog parlamenta i Vijeća (5).
                     
                  
         
            Članak 7.
            Koordinatori za zaštitu podataka
            
               1.   Delegirani voditelj obrade imenuje koordinatora za zaštitu podataka i, prema potrebi, jednog ili više pomoćnika koordinatora za zaštitu podataka u glavnoj upravi ili službi koja je pod njegovom odgovornošću. Dva ili više delegiranih voditelja obrade mogu, radi usklađenosti ili učinkovitosti, odlučiti imenovati zajedničkog koordinatora za zaštitu podataka ili pomoćnika koordinatora za zaštitu podataka ili zajednički koristiti usluge već imenovanog koordinatora za zaštitu podataka ili pomoćnika koordinatora za zaštitu podataka. Delegirani voditelji obrade pismeno potvrđuju taj dogovor.
            
            
               2.   Koordinator za zaštitu podataka kojeg je imenovala glavna uprava ili služba nadležan je i za kabinet koji je odgovoran za tu glavnu upravu ili službu. Koordinator za zaštitu podataka imenovan za Glavno tajništvo nadležan je za kabinet predsjednika te kabinete za koje je Glavno tajništvo jedina služba za podršku. Ako je kabinet odgovoran za više glavnih uprava ili službi, delegirani voditelji obrade odlučuju koji će od njihovih koordinatora za zaštitu podataka biti nadležan za taj kabinet.
            
            
               3.   O svakom imenovanju novog koordinatora za zaštitu podataka obavješćuje se službenik za zaštitu podataka, osoblje predmetne glavne uprave ili službe i predmetni kabinet.
               Novoimenovani koordinatori za zaštitu podataka u roku od šest mjeseci od imenovanja prolaze osposobljavanje za stjecanje potrebnih kompetencija za koordinatora za zaštitu podataka. Od navedenog zahtjeva za osposobljavanje izuzeti su koordinatori za zaštitu podataka koji su prethodno obnašali funkciju koordinatora za zaštitu podataka u drugoj glavnoj upravi ili službi ili su bili članovi osoblja službenika za zaštitu podataka tijekom razdoblja od dvije godine prije imenovanja.
            
            
               4.   Delegirani voditelji obrade uvode odgovarajuće mjere kako bi osigurali da koordinator za zaštitu podataka bude na primjeren način i pravodobno uključen u sva pitanja koja se odnose na zaštitu podataka u njihovoj glavnoj upravi ili službi te da o mišljenjima koja je izdao koordinator za zaštitu podataka na zahtjev koordinatora za zaštitu podataka bude odmah obaviješten delegirani voditelj obrade.
            
            
               5.   Koordinatori za zaštitu podataka odabiru se na temelju njihova znanja i iskustva u pogledu rada određene glavne uprave ili službe, motiviranosti za funkciju, kompetencija u području zaštite podataka, razumijevanja načela informacijskih sustava te njihovih komunikacijskih vještina.
            
            
               6.   Funkcija koordinatora za zaštitu podataka može se kombinirati s drugim funkcijama. Delegirani voditelj obrade osigurava da su te funkcije kompatibilne s funkcijom koordinatora za zaštitu podataka.
            
            
               7.   Funkcija koordinatora za zaštitu podataka dio je opisa posla svakog člana osoblja koji je imenovan koordinatorom za zaštitu podataka. Njegove odgovornosti i postignuća spominju se u godišnjem izvješću o ocjeni.
            
            
               8.   Koordinator za zaštitu podataka djeluje kao kontaktna točka između delegiranog voditelja obrade, operativnog voditelja obrade i izvršitelja obrade te službenika za zaštitu podataka.
            
            
               9.   Koordinatori za zaštitu podataka imaju pravo dobiti sve informacije u svojoj glavnoj upravi ili službi koje su im potrebne za obavljanje njihovih zadaća. Koordinatori za zaštitu podataka imaju pristup osobnim podacima samo ako je to potrebno za obavljanje njihovih zadaća.
            
            
               10.   Koordinator za zaštitu podataka vodi evidenciju o zahtjevima ispitanikâ te glavnoj upravi, službi ili kabinetu dostavlja anonimiziranu statistiku u kojoj je naveden broj zahtjeva te broj u cijelosti ili djelomično odbijenih zahtjeva. Službenik za zaštitu podataka određuje kategorije zahtjeva o kojima se vodi statistika. Službenik za zaštitu podataka može odrediti koji se dodatni podaci trebaju dostaviti.
               Koordinator za zaštitu podataka vodi anonimiziranu statistiku o povredama osobnih podataka kojima upravlja glavna uprava, služba ili kabinet, u kojoj se navodi ukupni broj povreda osobnih podataka, broj povreda osobnih podataka prijavljenih Europskom nadzorniku za zaštitu podataka te broj povreda osobnih podataka o kojima su obaviješteni ispitanici.
            
            
               11.   Koordinator za zaštitu podataka informira svoju glavnu upravu ili službu o pitanjima zaštite podataka te pruža savjete i pomaže delegiranim voditeljima obrade i operativnim voditeljima obrade u ispunjavanju njihovih obveza, posebno u pogledu:
               
                           (a)
                        
                        
                           provedbe općih načela Uredbe (EU) 2018/1725;
                        
                     
                           (b)
                        
                        
                           dokumentiranja postupaka obrade;
                        
                     
                           (c)
                        
                        
                           dostave evidencije o postupcima obrade koje provode delegirani voditelji obrade službeniku za zaštitu podataka u skladu s člankom 10.;
                        
                     
                           (d)
                        
                        
                           sastavljanja izjava o zaštiti osobnih podataka.
                        
                     
            
               12.   Koordinatori za zaštitu podataka sudjeluju na sastancima i, prema potrebi, u radnim skupinama koordinatora za zaštitu podataka.
            
            
               13.   Službenik za zaštitu podataka izdaje dodatne smjernice o odgovornostima i funkcijama koordinatora za zaštitu podataka.
            
         
         POGLAVLJE 3.
         
            VODITELJI OBRADE
         
         
            Članak 8.
            Delegirani voditelji obrade i operativni voditelji obrade
            
               1.   Delegirani voditelji obrade djeluju u ime Komisije kao voditelji obrade za potrebe primjene Uredbe (EU) 2018/1725.
            
            
               2.   Delegirani voditelji obrade i operativni voditelji obrade:
               
                           (a)
                        
                        
                           mogu se savjetovati sa službenikom za zaštitu podataka, preko koordinatora za zaštitu podataka, o sukladnosti postupaka obrade, posebno u slučaju dvojbe u pogledu sukladnosti;
                        
                     
                           (b)
                        
                        
                           izvješćuju službenika za zaštitu podataka, preko koordinatora za zaštitu podataka, o postupanju sa svakim zahtjevom zaprimljenim od ispitanika u vezi s ostvarivanjem njihovih prava.
                        
                     
            
               3.   Delegirani voditelj obrade:
               
                           (a)
                        
                        
                           imenuje operativnog voditelja obrade koji mu pomaže u osiguravanju sukladnosti s Uredbom (EU) 2018/1725, posebno u odnosu na ispitanike;
                        
                     
                           (b)
                        
                        
                           osigurava uspostavu internih dogovora s drugim glavnim upravama ili službama, ako delegirani voditelj obrade provodi postupke obrade zajedno s tim glavnim upravama ili službama ili ako te glavne uprave ili službe provode dio postupka obrade delegiranog voditelja obrade.
                        
                     U dogovorima iz točke (b) prvog podstavka utvrđuju se njihove odgovornosti za poštovanje obveza u vezi sa zaštitom podataka. Posebno se utvrđuje delegirani voditelj obrade koji određuje načine i svrhe postupka obrade te operativni voditelj obrade za postupak obrade i, prema potrebi, osoba i/ili subjekti koji pomažu operativnom voditelju obrade, među ostalim, s informacijama u slučaju povreda podataka ili pri osiguravanju ostvarivanja prava ispitanika.
            
            
               4.   Operativni voditelj obrade:
               
                           (a)
                        
                        
                           prima i obrađuje sve zahtjeve ispitanika;
                        
                     
                           (b)
                        
                        
                           obavješćuje Europskog nadzornika za zaštitu podataka u slučaju povrede osobnih podataka;
                        
                     
                           (c)
                        
                        
                           obavješćuje koordinatora za zaštitu podataka i službenika za zaštitu podataka u slučaju povrede osobnih podataka i prema potrebi obavješćuje ispitanika;
                        
                     
                           (d)
                        
                        
                           osigurava da je koordinator za zaštitu podataka upoznat sa svim pitanjima povezanima sa zaštitom podataka, posebno sa zahtjevima ispitanika;
                        
                     
                           (e)
                        
                        
                           na zahtjev delegiranog voditelja obrade obavlja sve druge zadaće u okviru područja primjene ove Odluke.
                        
                     
         
         POGLAVLJE 4.
         
            OSTALE OBVEZE I POSTUPCI
         
         
            Članak 9.
            Obavješćivanje
            Delegirani voditelj obrade, u suradnji s koordinatorom za zaštitu podataka, obavješćuje službenika za zaštitu podataka ako se savjetuje s Europskim nadzornikom za zaštitu podataka ili ako obavješćuje Europskog nadzornika za zaštitu podataka u skladu s Uredbom (EU) 2018/1725, a posebno u skladu s člancima 40. i 41. te uredbe. Osim toga, delegirani voditelj obrade, operativni voditelj obrade ili koordinator za zaštitu podataka obavješćuju službenika za zaštitu podataka o svim drugim izravnim kontaktima s Europskim nadzornikom za zaštitu podataka povezanima s provedbom Uredbe (EU) 2018/1725.
         
         
            Članak 10.
            Registar
            
               1.   Službenik za zaštitu podataka osigurava da je registar postupaka obrade Komisije dostupan na internetskim stranicama službenika za zaštitu podataka na intranetu Komisije te na stranicama službenika za zaštitu podataka na internetskim stranicama Europa.
            
            
               2.   Delegirani voditelji obrade, preko svojeg koordinatora za zaštitu podataka, službeniku za zaštitu podataka dostavljaju evidenciju o svojim postupcima obrade putem Komisijina internetskog sustava obavješćivanja dostupnog na internetskim stranicama službenika za zaštitu podataka na intranetu Komisije.
            
         
         
            Članak 11.
            Istražni postupak
            
               1.   Zahtjevi za istragu iz članka 6. točke (e) upućuju se službeniku za zaštitu podataka u pisanom obliku. U roku od 15 radnih dana od primitka zahtjeva službenik za zaštitu podataka šalje potvrdu o primitku osobi koja je zatražila istragu i provjerava treba li sa zahtjevom postupati povjerljivo kako bi se zajamčila povjerljivost pri obradi zahtjeva, osim ako se predmetni ispitanici nedvosmisleno suglase s drukčijim postupanjem. U slučaju očite zlouporabe prava na podnošenje zahtjeva za istragu službenik za zaštitu podataka nije obvezan obavješćivati podnositelja zahtjeva.
            
            
               2.   Službenik za zaštitu podataka podnosi zahtjev za pisanu izjavu o predmetu delegiranom voditelju obrade koji je odgovoran za predmetni postupak obrade podataka. Delegirani voditelj obrade dostavlja svoj odgovor službeniku za zaštitu podataka u roku od 15 radnih dana. Službenik za zaštitu podataka može zatražiti dodatne informacije od delegiranog voditelja obrade, izvršitelja obrade ili drugih strana u roku od 15 radnih dana.
            
            
               3.   Službenik za zaštitu podataka šalje odgovor osobi koja je zatražila istragu najkasnije tri mjeseca od primitka zahtjeva. Taj se rok može obustaviti sve dok službenik za zaštitu podataka ne dobije sve informacije koje je zatražio.
            
            
               4.   Nitko ne smije pretrpjeti štetu zbog skretanja pozornosti službeniku za zaštitu podataka na navodnu povredu odredaba Uredbe (EU) 2018/1725.
            
         
         
            Članak 12.
            Administracija i upravljanje
            
               1.   Službenik za zaštitu podataka u administrativne je svrhe pripojen Glavnom tajništvu. U tom kontekstu službenik za zaštitu podataka sudjeluje u pripremi godišnjeg plana upravljanja i prednacrta proračuna Glavnog tajništva.
            
            
               2.   Službenik za zaštitu podataka ocjenjivač je osoblja Ureda za zaštitu podataka. Zamjenik glavnog tajnika je potvrditelj. Službenik za zaštitu podataka prema potrebi sudjeluje u koordinaciji upravljanja Glavnim tajništvom.
            
         
         POGLAVLJE 5.
         
            OGRANIČENJE PRAVA ISPITANIKA
         
         
            Članak 13.
            Primjenjiva izuzeća i ograničenja
            
               1.   Pri izvršavanju svojih dužnosti u pogledu prava ispitanika na temelju Uredbe (EU) 2018/1725 Komisija razmatra primjenjuje li se neko od izuzeća utvrđenih u toj uredbi.
            
            
               2.   Podložno člancima od 14. do 18. ove Odluke, Komisija može ograničiti primjenu članaka od 14. do 17. i članaka 19., 20. i 35. Uredbe (EU) 2018/1725 te načela transparentnosti iz članka 4. stavka 1. točke (a) te uredbe u mjeri u kojoj se njegove odredbe odnose na prava i obveze iz članaka od 14. do 17. i članaka 19. i 20. Uredbe (EU) 2018/1725 ako bi ostvarivanje tih prava i obveza ugrozilo svrhu zadaća službenika za zaštitu podataka, među ostalim, otkrivanjem njegovih istražnih ili revizijskih alata i metoda, ili bi negativno utjecalo na prava i slobode drugih ispitanika u skladu s člankom 25. stavkom 1. točkama (c), (g) i (h).
            
            
               3.   Podložno člancima od 14. do 18. ove Odluke, Komisija može ograničiti prava i obveze iz stavka 2. ovog članka u odnosu na osobne podatke koje je službenik za zaštitu podataka dobio od službi Komisije ili drugih institucija i tijela Unije. Komisija to može učiniti ako bi te službe Komisije, institucije ili tijela Unije mogli ograničiti ostvarivanje tih prava i obveza na temelju drugih akata iz članka 25. Uredbe (EU) 2018/1725 ili u skladu s poglavljem IX. te uredbe ili u skladu s Uredbom (EU) 2016/794 Europskog parlamenta i Vijeća (6) ili Uredbom Vijeća (EU) 2017/1939 (7).
               Prije primjene ograničenja u okolnostima iz prvog podstavka Komisija se savjetuje s relevantnim institucijama ili tijelima Unije, osim ako joj je jasno da je primjena ograničenja predviđena nekim od akata iz tog podstavka.
            
            
               4.   Sva ograničenja primjene prava i obveza iz stavka 2. ovog članka moraju biti nužna i razmjerna uzimajući u obzir rizike za prava i slobode ispitanika.
            
         
         
            Članak 14.
            Pružanje informacija ispitanicima
            
               1.   Komisija na svojim internetskim stranicama objavljuje obavijesti o zaštiti podataka kojima sve ispitanike obavješćuje o zadaćama službenika za zaštitu podataka koje uključuju obradu njihovih osobnih podataka.
            
            
               2.   Komisija u odgovarajućem obliku pojedinačno obavješćuje sve fizičke osobe koje smatra osobama kojih se tiču zadaće službenika za zaštitu podataka ili informatorima.
            
            
               3.   Ako u cijelosti ili djelomično ograniči pružanje informacija ispitanicima iz stavka 2., Komisija evidentira i upisuje u registar razloge za ograničenje u skladu s člankom 17. ove Odluke.
            
         
         
            Članak 15.
            Pravo ispitanika na pristup podacima, pravo na brisanje podataka i pravo na ograničenje obrade podataka
            
               1.   Ako ispitaniku u cijelosti ili djelomično ograniči pravo na pristup osobnim podacima, pravo na brisanje podataka ili pravo na ograničenje obrade podataka, kako su navedena u člancima 17., 19. i 20. Uredbe (EU) 2018/1725, Komisija u svojem odgovoru na zahtjev za pristup podacima, brisanje podataka ili ograničenje obrade podataka tog ispitanika obavješćuje o primijenjenom ograničenju, glavnim razlozima za ograničenje te o mogućnosti podnošenja pritužbe Europskom nadzorniku za zaštitu podataka ili traženja pravnog lijeka pred Sudom Europske unije.
            
            
               2.   Obavješćivanje o razlozima za ograničenje iz stavka 1. može se odgoditi, izostaviti ili uskratiti onoliko dugo koliko bi to ugrožavalo svrhu ograničenja.
            
            
               3.   Komisija evidentira i upisuje u registar razloge za ograničenje u skladu s člankom 17.
            
            
               4.   Ako je pravo pristupa podacima u cijelosti ili djelomično ograničeno, ispitanik svoje pravo pristupa može ostvariti posredstvom Europskog nadzornika za zaštitu podataka, u skladu s člankom 25. stavcima 6., 7. i 8. Uredbe (EU) 2018/1725.
            
         
         
            Članak 16.
            Obavješćivanje ispitanika o povredi osobnih podataka
            Ako ograniči obavješćivanje ispitanika o povredi osobnih podataka, koje je predviđeno u članku 35. Uredbe (EU) 2018/1725, Komisija evidentira razloge za ograničenje te ih upisuje u registar u skladu s člankom 17. ove Odluke.
         
         
            Članak 17.
            Evidentiranje i upis ograničenja u registar
            
               1.   Komisija za sva ograničenja primijenjena na temelju ove Odluke evidentira razloge te procjenjuje nužnost i razmjernost ograničenja pojedinačno za svaki slučaj uzimajući u obzir relevantne elemente iz članka 25. stavka 2. Uredbe (EU) 2018/1725.
               U tu svrhu u evidenciji se navodi na koji bi način ostvarivanje prava ugrozilo svrhu zadaća službenika za zaštitu podataka propisanih ovom Odlukom ili u svrhu ograničenja koja se primjenjuju na temelju članka 13. stavaka 2. ili 3. ili negativno utjecalo na prava i slobode drugih ispitanika.
            
            
               2.   Evidentirani podaci i, prema potrebi, dokumenti koji sadržavaju temeljne činjenične i pravne elemente upisuju se u registar. Daju se na uvid Europskom nadzorniku za zaštitu podataka na njegov zahtjev.
            
         
         
            Članak 18.
            Trajanje ograničenja
            
               1.   Ograničenja iz članaka 14., 15. i 16. primjenjuju se sve dok postoje opravdani razlozi.
            
            
               2.   Ako prestanu postojati razlozi za ograničenje iz članka 14. ili 16., Komisija ukida ograničenje i ispitaniku navodi razloge za ograničenje. Komisija istodobno obavješćuje ispitanika o mogućnosti da u bilo kojem trenutku podnese pritužbu Europskom nadzorniku za zaštitu podataka ili zatraži pravni lijek pred Sudom Europske unije.
            
            
               3.   Komisija preispituje primjenu ograničenja iz članaka 14. i 16. svakih šest mjeseci od njihova donošenja, a u svakom slučaju po završetku relevantne aktivnosti službenika za zaštitu podataka. Nakon toga, Komisija godišnje prati je li potrebno zadržati ograničenje ili odgodu.
            
         
         
            Članak 19.
            Preispitivanje koje provodi službenik za zaštitu podataka
            
               1.   Ako druge službe Komisije zaključe da bi prava određenog ispitanika trebalo ograničiti u skladu s ovom Odlukom, o tome obavješćuju službenika za zaštitu podataka. Osim toga, službeniku za zaštitu podataka omogućuju pristup evidenciji i svim dokumentima koji sadržavaju temeljne činjenične i pravne elemente.
            
            
               2.   Službenik za zaštitu podataka može zatražiti od delegiranog voditelja obrade predmetne službe Komisije da preispita primjenu ograničenja. Delegirani voditelj obrade predmetne službe Komisije pisanim putem obavješćuje službenika za zaštitu podataka o ishodu zatraženog preispitivanja.
            
         
         POGLAVLJE 6.
         
            ZAVRŠNE ODREDBE
         
         
            Članak 20.
            Stavljanje izvan snage
            Odluka 2008/597/EZ stavlja se izvan snage.
         
         
            Članak 21.
            Stupanje na snagu
            Ova Odluka stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.
         
         
            Sastavljeno u Bruxellesu 3. srpnja 2020.
            
               
                  Za Komisiju
               
               
                  Predsjednica
               
               Ursula VON DER LEYEN
            
         
         
            (1)  SL L 295, 21.11.2018., str. 39.
         
         
            (2)  SEC(2019)900/2.
         
            (3)  Odluka Komisije 2008/597/EZ od 3. lipnja 2008. o prihvaćanju provedbenih pravila u vezi sa službenikom za zaštitu osobnih podataka sukladno članku 24. stavku 8. Uredbe (EZ) br. 45/2001 o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama i tijelima Zajednice te o slobodnom kretanju takvih podataka (SL L 193, 22.7.2008., str. 7.).
         
            (4)  Uredba (EZ) br. 45/2001 Europskog parlamenta i Vijeća od 18. prosinca 2000. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama i tijelima Zajednice i o slobodnom kretanju takvih podataka (SL L 8, 12.1.2001., str. 1.).
         
            (5)  Uredba (EZ) br. 1049/2001 Europskog parlamenta i Vijeća od 30. svibnja 2001. o javnom pristupu dokumentima Europskog parlamenta, Vijeća i Komisije (SL L 145, 31.5.2001., str. 43.).
         
            (6)  Uredba (EU) 2016/794 Europskog parlamenta i Vijeća od 11. svibnja 2016. o Agenciji Europske unije za suradnju tijela za izvršavanje zakonodavstva (Europol) te zamjeni i stavljanju izvan snage odluka Vijeća 2009/371/PUP, 2009/934/PUP, 2009/935/PUP, 2009/936/PUP i 2009/968/PUP (SL L 135, 24.5.2016., str. 53.).
         
            (7)  Uredba Vijeća (EU) 2017/1939 od 12. listopada 2017. o provedbi pojačane suradnje u vezi s osnivanjem Ureda europskog javnog tužitelja („EPPO”) (SL L 283, 31.10.2017., str. 1.).