CELEX: 32021Q0628(01)
Language: cs
Date: 2021-04-19 00:00:00
Title: Rozhodnutí správní rady o vnitřních předpisech týkajících se omezení některých práv subjektů údajů v souvislosti se zpracováním osobních údajů v rámci činností prováděných Evropskou agenturou pro životní prostředí

28.6.2021   
               
               
                  CS
               
               
                  Úřední věstník Evropské unie
               
               
                  L 228/3
               
            
         Rozhodnutí správní rady o vnitřních předpisech týkajících se omezení některých práv subjektů údajů v souvislosti se zpracováním osobních údajů v rámci činností prováděných Evropskou agenturou pro životní prostředí
         SPRÁVNÍ RADA EVROPSKÉ AGENTURY PRO ŽIVOTNÍ PROSTŘEDÍ
         S OHLEDEM na Smlouvu o fungování Evropské unie,
         S OHLEDEM na nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (1), a zejména na článek 25 tohoto nařízení,
         S OHLEDEM na nařízení Evropského parlamentu a Rady (ES) č. 401/2009 ze dne 23. dubna 2009 o Evropské agentuře pro životní prostředí a Evropské informační a pozorovací síti pro životní prostředí (kodifikované znění) (2), a zejména na článek 8 tohoto nařízení,
         S OHLEDEM na stanovisko evropského inspektora ochrany údajů ze dne 13. března 2020 a na pokyny evropského inspektora ochrany údajů k článku 25 nařízení (EU) 2018/1725 a k vnitřním předpisům,
         po konzultaci Výboru zaměstnanců,
         VZHLEDEM K TĚMTO DŮVODŮM:
         
                     (1)
                  
                  
                     Evropská agentura pro životní prostředí (dále jen „agentura“) je zmocněna provádět správní šetření, předběžná disciplinární řízení, disciplinární řízení a řízení o dočasném zproštění výkonu služby v souladu se služebním řádem úředníků Evropské unie a pracovním řádem ostatních zaměstnanců Evropské unie, který je stanoven nařízením Rady (EHS, Euratom, ESUO) č. 259/68 (dále jen „služební řád“) (3), a v souladu s rozhodnutím správní rady agentury EEA ze dne 15. února 2013 o vedení správních šetření a disciplinárních řízení. V případě nutnosti rovněž oznamuje případy úřadu OLAF.
                  
               
                     (2)
                  
                  
                     Zaměstnanci agentury jsou povinni oznamovat veškeré potenciálně protiprávní činnosti, včetně podvodu a korupce, které poškozují zájmy Unie. Zaměstnanci jsou rovněž povinni oznamovat jednání týkající se výkonu pracovních povinností, které může představovat vážné porušení povinností úředníků Unie. To upravuje rozhodnutí správní rady EEA ze dne 24. dubna 2018 o pokynech k whistleblowingu (rozhodnutí EEA/MB/2018/011).
                  
               
                     (3)
                  
                  
                     Agentura zavedla politiku pro prevenci a efektivní řešení skutečných nebo potenciálních případů psychického nebo sexuálního obtěžování na pracovišti, jak je uvedeno v rozhodnutí její správní rady ze dne 13. června 2017, kterým se stanoví politika EEA týkající se ochrany lidské důstojnosti a předcházení psychickému a sexuálnímu obtěžování (rozhodnutí EEA/MB/2017/011). Uvedené rozhodnutí stanoví neformální postup, jehož prostřednictvím se údajná oběť obtěžování může obrátit na „důvěrné“ poradce v rámci agentury.
                  
               
                     (4)
                  
                  
                     Agentura se podrobuje interním i externím auditům svých činností.
                  
               
                     (5)
                  
                  
                     V souvislosti s těmito správními šetřeními, audity a vyšetřováními agentura spolupracuje s dalšími orgány, institucemi a jinými subjekty Unie.
                  
               
                     (6)
                  
                  
                     Agentura může spolupracovat s vnitrostátními orgány třetích zemí a mezinárodními organizacemi, a to buď na jejich žádost, nebo z vlastního podnětu.
                  
               
                     (7)
                  
                  
                     Agentura také může spolupracovat s orgány veřejné moci členských států EU, a to buď na jejich žádost, nebo z vlastního podnětu.
                  
               
                     (8)
                  
                  
                     Agentura se zapojuje do věcí projednávaných Soudním dvorem Evropské unie a v takových případech může buď věc postoupit Soudnímu dvoru, hájit rozhodnutí, které přijala a které bylo u Soudního dvora napadeno, nebo zasahovat ve věcech, které se týkají jejích úkolů. V této souvislosti může nastat situace, kdy bude agentura povinna chránit důvěrnost osobních údajů obsažených v dokumentech získaných stranami sporu nebo vedlejšími účastníky.
                  
               
                     (9)
                  
                  
                     Za účelem plnění svých úkolů agentura shromažďuje a zpracovává informace a několik kategorií osobních údajů, včetně údajů o totožnosti fyzických osob, kontaktních údajů, pracovních pozic a úkolů, informací o soukromém a pracovním chování a výkonnosti a finančních údajů. Agentura působí jako správce údajů.
                  
               
                     (10)
                  
                  
                     Podle nařízení (EU) 2018/1725 (dále jen „nařízení“) je proto agentura povinna poskytovat subjektům údajů informace o těchto činnostech zpracování a dodržovat jejich práva jako subjektů údajů.
                  
               
                     (11)
                  
                  
                     Agentura může být povinna hledat rovnováhu mezi těmito právy a cíli správních šetření, auditů, vyšetřování a soudních řízení. Rovněž může být nutné najít rovnováhu mezi právy subjektu údajů a základními právy a svobodami jiných subjektů údajů. Za tímto účelem umožňuje článek 25 nařízení agentuře omezit za přísných podmínek použití článků 14 až 22, 35 a 36 nařízení, jakož i článku 4 v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 20. Nejsou-li omezení stanovena právním aktem přijatým na základě Smluv, je nezbytné přijmout vnitřní předpisy, podle kterých je agentura oprávněna tato práva omezit.
                  
               
                     (12)
                  
                  
                     Agentura například může být nucena omezit informace, které poskytuje subjektu údajů o zpracování jeho osobních údajů během fáze předběžného posouzení správního šetření nebo během samotného šetření, a to před případným zamítnutím věci nebo ve fázi předběžného disciplinárního řízení. Za určitých okolností by poskytnutí těchto informací mohlo závažně ovlivnit schopnost agentury účinně provádět šetření, například existuje-li riziko, že dotčená osoba může zničit důkazy nebo že před výslechem může ovlivňovat případné svědky. Může se také stát, že agentura bude povinna ochránit práva a svobody svědků, jakož i jiných dotčených osob.
                  
               
                     (13)
                  
                  
                     Může být zapotřebí chránit anonymitu svědka nebo oznamovatele (whistleblowera), který požádal o utajení své totožnosti. V takovém případě může agentura v zájmu ochrany práv a svobod těchto osob rozhodnout o omezení přístupu k údajům o jejich totožnosti, jakož i k jejich prohlášením a dalším osobním údajům.
                  
               
                     (14)
                  
                  
                     Může být zapotřebí chránit důvěrné informace o zaměstnanci, který se obrátil na důvěrné poradce agentury v souvislosti s řízením týkajícím se obtěžování. V takovém případě může být v zájmu ochrany práv a svobod všech dotčených osob agentura povinna omezit přístup k údajům o totožnosti údajné oběti, údajného obtěžovatele a dalších dotčených osob, jakož i k jejich prohlášením a dalším osobním údajům.
                  
               
                     (15)
                  
                  
                     Agentura by měla uplatňovat omezení pouze tehdy, pokud respektují podstatu základních práv a svobod a představují nezbytně nutné a přiměřené opatření v demokratické společnosti. Agentura by měla uvést důvody vysvětlující tato omezení.
                  
               
                     (16)
                  
                  
                     V souladu se zásadou odpovědnosti by agentura měla vést záznamy o uplatňování omezení.
                  
               
                     (17)
                  
                  
                     Při zpracovávání osobních údajů vyměňovaných s jinými organizacemi v souvislosti se svými úkoly by agentura a tyto jiné organizace měly vzájemně konzultovat možné důvody pro uložení omezení a jejich nezbytnost a přiměřenost, pokud by to neohrozilo činnosti agentury.
                  
               
                     (18)
                  
                  
                     Ustanovení čl. 25 odst. 6 nařízení ukládá správci údajů povinnost informovat subjekty údajů o hlavních důvodech pro použití omezení a o jejich právu podat stížnost u evropského inspektora ochrany údajů.
                  
               
                     (19)
                  
                  
                     Podle čl. 25 odst. 8 nařízení je agentura oprávněna odložit, neprovést nebo odepřít poskytnutí informací o důvodech pro použití omezení subjektu údajů, pokud by to jakýmkoli způsobem mařilo účinek omezení. Agentura by měla v jednotlivých případech posoudit, zda by informování o omezení mařilo jeho účinek.
                  
               
                     (20)
                  
                  
                     Agentura by měla omezení zrušit, jakmile přestanou platit podmínky odůvodňující jeho uplatňování, a měla by tyto podmínky pravidelně posuzovat.
                  
               
                     (21)
                  
                  
                     V zájmu nejvyšší možné ochrany práv a svobod subjektů údajů a v souladu s čl. 44 odst. 1 nařízení by měl být pověřenec pro ochranu osobních údajů včas konzultován ohledně veškerých omezení, která mohou být použita, a ohledně ověření jejich souladu s tímto rozhodnutím.
                  
               
                     (22)
                  
                  
                     Ustanovení čl. 16 odst. 5 a čl. 17 odst. 4 nařízení stanoví výjimky z práva subjektů údajů na informace a z práva na přístup k informacím. Pokud se použijí tyto výjimky, agentura není povinna uplatňovat omezení podle tohoto rozhodnutí,
                  
               PŘIJALA TOTO ROZHODNUTÍ:
         
            Článek 1
            Předmět a oblast působnosti
            
               1.   Toto rozhodnutí stanoví předpisy týkající se podmínek, za nichž může agentura omezit použití článků 4, 14 až 22, 35 a 36, a to v souladu s článkem 25 nařízení.
            
            
               2.   Agenturu jako správce údajů zastupuje její výkonný ředitel, který může výkonem funkce správce údajů pověřit jinou osobu v rámci agentury, aby zohlednil provozní odpovědnost za konkrétní operace zpracování osobních údajů.
            
         
         
            Článek 2
            Omezení
            
               1.   Agentura může omezit použití článků 14 až 22, 35 a 36, jakož i článku 4 v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 20:
               
                           a)
                        
                        
                           v souladu s čl. 25 odst. 1 písm. b), c), f), g) a h) nařízení, pokud provádí správní šetření, předběžná disciplinární řízení, disciplinární řízení nebo řízení o dočasném zproštění výkonu služby podle článku 86 a přílohy IX služebního řádu, a v souladu s rozhodnutím správní rady EEA ze dne 15. února 2013 o vedení správních šetření a disciplinárních řízení při vyřizování interních a externích stížností a při oznamování případů úřadu OLAF;
                        
                     
                           b)
                        
                        
                           v souladu s čl. 25 odst. 1 písm. h) nařízení při zajišťování, aby mohli zaměstnanci agentury důvěrně oznamovat skutečnosti, pokud jsou přesvědčeni, že došlo k závažným nesrovnalostem, jak je stanoveno v rozhodnutí správní rady EEA ze dne 24. dubna 2018 o pokynech k whistleblowingu (rozhodnutí EEA/MB/2018/011);
                        
                     
                           c)
                        
                        
                           v souladu s čl. 25 odst. 1 písm. h) nařízení při zajišťování, aby zaměstnanci agentury měli možnost oznámit důvěrným poradcům informace v souvislosti s (formálním nebo neformálním) řízením týkajícím se obtěžování, jak je vymezeno v rozhodnutí správní rady EEA ze dne 13. června 2017, kterým se stanoví politika EEA týkající se ochrany lidské důstojnosti a předcházení psychickému a sexuálnímu obtěžování (rozhodnutí EEA/MB/2017/011);
                        
                     
                           d)
                        
                        
                           v souladu s čl. 25 odst. 1 písm. c), g) a h) nařízení při provádění interních auditů týkajících se činností nebo útvarů agentury, včetně šetření prováděných pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725 a šetření (IT) bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU);
                        
                     
                           e)
                        
                        
                           v souladu s čl. 25 odst. 1 písm. c), d), g) a h) nařízení, pokud poskytuje pomoc jinému orgánu, instituci či jinému subjektu Unie nebo od nich pomoc přijímá nebo pokud s nimi spolupracuje v souvislosti s činnostmi spadajícími do působnosti písmen a) až d) tohoto odstavce, a v souladu s příslušnými dohodami o úrovni služeb, memorandy o porozumění a dohodami o spolupráci;
                        
                     
                           f)
                        
                        
                           v souladu s čl. 25 odst. 1 písm. c), g) a h) nařízení, pokud poskytuje pomoc vnitrostátním orgánům třetích zemí nebo mezinárodním organizacím nebo od nich pomoc přijímá nebo pokud spolupracuje s těmito orgány a organizacemi, ať už na jejich žádost, nebo z vlastního podnětu;
                        
                     
                           g)
                        
                        
                           v souladu s čl. 25 odst. 1 písm. c), g) a h) nařízení, pokud poskytuje pomoc orgánům veřejné moci členských států EU nebo od nich pomoc přijímá nebo pokud spolupracuje s těmito orgány, ať už na jejich žádost, nebo z vlastního podnětu;
                        
                     
                           h)
                        
                        
                           v souladu s čl. 25 odst. 1 písm. e), pokud zpracovává osobní údaje v dokumentech získaných stranami sporu nebo vedlejšími účastníky v souvislosti s řízením u Soudního dvora Evropské unie;
                        
                     
                           i)
                        
                        
                           Každé omezení respektuje podstatu základních práv a svobod a je nezbytné a přiměřené v demokratické společnosti.
                        
                     
            
               2.   Před uplatněním omezení se v jednotlivých případech posoudí jejich nezbytnost a přiměřenost. Omezení se vztahují pouze na to, co je nezbytně nutné k dosažení cílů těchto omezení.
            
            
               3.   Za účelem dodržení zásady odpovědnosti agentura vypracuje záznam, v němž popíše, jaké jsou důvody uplatňovaných omezení, které důvody uvedené v odstavci 1 použila a jaký je výsledek posouzení nezbytnosti a přiměřenosti omezení. Tyto záznamy budou součástí rejstříku, který se na požádání zpřístupní evropskému inspektorovi ochrany údajů. Agentura pravidelně vypracovává zprávy o uplatňování článku 25 nařízení.
            
            
               4.   Agentura při zpracovávání osobních údajů obdržených od jiných organizací v souvislosti se svými úkoly tyto organizace konzultuje ohledně možných důvodů pro uložení omezení a nezbytnosti a přiměřenosti dotčených omezení, pokud to neohrozí činnosti agentury.
            
            
               5.   Dotčenými kategoriemi údajů jsou „tvrdé“ údaje („objektivní“ údaje, jako jsou údaje o totožnosti, kontaktní údaje, profesní údaje, správní podrobnosti, údaje získané ze zvláštních zdrojů, elektronická komunikace a provozní údaje) a/nebo „měkké“ údaje („subjektivní“ údaje týkající se daného případu, např. odůvodnění, údaje o chování, hodnocení, údaje o výkonu a jednání a údaje související nebo předložené v souvislosti s předmětem řízení nebo činnosti).
            
         
         
            Článek 3
            Rizika z hlediska práv a svobod subjektů údajů
            
               1.   Posouzení rizik uložení omezení pro práva a svobody subjektů údajů a podrobnosti o období platnosti těchto omezení se zaregistrují v záznamech o činnostech zpracování vedených agenturou podle článku 31 nařízení. Budou rovněž zaznamenány ve všech posouzeních vlivu na ochranu údajů týkajících se těchto omezení, která jsou prováděna v souladu s článkem 39 nařízení.
            
            
               2.   Vždy, když agentura posuzuje nezbytnost a přiměřenost omezení, zváží možná rizika pro práva a svobody subjektu údajů.
            
         
         
            Článek 4
            Záruky a doby uchovávání
            
               1.   Agentura zavede záruky proti zneužití osobních údajů, které podléhají nebo mohou podléhat omezením, nebo proti protiprávnímu přístupu k nim či jejich protiprávnímu předání. Tyto záruky zahrnují technická a organizační opatření a jsou v případě potřeby podrobně popsány v interních rozhodnutích, postupech a prováděcích pravidlech agentury. Mezi tyto záruky patří:
               
                           a)
                        
                        
                           jasná definice úloh, povinností a procesních kroků;
                        
                     
                           b)
                        
                        
                           v případě potřeby bezpečné elektronické prostředí, které brání protiprávnímu nebo náhodnému přístupu k elektronickým údajům nebo jejich předání neoprávněným osobám. Veškeré elektronické údaje se uchovávají v zabezpečené aplikaci IT podle bezpečnostních norem agentury, jakož i ve zvláštních elektronických adresářích, k nimž mají přístup pouze oprávnění zaměstnanci. Vhodné úrovně přístupu se udělují individuálně;
                        
                     
                           c)
                        
                        
                           bezpečné uložení a zpracování papírových dokumentů, které se uchovávají v zabezpečených skříních a přístup k nim mají pouze oprávnění zaměstnanci;
                        
                     
                           d)
                        
                        
                           řádné sledování omezení a pravidelný přezkum jejich uplatňování.
                        
                     
            
               2.   Přezkumy uvedené v písmenu d) se provádějí alespoň jednou za šest měsíců.
            
            
               3.   Omezení se zruší, jakmile pominou okolnosti, které tato omezení odůvodňují.
            
            
               4.   Osobní údaje se uchovávají v souladu s platnými pravidly agentury pro uchovávání, přičemž tato pravidla budou určena v záznamech o ochraně údajů vedených podle článku 31 nařízení. Na konci doby uchovávání se osobní údaje smažou, anonymizují nebo uloží do archivu v souladu s článkem 13 nařízení.
            
         
         
            Článek 5
            Zapojení pověřence pro ochranu osobních údajů
            
               1.   Pověřenec agentury pro ochranu osobních údajů je neprodleně informován o každém omezení práv subjektu údajů v souladu s tímto rozhodnutím. Je mu poskytnut přístup k souvisejícím záznamům a veškerým dokumentům týkajícím se skutkových nebo právních okolností.
            
            
               2.   Pověřenec agentury pro ochranu osobních údajů může požádat o přezkum uplatňování daného omezení. Agentura písemně informuje svého pověřence pro ochranu osobních údajů o výsledku požadovaného přezkumu.
            
            
               3.   Agentura zdokumentuje zapojení pověřence pro ochranu osobních údajů do uplatňování omezení, včetně toho, jaké informace si s ním vyměnila.
            
         
         
            Článek 6
            Informování subjektů údajů o omezeních jejich práv
            
               1.   Agentura začlení do oznámení o ochraně údajů zveřejněných na svém intranetu oddíl s obecnými informacemi pro subjekty údajů o možném omezení práv subjektů údajů v souladu s čl. 2 odst. 1. Součástí informací je i to, která práva mohou být omezena, důvody, pro které se může omezení uložit, a případná délka trvání omezení.
            
            
               2.   Agentura informuje subjekty údajů jednotlivě, písemně a bez zbytečného odkladu o stávajících a budoucích omezeních jejich práv. Agentura informuje subjekt údajů o hlavních důvodech, na nichž je založeno uplatňování omezení, o jejich právu na konzultace s pověřencem pro ochranu osobních údajů s cílem napadnout toto omezení a o právu subjektu údajů podat stížnost u evropského inspektora ochrany údajů.
            
            
               3.   Agentura může odložit, neprovést nebo odepřít poskytnutí informací o důvodech omezení a o právu na podání stížnosti u evropského inspektora ochrany údajů, pokud by to mařilo účinek omezení. Posouzení, zda by tento krok byl odůvodněný, se provádí individuálně. Jakmile by již nebyl mařen účinek omezení, poskytne agentura neprodleně subjektu údajů příslušné informace.
            
         
         
            Článek 7
            Oznamování případů porušení zabezpečení osobních údajů subjektu údajů
            
               1.   Pokud se na agenturu vztahuje povinnost oznámit porušení zabezpečení osobních údajů podle čl. 35 odst. 1 nařízení, může za výjimečných okolností toto oznámení částečně nebo zcela omezit. V poznámce zdokumentuje důvody omezení, jeho právní základ podle článku 2 a posouzení jeho nezbytnosti a přiměřenosti. Poznámka bude předána evropskému inspektorovi ochrany údajů v okamžiku oznámení porušení zabezpečení osobních údajů.
            
            
               2.   Pokud důvody omezení již pominuly, oznámí agentura porušení zabezpečení osobních údajů dotčenému subjektu údajů a informuje ho o hlavních důvodech omezení a o jeho právu podat stížnost u evropského inspektora ochrany údajů.
            
         
         
            Článek 8
            Důvěrnost elektronických komunikací
            
               1.   Za výjimečných okolností může agentura omezit právo na důvěrnost elektronických komunikací podle článku 36 nařízení. Tato omezení musí být v souladu se směrnicí Evropského parlamentu a Rady 2002/58/ES (4).
            
            
               2.   Pokud agentura omezí právo na důvěrnost elektronických komunikací, informuje dotčený subjekt údajů o hlavních důvodech, na nichž se uplatňování omezení zakládá, a o právu subjektu údajů podat stížnost u evropského inspektora ochrany údajů.
            
            
               3.   Agentura může odložit, neprovést nebo odepřít poskytnutí informací o důvodech omezení a o právu na podání stížnosti u evropského inspektora ochrany údajů, pokud by to mařilo účinek omezení. Posouzení, zda by tento krok byl odůvodněný, se provádí individuálně.
            
         
         
            Článek 9
            Vstup v platnost
            Toto rozhodnutí vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.
         
         
            Schváleno správní radou písemným postupem
            19. dubna 2021.
            
               Laura BURKE
               
                  předsedkyně správní rady EEA
               
            
         
         
            (1)  Úř. věst. L 295, 21.11.2018, s. 39.
         
            (2)  Úř. věst. L 126, 21.5.2009, s. 13.
         
            (3)  Nařízení Rady (EHS, Euratom, ESUO) č. 259/68 ze dne 29. února 1968, kterým se stanoví služební řád úředníků a pracovní řád ostatních zaměstnanců Evropských společenství a kterým se zavádějí zvláštní opatření dočasně použitelná na úředníky Komise (Úř. věst. L 56, 4.3.1968, s. 1).
         
            (4)  Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (Úř. věst. L 201, 31.7.2002, s. 37).