CELEX: 32021Q0628(01)
Language: ro
Date: 2021-04-19 00:00:00
Title: Decizia Consiliului de administrație privind normele interne referitoare la restricționarea anumitor drepturi ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal în cadrul activităților desfășurate de Agenția Europeană de Mediu

28.6.2021   
               
               
                  RO
               
               
                  Jurnalul Oficial al Uniunii Europene
               
               
                  L 228/3
               
            
         Decizia Consiliului de administrație privind normele interne referitoare la restricționarea anumitor drepturi ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal în cadrul activităților desfășurate de Agenția Europeană de Mediu
         CONSILIUL DE ADMINISTRAȚIE AL AGENȚIEI EUROPENE DE MEDIU,
         AVÂND ÎN VEDERE Tratatul privind funcționarea Uniunii Europene,
         AVÂND ÎN VEDERE Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (1), în special articolul 25,
         AVÂND ÎN VEDERE Regulamentul (CE) nr. 401/2009 al Parlamentului European și al Consiliului din 23 aprilie 2009 privind Agenția Europeană de Mediu și Rețeaua europeană de informare și observare a mediului (versiune codificată) (2), în special articolul 8,
         AVÂND ÎN VEDERE avizul Autorității Europene pentru Protecția Datelor („AEPD”) din 13 martie 2020 și orientările AEPD cu privire la articolul 25 din Regulamentul (UE) 2018/1725 și normele interne,
         după consultarea Comitetului pentru personal,
         ÎNTRUCÂT:
         
                     (1)
                  
                  
                     Agenția Europeană de Mediu (denumită în continuare „agenția”) este împuternicită să desfășoare anchete administrative, proceduri predisciplinare, proceduri disciplinare și suspendări, în conformitate cu Statutul funcționarilor Uniunii Europene și Regimul aplicabil celorlalți agenți ai Uniunii Europene, prevăzut de Regulamentul (CEE, Euratom, CECO) nr. 259/68 al Consiliului („Statutul funcționarilor”) (3), și în conformitate cu Decizia Consiliului de administrație al AEM din 15 februarie 2013 privind desfășurarea anchetelor administrative și a procedurilor disciplinare. Dacă este cazul, agenția înștiințează și OLAF despre aceste cazuri.
                  
               
                     (2)
                  
                  
                     Membrii personalului agenției au obligația de a raporta activități potențial ilegale, inclusiv fraudă și corupție, care aduc atingere intereselor Uniunii. Membrii personalului sunt, de asemenea, obligați să raporteze cu privire la îndeplinirea sarcinilor profesionale care pot constitui o încălcare gravă a obligațiilor funcționarilor Uniunii. Acest lucru este reglementat prin Decizia Consiliului de administrație al AEM referitoare la orientările privind avertizarea în interes public din 24 aprilie 2018 (Decizia EEA/MB/2018/011).
                  
               
                     (3)
                  
                  
                     Agenția a stabilit o politică de prevenire și soluționare eficace a cazurilor reale sau potențiale de hărțuire psihologică sau sexuală la locul de muncă, astfel cum se prevede în Decizia Consiliului său de administrație din 13 iunie 2017 privind politica AEM în domeniul protecției demnității persoanei și al prevenirii hărțuirii psihologice și sexuale (Decizia EEA/MB/2017/011). Decizia stabilește o procedură informală prin care presupusa victimă a hărțuirii poate contacta persoanele de încredere din cadrul agenției.
                  
               
                     (4)
                  
                  
                     Agenția face obiectul unor audituri interne și externe privind activitățile sale.
                  
               
                     (5)
                  
                  
                     În contextul unor astfel de anchete administrative, audituri și investigații, agenția cooperează cu alte instituții, organe, oficii și agenții ale Uniunii.
                  
               
                     (6)
                  
                  
                     Agenția poate coopera cu autoritățile naționale din țări terțe și cu organizații internaționale, la cererea lor sau din proprie inițiativă.
                  
               
                     (7)
                  
                  
                     Agenția poate coopera și cu autoritățile publice ale statelor membre ale UE, la cererea lor sau din proprie inițiativă.
                  
               
                     (8)
                  
                  
                     Agenția este implicată în cauzele prezentate în fața Curții de Justiție a Uniunii Europene în cazul în care fie sesizează Curtea, fie apără o decizie pe care a luat-o și care a fost contestată în fața Curții, fie intervine în cauze care sunt de competența sa. În acest context, agenția ar putea fi nevoită să păstreze confidențialitatea datelor cu caracter personal existente în documentele obținute de părți sau de intervenienți.
                  
               
                     (9)
                  
                  
                     Pentru a-și îndeplini sarcinile, agenția colectează și prelucrează informații și mai multe categorii de date cu caracter personal, inclusiv datele de identificare ale persoanelor fizice, date de contact, roluri și sarcini profesionale, informații privind conduita și performanțele din viața privată și activitatea profesională, precum și date financiare. Agenția acționează în calitate de operator de date.
                  
               
                     (10)
                  
                  
                     Prin urmare, în temeiul Regulamentului (UE) 2018/1725 („regulamentul”), agenția este obligată să furnizeze persoanelor vizate informații cu privire la aceste activități de prelucrare și să le respecte drepturile în calitate de persoane vizate.
                  
               
                     (11)
                  
                  
                     Agenția poate fi obligată să reconcilieze aceste drepturi cu obiectivele anchetelor administrative, ale auditurilor, ale investigațiilor și ale acțiunilor în justiție. De asemenea, ar putea fi obligată să asigure un echilibru între drepturile persoanei vizate și drepturile și libertățile fundamentale ale altor persoane vizate. În acest sens, articolul 25 din regulament îi conferă agenției posibilitatea de a restricționa, în condiții stricte, aplicarea articolelor 14-22, 35 și 36 din regulament, precum și a articolului 4, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-20. Cu excepția cazului în care sunt prevăzute restricții într-un act juridic adoptat în temeiul tratatelor, trebuie adoptate norme interne în temeiul cărora agenția are dreptul să restricționeze aceste drepturi.
                  
               
                     (12)
                  
                  
                     De exemplu, agenția ar putea fi nevoită să restricționeze informațiile pe care le furnizează unei persoane vizate cu privire la prelucrarea datelor sale personale în etapa de evaluare preliminară a unei anchete administrative sau în cadrul anchetei propriu-zise, înainte de o eventuală revocare a cazului sau în etapa predisciplinară. În anumite situații, furnizarea acestor informații ar putea afecta grav capacitatea agenției de a efectua o anchetă în mod eficace, de exemplu, dacă există riscul ca persoana în cauză să distrugă probe sau să ia legătura cu potențialii martori înainte de audierea acestora. De asemenea, agenția ar putea fi nevoită să protejeze drepturile și libertățile martorilor, precum și pe cele ale altor persoane implicate.
                  
               
                     (13)
                  
                  
                     Ar putea fi necesar să se protejeze anonimatul unui martor sau al unui avertizor de integritate care a solicitat să nu fie identificat. În acest caz, agenția ar putea decide să restricționeze accesul la identitatea, declarațiile și alte date personale ale acestor persoane, pentru a le proteja drepturile și libertățile.
                  
               
                     (14)
                  
                  
                     Ar putea fi necesar să se protejeze informațiile confidențiale ale unui membru al personalului care a contactat persoanele de încredere din cadrul agenției în contextul unei proceduri de hărțuire. În acest caz, agenția ar putea fi nevoită să restricționeze accesul la identitatea, declarațiile și alte date personale ale presupusei victime, ale presupusului hărțuitor și ale altor persoane implicate, pentru a proteja drepturile și libertățile tuturor persoanelor implicate.
                  
               
                     (15)
                  
                  
                     Agenția trebuie să aplice restricții numai dacă acestea respectă esența drepturilor și libertăților fundamentale, dacă sunt strict necesare și constituie o măsură proporțională într-o societate democratică. Agenția trebuie să prezinte motivele care să explice justificarea acestor restricții.
                  
               
                     (16)
                  
                  
                     Conform principiului responsabilității, agenția trebuie să țină evidența aplicării restricțiilor.
                  
               
                     (17)
                  
                  
                     Atunci când prelucrează date cu caracter personal transmise altor organizații în contextul sarcinilor care îi revin, agenția trebuie să se consulte cu organizațiile respective cu privire la potențialele motive pentru impunerea de restricții și cu privire la necesitatea și proporționalitatea restricțiilor respective, cu excepția cazului în care acest lucru ar pune în pericol activitățile agenției.
                  
               
                     (18)
                  
                  
                     Articolul 25 alineatul (6) din regulament obligă operatorul să informeze persoanele vizate cu privire la principalele motive care stau la baza aplicării restricției și cu privire la dreptul lor de a depune o plângere la AEPD.
                  
               
                     (19)
                  
                  
                     În temeiul articolului 25 alineatul (8) din regulament, agenția poate amâna, omite sau refuza furnizarea de informații privind motivele aplicării unei restricții persoanei vizate, dacă aceasta ar anula efectul restricției. Agenția trebuie să evalueze, de la caz la caz, dacă comunicarea restricției anulează efectul acesteia.
                  
               
                     (20)
                  
                  
                     Agenția trebuie să ridice restricția imediat ce condițiile care justifică restricția nu mai sunt valabile și să evalueze aceste condiții în mod regulat.
                  
               
                     (21)
                  
                  
                     Pentru a garanta cea mai mare protecție a drepturilor și libertăților persoanelor vizate și în conformitate cu articolul 44 alineatul (1) din regulament, responsabilul cu protecția datelor trebuie să fie consultat în timp util cu privire la restricțiile care pot fi aplicate și să verifice respectarea dispozițiilor prezentei decizii.
                  
               
                     (22)
                  
                  
                     Articolul 16 alineatul (5) și articolul 17 alineatul (4) din regulament prevăd excepții de la exercitarea de către persoanele vizate a dreptului la informare și a dreptului de acces. Dacă se aplică aceste excepții, agenția nu este nevoită să aplice o restricție în temeiul prezentei decizii,
                  
               ADOPTĂ PREZENTA DECIZIE:
         
            Articolul 1
            Obiect și domeniu de aplicare
            
               (1)   Prezenta decizie stabilește normele privind condițiile în care agenția poate restricționa aplicarea articolelor 4, 14-22, 35 și 36, în temeiul articolului 25 din regulament.
            
            
               (2)   Agenția, în calitate de operator, este reprezentată de directorul executiv, care poate delega rolul de operator în cadrul agenției pentru a reflecta responsabilitățile operaționale pentru operațiuni specifice de prelucrare a datelor cu caracter personal.
            
         
         
            Articolul 2
            Restricții
            
               (1)   Agenția poate restricționa aplicarea articolelor 14-22, 35 și 36, precum și a articolului 4, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-20:
               
                           (a)
                        
                        
                           în temeiul articolului 25 alineatul (1) literele (b), (c), (f), (g) și (h) din regulament, atunci când desfășoară anchete administrative, proceduri predisciplinare sau disciplinare sau suspendări în temeiul articolului 86 și al anexei IX la Statutul funcționarilor și în temeiul Deciziei Consiliul de administrație al AEM din 15 februarie 2013 privind desfășurarea anchetelor administrative și a procedurilor disciplinare, atunci când tratează plângeri interne și externe, precum și atunci când notifică cazuri la OLAF;
                        
                     
                           (b)
                        
                        
                           în temeiul articolului 25 alineatul (1) litera (h) din regulament, atunci când se asigură că membrii personalului agenției pot raporta faptele în mod confidențial, în cazul în care consideră că există nereguli grave, așa cum se prevede în Decizia Consiliului de administrație al AEM referitoare la orientările privind avertizarea în interes public din 24 aprilie 2018 (Decizia EEA/MB/2018/011);
                        
                     
                           (c)
                        
                        
                           în temeiul articolului 25 alineatul (1) litera (h) din regulament, atunci când se asigură că membrii personalului agenției pot raporta persoanelor de încredere în contextul unei proceduri de hărțuire (oficială sau neoficială), așa cum se prevede în Decizia Consiliului de administrație al AEM din 13 iunie 2017 referitoare la politica AEM privind protecția demnității persoanei și prevenirea hărțuirii psihologice și sexuale (Decizia EEA/MB/2017/011);
                        
                     
                           (d)
                        
                        
                           în temeiul articolului 25 alineatul (1) literele (c), (g) și (h) din regulament, atunci când efectuează audituri interne în legătură cu activitățile sau departamentele agenției, inclusiv investigații desfășurate de responsabilul cu protecția datelor în conformitate cu articolul 45 alineatul (2) din Regulamentul (UE) 2018/1725, și investigații de securitate (informatică) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE);
                        
                     
                           (e)
                        
                        
                           în temeiul articolului 25 alineatul (1) literele (c), (d), (g) și (h) din regulament, atunci când acordă asistență altor instituții, organe, oficii și agenții ale Uniunii sau beneficiază de asistență din partea acestora sau cooperează cu acestea în contextul activităților prevăzute la literele (a)-(d) de la prezentul alineat și în temeiul acordurilor relevante privind nivelul serviciilor, al memorandumurilor de înțelegere și al acordurilor de cooperare;
                        
                     
                           (f)
                        
                        
                           în temeiul articolului 25 alineatul (1) literele (c), (g) și (h) din regulament, atunci când acordă asistență autorităților naționale și organizațiilor internaționale din țări terțe sau beneficiază de asistență din partea acestora sau cooperează cu aceste autorități și organizații, la cererea lor sau din proprie inițiativă;
                        
                     
                           (g)
                        
                        
                           în temeiul articolului 25 alineatul (1) literele (c), (g) și (h) din regulament, atunci când acordă și beneficiază de asistență din partea autorităților publice ale statelor membre ale UE și atunci când cooperează cu acestea, la cererea lor sau din proprie inițiativă;
                        
                     
                           (h)
                        
                        
                           în temeiul articolului 25 alineatul (1) litera (e) din regulament, atunci când prelucrează date cu caracter personal în documentele obținute de părți sau de intervenienți în contextul procedurilor desfășurate în fața Curții de Justiție a Uniunii Europene;
                        
                     
                           (i)
                        
                        
                           Aceste restricții trebuie să respecte esența drepturilor și libertăților fundamentale și să constituie o măsură necesară și proporțională într-o societate democratică.
                        
                     
            
               (2)   Înainte de aplicarea restricțiilor și după caz, se efectuează un test de necesitate și proporționalitate. Restricțiile se limitează la ceea ce este strict necesar pentru atingerea obiectivelor lor.
            
            
               (3)   În scopul asigurării răspunderii, agenția întocmește o evidență în care sunt descrise motivele care stau la baza restricțiilor aplicate, care anume dintre motivele enumerate la alineatul (1) se aplică și rezultatul testului de necesitate și proporționalitate. Evidența respectivă se introduce într-un registru, care este pus, la cerere, la dispoziția AEPD. Agenția elaborează rapoarte periodice privind aplicarea articolului 25 din regulament.
            
            
               (4)   Atunci când prelucrează date cu caracter personal primite de la alte organizații în contextul sarcinilor care îi revin, agenția se consultă cu organizațiile respective cu privire la potențialele motive pentru impunerea de restricții și cu privire la necesitatea și proporționalitatea restricțiilor vizate, cu excepția cazului în care acest lucru ar pune în pericol activitățile agenției.
            
            
               (5)   Categoriile de date în discuție sunt date concrete (date „obiective”, cum ar fi date de identificare, date de contact, date profesionale, detalii administrative, date primite din surse specifice, date privind comunicațiile electronice și privind traficul) și/sau date calitative (date „subiective” referitoare la caz, cum ar fi datele obținute din raționamente, date comportamentale, evaluări, date privind performanța și conduita și date referitoare la obiectul procedurii sau al activității sau prezentate în legătură cu acesta).
            
         
         
            Articolul 3
            Riscurile pentru drepturile și libertățile persoanelor vizate
            
               (1)   Evaluările riscurilor pentru drepturile și libertățile persoanelor vizate de impunerea de restricții și detaliile referitoare la perioada de aplicare a acestor restricții se înregistrează în evidența activităților de prelucrare desfășurate de agenție în temeiul articolului 31 din regulament. Acestea sunt înregistrate, de asemenea, în orice evaluare a impactului restricțiilor asupra protecției datelor, efectuată în temeiul articolului 39 din regulament.
            
            
               (2)   La evaluarea necesității și proporționalității unei restricții, agenția ia în considerare riscurile potențiale pentru drepturile și libertățile persoanei vizate.
            
         
         
            Articolul 4
            Garanții și perioade de stocare
            
               (1)   Agenția instituie garanții pentru a preveni abuzul sau accesul ilegal sau transferul de date cu caracter personal care fac sau ar putea face obiectul unor restricții. Astfel de garanții conțin măsuri tehnice și organizatorice, iar dacă este necesar, sunt prezentate în detaliu în deciziile interne, în procedurile și normele de punere în aplicare ale agenției. Garanțiile cuprind:
               
                           (a)
                        
                        
                           o definire adecvată a rolurilor, responsabilităților și etapelor procedurale;
                        
                     
                           (b)
                        
                        
                           un mediu electronic securizat care împiedică accesul sau transferul ilegal și accidental al datelor electronice la persoane neautorizate; toate datele electronice se stochează într-o aplicație informatică securizată în conformitate cu standardele de securitate ale agenției, precum și în dosare electronice specifice, la care are acces numai personalul autorizat. Se acordă niveluri corespunzătoare de acces în mod individual;
                        
                     
                           (c)
                        
                        
                           păstrarea și procesarea securizată a documentelor pe hârtie, care se păstrează în dulapuri securizate și sunt accesibile doar personalului autorizat;
                        
                     
                           (d)
                        
                        
                           monitorizarea corespunzătoare a restricțiilor și o revizuire periodică a aplicării lor.
                        
                     
            
               (2)   Revizuirile menționate la litera (d) se efectuează cel puțin o dată la șase luni.
            
            
               (3)   Restricțiile sunt ridicate imediat ce circumstanțele care le justifică nu mai sunt aplicabile.
            
            
               (4)   Datele cu caracter personal vor fi păstrate în conformitate cu normele aplicabile ale agenției privind păstrarea datelor, care urmează să fie definite în evidența privind protecția datelor ținută în conformitate cu articolul 31 din regulament. La sfârșitul perioadei de păstrare, datele cu caracter personal sunt șterse, anonimizate sau transferate în arhive conform articolului 13 din regulament.
            
         
         
            Articolul 5
            Implicarea responsabilului cu protecția datelor
            
               (1)   Responsabilul cu protecția datelor din cadrul agenției este informat fără întârzieri nejustificate ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie. Acesta are acces la evidența asociată și la orice document referitor la contextul faptic sau juridic.
            
            
               (2)   Responsabilul cu protecția datelor din cadrul agenției poate solicita revizuirea aplicării restricției. Agenția îl informează în scris pe responsabilul cu protecția datelor cu privire la rezultatul analizei.
            
            
               (3)   Agenția documentează implicarea responsabilului cu protecția datelor în aplicarea restricțiilor, inclusiv informațiile care îi sunt comunicate.
            
         
         
            Articolul 6
            Informarea persoanelor vizate cu privire la restricționarea drepturilor
            
               (1)   Agenția include în anunțurile privind protecția datelor publicate pe intranetul său o secțiune în care persoanelor vizate li se furnizează informații generale cu privire la posibilitatea ca drepturile lor să fie restricționate în temeiul articolului 2 alineatul (1). Informațiile se referă la drepturile care pot fi restricționate, la motivele pentru care se pot aplica restricții și la durata potențială a acestora.
            
            
               (2)   Agenția informează fiecare persoană vizată în parte, în scris și fără întârzieri nejustificate, cu privire la restricțiile prezente sau viitoare ale drepturilor lor. Agenția informează persoana vizată cu privire la principalele motive care stau la baza aplicării restricției, la dreptul său de a se consulta cu responsabilul cu protecția datelor în vederea contestării restricției și la dreptul său de a depune o plângere la AEPD.
            
            
               (3)   Agenția poate amâna, omite sau refuza furnizarea de informații privind motivele restricției și dreptul de a depune o plângere la AEPD, atâta timp cât aceasta ar anula efectul restricției. Evaluarea caracterului justificat al acestor măsuri se efectuează de la caz la caz. Imediat ce aceasta nu ar mai anula efectul restricției, agenția furnizează informațiile persoanei vizate.
            
         
         
            Articolul 7
            Informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal
            
               (1)   În cazul în care agenția are obligația de a comunica o încălcare a securității datelor în temeiul articolului 35 alineatul (1) din regulament, aceasta poate, în circumstanțe excepționale, să restricționeze integral sau parțial această comunicare. Agenția trebuie să consemneze într-o notă motivele restricției, temeiul juridic al acesteia, în conformitate cu articolul 2, și o evaluare a necesității și proporționalității acesteia. Nota este comunicată la AEPD în momentul notificării încălcării securității datelor cu caracter personal.
            
            
               (2)   În cazul în care motivele restricției nu se mai aplică, agenția comunică persoanei vizate încălcarea securității datelor cu caracter personal și o informează cu privire la motivele principale ale restricției și cu privire la dreptul său de a depune o plângere la AEPD.
            
         
         
            Articolul 8
            Confidențialitatea comunicațiilor electronice
            
               (1)   În circumstanțe excepționale, agenția poate restricționa dreptul la confidențialitatea comunicațiilor electronice în temeiul articolului 36 din regulament. Astfel de restricții sunt în conformitate cu Directiva 2002/58/CE a Parlamentului European și a Consiliului (4).
            
            
               (2)   În cazul în care agenția restricționează dreptul la confidențialitatea comunicațiilor electronice, aceasta informează persoana vizată cu privire la principalele motive pe care se bazează aplicarea restricției și cu privire la dreptul său de a depune o plângere la AEPD.
            
            
               (3)   Agenția poate amâna, omite sau refuza furnizarea de informații privind motivele restricției și dreptul de a depune o plângere la AEPD, atâta timp cât aceasta ar anula efectul restricției. Evaluarea caracterului justificat al acestor măsuri se efectuează de la caz la caz.
            
         
         
            Articolul 9
            Intrare în vigoare
            Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.
         
         
            Aprobată prin procedură scrisă a Consiliului de administrație,
            19 aprilie 2021.
            
               Laura BURKE
               
                  Președinte, Consiliul de administrație al AEM
               
            
         
         
            (1)  JO L 295, 21.11.2018, p. 39.
         
            (2)  JO L 126, 21.5.2009, p. 13.
         
            (3)  Regulamentul (CEE, Euratom, CECO) nr. 259/68 al Consiliului din 29 februarie 1968 de stabilire a Statutului funcționarilor Comunităților Europene, precum și a Regimului aplicabil celorlalți agenți ai acestor comunități și de instituire a unor măsuri speciale tranzitorii aplicabile funcționarilor Comisiei (JO L 56, 4.3.1968, p. 1).
         
            (4)  Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) (JO L 201, 31.7.2002, p. 37).