CELEX: 32020Q0717(01)
Language: bg
Date: 2020-05-26 00:00:00
Title: Решение на Управителния съвет на съвместното предприятие „Горивни клетки и водород 2“ от 26 май 2020 година за определяне на вътрешни правила относно ограниченията на някои права на субектите на данни във връзка с обработването на лични данни в рамките на функционирането на СП ГКВ 2

17.7.2020   
               
               
                  BG
               
               
                  Официален вестник на Европейския съюз
               
               
                  L 230/29
               
            
         РЕШЕНИЕ НА УПРАВИТЕЛНИЯ СЪВЕТ НА СЪВМЕСТНОТО ПРЕДПРИЯТИЕ ГОРИВНИ КЛЕТКИ И ВОДОРОД 2
         от 26 май 2020 година
         за определяне на вътрешни правила относно ограниченията на някои права на субектите на данни във връзка с обработването на лични данни в рамките на функционирането на СП ГКВ 2
         УПРАВИТЕЛНИЯТ СЪВЕТ НА „СЪВМЕСТНО ПРЕДПРИЯТИЕ ГОРИВНИ КЛЕТКИ И ВОДОРОД 2“ (наричан по-нататък „СП ГКВ 2“),
         като взе предвид Договора за функционирането на Европейския съюз,
         като взе предвид Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 г. относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (1), и по-специално член 25 от него,
         като взе предвид Регламент (ЕС) № 559/2014 на Съвета от 6 май 2014 г. за създаване на съвместно предприятие „Горивни клетки и водород 2“ (2), и по-специално член 7, параграф 3, буква с) от него,
         като взе предвид Насоките на Европейския надзорен орган по защита на данните (ЕНОЗД) относно член 25 от новия регламент и вътрешните правила,
         след като на 12 ноември 2019 г. се консултира с ЕНОЗД в съответствие с член 41, параграф 2 от Регламент (ЕС) 2018/1725,
         като взе предвид препоръките на Европейския надзорен орган по защита на данните (ЕНОЗД) от 18 декември 2019 г.,
         като има предвид, че:
         
                     (1)
                  
                  
                     СП ГКВ 2 извършва своите дейности в съответствие с Регламент (ЕС) № 559/2014.
                  
               
                     (2)
                  
                  
                     В съответствие с член 25, параграф 1 от Регламент (ЕС) 2018/1725 ограниченията за прилагането на членове 14—22, 35 и 36, както и на член 4 от същия регламент, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—22, следва да се основават на вътрешни правила, приети от СП, когато не се основат на правни актове, приети въз основа на Договорите.
                  
               
                     (3)
                  
                  
                     Тези вътрешни правила, включително разпоредбите относно оценката на необходимостта и пропорционалността на дадено ограничение, не следва да се прилагат, когато правен акт, приет въз основа на Договорите, предвижда ограничаване на правата на субекта на данни.
                  
               
                     (4)
                  
                  
                     Когато СП ГКВ 2 изпълнява своите задължения по отношение на правата на субектите на данни съгласно Регламент (ЕС) 2018/1725, то взема предвид дали не се прилагане някое от изключенията, предвидени в същия регламент.
                  
               
                     (5)
                  
                  
                     В рамките на административното си функциониране СП ГКВ 2 може да провежда административни разследвания, дисциплинарни производства, да извършва предварителни дейности, свързани със случаи на потенциални нередности, докладвани на OLAF, да обработва сигнали за нередности, да работи по (официални и неофициални) процедури в случай на тормоз, да обработва вътрешни и външни жалби, да извършва вътрешни одити, да провежда разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725 и вътрешната (ИТ) сигурност.
                  
               
                     (6)
                  
                  
                     СП ГКВ 2 обработва няколко категории лични данни, включително твърди данни („обективни“ данни като идентификационни данни, данни за връзка, професионални данни, административни подробности, данни, получени от специфични източници, електронни комуникации и данни за трафика) и меки данни („субективни“ данни, свързани с дадения случай, като например обосновка, поведенчески данни, оценки, данни за резултатността и поведението, както и данни, свързани или получени по предмета на процедурата или дейността) (3).
                  
               
                     (7)
                  
                  
                     СП ГКВ 2, представлявано от своя изпълнителен директор, действа като администратор на данни, независимо от по-нататъшното делегиране на ролята на администратор в рамките на СП ГКВ 2, за да се отразят оперативните отговорности за специфични операции по обработване на лични данни.
                  
               
                     (8)
                  
                  
                     Личните данни се съхраняват по сигурен начин в електронна среда или на хартия, като се предотвратява незаконният достъп или прехвърлянето на данни към лица, за които няма необходимост да знаят. Обработваните лични данни се съхраняват за срок, не по-дълъг от необходимия и подходящия за целите, за които се обработват данните за конкретния период, посочен в съобщенията за защита на данните, декларациите за поверителност или записите на СП ГКВ 2.
                  
               
                     (9)
                  
                  
                     Вътрешните правила следва да се прилагат за всички операции по обработка, извършвани от СП ГКВ 2 при провеждането на административни разследвания, дисциплинарни производства, предварителни дейности, свързани със случаи на потенциални нередности, докладвани на OLAF, процедури при подадени сигнали за нередности, (официални и неофициални) процедури в случай на тормоз, обработване на вътрешни и външни жалби, вътрешни одити, разследвания, провеждани от длъжностното лице за защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, разследвания в областта на сигурността, провеждани вътрешно или с външно участие (напр. CERT-EU).
                  
               
                     (10)
                  
                  
                     Те следва да се прилагат за операциите по обработка, извършени преди откриването на посочените по-горе процедури, по време на тези процедури и по време на наблюдението на последващите действия във връзка с резултатите от тези процедури. Помощта и сътрудничеството, предоставени от СП ГКВ 2 на национални органи и международни организации извън административните му разследвания, също следва да бъдат включени.
                  
               
                     (11)
                  
                  
                     В случаите, в които се прилагат тези вътрешни правила, СП ГКВ 2 трябва да предостави обосновка, с която да обясни защо ограниченията са строго необходими и пропорционални в едно демократично общество и зачитат същността на основните права и свободи.
                  
               
                     (12)
                  
                  
                     В тази рамка СП ГКВ 2 е длъжно да зачита във възможно най-голяма степен основните права на субектите на данни по време на гореупоменатите процедури, по-специално тези, които са свързани с правото на предоставяне на информация, достъп и коригиране, правото на заличаване, ограничаването на обработката, правото на съобщаване за нарушение на сигурността на личните данни на субекта на данните или на поверителността на комуникацията, както е залегнало в Регламент (ЕС) 2018/1725.
                  
               
                     (13)
                  
                  
                     Въпреки това СП ГКВ 2 може да бъде длъжно да ограничи информацията към субекта на данните, както и други права на субекта на данни, по-специално, за да защити собствените си разследвания, разследванията и производствата, провеждани от други публични органи, както и правата на други лица, свързани с неговите разследвания или други процедури.
                  
               
                     (14)
                  
                  
                     По този начин за целите на защита на разследването СП ГКВ 2 може да ограничи информацията, както и основните права и свободи на други субекти на данни.
                  
               
                     (15)
                  
                  
                     СП ГКВ 2 следва периодично да следи дали са валидни условията, които обосновават ограничаването, и да отмени ограничението, доколкото те повече не се прилагат.
                  
               
                     (16)
                  
                  
                     Администраторът следва да информира длъжностното лице за защита на данните в момента на отмяната и по време на прегледа,
                  
               ПРИЕ НАСТОЯЩИЯ РЕГЛАМЕНТ:
         
            Член 1
            Предмет и обхват
            
               1.   С настоящото решение се определят правила относно условията, при които СП ГКВ 2 в рамката на процедурите си, определена в параграф 2, може да ограничи прилагането на правата, залегнали в членове 14—21, 35 и 36, както и в член 4 от него, съгласно член 25 от Регламент (ЕС) 2018/1725.
            
            
               2.   В рамката на административното функциониране на СП ГКВ 2 настоящото решение се прилага за операции по обработване на лични данни от страна на програмната служба за целите на провеждане на административни разследвания, дисциплинарни производства, предварителни дейности, свързани със случаи на потенциални нередности, докладвани на OLAF, обработка на сигнали за нередности, (официални и неофициални) процедури в случай на тормоз, обработване на вътрешни и външни жалби, провеждане на вътрешни одити, разследвания, провеждани от длъжностното лице за защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725 и разследвания в областта на сигурността (на ИТ), които се провеждат вътрешно или с външно участие (напр. CERT-EU).
            
            
               3.   Съответните категории данни са твърди данни („обективни“ данни като идентификационни данни, данни за връзка, професионални данни, административни подробности, данни, получени от специфични източници, електронни комуникации и данни за трафика) и меки данни („субективни“ данни, свързани с дадения случай, като например обосновка, поведенчески данни, оценки, данни за резултатността и поведението, както и данни, свързани или получени по предмета на процедурата или дейността).
            
            
               4.   Когато СП ГКВ 2 изпълнява своите задължения по отношение на правата на субектите на данни съгласно Регламент (ЕС) 2018/1725, то взема предвид дали се прилага някое от изключенията, предвидени в същия регламент.
            
            
               5.   При спазване на условията, определени в настоящото решение, ограниченията могат да се прилагат по отношение на следните права: предоставяне на информация на субектите на данни, право на достъп, коригиране, заличаване, ограничаване на обработката, съобщаване на субекта на данните за нарушение на сигурността на личните данни или на поверителността на комуникацията.
            
         
         
            Член 2
            Определяне на администратора
            Администраторът на операциите по обработка е СП ГКВ 2, което се представлява от изпълнителния си директор, който може да делегира функциите на администратор. Субектите на данни се информират за делегирания администратор под формата на съобщения или записи за защита на данните, публикувани на уебсайта и/или в интранета на СП ГКВ 2.
         
         
            Член 3
            Определяне на предпазните мерки
            
               1.   Съвместното предприятие въвежда следните предпазни мерки, целящи предотвратяване на злоупотреби или незаконен достъп или прехвърляне на лични данни (4):
               
                           а)
                        
                        
                           документите на хартиен носител се съхраняват в сигурни шкафове и са достъпни само за упълномощени служители;
                        
                     
                           б)
                        
                        
                           всички електронни данни се съхраняват в сигурно ИТ приложение в съответствие със стандартите за сигурност на СП, както и в специални електронни папки, достъпни само за упълномощени служители. Подходящи нива на достъп се предоставят индивидуално;
                        
                     
                           в)
                        
                        
                           базата данни е защитена с парола в единна система за идентификация и е свързана автоматично с потребителското име и паролата на потребителя. Замяната на потребители е строго забранена. Електронните записи се съхраняват по сигурен начин, за да се гарантира поверителността и личният характер на данните в тях;
                        
                     
                           г)
                        
                        
                           всички лица, които имат достъп до данните, са обвързани със задължението за поверителност.
                        
                     
            
               2.   Срокът за съхранение на личните данни, посочен в член 1, параграф 3, не трябва да е по-дълъг от необходимия и подходящия за целите, за които се обработват данните. Той в никакъв случай не може да бъде по-дълъг от срока на съхранение, посочен в съобщенията за защита на данните, декларациите за поверителност или записите, посочени в член 6.
            
            
               3.   Когато СП ГКВ 2 разглежда възможността да приложи дадено ограничение, рискът за правата и свободите на субекта на данните се претегля, по-специално спрямо риска за правата и свободите на другите субекти на данни и риска от премахване на ефекта от разследванията или процедурите на СП, например посредством унищожаването на доказателства. Рисковете за правата и свободите на субекта на данни се отнасят предимно, но не са ограничени до рисковете за репутацията и рисковете за правото на защита и правото на изслушване.
            
         
         
            Член 4
            Ограничения
            
               1.   Всяко едно ограничение се прилага от СП ГКВ 2 единствено с цел да се гарантира:
               
                           а)
                        
                        
                           националната сигурност, обществената сигурност или отбраната на държавите членки;
                        
                     
                           б)
                        
                        
                           предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказания, включително предпазването и предотвратяването на заплахи за обществената сигурност;
                        
                     
                           в)
                        
                        
                           други важни цели от широк обществен интерес за Съюза или за държава членка, по-специално за целите на общата външна политика и политика на сигурност на Съюза или за важен икономически или финансов интерес на Съюза или на държава членка, включително паричните, бюджетните и данъчните въпроси, общественото здраве и социалната сигурност;
                        
                     
                           г)
                        
                        
                           вътрешната сигурност на институциите и органите на Съюза, включително на техните електронни съобщителни мрежи;
                        
                     
                           д)
                        
                        
                           предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси на регулираните професии;
                        
                     
                           е)
                        
                        
                           функция за наблюдение, инспекция или регулиране, свързана, дори само понякога, с упражняването на официални правомощия в случаите, посочени в букви а)—в);
                        
                     
                           ж)
                        
                        
                           защитата на субекта на данните или на правата и свободите на други лица;
                        
                     
                           з)
                        
                        
                           изпълнението на гражданскоправни искове.
                        
                     
            
               2.   За конкретното прилагане на целите, описани в параграф 1 по-горе, СП ГКВ 2 може да налага ограничения при следните обстоятелства:
               
                           а)
                        
                        
                           във връзка с лични данни, обменяни със служби на Комисията или други институции, органи, агенции и служби на Съюза;
                           когато такава служба на Комисията, институция, орган или агенция на Съюза има право да ограничава упражняването на изброените права въз основа на други актове, предвидени в член 25 от Регламент (ЕС) 2018/1725 или в съответствие с глава IX от същия регламент, или с учредителните актове на други институции, органи, агенции и служби на Съюза;
                           когато целта на такова ограничение от страна на тази служба на Комисията, институция, орган или агенция на Съюза би била застрашена, ако СП не приложи еквивалентно ограничение по отношение на същите тези лични данни;
                        
                     
                           б)
                        
                        
                           във връзка с личните данни, обменяни с компетентните органи на държавите членки;
                           когато такива компетентни органи на държавите членки имат право да ограничават упражняването на изброените права въз основа на актове, посочени в член 23 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета, или съгласно национални мерки за транспониране на член 13, параграф 3, член 15, параграф 3 или член 16, параграф 3 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета (5);
                           когато целта на подобно ограничаване от страна на този компетентен орган би била застрашена, ако СП не приложи еквивалентно ограничение по отношение на същите тези лични данни;
                        
                     
                           в)
                        
                        
                           във връзка с лични данни, обменяни с трети държави или международни организации, когато има ясни доказателства, че упражняването на тези права и задължения вероятно ще застраши сътрудничеството на СП с трети държави или международни организации при изпълнението на своите задачи.
                           Преди да приложи ограничения при обстоятелствата, посочени в параграф 1, букви а) и б), СП ГКВ 2 се консултира със съответните служби на Комисията, институциите, органите, агенциите, службите на Съюза или компетентните органи на държавите членки, освен ако за СП ГКВ 2 е ясно, че прилагането на ограничението е предвидено в някой от актовете, посочени в тези букви.
                        
                     
         
         
            Член 5
            Ограничения на правата на субектите на данни
            
               1.   В надлежно обосновани случаи и при условията, посочени в настоящото решение, администраторът може да ограничава следните права в контекста на операциите по обработка, изброени в параграф 2 по-долу, когато това е необходимо и пропорционално:
               
                           а)
                        
                        
                           правото на информация;
                        
                     
                           б)
                        
                        
                           правото на достъп;
                        
                     
                           в)
                        
                        
                           правото на коригиране, заличаване и ограничаване на обработката;
                        
                     
                           г)
                        
                        
                           правото на съобщаване на субекта на данните за нарушение на сигурността на личните данни;
                        
                     
                           д)
                        
                        
                           правото на поверителност на електронните комуникации;
                        
                     
            
               2.   В съответствие с член 25, параграф 2, буква а) от Регламент (ЕС) 2018/1725, при надлежно обосновани случаи и при условията, посочени в настоящото решение, администраторът може да прилага ограничения в контекста на следните операции по обработка:
               
                           а)
                        
                        
                           провеждането на административни разследвания и дисциплинарни производства;
                        
                     
                           б)
                        
                        
                           предварителни дейности, свързани със случаи на потенциални нередности, докладвани на OLAF;
                        
                     
                           в)
                        
                        
                           процедури при подадени сигнали за нередности;
                        
                     
                           г)
                        
                        
                           (официални и неофициални) процедури в случай на тормоз (6);
                        
                     
                           д)
                        
                        
                           обработване на вътрешни и външни жалби;
                        
                     
                           е)
                        
                        
                           вътрешни одити;
                        
                     
                           ж)
                        
                        
                           разследванията, провеждани от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725;
                        
                     
                           з)
                        
                        
                           разследвания по сигурността (в областта на ИТ), провеждани вътрешно или с външно участие (напр. CERT-EU);
                        
                     
                           и)
                        
                        
                           в рамката на управлението на безвъзмездни средства или на процедурата за възлагане на поръчки — след крайната дата за представяне на предложения по покана за представяне на предложения, или за подаване на тръжни оферти (7).
                        
                     Ограничението продължава да се прилага, докато продължават да се прилагат основанията за него.
            
            
               3.   Когато СП ограничава изцяло или частично прилагането на правата по параграф 1 по-горе, то предприема стъпките, определени в членове 6 и 7 от настоящото решение.
            
            
               4.   Когато субектите на данни поискат достъп до своите лични данни, обработвани в контекста на един или повече конкретни случаи или на конкретна операция по обработка, в съответствие с член 17 от Регламент (ЕС) 2018/1725, СП ГКВ 2 ограничава своята оценка на искането само до такива лични данни.
            
         
         
            Член 6
            Необходимост и пропорционалност на ограниченията
            
               1.   Всяко ограничение, посочено в член 5, трябва да бъде необходимо и пропорционално, като се вземат предвид рисковете за правата и свободите на субектите на данни и се зачита същността на основните права и свободи в демократичното общество.
            
            
               2.   В случай че се разглежда прилагането на ограничение, се извършва проверка на необходимостта и пропорционалността въз основа на настоящите правила. Проверката се извършва също така в рамките на периодичния преглед след преценка на това дали все още се прилагат фактическите и правните основания за ограничението. Тя се документира чрез вътрешна бележка за оценка за целите на отчетността за всеки отделен случай.
            
            
               3.   Ограниченията са временни и се свалят веднага щом обосноваващите ги обстоятелствата престанат да се прилагат. По-специално, когато се счита, че упражняването на ограниченото право повече не би премахвало ефекта от наложеното ограничение или не би засягало неблагоприятно правата или свободите на други субекти на данни.
               СП преразглежда прилагането на ограничението на всеки шест месеца след приемането му и при приключване на съответното проучване, процедура или разследване. След това администраторът на лични данни наблюдава необходимостта от запазване на даденото ограничение на всеки шест месеца.
            
            
               4.   Когато СП ГКВ 2 прилага изцяло или частично ограниченията, посочени в член 5 от настоящото решение, то записва причините за ограничението, правното основание в съответствие с параграф 1 по-горе, включително и оценка на необходимостта и пропорционалността на ограничението.
               Записът и, когато е приложимо, документите, съдържащи съответните фактически и правни елементи, се регистрират. Те се предоставят на Европейския надзорен орган по защита на данните при поискване.
            
         
         
            Член 7
            Задължение за информиране
            
               1.   СП ГКВ 2 включва в съобщенията за защита на данните, декларациите за защита на личните данни или записите по смисъла на член 31 от Регламент (ЕС) 2018/1725, публикувани на неговия уебсайт и/или интранет, с цел информиране на субектите на данни относно техните права в рамките на дадена процедура, информация, свързана с потенциалното ограничаване на тези права. Информацията включва това, кои права могат да бъдат ограничени, причините и потенциалната продължителност.
               Без да се засягат разпоредбите на член 6, параграф 4, СП ГКВ 2 информира, ако е пропорционално, поотделно всички субекти на данни, които се считат за засегнати от специфичната операция по обработка, за техните права по отношение на настоящи или бъдещи ограничения без необосновано забавяне и в писмена форма.
            
            
               2.   Когато СП ГКВ 2 ограничава изцяло или частично правата, определени в член 5, то информира съответния субект на данни за приложеното ограничение и за основните причини за него, както и за възможността за подаване на жалба до Европейския надзорен орган по защита на данните или за търсене на защита по съдебен ред в Съда на Европейския съюз;
               Предоставянето на информацията, посочено в параграф 2 по-горе, може да бъде отложено, пропуснато или отказано, ако то би премахнало ефекта от ограничението в съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725.
            
         
         
            Член 8
            Преглед от длъжностното лице по защита на данните
            
               1.   СП ГКВ 2 информира своевременно длъжностното лице по защита на данните (ДЛЗД) на съвместното предприятие винаги когато администраторът ограничава прилагането на правата на субекти на данни или удължава ограничението в съответствие с настоящото решение. Администраторът предоставя на ДЛЗД достъп до записа, съдържащ оценката на необходимостта и пропорционалността на ограничението, и документира в записа датата на уведомяване на длъжностното лице за защита на данните.
            
            
               2.   ДЛЗД може да поиска в писмен вид от администратора на лични данни да направи преглед на прилагането на ограниченията. Администраторът уведомява ДЛЗД в писмен вид за резултата от искания преглед.
            
            
               3.   ДЛЗД участва в цялата процедура. Администраторът уведомява ДЛЗД, когато ограничението е отменено.
            
         
         
            Член 9
            Влизане в сила
            Настоящият регламент влиза в сила на двадесетия ден след деня на публикуването му в Официален вестник на Европейския съюз.
            
         
         
            Съставено в Брюксел на 26 май 2020 година.
            
               
                  За управителния съвет на СП ГКВ 2
               
               Valérie BOUILLON-DELPORTE
               
                  Председател на управителния съвет
               
            
         
         
            (1)  ОВ L 295, 21.11.2018 г., стр. 39.
         
            (2)  ОВ L 169, 7.6.2014 г., стр. 108.
         
            (3)  В случаите на съвместно администриране на данните, те се обработват в съответствие със средствата и целите, определени в съответното споразумение между съвместните администратори, както е определено в член 28 от Регламент (ЕС) 2018/1725.
         
            (4)  Този списък не е изчерпателен.
         
            (5)  Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (OB L 119, 4.5.2016 г., стр. 89).
         
            (6)  Тази операция за обработка не се прилага по отношение на член 5, параграф 1, буква г).
         
            (7)  Тази операция за обработка се прилага само за член 5, параграф 1, буква в).