CELEX: 32020D0969
Language: ro
Date: 2020-07-03 00:00:00
Title: Decizia (UE) 2020/969 a Comisiei din 3 iulie 2020 de stabilire a normelor de aplicare privind responsabilul cu protecția datelor, restricțiile privind drepturile persoanelor vizate și aplicarea Regulamentului (UE) 2018/1725 al Parlamentului European și al Consiliului și de abrogare a Deciziei 2008/597/CE a Comisiei

6.7.2020   
               
               
                  RO
               
               
                  Jurnalul Oficial al Uniunii Europene
               
               
                  L 213/12
               
            
         DECIZIA (UE) 2020/969 A COMISIEI
         din 3 iulie 2020
         de stabilire a normelor de aplicare privind responsabilul cu protecția datelor, restricțiile privind drepturile persoanelor vizate și aplicarea Regulamentului (UE) 2018/1725 al Parlamentului European și al Consiliului și de abrogare a Deciziei 2008/597/CE a Comisiei
         COMISIA EUROPEANĂ,
         având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 249 alineatul (1),
         având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (1), în special articolul 45 alineatul (3),
         întrucât:
         
                     (1)
                  
                  
                     Pentru a asigura funcționarea adecvată a biroului responsabilului cu protecția datelor al Comisiei („RPD”), este necesar să se stabilească în detaliu sarcinile, atribuțiile și competențele RPD.
                  
               
                     (2)
                  
                  
                     Regulamentul (UE) 2018/1725 atribuie responsabilități clare operatorilor de date, în special în ceea ce privește persoanele vizate. În vederea asigurării faptului că Comisia, în calitate de operator, funcționează în mod uniform și transparent cu privire la responsabilitățile sale, ar trebui să se stabilească norme privind modalitatea de a identifica persoana din cadrul serviciului sau al serviciilor Comisiei este responsabilă pentru o operațiune de prelucrare, care este efectuată în numele Comisiei. În această privință, este oportună introducerea noțiunii de operator delegat pentru a indica în mod exact responsabilitățile entităților Comisiei, în special în ceea ce privește deciziile individuale referitoare la drepturile persoanelor vizate. În plus, este oportună introducerea noțiunii de operator operațional care, sub răspunderea operatorului delegat, este desemnat să asigure conformitatea în practică și să prelucreze cererile persoanelor vizate cu privire la o operațiune de prelucrare. Desemnarea unui operator operațional nu împiedică utilizarea în practică a unui punct de contact, de exemplu sub forma unei cutii poștale funcționale care să fie pusă la dispoziție pentru cererile persoanelor vizate.
                  
               
                     (3)
                  
                  
                     În anumite cazuri, mai multe servicii ale Comisiei pot să efectueze în comun o operațiune de prelucrare pentru a-și îndeplini misiunea. În astfel de cazuri, acestea ar trebui să asigure faptul că există acorduri interne pentru a stabili în mod transparent responsabilitățile lor respective conform Regulamentului (UE) 2018/1725, în special responsabilitățile referitoare la persoanele vizate, notificarea Autorității Europene pentru Protecția Datelor („AEPD”) și păstrarea evidențelor.
                  
               
                     (4)
                  
                  
                     Pentru a facilita exercitarea responsabilităților operatorilor delegați, fiecare serviciu al Comisiei ar trebui să desemneze un coordonator pentru protecția datelor („CPD”). CPD ar trebui să participe la rețeaua de coordonatori pentru protecția datelor din cadrul Comisiei pentru a asigura punerea în aplicare și interpretarea coerente ale Regulamentului (UE) 2018/1725 în cadrul Comisiei și pentru a discuta despre subiecte de interes comun.
                  
               
                     (5)
                  
                  
                     În ceea ce privește sarcina responsabilului cu protecția datelor de a atribui responsabilități în temeiul articolului 45 alineatul (1) litera (b) din Regulamentul (UE) 2018/1725, RPD ar trebui să emită orientări suplimentare cu privire la funcția coordonatorului pentru protecția datelor.
                  
               
                     (6)
                  
                  
                     Comisia prelucrează mai multe categorii de date cu caracter personal în scopul activităților de monitorizare, investigare, audit și consultative ale RPD. În special, Comisia prelucrează date de identificare, date de contact, date profesionale și date privind implicarea în cauze. Aceste date sunt păstrate pentru o perioadă de cinci ani de la încheierea activităților în conformitate cu Lista comună de păstrare a dosarelor la nivelul Comisiei (2).
                  
               
                     (7)
                  
                  
                     În anumite circumstanțe, este necesar să se reconcilieze drepturile persoanelor vizate prevăzute în Regulamentul (UE) 2018/1725 cu necesitatea îndeplinirii de către Comisie a sarcinilor de monitorizare, investigare, audit și consultative ale RPD și cu necesitatea de a asigura confidențialitatea schimburilor de informații cu alte servicii ale Comisiei, precum și cu respectarea deplină a drepturilor și a libertăților fundamentale ale altor persoane vizate. În acest scop, articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725 oferă Comisiei posibilitatea de a restricționa aplicarea articolelor 14-17, 19, 20 și 35, precum și principiul transparenței prevăzut la articolul 4 alineatul (1) litera (a), în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19 și 20 din regulamentul menționat.
                  
               
                     (8)
                  
                  
                     Pentru a asigura confidențialitatea și eficacitatea sarcinilor de monitorizare, investigare, audit și consultative ale RPD, respectând totodată standardele de protecție a datelor cu caracter personal prevăzute în Regulamentul (UE) 2018/1725, este necesar să se adopte norme interne prin care RPD să poată restricționa drepturile persoanelor vizate în conformitate cu articolul 25 din Regulamentul (UE) 2018/1725.
                  
               
                     (9)
                  
                  
                     Normele interne ar trebui să se aplice tuturor operațiunilor de prelucrare a datelor efectuate de Comisie în cadrul îndeplinirii sarcinilor de monitorizare, investigare, audit și consultative ale RPD. Acestea ar trebui să se aplice operațiunilor de prelucrare efectuate înainte de deschiderea unei anchete sau a unui audit, în timpul unei anchete sau al unui audit și în timpul monitorizării rezultatelor acestora. De asemenea, aceste norme ar trebui să se aplice operațiunilor de prelucrare care fac parte din sarcinile legate de funcția de investigare sau de auditare a RPD, cum ar fi procesele de soluționare a reclamațiilor desfășurate de RPD. Totodată, normele ar trebui să se aplice monitorizării RPD și consultărilor RPD, atunci când RPD oferă asistență și cooperare serviciilor Comisiei în afara investigațiilor sale administrative și a auditurilor sale.
                  
               
                     (10)
                  
                  
                     Pentru a respecta articolele 14, 15 și 16 din Regulamentul (UE) 2018/1725, Comisia ar trebui să informeze toate persoanele fizice cu privire la sarcinile de monitorizare, investigare, audit și consultative ale RPD care presupun prelucrarea datelor cu caracter personal și a drepturilor lor în temeiul Regulamentului (UE) 2018/1725. Comisia ar trebui să informeze aceste persoane fizice în mod transparent și coerent, prin publicarea unor anunțuri privind protecția datelor pe site-ul web al Comisiei, precum și să informeze fiecare persoană vizată de o activitate de monitorizare, investigare, audit sau consultativă a RPD.
                  
               
                     (11)
                  
                  
                     În anumite circumstanțe, Comisia poate fi nevoită să limiteze furnizarea de informații persoanelor vizate și aplicarea altor drepturi ale persoanelor vizate. Comisia poate face acest lucru pentru a proteja sarcinile de monitorizare, investigare, audit sau consultative ale RPD, investigațiile și procedurile aferente ale altor servicii ale Comisiei, instrumentele și metodele de investigare și audit ale RPD, precum și drepturile altor persoane legate de sarcinile RPD.
                  
               
                     (12)
                  
                  
                     În anumite cazuri, furnizarea unor informații specifice persoanelor vizate sau dezvăluirea existenței unei activități de monitorizare, investigare, audit sau consultative a RPD ar putea să facă imposibilă operațiunea de prelucrare sau să afecteze grav scopul său și capacitatea RPD de a efectua această activitate.
                  
               
                     (13)
                  
                  
                     În plus, Comisia ar trebui să protejeze identitatea informatorilor, care nu ar trebui să sufere repercusiuni negative ca urmare a cooperării lor cu RPD.
                  
               
                     (14)
                  
                  
                     Din aceste motive, Comisia poate fi nevoită să aplice restricțiile menționate la articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725 pentru operațiunile de prelucrare a datelor efectuate în cadrul sarcinilor de monitorizare, investigare, audit sau consultative ale RPD prevăzute la articolul 45 din regulamentul în cauză.
                  
               
                     (15)
                  
                  
                     În plus, pentru a menține o cooperare eficace, Comisia poate fi nevoită să aplice restricții privind drepturile persoanelor vizate pentru a proteja informațiile care conțin date cu caracter personal ce provin de la alte servicii ale Comisiei sau de la instituții sau organisme ale Uniunii. În acest scop, RPD ar trebui să consulte serviciile, instituțiile sau organismele respective cu privire la motivele relevante pentru impunerea de restricții și cu privire la necesitatea și proporționalitatea restricțiilor.
                  
               
                     (16)
                  
                  
                     În cadrul sarcinilor de monitorizare, investigare, audit sau consultative ale RPD, RPD face schimb de informații, inclusiv de date cu caracter personal, cu alte servicii ale Comisiei. Prin urmare, toate serviciile Comisiei care prelucrează date cu caracter personal, care sunt prelucrate de RPD în îndeplinirea sarcinilor sale, ar trebui să aplice normele stabilite în prezenta decizie în vederea protejării operațiunilor de prelucrare efectuate de RPD. În astfel de circumstanțe, serviciile în cauză ale Comisiei ar trebui, prin urmare, să consulte RPD cu privire la motivele relevante pentru restricții, precum și cu privire la necesitatea și proporționalitatea acestora pentru a asigura aplicarea lor coerentă.
                  
               
                     (17)
                  
                  
                     RPD – și, dacă este cazul, alte servicii ale Comisiei – ar trebui să gestioneze toate restricțiile într-o manieră transparentă și să înregistreze fiecare aplicare a restricțiilor în sistemul de înregistrare corespunzător.
                  
               
                     (18)
                  
                  
                     În temeiul articolului 25 alineatul (8) din Regulamentul (UE) 2018/1725, operatorii pot să amâne sau să omită furnizarea de informații privind motivele aplicării unei restricții persoanei vizate, dacă acest lucru ar compromite în vreun fel scopul restricției. În special, în cazul în care se aplică o restricție privind drepturile prevăzute la articolele 16 și 35, notificarea unei astfel de restricții ar compromite scopul restricției. Pentru a garanta că dreptul persoanei vizate de a fi informată, în conformitate cu articolele 16 și 35 din Regulamentul (UE) 2018/1725, este restricționat numai atât timp cât sunt valabile motivele amânării, Comisia ar trebui să își revizuiască periodic poziția.
                  
               
                     (19)
                  
                  
                     În cazul în care se aplică o restricție privind alte drepturi ale persoanelor vizate, RPD ar trebui să evalueze, de la caz la caz, în ce măsură comunicarea restricției ar compromite scopul acesteia.
                  
               
                     (20)
                  
                  
                     RPD ar trebui să efectueze o examinare independentă a aplicării restricțiilor în temeiul prezentei decizii, de către alte servicii ale Comisiei, pentru a asigura conformitatea cu prezenta decizie.
                  
               
                     (21)
                  
                  
                     Orice restricție aplicată în temeiul prezentei decizii ar trebui să fie necesară și proporțională, ținând seama de riscurile la adresa drepturilor și a libertăților persoanelor vizate.
                  
               
                     (22)
                  
                  
                     Autoritatea Europeană pentru Protecția Datelor a fost informată și consultată în conformitate cu articolul 41 alineatele (1) și (2) din Regulamentul (UE) 2018/1725 și a emis un aviz la 16 septembrie 2019.
                  
               
                     (23)
                  
                  
                     Decizia 2008/597/CE a Comisiei (3) stabilește dispozițiile de punere în aplicare privind responsabilul cu protecția datelor în temeiul Regulamentului (CE) nr. 45/2001 al Parlamentului European și al Consiliului (4). De la 11 decembrie 2019, Regulamentul (UE) 2018/1725 a abrogat Regulamentul (CE) nr. 45/2001. Pentru a asigura faptul că responsabilului cu protecția datelor i se aplică un singur set de norme de aplicare, Decizia 2008/597/CE ar trebui să fie abrogată de asemenea,
                  
               ADOPTĂ PREZENTA DECIZIE:
         CAPITOLUL 1
         
            DISPOZIȚII GENERALE
         
         
            Articolul 1
            Obiect și domeniu de aplicare
            
               (1)   Prezenta decizie prevede norme și proceduri pentru aplicarea Regulamentului (UE) 2018/1725 de către Comisie și stabilește normele de aplicare privind responsabilul cu protecția datelor pentru Comisie („RPD”).
            
            
               (2)   De asemenea, prezenta decizie stabilește normele pe care trebuie să le respecte Comisia în legătură cu sarcinile de monitorizare, investigare, audit sau consultative ale RPD, pentru a informa persoanele vizate în legătură cu prelucrarea datelor lor cu caracter personal în conformitate cu articolele 14, 15 și 16 din Regulamentul (UE) 2018/1725.
            
            
               (3)   Totodată, prezenta decizie stabilește condițiile în care Comisia, în ceea ce privește sarcinile de monitorizare, investigare, audit sau consultative ale RPD, poate restricționa aplicarea articolelor 4, 14-17, 19, 20 și 35 din Regulamentul (UE) 2018/1725, în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h) din acesta.
            
            
               (4)   Prezenta decizie se aplică prelucrării datelor cu caracter personal de către Comisie în scopul sarcinilor RPD menționate la articolul 45 din Regulamentul (UE) 2018/1725, în special al sarcinilor de monitorizare, investigare, audit sau consultative ale RPD sau în legătură cu aceste sarcini.
            
         
         
            Articolul 2
            Control
            În sensul prezentei decizii, se consideră că operatorul – în sensul articolului 3 alineatul (8) din Regulamentul (UE) 2018/1725 – este Comisia.
         
         
            Articolul 3
            Definiții
            În sensul prezentei decizii, se aplică următoarele definiții:
            
                        1.
                     
                     
                        „responsabil cu protecția datelor” (RPD) înseamnă persoana desemnată de Comisie în temeiul articolului 43 din Regulamentul (UE) 2018/1725;
                     
                  
                        2.
                     
                     
                        „sarcinile RPD” înseamnă sarcinile RPD menționate la articolul 45 din Regulamentul (UE) 2018/1725, în special sarcinile de monitorizare, investigare, audit sau consultative ale RPD;
                     
                  
                        3.
                     
                     
                        „coordonator pentru protecția datelor” (CPD) înseamnă membrul de personal al Comisiei pe care o direcție generală sau un serviciu al Comisiei l-a numit pentru a acorda consultanță și asistență direcției generale sau serviciului în cauză în toate aspectele legate de protecția datelor cu caracter personal;
                     
                  
                        4.
                     
                     
                        „operator delegat” înseamnă șeful direcției generale, al serviciului sau al cabinetului, care efectuează o operațiune de prelucrare în numele Comisiei în vederea îndeplinirii misiuni direcției generale, a serviciului sau a cabinetului în cauză;
                     
                  
                        5.
                     
                     
                        „operator operațional” înseamnă membrul de personal din cadrul structurii de conducere de nivel mediu sau superior a Comisiei, desemnat de operatorul delegat pentru a asigura păstrarea evidențelor pentru operațiunea de prelucrare și pentru a servi drept punct principal de contact pentru persoanele vizate în legătură cu operațiunea de prelucrare în cauză;
                     
                  
                        6.
                     
                     
                        „acord intern” înseamnă un acord între două sau mai multe direcții generale sau servicii pentru a stabili responsabilitățile fiecăreia și pentru a coordona păstrarea evidențelor de prelucrare cu privire la o operațiune de prelucrare pe care acestea o efectuează în comun sau în cazul în care una sau mai multe direcții generale ori servicii efectuează o parte a operațiunii de prelucrare a operatorului delegat;
                     
                  
                        7.
                     
                     
                        „informator” înseamnă o persoană fizică ce aduce în atenția RPD o chestiune în care se pretinde că a avut loc o încălcare a dispozițiilor Regulamentului (UE) 2018/1725 sau care solicită ca RPD să investigheze aspecte și cazuri direct legate de sarcinile RPD, pe care persoana fizică în cauză le aduce la cunoștința RPD.
                     
                  
         CAPITOLUL 2
         
            RESPONSABILUL CU PROTECȚIA DATELOR ȘI COORDONATORUL PENTRU PROTECȚIA DATELOR
         
         
            Articolul 4
            Desemnare și funcție
            RPD este selectat din rândul personalului Comisiei pe baza calităților sale profesionale, inclusiv pe baza cunoașterii solide a serviciilor Comisiei, a structurii lor, precum și a normelor și a procedurilor administrative ale acestora.
         
         
            Articolul 5
            Sarcini și atribuții
            
               (1)   RPD contribuie la crearea unei culturi a protecției datelor cu caracter personal în cadrul Comisiei pe baza evaluării riscurilor și a asumării răspunderii.
            
            
               (2)   RPD monitorizează punerea în aplicare a Regulamentului (UE) 2018/1725 în cadrul Comisiei, printre altele, stabilind și efectuând anual un program de lucru privind inspecțiile și auditurile.
            
            
               (3)   RPD organizează și prezidează ședințele periodice ale CPD.
            
            
               (4)   RPD păstrează evidențele Comisiei privind activitățile de prelucrare într-un registru central și îl pune la dispoziția publicului.
               De asemenea, RPD ține un registru intern al Comisiei privind încălcarea securității datelor cu caracter personal în sensul articolului 3 alineatul (16) din Regulamentul (UE) 2018/1725.
            
            
               (5)   În vederea exercitării funcției sale, RPD cooperează cu RPD desemnați de celelalte instituții și organisme ale Uniunii.
            
            
               (6)   Se consideră că RPD este operatorul delegat în scopul deciziilor individuale referitoare la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725 în legătură cu operațiunile de prelucrare ale RPD.
            
         
         
            Articolul 6
            Competențe
            În vederea îndeplinirii sarcinilor RPD, acesta:
            
                        (a)
                     
                     
                        are acces, dacă este necesar pentru îndeplinirea sarcinilor sale, la datele care fac obiectul operațiunilor de prelucrare a datelor cu caracter personal și la toate birourile, instalațiile de prelucrare a datelor și suporturile de date;
                     
                  
                        (b)
                     
                     
                        poate solicita avize juridice din partea Serviciului Juridic al Comisiei;
                     
                  
                        (c)
                     
                     
                        în cazul unui conflict între RPD și operatorul delegat, operatorul operațional sau persoana împuternicită de operator privind interpretarea sau punerea în aplicare a Regulamentului (UE) 2018/1725, poate informa operatorul delegat competent și secretarul general;
                     
                  
                        (d)
                     
                     
                        poate atribui dosare direcțiilor generale sau serviciilor în cauză ale Comisiei în vederea monitorizării adecvate;
                     
                  
                        (e)
                     
                     
                        poate efectua investigații la cerere sau din propria inițiativă a RPD cu privire la aspecte și cazuri direct legate de sarcinile RPD în conformitate cu procedura descrisă la articolul 11;
                     
                  
                        (f)
                     
                     
                        atunci când formulează recomandări și oferă consiliere, poate:
                        
                                    (i)
                                 
                                 
                                    să solicite operatorului delegat sau persoanei împuternicite de operator să respecte o cerere a persoanei vizate pentru exercitarea drepturilor sale în temeiul Regulamentului (UE) 2018/1725;
                                 
                              
                                    (ii)
                                 
                                 
                                    să emită avertismente pentru operatorul delegat sau persoana împuternicită de operator atunci când o operațiune de prelucrare încalcă dispozițiile Regulamentului (UE) 2018/1725 și să le solicite acestora să asigure conformitatea operațiunilor de prelucrare, dacă este cazul, într-o manieră specificată și într-o perioadă specificată;
                                 
                              
                                    (iii)
                                 
                                 
                                    să solicite operatorului delegat sau persoanei împuternicite de operator să suspende fluxurile de date către un destinatar dintr-un stat membru, către o țară terță sau către o organizație internațională;
                                 
                              
                                    (iv)
                                 
                                 
                                    să solicite operatorului delegat sau persoanei împuternicite de operator să raporteze RPD, într-un termen stabilit, cu privire la monitorizarea recomandării sau a consilierii oferite de RPD;
                                 
                              
                  
                        (g)
                     
                     
                        poate aduce în atenția secretarului general orice nerespectare de către un operator delegat, un operator operațional sau o persoană împuternicită de operator a măsurilor adoptate în temeiul articolului 6 litera (f);
                     
                  
                        (h)
                     
                     
                        este responsabil pentru deciziile inițiale cu privire la cererile de acces la documentele deținute de biroul său în temeiul Regulamentului (CE) nr. 1049/2001 al Parlamentului European și al Consiliului (5).
                     
                  
         
            Articolul 7
            Coordonatorii pentru protecția datelor
            
               (1)   Operatorul delegat desemnează un CPD și, dacă este cazul, unul sau mai mulți coordonatori asistenți pentru protecția datelor în cadrul direcției generale sau al serviciului aflat în responsabilitatea sa. Doi sau mai mulți operatori delegați pot, din motive de coerență sau eficiență, să decidă numirea unui CPD comun sau a unui coordonator asistent pentru protecția datelor comun sau să beneficieze în comun de serviciile unui CPD sau ale unui coordonator asistent pentru protecția datelor deja numit în funcție. Operatorii delegați în cauză își înregistrează în scris acordul în acest sens.
            
            
               (2)   CPD desemnat de o direcție generală sau de un serviciu are, de asemenea, atribuții pentru cabinetul responsabil pentru direcția generală sau serviciul în cauză. CPD desemnat pentru Secretariatul General are atribuții pentru Cabinetul președintelui, precum și pentru cabinetele pentru care Secretariatul General este singurul serviciu de sprijin. În cazul în care un cabinet este responsabil pentru mai multe direcții generale sau servicii, operatorii delegați decid care dintre coordonatorii pentru protecția datelor respectivi urmează să aibă atribuții pentru cabinetul în cauză.
            
            
               (3)   CPD, personalul direcției generale relevante sau al serviciului relevant și cabinetul relevant sunt informați ori de câte ori este numit un nou CPD.
               Coordonatorii pentru protecția datelor nou-desemnați urmează formarea necesară pentru a dobândi competențele necesare pentru rolul de CPD în termen de șase luni de la desemnare. Un CPD care a deținut anterior o funcție de CPD în cadrul altei direcții generale sau al altui serviciu sau care a fost membru de personal al RPD în intervalul de doi ani anterior desemnării în calitate de CPD este scutit de această cerință de formare.
            
            
               (4)   Operatorii delegați adoptă măsuri adecvate pentru a asigura faptul că CPD este implicat în mod adecvat și în timp util în toate aspectele legate de protecția datelor din cadrul direcției lor generale sau al serviciului lor și că avizele emise de CPD sunt aduse imediat în atenția operatorului delegat la cererea CPD.
            
            
               (5)   Coordonatorii pentru protecția datelor sunt aleși pe baza cunoștințelor și a experienței lor cu privire la funcționarea direcției generale respective sau a serviciului respectiv, a motivației lor pentru ocuparea acestei funcții, a competențelor lor legate de protecția datelor, a înțelegerii de către aceștia a principiilor sistemelor de informații, precum și pe baza aptitudinilor lor de comunicare.
            
            
               (6)   Funcția CPD poate fi combinată cu alte funcții. Operatorul delegat asigură faptul că aceste funcții sunt compatibile cu funcția CPD.
            
            
               (7)   Funcția CPD face parte din fișa postului fiecărui membru al personalului numit în calitate de CPD. În raportul anual de evaluare se face trimitere la responsabilitățile și realizările acestora.
            
            
               (8)   CPD acționează în calitate de punct de contact între operatorul delegat, operatorul operațional și persoana împuternicită de operator și CPD.
            
            
               (9)   Coordonatorii pentru protecția datelor au dreptul de a obține orice informații din cadrul direcției lor generale sau al serviciului lor în măsura în care acestea sunt necesare pentru îndeplinirea sarcinilor CPD. Coordonatorii pentru protecția datelor au acces la date cu caracter personal numai dacă acest lucru este necesar pentru îndeplinirea sarcinilor lor.
            
            
               (10)   CPD păstrează evidențe și furnizează direcției generale, serviciului sau cabinetului statistici anonimizate cu privire la cererile adresate de persoanele vizate, specificând numerele cererilor și numărul de cereri respinse complet sau parțial. RPD precizează categoriile de cereri pentru care se păstrează statistici. RPD poate preciza ce alte detalii trebuie să fie furnizate.
               CPD păstrează statistici anonimizate ale încălcărilor securității datelor cu caracter personal gestionate de direcția generală, de serviciu sau de cabinet, specificând numărul total de încălcări ale securității datelor cu caracter personal, numărul de încălcări ale securității datelor cu caracter personal notificate către AEPD și numărul de încălcări ale securității datelor cu caracter personal comunicate persoanelor vizate.
            
            
               (11)   CPD sensibilizează cu privire la aspectele legate de protecția datelor din cadrul direcției sale general sau al serviciului său și acordă consultanță sau asistență operatorilor delegați și operatorilor operaționali în vederea îndeplinirii obligațiilor lor, în special în ceea ce privește:
               
                           (a)
                        
                        
                           punerea în aplicare a principiilor generale ale Regulamentului (UE) 2018/1725;
                        
                     
                           (b)
                        
                        
                           documentarea operațiunilor de prelucrare;
                        
                     
                           (c)
                        
                        
                           prezentarea către RPD a evidențelor operațiunilor de prelucrare ale operatorilor delegați, în temeiul articolului 10;
                        
                     
                           (d)
                        
                        
                           elaborarea declarațiilor de confidențialitate.
                        
                     
            
               (12)   Coordonatorii pentru protecția datelor participă la ședințe și, dacă este necesar, la grupurile de lucru ale coordonatorilor pentru protecția datelor.
            
            
               (13)   RPD emite orientări suplimentare cu privire la responsabilitățile și funcțiile CPD.
            
         
         CAPITOLUL 3
         
            OPERATORII
         
         
            Articolul 8
            Operatorii delegați și operatorii operaționali
            
               (1)   Operatorii delegați acționează în numele Comisiei în calitate de operatori în scopul aplicării Regulamentului (UE) 2018/1725.
            
            
               (2)   Operatorii delegați și operatorii operaționali:
               
                           (a)
                        
                        
                           pot să consulte RPD, prin intermediul CPD, cu privire la conformitatea operațiunilor de prelucrare, în special în cazul în care există îndoieli în ceea ce privește conformitatea;
                        
                     
                           (b)
                        
                        
                           raportează către RPD, prin intermediul CPD, cu privire la soluționarea oricărei cereri primite de la o persoană vizată pentru exercitarea drepturilor sale.
                        
                     
            
               (3)   Operatorul delegat:
               
                           (a)
                        
                        
                           desemnează un operator operațional pentru a acorda asistență operatorului delegat în ceea ce privește asigurarea respectării Regulamentului (UE) 2018/1725, în special referitor la persoanele vizate;
                        
                     
                           (b)
                        
                        
                           asigură faptul că există acorduri interne cu alte direcții generale sau servicii, în cazul în care operatorul delegat efectuează operațiuni de prelucrare în comun cu aceste direcții generale sau servicii sau în cazul în care aceste direcții generale sau servicii efectuează o parte a operațiunii de prelucrare a operatorului delegat.
                        
                     Acordurile menționate la primul paragraf litera (b) stabilesc responsabilitățile acestora pentru îndeplinirea obligațiilor lor privind protecția datelor. Acestea vor include, în special, identificarea operatorului delegat, stabilind mijloacele și scopurile operațiunii de prelucrare, precum și operatorul operațional pentru operațiunea de prelucrare și, dacă este cazul, persoana și/sau entitățile care asistă operatorul operațional, printre altele, cu informații în cazul încălcărilor securității datelor cu caracter personal sau pentru a permite respectarea drepturilor persoanelor vizate.
            
            
               (4)   Operatorul operațional:
               
                           (a)
                        
                        
                           primește și prelucrează toate cererile formulate de persoanele vizate;
                        
                     
                           (b)
                        
                        
                           notifică Autoritatea Europeană pentru Protecția Datelor (AEPD) în cazul unor încălcări ale securității datelor cu caracter personal;
                        
                     
                           (c)
                        
                        
                           informează CPD și RPD în cazul unor încălcări ale securității datelor cu caracter personal și notifică persoana vizată, dacă este cazul;
                        
                     
                           (d)
                        
                        
                           asigură faptul că CPD este informat permanent cu privire la toate aspectele legate de protecția datelor, în special la cererile formulate de persoanele vizate;
                        
                     
                           (e)
                        
                        
                           îndeplinește orice altă sarcină inclusă în domeniul de aplicare al prezentei decizii la cererea operatorului delegat.
                        
                     
         
         CAPITOLUL 4
         
            ALTE OBLIGAȚII ȘI PROCEDURI
         
         
            Articolul 9
            Informare
            Operatorul delegat, în cooperare cu CPD, informează RPD atunci când acesta consultă sau informează AEPD în conformitate cu Regulamentul (UE) 2018/1725 și, în special, în temeiul articolelor 40 și 41 din acest regulament. În plus, operatorul delegat, operatorul operațional sau CPD informează RPD cu privire la orice alte interacțiuni directe cu AEPD în legătură cu punerea în aplicare a Regulamentului (UE) 2018/1725.
         
         
            Articolul 10
            Registru
            
               (1)   RPD asigură faptul că registrul operațiunilor de prelucrare al Comisiei poate fi accesat prin intermediul site-ului web al RPD din rețeaua intranet a Comisiei și prin intermediul site-ului web al RPD de pe site-ul web Europa.
            
            
               (2)   Operatorii delegați notifică responsabilului cu protecția datelor evidențele operațiunilor lor de prelucrare, prin intermediul coordonatorului lor pentru protecția datelor, utilizând sistemul online de notificare al Comisiei, care poate fi accesat prin intermediul site-ului web al RPD din rețeaua intranet a Comisiei.
            
         
         
            Articolul 11
            Procedura de investigație
            
               (1)   Solicitările de investigații menționate la articolul 6 litera (e) sunt adresate în scris RPD. În termen de 15 zile de la primirea acestora, RPD trimite persoanei care solicită investigația o confirmare de primire și verifică dacă cererea trebuie tratată confidențial pentru a asigura confidențialitatea care guvernează solicitarea, cu excepția cazului în care persoanele vizate își dau consimțământul neechivoc pentru a trata solicitarea în alt mod. În cazul în care este evidentă exercitarea abuzivă a dreptului de a solicita o investigație, RPD nu este obligat să răspundă solicitantului.
            
            
               (2)   RPD solicită o declarație scrisă privind aspectul în cauză din partea operatorului delegat responsabil pentru operațiunea de prelucrare a datelor respectivă. Operatorul delegat prezintă răspunsul său către RPD în termen de 15 zile lucrătoare. RPD poate solicita informații suplimentare de la operatorul delegat, de la persoana împuternicită de operator sau de la alte părți în termen de 15 zile lucrătoare.
            
            
               (3)   RPD răspunde persoanei care a solicitat investigația în termen maxim de trei luni de la primirea cererii. Această perioadă poate fi suspendată până când RPD obține toate informațiile necesare pe care le-a solicitat.
            
            
               (4)   Nu se va aduce atingere niciunei persoane ca urmare a unui aspect adus în atenția RPD prin care se acuză o încălcare a prevederilor Regulamentului (UE) 2018/1725.
            
         
         
            Articolul 12
            Administrare și gestiune
            
               (1)   În scopuri administrative, RPD este atașat Secretariatului General. În acest context, RPD participă la pregătirea planului anual de gestiune și a proiectului preliminar de buget al Secretariatului General.
            
            
               (2)   RPD este evaluatorul pentru personalul Biroului pentru protecția datelor. Secretarul general adjunct îndeplinește funcția de validator. RPD participă la coordonarea gestionării Secretariatului General, după caz.
            
         
         CAPITOLUL 5
         
            RESTRICȚIONAREA DREPTURILOR PERSOANELOR VIZATE
         
         
            Articolul 13
            Excepții și restricții aplicabile
            
               (1)   Atunci când își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, Comisia analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul respectiv.
            
            
               (2)   Sub rezerva articolelor 14-18 din prezenta decizie, Comisia poate restricționa aplicarea articolelor 14-17, 19, 20 și 35 din Regulamentul (UE) 2018/1725, precum și a principiului transparenței prevăzut la articolul 4 alineatul (1) litera (a) din regulamentul respectiv în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19 și 20 din Regulamentul (UE) 2018/1725, în cazul în care exercitarea acestor drepturi și obligații ar periclita scopul sarcinilor RPD, printre altele prin dezvăluirea instrumentelor și a metodelor sale de investigare sau de auditare sau ar afecta în mod negativ drepturile și libertățile altor persoane vizate în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h).
            
            
               (3)   Sub rezerva articolelor 14-18 din prezenta decizie, Comisia poate restricționa drepturile și obligațiile prevăzute la alineatul (2) din prezentul articol, în legătură cu datele cu caracter personal obținute de RPD de la serviciile Comisiei sau de la alte instituții și organisme ale Uniunii. Comisia poate proceda astfel în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de respectivele servicii ale Comisiei sau instituții sau organisme ale Uniunii pe baza altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul respectiv ori în conformitate cu Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului (6) sau cu Regulamentul (UE) 2017/1939 al Consiliului (7).
               Înainte de a aplica restricții în situațiile menționate la primul paragraf, Comisia consultă instituțiile sau organismele relevante ale Uniunii, cu excepția cazului în care are certitudinea că aplicarea unei restricții este prevăzută de unul dintre actele menționate la paragraful respectiv.
            
            
               (4)   Orice restricționare a aplicării drepturilor și obligațiilor menționată la alineatul (2) al prezentului articol trebuie să fie necesară și proporțională, ținând seama de riscurile la adresa drepturilor și libertăților persoanelor vizate.
            
         
         
            Articolul 14
            Furnizarea de informații persoanelor vizate
            
               (1)   Comisia publică pe site-ul său web anunțuri privind protecția datelor prin care informează toate persoanele vizate în legătură cu sarcinile RPD care implică prelucrarea datelor lor cu caracter personal.
            
            
               (2)   Comisia informează în mod individual, într-un format adecvat, orice persoană fizică pe care o consideră ca persoană vizată de sarcinile RPD sau ca informator.
            
            
               (3)   În cazul în care Comisia restricționează, integral sau parțial, furnizarea informațiilor către persoanele vizate menționate la alineatul (2), aceasta consemnează și înregistrează motivele restricției în conformitate cu articolul 17.
            
         
         
            Articolul 15
            Dreptul de acces al persoanelor vizate, dreptul la ștergerea datelor și dreptul la restricționarea prelucrării datelor
            
               (1)   În cazul în care restricționează, integral sau parțial, dreptul de acces la datele personale al persoanelor vizate, dreptul la ștergerea datelor sau dreptul la restricționarea prelucrării menționate la articolele 17, 19 și, respectiv, 20 din Regulamentul (UE) 2018/1725, Comisia informează persoana vizată, în răspunsul său la cererea acesteia privind accesul, ștergerea sau restricționarea prelucrării, privire la restricția aplicată și la principalele motive ale acesteia, precum și cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.
            
            
               (2)   Furnizarea de informații cu privire la motivele restricției menționată la alineatul (1) poate fi amânată, omisă sau refuzată atât timp cât furnizarea acestor informații ar submina scopul restricției.
            
            
               (3)   Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 17.
            
            
               (4)   În cazul în care dreptul de acces este restricționat integral sau parțial, persoana vizată este îndreptățită să își exercite dreptul de acces prin intermediul AEPD, în conformitate cu articolul 25 alineatele (6), (7) și (8) din Regulamentul (UE) 2018/1725.
            
         
         
            Articolul 16
            Informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal
            În cazul în care restricționează informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal, astfel cum se prevede la articolul 35 din Regulamentul (UE) 2018/1725, Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 17 din prezenta decizie.
         
         
            Articolul 17
            Consemnarea și înregistrarea restricțiilor
            
               (1)   Comisia consemnează motivele oricărei restricții aplicate în temeiul prezentei decizii, inclusiv o evaluare de la caz la caz a necesității și a proporționalității restricției, ținând seama de elementele relevante prevăzute la articolul 25 alineatul (2) din Regulamentul (UE) 2018/1725.
               În acest scop, consemnarea precizează modul în care exercitarea dreptului ar periclita scopul sarcinilor RPD prevăzute în prezenta decizie sau a restricțiilor aplicate în temeiul articolului 13 alineatul (2) sau (3) ori ar afecta în mod negativ drepturile și libertățile altor persoane vizate.
            
            
               (2)   Evidențele și, dacă este cazul, documentele care conțin elementele de fapt și de drept aferente se înregistrează. La cerere, ele sunt puse la dispoziția AEPD.
            
         
         
            Articolul 18
            Durata restricțiilor
            
               (1)   Restricțiile menționate la articolele 14, 15 și 16 continuă să se aplice atât timp cât motivele care le justifică rămân aplicabile.
            
            
               (2)   În cazul în care motivele unei restricții menționate la articolul 14 sau 16 nu se mai aplică, Comisia ridică restricția și informează persoana vizată cu privire la motivele restricției. În același timp, Comisia informează persoana vizată cu privire la posibilitatea de a depune o plângere la AEPD în orice moment sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.
            
            
               (3)   Comisia examinează aplicarea restricțiilor menționate la articolele 14 și 16 o dată la șase luni de la adoptarea acestora și, în orice caz, la încheierea activității relevante a RPD. Ulterior, Comisia monitorizează anual dacă este necesar să se mențină vreo restricție sau amânare.
            
         
         
            Articolul 19
            Revizuirea de către responsabilul cu protecția datelor
            
               (1)   În cazul în care alte servicii ale Comisiei concluzionează că drepturile unei persoane vizate ar trebui să fie restricționate în temeiul prezentei decizii, acestea informează RPD. De asemenea, acestea acordă RPD acces la evidențe și la orice documente care conțin elemente de fapt și de drept aferente.
            
            
               (2)   DPO îi poate solicita operatorului delegat al serviciului în cauză al Comisiei să analizeze aplicarea restricțiilor. Operatorul delegat sau serviciul în cauză al Comisiei informează RPD în scris cu privire la rezultatul analizei solicitate.
            
         
         CAPITOLUL 6
         
            DISPOZIȚII FINALE
         
         
            Articolul 20
            Abrogare
            Decizia 2008/597/CE se abrogă.
         
         
            Articolul 21
            Intrare în vigoare
            Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.
         
         
            Adoptată la Bruxelles, 3 iulie 2020.
            
               
                  Pentru Comisie
               
               
                  Președintele
               
               Ursula VON DER LEYEN
            
         
         
            (1)  JO L 295, 21.11.2018, p. 39.
         
            (2)  SEC(2019)900/2.
         
            (3)  Decizia 2008/597/CE a Comisiei din 3 iunie 2008 de adoptare a dispozițiilor de punere în aplicare privind responsabilul cu protecția datelor în temeiul articolului 24 alineatul (8) din Regulamentul (CE) nr. 45/2001 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date (JO L 193, 22.7.2008, p. 7).
         
            (4)  Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului din 18 decembrie 2000 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date (JO L 8, 12.1.2001, p. 1).
         
            (5)  Regulamentul (CE) nr. 1049/2001 al Parlamentului European și al Consiliului din 30 mai 2001 privind accesul public la documentele Parlamentului European, ale Consiliului și ale Comisiei (JO L 145, 31.5.2001, p. 43).
         
            (6)  Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului din 11 mai 2016 privind Agenția Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii (Europol) și de înlocuire și de abrogare a Deciziilor 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI și 2009/968/JAI ale Consiliului (JO L 135, 24.5.2016, p. 53).
         
            (7)  Regulamentul (UE) 2017/1939 al Consiliului din 12 octombrie 2017 de punere în aplicare a unei forme de cooperare consolidată în ceea ce privește instituirea Parchetului European („EPPO”) (JO L 283, 31.10.2017, p. 1).