CELEX: 32020Q1113(01)
Language: bg
Date: 2020-03-26 00:00:00
Title: Решение на управителния съвет на Съвместно предприятие „Биотехнологични производства“ от 26 март 2020 година за определяне на вътрешни правила относно ограниченията на определени права на субектите на данни във връзка с обработването на лични данни в рамките на функционирането на СП „БП“

13.11.2020   
               
               
                  BG
               
               
                  Официален вестник на Европейския съюз
               
               
                  L 379/96
               
            
         РЕШЕНИЕ НА УПРАВИТЕЛНИЯ СЪВЕТ НА СЪВМЕСТНО ПРЕДПРИЯТИЕ БИОТЕХНОЛОГИЧНИ ПРОИЗВОДСТВА
         от 26 март 2020 година
         за определяне на вътрешни правила относно ограниченията на определени права на субектите на данни във връзка с обработването на лични данни в рамките на функционирането на СП „БП“
         УПРАВИТЕЛНИЯТ СЪВЕТ НА СЪВМЕСТНО ПРЕДПРИЯТИЕ „БИОТЕХНОЛОГИЧНИ ПРОИЗВОДСТВА“ (наричано по-долу „СП „БП“),
         като взе предвид Договора за функционирането на Европейския съюз,
         като взе предвид Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 г. относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (1), и по-специално член 25 от него,
         като взе предвид Регламент (ЕС) № 560/2014 на Съвета от 6 май 2014 г. за създаване на съвместно предприятие „Биотехнологични производства“ (2), и по-специално член 7, параграф 3, буква т) от него,
         като взе предвид Насоките на Европейския надзорен орган по защита на данните относно член 25 от новия регламент и вътрешните правила,
         след като се консултира с ЕНОЗД в съответствие с член 41, параграф 2 от Регламент (ЕС) 2018/1725,
         като има предвид, че:
         
                     1)
                  
                  
                     СП „БП“ извършва своите дейности в съответствие с Регламент (ЕС) № 560/2014.
                  
               
                     2)
                  
                  
                     В съответствие с член 25, параграф 1 от Регламент (ЕС) 2018/1725 ограниченията за прилагането на членове 14—22, 35 и 36, както и на член 4 от този регламент, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—22, следва да се основават на вътрешни правила, приети от СП „БП“, в случаите, когато ограниченията не се основават на правни актове, приети въз основа на Договорите.
                  
               
                     3)
                  
                  
                     Тези вътрешни правила, включително техните разпоредби относно оценката на необходимостта и пропорционалността на дадено ограничение, не следва да се прилагат, когато в правен акт, приет въз основа на Договорите, е предвидено ограничение на правата на субектите на данни.
                  
               
                     4)
                  
                  
                     Когато СП „БП“ изпълнява своите задължения по отношение на правата на субектите на данни съгласно Регламент (ЕС) 2018/1725, то взема предвид дали се прилага някое от изключенията, предвидени в същия регламент.
                  
               
                     5)
                  
                  
                     В рамките на административното си функциониране СП „БП“ може да провежда административни проучвания, дисциплинарни производства, да извършва предварителни действия във връзка със случаи на потенциални нередности, докладвани на Европейската служба за борба с измамите (OLAF), да обработва сигнали за нередности, да провежда (официални и неофициални) процедури, свързани с тормоз, да обработва вътрешни и външни жалби, да извършва вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, както и вътрешни разследвания в областта на сигурността (на ИТ).
                  
               
                     6)
                  
                  
                     СП „БП“ обработва няколко категории лични данни, включително потвърдени данни („обективни“ данни като идентификационни данни, данни за връзка, професионални данни, административна информация, данни, получени от специфични източници, електронни съобщения и данни за трафик) и непотвърдени данни („субективни“ данни, свързани с дадения случай, като например разсъждения, данни относно поведението, оценки, данни относно работата и подхода, както и данни, свързани или предоставени във връзка с предмета на процедурата или дейността) (3).
                  
               
                     7)
                  
                  
                     СП „БП“, представлявано от своя изпълнителен директор, действа като администратор на данни, независимо от по-нататъшното делегиране на ролята на администратор в рамките на СП „БП“, за да се отразят оперативните отговорности за специфични операции по обработване на лични данни.
                  
               
                     8)
                  
                  
                     Личните данни се съхраняват по сигурен начин в електронна среда или на хартия с оглед на предотвратяването на незаконния достъп до тях или предаването на данни на лица, които не е необходимо да се запознават с тях. Обработваните лични данни се съхраняват за срок, не по-дълъг от необходимия за целите, за които се обработват данните, за периода, посочен в известията за защита на данните, декларациите за поверителност или регистрите на СП „БП“.
                  
               
                     9)
                  
                  
                     Вътрешните правила следва да се прилагат за всички операции по обработване, извършвани от СП „БП“ за целите на административни проучвания, дисциплинарни производства, предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF, процедури във връзка със сигнали за нередности, (официални и неофициални) процедури, свързани със случаи на тормоз, обработване на вътрешни и външни жалби, вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, разследвания в областта на сигурността (на ИТ), извършвани вътрешно или с външно участие (напр. CERT-EU).
                  
               
                     10)
                  
                  
                     Те следва да се прилагат към операции по обработване, извършвани преди започване на горепосочените процедури, по време на тези процедури и по време на наблюдението на последващите действия във връзка с резултата от тях. Те следва да включват съдействие и сътрудничество, предоставяни от СП „БП“ на националните органи и международните организации извън рамките на административните разследвания на съвместното предприятие.
                  
               
                     11)
                  
                  
                     В случаите, в които се прилагат тези вътрешни правила, СП „БП“ трябва да даде обосновка на причините, поради които ограниченията са строго необходими и пропорционални в демократично общество, както и да гарантира, че са съобразени с характера на основните права и свободи.
                  
               
                     12)
                  
                  
                     В тази рамка СП „БП“ е задължено да зачита във възможно най-голяма степен основните права на субектите на данни при изпълнението на горепосочените процедури, и по-специално тези, които са свързани с правото на предоставяне на информация, достъп и коригиране, право на изтриване, ограничаване на обработването, право на съобщаване на субекта на данните за нарушение на сигурността на личните данни или на поверителността на съобщенията, заложени в Регламент (ЕС) 2018/1725.
                  
               
                     13)
                  
                  
                     Същевременно СП „БП“ може да има задължението да ограничава информацията до правата на субекта на данни или на други субекти на данни, за да защити по-специално собствените си разследвания, разследванията и производствата на други публични органи, както и правата на други лица, свързани с неговите разследвания или други процедури.
                  
               
                     14)
                  
                  
                     Следователно СП „БП“ може да ограничава информацията с цел да защити разследването и основните права и свободи на други субекти на данни.
                  
               
                     15)
                  
                  
                     СП „БП“ следва периодично да наблюдава дали се прилагат условията, обосноваващи ограничаването, и да го премахва, когато те вече не се прилагат.
                  
               
                     16)
                  
                  
                     Администраторът следва да уведоми длъжностното лице по защита на данните в момента на отлагане и по време на преразглеждането,
                  
               ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
         
            Член 1
            Предмет и обхват
            
               1.   С настоящото решение се определят правила относно условията, при които СП „БП“ в рамката на процедурите си, определена в параграф 2, може да ограничи прилагането на правата, залегнали в членове 14—21, член 35 и член 36, както и в член 4 от него, съгласно член 25 от Регламент (ЕС) 2018/1725.
            
            
               2.   В рамките на административното функциониране на СП „БП“ настоящото решение се прилага за операциите по обработване на лични данни, извършвани от програмната служба за целите на административни проучвания, дисциплинарни производства, предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF, обработване на сигнали за нередности, (официални и неофициални) процедури, свързани с тормоз, обработване на вътрешни и външни жалби, провеждане на вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, както и разследвания в областта на сигурността (на ИТ), извършвани вътрешно или с външно участие (напр. CERT-EU).
            
            
               3.   Съответните категории данни са потвърдени данни („обективни“ данни, например данни за идентификация, данни за връзка, професионални данни, административна информация, данни, получени от специфични източници, електронни съобщения и данни за трафик) и/или непотвърдени данни („субективни“ данни, свързани със случая, като например разсъждения, данни относно поведението, оценки, данни относно работата и подхода, както и данни, свързани или предоставени във връзка с предмета на процедурата или дейността).
            
            
               4.   Когато СП „БП“ изпълнява своите задължения по отношение на правата на субектите на данни съгласно Регламент (ЕС) 2018/1725, то взема предвид дали се прилага някое от изключенията, предвидени в същия регламент.
            
            
               5.   При спазване на условията, определени в настоящото решение, могат да се прилагат ограничения към следните права: предоставяне на информация на субектите на данни, право на достъп, коригиране, изтриване, ограничаване на обработването, съобщаване на субекта на данните за нарушение на сигурността на личните данни или поверителността на съобщенията.
            
         
         
            Член 2
            Определяне на администратора
            Администраторът на операциите по обработване е СП „БП“, което се представлява от изпълнителния си директор, който може да делегира функциите на администратор. Субектите на данни се информират за делегирания администратор под формата на известия или регистри за защита на данните, публикувани на уебсайта и/или в интранета на СП „БП“.
         
         
            Член 3
            Определяне на предпазните мерки
            
               1.   СП „БП“ въвежда следните предпазни мерки, насочени към предотвратяване на злоупотреби или незаконен достъп или предаване на лични данни (4):
               
                           а)
                        
                        
                           документите на хартиен носител се съхраняват в обезопасени шкафове и са достъпни само за упълномощени служители;
                        
                     
                           б)
                        
                        
                           всички електронни данни се съхраняват в защитено ИТ приложение в съответствие със стандартите за сигурност на СП „БП“, както и в специфични електронни папки, достъпни само за упълномощени служители. Подходящите нива на достъп се предоставят на индивидуална основа;
                        
                     
                           в)
                        
                        
                           базата данни е защитена с парола в единна система за идентификация и е свързана автоматично с потребителското име и паролата на потребителя. Замяната на потребители е строго забранена. Електронните регистри се съхраняват по надежден начин, за да се запази поверителността и неприкосновеността на съдържащите се в тях данни;
                        
                     
                           г)
                        
                        
                           всички лица с достъп до данните са обвързани със задължение за спазване на поверителност.
                        
                     
            
               2.   Срокът на запазване на личните данни, посочен в член 1, параграф 3, не е по-дълъг от необходимото и подходящото за целите, за които се обработват данните. При всички случаи той не е по-дълъг от срока на запазване, посочен в известията за защита на данните, декларациите за поверителност или регистрите, посочени в член 6.
            
            
               3.   В случаите, когато СП „БП“ обмисля да наложи ограничение, рисковете за правата и свободите на субектите на данни се оценяват по-специално спрямо риска за правата и свободите на други субекти на данни и риска от анулиране на ефекта от разследванията или процедурите на СП „БП“, например чрез унищожаване на доказателства. Рисковете за правата и свободите на субекта на данни са свързани предимно, но не само, с рискове за репутацията и рискове за правото на защита и правото на изслушване.
            
         
         
            Член 4
            Ограничения
            
               1.   Всяко ограничение се прилага от СП „БП“ единствено с цел да се гарантират:
               
                           а)
                        
                        
                           националната сигурност, обществената сигурност или отбраната на държавите членки;
                        
                     
                           б)
                        
                        
                           предотвратяването, разследването, разкриването и наказателното преследване на престъпления или изпълнението на наказания, включително защитата срещу и предотвратяването на заплахи за обществената сигурност;
                        
                     
                           в)
                        
                        
                           други важни цели от общ обществен интерес на Съюза или на държава членка, по-специално целите на общата външна политика и политиката на сигурност на Съюза или важен икономически или финансов интерес на Съюза или на държава членка, включително парични, бюджетни и данъчни въпроси, общественото здраве и социалната сигурност;
                        
                     
                           г)
                        
                        
                           вътрешната сигурност на институциите и органите на Съюза, включително техните електронни съобщителни мрежи;
                        
                     
                           д)
                        
                        
                           предотвратяването, разследването, разкриването и наказателното преследване на нарушения на етичните кодекси при регулираните професии;
                        
                     
                           е)
                        
                        
                           функция по наблюдението, проверката или регламентирането, свързана, макар и епизодично, с упражняването на официални правомощия в случаите, посочени в букви а) до в);
                        
                     
                           ж)
                        
                        
                           защитата на субекта на данните или на правата и свободите на други лица;
                        
                     
                           з)
                        
                        
                           изпълнението по гражданскоправни претенции.
                        
                     
            
               2.   Като специфично приложение на целите, описани в параграф 1 по-горе, СП „БП“ може да прилага ограничения при следните обстоятелства:
               
                           а)
                        
                        
                           във връзка с лични данни, обменяни със служби на Комисията или други институции, органи, агенции и служби на Съюза;
                           
                                       —
                                    
                                    
                                       когато такава служба на Комисията, институция, орган или агенция на Съюза има право да ограничава упражняването на изброените права въз основа на други актове, предвидени в член 25 от Регламент (ЕС) 2018/1725 или в съответствие с глава IX от същия регламент, или с учредителните актове на други институции, органи, агенции и служби на Съюза;
                                    
                                 
                                       —
                                    
                                    
                                       когато целта на подобно ограничение от тази служба на Комисията, институция, орган или агенция на Съюза би била застрашена, ако СП „БП“ не приложи еквивалентно ограничение по отношение на едни и същи лични данни;
                                    
                                 
                     
                           б)
                        
                        
                           във връзка с личните данни, обменяни с компетентните органи на държавите членки;
                           
                                       —
                                    
                                    
                                       когато такива компетентни органи на държавите членки имат право да ограничават упражняването на изброените права въз основа на актове, посочени в член 23 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (5), или съгласно национални мерки за транспониране на член 13, параграф 3, член 15, параграф 3 или член 16, параграф 3 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета (6);
                                    
                                 
                                       —
                                    
                                    
                                       когато целта на подобно ограничение от този компетентен орган би била застрашена, ако СП „БП“ не приложи еквивалентно ограничение по отношение на едни и същи лични данни;
                                    
                                 
                     
                           в)
                        
                        
                           във връзка с лични данни, обменяни с трети държави или международни организации, когато има ясни доказателства, че има вероятност упражняването на тези права и задължения да застраши сътрудничеството на СП „БП“ с трети държави или международни организации при изпълнението на неговите задачи.
                        
                     Преди да наложи ограниченията в обстоятелствата, посочени в букви а) и б) от първа алинея, СП „БП“ се консултира със съответните служби на Комисията, институции, органи, агенции, служби на Съюза или компетентните органи на държавите членки, освен ако за СП „БП“ не е ясно, че налагането на ограничение е предвидено в някой от актовете, посочени в тези букви.
            
         
         
            Член 5
            Ограничения на правата на субектите на данни
            
               1.   В надлежно обосновани случаи и при условията, предвидени в настоящото решение, ако е необходимо и пропорционално, администраторът може да ограничава следните права в контекста на операциите по обработване, изброени в параграф 2 по-долу:
               
                           а)
                        
                        
                           правото на информация;
                        
                     
                           б)
                        
                        
                           правото на достъп;
                        
                     
                           в)
                        
                        
                           правото на коригиране, изтриване и ограничаване на обработването;
                        
                     
                           г)
                        
                        
                           правото на съобщаване на субекта на данните за нарушение на сигурността на личните данни;
                        
                     
                           д)
                        
                        
                           правото на поверителност на електронните съобщения.
                        
                     
            
               2.   В съответствие с член 25, параграф 2, буква а) от Регламент (ЕС) 2018/1725, при надлежно обосновани случаи и при условията, посочени в настоящото решение, администраторът може да прилага ограничения в контекста на следните операции по обработване:
               
                           а)
                        
                        
                           провеждане на административни проверки и дисциплинарни производства;
                        
                     
                           б)
                        
                        
                           предварителни дейности, свързани със случаи на потенциални нередности, докладвани на OLAF;
                        
                     
                           в)
                        
                        
                           процедури във връзка със сигнали за нередности;
                        
                     
                           г)
                        
                        
                           (официални и неофициални) процедури, свързани със случаи на тормоз (7);
                        
                     
                           д)
                        
                        
                           обработване на вътрешни и външни жалби;
                        
                     
                           е)
                        
                        
                           вътрешни одити;
                        
                     
                           ж)
                        
                        
                           разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725;
                        
                     
                           з)
                        
                        
                           разследвания на сигурността (на ИТ), провеждани на вътрешно ниво или с участието на външни служители (напр. CERT-EU);
                        
                     
                           и)
                        
                        
                           в рамките на управлението на безвъзмездните средства или на процедурата за възлагане на обществена поръчка след крайната дата за представяне на покани за представяне на предложения или след подаване на оферти (8).
                        
                     Ограничението продължава да се прилага, докато причините за него са валидни.
            
            
               3.   Когато СП „БП“ ограничава изцяло или частично прилагането на правата по параграф 1 по-горе, то предприема стъпките, определени в членове 6 и 7 от настоящото решение.
            
            
               4.   Когато субектите на данни поискат достъп до личните си данни, обработвани в контекста на един или повече конкретни случаи или за конкретна операция по обработване, в съответствие с член 17 от Регламент (ЕС) 2018/1725 СП „БП“ ограничава оценката си на искането единствено до тези лични данни.
            
         
         
            Член 6
            Необходимост и пропорционалност на ограниченията
            
               1.   Всяко от ограниченията, изброени в член 5, е необходимо и пропорционално, като се имат предвид рисковете за правата и свободите на субектите на данни, и е съобразено със същността на основните права и свободи в демократичното общество.
            
            
               2.   Ако се обмисля налагане на ограничение, се извършва проверка на необходимостта и пропорционалността въз основа на настоящите правила. Проверката се извършва и в рамките на периодичния преглед след оценка на това дали фактическите и правните причини за ограничение все още са валидни. Ограничението се документира чрез записка за вътрешна оценка за целите на отчетността за всеки отделен случай.
            
            
               3.   Ограниченията са временни и се отменят веднага след като обосноваващите ги обстоятелства вече не са приложими. По-специално, когато се счита, че с упражняването на ограниченото право вече не би се отменил ефектът на наложеното ограничение или то не би имало неблагоприятно въздействие върху правата или свободите на други субекти на данни.
               СП „БП“ преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, и при приключване на съответната проверка, процедура или разследване. След това на всеки шест месеца администраторът осъществява наблюдение върху необходимостта от запазване на всяко едно ограничение.
            
            
               4.   Когато СП „БП“ прилага изцяло или частично ограниченията, посочени в член 5 от настоящото решение, то записва причините за ограничението, правното основание в съответствие с параграф 1 по-горе, включително и оценка на необходимостта и пропорционалността на ограничението.
               Този документ и, ако е приложимо, документите, съдържащи фактологичните и правните елементи, на които се основава той, се вписват в регистъра. При поискване те се предоставят на Европейския надзорен орган по защита на данните.
            
         
         
            Член 7
            Задължение за информиране
            
               1.   В известията за защита на данните, декларациите за поверителност или регистрите по смисъла на член 31 от Регламент (ЕС) 2018/1725, публикувани на неговия уебсайт и/или в интранет, от които субектите на данни получават информация за своите права в рамките на дадена процедура, СП „БП“ включва информация, свързана с потенциалното ограничаване на тези права. Информацията обхваща правата, които може да бъдат ограничени, причините и потенциалния срок.
               Без да се засягат разпоредбите на член 6, параграф 4, СП „БП“ също така уведомява без ненужно забавяне и в писмена форма, ако е целесъобразно, индивидуално всички субекти на данни, считани за лица, заинтересовани от специфичната операция по обработване, за техните права във връзка с настоящи или бъдещи ограничения.
            
            
               2.   Когато ограничава изцяло или частично правата, изложени в член 5, СП „БП“ информира засегнатия субект на данни за наложеното ограничение и за основните причини за него, както и за възможността за подаване на жалба до Европейския надзорен орган по защита на данните или за търсенето на защита по съдебен ред пред Съда на Европейския съюз;
               Предоставянето на информацията, посочена в параграф 2 по-горе, може да бъде отложено, пропуснато или отказано, ако предоставянето би премахнало ефекта от ограничението в съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725.
            
         
         
            Член 8
            Преглед от длъжностното лице по защита на данните
            
               1.   СП „БП“ информира своевременно длъжностното лице по защита на данните („ДЛЗД“) на СП „БП“ винаги когато администраторът ограничава прилагането на правата на субекти на данни или удължава ограничението в съответствие с настоящото решение. Администраторът предоставя на ДЛЗД достъп до регистъра, съдържащ оценката на необходимостта и пропорционалността на ограничението, и документира в регистъра датата, на която е уведомил ДЛЗД.
            
            
               2.   ДЛЗД може да изиска от администратора в писмен вид да преразгледа прилагането на ограниченията. Администраторът писмено уведомява ДЛЗД за резултата от поисканото преразглеждане.
            
            
               3.   ДЛЗД участва в цялата процедура. Администраторът уведомява ДЛЗД, когато ограничението бъде отменено.
            
         
         
            Член 9
            Влизане в сила
            Настоящото решение влиза в сила на двадесетия ден след деня на публикуването му в Официален вестник на Европейския съюз.
            
         
         
            Съставено в Брюксел на 26 март 2020 година.
            
               
                  За управителния съвет на СП „БП“
               
               Mat QUAEDVLIEG
               
                  Председател
               
            
         
         
            (1)  ОВ L 295, 21.11.2018 г., стр. 39.
         
            (2)  ОВ L 169, 7.6.2014 г., стр. 130.
         
            (3)  В случаи на съвместни администратори данните се обработват в съответствие със средствата и целите, установени в съответното споразумение между съвместните администратори, както е определено в член 28 от Регламент (ЕС) 2018/1725.
         
            (4)  Този списък не е изчерпателен.
         
            (5)  Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (OВ L 119, 4.5.2016 г., стр. 1).
         
            (6)  Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (OВ L 119, 4.5.2016 г., стр. 89).
         
            (7)  Тази операция по обработване не се прилага по отношение на член 5, параграф 1, буква г).
         
            (8)  Тази операция по обработване се прилага само за член 5, параграф 1, буква в).