CELEX: 32020Q1204(01)
Language: hr
Date: 2020-05-06 00:00:00
Title: Odluka Upravnog odbora Europskog centra za razvoj strukovnog osposobljavanja (Cedefop) od 6. svibnja 2020. kojom se donose unutarnja pravila o ograničavanju određenih prava ispitanika u odnosu na obradu osobnih podataka u okviru djelovanja Cedefopa

4.12.2020   
               
               
                  HR
               
               
                  Službeni list Europske unije
               
               
                  L 408/12
               
            
         ODLUKA UPRAVNOG ODBORA EUROPSKOG CENTRA ZA RAZVOJ STRUKOVNOG OSPOSOBLJAVANJA (CEDEFOP)
         od 6. svibnja 2020.
         kojom se donose unutarnja pravila o ograničavanju određenih prava ispitanika u odnosu na obradu osobnih podataka u okviru djelovanja Cedefopa
         UPRAVNI ODBOR,
         uzimajući u obzir Ugovor o funkcioniranju Europske unije,
         uzimajući u obzir Uredbu (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (1), a posebno njezin članak 25.,
         uzimajući u obzir Uredbu (EU) 2019/128 Europskog parlamenta i Vijeća od 16. siječnja 2019. o osnivanju Europskog centra za razvoj strukovnog osposobljavanja (Cedefop) te stavljanju izvan snage Uredbe Vijeća (EEZ) br. 337/75 (2), a posebno njezin članak 23. stavak 4.,
         uzimajući u obzir mišljenje Europskog nadzornika za zaštitu podataka (EDPS) od 12. prosinca 2019. i Smjernice Europskog nadzornika za zaštitu podataka o članku 25. nove uredbe i unutarnjim pravilima (3),
         BUDUĆI DA:
         
                     (1)
                  
                  
                     Cedefop provodi svoje aktivnosti u skladu s Uredbom (EU) 2019/128.
                  
               
                     (2)
                  
                  
                     U skladu s člankom 25. stavkom 1. Uredbe (EU) 2018/1725, ograničenja primjene članaka od 14. do 22. i članaka 35. i 36., te članka 4. te uredbe ako njegove odredbe odgovaraju pravima i obvezama predviđenima u člancima od 14. do 22., trebala bi se temeljiti na internim pravilima koja donosi Cedefop, ako se ta pravila ne temelje na pravnim aktima koji su doneseni na temelju Ugovorâ.
                  
               
                     (3)
                  
                  
                     Ta interna pravila, uključujući odredbe o procjeni nužnosti i razmjernosti nekog ograničenja, ne bi se trebala primjenjivati ako se u pravnom aktu donesenom na temelju Ugovorâ predviđa ograničenje prava ispitanika.
                  
               
                     (4)
                  
                  
                     Ako Cedefop obavlja svoje dužnosti u odnosu na prava ispitanika u skladu s Uredbom (EU) 2018/1725, obvezan je razmotriti primjenjuje li se bilo koje izuzeće utvrđeno u toj uredbi.
                  
               
                     (5)
                  
                  
                     U okviru svojeg upravnog djelovanja Cedefop može provoditi administrativne istrage, disciplinske postupke, preliminarne aktivnosti koje se odnose na slučajeve mogućih nepravilnosti prijavljenih OLAF-u, obrađivati slučajeve zviždanja, provoditi (službene i neslužbene) postupke u slučaju uznemiravanja, obrađivati unutarnje i vanjske pritužbe, provoditi unutarnje revizije, istrage koje vodi službenik za zaštitu podataka u skladu s člankom 45. stavkom 2. Uredbe (EU) 2018/1725 i interne sigurnosne istrage (u području informacijskih tehnologija) te rješavati zahtjeve članova osoblja za pristup njihovim medicinskim datotekama.
                     Cedefop obrađuje nekoliko kategorija osobnih podataka, uključujući pouzdane podatke („objektivne” podatke kao što su identifikacijski podatci, podatci za kontakt, podatci o obrazovanju i radnom iskustvu, administrativni podatci, podatci primljeni iz određenih izvora, elektronička komunikacija i podatci o prometu) i/ili nepouzdane podatke („subjektivne” podatke koji se odnose na predmet, kao što su obrazloženje, podatci o ponašanju, procjene, podatci o uspješnosti i ponašanju te podatci koji se odnose na predmet postupka ili aktivnost ili se iznose u vezi s njima).
                  
               
                     (6)
                  
                  
                     Cedefop, koji predstavlja njegov izvršni direktor, djeluje kao voditelj obrade (podataka) bez obzira na daljnje delegiranje uloge voditelja obrade u okviru Cedefopa kako bi se uzele u obzir operativne odgovornosti za određene postupke obrade osobnih podataka.
                  
               
                     (7)
                  
                  
                     Osobni se podatci sigurno pohranjuju u elektroničkom okruženju ili u papirnatom obliku, čime se sprječava zlouporaba podataka ili nezakonit pristup podatcima ili nezakonit prijenos podataka osobama koje s njima ne trebaju biti upoznate. Medicinske datoteke pohranjuje vanjski pružatelj usluga s kojim surađuje Cedefop. Obrađeni osobni podatci ne zadržavaju se dulje nego što je potrebno i primjereno za svrhu u koju se ti podatci obrađuju tijekom razdoblja navedenog u obavijestima o zaštiti podataka ili evidencijama Cedefopa.
                  
               
                     (8)
                  
                  
                     Ta bi se interna pravila trebala primjenjivati na sve postupke obrade koje Cedefop provodi pri provođenju administrativnih istraga, disciplinskih postupaka, preliminarnih aktivnosti koje se odnose na slučajeve mogućih nepravilnosti prijavljenih OLAF-u, postupaka zviždanja, (službenih i neslužbenih) postupaka u slučajevima uznemiravanja, obradi unutarnjih i vanjskih pritužbi, unutarnjih revizija, istraga koje provodi službenik za zaštitu podataka u skladu s člankom 45. stavkom 2. Uredbe (EU) 2018/1725, sigurnosnih istraga (u području informacijskih tehnologija) koje se provode interno ili uz sudjelovanje vanjskog tijela (npr. CERT-EU) te pri postupanju sa zahtjevima članova osoblja za pristup svojim medicinskim datotekama.
                  
               
                     (9)
                  
                  
                     Ta interna pravila trebala bi se primjenjivati na postupke obrade koji se provode prije pokretanja prethodno navedenih postupaka, tijekom tih postupaka i tijekom praćenja rezultata tih postupaka. Ujedno bi trebala uključivati pomoć i suradnju koje Cedefop pruža nacionalnim tijelima i međunarodnim organizacijama izvan svojih administrativnih istraga.
                  
               
                     (10)
                  
                  
                     U slučajevima u kojima se primjenjuju ta interna pravila Cedefop bi trebao obrazložiti zašto su ograničenja nužno potrebna i razmjerna u demokratskom društvu te kako se njima poštuje bit temeljnih prava i sloboda.
                  
               
                     (11)
                  
                  
                     U tom je okviru Cedefop obvezan poštovati, u najvećoj mogućoj mjeri, temeljna prava ispitanika tijekom prethodno navedenih postupaka, posebno ona koja se odnose na pravo na informacije koje treba pružiti ispitaniku, pravo ispitanika na pristup, prava ispitanika na ispravak, brisanje i ograničenje obrade te prava na obavješćivanje ispitanika o povredi osobnih podataka i povjerljivost elektroničkih komunikacija, kako je utvrđeno u Uredbi (EU) 2018/1725.
                  
               
                     (12)
                  
                  
                     Međutim, Cedefop može biti obvezan ograničiti pravo na informacije koje treba pružiti ispitaniku i druga prava ispitanika, posebno radi zaštite vlastitih istraga, istraga i postupaka drugih javnih tijela te prava drugih osoba uključenih u njegove istrage ili druge postupke.
                  
               
                     (13)
                  
                  
                     Cedefop bi trebao redovito pratiti primjenjuju li se i dalje uvjeti kojima se opravdava ograničenje te ukinuti ograničenje ako se oni više ne primjenjuju.
                  
               
                     (14)
                  
                  
                     Voditelj obrade treba obavijestiti službenika za zaštitu podataka u trenutku kada postoji namjera primjene ograničenja i tijekom naknadnih preispitivanja te uključiti službenika za zaštitu podataka tijekom cijelog postupka sve dok se ne ukine ograničenje,
                  
               DONIO JE OVU ODLUKU:
         
            Članak 1.
            Predmet i područje primjene
            
               1.   Ovom se Odlukom utvrđuju pravila koja se odnose na uvjete u kojima Cedefop smije ograničiti primjenu prava utvrđenih u člancima od 14. do 21., 35. i 36. te u članku 4. Uredbe (EU) 2018/1725 u kontekstu postupaka navedenih u stavku 2. u skladu s člankom 25. te uredbe.
            
            
               2.   U okviru upravnog djelovanja Cedefopa ova se Odluka primjenjuje na postupke obrade osobnih podataka koje Cedefop provodi u svrhe izvršavanja administrativnih istraga i disciplinskih postupaka, preliminarnih aktivnosti koje se odnose na slučajeve mogućih nepravilnosti prijavljenih OLAF-u, obrade slučajeva zviždanja, provedbe (službenih i neslužbenih) postupaka u slučajevima uznemiravanja, obrade unutarnjih i vanjskih pritužbi, provedbe unutarnjih revizija, istraga koje provodi službenik za zaštitu podataka u skladu s člankom 45. stavkom 2. Uredbe (EU) 2018/1725 i sigurnosnih istraga (u području informacijskih tehnologija) koje se provode interno ili uz sudjelovanje vanjskog tijela (npr. CERT-EU) te postupanja sa zahtjevima članova osoblja za pristup svojim medicinskim datotekama.
            
            
               3.   Predmetne kategorije podataka jesu pouzdani podatci („objektivni” podatci kao što su identifikacijski podatci, podatci za kontakt, podatci o obrazovanju i radnom iskustvu, administrativne pojedinosti, podatci primljeni iz određenih izvora, elektronička komunikacija i podatci o prometu) i/ili nepouzdani podatci („subjektivni” podatci koji se odnose na predmet, kao što su obrazloženje, podatci o ponašanju, procjene, podatci o uspješnosti i ponašanju te podatci koji se odnose na predmet postupka ili aktivnost ili se iznose u vezi s njima).
            
            
               4.   Ako Cedefop obavlja svoje dužnosti u odnosu na prava ispitanika u skladu s Uredbom (EU) 2018/1725, obvezan je razmotriti primjenjuje li se bilo koje izuzeće utvrđeno u toj uredbi.
            
            
               5.   Pod uvjetima utvrđenima u ovoj Odluci, ograničenja se mogu primijeniti na sljedeća prava: pravo na informacije koje treba pružiti ispitaniku, pravo ispitanika na pristup, prava ispitanika na ispravak, brisanje i ograničenje obrade te prava na obavješćivanje ispitanika o povredi osobnih podataka i povjerljivost elektroničkih komunikacija.
            
         
         
            Članak 2.
            Specifikacija voditelja obrade i zaštitne mjere
            
               1.   Cedefop je obvezan uvesti sljedeće zaštitne mjere u svrhu sprječavanja zlouporabe ili nezakonitog pristupa ili prijenosa:
               
                           (a)
                        
                        
                           dokumenti u papirnatom obliku čuvaju se u zaštićenim ormarićima kojima može pristupiti samo ovlašteno osoblje;
                        
                     
                           (b)
                        
                        
                           svi elektronički podatci pohranjuju se u sigurnu IT aplikaciju u skladu sa sigurnosnim standardima Cedefopa, te u posebne elektroničke mape kojima može pristupiti samo ovlašteno osoblje. Pojedinačno se dodjeljuju odgovarajuće razine pristupa;
                        
                     
                           (c)
                        
                        
                           elektroničkom okruženju Cedefopa pristupa se putem sustava jednostruke prijave te se ono automatski povezuje s korisničkim imenom i zaporkom. Elektroničke evidencije pohranjuju se na sigurnom mjestu kako bi se zaštitile povjerljivost i privatnost podataka koje sadržavaju;
                        
                     
                           (d)
                        
                        
                           sve osobe koje imaju pristup podatcima obvezuju se na povjerljivost;
                        
                     
                           (e)
                        
                        
                           vanjski pružatelj usluga koji pohranjuje medicinske datoteke obvezan je ugovornim odredbama o povjerljivosti i obradi osobnih podataka.
                        
                     
            
               2.   Voditelj postupaka obrade je Cedefop, a predstavlja ga njegov izvršni direktor, koji može delegirati funkciju voditelja obrade. Ispitanike se obavješćuje o osobi kojoj je delegirana funkcija voditelja obrade putem obavijesti o zaštiti podataka ili evidencija objavljenih na internetskim stranicama i intranetu Cedefopa.
            
            
               3.   Razdoblje zadržavanja osobnih podataka iz članka 1. stavka 3. ove Odluke ne smije trajati dulje nego što je potrebno i primjereno za svrhu u koju se podatci obrađuju. U svakom slučaju, ono ne smije biti dulje od razdoblja zadržavanja navedenog u obavijestima o zaštiti podataka ili evidencijama iz članka 3. stavka 3. ove Odluke.
            
            
               4.   Ako Cedefop razmatra primjenu ograničenja, obvezan je ocijeniti rizik za prava i slobode ispitanika, posebno u odnosu na rizik za prava i slobode drugih ispitanika i rizik od ugrožavanja učinkovitosti istraga ili postupaka Cedefopa, naročito uništavanjem dokaza. Rizici za prava i slobode ispitanika prvenstveno se odnose, ali nisu ograničeni, na rizike za ugled i rizike za pravo na obranu i pravo na saslušanje.
            
         
         
            Članak 3.
            Ograničenja
            
               1.   Cedefop primjenjuje svako ograničenje isključivo na temelju jedne ili više osnova navedenih u članku 25. stavku 1. točkama od (a) do (i) Uredbe (EU) 2018/1725. U kontekstu svrha obrade osobnih podataka navedenih u članku 1. stavku 2. ove Odluke, ograničenja se naročito mogu temeljiti na sljedećim osnovama:
               
                           (a)
                        
                        
                           kad je riječ o provedbi administrativnih istraga i disciplinskih postupaka, ograničenja se mogu temeljiti na članku 25. stavku 1. točkama (b), (c), (g) i (h) Uredbe (EU) 2018/1725;
                        
                     
                           (b)
                        
                        
                           kad je riječ o preliminarnim aktivnostima povezanima sa slučajevima mogućih nepravilnosti prijavljenih OLAF-u, ograničenja se mogu temeljiti na članku 25. stavku 1. točkama (b), (c), (f), (g) i (h) Uredbe (EU) 2018/1725;
                        
                     
                           (c)
                        
                        
                           kad je riječ o postupcima zviždanja, ograničenja se mogu temeljiti na članku 25. stavku 1. točkama (b), (c), (f), (g) i (h) Uredbe (EU) 2018/1725;
                        
                     
                           (d)
                        
                        
                           kad je riječ o (službenim i neslužbenim) postupcima u slučajevima uznemiravanja, ograničenja se mogu temeljiti na članku 25. stavku 1. točkama (b), (f), (h) i (i) Uredbe (EU) 2018/1725;
                        
                     
                           (e)
                        
                        
                           kad je riječ o obradi unutarnjih i vanjskih pritužbi, ograničenja se mogu temeljiti na članku 25. stavku 1. točkama (c), (g) i (h) Uredbe (EU) 2018/1725;
                        
                     
                           (f)
                        
                        
                           kad je riječ o unutarnjim revizijama, ograničenja se mogu temeljiti na članku 25. stavku 1. točkama (c), (g) i (h) Uredbe (EU) 2018/1725;
                        
                     
                           (g)
                        
                        
                           kad je riječ o istragama koje provodi službenik za zaštitu podataka u skladu s člankom 45. stavkom 2. Uredbe (EU) 2018/1725, ograničenja se mogu temeljiti na članku 25. stavku 1. točkama (c), (g) i (h) te uredbe;
                        
                     
                           (h)
                        
                        
                           kad je riječ o sigurnosnim istragama u području informacijskih tehnologija koje se provode interno ili uz sudjelovanje vanjskog tijela (npr. CERT-EU), ograničenja se mogu temeljiti na članku 25. stavku 1. točkama (c), (d), (g) i (h) Uredbe (EU) 2018/1725;
                        
                     
                           (i)
                        
                        
                           kad je riječ o postupanju sa zahtjevima članova osoblja za pristup njihovim medicinskim datotekama, ograničenja se mogu temeljiti na članku 25. stavku 1. točki (h) Uredbe (EU) 2018/1725.
                        
                     
            
               2.   Kao posebnu primjenu svrha opisanih u prethodnom stavku 1., Cedefop može primijeniti ograničenja na prava navedena u članku 1. stavku 5. ove Odluke u sljedećim okolnostima:
               
                           (a)
                        
                        
                           ako druge institucije, tijela, uredi ili agencije Unije imaju pravo ograničiti ostvarivanje tih prava na temelju drugih akata navedenih u članku 25. Uredbe (EU) 2018/1725 ili u skladu s poglavljem IX. te uredbe ili aktima o osnivanju tih drugih institucija, tijela, ureda ili agencija Unije, a svrha takvog ograničenja te druge institucije, tijela, ureda ili agencije Unije bila bi ugrožena ako Cedefop ne primijeni jednakovrijedno ograničenje u odnosu na iste osobne podatke;
                        
                     
                           (b)
                        
                        
                           ako nadležno tijelo neke države članice ima pravo ograničiti ostvarivanje tih prava na temelju akata navedenih u članku 23. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća (4) ili na temelju nacionalnih mjera kojima se prenose članak 13. stavak 3., članak 15. stavak 3. ili članak 16. stavak 3. Direktive (EU) 2016/680 Europskog parlamenta i Vijeća (5), a svrha takvog ograničenja nadležnog tijela neke države članice bila bi ugrožena ako Cedefop ne primijeni jednakovrijedno ograničenje u odnosu na iste osobne podatke;
                        
                     
                           (c)
                        
                        
                           ako bi ostvarivanje tih prava ugrozilo suradnju Cedefopa s trećim zemljama ili međunarodnim organizacijama pri obavljanju njegovih zadaća.
                        
                     Prije primjene ograničenja u okolnostima navedenima u točkama (a) i (b) prvog podstavka Cedefop se savjetuje s odgovarajućom institucijom, tijelom, uredom ili agencijom Unije ili nadležnim tijelima država članica, osim ako je Cedefopu jasno da je primjena ograničenja predviđena jednim od akata navedenih u tim točkama.
            
            
               3.   Cedefop je obvezan u obavijesti o zaštiti podataka ili u evidenciju u smislu članka 31. Uredbe (EU) 2018/1725, objavljenima na njegovim internetskim stranicama i intranetu, kojima se ispitanike obavješćuje o njihovim pravima u okviru određenog postupka, uključiti informacije koje se odnose na moguće ograničenje tih prava. Te informacije obuhvaćaju prava koja mogu biti ograničena, razloge za ograničenje i moguće trajanje.
               Ne dovodeći u pitanje odredbe članka 5. stavka 2., Cedefop isto tako pojedinačno obavješćuje, ako je to razmjerno, sve ispitanike koje se smatra osobama na koje se odnosi određeni postupak obrade o njihovim pravima povezanima s postojećim ili budućim ograničenjima bez nepotrebnog odgađanja i u pisanom obliku.
            
            
               4.   Svako ograničenje mora biti nužno i razmjerno uzimajući u obzir rizike za prava i slobode ispitanika te se njime mora poštovati bit temeljnih prava i sloboda u demokratskom društvu.
            
            
               5.   Ako se razmatra primjena ograničenja, provodi se ispitivanje nužnosti i razmjernosti na temelju postojećih pravila. Ispitivanje se dokumentira u unutarnjoj bilješci o procjeni u svrhu odgovornosti za svaki pojedini slučaj.
            
            
               6.   Ograničenja se ukidaju čim prestanu postojati okolnosti kojima se ona opravdavaju.
            
         
         
            Članak 4.
            Preispitivanje koje provodi službenik za zaštitu podataka
            
               1.   Službenika za zaštitu podataka Cedefopa mora se bez nepotrebnog odlaganja obavijestiti svaki put kada voditelj obrade namjerava ograničiti primjenu prava ispitanika ili proširi to ograničenje u skladu s ovom Odlukom. Voditelj obrade osigurava službeniku za zaštitu podataka pristup evidenciji koja sadržava procjenu nužnosti i razmjernosti tog ograničenja i obvezan je u evidenciju unijeti datum obavješćivanja službenika za zaštitu podataka. Službenik za zaštitu podataka uključen je tijekom cijelog postupka sve dok se ne ukine ograničenje.
            
            
               2.   Službenik za zaštitu podataka može od voditelja obrade pisanim putem zatražiti preispitivanje primjene ograničenja. Voditelj obrade pisanim putem obavješćuje službenika za zaštitu podataka o ishodu traženog preispitivanja.
            
            
               3.   Voditelj obrade obvezan je obavijestiti službenika za zaštitu podataka o ukidanju ograničenja.
            
         
         
            Članak 5.
            Ograničenja prava na informacije koje treba pružiti ispitaniku
            
               1.   U propisno opravdanim slučajevima i pod uvjetima propisanima u ovoj Odluci voditelj obrade može ograničiti pravo na informacije koje treba pružiti ispitaniku u kontekstu sljedećih postupaka obrade:
               
                           (a)
                        
                        
                           provedbe administrativnih istraga i disciplinskih postupaka;
                        
                     
                           (b)
                        
                        
                           preliminarnih aktivnosti povezanih sa slučajevima mogućih nepravilnosti prijavljenih OLAF-u;
                        
                     
                           (c)
                        
                        
                           postupaka zviždanja;
                        
                     
                           (d)
                        
                        
                           službenih i neslužbenih postupaka u slučajevima uznemiravanja;
                        
                     
                           (e)
                        
                        
                           obrade unutarnjih i vanjskih pritužbi;
                        
                     
                           (f)
                        
                        
                           unutarnjih revizija;
                        
                     
                           (g)
                        
                        
                           istraga koje provodi službenik za zaštitu podataka u skladu s člankom 45. stavkom 2. Uredbe (EU) 2018/1725;
                        
                     
                           (h)
                        
                        
                           sigurnosnih istraga (općenitih i u području informacijskih tehnologija) koje se provode interno ili uz sudjelovanje vanjskog tijela (npr. CERT-EU-a).
                        
                     
            
               2.   Ako Cedefop u cijelosti ili djelomično ograniči pravo na informacije koje treba pružiti ispitaniku, utvrđeno u člancima od 14. do 16. Uredbe (EU) 2018/1725, obvezan je evidentirati razloge za to ograničenje, pravni temelj (pravne temelje) u skladu s člankom 3. ove Odluke te procjenu nužnosti i razmjernosti ograničenja.
               Evidencija i, ako je primjenjivo, dokumenti koji sadržavaju temeljne činjenične i pravne
               elemente moraju se registrirati. Oni se na zahtjev stavljaju na raspolaganje Europskom nadzorniku za zaštitu podataka.
            
            
               3.   Ograničenje iz stavka 2. primjenjuje se sve dok su primjenjivi razlozi kojima se ono opravdava.
               Ako razlozi za ograničenje više nisu primjenjivi, Cedefop ispitaniku dostavlja informacije o glavnim razlozima na kojima se temelji primjena ograničenja. Cedefop istodobno obavješćuje ispitanika o pravu na podnošenje pritužbe Europskom nadzorniku za zaštitu podataka u bilo kojem trenutku ili o pravu na traženje pravnog lijeka pred Sudom Europske unije („Sud”).
               Cedefop preispituje primjenu ograničenja svakih šest mjeseci od njegova donošenja i pri zatvaranju relevantnog ispitivanja, postupka ili istrage. Nakon toga voditelj obrade svakih šest mjeseci prati potrebu za zadržavanjem svakog ograničenja. Ispitivanje nužnosti i razmjernosti navedeno u članku 3. stavku 5. provodi se i u okviru svakog periodičnog preispitivanja, nakon procjene postoje li i dalje činjenični i pravni razlozi za ograničenje.
            
         
         
            Članak 6.
            Ograničenje prava ispitanika na pristup
            
               1.   U propisno opravdanim slučajevima i pod uvjetima propisanima u ovoj Odluci voditelj obrade može ograničiti pravo ispitanika na pristup u kontekstu sljedećih postupaka obrade, ako je to nužno i razmjerno:
               
                           (a)
                        
                        
                           provedbe administrativnih istraga i disciplinskih postupaka;
                        
                     
                           (b)
                        
                        
                           preliminarnih aktivnosti povezanih sa slučajevima mogućih nepravilnosti prijavljenih OLAF-u;
                        
                     
                           (c)
                        
                        
                           postupaka zviždanja;
                        
                     
                           (d)
                        
                        
                           službenih i neslužbenih postupaka u slučajevima uznemiravanja;
                        
                     
                           (e)
                        
                        
                           obrade unutarnjih i vanjskih pritužbi;
                        
                     
                           (f)
                        
                        
                           unutarnjih revizija;
                        
                     
                           (g)
                        
                        
                           istraga koje provodi službenik za zaštitu podataka u skladu s člankom 45. stavkom 2. Uredbe (EU) 2018/1725;
                        
                     
                           (h)
                        
                        
                           sigurnosnih istraga (općenitih i u području informacijskih tehnologija) koje se provode interno ili uz sudjelovanje vanjskog tijela (npr. CERT-EU-a);
                        
                     
                           (i)
                        
                        
                           postupanja sa zahtjevima članova osoblja za pristup svojim medicinskim datotekama.
                        
                     Ako ispitanici zatraže pristup svojim osobnim podatcima koji se obrađuju u kontekstu jednog ili više posebnih slučajeva ili određenom postupku obrade, u skladu s člankom 17. Uredbe (EU) 2018/1725, Cedefop ograničava svoju procjenu zahtjeva samo na takve osobne podatke.
            
            
               2.   Ako Cedefop u cijelosti ili djelomično ograniči pravo na pristup iz članka 17. Uredbe (EU) 2018/1725, obvezan je poduzeti sljedeće korake:
               
                           (a)
                        
                        
                           obavijestiti dotičnog ispitanika, u svojem odgovoru na zahtjev, o primijenjenom ograničenju i o glavnim razlozima za ograničenje te o mogućnosti podnošenja pritužbe Europskom nadzorniku za zaštitu podataka ili traženja pravnog lijeka pred Sudom Europske unije;
                        
                     
                           (b)
                        
                        
                           dokumentirati u unutarnjoj bilješci o procjeni razloge za ograničenje, uključujući procjenu nužnosti i razmjernosti ograničenja te njegovo trajanje.
                        
                     Uvedena ograničenja prava na pristup članova osoblja svojim medicinskim datotekama mogu se odnositi samo na zahtjeve članova osoblja za izravan pristup medicinskim podatcima psihološke ili psihijatrijske prirode ako je procjenom koja je bila provedena u pojedinačnom slučaju otkriveno da je neizravan pristup nužan za zaštitu ispitanika. Pristup takvim podatcima daje se posredstvom liječnika kojeg je imenovao dotični ispitanik. Liječniku kojeg je izabrao ispitanik daje se pristup svim informacijama i diskrecijsko pravo da odluči kako dati pristup ispitaniku i koju mu je vrstu pristupa potrebno omogućiti.
               Pružanje informacija navedenih u točki (a) može se odgoditi, izostaviti ili odbiti ako bi se time poništio učinak ograničenja u skladu s člankom 25. stavkom 8. Uredbe (EU) 2018/1725.
               Cedefop preispituje primjenu ograničenja svakih šest mjeseci od njegova donošenja i pri zatvaranju relevantnog ispitivanja, postupka ili istrage. Nakon toga voditelj obrade svakih šest mjeseci prati potrebu za zadržavanjem svakog ograničenja. Ispitivanje nužnosti i razmjernosti navedeno u članku 3. stavku 5. provodi se i u okviru svakog periodičnog preispitivanja, nakon procjene postoje li i dalje činjenični i pravni razlozi za ograničenje.
            
            
               3.   Evidencija i, ako je primjenjivo, dokumenti koji sadržavaju temeljne činjenične i pravne elemente moraju se registrirati. Oni se na zahtjev stavljaju na raspolaganje Europskom nadzorniku za zaštitu podataka.
            
         
         
            Članak 7.
            Ograničenja prava ispitanika na ispravak, brisanje i ograničenje obrade
            
               1.   U propisno opravdanim slučajevima i pod uvjetima propisanima u ovoj Odluci voditelj obrade može ograničiti prava ispitanika na ispravak, brisanje i ograničenje obrade u kontekstu sljedećih postupaka obrade, ako je nužno i primjereno:
               
                           (a)
                        
                        
                           provedbe administrativnih istraga i disciplinskih postupaka;
                        
                     
                           (b)
                        
                        
                           preliminarnih aktivnosti povezanih sa slučajevima mogućih nepravilnosti prijavljenih OLAF-u;
                        
                     
                           (c)
                        
                        
                           postupaka zviždanja;
                        
                     
                           (d)
                        
                        
                           službenih i neslužbenih postupaka u slučajevima uznemiravanja;
                        
                     
                           (e)
                        
                        
                           obrade unutarnjih i vanjskih pritužbi;
                        
                     
                           (f)
                        
                        
                           unutarnjih revizija;
                        
                     
                           (g)
                        
                        
                           istraga koje provodi službenik za zaštitu podataka u skladu s člankom 45. stavkom 2. Uredbe (EU) 2018/1725;
                        
                     
                           (h)
                        
                        
                           sigurnosnih istraga (općenitih i u području informacijskih tehnologija) koje se provode interno ili uz sudjelovanje vanjskog tijela (npr. CERT-EU-a).
                        
                     
            
               2.   Ako Cedefop u cijelosti ili djelomično ograniči primjenu prava ispitanika na ispravak, brisanje i ograničenje obrade iz članka 18., članka 19. stavka 1. odnosno članka 20. stavka 1. Uredbe (EU) 2018/1725, obvezan je poduzeti korake utvrđene u članku 6. stavku 2. ove Odluke i registrirati evidenciju u skladu s njezinim člankom 6. stavkom 3.
            
         
         
            Članak 8.
            Ograničenje prava na obavješćivanje ispitanika o povredi osobnih podataka i na povjerljivost elektroničkih komunikacija
            
               1.   U propisno opravdanim slučajevima i pod uvjetima propisanima u ovoj Odluci voditelj obrade može ograničiti pravo na obavješćivanje ispitanika o povredi osobnih podataka u kontekstu sljedećih postupaka obrade, ako je to nužno i primjereno:
               
                           (a)
                        
                        
                           provedbe administrativnih istraga i disciplinskih postupaka;
                        
                     
                           (b)
                        
                        
                           preliminarnih aktivnosti povezanih sa slučajevima mogućih nepravilnosti prijavljenih OLAF-u;
                        
                     
                           (c)
                        
                        
                           postupaka zviždanja;
                        
                     
                           (d)
                        
                        
                           unutarnjih revizija;
                        
                     
                           (e)
                        
                        
                           istraga koje provodi službenik za zaštitu podataka u skladu s člankom 45. stavkom 2. Uredbe (EU) 2018/1725;
                        
                     
                           (f)
                        
                        
                           sigurnosnih istraga (općenitih i u području informacijskih tehnologija) koje se provode interno ili uz sudjelovanje vanjskog tijela (npr. CERT-EU-a).
                        
                     
            
               2.   U propisno opravdanim slučajevima i pod uvjetima propisanima u ovoj Odluci voditelj obrade može ograničiti pravo na povjerljivost elektroničkih komunikacija u kontekstu sljedećih postupaka obrade, ako je to nužno i primjereno:
               
                           (a)
                        
                        
                           provedbe administrativnih istraga i disciplinskih postupaka;
                        
                     
                           (b)
                        
                        
                           preliminarnih aktivnosti povezanih sa slučajevima mogućih nepravilnosti prijavljenih OLAF-u;
                        
                     
                           (c)
                        
                        
                           postupaka zviždanja;
                        
                     
                           (d)
                        
                        
                           službenih postupaka u slučajevima uznemiravanja;
                        
                     
                           (e)
                        
                        
                           obrade unutarnjih i vanjskih pritužbi;
                        
                     
                           (f)
                        
                        
                           sigurnosnih istraga (općenitih i u području informacijskih tehnologija) koje se provode interno ili uz sudjelovanje vanjskog tijela (npr. CERT-EU-a).
                        
                     
            
               3.   Ako Cedefop ograniči prava na obavješćivanje ispitanika o povredi osobnih podataka ili na povjerljivost elektroničkih komunikacija iz članka 35. odnosno članka 36. Uredbe (EU) 2018/1725, obvezan je evidentirati i registrirati razloge za to ograničenje u skladu s člankom 5. stavkom 2. ove Odluke. Primjenjuje se i članak 5. stavak 3. ove Odluke.
            
         
         
            Članak 9.
            Stupanje na snagu
            Ova Odluka stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.
         
         
            Sastavljeno 6. svibnja 2020.
            
               
                  Za Upravni odbor
               
               Barbara DORN
               
                  Predsjednica Upravnog odbora
               
            
         
         
            (1)  . SL L 295, 21.11.2018., str. 39.
         
         
            (2)  . SL L 30, 31.1.2019., str. 90.
         
         
            (3)  . https://edps.europa.eu/sites/edp/files/publication/18-12-20_guidance_on_article_25_en.pdf.
         
            (4)  . Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL L 119, 4.5.2016., str. 1.).
         
            (5)  . Direktiva (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (SL L 119, 4.5.2016., str. 89.).