Decyzja zarządu ELA nr 20/2022 z dnia 24 listopada 2022 r. w sprawie wewnętrznych zasad dotyczących ograniczania niektórych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach działań prowadzonych przez Europejski Urząd ds. Pracy

DECYZJA ZARZĄDU ELA nr 20/2022

z dnia 24 listopada 2022 r.

w sprawie wewnętrznych zasad dotyczących ograniczania niektórych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach działań prowadzonych przez Europejski Urząd ds. Pracy

(2023/C 113/10)

ZARZĄD EUROPEJSKIEGO URZĘDU DS. PRACY,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE ¹  (zwane dalej "rozporządzeniem (UE) 2018/1725" lub "rozporządzeniem"), w szczególności jego art. 25,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/1149 z dnia 20 czerwca 2019 r. ustanawiające Europejski Urząd ds. Pracy, zmieniające rozporządzenia (WE) nr 883/2004, (UE) nr 492/2011 i (UE) 2016/589 oraz uchylające decyzję (UE) 2016/344 ²  (zwane dalej "rozporządzeniem ustanawiającym"), w szczególności jego art. 36,

po konsultacji z Europejskim Inspektorem Ochrony Danych,

a także mając na uwadze, co następuje:

(1) Europejski Urząd ds. Pracy (zwany dalej "ELA") jest upoważniony do prowadzenia dochodzeń administracyjnych, postępowań przeddyscyplinarnych, dyscyplinarnych i w sprawie zawieszenia, zgodnie z regulaminem pracowniczym urzędników Unii Europejskiej i warunkami zatrudnienia innych pracowników Unii Europejskiej, ustanowionymi w rozporządzeniu Rady (EWG, Euratom, EWWiS) nr 259/68 ³  ("regulamin pracowniczy") oraz z decyzją zarządu ELA nr 22/2021 z dnia 10 listopada 2021 r. dotyczącą warunków prowadzenia dochodzeń wewnętrznych w Europejskim Urzędzie ds. Pracy w związku z zapobieganiem nadużyciom finansowym, korupcji i wszelkiej nielegalnej działalności szkodliwej dla interesów Unii, przyjmującą przepisy wykonawcze dotyczące prowadzenia dochodzeń administracyjnych i postępowań dyscyplinarnych. Jeżeli jest to konieczne, powiadamia również OLAF.

(2) ELA jest upoważniony do koordynowania i wspierania uzgodnionych i wspólnych inspekcji w obszarach podlegających kompetencjom Urzędu zgodnie z art. 8 i 9 rozporządzenia ustanawiającego.

Ponadto Urząd może z własnej inicjatywy zasugerować organom zainteresowanych państw członkowskich przeprowadzenie uzgodnionych lub wspólnych inspekcji.

(3) Pracownicy ELA mają obowiązek zgłaszania potencjalnie nielegalnych działań, w tym nadużyć finansowych i korupcji, które szkodzą interesom Unii. Pracownicy są również zobowiązani zgłaszać zachowania związane ze zwolnieniem z obowiązków zawodowych, które mogą stanowić poważne niedopełnienie obowiązków urzędników Unii. Kwestię tę reguluje decyzja nr 11/2021 z dnia 25 maja 2021 r. zarządu Europejskiego Urzędu ds. Pracy.

(4) ELA opracował politykę zapobiegania i skutecznego postępowania w przypadku faktycznego lub potencjalnego mobbingu lub molestowania seksualnego w miejscu pracy, zgodnie z decyzją zarządu ELA nr 6/2022 z dnia 15 marca 2022 r. w sprawie przyjęcia środków wykonawczych zgodnie z regulaminem pracowniczym.

W decyzji tej ustanowiono nieformalną procedurę, w ramach której osoba będąca domniemaną ofiarą nękania może skontaktować się z zaufanymi doradcami ELA.

(5) ELA może również prowadzić dochodzenia w sprawie potencjalnych naruszeń zasad bezpieczeństwa dotyczących szczególnie chronionych informacji jawnych Unii Europejskiej, na podstawie art. 38 rozporządzenia ustanawiającego.

(6) ELA podlega zarówno wewnętrznym, jak i zewnętrznym audytom dotyczącym jego działań.

(7) W kontekście takich dochodzeń administracyjnych, audytów i postępowań ELA współpracuje z innymi instytucjami, organami i jednostkami organizacyjnymi UE.

(8) ELA może współpracować z państwami trzecimi, organami krajowymi i organizacjami międzynarodowymi, na ich wniosek albo z własnej inicjatywy. W szczególnym przypadku uzgodnionych lub wspólnych inspekcji, na wniosek przynajmniej jednego państwa członkowskiego lub z własnej inicjatywy, Urząd koordynuje i wspiera uzgodnione lub wspólne inspekcje w dziedzinach wchodzących w zakres kompetencji Urzędu, aby osiągnąć cele określone w rozporządzeniu ustanawiającym i bez uszczerbku dla kompetencji państw członkowskich i instytucji unijnych.

(9) ELA może również współpracować z organami publicznymi państw członkowskich UE na ich wniosek lub z własnej inicjatywy. W szczególnym przypadku uzgodnionych lub wspólnych inspekcji, na wniosek przynajmniej jednego państwa członkowskiego lub z własnej inicjatywy, Urząd koordynuje i wspiera uzgodnione lub wspólne inspekcje w dziedzinach wchodzących w zakres kompetencji Urzędu, aby osiągnąć cele określone w rozporządzeniu ustanawiającym i bez uszczerbku dla kompetencji państw członkowskich i instytucji unijnych.

(10) ELA angażuje się w sprawy przed Trybunałem Sprawiedliwości Unii Europejskiej, w przypadku gdy kieruje kwestię do Trybunału, broni podjętej przez siebie decyzji, którą zaskarżono przed Trybunałem, albo interweniuje w sprawach istotnych dla jego zadań. W tym kontekście ELA może być zobowiązany do zachowania poufności danych osobowych ujętych w dokumentach otrzymanych przez strony lub przez interwenientów.

(11) Aby wypełniać swoje zadania, ELA gromadzi i przetwarza informacje oraz kilka kategorii danych osobowych, w tym dane identyfikacyjne osób fizycznych, informacje kontaktowe, role i zadania zawodowe, informacje o zachowaniu i wynikach w życiu prywatnym i zawodowym oraz dane finansowe. ELA, jako administrator danych, jest reprezentowany przez swojego dyrektora wykonawczego, niezależnie od dalszego delegowania roli administratora danych w ramach ELA w celu odzwierciedlenia odpowiedzialności operacyjnej za konkretne operacje przetwarzania danych osobowych.

(12) Na mocy rozporządzenia (UE) 2018/1725 ELA jest zatem zobowiązany do informowania osób, których dane dotyczą, o tych czynnościach przetwarzania oraz do poszanowania ich praw jako osób, których dane dotyczą.

(13) ELA może być zobowiązany do pogodzenia tych praw z celami dochodzeń administracyjnych, audytów, dochodzeń, uzgodnionych i wspólnych inspekcji oraz postępowań sądowych. Może być również wymagane zrównoważenie praw osób, których dane dotyczą, względem podstawowych praw i wolności innych osób, których dane dotyczą. W tym celu w art. 25 rozporządzenia (UE) 2018/1725 przyznano ELA, na ściśle określonych warunkach, możliwość ograniczenia zastosowania art. 14-22, 35 i 36 rozporządzenia, a także art. 4, o ile ich przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-20. Jeżeli ograniczenia nie są przewidziane w aktach prawnych przyjętych na podstawie traktatów, należy przyjąć wewnętrzne przepisy, na podstawie których ELA jest uprawniony do ograniczania takich praw.

(14) ELA może np. potrzebować ograniczenia informacji przekazywanych osobie, której dane dotyczą, na temat przetwarzania jej danych osobowych podczas etapu wstępnej oceny dochodzenia administracyjnego lub podczas samego dochodzenia, przed możliwym umorzeniem sprawy lub na etapie postępowania przeddyscyplinarnego. W pewnych okolicznościach dostarczenie takich informacji może poważnie wpłynąć na zdolność ELA do skutecz- nego prowadzenia dochodzenia, na przykład w każdym przypadku, gdy istnieje ryzyko, że dana osoba może zniszczyć dowody lub wpływać na potencjalnych świadków przed przesłuchaniem. ELA może również potrzebować ochrony praw i wolności świadków, a także innych zaangażowanych osób.

(15) Konieczna może być ochrona anonimowości świadka lub sygnalisty, który zwrócił się o nieujawnianie jego tożsamości. W takim przypadku ELA może podjąć decyzję o ograniczeniu dostępu do danych dotyczących tożsamości, oświadczeń i innych danych osobowych takich osób w celu ochrony ich praw i wolności.

(16) Może zaistnieć konieczność ochrony poufnych informacji dotyczących pracownika, który skontaktował się z zaufanymi doradcami ELA w kontekście postępowania w sprawie molestowania. W takich przypadkach ELA może potrzebować ograniczenia dostępu do danych dotyczących tożsamości, oświadczeń i innych danych osobowych domniemanej ofiary, domniemanego sprawcy i innych zaangażowanych osób w celu ochrony praw i wolności wszystkich osób, których ta sprawa dotyczy.

(17) ELA stosuje ograniczenia tylko wtedy, gdy szanują istotę podstawowych praw i wolności, są absolutnie niezbędne i stanowią środek proporcjonalny w społeczeństwie demokratycznym. ELA powinien przedstawić przyczyny uzasadniające powody tych ograniczeń.

(18) Zgodnie z zasadą odpowiedzialności ELA prowadzi rejestr stosowania ograniczeń.

(19) Przetwarzając dane osobowe wymieniane z innymi organizacjami w ramach swoich zadań, ELA i te organizacje konsultują się ze sobą w sprawie potencjalnych podstaw nałożenia ograniczeń oraz konieczności i proporcjonalności tych ograniczeń, chyba że zagroziłoby to działalności Agencji.

(20) Art. 25 ust. 6 rozporządzenia zobowiązuje administratora danych do informowania osób, których dane dotyczą, o podstawowych powodach zastosowania ograniczenia oraz o przysługującym im prawie do wniesienia skargi do EIOD.

(21) Zgodnie z art. 25 ust. 8 rozporządzenia ELA ma prawo wstrzymać przekazanie osobie, której dane dotyczą, informacji o powodach zastosowania ograniczenia, pominąć te informacje lub odmówić przekazania, jeżeli w jakikolwiek sposób unieważniłoby to skutek ograniczenia. ELA powinien ocenić w poszczególnych przypadkach, czy powiadomienie o ograniczeniu unieważniłoby jego skutek.

(22) ELA powinien znieść ograniczenie, gdy tylko warunki uzasadniające ograniczenie przestaną mieć zastosowanie, i regularnie oceniać te warunki.

(23) W celu zagwarantowania jak największej ochrony praw i wolności osób, których dane dotyczą, oraz zgodnie z art. 44 ust. 1 rozporządzenia, należy skonsultować z inspektorem ochrony danych w odpowiednim czasie wszelkie ograniczenia, które mogą być zastosowane, i zweryfikować ich zgodność z niniejszą decyzją.

(24) W art. 16 ust. 5 i art. 17 ust. 4 rozporządzenia przedstawiono wyjątki dotyczące prawa do informacji i prawa dostępu osób, których dane dotyczą. Jeżeli wyjątki te mają zastosowanie, ELA nie musi stosować ograniczenia na mocy niniejszej decyzji.

STANOWI, CO NASTĘPUJE:

Artykuł  1

Przedmiot i zakres

1. Niniejsza decyzja ustanawia zasady dotyczące warunków, na jakich ELA może ograniczyć stosowanie art. 4, 14-22, 35 i 36 na podstawie art. 25 rozporządzenia.

2. ELA, jako administratora danych, reprezentuje dyrektor wykonawczy.

Artykuł  2

Ograniczenia

1. ELA może ograniczyć stosowanie art. 14-22, 35 i 36 oraz art. 4 rozporządzenia, o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-20:

a) zgodnie z art. 25 ust. 1 lit. b), c), f), g) i h) rozporządzenia, gdy przeprowadza dochodzenia administracyjne, postępowania przeddyscyplinarne, dyscyplinarne lub w sprawie zawieszenia na mocy art. 86 i załącznika IX do regulaminu pracowniczego oraz decyzji nr 22/2021 z dnia 10 listopada 2021 r. zarządu ELA dotyczącej warunków prowadzenia dochodzeń wewnętrznych w Europejskim Urzędzie Pracy w związku z zapobieganiem nadużyciom finansowym, korupcji i wszelkiej nielegalnej działalności szkodliwej dla interesów Unii, a także gdy zgłasza sprawy do OLAF-u;

b) zgodnie z art. 25 ust. 1 lit. h) rozporządzenia, gdy zapewnia, aby pracownicy ELA mogli zgłaszać fakty z zachowaniem poufności, gdy uważają, że występują poważne nieprawidłowości, jak określono w decyzji nr 11/2021 z dnia 25 maja 2021 r. zarządu ELA;

c) zgodnie z art. 25 ust. 1 lit. h) rozporządzenia, gdy zapewnia pracownikom ELA możliwość zgłaszania się do zaufanych doradców w kontekście postępowania w sprawie molestowania, jak określono w decyzji zarządu ELA nr 6/2022 z dnia 15 marca 2022 r. w sprawie przyjęcia środków wykonawczych zgodnie z regulaminem pracowniczym;

d) zgodnie z art. 25 ust. 1 lit. c), g) i h) rozporządzenia, gdy przeprowadza się audyty wewnętrzne w odniesieniu do działań lub służb ELA, dochodzenia prowadzone przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725 oraz postępowania dotyczące bezpieczeństwa (informatycznego) prowadzone wewnętrznie lub z udziałem zewnętrznym (np. CERT-EU);

e) zgodnie z art. 25 ust. 1 lit. b), c), d), g) i h) rozporządzenia, gdy udziela pomocy innym instytucjom, organom i jednostkom organizacyjnym UE lub otrzymuje od nich pomoc, lub gdy współpracuje z nimi w kontekście działań określonych w lit. a)-d) niniejszego ustępu, zwłaszcza w ramach wspólnych i uzgodnionych inspekcji oraz zgodnie ze stosownymi umowami o gwarantowanym poziomie usług, protokołami ustaleń, porozumieniami dotyczącymi wspólnych i uzgodnionych inspekcji oraz porozumieniami o współpracy;

f) zgodnie z art. 25 ust. 1 lit. c), g) i h) rozporządzenia, gdy udziela pomocy organom krajowym państw trzecich i organizacjom międzynarodowym lub otrzymuje od nich pomoc, lub współpracuje z nimi, na ich wniosek lub z własnej inicjatywy;

g) zgodnie z art. 25 ust. 1 lit. b), c), g) i h) rozporządzenia, gdy udziela pomocy organom publicznym państw członkowskich lub otrzymuje od nich pomoc, lub współpracuje z nimi, na ich wniosek albo z własnej inicjatywy, w szczególności w zakresie uzgodnionych i wspólnych inspekcji;

h) zgodnie z art. 25 ust. 1 lit. e) rozporządzenia, gdy przetwarza dane osobowe znajdujące się w dokumentach otrzymanych od stron lub interwenientów w kontekście postępowań przed Trybunałem Sprawiedliwości Unii Europejskiej.

2. Wszelkie ograniczenia respektują istotę podstawowych praw i wolności oraz są niezbędne i proporcjonalne w społeczeństwie demokratycznym.

3. Badanie konieczności i analizę proporcjonalności przeprowadza się indywidualnie dla każdego przypadku przed wprowadzeniem ograniczeń. Ograniczenia nie mogą wykraczać poza to, co niezbędne do osiągnięcia wyznaczonych celów.

4. Do celów rozliczalności ELA prowadzi rejestr opisujący przyczyny zastosowanych ograniczeń, mające zastosowanie przesłanki z ust. 1, jak również wynik testu konieczności i proporcjonalności. Rejestry te stanowią część rejestru, który jest udostępniany na wniosek EIOD. ELA przygotowuje sprawozdanie okresowe dotyczące stosowania art. 25 rozporządzenia.

5. Przetwarzając dane osobowe otrzymane od innych organizacji w ramach wykonywania swoich zadań, ELA konsultuje się z tymi organizacjami w sprawie możliwych powodów nałożenia ograniczeń oraz konieczności i proporcjonalności tych ograniczeń, chyba że zagrażałoby to działalności ELA.

Artykuł  3

Zagrożenia dla praw i wolności osób, których dane dotyczą

1. Ocena ryzyka naruszenia praw i wolności osób, których dane dotyczą, związanego z nałożeniem ograniczeń i szczegółowe dane dotyczące okresu stosowania tych ograniczeń są zamieszczane w rejestrze czynności przetwarzania prowadzonym przez ELA na podstawie art. 31 rozporządzenia. Należy je również zamieszczać we wszelkich ocenach skutków dla ochrony danych dotyczących tych ograniczeń, prowadzonych na podstawie art. 39 rozporządzenia.

2. W każdym przypadku, gdy ELA dokonuje oceny konieczności i proporcjonalności ograniczeń, uwzględnia potencjalne ryzyka naruszenia praw i wolności osoby, której dane dotyczą.

Artykuł  4

Zabezpieczenia i okresy przechowywania

1. ELA wdraża zabezpieczenia, aby zapobiegać nadużyciom i niezgodnemu z prawem dostępowi do danych osobowych, względem których stosuje się lub można zastosować ograniczenia, lub niezgodnemu z prawem przekazywaniu takich danych. Zabezpieczenia te obejmują środki techniczne i organizacyjne oraz są wyszczególnione, w razie potrzeby, w wewnętrznych decyzjach, procedurach i przepisach wykonawczych ELA. Zabezpieczenia te obejmują:

a) wyraźną definicję ról, obowiązków i etapów proceduralnych;

b) w stosownych przypadkach bezpieczne środowisko elektroniczne, które zapobiega bezprawnemu i przypadkowemu dostępowi lub przekazywaniu danych elektronicznych osobom nieupoważnionym;

c) w stosownych przypadkach bezpieczne przechowywanie i przetwarzanie dokumentów w formie papierowej;

d) należyte monitorowanie ograniczeń i okresowe przeglądy ich stosowania.

Przeglądy, o których mowa w lit. d), prowadzone są co najmniej raz na sześć miesięcy.

2. Ograniczenia są znoszone, gdy tylko przestają występować okoliczności uzasadniające ich stosowanie.

3. Dane osobowe są przechowywane zgodnie z obowiązującymi zasadami zatrzymywania danych, co określono w rejestrach dotyczących ochrony danych prowadzonych na podstawie art. 31 rozporządzenia.

Na koniec okresu przechowywania dane osobowe są usuwane, anonimizowane lub przekazywane do archiwów zgodnie z art. 13 rozporządzenia.

Artykuł  5

Zaangażowanie inspektora ochrony danych

1. Inspektor ochrony danych ELA jest niezwłocznie informowany przed podjęciem jakiejkolwiek decyzji o ograniczeniu praw osób, których dane dotyczą, zgodnie z niniejszą decyzją. Inspektorowi ochrony danych ELA należy przyznać dostęp do powiązanych rejestrów i wszelkich dokumentów dotyczących merytorycznego lub prawnego kontekstu.

2. Inspektor ochrony danych ELA może złożyć wniosek o dokonanie przeglądu stosowania ograniczenia. ELA informuje swojego inspektora ochrony danych na piśmie o wyniku takiego przeglądu.

3. ELA dokumentuje zaangażowanie inspektora ochrony danych w stosowanie ograniczeń, w tym przekazane mu informacje.

4. Administrator informuje inspektora ochrony danych o zniesieniu ograniczenia, gdy do tego dojdzie.

Artykuł  6

Prawo do informacji

1. W należycie uzasadnionych przypadkach i na warunkach określonych w niniejszej decyzji prawo do informacji może zostać ograniczone przez administratora w kontekście następujących operacji przetwarzania danych:

a) prowadzenia postępowań administracyjnych, postępowań przeddyscyplinarnych i dyscyplinarnych;

b) czynności związanych z przypadkami potencjalnych nieprawidłowości zgłaszanymi do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF);

c) procedur związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów;

d) (formalnych i nieformalnych) procedur podejmowanych w przypadkach nękania;

e) rozpatrywania wewnętrznych i zewnętrznych skarg;

f) audytów wewnętrznych i zewnętrznych;

g) uzgodnionych i wspólnych inspekcji, przy udzielaniu lub otrzymywaniu pomocy od organów publicznych państw członkowskich UE i współpracy z nimi, na ich wniosek lub z własnej inicjatywy ELA;

h) postępowań prowadzonych przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725;

i) postępowań dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU);

j) przetwarzania danych osobowych znajdujących się w dokumentach otrzymanych od stron lub interwenientów w kontekście postępowań przed Trybunałem Sprawiedliwości Unii Europejskiej.

ELA zamieszcza informacje o potencjalnym ograniczeniu praw w informacjach o ochronie danych osobowych, oświadczeniach o ochronie prywatności lub rejestrze w rozumieniu art. 31 rozporządzenia (UE) 2018/1725, publikowanych na stronie internetowej lub w intranecie, gdzie zawarta jest informacja dla osób, których dane dotyczą, na temat praw przysługujących im w ramach danej procedury. Informacja zawiera wskazanie danych, które mogą podlegać ograniczeniu, przyczyny ograniczenia oraz potencjalny okres obowiązywania ograniczenia.

2. Bez uszczerbku dla przepisów ust. 1, ELA, gdy jest to proporcjonalne, bez zbędnej zwłoki informuje również na piśmie indywidualnie wszystkie osoby, których dane dotyczą, uznawane za osoby objęte konkretną operacją przetwarzania danych, o przysługujących im prawach odnośnie do obecnych lub przyszłych ograniczeń.

3. Jeżeli ELA ogranicza, całkowicie lub częściowo, przekazywanie informacji osobom, których dane dotyczą, o czym mowa w ust. 2, podaje w rejestrze przyczyny ograniczenia, podstawę prawną zgodnie z art. 2 niniejszej decyzji, w tym ocenę konieczności i proporcjonalności ograniczenia.

W rejestrze uwzględnia się wspomniany wpis oraz, w stosownych przypadkach, dokumenty zawierające elementy stanu faktycznego oraz aspekty prawne będące jego podstawą. Udostępnia się je na żądanie Europejskiego Inspektora Ochrony Danych.

4. Ograniczenie, o którym mowa w ust. 1, ma zastosowanie tak długo, jak długo występują powody uzasadniające to ograniczenie.

Jeżeli powody ograniczenia przestają występować, ELA przedstawia osobie, której dane dotyczą, informacje o podstawowych przyczynach stosowania ograniczenia. Jednocześnie ELA informuje osobę, której dane dotyczą, o prawie do wniesienia w dowolnym momencie skargi do Europejskiego Inspektora Ochrony Danych lub wystąpienia o sądowy środek ochrony prawnej do Trybunału Sprawiedliwości Unii Europejskiej.

Artykuł  7

Prawo dostępu przysługujące osobie, której dane dotyczą

1. W należycie uzasadnionych przypadkach i na warunkach określonych w niniejszej decyzji prawo dostępu może zostać ograniczone przez administratora w kontekście następujących operacji przetwarzania danych, jeżeli jest to konieczne i proporcjonalne:

a) prowadzenia postępowań administracyjnych i dyscyplinarnych;

b) czynności związanych z przypadkami potencjalnych nieprawidłowości zgłaszanymi do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF);

c) procedur związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów;

d) (formalnych i nieformalnych) procedur podejmowanych w przypadkach nękania;

e) rozpatrywania wewnętrznych i zewnętrznych skarg;

f) audytów wewnętrznych i zewnętrznych;

g) uzgodnionych i wspólnych inspekcji, przy udzielaniu lub otrzymywaniu pomocy od organów publicznych państw członkowskich UE i współpracy z nimi, na ich wniosek lub z własnej inicjatywy ELA;

h) postępowań prowadzonych przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725;

i) postępowań dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU);

j) przetwarzania danych osobowych znajdujących się w dokumentach otrzymanych od stron lub interwenientów w kontekście postępowań przed Trybunałem Sprawiedliwości Unii Europejskiej.

Jeżeli osoby, których dane dotyczą, żądają dostępu do swoich danych osobowych przetwarzanych w kontekście co najmniej jednej sprawy lub konkretnej operacji przetwarzania, zgodnie z art. 17 rozporządzenia (UE) 2018/1725 ELA ogranicza się w ocenie wniosku wyłącznie do takich danych osobowych.

2. Jeżeli ELA ogranicza, w całości lub częściowo, prawo dostępu, o którym mowa w art. 17 rozporządzenia (UE) 2018/1725, podejmuje następujące kroki:

a) w odpowiedzi na wniosek informuje osobę, której dane dotyczą, o stosowanym ograniczeniu i jego głównych przyczynach, jak również o możliwości złożenia skargi do Europejskiego Inspektora Ochrony Danych i odwołania się do Trybunału Sprawiedliwości Unii Europejskiej;

b) w wewnętrznej notatce oceny dokumentuje powody ograniczenia, w tym ocenę konieczności i proporcjonalności ograniczenia oraz okres jego obowiązywania.

Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 można wstrzymać przekazanie informacji, o których mowa w lit. a), pominąć je lub odmówić ich, jeśli to unieważniałoby skutek nałożonego ograniczenia.

ELA dokonuje przeglądu stosowania ograniczenia co sześć miesięcy od jego przyjęcia oraz przy zamykaniu odpowiedniego dochodzenia. Następnie administrator co roku monitoruje konieczność zachowania jakiegokolwiek ograniczenia.

3. W rejestrze uwzględnia się wspomniany wpis oraz, w stosownych przypadkach, dokumenty zawierające elementy stanu faktycznego oraz aspekty prawne będące jego podstawą. Udostępnia się je na żądanie Europejskiego Inspektora Ochrony Danych.

Artykuł  8

Prawo do sprostowania danych, ich usunięcia i ograniczenia przetwarzania

1. W należycie uzasadnionych przypadkach i na warunkach określonych w niniejszej decyzji prawo do sprostowania, usunięcia i ograniczenia może zostać ograniczone przez administratora w kontekście następujących operacji przetwarzania, gdy jest to konieczne i właściwe:

a) prowadzenia postępowań administracyjnych i dyscyplinarnych;

b) czynności związanych z przypadkami potencjalnych nieprawidłowości zgłaszanymi do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF);

c) procedur związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów;

d) (formalnych i nieformalnych) procedur podejmowanych w przypadkach nękania;

e) rozpatrywania wewnętrznych i zewnętrznych skarg;

f) audytów wewnętrznych i zewnętrznych;

g) uzgodnionych i wspólnych inspekcji, przy udzielaniu lub otrzymywaniu pomocy od organów publicznych państw członkowskich UE i współpracy z nimi, na ich wniosek lub z własnej inicjatywy ELA;

h) postępowań prowadzonych przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725;

i) postępowań dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU);

j) przetwarzania danych osobowych znajdujących się w dokumentach otrzymanych od stron lub interwenientów w kontekście postępowań przed Trybunałem Sprawiedliwości Unii Europejskiej.

2. Jeżeli ELA ogranicza w całości lub częściowo stosowanie prawa do sprostowania danych, ich usunięcia i ograniczenia przetwarzania, o których mowa odpowiednio w art. 18, art. 19 ust. 1 i art. 20 ust. 1 rozporządzenia (UE) 2018/1725, podejmuje kroki określone w art. 6 ust. 2 niniejszej decyzji oraz dokonuje wpisu w rejestrze zgodnie z art. 6 ust. 3 decyzji.

Artykuł  9

Informowanie osób, których dane dotyczą, o ograniczeniach związanych z ich prawami

ELA może wstrzymać przekazanie informacji o powodach zastosowania ograniczenia i o prawie do wniesienia skargi do EIOD, pominąć je lub go odmówić przez czas, przez jaki mogłoby ono unieważnić skutek ograniczenia. Oceny zasadności takiej decyzji dokonuje się w poszczególnych przypadkach. Gdy tylko przekazanie takich informacji przestaje wywoływać unieważnienie skutku ograniczenia, ELA przekazuje te informacje osobie, której dane dotyczą.

Artykuł  10

Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

1. Gdy ELA jest zobowiązany do zawiadomienia o naruszeniu ochrony danych osobowych na podstawie art. 35 ust. 1 rozporządzenia, może w wyjątkowych okolicznościach ograniczyć takie zawiadomienie w całości lub w części. W zgłoszeniu dokumentuje powody takiego ograniczenia, podstawę prawną, na mocy art. 2, i ocenę jego konieczności i proporcjonalności. Zgłoszenie przekazuje EIOD w momencie zgłaszania naruszenia ochrony danych osobowych.

2. Jeżeli przyczyny ograniczenia przestają mieć zastosowanie, ELA informuje osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych i informuje ją o głównych powodach ograniczenia oraz o przysługującym jej prawie do wniesienia skargi do EIOD.

Artykuł  11

Poufność łączności elektronicznej

1. W wyjątkowych okolicznościach ELA może ograniczyć prawo do poufności łączności elektronicznej na podstawie art. 36 rozporządzenia. Ograniczenia takie są zgodne z przepisami dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady ⁴ .

2. Jeżeli ELA ogranicza prawo do poufności łączności elektronicznej, informuje daną osobę, której dane dotyczą, w odpowiedzi na jakikolwiek wniosek ze strony osoby, której dane dotyczą, o głównych powodach, na których opiera się zastosowanie ograniczenia, i o jej prawie do wniesienia skargi do EIOD.

3. ELA może wstrzymać przekazanie informacji o powodach zastosowania ograniczenia i o prawie do wniesienia skargi do EIOD, pominąć je lub go odmówić przez czas, przez jaki mogłoby ono unieważnić skutek ograniczenia. Oceny zasadności takiej decyzji dokonuje się w poszczególnych przypadkach.

Artykuł  12

Wejście w życie

Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Sporządzono w Bratysławie dnia 24 listopada 2022 r.

1 Dz.U. L 295 z 21.11.2018, s. 39.

2 Dz.U. L 186 z 11.7.2019, s. 21.

3 Rozporządzenie Rady (EWG, Euratom, EWWiS) nr 259/68 z dnia 29 lutego 1968 r. ustanawiające regulamin pracowniczyurzędników i warunki zatrudnienia innych pracowników Wspólnot Europejskich orazustanawiające szczególne warunki mające tymczasowe zastosowanie do urzędników Komisji (Dz.U. L 56 z 4.3.1968, s. 1).

4 Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz.U. L 201 z 31.7.2002, s. 37).

• Identyfikator: Dz.U.UE.C.2023.113.17
• Rodzaj: Decyzja
• Tytuł: Decyzja zarządu ELA nr 20/2022 z dnia 24 listopada 2022 r. w sprawie wewnętrznych zasad dotyczących ograniczania niektórych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach działań prowadzonych przez Europejski Urząd ds. Pracy
• Data aktu: 24/11/2022
• Data ogłoszenia: 28/03/2023
• Data wejścia w życie: 17/04/2023