1.   С настоящото решение се определят правилата във връзка с условията, при които Агенцията в рамките на административните разследвания и дисциплинарните производства може, когато уведомява OLAF за случаи в съответствие с Регламент (ЕС, Евратом) № 883/2013, да ограничи в съответствие с член 25 от Регламент (ЕС) 2018/1725 прилагането на правата, залегнали в членове 14—21, член 35 и член 36, както и член 4, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—21.

2.   Настоящото решение се прилага към операциите по обработване на лични данни, извършвани от Агенцията с цел провеждане на административни разследвания и дисциплинарни производства, както и за извършване на предварителни дейности, свързани със случаи на потенциални нередности, докладвани на OLAF (в съответствие с Регламент (ЕС, Евратом) № 883/2013), обработване на случаи на подаване на сигнали за нередности, провеждане на процедури (официални и неофициални), свързани с тормоз, обработване на вътрешни и външни жалби, извършване на вътрешни одити и провеждане на разследвания чрез длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725 и на разследвания в областта на сигурността (ИТ), осъществявани на вътрешно равнище или с външно участие (напр. CERT-EU).

Настоящото решение следва да се прилага и за дейностите на Агенцията по съдействие и сътрудничество, предоставяни от Агенцията извън нейните административни разследвания на други институции, органи, служби и агенции на Съюза, компетентни органи на държавите членки и международни организации с цел защита на техните операции по обработване.

Освен това настоящото решение се прилага за дейности, свързани със сътрудничеството с институциите и органите на ЕС и предаването на информация към тях относно административно разследване или дисциплинарно производство, когато такава информация е необходима на получателя, за да прецени основанията за започване на официално разследване или производство.

3.   Агенцията обработва няколко категории лични данни, например данни за установяване на самоличност, данни за връзка, професионални данни. Съответните категории данни могат да бъдат „твърди“ (например административни данни, телефон, частен адрес, електронни съобщения и данни за трафика) и/или „меки“ данни (например доклади за оценка, започване на разследвания, доклади за предварителни разследвания, записи на/протоколи от свидетелски показания и изслушвания в разследвания, социални дейности и поведение на служителите, коментари относно способностите и ефикасността на съответния(те) служител(и) и т.н.).

4.   Категориите субекти на данни, които могат да бъдат предмет на настоящото решение, са служители и бивши служители на Агенцията, т.е. (бивши) срочно наети служители, длъжностни лица/администратори, командировани национални експерти и стажанти, както и (бивши) подизпълнители на Агенцията.

5.   В съответствие с условията, определени в настоящото решение, ограниченията може да се прилагат по отношение на следните права: предоставяне на информация и съобщаване за нарушения на сигурността на личните данни на субектите на данни в съответствие с членове 16 и 35 от Регламент (ЕС) 2018/1725; право на достъп на субекта на данни в съответствие с член 17 от Регламент (ЕС) 2018/1725; право на коригиране, изтриване, ограничаване на обработването и уведомяване за коригиране или заличаване в съответствие с член 18, член 19, параграф 1 и членове 20 и 21 от Регламент (ЕС) 2018/1725.

1.   Европейската агенция по лекарствата, представлявана от своя изпълнителен директор, носи отговорност в качеството си на администратор на данни. На вътрешно равнище ръководителят на отдел „Административно и корпоративно управление“ е определен да действа чрез делегиране на правомощия като администратор на данни по отношение на дейностите, обхванати от настоящото решение. Ако административното разследване или дисциплинарното производство се отнася до ръководителя на отдел „Административно и корпоративно управление“, за това съответно разследване или производство функциите на администратор се поемат от заместник-изпълнителния директор.

2.   Личните данни се съхраняват в електронен файл и/или на хартиен носител. Наличните защитни мерки за избягване на нарушения на сигурността на личните данни, изтичане или неразрешено разкриване са следните:

3.   Приложимите срокове за съхранение и запазване на данните са следните:

4.   Рискът за правата и свободите на субекта на данни може да доведе до рискове по отношение на правото на зачитане на поверителността на неговите лични съобщения, на правото на свобода на изразяване на мнение и свобода на информация, както и правото на защита и правото на изслушване. Тези рискове ще бъдат съпоставени с основанията и целите, които обосновават прилагането на ограниченията, предвидени в настоящото решение. Това съпоставяне се документира надлежно и се извършва въз основа на анализ на всеки отделен случай, за да се гарантира, че ограничението се прилага само когато е необходимо и по пропорционален начин, както и в съответствие с правилата, определени в настоящото решение.

1.   Съгласно член 25, параграф 1 от Регламент (ЕС) 2018/1725 всички ограничения се прилагат единствено с цел гарантиране на:

2.   Като специфично прилагане за целите, описани в параграф 1 по-горе, Агенцията може да налага ограничения във връзка с личните данни, обменени със службите на Комисията или други институции, органи, агенции и служби на Съюза, компетентни органи на държавите членки или трети държави или международни организации при следните обстоятелства:

Преди да наложи ограниченията в обстоятелствата, посочени в букви а) и б) от първа алинея, Агенцията се консултира със съответните служби на Комисията, институции, органи, агенции, служби на Съюза или компетентните органи на държавите членки, освен ако за Агенцията не е ясно, че налагането на ограничение е предвидено в един от актовете, посочен в този букви.

3.   В едно демократично общество всички ограничения са необходими и пропорционални и са съобразени с характера на основните права и свободи.

4.   Въз основа на настоящите правила се извършва тест на необходимостта и пропорционалността. Това се документира чрез записка за вътрешна оценка за целите на отчетността за всеки отделен случай.

5.   Ограниченията се наблюдават надлежно и се извършва периодично преразглеждане поне на всеки шест месеца, за да се прецени дали условията, които обосновават конкретно ограничение, все още съществуват.

6.   Ограниченията се премахват веднага щом условията, които ги обосновават, престанат да са приложими, например когато упражняването на правата на субектите на данни (напр. предоставяне на информация за обработката на данни и достъп до досието) вече не застрашава целта на съответното разследване или процедура.

1.   Администраторът (от името на Агенцията) своевременно информира ДЛЗД на Агенцията, когато ограничава прилагането на правата на субектите на данни в съответствие с настоящото решение, и предоставя достъп до записите и документацията от оценката на необходимостта и пропорционалността на ограничението (включително всички документи, съдържащи основните фактологични и правни елементи). Това изискване се прилага и за всички последващи преразглеждания на ограничението.

2.   ДЛЗД може да изиска писмено от администратора да преразгледа прилагането на ограниченията. Администраторът уведомява писмено ДЛЗД относно резултата от искането за преразглеждане.

3.   Обменът на информация с ДЛЗД по време на цялата процедура се записва и документира писмено.

1.   Агенцията включва в декларацията за поверителност във връзка с административни разследвания и дисциплинарни производства и публикува на своя интранет сайт информацията относно потенциалното ограничаване на тези права. Информацията обхваща правата, които може да бъдат ограничени, причините за ограничението и потенциалния срок.

2.   Без да се засягат следващите параграфи, в допълнение Агенцията информира своевременно и в писмена форма индивидуално субектите на данни относно техните права по отношение на настоящите или бъдещите ограничения.

3.   Когато Агенцията ограничава изцяло или частично предоставянето на информация на субектите на данни в съответствие с настоящото решение, тя записва причините за ограничението, включително оценката на необходимостта и пропорционалността на ограничението. За тази цел в записа се посочва по какъв начин предоставянето на информацията би застрашило целта на съответното разследване или процедура или би имало неблагоприятно въздействие върху правата и свободите на други лица. Този документ и, ако е приложимо, документите, съдържащи основните фактологични и правни елементи, се регистрират. Те се предоставят на Европейския надзорен орган по защита на данните при поискване.

4.   Ограничението, посочено в параграф 3, продължава да се прилага, докато причините за него продължават да са валидни. Когато причините за ограничението вече не са приложими, Агенцията предоставя на субекта на данни съответната информация и причините за ограничението. Субектите на данни могат да изпращат запитвания до ДЛЗД.

5.   Същевременно Агенцията уведомява субекта на данни за възможността да подаде жалба до Европейския надзорен орган по защита на данните по всяко време или да потърси защита по съдебен ред пред Съда на Европейския съюз.

6.   Агенцията преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, и при приключване на процедурата.

1.   Когато субектите на данни поискат достъп до личните си данни, обработвани в контекста на един или повече конкретни случаи или за конкретна операция по обработване, в съответствие с член 17 от Регламент (ЕС) 2018/1725 Агенцията ограничава оценката си на искането единствено до тези лични данни.

2.   Когато ограничава изцяло или частично правото на достъп, посочено в член 17 от Регламент (ЕС) 2018/1725, Агенцията предприема следните стъпки:

Предоставянето на информацията, посочена в буква а), може да бъде отложено, пропуснато или отказано в съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725.

3.   Записът, посочен в параграф 2, буква б), и когато е приложимо, документите, съдържащи съответните фактологични и правни елементи, се регистрират. Те се предоставят на Европейския надзорен орган по защита на данните при поискване. Прилага се член 25, параграф 7 от Регламент (ЕС) 2018/1725.

1.   Когато ограничава съобщаването на субекта на данни за нарушение на сигурността на личните данни, посочено в член 35 от Регламент (ЕС) 2018/1725, Агенцията записва и регистрира причините за ограничението в съответствие с член 5, параграфи 3—6 от настоящото решение.

2.   Когато Агенцията ограничава правото на поверителност на електронните съобщения на субекта на данни, посочено в член 36 от Регламент (ЕС) 2018/1725, тя записва и регистрира причините за ограничението в съответствие с член 5, параграфи 3—6 от настоящото решение.