EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 32020D0969
Commission Decision (EU) 2020/969 of 3 July 2020 laying down implementing rules concerning the Data Protection Officer, restrictions of data subjects’ rights and the application of Regulation (EU) 2018/1725 of the European Parliament and of the Council, and repealing Commission Decision 2008/597/EC
Решение (ЕС) 2020/969 на Комисията от 3 юли 2020 година за установяване на правила за прилагане във връзка с длъжностното лице по защита на данните, ограниченията на правата на субектите на данни и прилагането на Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета и за отмяна на Решение 2008/597/ЕО на Комисията
Решение (ЕС) 2020/969 на Комисията от 3 юли 2020 година за установяване на правила за прилагане във връзка с длъжностното лице по защита на данните, ограниченията на правата на субектите на данни и прилагането на Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета и за отмяна на Решение 2008/597/ЕО на Комисията
C/2020/4183
OB L 213, 6.7.2020, p. 12–22
(BG, ES, CS, DA, DE, ET, EL, EN, FR, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
6.7.2020 |
BG |
Официален вестник на Европейския съюз |
L 213/12 |
РЕШЕНИЕ (ЕС) 2020/969 НА КОМИСИЯТА
от 3 юли 2020 година
за установяване на правила за прилагане във връзка с длъжностното лице по защита на данните, ограниченията на правата на субектите на данни и прилагането на Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета и за отмяна на Решение 2008/597/ЕО на Комисията
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 249, параграф 1 от него,
като взе предвид Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 г. относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (1), и по-специално член 45, параграф 3 от него,
като има предвид, че:
(1) |
За да се гарантира правилното функциониране на службата на длъжностното лице по защита на данните („ДЛЗД“) на Комисията, е необходимо да бъдат подробно определени задачите, задълженията и правомощията на ДЛЗД. |
(2) |
Регламент (ЕС) 2018/1725 възлага ясни отговорности на администраторите на лични данни, по-специално по отношение на субектите на данни. С цел да се гарантира, че в качеството си на администратор Комисията изпълнява отговорностите си по еднообразен начин и при условията на прозрачност, следва да се въведат правила за това как се установява кой в дадена служба или служби на Комисията отговаря за операция по обработване, която се извършва от името на Комисията. Във връзка с това е целесъобразно да се въведе понятието „администратор с делегирани правомощия“, за да се определят точно отговорностите на подразделенията на Комисията, по-специално що се отнася до индивидуалните решения относно правата на субектите на данни. Освен това е целесъобразно да се въведе понятието „оперативен администратор“, който да работи под ръководството на администратора с делегирани правомощия и да се определя с цел да осигурява спазването на правилата на практика и да обработва исканията на субектите на данни във връзка с операции по обработване. Назначаването на оперативен администратор не възпрепятства използването в практиката на точка за контакт, например под формата на функционална пощенска кутия, която да се поставя на разположение за исканията на субектите на данни. |
(3) |
В определени случаи няколко служби на Комисията могат да извършват съвместно операция по обработване, за да изпълнят задълженията си. В такива случаи те следва да осигуряват наличието на вътрешни договорености, за да определят по прозрачен начин съответните им отговорности съгласно Регламент (ЕС) 2018/1725, и по-специално отговорностите по отношение на субектите на данни, уведомяването на Европейския надзорен орган по защита на данните (ЕНОЗД) и воденето на документация. |
(4) |
С цел да се улесни упражняването на отговорностите на администраторите с делегирани правомощия, всяка служба на Комисията следва да назначи координатор по защита на данните („КЗД“). КЗД следва да участва в мрежата на координаторите по защита на данните в Комисията с цел да осигури съгласувано прилагане и тълкуване на Регламент (ЕС) 2018/1725 в Комисията и да обсъжда въпроси от общ интерес. |
(5) |
С оглед на задачата на ДЛЗД да възлага отговорности съгласно член 45, параграф 1, буква б) от Регламент (ЕС) 2018/1725, ДЛЗД следва да издаде допълнителни насоки относно функциите на КЗД. |
(6) |
Комисията обработва няколко категории лични данни за целите на дейностите по наблюдение, разследване, одит и консултиране, извършвани от ДЛЗД. По-специално Комисията обработва данни за установяване на самоличността, данни за контакт, професионални данни и данни за участие в случая. Тези данни се съхраняват за срок от пет години след приключването на дейностите в съответствие с общия за Комисията списък за съхранение на преписки (2). |
(7) |
При определени обстоятелства е необходимо правата на субектите на данни съгласно Регламент (ЕС) 2018/1725 да се съгласуват с необходимостта Комисията да изпълнява задачите на ДЛЗД по наблюдение, разследване, одит или консултиране и с нуждата от поверителност на обмена на информация с други служби на Комисията, както и с пълното зачитане на основните права и свободи на други субекти на данни. За тази цел с член 25, параграф 1 от Регламент (ЕС) 2018/1725 на Комисията се предоставя възможността да ограничава прилагането на членове 14—17, член 19, член 20 и член 35, както и на принципа на прозрачност, установен в член 4, параграф 1, буква а), доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—17, член 19 и член 20 от този регламент. |
(8) |
За да се гарантират поверителността и ефективността на задачите на ДЛЗД по наблюдение, разследване, одит или консултиране при спазване на стандартите за защита на личните данни по Регламент (ЕС) 2018/1725, е необходимо да се приемат вътрешни правила, по силата на които ДЛЗД да може да ограничава правата на субектите на данни в съответствие с член 25 от Регламент (ЕС) 2018/1725. |
(9) |
Вътрешните правила следва да се прилагат за всички операции по обработване на данни, извършвани от Комисията при изпълнението на задачите на ДЛЗД по наблюдение, разследване, одит или консултиране. Те следва да се прилагат за операциите по обработване, извършвани преди започването на разследване или одит, в хода на разследване или одит и по време на наблюдението на последващите действия след тяхното приключване. Тези правила следва да се прилагат и за операциите по обработване, които са част от задачите, свързани с функцията на ДЛЗД по разследване или одит, като например процедурите по жалби, по които работи ДЛЗД. Правилата следва да се прилагат и за наблюдението и консултациите от страна на ДЛЗД, когато ДЛЗД съдейства на службите на Комисията и си сътрудничи с тях извън рамките на своите административни разследвания и одити. |
(10) |
С оглед на спазването на членове 14, 15 и 16 от Регламент (ЕС) 2018/1725 Комисията следва да информира всички физически лица относно задачите на ДЛЗД по наблюдение, разследване, одит или консултиране, включващи обработване на личните им данни, както и за правата им съгласно Регламент (ЕС) 2018/1725. Комисията следва да информира тези физически лица по прозрачен и последователен начин, под формата на известия за политиката за защита на личните данни, публикувани на уебсайта на Комисията, както и да информира всеки субект на данни, засегнат от дейността на ДЛЗД по наблюдение, разследване, одит или консултиране. |
(11) |
При определени обстоятелства може да се наложи Комисията да ограничи предоставянето на информация на субектите на данни и прилагането на други права на субектите на данни. Тя може да прави това с цел да се защитят изпълнението на задачите на ДЛЗД по наблюдение, разследване, одит или консултиране, свързаните с тях разследвания и процедури на други служби на Комисията, инструментите и методите за разследване и одит на ДЛЗД, както и правата на други лица, свързани със задачите на ДЛЗД. |
(12) |
В някои случаи предоставянето на определена информация на субектите на данни или разкриването на наличието на дейност на ДЛЗД по наблюдение, разследване, одит или консултиране би могло да направи невъзможна операцията по обработване или сериозно да засегне нейната цел и способността на ДЛЗД да извършва такава дейност. |
(13) |
Освен това Комисията следва да защитава самоличността на информаторите, за които не следва да има отрицателни последици в резултат на сътрудничеството им с ДЛЗД. |
(14) |
По тези причини може да се наложи Комисията да прилага основанията за ограничения, посочени в член 25, параграф 1, букви в), ж) и з) от Регламент (ЕС) 2018/1725, към операции по обработване на данни, извършвани в рамките на задачите на ДЛЗД по наблюдение, разследване, одит или консултиране, определени в член 45 от регламента. |
(15) |
Наред с това, с оглед на поддържането на ефективно сътрудничество, може да се наложи Комисията да прилага ограничения на правата на субектите на данни с цел да защити информацията, съдържаща лични данни, която е предоставена от служби на Комисията или от институции или органи на Съюза. За тази цел ДЛЗД следва да се консултира с тези служби, институции или органи за релевантните основания за ограниченията и за необходимостта и пропорционалността на ограниченията. |
(16) |
При изпълнение на задачите си по наблюдение, разследване, одит или консултиране ДЛЗД обменя информация, включително лични данни, с други служби на Комисията. Поради това всички служби на Комисията, обработващи лични данни, които се обработват от ДЛЗД при изпълнението на неговите задачи, следва да прилагат правилата, определени в настоящото решение, за да бъдат защитени операциите по обработване, извършвани от ДЛЗД. Затова при такива обстоятелства съответните служби на Комисията следва да се консултират с ДЛЗД за релевантните основания за ограниченията и тяхната необходимост и пропорционалност, за да се гарантира последователното им прилагане. |
(17) |
ДЛЗД — а ако е уместно, и други служби на Комисията — следва да обработва всички ограничения по прозрачен начин и да регистрира всеки случай на прилагане на ограничения в съответния регистър. |
(18) |
Съгласно член 25, параграф 8 от Регламент (ЕС) 2018/1725 администраторите на лични данни могат да отложат или да се въздържат от предоставянето на информация на субекта на данните за причините за прилагането на ограничение, ако предоставянето на тази информация би изложило по някакъв начин на риск целта на ограничението. По-специално, когато се прилага ограничение на правата, предвидени в членове 16 и 35, уведомяването за него би изложило на риск целта на ограничението. За да се гарантира, че предвиденото в членове 16 и 35 от Регламент (ЕС) 2018/1725 право на субекта на данни да бъде информиран е ограничено само докато траят причините за отлагането, Комисията следва редовно да преразглежда своята позиция. |
(19) |
Когато се прилага ограничение на правата на други субекти на данни, ДЛЗД следва да преценява за всеки отделен случай дали съобщаването на ограничението би изложило на риск неговата цел. |
(20) |
ДЛЗД следва да извършва независим преглед на прилагането от другите служби на Комисията на ограниченията, основани на настоящото решение, с цел да се осигури спазването на настоящото решение. |
(21) |
Всяко ограничение, приложено въз основа на настоящото решение, следва да бъде необходимо и пропорционално, като се вземат предвид рисковете за правата и свободите на субектите на данни. |
(22) |
В съответствие с член 41, параграфи 1 и 2 от Регламент (ЕС) 2018/1725 Европейският надзорен орган по защита на данните беше информиран и с него беше проведена консултация, като той даде становище на 16 септември 2019 г. |
(23) |
С Решение 2008/597/ЕО на Комисията (3) се установяват правила по изпълнение във връзка с длъжностното лице за защита на данните съгласно Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (4). Регламент (ЕС) 2018/1725 отмени Регламент (ЕО) № 45/2001, считано от 11 декември 2019 г. За да се гарантира, че спрямо длъжностното лице по защита на данните се прилага само един набор от правила за прилагане, Решение 2008/597/ЕО следва също да бъде отменено, |
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
ГЛАВА 1
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет и приложно поле
1. С настоящото решение се определят правилата и процедурите за прилагането на Регламент (ЕС) 2018/1725 от страна на Комисията и се установяват правилата за прилагане във връзка с длъжностното лице по защита на данните на Комисията („ДЛЗД“).
2. С настоящото решение се определят и правилата, които Комисията трябва да спазва, когато, във връзка със задачите на ДЛЗД по наблюдение, разследване, одит или консултиране, информира субектите на данни за обработването на техните лични данни в съответствие с членове 14, 15 и 16 от Регламент (ЕС) 2018/1725.
3. С настоящото решение се определят също условията, при които във връзка със задачите на ДЛЗД по наблюдение, разследване, одит или консултиране Комисията може да ограничи прилагането на член 4, членове 14—17, членове 19, 20 и 35 от Регламент (ЕС) 2018/1725 в съответствие с член 25, параграф 1, букви в), ж) и з) от него.
4. Настоящото решение се прилага за обработването на лични данни от Комисията за целите на или във връзка със задачите на ДЛЗД, посочени в член 45 от Регламент (ЕС) 2018/1725, и по-специално задачите на ДЛЗД по наблюдение, разследване, одит или консултиране.
Член 2
Администриране
За целите на настоящото решение Комисията се смята за администратор по смисъла на член 3, параграф 8 от Регламент (ЕС) 2018/1725.
Член 3
Определения
За целите на настоящото решение се прилагат следните определения:
(1) |
„длъжностно лице по защита на данните“ (ДЛЗД) означава лицето, определено от Комисията съгласно член 43 от Регламент (ЕС) 2018/1725; |
(2) |
„задачи на ДЛЗД“ означава задачите на ДЛЗД, посочени в член 45 от Регламент (ЕС) 2018/1725, и по-специално задачите на ДЛЗД по наблюдение, разследване, одит или консултиране; |
(3) |
„координатор по защита на данните“ (КЗД) означава служител на Комисията, назначен от генерална дирекция или служба на Комисията, за да съветва и подпомага тази генерална дирекция или служба по всички аспекти на защитата на личните данни; |
(4) |
„администратор с делегирани правомощия“ означава ръководителят на генералната дирекция, службата или кабинета, които извършват операция по обработване от името на Комисията в изпълнение на задачите на тази генерална дирекция, служба или кабинет; |
(5) |
„оперативен администратор“ означава служител на Комисията на средно или висше управленско равнище, определен от администратора с делегирани правомощия, за да гарантира документирането на операцията по обработване и да служи като основна точка за контакт за субектите на данни във връзка с операцията по обработване; |
(6) |
„вътрешна договореност“ означава всяко споразумение между две или повече генерални дирекции или служби за определяне на съответните им отговорности и координиране на документирането на обработването по отношение на операция по обработване, която те извършват съвместно, или в случаите, когато една или повече генерални дирекции или служби извършват част от операцията по обработване, извършвана от администратора с делегирани правомощия; |
(7) |
„информатор“ означава лице, което подава до ДЛЗД сигнал с твърдения за нарушение на разпоредбите на Регламент (ЕС) 2018/1725 или иска от ДЛЗД да разследва пряко свързани със задачите на ДЛЗД въпроси и събития, които това лице довежда до вниманието на ДЛЗД. |
ГЛАВА 2
ДЛЪЖНОСТНО ЛИЦЕ ПО ЗАЩИТА НА ДАННИТЕ И КООРДИНАТОР ПО ЗАЩИТА НА ДАННИТЕ
Член 4
Определяне и длъжност
ДЛЗД се избира измежду персонала на Комисията въз основа на неговите професионални качества, включително добро познаване на службите на Комисията, тяхната структура и административните им правила и процедури.
Член 5
Задачи и задължения
1. ДЛЗД допринася за изграждането на култура на защита на личните данни в рамките на Комисията въз основа на оценка на риска и отчетност.
2. ДЛЗД наблюдава прилагането на Регламент (ЕС) 2018/1725 в Комисията, наред с другото, чрез ежегодно изготвяне и прилагане на работна програма за инспекции и одити.
3. ДЛЗД организира и председателства редовни срещи на координаторите по защита на данните.
4. ДЛЗД завежда в централен регистър документацията на Комисията за дейностите по обработване и предоставя публичен достъп до този регистър.
ДЛЗД води също така вътрешен регистър на Комисията за нарушенията на сигурността на личните данни по смисъла на член 3, точка 16 от Регламент (ЕС) 2018/1725.
5. При изпълнението на своите функции ДЛЗД си сътрудничи с длъжностните лица по защита на данните, определени от другите институции и органи на Съюза.
6. ДЛЗД се смята за администратор с делегирани правомощия за целите на индивидуалните решения относно правата на субектите на данни съгласно Регламент (ЕС) 2018/1725 във връзка с операциите по обработване на ДЛЗД.
Член 6
Правомощия
При изпълнение на задачите на ДЛЗД:
а) |
когато това е необходимо за изпълнението на тези задачи, ДЛЗД има право на достъп до данните, съставляващи предмета на операциите по обработване на личните данни, и до всички служебни помещения, инсталации за обработване на данни и носители на данни; |
б) |
ДЛЗД може да иска правни становища от Правната служба на Комисията; |
в) |
в случай на конфликт между ДЛЗД и администратора с делегирани правомощия, оперативния администратор или обработващия лични данни във връзка с тълкуването или прилагането на Регламент (ЕС) 2018/1725, ДЛЗД може да информира компетентния администратор с делегирани правомощия и генералния секретар; |
г) |
ДЛЗД може да възлага досиета на съответните генерални дирекции или служби на Комисията с цел предприемане на подходящи последващи действия; |
д) |
при поискване или по собствена инициатива ДЛЗД може да извършва разследвания по пряко свързани със задачите си въпроси и събития в съответствие с процедурата, предвидена в член 11; |
е) |
при отправяне на препоръки и предоставяне на съвети, ДЛЗД може:
|
ж) |
може да свежда до вниманието на генералния секретар всяко неизпълнение от страна на администратор с делегирани правомощия, оперативен администратор или обработващ лични данни на мерките, предприети съгласно член 6, буква е); |
з) |
отговаря за първоначалните решения по исканията за достъп до документи, съхранявани от неговата служба съгласно Регламент (ЕО) № 1049/2001 на Европейския парламент и на Съвета (5). |
Член 7
Координатори по защита на данните
1. Администраторът с делегирани правомощия назначава един КЗД и, ако е целесъобразно, един или повече помощник-КЗД в генералната дирекция или службата, за която отговаря. Двама или повече администратори с делегирани правомощия могат, по съображения за съгласуваност или ефикасност, да решат да назначат общ КЗД или помощник-КЗД или да ползват съвместно услугите на вече назначен КЗД или помощник-КЗД. Съответните администратори с делегирани правомощия документират в писмена форма съгласието си за това.
2. Назначеният от всяка генерална дирекция или служба КЗД е компетентен и за кабинета, отговарящ за съответната генерална дирекция или служба. Назначеният за Генералния секретариат КЗД е компетентен за кабинета на председателя, както и за кабинетите, за които Генералният секретариат е единствената служба със спомагателни функции. Когато един кабинет отговаря за няколко генерални дирекции или служби, администраторите с делегирани правомощия решават кой от съответните им КЗД ще бъде компетентен за този кабинет.
3. ДЛЗД, служителите в съответната генерална дирекция или служба и съответният кабинет биват информирани при всяко назначаване на нов КЗД.
Новоназначените КЗД преминават обучение за придобиване на необходимите компетенции за ролята на КЗД в срок от шест месеца от назначаването им. КЗД, който вече е заемал длъжността КЗД в друга генерална дирекция или служба или е бил член на персонала на ДЛЗД в периода от две години преди назначаването си като КЗД, се освобождава от посоченото изискване за обучение.
4. Администраторите с делегирани правомощия вземат подходящи мерки, за да гарантират, че КЗД се привлича по подходящ начин и своевременно за участие по всички въпроси, свързани със защитата на данните в неговата генерална дирекция или служба, както и че при поискване от КЗД дадените от него становища се свеждат незабавно до знанието на администратора с делегирани правомощия.
5. КЗД се избират въз основа на познанията и опита им във връзка с функционирането на съответната генерална дирекция или служба, мотивацията им за изпълнението на тази функция, компетенциите им по отношение на защитата на данните, разбирането на принципите на информационните системи и комуникационните им умения.
6. Функцията на КЗД може да се съчетава с други функции. Администраторът с делегирани правомощия гарантира, че въпросните функции са съвместими с функцията на КЗД.
7. Функцията КЗД е част от длъжностната характеристика на всеки член на персонала, назначен като КЗД. Отговорностите и постиженията му в това качество се посочват в годишния атестационен доклад.
8. КЗД действа като звено за контакт между администратора с делегирани правомощия, оперативния администратор и обработващия лични данни, от една страна, и ДЛЗД, от друга страна.
9. КЗД има право да получава всякаква информация в своята генерална дирекция или служба, доколкото това е необходимо за изпълнение на задачите му като КЗД. КЗД има достъп до лични данни само ако това е необходимо за изпълнението на неговите задачи.
10. КЗД води документация и изготвя анонимизирана статистика на исканията на субектите на данни до генералната дирекция, службата или кабинета, като посочва броя на подадените искания и броя на исканията, които са изцяло или частично отхвърлени. ДЛЗД посочва категориите искания, за които трябва да се пазят статистически данни. ДЛЗД може да посочи какви допълнителни данни трябва да бъдат предоставени.
КЗД води анонимизирана статистика на нарушенията на сигурността на личните данни, по които работи генералната дирекция, службата или кабинетът, като посочва общия брой на нарушенията на сигурността на личните данни, броя на нарушенията на сигурността на личните данни, за които е уведомен ЕНОЗД, и броя на нарушенията на сигурността на личните данни, за които е съобщено на субектите на данни.
11. КЗД повишава осведомеността по въпросите, свързани със защитата на данните, в своята генерална дирекция или служба и предоставя съвети и съдействие на администраторите с делегирани правомощия и оперативните администратори при изпълнението на техните задължения, особено във връзка с:
а) |
прилагането на общите принципи на Регламент (ЕС) 2018/1725; |
б) |
документацията за операциите по обработване; |
в) |
предаването на документацията за операциите по обработване, извършени от администраторите с делегирани правомощия, на ДЛЗД съгласно предвиденото в член 10; |
г) |
изготвянето на декларации за поверителност. |
12. КЗД участва в срещите, а при необходимост и в работните групи на КЗД.
13. ДЛЗД издава допълнителни указания относно отговорностите и функциите на КЗД.
ГЛАВА 3
АДМИНИСТРАТОРИ
Член 8
Администратори с делегирани правомощия и оперативни администратори
1. Администраторите с делегирани правомощия действат от името на Комисията като администратор за целите на прилагането на Регламент (ЕС) 2018/1725.
2. Администраторите с делегирани правомощия и оперативните администратори:
а) |
могат чрез КЗД да се консултират с ДЛЗД относно спазването на законодателството при операциите по обработване, особено в случай на съмнение относно това спазване; |
б) |
докладват чрез КЗД на ДЛЗД относно обработването на всички искания на субекти на данни за упражняване на техните права. |
3. Администраторът с делегирани правомощия:
а) |
определя оперативен администратор, който да съдейства на администратора с делегирани правомощия при осигуряване на спазването на Регламент (ЕС) 2018/1725, по-специално по отношение на субектите на данни; |
б) |
гарантира установяването на вътрешни договорености с други генерални дирекции или служби, когато той извършва операции по обработване съвместно с тези генерални дирекции или служби или когато въпросните генерални дирекции или служби извършват част от неговите операции по обработване. |
В посочените в първа алинея, буква б) договорености се определят съответните им отговорности във връзка с изпълнението на техните задължения за защита на данните. По-специално, в договореностите се посочват самоличността на администратора с делегирани правомощия, който определя средствата и целите на операцията по обработване, както и оперативният администратор за операцията по обработване, а когато е целесъобразно — и кои лица и/или образувания ще помагат на оперативния администратор, наред с другото, при събирането на информация в случай на нарушения на сигурността на данните или при упражняване на правата на субектите на данни.
4. Оперативният администратор:
а) |
получава и обработва всички искания, отправени от субектите на данни; |
б) |
уведомява Европейския надзорен орган по защита на данните (ЕНОЗД) в случай на нарушения на сигурността на личните данни; |
в) |
информира КЗД и ДЛЗД в случай на нарушения на сигурността на личните данни и уведомява субекта на данните, когато това е уместно; |
г) |
гарантира, че КЗД получава информация по всички въпроси, свързани със защитата на данните, и по-специално за исканията, отправяни от субектите на данни; |
д) |
изпълнява, при поискване от администратора с делегирани правомощия, всички други задачи, попадащи в приложното поле на настоящото решение. |
ГЛАВА 4
ДРУГИ ЗАДЪЛЖЕНИЯ И ПРОЦЕДУРИ
Член 9
Информация
Администраторът с делегирани правомощия, в сътрудничество с КЗД, информира ДЛЗД, когато се консултира с или информира ЕНОЗД в съответствие с Регламент (ЕС) 2018/1725, и по-специално членове 40 и 41 от него. Наред с това администраторът с делегирани правомощия, оперативният администратор или КЗД информират ДЛЗД за всички други преки взаимоотношения с ЕНОЗД, свързани с прилагането на Регламент (ЕС) 2018/1725.
Член 10
Регистър
1. ДЛЗД гарантира, че достъпът до регистъра на операциите по обработване на Комисията е възможен чрез уебсайта на ДЛЗД на интранета на Комисията и чрез уебсайта на ДЛЗД на уебсайта Europa.
2. Администраторите с делегирани правомощия уведомяват ДЛЗД, чрез своя КЗД, за документацията от своите операции по обработване, като за целта използват онлайн системата за уведомяване на Комисията, която е достъпна чрез уебсайта на ДЛЗД на интранета на Комисията.
Член 11
Процедура по разследване
1. Исканията за разследване, посочени в член 6, буква д), се адресират до ДЛЗД в писмена форма. В срок от 15 работни дни след получаване на искането ДЛЗД изпраща потвърждение за получаването до лицето, поискало разследването, и проверява дали искането трябва да се третира като поверително, за да гарантира поверителност при обработването му, освен ако съответният субект на данни даде недвусмислено съгласието си искането да бъде обработено по друг начин. При явна злоупотреба с правото да се иска разследване ДЛЗД не е задължено да докладва на лицето, което го е поискало.
2. ДЛЗД изисква писмено изявление по въпроса от администратора с делегирани правомощия, отговарящ за съответната операция по обработване на данни. Администраторът с делегирани правомощия предоставя отговора си на ДЛЗД в срок от 15 работни дни. ДЛЗД може да поиска допълнителна информация от администратора с делегирани правомощия, обработващия лични данни или други страни в срок от 15 работни дни.
3. ДЛЗД докладва на лицето, поискало разследването, до три месеца след получаване на искането. Този срок може временно да бъде спрян, докато ДЛЗД получи цялата допълнителна информация, която е поискал.
4. За никого не следва да има отрицателни последици в резултат на това, че е отнесъл до вниманието на ДЛЗД въпрос, при който се твърди, че е извършено нарушение на разпоредбите на Регламент (ЕС) 2018/1725.
Член 12
Административни въпроси и управление
1. За административни цели ДЛЗД е прикрепено към Генералния секретариат. В този контекст ДЛЗД участва в изготвянето на годишния план за управление и предварителния проектобюджет на Генералния секретариат.
2. ДЛЗД изпълнява ролята на атестиращо лице за работещите в Службата за защита на данните. Заместник генералният секретар изпълнява ролята на заверяващо лице. ДЛЗД участва по целесъобразност в координацията на управлението на Генералния секретариат.
ГЛАВА 5
ОГРАНИЧЕНИЯ НА ПРАВАТА НА СУБЕКТИТЕ НА ДАННИ
Член 13
Приложими изключения и ограничения
1. При изпълнение на задълженията си по отношение на правата на субектите на данни, произтичащи от Регламент (ЕС) 2018/1725, Комисията преценява дали се прилага някое от изключенията, предвидени в регламента.
2. При спазване на членове 14—18 от настоящото решение, Комисията може да ограничи прилагането на членове 14—17, 19, 20 и 35 от Регламент (ЕС) 2018/1725, както и на принципа на прозрачност, установен в член 4, параграф 1, буква а) от него, доколкото въведените от този член разпоредби съответстват на правата и задълженията, предвидени в членове 14—17, 19 и 20 от Регламент (ЕС) 2018/1725, ако упражняването на тези права и задължения би изложило на риск целта на задачите на ДЛЗД, включително чрез разкриването на използваните от него инструменти и методи за разследване или одит, или би имало неблагоприятно въздействие върху правата и свободите на други субекти на данни, както е предвидено в член 25, параграф 1, букви в), ж) и з).
3. При спазване на членове 14—18 от настоящото решение Комисията може да ограничава правата и задълженията, посочени в параграф 2 от настоящия член, във връзка с лични данни, които ДЛЗД е получило от службите на Комисията или от други институции и органи на Съюза. Комисията може да постъпва по този начин, когато упражняването на посочените права и задължения може да бъде ограничено от въпросните служби на Комисията или институции или органи на Съюза въз основа на други актове, посочени в член 25 от Регламент (ЕС) 2018/1725, или в съответствие с глава IX от същия регламент или съгласно Регламент (ЕС) 2016/794 на Европейския парламент и на Съвета (6) или Регламент (ЕС) 2017/1939 на Съвета (7).
Преди да приложи ограничения при обстоятелствата, посочени в първа алинея, Комисията се консултира със съответните институции или органи на Съюза, освен ако за Комисията е ясно, че прилагането на ограничението е предвидено в някой от актовете, посочени във въпросната алинея.
4. Всяко ограничаване на прилагането на правата и задълженията, посочено в параграф 2 от настоящия член, трябва да е необходимо и пропорционално, като се имат предвид рисковете за правата и свободите на субектите на данни.
Член 14
Предоставяне на информация на субектите на данни
1. Комисията публикува на своя уебсайт известия във връзка със защитата на данните, с които информира всички субекти на данни за задачите на ДЛЗД, включващи обработване на техните лични данни.
2. Комисията информира индивидуално, в подходяща форма, всяко физическо лице, за което счита, че е засегнато от задачите на ДЛЗД или че е информатор.
3. Когато Комисията ограничава изцяло или частично предоставянето на информация на субектите на данни, посочени в параграф 2, тя документира и регистрира причините за ограничението в съответствие с член 17.
Член 15
Право на достъп на субектите на данни, право на изтриване и право на ограничаване на обработването
1. Когато Комисията ограничава изцяло или частично правото на достъп до личните данни от страна на субектите на данни, правото на изтриване или правото на ограничаване на обработването, както са посочени съответно в членове 17, 19 и 20 от Регламент (ЕС) 2018/1725, в отговора си на искането за достъп, изтриване или ограничаване на обработването тя информира засегнатия субект на данни за приложеното ограничение и основните причини за него, както и за възможността за подаване на жалба до Европейския надзорен орган по защита на данните или за търсене на защита по съдебен ред пред Съда на Европейския съюз.
2. Предоставянето на информация относно причините за ограничението, посочено в параграф 1, може да бъде отложено, пропуснато или отказано дотогава, докато застрашава постигането на целта на ограничението.
3. Комисията документира и регистрира причините за ограничението в съответствие с член 17.
4. Когато правото на достъп е изцяло или частично ограничено, субектът на данни може да упражнява правото си на достъп с посредничеството на ЕНОЗД в съответствие с член 25, параграфи 6, 7 и 8 от Регламент (ЕС) 2018/1725.
Член 16
Съобщаване на субекта на данните за нарушение на сигурността на личните данни
Когато Комисията ограничава съобщаването на субекта на данните за нарушение на сигурността на личните данни, както е предвидено в член 35 от Регламент (ЕС) 2018/1725, тя документира и регистрира причините за ограничението в съответствие с член 17 от настоящото решение.
Член 17
Документиране и регистриране на ограниченията
1. Комисията документира причините за всички ограничения, налагани съгласно настоящото решение, като включва оценка на необходимостта и пропорционалността на ограничението за всеки отделен случай, вземайки предвид съответните елементи, посочени в член 25, параграф 2 от Регламент (ЕС) 2018/1725.
За тази цел в документацията се посочва по какъв начин упражняването на правото би изложило на риск целта на задачите на ДЛЗД, предвидени в настоящото решение, или ограниченията, приложени съгласно член 13, параграфи 2 или 3, или би имало неблагоприятно въздействие върху правата и свободите на други субекти на данни.
2. Тази документация и, ако е приложимо, документите, съдържащи фактическите и правните елементи, на които тя се основава, се вписват в регистъра. При поискване те се предоставят на ЕНОЗД.
Член 18
Срок на ограниченията
1. Ограниченията по членове 14, 15 и 16 се прилагат дотогава, докато основанията за налагането им са валидни.
2. Когато основанията за дадено ограничение по член 14 или член 16 престанат да са налице, Комисията отменя ограничението и посочва на субекта на данните основанията за ограничението. Същевременно Комисията информира субекта на данните за възможността да подаде жалба до ЕНОЗД по всяко време или да потърси защита по съдебен ред пред Съда на Европейския съюз.
3. Комисията извършва преглед на прилагането на ограниченията, посочени в членове 14 и 16, на всеки шест месеца от приемането им и при всички случаи при приключването на съответната дейност на ДЛЗД. След това Комисията преценява ежегодно необходимостта от запазването на ограничението или отлагането.
Член 19
Преглед от длъжностното лице по защита на данните
1. Когато други служби на Комисията стигнат до заключението, че правата на субекта на данните следва да бъдат ограничени съгласно настоящото решение, те информират ДЛЗД. Те му предоставят също така достъп до документацията и до документите, съдържащи фактическите и правните елементи, на които тя се основава.
2. ДЛЗД може да поиска от администратора с делегирани правомощия на съответната служба на Комисията да направи преглед на прилагането на ограниченията. Администраторът с делегирани правомощия на съответната служба на Комисията информира писмено ДЛЗД за резултата от поискания преглед.
ГЛАВА 6
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 20
Отмяна
Решение 2008/597/ЕО се отменя.
Член 21
Влизане в сила
Настоящото решение влиза в сила на двадесетия ден след деня на публикуването му в Официален вестник на Европейския съюз.
Съставено в Брюксел на 3 юли 2020 година.
За Комисията
Председател
Ursula VON DER LEYEN
(1) ОВ L 295, 21.11.2018 г., стр. 39.
(2) SEC(2019)900/2.
(3) Решение 2008/597/ЕО на Комисията от 3 юни 2008 г. за приемане на правила по изпълнение във връзка с длъжностното лице за защита на данните съгласно член 24, параграф 8 от Регламент (ЕО) № 45/2001 относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (ОВ L 193, 22.7.2008 г., стр. 7).
(4) Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (ОВ L 8, 12.1.2001 г., стр. 1).
(5) Регламент (ЕО) № 1049/2001 на Европейския парламент и на Съвета от 30 май 2001 г. относно публичния достъп до документи на Европейския парламент, на Съвета и на Комисията (ОВ L 145, 31.5.2001 г., стр. 43).
(6) Регламент (ЕС) 2016/794 на Европейския парламент и на Съвета от 11 май 2016 г. относно Агенцията на Европейския съюз за сътрудничество в областта на правоприлагането (Европол) и за замяна и отмяна на решения 2009/371/ПВР, 2009/934/ПВР, 2009/935/ПВР, 2009/936/ПВР и 2009/968/ПВР на Съвета (ОВ L 135, 24.5.2016 г., стр. 53).
(7) Регламент (ЕС) 2017/1939 на Съвета от 12 октомври 2017 г. за установяване на засилено сътрудничество за създаване на Европейска прокуратура (ОВ L 283, 31.10.2017 г., стр. 1).