EUR-Lex Access to European Union law

Back to EUR-Lex homepage

This document is an excerpt from the EUR-Lex website

Document 32020Q0902(01)

Rozhodnutí kolegia 2020-04 ze dne 15. července 2020 o interních pravidlech týkajících se omezení některých práv subjektů údajů v souvislosti se zpracováním osobních údajů v rámci činností prováděných Eurojustem

Úř. věst. L 287, 2.9.2020, p. 1–6 (BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)

Legal status of the document In force

ELI: http://data.europa.eu/eli/dec/2020/4/oj

2.9.2020   

CS

Úřední věstník Evropské unie

L 287/1


ROZHODNUTÍ KOLEGIA 2020-04

ze dne 15. července 2020

o interních pravidlech týkajících se omezení některých práv subjektů údajů v souvislosti se zpracováním osobních údajů v rámci činností prováděných Eurojustem

KOLEGIUM EUROJUSTU,

s ohledem na Smlouvu o fungování Evropské unie,

s ohledem na nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (1) (dále jen „nařízení“), a zejména na článek 25 tohoto nařízení,

s ohledem na stanovisko evropského inspektora ochrany údajů („EIOÚ“) ze dne 25. června 2020,

vzhledem k těmto důvodům:

(1)

Eurojust je zmocněn provádět správní šetření, předběžná disciplinární řízení, disciplinární řízení a řízení o dočasném zproštění výkonu služby v souladu se služebním řádem úředníků Evropské unie a pracovním řádem ostatních zaměstnanců Evropské unie, který je stanoven nařízením Rady (EHS, Euratom) č. 259/68 (dále jen „služební řád“) (2), a v souladu s rozhodnutím Eurojustu ze dne 23. září 2013, kterým se stanoví obecná prováděcí ustanovení týkající se vedení správních šetření a disciplinárních řízení. V případě nutnosti rovněž oznamuje případy úřadu OLAF v souladu s rozhodnutím kolegia 2020-03 ze dne 15. července 2020 o podmínkách a postupech interních šetření v Eurojustu souvisejících s předcházením podvodům, úplatkářstvím a jinými protiprávními činnostmi, které poškozují zájmy Unie.

(2)

Zaměstnanci Eurojustu jsou povinni oznamovat veškeré potenciálně protiprávní činnosti, včetně podvodu a úplatkářství, které poškozují zájmy Unie. Zaměstnanci jsou rovněž povinni oznamovat jednání týkající se výkonu pracovních povinností, které může představovat vážné porušení povinností úředníků Unie. Tato povinnost je upravena rozhodnutím kolegia 2019-02 ze dne 29. ledna 2019 o pokynech Eurojustu k oznamování (whistleblowingu).

(3)

Eurojust zavedl politiku pro prevenci a efektivní řešení skutečných nebo potenciálních případů psychického nebo sexuálního obtěžování na pracovišti, jak je uvedeno v rozhodnutí Eurojustu ze dne 31. ledna 2012, kterým se stanoví politika Eurojustu pro ochranu důstojnosti osob a prevenci psychického a sexuálního obtěžování. Uvedené rozhodnutí stanoví neformální postup, jehož prostřednictvím se údajná oběť obtěžování může obrátit na „důvěrné“ poradce v rámci Eurojustu.

(4)

Eurojust také může provádět vyšetřování případných porušení bezpečnostních pravidel, pokud jde o utajované informace Evropské unie (dále jen „utajované informace EU“), a to na základě rozhodnutí kolegia 2016-4 ze dne 22. března 2016, kterým se přijímají revidovaná bezpečnostní pravidla Eurojustu, ve znění pozměněného rozhodnutí kolegia 2016-24 ze dne 13. prosince 2016.

(5)

Eurojust se podrobuje interními i externím auditům svých činností.

(6)

V souvislosti s těmito správními šetřeními, audity a vyšetřováními Eurojust spolupracuje s dalšími orgány, institucemi a jinými subjekty Unie.

(7)

Eurojust může spolupracovat s vnitrostátními orgány třetích zemí a mezinárodními organizacemi, a to buď na jejich žádost, nebo z vlastního podnětu.

(8)

Eurojust také může spolupracovat s orgány veřejné moci členských států EU, a to buď na jejich žádost, nebo z vlastního podnětu.

(9)

Eurojust se zapojuje do věcí projednávaných Soudním dvorem Evropské unie a v takových případech může buď věc postoupit Soudnímu dvoru, hájit rozhodnutí, které přijal a které bylo u Soudního dvora napadeno, nebo zasahovat ve věcech, které se týkají jeho úkolů. V této souvislosti může nastat situace, kdy bude Eurojust povinen chránit důvěrnost osobních údajů obsažených v dokumentech získaných stranami sporu nebo vedlejšími účastníky.

(10)

Za účelem plnění svých úkolů Eurojust shromažďuje a zpracovává informace a několik kategorií osobních údajů, včetně údajů o totožnosti fyzických osob (např. jméno, příjmení, datum narození atd.), kontaktní údaje (např. adresu bydliště, telefonní číslo, e-mailovou adresu atd.), pracovní pozice a úkoly, informace o soukromém a pracovním chování a výkonnosti (údaje o chování, které mohou být relevantní a mohou se omezovat pouze na to, co je nezbytné pro probíhající správní šetření, předběžná disciplinární řízení, disciplinární řízení a řízení o dočasném zproštění výkonu služby, předběžné činnosti týkající se případů možných nesrovnalostí oznámených úřadu OLAF, zpracovávání případů oznamování (whistleblowingu) a podobná řízení) a finanční údaje. Eurojust působí jako správce údajů.

(11)

Podle nařízení je proto Eurojust povinen poskytovat subjektům údajů informace o těchto činnostech zpracování a o jejich právech jako subjektech údajů.

(12)

Eurojust může být povinen hledat rovnováhu mezi těmito právy a cíli správních šetření, auditů, vyšetřování a soudních řízení. Rovněž může být nutné najít rovnováhu mezi právy subjektu údajů a základními právy a svobodami jiných subjektů údajů. Za tímto účelem umožňuje článek 25 nařízení (EU) 2018/1725 Eurojustu omezit za přísných podmínek použití článků 14 až 22, 35 a 36 nařízení, jakož i článku 4 v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 20. Nejsou-li omezení stanovena právním aktem přijatým na základě Smluv, je nezbytné přijmout interní pravidla, podle kterých je Eurojust oprávněn tato práva omezit.

(13)

Eurojust například může být nucen omezit informace, které poskytuje subjektu údajů o zpracování jeho osobních údajů během fáze předběžného posouzení správního šetření nebo během samotného šetření, a to před případným zamítnutím věci nebo ve fázi předběžného disciplinárního řízení. Za určitých okolností by poskytnutí těchto informací mohlo závažně ovlivnit schopnost Eurojustu účinně provádět šetření, například existuje-li riziko, že dotčená osoba může zničit důkazy nebo že před výslechem může ovlivňovat případné svědky. Může se také stát, že Eurojust bude povinen ochránit práva a svobody svědků, jakož i jiných dotčených osob.

(14)

Může být zapotřebí chránit anonymitu svědka nebo oznamovatele (whistleblowera), který požádal o utajení své totožnosti. V takovém případě může Eurojust v zájmu ochrany práv a svobod těchto osob rozhodnout o omezení přístupu k údajům o jejich totožnosti, jakož i k jejich prohlášením a dalším osobním údajům.

(15)

Může být zapotřebí chránit důvěrné informace o zaměstnanci, který se obrátil na důvěrné poradce Eurojustu v souvislosti s řízením týkajícím se obtěžování. V takovém případě může Eurojust v zájmu ochrany práv a svobod všech dotčených osob být povinen omezit přístup k údajům o totožnosti údajné oběti, údajného obtěžovatele a dalších dotčených osob, jakož i k jejich prohlášením a dalším osobním údajům.

(16)

Eurojust by měl uplatňovat omezení pouze tehdy, pokud respektují podstatu základních práv a svobod a představují nezbytně nutné a přiměřené opatření v demokratické společnosti. Eurojust by měl uvést důvody vysvětlující tato omezení.

(17)

V souladu se zásadou odpovědnosti by Eurojust měl vést záznamy o uplatňování těchto omezení.

(18)

Při zpracovávání osobních údajů vyměňovaných s jinými organizacemi v souvislosti se svými úkoly by měly Eurojust a tyto jiné organizace vzájemně konzultovat možné důvody pro uložení omezení a jejich nezbytnost a přiměřenost, pokud by to neohrozilo činnosti Eurojustu.

(19)

Ustanovení čl. 25 odst. 6 nařízení ukládá správci údajů povinnost informovat subjekty údajů o hlavních důvodech pro použití omezení a o jejich právu podat stížnost u EIOÚ.

(20)

Podle čl. 25 odst. 8 nařízení je Eurojust oprávněn odložit, neprovést nebo odepřít poskytnutí informací o důvodech pro použití omezení subjektu údajů, pokud by to jakýmkoli způsobem mařilo účinek omezení. Eurojust by měl v jednotlivých případech posoudit, zda by informování o omezení mařilo jeho účinek.

(21)

Eurojust by měl omezení zrušit, jakmile přestanou platit podmínky odůvodňující jeho uplatňování, přičemž tyto podmínky by měl pravidelně posuzovat.

(22)

V zájmu nejvyšší možné ochrany práv a svobod subjektů údajů a v souladu s čl. 44 odst. 1 nařízení by měl být pověřenec pro ochranu osobních údajů včas konzultován ohledně veškerých omezení, která mohou být použita, a ohledně ověření jejich souladu s tímto rozhodnutím.

(23)

Článek 16 odst. 5 a čl. 17 odst. 4 nařízení stanoví výjimky z práva subjektů údajů na informace a z práva na přístup k informacím. Pokud se použijí tyto výjimky, Eurojust není povinen uplatňovat omezení podle tohoto rozhodnutí,

PŘIJALO TOTO ROZHODNUTÍ:

Článek 1

Předmět a oblast působnosti

1.   Toto rozhodnutí stanoví předpisy týkající se podmínek, za nichž Eurojust může omezit použití článků 4, 14 až 22, 35 a 36, a to v souladu s článkem 25 nařízení.

2.   V závislosti na podmínkách stanovených v tomto rozhodnutí mohou platit omezení pro tato práva: právo na poskytnutí informací subjektům údajů, právo na přístup k osobním údajům, právo na opravu, výmaz a omezení zpracování, právo na oznamování případů porušení zabezpečení osobních údajů subjektu údajů a právo na důvěrnost elektronických komunikací.

3.   Toto rozhodnutí se použije na zpracování osobních údajů provedené Eurojustem, pokud Eurojust zpracovává osobní údaje pro účely týkající se správních šetření, předběžných disciplinárních řízení, disciplinárních řízení a řízení o dočasném zproštění výkonu služby, předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF, projednávání případů oznamování (whistleblowingu), (formálních a neformálních) postupů v případě obtěžování, vyřizování interních a externích stížností, provádění interních auditů, šetření prováděných pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725 a šetření (IT) bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

4.   Kategorie osobních údajů, na něž se toto rozhodnutí vztahuje, zahrnují identifikační údaje, kontaktní údaje, údaje o chování a finanční údaje.

5.   Eurojust je jako správce údajů zastoupen správním ředitelem.

Článek 2

Omezení

1.   Eurojust může omezit použití článků 14 až 22, 35 a 36, jakož i článku 4 v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 20:

a)

v souladu s čl. 25 odst. 1 písm. b), c), f), g) a h) nařízení, pokud provádí správní šetření, předběžná disciplinární řízení, disciplinární řízení nebo řízení o dočasném zproštění výkonu služby podle článku 86 a přílohy IX služebního řádu, a v souladu s rozhodnutím Eurojustu ze dne 23. září 2013, kterým se stanoví obecná prováděcí ustanovení o vedení správních šetření a disciplinárních řízení, nebo při oznamování případů úřadu OLAF;

b)

v souladu s čl. 25 odst. 1 písm. h) nařízení při zajišťování, aby mohli zaměstnanci Eurojustu důvěrně oznamovat skutečnosti, pokud jsou přesvědčeni, že došlo k závažným nesrovnalostem, jak je stanoveno v rozhodnutí kolegia 2019-02 ze dne 29. ledna 2019 o pokynech Eurojustu k oznamování (whistleblowingu);

c)

v souladu s čl. 25 odst. 1 písm. h) nařízení při zajišťování, aby zaměstnanci Eurojustu měli možnost oznámit důvěrným poradcům informace v souvislosti s řízením týkajícím se obtěžování, jak je vymezeno v rozhodnutí Eurojustu ze dne 31. ledna 2012, kterým se stanoví politika Eurojustu pro ochranu důstojnosti osob a prevenci psychického a sexuálního obtěžování;

d)

v souladu s čl. 25 odst. 1 písm. c), g) a h) nařízení, pokud se provádí interní audity v souvislosti s činnostmi nebo útvary Eurojustu;

e)

v souladu s čl. 25 odst. 1 písm. c), d), g) a h) nařízení, pokud poskytuje pomoc jinému orgánu, instituci a jiným subjektům Unie nebo od nich pomoc přijímá nebo pokud s nimi spolupracuje v souvislosti s činnostmi spadajícími do působnosti písm. a) až d) tohoto odstavce, a v souladu s příslušnými dohodami o úrovni služeb, memorandy o porozumění a dohodami s spolupráci;

f)

v souladu s čl. 25 odst. 1 písm. c), g) a h) nařízení, pokud poskytuje pomoc vnitrostátním orgánům třetích zemí nebo mezinárodním organizacím nebo od nich pomoc přijímá nebo pokud spolupracuje s těmito orgány a organizacemi, ať už na jejich žádost, nebo z vlastního podnětu;

g)

v souladu s čl. 25 odst. 1 písm. c), g) a h) nařízení, pokud poskytuje pomoc orgánům veřejné moci členských států nebo od nich pomoc přijímá nebo pokud spolupracuje s těmito orgány, ať už na jejich žádost, nebo z vlastního podnětu;

h)

v souladu s čl. 25 odst. 1 písm. e), pokud zpracovává osobní údaje v dokumentech získaných stranami sporu nebo vedlejšími účastníky v souvislosti s řízením u Soudního dvora Evropské Unie;

i)

podle čl. 25 odst. 1 písm. i), pokud je zpracování osobních údajů nezbytné pro vymáhání občanskoprávních nároků.

2.   Každé omezení respektuje podstatu základních práv a svobod a je nezbytné a přiměřené v demokratické společnosti.

3.   Před uplatněním omezení se v jednotlivých případech posoudí jejich nezbytnost a přiměřenost. Omezení se vztahují pouze na to, co je nezbytně nutné k dosažení cílů těchto omezení.

4.   Za účelem dodržení zásady odpovědnosti Eurojust vypracuje záznam, v němž popíše důvody uplatňovaných omezení, které důvody uvedené v odstavci 1 použil a výsledek posouzení jejich nezbytnosti a přiměřenosti. Tyto záznamy budou součástí rejstříku, který se na požádání zpřístupní EIOÚ. Eurojust pravidelně vypracuje zprávy o uplatňování článku 25 nařízení.

5.   Eurojust při zpracovávání osobních údajů obdržených od jiných organizací v souvislosti se svými úkoly tyto organizace konzultuje ohledně možných důvodů pro uložení omezení a nezbytnosti a přiměřenosti dotčených omezení, pokud to neohrozí činnosti Eurojustu.

Článek 3

Rizika z hlediska práv a svobod subjektů údajů

1.   Posouzení rizik uložení omezení pro práva a svobody subjektů údajů a podrobnosti o období platnosti těchto omezení se zaregistrují v záznamech o činnostech zpracování vedených Eurojustem podle článku 31 nařízení. Budou rovněž zaznamenána ve všech posouzeních vlivu na ochranu údajů týkajících se těchto omezení, která jsou prováděna v souladu s článkem 39 nařízení.

2.   Vždy, když Eurojust posuzuje nezbytnost a přiměřenost omezení, zváží možná rizika pro práva a svobody subjektu údajů. Pokud Eurojust zvažuje použití omezení, zváží se riziko pro práva a svobody subjektu údajů především ve srovnání s rizikem hrozícím právům a svobodám jiných subjektů údajů a s rizikem maření účinku vyšetřování nebo řízení vedených Eurojustem, například formou likvidace důkazů. Rizika pro práva a svobody subjektu údajů se týkají především, ale nikoliv výlučně rizik poškození dobré pověsti a rizik spojených s právem na obhajobu a právem být vyslechnut.

Článek 4

Záruky a doby uchovávání

1.   Eurojust zavede záruky proti zneužití osobních údajů, které podléhají nebo mohou podléhat omezením, nebo proti protiprávnímu přístupu k nim či jejich protiprávnímu předání. Tyto záruky zahrnují technická a organizační opatření a jsou v případě potřeby podrobně popsány v interních rozhodnutích, postupech a prováděcích pravidlech Eurojustu. Mezi tyto záruky patří:

a)

jasná definice úloh, povinností a procesních kroků;

b)

veškeré elektronické údaje se uchovávají v zabezpečené aplikaci IT, která brání protiprávnímu nebo náhodnému přístupu k elektronickým údajům nebo jejich předání neoprávněným osobám, a to podle bezpečnostních norem Eurojustu, jakož i ve zvláštních elektronických adresářích, k nimž mají přístup pouze oprávnění zaměstnanci. Vhodné úrovně přístupu se udělují individuálně;

c)

dokumenty v listinné podobě musí být uchovávány v zabezpečených skříních a přístup k nim mohou mít pouze oprávnění zaměstnanci;

d)

řádné sledování omezení a pravidelný přezkum jejich uplatňování;

e)

všechny osoby, které mají přístup k údajům, jsou vázány povinností zachovávat důvěrnost.

Přezkumy uvedené v písm. d) se provádějí alespoň jednou za šest měsíců.

2.   Omezení se zruší, jakmile pominou okolnosti, které tato omezení odůvodňují.

3.   Doba uchovávání osobních údajů uvedených v čl. 1 odst. 4 nesmí být delší, než je nezbytné a vhodné pro účely, pro něž se údaje zpracovávají. Osobní údaje se uchovávají v souladu s platnými pravidly Eurojustu pro uchovávání stanovenými v článku 18 a v příloze pravidel pro zpracování a ochranu osobních údajů v Eurojustu (3), přičemž tato pravidla budou určena v záznamech o ochraně údajů vedených podle článku 31 nařízení. Na konci doby uchovávání se osobní údaje smažou, anonymizují nebo uloží do archivu v souladu s článkem 13 nařízení.

Článek 5

Zapojení pověřence pro ochranu osobních údajů

1.   Pověřenec Eurojustu pro ochranu osobních údajů je neprodleně informován o každém omezení práv subjektu údajů v souladu s tímto rozhodnutím. Je mu poskytnut přístup k souvisejícím záznamům a veškerým dokumentům týkajícím se skutkových nebo právních okolností.

2.   Pověřenec Eurojustu pro ochranu osobních údajů může požádat o přezkum uplatňování daného omezení. Eurojust písemně informuje svého pověřence pro ochranu osobních údajů o výsledku požadovaného přezkumu.

3.   Eurojust zdokumentuje zapojení pověřence pro ochranu osobních údajů do uplatňování omezení, včetně toho, jaké informace si s ním vyměnil.

Článek 6

Informování subjektů údajů o omezeních jejich práv

1.   Eurojust začlení do oznámení o ochraně údajů zveřejněných na jeho webových stránkách/intranetu oddíl s obecnými informacemi pro subjekty údajů o možném omezení práv subjektů údajů v souladu s čl. 2 odst. 1. Součástí informací je i to, která práva mohou být omezena, důvody, pro které se může omezení uložit, a případná délka trvání omezení.

2.   Eurojust informuje subjekty údajů jednotlivě, písemně a bez zbytečného odkladu o stávajících a budoucích omezeních jejich práv. Eurojust informuje subjekt údajů o hlavních důvodech, na nichž je založeno uplatňování omezení, o jejich právu na konzultace s pověřencem pro ochranu osobních údajů s cílem napadnout toto omezení a o právu subjektu údajů podat stížnost u EIOÚ.

3.   Eurojust může odložit, neprovést nebo odepřít poskytnutí informací o důvodech omezení a o právu na podání stížnosti u EIOÚ, pokud by to mařilo účinek omezení. Posouzení, zda by tento krok byl odůvodněný, se provádí individuálně. Jakmile by již nebyl mařen účinek omezení, poskytne Eurojust neprodleně subjektu údajů příslušné informace.

Článek 7

Oznamování případů porušení zabezpečení osobních údajů subjektu údajů

1.   Pokud se na Eurojust vztahuje povinnost oznámit porušení zabezpečení podle čl. 35 odst. 1 nařízení, může za výjimečných okolností Eurojust toto oznámení částečně nebo zcela omezit. V poznámce zdokumentuje důvody omezení, jeho právní základ podle článku 2 a posouzení jeho nezbytnosti a přiměřenosti. Poznámka bude předána EIOÚ v okamžiku oznámení porušení zabezpečení osobních údajů.

2.   Pokud důvody omezení již pominuly, oznámí Eurojust porušení zabezpečení osobních údajů dotčenému subjektu údajů a informuje ho o hlavních důvodech omezení a o jeho právu podat stížnost u EIOÚ.

Článek 8

Důvěrnost elektronických komunikací

1.   Za výjimečných okolností může Eurojust omezit právo na důvěrnost elektronických komunikací podle článku 36 nařízení. Tato omezení musí být v souladu se směrnicí Evropského parlamentu a Rady 2002/58/ES (4).

2.   Pokud Eurojust omezí právo na důvěrnost elektronických komunikací, informuje dotčený subjekt údajů ve své odpovědi na jakoukoliv žádost subjektu údajů o hlavních důvodech, na nichž se uplatňování omezení zakládá, a o právu subjektu údajů podat stížnost u EIOÚ.

3.   Eurojust může odložit, neprovést nebo odepřít poskytnutí informací o důvodech omezení a o právu na podání stížnosti u EIOÚ, pokud by to mařilo účinek omezení. Posouzení, zda by tento krok byl odůvodněný, se provádí individuálně.

Článek 9

Vstup v platnost

Toto rozhodnutí vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.

V Haagu dne 15. července 2020.

Za kolegium Eurojustu

Ladislav HAMRAN

předseda Eurojustu


(1)  Úř. věst. L 295, 21.11.2018, s. 39.

(2)  Nařízení Rady (EHS, Euratom, ESUO) č. 259/68 ze dne 29. února 1968, kterým se stanoví služební řád úředníků a pracovní řád ostatních zaměstnanců Evropských společenství a kterým se zavádějí zvláštní opatření dočasně použitelná na úředníky Komise (Úř. věst. L 56, 4.3.1968, s. 1).

(3)  Pravidla pro zpracování a ochranu osobních údajů v Eurojustu (Úř. věst. L 50, 24.2.2020, s. 10).

(4)  Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (Úř. věst. L 201, 31.7.2002, s. 37).


Top