1.   Pravidly pro zpracování a ochranu osobních údajů v Eurojustu (dále jen „pravidla“) se provádí ustanovení o ochraně údajů v nařízení o Eurojustu a v nařízení 2018/1725.

2.   Vztahují se na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.

3.   Pravidla se vztahují na veškeré osobní údaje zpracovávané Eurojustem, včetně osobních údajů obsažených v informacích jím vypracovaných nebo získaných a v jeho vlastnictví, týkajících se záležitostí souvisejících s politikami, činnostmi a rozhodnutími spadajícími do jeho pravomoci.

1.   Tato pravidla se vztahují na operativní i administrativní osobní údaje zpracovávané Eurojustem.

2.   Operativní údaje se zpracovávají v souladu s hlavou II.

3.   Administrativní údaje se zpracovávají v souladu s hlavou III.

1.   Žádosti o výkon práv subjektů údajů vyřizují národní členové, jichž se žádost týká a kteří poskytnou kopii žádosti pověřenci pro ochranu osobních údajů k jejímu zápisu do rejstříku.

2.   Dotčení národní členové konzultují rozhodnutí, které má být přijato v reakci na žádost, s příslušnými orgány dotčených členských států.

3.   Je-li to v daném případě nutné, provede pověřenec pro ochranu osobních údajů dodatečné kontroly v systému řízení případů, a zjistí-li se během těchto kontrol jakékoliv související doplňující informace, informuje dotčeného národního člena. Dotčený národní člen zohlední informace poskytnuté pověřencem pro ochranu osobních údajů a tam, kde je to vhodné, přehodnotí původní rozhodnutí.

4.   Právní a věcné důvody, na jejichž základě národní člen přijímá rozhodnutí, se zdokumentují v dočasném pracovním souboru týkajícím se žádosti v systému řízení případů a na požádání se zpřístupní evropskému inspektorovi ochrany údajů.

5.   Pověřenec pro ochranu osobních údajů sdělí subjektu údajů rozhodnutí, které jménem Eurojustu přijal dotčený národní člen, a informuje jej o možnosti podat stížnost evropskému inspektorovi ochrany údajů, pokud není s rozhodnutím spokojen, nebo požádat o soudní ochranu Soudní dvůr.

6.   V případech, kdy byla žádost obdržena prostřednictvím vnitrostátního dozorového úřadu, informuje Eurojust tento úřad o rozhodnutí, které pověřenec pro ochranu osobních údajů sdělil subjektu údajů.

1.   Systém řízení případů automaticky přidělí každému nově zřízenému dočasnému pracovnímu souboru jedinečné referenční číslo (identifikátor).

2.   Pokud národní člen, který odpovídá za správu dočasného pracovního souboru, jak je vymezen v čl. 24 odst. 1 nařízení o Eurojustu, zpřístupní dočasný pracovní soubor nebo jeho část jednomu nebo více zúčastněným národním členům, systém řízení případů zajistí, aby oprávnění uživatelé měli v rámci profilu tohoto národního zastoupení, za něž odpovídá daný národní člen, přístup k příslušným částem souboru, ale nemohli měnit údaje vložené osobou, jež je uložila původně. Do nových částí dočasných pracovních souborů však oprávnění uživatelé mohou doplňovat veškeré relevantní informace. Obdobně informace obsažené v rejstříku mohou číst všichni oprávnění uživatelé systému, ale měnit je může pouze osoba, jež je uložila původně.

3.   Systém řízení případů automaticky informuje pověřence pro ochranu osobních údajů o vytvoření každého nového pracovního souboru, který obsahuje osobní údaje.

4.   Systém řízení případů zajistí, aby dotčený národní člen, který zřídil dočasný pracovní soubor, mohl do rejstříku v souladu s čl. 23 odst. 4 a čl. 24 odst. 3 nařízení o Eurojustu zaznamenávat pouze operativní osobní údaje uvedené v odst. 1 písm. a) až i), písm. k) a písm. m) a odstavci 2 přílohy II nařízení o Eurojustu.

5.   Pokud národní členové chtějí v souladu s čl. 23 odst. 6 nařízení o Eurojustu dočasně uchovávat a analyzovat osobní údaje, aby mohli určit, zda jsou tyto údaje relevantní pro úkoly Eurojustu, vytvoří koncept dočasného pracovního souboru, který je nadále přístupný pouze jim a osobám, jimž udělili oprávnění v rámci profilu svého zastoupení. Po třech měsících by se měl koncept dočasného pracovního souboru buď převést na dočasný pracovní soubor v systému řízení případů, nebo jej systém automaticky vymaže. Před uplynutím této lhůty systém dotčenému národnímu členovi zašle upozornění, že ohledně konceptu souboru je zapotřebí přijmout rozhodnutí.

6.   Dotčení národní členové zajistí, aby byly informace obsažené v rejstříku dostačující k plnění úkolů Eurojustu, jak jsou vymezeny v článku 2 nařízení o Eurojustu.

1.   Eurojust přijme příslušná technická opatření k zajištění toho, aby byl pověřenec pro ochranu osobních údajů automaticky informován o výjimečných případech, v nichž je použit čl. 27 odst. 4 nařízení o Eurojustu. Systém řízení případů zajistí, aby takové údaje nebyly zahrnuty v rejstříku uvedeném v čl. 23 odst. 1 a 4 nařízení o Eurojustu.

2.   Pokud se tyto údaje týkají svědků nebo obětí ve smyslu čl. 27 odst. 2 nařízení o Eurojustu, systém řízení případů tyto informace nezaznamená, ledaže dotčení národní členové rozhodnou jinak. Rozhodnutí o zpracování těchto údajů se zdokumentuje.

1.   Eurojust přijme příslušná technická opatření k zajištění toho, aby byl pověřenec pro ochranu osobních údajů automaticky informován o výjimečných případech, v nichž je po časově omezenou dobu použit čl. 27 odst. 3 nařízení o Eurojustu. Systém řízení případů označí tyto údaje tak, aby osobu, jež údaje do systému uložila, upozornil na povinnost uchování těchto údajů po omezenou dobu.

2.   Pokud se tyto údaje týkají svědků nebo obětí ve smyslu čl. 27 odst. 2 nařízení o Eurojustu, systém řízení případů tyto informace nezaznamená, ledaže dotčení národní členové rozhodnou jinak. Rozhodnutí o zpracování těchto údajů se zdokumentuje.

1.   Každý národní člen Eurojustu zdokumentuje politiku přístupu k operativním osobním údajům, kterou podle článku 34 nařízení o Eurojustu schválil v rámci svého národního zastoupení, a informuje o ní pověřence pro ochranu osobních údajů.

2.   Národní členové se mohou v jednotlivých případech rozhodnout udělit zvláštní povolení k přístupu k dočasnému pracovnímu souboru nebo jeho části osobě, která není zaměstnancem Eurojustu, ale která pracuje jménem Eurojustu a patří do zvláštní kategorie zaměstnanců, která byla předem schválena správním ředitelem Eurojustu v souladu s čl. 24 odst. 2 nařízení o Eurojustu jako kategorie, jíž má být umožněn přístup k systému řízení případů.

3.   Národní členové zajistí přijetí a dodržování příslušných organizačních opatření v rámci svého zastoupení, jakož i správné uplatňování technických a organizačních opatření, jež jim dal Eurojust k dispozici, a to i v návaznosti na požadovanou odbornou přípravu.

4.   Je-li to nezbytné pro plnění úkolů Eurojustu, kolegium může v souladu s článkem 34 nařízení o Eurojustu povolit přístup k operativním osobním údajům dalším zaměstnancům Eurojustu.

1.   Jako záznam všech činností zpracování uvedených v článku 35 nařízení o Eurojustu týkajících se operativních osobních údajů slouží systém Eurojustu pro řízení případů ve smyslu článku 23 nařízení o Eurojustu.

2.   Systém Eurojustu pro řízení případů obsahuje úplný záznam o předání a přijetí operativních osobních údajů, což umožňuje zjistit jakékoli předání operativních osobních údajů a určit vnitrostátní orgán, organizaci nebo třetí zemi nebo mezinárodní organizaci, která tyto informace Eurojustu předala nebo od něj přijala.

1.   Rozhodnutí o předání osobních údajů do třetích zemí nebo mezinárodním organizacím podle čl. 58 odst. 1 nařízení o Eurojustu přijímá kolegium Eurojustu na žádost dotčených národních členů na základě posouzení provedeného pověřencem pro ochranu osobních údajů.

2.   Pověřenec pro ochranu osobních údajů poskytne posouzení uvedené v odstavci 1 do deseti pracovních dnů. Je-li to z naléhavých důvodů, jež dotčený národní člen uvede, nezbytné, posouzení se poskytne co nejdříve. Ve zvláště složitých případech se pověřenec pro ochranu osobních údajů může s dotčeným národním členem dohodnout na delším časovém rámci pro dokončení posuzování.

3.   Posouzení ze strany pověřence pro ochranu osobních údajů se zejména zabývá otázkami uvedenými v 51. a 52. bodě odůvodnění nařízení o Eurojustu. Pokud má pověřenec pro ochranu osobních údajů v průběhu posuzování vhodnosti záruk v konkrétním případě výhrady, může před vydáním posouzení konkrétního předání konzultovat evropského inspektora ochrany údajů.

1.   Eurojust přijme příslušná technická opatření k zajištění toho, aby byly dodrženy lhůty pro uchovávání operativních údajů vymezené v článku 29 nařízení o Eurojustu a aby v případě, že během přezkumu nebude přijato odůvodněné rozhodnutí o dalším uchovávání operativních osobních údajů, byly tyto údaje automaticky vymazány.

2.   Systém řízení případů zejména zajistí, aby se každé tří roky po uložení údajů do dočasného pracovního souboru přezkoumala potřeba jejich uchovávání. Takový přezkum musí být v systému řádně zdokumentován včetně odůvodnění přijatého rozhodnutí o dalším uchovávání operativních osobních údajů a jeho výsledek je automaticky oznámen pověřenci pro ochranu osobních údajů. Výsledek takového rozhodnutí nebo jeho neexistence se uplatní na případ jako celek, jak je vymezeno v čl. 29 odst. 2 nařízení o Eurojustu.

3.   Systém řízení případů zvlášť označí údaje zaznamenané na časově omezenou dobu v souladu s čl. 27 odst. 3, jakož i údaje uvedené v čl. 27 odst. 4 nařízení o Eurojustu. Pokud se jakékoliv operativní osobní údaje uvedené v čl. 27 odst. 4 uchovávají po dobu delší než pět let, systém řízení případů vytvoří upozornění s cílem zajistit, aby tyto informace byly automaticky poskytnuty evropskému inspektorovi ochrany údajů.

4.   Ve výjimečných případech, pokud národní člen usoudí, že operativní osobní údaje jsou i nadále zapotřebí pro účely archivace ve veřejném zájmu nebo ke statistickým účelům, jak je uvedeno v čl. 29 odst. 7 písm. e) nařízení o Eurojustu, rozhodne kolegium po vyslechnutí stanoviska pověřence pro ochranu osobních údajů o nezbytnosti uchovávat v tomto konkrétním případě údaje pro tento konkrétní účel. V případě použití tohoto postupu je informován evropský inspektor ochrany údajů.

1.   Žádosti o výkon práv se adresují přímo správnímu řediteli Eurojustu nebo pověřenci pro ochranu osobních údajů. Pověřenec pro ochranu osobních údajů v každém případě obdrží kopii žádosti k jejímu zápisu do rejstříku.

2.   V případě potřeby je pověřenec pro ochranu osobních údajů nápomocen subjektu údajů a dá mu k dispozici zvláštní formuláře, které mohou jednotlivci použít k podávání žádostí.

3.   Správní ředitel na základě informací poskytnutých správním subjektem přímo zapojeným do zpracování osobních údajů a na základě poradenství pověřence pro ochranu osobních údajů rozhodne o konkrétním případu.

4.   Pověřenec pro ochranu osobních údajů sdělí subjektu údajů rozhodnutí, které přijal správní ředitel, a informuje jej o možnosti podat stížnost k evropskému inspektorovi ochrany údajů, pokud není s rozhodnutím vydaným Eurojustem spokojen.

5.   Žádost musí být v plné míře vyřízena do jednoho měsíce po přijetí. Tuto lhůtu je možné v případě potřeby a s ohledem na počet žádostí a složitost žádosti prodloužit o další dva měsíce. Správní ředitel informuje subjekt údajů o jakémkoli takovém prodloužení do jednoho měsíce od obdržení žádosti spolu s důvody pro tento odklad. Subjekt údajů může podat stížnost u evropského inspektora ochrany údajů, pokud Eurojust v této lhůtě nevydá na základě jeho žádosti žádné rozhodnutí.

1.   Pro všechny jednotlivé operace zpracování administrativních osobních údajů, které se v Eurojustu uskutečňují, je s ohledem na jejich vymezený účel a v plném souladu s čl. 4 odst. 1 písm. d) a čl. 31 odst. 1 písm. f) nařízení 2018/1725 jasně stanovena lhůta pro uchovávání, aby bylo zajištěno, že údaje jsou uchovávány pouze po dobu nezbytnou pro účely, pro které se administrativní osobní údaje zpracovávají. Tato lhůta je stanovena pro každou kategorii zpracovávaných údajů a zdokumentována v záznamu o činnostech zpracování.

2.   Eurojust uchovává administrativní osobní údaje v souladu s odstavcem 1 tak dlouho, dokud je to nezbytné, nejdéle však po dobu uvedenou pro každou kategorii činností zpracování v tabulce v příloze těchto pravidel.

3.   Výkonná rada může na návrh správního ředitele stanovit kratší dobu uchovávání, než jaká je uvedena v příloze těchto pravidel.

1.   Tato pravidla jsou pravidelně přezkoumávána, aby se posoudila potřeba jejich změny. Každá změna těchto pravidel se provádí v souladu se stejným postupem, jenž je v nařízení o Eurojustu stanoven pro jejich schválení.

2.   Evropský inspektor ochrany údajů upozorní kolegium na veškeré návrhy nebo doporučení týkající se změn těchto pravidel.