1.   U ovoj se Odluci propisuju pravila koja se odnose na uvjete pod kojima Ured u okviru svojih postupaka utvrđenih u stavku 2. može ograničiti primjenu prava iz članaka 4., od 14. do 21., 35. i 36. Uredbe (EU) 2018/1725 u skladu s njezinim člankom 25.

2.   U sklopu administrativnog djelovanja Ureda ova se Odluka primjenjuje na obradu osobnih podataka koju Ured provodi za potrebe: administrativnih istraga, disciplinskih postupaka, postupaka zviždanja, (službenih i neslužbenih) postupaka u slučajevima uznemiravanja, obradi pritužbi i medicinskih podataka i/ili kartona, provođenju unutarnjih revizija, istraga koje provodi službenik za zaštitu podataka u skladu s člankom 45. stavkom 2. Uredbe (EU) 2018/1725 i sigurnosnih istraga u području informacijske tehnologije koje se provode interno ili uz angažiranje vanjskih sudionika (npr. CERT-EU).

Ova Odluka primjenjuje se na postupke obrade koje pokreće i provodi Ured, uključujući one koji se provode prije pokretanja prethodno navedenih postupaka, tijekom tih postupaka te tijekom praćenja naknadnih aktivnosti nakon ishoda tih postupaka. Primjenjuje se i na pomoć i suradnju koju Ured pruža, izvan vlastitih administrativnih postupaka, OLAF-u, nadležnim tijelima država članica i/ili drugim nadležnim tijelima.

3.   Predmetne kategorije podataka jesu pouzdani podatci („objektivni” podatci kao što su identifikacijski podatci, podatci za kontakt, profesionalni podatci, administrativne pojedinosti, podatci primljeni iz određenih izvora, elektronička komunikacija i podatci o prometu) i/ili nepouzdani podatci („subjektivni” podatci koji se odnose na predmet, kao što su obrazloženje, podatci o ponašanju, procjene, podatci o uspješnosti i ponašanju i podatci koji se odnose na predmet postupka ili aktivnost ili se u vezi s njima iznose).

4.   Ako Ured obavlja svoje dužnosti u odnosu na prava ispitanika u skladu s Uredbom (EU) 2018/1725, dužan je razmotriti primjenjuje li se bilo koje izuzeće utvrđeno tom Uredbom.

5.   U skladu s uvjetima navedenima u ovoj Odluci ograničenja se mogu primjenjivati na sljedeća prava: pružanje informacija ispitanicima, pravo na pristup podatcima, njihov ispravak, brisanje, ograničenje obrade, obavješćivanje ispitanika o povredi osobnih podataka ili povjerljivost elektroničke komunikacije.

1.   Ured je dužan uspostaviti sljedeće zaštitne mjere radi sprječavanja zlouporabe ili nezakonitog pristupa ili prijenosa:

2.   Voditelj postupaka obrade jest Ured, koji zastupa njegov izvršni direktor koji može delegirati funkciju voditelja obrade. Ispitanici moraju biti obaviješteni o osobi kojoj je delegirana uloga voditelja obrade putem obavijesti o zaštiti podataka ili evidencija objavljenih na mrežnom mjestu i/ili intranetu Ureda.

3.   Razdoblje zadržavanja osobnih podataka iz članka 1. stavka 3. ne smije trajati dulje od razdoblja navedenog u obavijesti o zaštiti podataka, izjavi o privatnosti ili evidencijama navedenima u članku 3. stavku 1. Na kraju razdoblja zadržavanja informacije koje se odnose na predmet, uključujući osobne podatke, brišu se, anonimiziraju ili prenose u povijesni arhiv.

4.   Ako Ured razmatra primjenu ograničenja, ocjenjuje se rizik za prava i slobode ispitanika, posebno u odnosu na rizik za prava i slobode drugih ispitanika i rizik od ometanja svrhe postupka obrade. Rizici za prava i slobode ispitanika prvenstveno se odnose, ali nisu ograničeni, na reputacijske rizike i rizike za pravo na obranu i pravo na saslušanje.

1.   Ured je dužan na svojem mrežnom mjestu i/ili na intranetu objaviti obavijesti o zaštiti podataka, izjave o privatnosti ili evidencije u smislu članka 31. Uredbe (EU) 2018/1725, kojima sve ispitanike obavještava o aktivnostima Ureda koje uključuju obradu osobnih podataka i o njihovim pravima u okviru određenog postupka, uključujući informacije o mogućim ograničenjima tih prava. Te informacije obuhvaćaju prava koja mogu biti ograničena, razloge za ograničenje i moguće trajanje ograničenja.

2.   Podložno odredbama stavka 3., kada je to potrebno, Ured je dužan osigurati da se ispitanike obavijesti pojedinačno i u odgovarajućem obliku. Ured ih može pojedinačno obavijestiti i o njihovim pravima s obzirom na trenutačna ili buduća ograničenja.

3.   Svako ograničenje koje pokrene Ured primjenjuje se samo radi osiguranja zaštite svrha navedenih u članku 25. stavku 1. Uredbe (EU) 2018/1725:

4.   Posebno, kada Ured ograničenja primjenjuje u sklopu:

5.   Svako ograničenje mora biti nužno i razmjerno, posebno uzimajući u obzir rizike za prava i slobode ispitanika te mora poštovati suštinu temeljnih prava i sloboda u demokratskom društvu.

Ako se razmatra primjena ograničenja, izvodi se ispitivanje nužnosti i razmjernosti na temelju postojećih pravila. Ispitivanje se dokumentira putem interne bilješke o procjeni u svrhu odgovornosti za svaki pojedinačni slučaj. Ispitivanje se također provodi u sklopu revizije primjene ograničenja.

Ograničenja se ukidaju čim prestanu postojati okolnosti koje ih opravdavaju. Konkretno, kada se smatra da ostvarivanje ograničenog prava više ne bi poništilo učinak nametnutog ograničenja ili negativno utjecalo na prava ili slobode drugih ispitanika.

6.   Osim toga, od Ureda se može zatražiti da razmijeni osobne podatke ispitanika sa službama Komisije ili drugim institucijama, tijelima, agencijama i uredima Unije, nadležnim tijelima država članica ili drugim nadležnim tijelima trećih zemalja ili međunarodnim organizacijama, uključujući i u sljedećim situacijama:

Ako razmjenu osobnih podataka pokrene drugo tijelo, Ured ne primjenjuje ograničenje, a informacije povezane s predmetom, uključujući osobne podatke, Ured briše ili anonimizira nakon prijenosa zatraženih podataka tom tijelu.

7.   Evidencije o ograničenjima i, kada je to primjenjivo, dokumenti koji sadrže činjenične i pravne aspekte na kojima se ograničenja temelje stavljaju se na raspolaganje Europskom nadzorniku za zaštitu podataka.

1.   Ured je dužan bez nepotrebnog odgađanja obavijestiti službenika za zaštitu podataka pri Uredu svaki put kada voditelj obrade ograniči primjenu prava ispitanika, ukine ograničenje ili revidira razdoblje ograničenja u skladu s ovom Odlukom. Voditelj obrade podataka službeniku za zaštitu podataka omogućava pristup evidenciji koja sadržava procjenu o nužnosti i razmjernosti ograničenja te u evidenciji bilježi datum obavještavanja službenika za zaštitu podataka.

2.   Službenik za zaštitu podataka može od voditelja obrade pisano zatražiti preispitivanje primjene ograničenja. Voditelj obrade dužan je pisano obavijestiti službenika za zaštitu podataka o ishodu traženog preispitivanja.

3.   Uključivanje službenika za zaštitu podataka Ureda u postupak ograničenja, uključujući razmjene informacija, mora biti evidentirano u prikladnom obliku.

1.   U propisno opravdanim slučajevima i pod uvjetima propisanima u ovoj Odluci voditelj obrade može ograničiti pružanje informacija u kontekstu postupaka obrade navedenih u članku 1. stavku 2. ove Odluke, ako je to potrebno i razmjerno. Konkretno, pružanje informacija može se odgoditi, izostaviti ili uskratiti ako bi se time poništio učinak postupka obrade.

2.   Kada Ured ograniči, u potpunosti ili djelomično, pružanje informacija iz stavka 1., dužan je u internoj bilješci o procjeni dokumentirati razloge za ograničenje, uključujući procjenu nužnosti i razmjernosti ograničenja te njegovo trajanje.

3.   Ograničenje iz stavka 1. primjenjuje se sve dok razlozi koji ga opravdavaju i dalje postoje.

Ako razlozi za ograničenje više ne postoje, Ured ispitaniku pruža informacije o glavnim razlozima za ograničenje. Ured je istodobno dužan obavijestiti ispitanika o mogućnosti podnošenja pritužbe Europskom nadzorniku za zaštitu podataka ili ulaganja pravnog lijeka na Sudu Europske unije.

4.   Ured preispituje primjenu ograničenja barem jednom godišnje i pri zatvaranju relevantne istrage. Nakon toga voditelj obrade na godišnjoj osnovi prati je li potrebno zadržati ograničenje.

1.   U propisno opravdanim slučajevima i pod uvjetima propisanima u ovoj Odluci voditelj obrade može ograničiti pravo na pristup podatcima, njihov ispravak, brisanje i ograničavanje obrade, u kontekstu postupaka obrade navedenih u članku 1. stavku 2. ove Odluke, ako je to potrebno i razmjerno. Odredbe ovog članka 6. ne primjenjuju se na pravo pristupa medicinskim podatcima i/ili kartonima, za koje su posebna pravila izričito propisana člankom 7. u nastavku.

2.   Ako ispitanici zahtijevaju ostvarivanje svojih prava pristupa, ispravka, brisanja i ograničavanja obrade u vezi s osobnim podatcima koji se obrađuju u kontekstu jednog ili više posebnih slučajeva ili u određenom postupku obrade, Ured ograničava svoju procjenu zahtjeva samo na te osobne podatke.

3.   Ako potpuno ili djelomično ograniči pravo na pristup, ispravak, brisanje i ograničavanje obrade, Ured poduzima sljedeće korake:

U skladu s člankom 25. stavkom 8. Uredbe (EU) 2018/1725 pružanje informacija iz točke (a) može se odgoditi, izostaviti ili uskratiti ako bi se time poništio učinak ograničenja.

4.   Ured preispituje primjenu ograničenja prava ispitanika barem jednom godišnje i pri zatvaranju predmetnog postupka. Nakon toga na zahtjev ispitanika voditelj obrade podataka preispituje potrebu zadržavanja ograničenja.

1.   Ograničenje prava ispitanika na pristup njihovim medicinskim podatcima i/ili kartonima zahtijeva posebne odredbe koje su propisane ovim člankom.

2.   Sukladno stavcima u nastavku ovog članka Ured može ograničiti pravo ispitanika na izravni pristup medicinskim podatcima i/ili kartonima psihološke ili psihijatrijske prirode koji se odnose na ispitanike i koje obrađuje Ured kada bi takav pristup vjerojatno predstavljao rizik za zdravlje ispitanika. To ograničenje mora biti razmjerno onome što je nužno za zaštitu ispitanika.

3.   Pristup informacijama navedenima u stavku 2. daje se liječniku po izboru ispitanika.

4.   U takvim slučajevima na zahtjev ispitanika Zdravstvena služba ispitaniku nadoknađuje one troškove medicinskoga savjetovanja s liječnikom kojem je odobren pristup medicinskim podatcima i/ili kartonima koje Zajednički sustav zdravstvenog osiguranja (JSIS) nije isplatio. Povrat troškova ne smije premašiti razliku između gornje granice utvrđene općim provedbenim odredbama za povrat zdravstvenih troškova (5) i iznos koji Zajednički sustav zdravstvenog osiguranja isplaćuje u skladu s tim pravilima.

5.   Zdravstvena služba izvršava povrat samo ako već nije odobren pristup istim podatcima i/ili kartonima.

6.   Sukladno stavcima ovog članka u nastavku Ured može ograničiti, ovisno o pojedinom slučaju, pravo ispitanika na pristup njegovim osobnim medicinskim podatcima i/ili kartonima koje Ured posjeduje, posebno kada bi ostvarenje tog prava negativno utjecalo na prava i slobode tog ispitanika ili drugih ispitanika.

7.   Ako ispitanici zahtijevaju ostvarivanje svojeg prava na pristup svojim osobnim podatcima koji se obrađuju u kontekstu jednog ili više posebnih slučajeva ili u određenom postupku obrade, Ured ograničava svoju procjenu zahtjeva samo na te osobne podatke.

8.   Ako Ured potpuno ili djelomično ograniči pravo ispitanika na pristup osobnim medicinskim podatcima i/ili kartonima, poduzima sljedeće korake:

U skladu s člankom 25. stavkom 8. Uredbe (EU) 2018/1725 pružanje informacija iz točke (a) može se odgoditi, izostaviti ili uskratiti ako bi se time poništio učinak ograničenja.

9.   Ograničenje iz prethodnih stavaka 2. i 6. primjenjuje se sve dok razlozi koji ga opravdavaju i dalje postoje. Kada razlozi za ograničenje više ne postoje, voditelj obrade podataka na zahtjev ispitanika preispituje potrebu zadržavanja ograničenja.

1.   U propisno opravdanim slučajevima i pod uvjetima propisanima u ovoj Odluci voditelj obrade može ograničiti pravo na obavješćivanje o povredi osobnih podataka u kontekstu postupaka obrade navedenih u članku 1. stavku 2. ove Odluke, ako je to potrebno i primjereno. To pravo, međutim, ne smije se ograničavati u kontekstu postupaka u slučajevima uznemiravanja.

2.   U propisno opravdanim slučajevima i pod uvjetima propisanima u ovoj Odluci voditelj obrade može ograničiti pravo na povjerljivost elektroničke komunikacije u kontekstu postupaka obrade navedenih u članku 1. stavku 2. ove Odluke, ako je to potrebno i primjereno.

3.   Članak 5. stavci 2., 3., i 4. ove Odluke primjenjuju se kada Ured ograniči prava ispitanika na obavješćivanje ispitanika o povredi osobnih podataka ili prava na povjerljivost elektroničke komunikacije navedena u člancima 35. i 36. Uredbe (EU) 2018/1725.