9.2.2021   

HR

Službeni list Europske unije

L 45/80


ODLUKA SC (2020) 26 UPRAVNOG ODBORA INEA-E

od 14. listopada 2020.

o unutarnjim pravilima u pogledu ograničenja određenih prava ispitanika u vezi s obradom osobnih podataka u okviru aktivnosti koje provodi Izvršna agencija za inovacije i mreže

UPRAVNI ODBOR,

uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 249. stavak 1.,

uzimajući u obzir Uredbu (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (1) („Uredba”), a posebno njezin članak 25.,

uzimajući u obzir Uredbu Vijeća (EZ) br. 58/2003 od 19. prosinca 2002. o utvrđivanju statusa izvršnih agencija kojima se povjeravaju određene zadaće u vezi s upravljanjem programima Zajednice (2),

uzimajući u obzir Provedbenu odluku Komisije 2013/801/EU od 23. prosinca 2013. o osnivanju Izvršne agencije za inovacije i mreže i o stavljanju izvan snage Odluke 2007/60/EZ kako je izmijenjena Odlukom 2008/593/EZ (3),

uzimajući u obzir Odluku Komisije C(2013)9235 od 23. prosinca 2013. o delegiranju ovlasti Izvršnoj agenciji za inovacije i mreže radi izvršenja poslova povezanih s provedbom programa Unije u području prometne, energetske i telekomunikacijske infrastrukture te u području istraživanja i inovacija povezanih s prometom i energijom, osobito u cilju izvršenja odobrenih sredstava iz općeg proračuna Unije (4), zadnje izmijenjenu Odlukom Komisije C(2018)1281 od 27. veljače 2018 (5),

nakon savjetovanja s Europskim nadzornikom za zaštitu podataka,

budući da:

(1)

Izvršna agencija za inovacije i mreže (INEA) („Agencija”) osnovana je Provedbenom odlukom Komisije 2013/801/EU radi izvršenja poslova povezanih s provedbom programa Unije u području prometne, energetske i telekomunikacijske infrastrukture te u području istraživanja i inovacija (6).

(2)

U okviru svojeg administrativnog i operativnog funkcioniranja, Agencija može provoditi administrativne istrage, preddisciplinske i disciplinske postupke te postupke suspenzije, u skladu s Pravilnikom o osoblju za dužnosnike Europske unije i Uvjetima zaposlenja ostalih službenika Europske unije utvrđenima u Uredbi Vijeća (EEZ, Euratom, EZUČ) br. 259/68 (7) („Pravilnik o osoblju”) i u skladu s provedbenim odredbama o provođenju administrativnih istraga i disciplinskih postupaka. Ako je potrebno, Agencija može provesti preliminarne aktivnosti povezane sa slučajevima potencijalnih prijevara i nepravilnosti i može prijaviti slučajeve OLAF-u.

(3)

Osoblje Agencije dužno je prijaviti moguća nezakonita djelovanja, uključujući prijevare i korupciju, koja su štetna za interese Unije. Osoblje je dužno prijaviti i ponašanja koja se odnose na obavljanje profesionalnih dužnosti koja mogu predstavljati ozbiljno nepoštovanje obveza dužnosnika Unije. To je uređeno unutarnjim pravilima ili politikama o zviždačima.

(4)

Agencija je uvela politiku za djelotvorno sprječavanje i rješavanje stvarnih ili mogućih slučajeva psihološkog ili seksualnog uznemiravanja na radnom mjestu, kako je utvrđeno provedbenim mjerama u skladu s Pravilnikom o osoblju kojima se uspostavlja neslužbeni postupak prema kojem se navodna žrtva uznemiravanja može obratiti povjerljivim savjetnicima Agencije.

(5)

Agencija može provoditi i unutarnje sigurnosne istrage (u području informacijskih tehnologija) mogućih povreda sigurnosnih pravila za klasificirane podatke Europske unije („EUCI”).

(6)

Agencija podliježe i unutarnjoj i vanjskoj reviziji svojih aktivnosti, uključujući reviziju koju provodi Služba za unutarnju reviziju Europske komisije i Europski revizorski sud.

(7)

Agencija može rješavati zahtjeve Ureda europskog javnog tužitelja (EPPO), zahtjeve za pristup medicinskoj dokumentaciji osoblja Agencije i provoditi istrage službenika za zaštitu podataka u skladu s člankom 45. stavkom 2. Uredbe.

(8)

U kontekstu takvih administrativnih ispitivanja, revizija, istraga ili zahtjeva, Agencija surađuje s drugim institucijama, tijelima, uredima i agencijama Unije.

(9)

Agencija može surađivati s nacionalnim tijelima trećih zemalja i međunarodnim organizacijama bilo na njihov zahtjev bilo na vlastitu inicijativu.

(10)

Agencija može surađivati i s javnim tijelima država članica EU-a bilo na njihov zahtjev bilo na vlastitu inicijativu.

(11)

Agencija može podlijegati pritužbama, postupcima ili istragama koje potaknu zviždači ili na inicijativu Europskog ombudsmana.

(12)

Agencija može sudjelovati u predmetima pred Sudom Europske unije kada uputi neki predmet Sudu, brani odluku koju je donijela, a koja se osporava pred Sudom, ili intervenira u predmetima bitnima za svoje zadaće. U tom kontekstu, Agencija će možda morati čuvati povjerljivost osobnih podataka sadržanih u dokumentima koje su pribavile stranke ili intervenijenti.

(13)

U kontekstu svojih aktivnosti, Agencija obrađuje nekoliko kategorija osobnih podataka, uključujući identifikacijske podatke fizičkih osoba, podatke za kontakt, profesionalne uloge i zadaće, informacije o privatnom i profesionalnom ponašanju i uspješnosti te financijske podatke, kao i u nekim posebnim slučajevima osjetljive podatke (npr. zdravstvene podatke). Osobni podatci uključuju „pouzdane” podatke i „nepouzdane” podatke iz procjena.

(a)

„Pouzdani” podatci objektivni su činjenični podatci kao što su identifikacijski podatci, podatci za kontakt, profesionalni podatci, administrativne pojedinosti, metapodatci povezani s elektroničkom komunikacijom i podatci o prometu.

(b)

„Nepouzdani” podatci subjektivni su podatci i uključuju posebice opis i procjenu situacija i okolnosti, mišljenja, zapažanja vezana uz ispitanike, evaluaciju ponašanja i uspješnosti ispitanika i obrazloženja pojedinačnih odluka u odnosu na predmet postupka ili aktivnosti ili u vezi s njima, koji postupak ili aktivnost provodi Agencija u skladu s primjenjivim pravnim okvirom.

(c)

Procjene, zapažanja i mišljenja smatraju se osobnim podatcima u smislu članka 3. stavka 1. Uredbe.

(14)

Na temelju Uredbe, Agencija je stoga dužna ispitanicima pružiti informacije o tim aktivnostima obrade i poštovati njihova prava koja imaju kao ispitanici.

(15)

Agencija se obvezuje u najvećoj mogućoj mjeri poštovati temeljna prava ispitanika, posebice prava koja se odnose na pravo pružanja informacija, pravo na pristup podatcima i njihov ispravak, pravo na brisanje, ograničenje obrade, pravo na obavješćivanje ispitanika o povredi osobnih podataka ili pravo na povjerljivost komunikacije kako su navedeni u Uredbi. Međutim, od Agencije se također može zahtijevati da ograniči prava i obveze ispitanika u svrhu zaštite svojih aktivnosti i temeljnih prava i sloboda drugih.

(16)

Stoga u skladu s člankom 25. stavcima 1. i 5. Uredbe Agencija ima mogućnost ograničenja, pod određenim uvjetima, primjene članaka od 14. do 22., članaka 35. i 36., kao i članka 4. Uredbe ako njegove odredbe odgovaraju pravima i obvezama predviđenima u člancima od 14. do 20. Ograničenja se temelje na unutarnjim pravilima koja je potrebno donijeti na najvišim razinama upravljanja u Agenciji i koja podliježu objavi u Službenom listu Europske unije ako se ona ne temelje na pravnim aktima koji su doneseni na temelju Ugovorâ.

(17)

Ograničenja se mogu primjenjivati na različita prava ispitanika, uključujući pravo na pružanje informacija ispitanicima, pristup podatcima, ispravak, brisanje, ograničenje obrade podataka, obavješćivanje ispitanika o povredi osobnih podataka ili pravo na povjerljivost komunikacije kako je navedeno u Uredbi.

(18)

Od Agencije se može zahtijevati da uskladi ta prava s ciljevima administrativnih ispitivanja, revizija, istraga i sudskih postupaka. Može se zahtijevati i da uspostavi ravnotežu između prava nekog ispitanika i temeljnih prava i sloboda drugih ispitanika.

(19)

Agencija će, primjerice, možda morati ograničiti informacije koje pruža nekom ispitaniku o obradi njegovih ili njezinih osobnih podataka u preliminarnoj fazi procjene neke administrativne istrage ili tijekom same istrage, prije mogućeg odbijanja predmeta ili u fazi preddisciplinskog postupka. U određenim okolnostima, pružanje takvih informacija može ozbiljno utjecati na sposobnost Agencije da provodi istragu na učinkovit način, uvijek kada, primjerice, postoji rizik da dotična osoba uništi dokaz ili utječe na moguće svjedoke prije njihova ispitivanja. Agencija će možda morati i zaštititi prava i slobode svjedoka kao i prava i slobode drugih uključenih osoba.

(20)

Agencija će možda morati zaštititi anonimnost svjedoka ili zviždača koji je tražio da se ne otkrije njegov identitet. U tom slučaju Agencija može odlučiti ograničiti pristup identitetu, izjavama i drugim osobnim podatcima tih osoba ili osumnjičenika, u svrhu zaštite njihovih prava i sloboda.

(21)

Agencija će možda morati zaštititi povjerljive informacije koje se odnose na zaposlenika koji se obratio povjerljivim savjetnicima Agencije u kontekstu postupka zbog uznemiravanja. U tim slučajevima Agencija može odlučiti ograničiti pristup identitetu, izjavama i drugim osobnim podatcima navodne žrtve, navodnog uznemiravatelja i ostalih uključenih osoba, u cilju zaštite prava i sloboda svih uključenih osoba.

(22)

U vezi s postupcima odabira i zapošljavanja, evaluacije osoblja te postupcima javne nabave, pravo na pristup podatcima, njihov ispravak, brisanje i ograničavanje njihove obrade može se ostvariti samo u određenim trenucima i pod uvjetima predviđenima u relevantnim postupcima kako bi se zaštitila prava drugih ispitanika i poštovala načela jednakog postupanja i tajnosti donošenja odluka.

(23)

Agencija također može ograničiti pristup pojedinaca njihovim medicinskim podatcima, primjerice psihološke ili psihijatrijske prirode, zbog moguće osjetljivosti tih podataka, a liječnička služba Komisije može odlučiti ispitanicima omogućiti samo neizravni pristup putem njihova liječnika. Ispitanik može ostvariti pravo na ispravak procjene ili mišljenja liječničke službe Komisije iznošenjem vlastitih komentara ili dostavljanjem izvješća liječnika po vlastitom izboru.

(24)

Agencija, koju zastupa njezin direktor, djeluje kao voditelj obrade bez obzira na daljnje delegiranje uloge voditelja obrade u okviru Agencije kako bi se uzele u obzir operativne odgovornosti za određene aktivnosti obrade osobnih podataka, i to nadležnim „voditeljima obrade podataka kojima se delegira”.

(25)

Osobni se podatci sigurno pohranjuju u elektroničkom okruženju u skladu s Odlukom Komisije (EU, Euratom) 2017/46 (8) o sigurnosti komunikacijskih i informacijskih sustava u Europskoj komisiji ili na papiru, čime se sprječava nezakonit pristup podatcima ili njihov prijenos osobama koje ne trebaju biti upoznate s njima. Obrađeni osobni podatci zadržavaju se koliko je potrebno i koliko odgovara svrhama u koje se obrađuju na razdoblje navedeno u obavijestima o zaštiti podataka i evidencijama Agencije.

(26)

Agencija primjenjuje ograničenja samo kada se njima poštuje bit temeljnih prava i sloboda i kada su strogo nužna i razmjerna mjera u demokratskom društvu. Agencija daje razloge kojima objašnjava opravdanost tih ograničenja i obavješćuje ispitanike o tome i o njihovom pravu na podnošenje pritužbe Europskom nadzorniku za zaštitu podataka kako je predviđeno člankom 25. stavkom 6. Uredbe.

(27)

U skladu s načelom odgovornosti, Agencija vodi evidenciju o primjeni ograničenja.

(28)

Kada obrađuje osobne podatke koje razmjenjuje s drugim organizacijama u kontekstu svojih zadaća, Agencija i te organizacije međusobno se savjetuju o mogućim razlozima za uvođenje ograničenja te o njihovoj nužnosti i razmjernosti, ako se time ne bi ugrozile aktivnosti Agencije.

(29)

Unutarnja se pravila primjenjuju na sve aktivnosti obrade osobnih podataka koje Agencija provodi pri provođenju administrativnih istraga, disciplinskih postupaka, preliminarnih aktivnosti u vezi sa slučajevima potencijalnih nepravilnosti prijavljenih OLAF-u, istraga Ureda europskog javnog tužitelja (EPPO), postupaka zviždanja, (službenih i neslužbenih) postupaka u slučajevima uznemiravanja, obradi unutarnjih i vanjskih pritužbi, zahtjeva za pristup vlastitoj medicinskoj dokumentaciji i ispravak vlastite medicinske dokumentacije, istraga koje provodi službenik za zaštitu podataka u skladu s člankom 45. stavkom 2. Uredbe, sigurnosnih istraga (u području informacijskih tehnologija) koje se provode interno ili uz angažiranje vanjskih sudionika (npr. CERT-EU), revizija, postupaka pred Sudom Europske unije ili nacionalnim javnim tijelima, postupaka odabira i zapošljavanja, evaluacija osoblja i javne nabave, kako je gore navedeno.

(30)

Ta se pravila primjenjuju na aktivnosti obrade koje se provode prije pokretanja prethodno navedenih postupaka, tijekom tih postupaka te tijekom praćenja ishoda tih postupaka. Ujedno bi trebala obuhvaćati pomoć i suradnju koje pruža Agencija drugim institucijama EU-a, nacionalnim tijelima i međunarodnim organizacijama izvan svojih administrativnih istraga.

(31)

U skladu s člankom 25. stavkom 8. Uredbe, Agencija ima pravo odgoditi, izostaviti ili uskratiti obavješćivanje ispitanika o razlozima za primjenu ograničenja ako bi se time na bilo koji način poništio učinak ograničenja. Agencija za svaki pojedinačni slučaj procjenjuje hoće li se obavješćivanjem o ograničenju poništiti njegov učinak.

(32)

Agencija ukida ograničenje čim se više ne primjenjuju uvjeti koji opravdavaju uvođenje ograničenja i redovito procjenjuje te uvjete.

(33)

Kako bi zajamčila najveću moguću zaštitu prava i sloboda ispitanika te u skladu s člankom 44. stavkom 1. Uredbe, pravodobno se savjetuje sa službenikom za zaštitu podataka Agencije prije primjene ili preispitivanja bilo kakvih ograničenja te službenik za zaštitu podataka provjerava njihovu usklađenost s ovom Odlukom.

(34)

Člankom 16. stavkom 5. i člankom 17. stavkom 4. Uredbe predviđene su iznimke od prava ispitanika na informacije i od njihova prava pristupa. Ako se te iznimke primjenjuju, Agencija ne treba primjenjivati nikakvo ograničenje na temelju ove Odluke,

DONIO JE OVU ODLUKU:

Članak 1.

Predmet i područje primjene

1.   Ovom Odlukom utvrđuju se pravila o uvjetima pod kojima Izvršna agencija za inovacije i mreže i svaki njezin pravni slijednik („Agencija”) mogu ograničiti primjenu članka 4., članaka od 14. do 22., članaka 35. i 36. Uredbe, u skladu s njezinim člankom 25.

2.   Agenciju, kao voditelja obrade podataka, zastupa direktor Agencije, koji može delegirati ulogu voditelja obrade podataka.

Članak 2.

Primjenjiva ograničenja

1.   Agencija može ograničiti primjenu članaka od 14. do 22., članaka 35. i 36., kao i članka 4. Uredbe ako njegove odredbe odgovaraju pravima i obvezama predviđenima u člancima od 14. do 20.

2.   Odluka se primjenjuje na obradu osobnih podataka u Agenciji u okviru njezina administrativnog i operativnog funkcioniranja:

(a)

u skladu s člankom 25. stavkom 1. točkama (b), (c), (f), (g) i (h) Uredbe, kada provodi unutarnje istrage, uključujući one koje se provode na temelju vanjskih pritužbi, administrativne istrage, preddisciplinske i disciplinske postupke te postupke suspenzije na temelju članka 86. i Priloga IX. Pravilnika o osoblju i svojih provedbenih pravila, sigurnosne istrage ili istrage OLAF-a;

(b)

u skladu s člankom 25. stavkom 1. točkom (h) Uredbe, kada osigurava da zaposlenici Agencije mogu na povjerljiv način izvijestiti o činjenicama ako smatraju da postoje ozbiljne nepravilnosti, kako je navedeno u unutarnjim pravilima ili politikama o zviždačima;

(c)

u skladu s člankom 25. stavkom 1. točkom (h) Uredbe, kada osigurava da zaposlenici Agencije mogu prijaviti slučaj povjerljivim savjetnicima u kontekstu postupka uznemiravanja, kako je utvrđeno unutarnjim pravilima;

(d)

u skladu s člankom 25. stavkom 1. točkama (c), (g) i (h) Uredbe, kada provodi unutarnje ili vanjske revizije u odnosu na aktivnosti ili funkcioniranje Agencije;

(e)

u skladu s člankom 25. stavkom 1. točkama (d) i (h) Uredbe, kada osigurava sigurnosne analize, uključujući zlouporabe informacijskih sustava i kibersigurnosti; koje se provode interno ili uz angažiranje vanjskih sudionika (npr. CERT-EU), osigurava unutarnju sigurnost sredstvima videonadzora, kontrole pristupa i u svrhe istrage, provodi zaštitu komunikacijskih i informacijskih sustava i provodi tehničke sigurnosne protumjere;

(f)

u skladu s člankom 25. stavkom 1. točkama (g) i (h) Uredbe, kada službenik za zaštitu podataka („DPO”) Agencije istražuje pitanja izravno povezana s njegovim/njezinim zadaćama;

(g)

u skladu s člankom 25. stavkom 1. točkama (b), (g) i (h) Uredbe, u kontekstu istraga Ureda europskog javnog tužitelja („EPPO”);

(h)

u skladu s člankom 25. stavkom 1. točkom (h) Uredbe, kad pojedinci zatraže pristup ili ispravak svojih medicinskih podataka, uključujući podatke u posjedu liječničke službe Komisije;

(i)

u skladu s člankom 25. stavkom 1. točkama (c), (d), (g) i (h) Uredbe, kada pruža pomoć drugim institucijama, tijelima, uredima i agencijama Unije ili od njih prima pomoć ili s njima surađuje u kontekstu aktivnosti navedenih u točkama od (a) do (h) ovog stavka i u skladu s relevantnim sporazumima o razini usluge, memorandumima o razumijevanju i sporazumima o suradnji njihovih zasebnih akata o osnivanju;

(j)

u skladu s člankom 25. stavkom 1. točkama (c), (g) i (h) Uredbe, kada pruža pomoć drugim nacionalnim tijelima trećih zemalja i međunarodnim organizacijama ili od njih prima pomoć ili s njima surađuje bilo na njihov zahtjev bilo na vlastitu inicijativu;

(k)

u skladu s člankom 25. stavkom 1. točkama (c), (g) i (h) Uredbe, kada pruža pomoć javnim tijelima država članica EU-a ili od njih prima pomoć ili s njima surađuje bilo na njihov zahtjev bilo na vlastitu inicijativu;

(l)

u skladu s člankom 25. stavkom 1. točkom (e) Uredbe, kada obrađuje osobne podatke u dokumentima koje su stranke ili intervenijenti pribavili u kontekstu postupka pred Sudom Europske unije;

za potrebe ove Odluke, gore navedene aktivnosti uključuju pripremne radnje i radnje praćenja koje su izravno povezane s tom aktivnošću.

3.   Agencija također može za svaki pojedinačni slučaj primijeniti ograničenja prava ispitanika navedena u ovoj Odluci u sljedećim okolnostima:

(a)

kada službe Komisije ili druge institucije, tijela, agencije i uredi Unije imaju pravo ograničiti ostvarivanje navedenih prava, a svrha takvog ograničenja od strane te službe Komisije ili institucije, tijela ili agencije Unije bila bi ugrožena ako Agencija ne primijeni jednako ograničenje u odnosu na iste osobne podatke;

(b)

kada nadležna tijela država članica imaju pravo ograničiti ostvarivanje navedenih prava, a svrha takvog ograničenja od strane tog tijela države članice bila bi ugrožena ako Agencija ne primijeni jednako ograničenje u odnosu na iste osobne podatke;

(c)

ako bi ostvarivanje tih prava i obveza moglo ugroziti suradnju Agencije s trećim zemljama ili međunarodnim organizacijama pri izvršavanju njezinih zadaća, osim u slučaju kada interesi ili temeljna prava i slobode ispitanika prevladaju tu potrebnu za suradnjom.

(d)

Prije primjene ograničenja iz ovog stavka, Agencija se po potrebi savjetuje s relevantnim službama Komisije, drugim institucijama, tijelima, agencijama, uredima Unije, međunarodnim organizacijama ili nadležnim tijelima država članica, osim ako je jasno da je ograničenje predviđeno jednim od gore navedenih akata ili ako bi takvo savjetovanje ugrozilo aktivnosti Agencije.

4.   Kategorije osobnih podataka koji se obrađuju u vezi s gore navedenim aktivnostima mogu sadržavati činjenične „pouzdane” podatke i „nepouzdane” podatke iz procjena.

5.   Ograničenjima se poštuje bit temeljnih prava i sloboda i smatraju se nužnima i razmjernima u demokratskom društvu.

Članak 3.

Evidentiranje i registriranje ograničenja

1.   Voditelj obrade podataka vodi evidenciju ograničenja u kojoj se opisuje sljedeće:

(a)

razlozi za svako ograničenje koje je primijenjeno na temelju ove Odluke;

(b)

primjenjive osnove navedene u članku 2.;

(c)

objašnjenje kako bi ostvarenje prava predstavljalo rizik za ispitanika, kako bi ugrozilo svrhu zadaća Agencije ili negativno utjecalo na prava i slobode drugih ispitanika;

(d)

ishod procjene nužnosti i razmjernosti ograničenja, uzimajući u obzir relevantne elemente iz članka 25. stavka 2. Uredbe.

2.   Prije primjene ograničenja u svakom pojedinom slučaju ispituje se nužnost i razmjernost ograničenja. Voditelj obrade podataka razmatra moguće rizike za prava i slobode ispitanika. Ograničenja su ograničena na ono što je strogo nužno za ostvarenje njihova cilja.

3.   Evidencija ograničenja i, ako je primjenjivo, dokumenti koji sadržavaju temeljne činjenične i pravne elemente moraju se registrirati. Daju se na uvid Europskom nadzorniku za zaštitu podataka na njegov zahtjev.

Članak 4.

Rizici za prava i slobode ispitanika

1.   Procjene rizika koji bi zbog uvođenja ograničenja nastali za prava i slobode ispitanika i podatci o razdoblju primjene tih ograničenja unose se u evidenciju aktivnosti obrade koju voditelj obrade podataka vodi na temelju članka 31. Uredbe. Evidentiraju se i u svim procjenama učinka ograničenja na zaštitu podataka koje se provode na temelju članka 39. Uredbe, prema potrebi.

2.   Ako voditelj obrade razmatra primjenu ograničenja, ocjenjuje se rizik za prava i slobode ispitanika, posebno u odnosu na rizik za prava i slobode drugih ispitanika i rizik negativnog učinka na istrage ili postupke, primjerice uništavanjem dokaza. Rizici za prava i slobode ispitanika prvenstveno se odnose, ali nisu ograničeni na rizike za ugled i rizike za pravo na obranu i pravo na saslušanje.

Članak 5.

Zaštitne mjere i rokovi pohrane

1.   Agencija uspostavlja specifične zaštitne mjere kako bi spriječila zlouporabu osobnih podataka koji podliježu ili mogu biti podložni ograničenjima, kao i nezakonit pristup tim podatcima ili njihov prijenos. Te zaštitne mjere uključuju tehničke i organizacijske mjere i detaljno se, prema potrebi, razrađuju u unutarnjim odlukama, postupcima i provedbenim pravilima Agencije. Zaštitne mjere uključuju sljedeće:

(a)

jasnu definiciju uloga, odgovornosti i postupovnih koraka;

(b)

prema potrebi, sigurno elektroničko okružje koje sprječava nezakonit i slučajan pristup neovlaštenih osoba elektroničkim podatcima ili prijenos tih podataka neovlaštenim osobama;

(c)

prema potrebi, sigurnu pohranu i obradu dokumenata u papirnatom obliku;

(d)

osiguravanje poštovanja obveza o povjerljivosti od strane svih osoba koje imaju pristup osobnim podatcima.

2.   Razdoblje zadržavanja osobnih podataka na koje se ograničenje primjenjuje određuje se u pripadajućoj evidenciji iz članka 31. Uredbe, uzimajući u obzir svrhu obrade i uključuje nužan rok za upravno i sudsko preispitivanje. Na kraju razdoblja zadržavanja osobni podatci brišu se, anonimiziraju ili prenose u arhiv u skladu s člankom 13. Uredbe.

Članak 6.

Trajanje ograničenja

1.   Ograničenja iz članka 2. primjenjuje se sve dok razlozi koji ih opravdavaju i dalje postoje.

2.   Kad razlozi za ograničenje više ne postoje, voditelj obrade podataka ukida ograničenje ako se ostvarivanjem ograničenog prava više ne bi negativno utjecalo na relevantni primjenjivi postupak ili na prava ili slobode drugih ispitanika.

3.   U slučaju kada ispitanik ponovno zatraži pristup predmetnim osobnim podatcima, voditelj obrade podataka ispitaniku daje glavne razloge za ograničenje. Istodobno, Agencija je dužna obavijestiti ispitanika o mogućnosti podnošenja pritužbe Europskom nadzorniku za zaštitu podataka u bilo kojem trenutku ili traženja pravnog lijeka pred Sudom Europske unije.

4.   Agencija preispituje primjenu ograničenja iz članka 2. svakih šest mjeseci.

Članak 7.

Uključivanje službenika za zaštitu podataka

1.   Voditelj obrade podataka Agencije bez nepotrebnog odgađanja obavješćuje službenika za zaštitu podataka u Agenciji, i to prije svake odluke o ograničavanju prava ispitanika u skladu s ovom Odlukom ili o produživanju takvog ograničenja. Voditelj obrade podataka omogućuje službeniku za zaštitu podataka pristup pripadajućim evidencijama i svim dokumentima koji se odnose na činjenični ili pravni kontekst.

2.   Službenik za zaštitu podataka može od voditelja obrade zatražiti preispitivanje primjene ograničenja. Voditelj obrade dužan je pisano obavijestiti službenika za zaštitu podataka o ishodu traženog preispitivanja.

3.   Voditelj obrade dokumentira sudjelovanje službenika za zaštitu podataka u primjeni ograničenja, uključujući informacije koje s njim dijeli. Dokumenti iz ovog članka dio su evidencije povezane s ograničenjem i daju se na uvid Europskom nadzorniku za zaštitu podataka na njegov zahtjev.

Članak 8.

Informiranje ispitanika o ograničenjima njegovih prava

1.   U evidencije i obavijesti o zaštiti podataka iz članka 31. Uredbe, koje se objavljuju na njegovom mrežnom mjestu i na intranetu, voditelj obrade podataka uključuje općenite informacije o mogućnosti ograničenja prava ispitanika u skladu s člankom 2. stavkom 2. ove Odluke. Te informacije obuhvaćaju prava i obveze koje se mogu ograničiti, osnove za moguću primjenu ograničenja i moguće trajanje ograničenja.

2.   Voditelj obrade pojedinačno obavješćuje ispitanike, pisanim putem i bez nepotrebnog odgađanja, o postojećim ili budućim ograničenjima njihovih prava. Voditelj obrade obavješćuje ispitanika o glavnim razlozima na kojima se temelji primjena ograničenja, o njegovu pravu na savjetovanje sa službenikom za zaštitu podataka s ciljem osporavanja ograničenja te o njegovu pravu na podnošenje pritužbe Europskom nadzorniku za zaštitu podataka.

3.   Voditelj obrade može odgoditi, izostaviti ili uskratiti pružanje informacija o razlozima za ograničenje i pravu na podnošenje pritužbe Europskom nadzorniku za zaštitu podataka ako bi se time poništio učinak ograničenja. Procjena tog obrazloženja provodi se za svaki pojedinačni slučaj, a voditelj obrade podataka pruža informacije ispitaniku čim to pružanje informacija više ne poništava učinak ograničenja.

Članak 9.

Pravo ispitanika na pristup

1.   U propisno opravdanim slučajevima i pod uvjetima propisanima u ovoj Odluci, voditelj obrade može ograničiti pravo na pristup iz članka 17. Uredbe, ako je to potrebno i razmjerno u vezi s aktivnostima iz ove Odluke.

2.   Ako ispitanici zatraže pristup svojim osobnim podatcima koji se obrađuju u kontekstu specifične aktivnosti obrade iz članka 2. stavka 2. ove Odluke, Agencija svoj odgovor ograničava samo na one osobne podatke koji se obrađuju za tu aktivnost.

3.   Prava ispitanika na izravan pristup dokumentima psihološke ili psihijatrijske prirode mogu biti ograničena. Ni neizravan pristup ni pravo na ispravak i obavješćivanje ispitanika o povredi osobnih podataka nisu ograničeni ovim unutarnjim pravilima. Stoga bi se liječniku posredniku trebao omogućiti pristup svim povezanim informacijama, na zahtjev pojedinca o kojemu je riječ, i trebale bi mu se dodijeliti diskrecijske ovlasti da odlučuje kako i kakav pristup omogućiti ispitaniku.

4.   Kada voditelj obrade podataka u cijelosti ili djelomično ograničuje pravo na pristup osobnim podatcima, kako je navedeno u članku 17. Uredbe, o tome pisanim putem obavješćuje dotičnog ispitanika u svojem odgovoru na zahtjev za pristup, kao i o primijenjenom ograničenju i o glavnim razlozima za ograničenje, te o mogućnosti podnošenja pritužbe Europskom nadzorniku za zaštitu podataka ili traženja pravnog lijeka pred Sudom Europske unije.

5.   Informacije o ograničenju pristupa mogu se odgoditi, izostaviti ili uskratiti ako bi se njihovim pružanjem poništio učinak ograničenja u skladu s člankom 25. stavkom 8. Uredbe.

6.   Ograničenje iz ovog članka primjenjuje se u skladu s ovom Odlukom.

Članak 10.

Pravo na ispravak, brisanje i ograničavanje obrade

1.   U propisno opravdanim slučajevima i pod uvjetima propisanima u ovoj Odluci, voditelj obrade može ograničiti pravo na ispravak, brisanje i ograničavanje obrade iz članka 18., članka 19. stavka 1. i članka 20. stavka 1. Uredbe, ako je to potrebno i prikladno u vezi s aktivnostima iz članka 2. stavka 2. ove Odluke.

2.   U odnosu na medicinske podatke, ispitanici mogu ostvariti pravo na ispravak procjene ili mišljenja liječničke službe Komisije iznošenjem vlastitih komentara ili dostavljanjem izvješća liječnika po vlastitom izboru, uključujući izravno liječničkoj službi Komisije.

3.   Ograničenje iz ovog članka primjenjuje se u skladu s ovom Odlukom.

Članak 11.

Obavješćivanje ispitanika o povredi osobnih podataka

1.   Kada voditelj obrade ima obvezu obavijestiti o povredi podataka na temelju članka 35. stavka 1. Uredbe, u iznimnim okolnostima takvu obavijest može u cijelosti ili djelomično ograničiti. U bilješci navodi razloge za ograničenje, pravnu osnovu u skladu s člankom 2. i procjenu nužnosti i razmjernosti ograničenja. Bilješku dostavlja Europskom nadzorniku za zaštitu podataka u trenutku obavješćivanja o povredi osobnih podataka.

2.   Ako više ne postoje razlozi za ograničenje, Agencija dotičnog ispitanika obavješćuje o povredi osobnih podataka i o glavnim razlozima ograničenja te o njegovu pravu na podnošenje pritužbe Europskom nadzorniku za zaštitu podataka.

Članak 12.

Povjerljivost elektroničkih komunikacija

1.   U iznimnim okolnostima Agencija može ograničiti pravo na povjerljivost elektroničkih komunikacija iz članka 36. Uredbe. Takva ograničenja moraju biti u skladu s Direktivom 2002/58/EZ Europskog parlamenta i Vijeća (9).

2.   Ne dovodeći u pitanje članak 8. stavak 3., kada Agencija ograniči pravo na povjerljivost elektroničkih komunikacija, ona obavješćuje predmetnog ispitanika, u svojem odgovoru na zahtjev ispitanika, o glavnim razlozima na kojima se temelji primjena ograničenja i o njegovu pravu na podnošenje pritužbe Europskom nadzorniku za zaštitu podataka.

Članak 13.

Stupanje na snagu

Ova Odluka stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

Odluku donio Upravni odbor Izvršne agencije za inovacije i mreže.

Datum donošenja 14. listopada 2020.

Potvrđuje Izvršni direktor INEA-e


(1)  SL L 295, 21.11.2018., str. 39.

(2)  SL L 11, 16.1.2003., str. 1.

(3)  SL L 352, 24.12.2013., str. 65.

(4)  SEC (2009) 481/3.

(5)  SEC (2018)120/2.

(6)  Odluka Komisije C(2013)9235 od 23. prosinca 2013. kako je izmijenjena Odlukom Komisije C(2018)1281 od 27. veljače 2018.

(7)  Uredba Vijeća (EEZ, Euratom, EZUČ) br. 259/68 od 29. veljače 1968. o Pravilniku o osoblju za dužnosnike i Uvjetima zaposlenja ostalih službenika Europskih zajednica i kojom se uvode posebne mjere koje se privremeno primjenjuju na dužnosnike Komisije (SL L 56, 4.3.1968., str. 1.).

(8)  Odluka Komisije (EU, Euratom) 2017/46 оd 10. siječnja 2017. o sigurnosti komunikacijskih i informacijskih sustava u Europskoj komisiji (SL L 6, 11.1.2017., str. 40.).

(9)  Direktiva 2002/58/EZ Europskog parlamenta i Vijeća od 12. srpnja 2002. o obradi osobnih podataka i zaštiti privatnosti u području elektroničkih komunikacija (Direktiva o privatnosti i elektroničkim komunikacijama) (SL L 201, 31.7.2002., str. 37.).