This document is an excerpt from the EUR-Lex website
Document 32021D1093
Council Decision (EU) 2021/1093 of 28 June 2021 laying down implementing rules concerning the Data Protection Officer of the Council, the application of Regulation (EU) 2018/1725 of the European Parliament and of the Council, and restrictions of data subjects’ rights in the context of the exercise of the tasks of the Data Protection Officer of the Council, and repealing Council Decision 2004/644/EC
A Tanács (EU) 2021/1093 határozata (2021. június 28.) a Tanács adatvédelmi tisztviselőjére,az (EU) 2018/1725 európai parlamenti és tanácsi rendelet alkalmazására, és az érintettek jogainak a Tanács adatvédelmi tisztviselő feladatainak összefüggésében való korlátozásaira vonatkozó végrehajtási szabályok megállapításáról, és a 2004/644/EK tanácsi határozat hatályon kívül helyezéséről
A Tanács (EU) 2021/1093 határozata (2021. június 28.) a Tanács adatvédelmi tisztviselőjére,az (EU) 2018/1725 európai parlamenti és tanácsi rendelet alkalmazására, és az érintettek jogainak a Tanács adatvédelmi tisztviselő feladatainak összefüggésében való korlátozásaira vonatkozó végrehajtási szabályok megállapításáról, és a 2004/644/EK tanácsi határozat hatályon kívül helyezéséről
ST/9148/2021/INIT
HL L 236., 2021.7.5, p. 55–68
(BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
2021.7.5. |
HU |
Az Európai Unió Hivatalos Lapja |
L 236/55 |
A TANÁCS (EU) 2021/1093 HATÁROZATA
(2021. június 28.)
a Tanács adatvédelmi tisztviselőjére,az (EU) 2018/1725 európai parlamenti és tanácsi rendelet alkalmazására, és az érintettek jogainak a Tanács adatvédelmi tisztviselő feladatainak összefüggésében való korlátozásaira vonatkozó végrehajtási szabályok megállapításáról, és a 2004/644/EK tanácsi határozat hatályon kívül helyezéséről
AZ EURÓPAI UNIÓ TANÁCSA,
tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 240. cikke (3) bekezdésére,
tekintettel a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23-i (EU) 2018/1725 európai parlamenti és tanácsi rendeletre (1) és különösen annak 45. cikke (3) bekezdésére,
mivel:
(1) |
Az (EU) 2018/1725 rendelet meghatározza az összes uniós intézményre és szervre vonatkozó elveket és szabályokat, és előírja valamennyi uniós intézmény és szerv számára az adatvédelmi tisztviselő kinevezését. |
(2) |
Az (EU) 2018/1725 rendelet 45. cikkének (3) bekezdése előírja, hogy az egyes uniós intézményeknek és szerveknek végrehajtási szabályokat (a továbbiakban: a végrehajtási szabályok) kell elfogadniuk az adatvédelmi tisztviselőre vonatkozóan. A végrehajtási szabályoknak különösen a Tanács és a Tanács Főtitkársága adatvédelmi tisztviselőjének feladataira, kötelességeire és hatásköreiére kell vonatkozniuk. |
(3) |
A végrehajtási szabályokban meg kell határozni az adatkezelés által érintettek jogainak gyakorlására, valamint a Tanácson és a Tanács Főtitkárságán belül a személyes adatok kezelésével foglalkozó valamennyi érintett résztvevő kötelezettségeinek teljesítésére vonatkozó eljárásokat. |
(4) |
Az (EU) 2018/1725 rendelet egyértelmű felelősségi köröket ír elő az adatkezelők számára, különös tekintettel az érintettek jogaira. A végrehajtási szabályoknak biztosítaniuk kell, hogy a Tanács és a Főtitkárság egységes és átlátható módon teljesítsék adatkezelői feladataikat. Szabályokat kell megállapítani annak meghatározására, hogy ki felelős a Tanács vagy a Főtitkárság nevében végzett adatkezelési műveletekért. Ezzel összefüggésben indokolt bevezetni a felhatalmazott adatkezelő fogalmát annak érdekében, hogy pontosan meg lehessen határozni a Főtitkárság szervezeteinek felelősségi körét, különösen az érintettek jogait érintő egyedi határozatok tekintetében. Indokolt továbbá bevezetni az operatív adatkezelő fogalmát, akit a felhatalmazott adatkezelő jelöl ki – felelőssége fenntartása mellett – a szabályoknak való megfelelés gyakorlati biztosítására, és az érintettek adatkezelési művelettel kapcsolatos kérelmeinek feldolgozására. Annak érdekében, hogy pontosan meg lehessen jelölni a Főtitkárságon belül az egyes adatkezelési tevékenységek tekintetében fennálló felelősségi köröket, az operatív adatkezelőt pontosan meg kell jelölni a nyilvántartásban szereplő bejegyzésben. Az operatív adatkezelő kijelölése nem akadályozza meg egy kapcsolattartó pont gyakorlati alkalmazását, például az érintettek kérelmeinek fogadására rendelkezésre álló funkcionális postafiók formájában. |
(5) |
Bizonyos esetekben a Főtitkárság több főigazgatósága vagy szolgálata közösen is végezhet adatkezelési műveletet a rájuk bízott feladat teljesítése érdekében. Ilyen esetekben biztosítaniuk kell, hogy belső intézkedések foganatosításával átlátható módon meghatározzák az (EU) 2018/1725 rendelet szerinti felelősségi köreiket, különösen az érintettek jogaival, az európai adatvédelmi biztos tájékoztatásával és a nyilvántartások vezetésével kapcsolatosan. |
(6) |
Annak érdekében, hogy megkönnyítsék a felhatalmazott adatkezelők felelősségi körének gyakorlását, a Főtitkárság minden főigazgatóságának vagy más szolgálatának ki kell kineveznie egy adatvédelmi koordinátort. Az adatvédelmi koordinátoroknak a személyes adatok védelmével kapcsolatos minden kérdésben segítséget kell nyújtaniuk a Főtitkárság főigazgatóságának vagy más szolgálatának, és részt kell venniük a Főtitkárság adatvédelmi koordinátorainak hálózatában az (EU) 2018/1725 rendelet koherens végrehajtásának és értelmezésének biztosítása érdekében. |
(7) |
Az (EU) 2018/1725 rendelet 45. cikke (1) bekezdésének b) pontja alapján, az adatvédelmi tisztviselő kiegészítő iránymutatást adhat ki az adatvédelmi koordinátor feladatköréről. |
(8) |
Az (EU) 2018/1725 rendelet 25. cikkének (1) bekezdése minden uniós intézménynek és szervnek lehetőséget biztosít arra, hogy korlátozza az említett rendelet 14–17., 19., 20. és 35. cikkének alkalmazását, továbbá a 4. cikke (1) bekezdésének a) pontjában meghatározott átláthatóság elvének alkalmazását, amennyiben az átláthatóság elvének rendelkezései megfelelnek az említett rendelet 14–17., 19., és 20. cikkében meghatározott jogoknak és kötelezettségeknek. |
(9) |
Bizonyos esetekben előfordulhat, hogy az adatvédelmi tisztviselőnek korlátoznia kell az érintettek jogait az (EU) 2018/1725 rendelet 45. cikkében meghatározott nyomonkövetési, vizsgálati, auditálási és konzultációs feladatok ellátása érdekében, tiszteletben tartva ugyanakkor az említett rendelet szerinti, a személyes adatok védelmére vonatkozó előírásokat. Belső szabályokat kell elfogadni, amelyek értelmében az adatvédelmi tisztviselő az említett rendelet 25. cikkével összhangban korlátozhatja az érintettek jogait(a továbbiakban: belső szabályok). |
(10) |
Indokolt, hogy e belső szabályok a Tanács és a Főtitkárság által végzett valamennyi adatkezelési műveletre vonatkozzanak az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, auditálási és konzultációs tevékenységeinek végrehajtása során. A belső szabályoknak vonatkozniuk kell az adatvédelmi tisztviselő vizsgálati vagy auditálási feladatköréhez kapcsolódó adatkezelési műveletekre is, például az adatvédelmi tisztviselő által lefolytatott panaszkezelési eljárásokra is. A belső szabályoknak az adatvédelmi tisztviselő által végzett olyan nyomon követésre és konzultációkra is vonatkozniuk kell, amikor az adatvédelmi tisztviselő a saját igazgatási vizsgálatain és ellenőrzésein kívül nyújt segítséget és együttműködést a Főtitkárság főigazgatóságainak és szolgálatainak. |
(11) |
A Tanácsnak és a Főtitkárságnak adott esetben korlátozásokat kell alkalmaznia az (EU) 2018/1725 rendelet 25. cikke (1) bekezdésének c), g) és h) pontja alapján az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, auditálási és konzultációs feladatai keretében végzett adatkezelési műveletekre, amennyiben ez az adatvédelmi tisztviselő feladatainak, a kapcsolódó vizsgálatoknak és eljárásoknak, az adatvédelmi tisztviselő vizsgálati és auditálási eszközeinek és módszereinek, valamint az adatvédelmi tisztviselő feladataival kapcsolatos más személyek jogainak védelme érdekében szükséges. |
(12) |
A hatékony együttműködés fenntartása érdekében előfordulhat, hogy a Tanácsnak és a Főtitkárságnak a Főtitkárság más főigazgatóságaitól és szolgálataitól, vagy más uniós intézményektől vagy szervektől származó, személyes adatokat tartalmazó információk védelme érdekében korlátoznia kell az érintettek jogait. Ennek érdekében az adatvédelmi tisztviselőnek konzultálnia kell az említett főigazgatóságokkal és szolgálatokkal vagy más intézményekkel vagy szervekkel a korlátozások bevezetésének releváns okairól, valamint a korlátozások szükségességéről és arányosságáról. |
(13) |
Az adatvédelmi tisztviselőnek – és adott esetben a Főtitkárság főigazgatóságainak és szolgálatainak – átlátható módon kell kezelnie az összes korlátozást, és a megfelelő nyilvántartó rendszerben minden egyes korlátozás alkalmazását nyilvántartásba kell vennie. |
(14) |
Az (EU) 2018/1725 rendelet 25. cikkének (8) bekezdése értelmében az adatkezelők elhalaszthatják vagy mellőzhetik az érintettnek a korlátozás okairól való tájékoztatását, ha ez bármilyen módon veszélyeztetné a korlátozás célját. A korlátozás bejelentése különösen az említett rendelet 16. és a 35. cikke szerinti jogok korlátozásakor veszélyeztetné a korlátozás célját. Annak biztosítása érdekében, hogy az érintettnek az említett cikkek szerinti, tájékoztatáshoz való jogát csak addig korlátozzák, amíg a halasztás okai fennállnak, az adatvédelmi tisztviselőnek vagy a Főtitkárságon belül a korlátozást alkalmazó főigazgatóságoknak vagy szolgálatoknak rendszeresen felül kell vizsgálnia az álláspontját. |
(15) |
Amennyiben az érintett egyéb jogait korlátozzák, az adatvédelmi tisztviselőnek eseti alapon értékelnie kell, hogy a korlátozásról való tájékoztatás ellehetetlenítené-e annak célját. |
(16) |
Az e határozatnak való megfelelés biztosítása érdekében az adatvédelmi tisztviselőnek független módon felül kell vizsgálnia a Főtitkárság más főigazgatóságai vagy szolgálatai által e határozat alapján alkalmazott korlátozásokat. |
(17) |
Az e határozat alapján alkalmazott korlátozásoknak egy demokratikus társadalomban szükséges és arányos intézkedést kell jelenteniük. |
(18) |
Az európai adatvédelmi biztos megkapta az (EU) 2018/1725 rendelet 41. cikkének (1) és (2) bekezdése szerinti tájékoztatást és konzultációs lehetőséget, majd kinyilvánította véleményét (2). |
(19) |
Az (EU) 2018/1725 rendelet végrehajtási szabályai nem sértik az 1049/2001/EK európai parlamenti és tanácsi rendeletet (3), a 2004/338/EK, Euratom tanácsi határozatot (4) és különösen annak II. mellékletét, a 2013/488/EU tanácsi határozatot (5) és különösen annak melléklete II. részének VI. szakaszát, illetve a Tanács főtitkárának/a közös kül- és biztonságpolitika főképviselőjének 2001. június 25-i határozatát (6). |
(20) |
A 2004/644/EK tanácsi határozat (7) megállapítja a 45/2001/EK európai parlamenti és tanácsi rendeletre vonatkozó végrehajtási szabályokat. Az (EU) 2018/1725 rendelet 2019. december 11-i hatállyal hatályon kívül helyezte a 45/2001/EK rendeletet. Annak biztosítása érdekében, hogy csak egy végrehajtási szabályrendszer legyen alkalmazandó, a 2004/644/EK határozatot hatályon kívül kell helyezni, |
ELFOGADTA EZT A HATÁROZATOT:
1. SZAKASZ
ÁLTALÁNOS RENDELKEZÉSEK
1. cikk
Tárgy és alkalmazási kör
(1) Ez a határozat megállapítja az (EU) 2018/1725 rendeletnek a Tanács és a Tanács Főtitkársága (a továbbiakban: a „Főtitkárság”) általi alkalmazására vonatkozó szabályokat és eljárásokat, valamint további végrehajtási szabályokat állapít meg a Tanács adatvédelmi tisztviselőjére vonatkozóan.
(2) Ez a határozat megállapítja azokat a szabályokat, amelyeket a Tanácsnak és a Főtitkárságnak az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, auditálási és konzultációs tevékenységeivel kapcsolatban kell követnie az érintetteknek a személyes adataik kezeléséről való, az (EU) 2018/1725 rendelet 14., 15. és 16. cikke szerinti tájékoztatása tekintetében.
(3) Ez a határozat megállapítja azokat a feltételeket, amelyek mellett a Tanács és a Főtitkárság az adatvédelmi tisztviselő nyomonkövetési, vizsgálati, auditálási és konzultációs tevékenységeivel kapcsolatban korlátozhatja az (EU) 2018/1725 rendelet 4., 14–17., 19., 20. és 35. cikkének alkalmazását az említett rendelet 25. cikke (1) bekezdésének c), g) és h) pontjával összhangban.
(4) Ez a határozat a személyes adatoknak a Tanács és a Főtitkárság általi, az adatvédelmi tisztviselőnek az (EU) 2018/1725 rendelet 45. cikkében említett feladatai céljából vagy azokkal kapcsolatban történő kezelésére vonatkozik.
2. cikk
Adatkezelő
E határozat alkalmazásában a Tanács és a Főtitkárság az (EU) 2018/1725 rendelet 3. cikkének 8. pontja értelmében vett adatkezelőnek minősül.
3. cikk
Fogalommeghatározások
E határozat alkalmazásában:
1. |
„adatvédelmi tisztviselő”: a Tanács főtitkára által az (EU) 2018/1725 rendelet 43. cikke szerint kijelölt személy; |
2. |
„az adatvédelmi tisztviselő feladatai”: az (EU) 2018/1725 rendelet 45. cikkében említett feladatok; |
3. |
„a Főtitkárság személyzete”: a Tanács Főtitkárságának minden tisztviselője és minden más olyan személy, akire alkalmazandó az Európai Unió tisztviselőinek személyzeti szabályzata és az Unió egyéb alkalmazottaira vonatkozó alkalmazási feltételek, amelyeket a 259/68/EGK, Euratom, ESZAK tanácsi rendelet (8) (a továbbiakban: a személyzeti szabályzat) ír elő, illetve aki a Főtitkárságon szerződéses alapon dolgozik (gyakornokok, tanácsadók, szerződéses megbízottak, a tagállamok által kirendelt tisztviselők). |
4. |
„felhatalmazott adatkezelő”: a Főtitkárság azon főigazgatóságának vagy szolgálatának a vezetője, amely önállóan vagy másokkal közösen meghatározza a személyes adatoknak a Tanács vagy a Főtitkárság nevében, az adott főigazgatóság vagy szolgálat feladatának teljesítése keretében történő kezelésének céljait és módját; |
5. |
„operatív adatkezelő”: a Főtitkárság személyzetének közép- vagy felsővezetői szintű tagja, akit a felhatalmazott adatkezelő arra jelöl ki, hogy segítse őt az (EU) 2018/1725 rendeletnek való megfelelés biztosításában a felelősségi körébe tartozó adatkezelési műveletek tekintetében, és elsődleges kapcsolattartó pontként szolgáljon az érintettek számára; |
6. |
„adatvédelmi koordinátor”: a Főtitkárság személyzetének azon tagjai, akiket az adatvédelmi tisztviselővel egyeztetve a Főtitkárság minden főigazgatóságán vagy más szolgálatán arra jelölnek ki, hogy segítsék a főigazgatóságot vagy a szolgálatot a személyes adatok védelmének minden vetületével kapcsolatban, valamint hogy az adott főigazgatóság vagy egyéb szolgálat képviselőjeként adatvédelmi kérdésekkel foglalkozzanak az adatvédelmi tisztviselővel szoros együttműködésben. |
2. SZAKASZ
AZ ADATVÉDELMI TISZTVISELŐ
4. cikk
Az adatvédelmi tisztviselő kijelölése és jogállása
(1) A Tanács főtitkára jelöli ki az adatvédelmi tisztviselőt a Főtitkárság személyzetéből, és az (EU) 2018/1725 rendelet 43. cikkével összhangban közli kilétét az európai adatvédelmi biztossal.
(2) Az adatvédelmi tisztviselőt szakmai rátermettsége és különösen az adatvédelmi jog és gyakorlatok szakértői szintű ismerete, valamint az (EU) 2018/1725 rendelet 45. cikkben említett feladatok ellátására való alkalmassága alapján kell kiválasztani. Az adatvédelmi tisztviselőnek továbbá alapos ismeretekkel kell rendelkeznie a Főtitkárságról, annak felépítéséről, valamint igazgatási szabályairól és eljárásairól. Feladatainak ellátása céljából az adatvédelmi tisztviselőt mentesíteni kell a Főtitkárságon belüli bármely más feladat alól.
(3) Az adatvédelmi tisztviselő kinevezése öt évre szól, és megújítható.
(4) Az adatvédelmi tisztviselő és személyzete közvetlenül a Tanács főtitkára alá tartozik, és közvetlenül neki tartozik beszámolási kötelezettséggel.
(5) Feladatai ellátása során az adatvédelmi tisztviselő független módon jár el, és nem utasíthatja őt a Tanács főtitkára, sem a felhatalmazott adatkezelők vagy az operatív adatkezelők, illetve senki más sem az (EU) 2018/1725 rendelet rendelkezéseinek belső alkalmazására vagy az európai adatvédelmi biztossal való együttműködésére vonatkozóan.
(6) A Tanács és a Főtitkárság támogatják az adatvédelmi tisztviselőt az (EU) 2018/1725 rendelet 45. cikkében említett feladatai ellátásában azáltal, hogy biztosítják számára azokat a forrásokat, amelyek e feladatok végrehajtásához, a személyes adatokhoz és az adatkezelési műveletekhez való hozzáféréshez, valamint az adatvédelmi tisztviselő szakértői szintű ismereteinek fenntartásához szükségesek.
(7) Az adatvédelmi tisztviselő nem menthető fel és nem sújtható szankcióval feladatai ellátásából kifolyólag. Az adatvédelmi tisztviselő kizárólag az (EU) 2018/1725 rendelet 44. cikkének (8) bekezdésével összhangban menthető fel. Az európai adatvédelmi biztossal írásban kell konzultálni abból a célból, hogy hozzájárulását adja az említett cikk szerinti felmentéshez. A hozzájárulás másolatát meg kell küldeni az adatvédelmi tisztviselőnek.
(8) A Főtitkárság, különösen a felhatalmazott adatkezelők és az operatív adatkezelők biztosítják az adatvédelmi tisztviselő megfelelő módon és időben történő bevonását a személyes adatok védelmével kapcsolatos minden ügybe.
5. cikk
Feladatok és kötelességek
(1) Az adatvédelmi tisztviselő ellátja az (EU) 2018/1725 rendelet 45. cikkében előírt valamennyi feladatot. Különösen:
a) |
biztosítja, hogy a Tanács és a Főtitkárság alkalmazza és végrehajtsa az (EU) 2018/1725 rendeletet, valamint ellenőrzi az említett rendeletnek és a személyes adatok védelmére alkalmazandó jogi keretnek való megfelelést; |
b) |
tanácsot ad a Tanács főtitkárának, a felhatalmazott adatkezelőknek és az operatív adatkezelőknek az adatvédelmi rendelkezések alkalmazásával kapcsolatos kérdésekben; |
c) |
tanácsot és támogatást nyújt a felhatalmazott adatkezelők és az operatív adatkezelők részére az adatvédelmi hatásvizsgálatnak az (EU) 2018/1725 rendelet 39. és 40. cikke szerinti elvégzése során; |
d) |
biztosítja, hogy az adatkezelési műveletek során ne sérüljenek az érintettek jogai és szabadságai; |
e) |
figyelemfelhívó tevékenységet végez a személyes adatok védelmére vonatkozó jogi kerettel kapcsolatban, és hozzájárul a személyes adatok védelme kultúrájának kialakításához a Főtitkárságon belül. |
A Tanács főtitkára, az érintett adatkezelők, a személyzeti bizottság, illetve bármely természetes személy a hivatali út igénybevétele nélkül konzultálhat az adatvédelmi tisztviselővel az (EU) 2018/1725 rendelet alkalmazásával vagy végrehajtásával kapcsolatos bármely kérdésben;
(2) Az adatvédelmi tisztviselő nyilvántartást vezet az adatkezelési tevékenységekre vonatkozó feljegyzésekről, és azt a 12. cikkel összhangban nyilvánosan hozzáférhetővé teszi.
(3) Az adatvédelmi tisztviselő belső nyilvántartást vezet az (EU) 2018/1725 rendelet 3. cikkének 16. pontja szerinti adatvédelmi incidensekről.
(4) Az adatvédelmi tisztviselő – kérésre– tanácsot ad a felhatalmazott adatkezelő részére az (EU) 2018/1725 rendelet 14–22., 35. és 36. cikkének, valamint 4. cikkének az alkalmazására vonatkozó korlátozás alkalmazásával kapcsolatban.
(5) Az adatvédelmi tisztviselő szervezi meg és vezeti le az adatvédelmi koordinátorok rendszeres üléseit.
(6) Az adatvédelmi tisztviselő éves jelentést nyújt be a Tanács főtitkárának a tevékenységeiről, és hozzáférhetővé teszi azt a Főtitkárság személyzete számára.
(7) Az adatvédelmi tisztviselő együttműködik a többi uniós intézmény és szerv által kijelölt adatvédelmi tisztviselővel, és rendszeresen részt vesz az európai adatvédelmi biztos vagy a többi uniós intézmény és szerv adatvédelmi tisztviselői által összehívott üléseken, amelyek célja a jó együttműködés elősegítése, különösen a tapasztalatok és a legjobb gyakorlatok cseréje révén.
(8) Az adatvédelmi tisztviselő a feladatai ellátása során végzett adatkezelési műveletek tekintetében felhatalmazott adatkezelőnek minősül.
6. cikk
Hatáskör
Feladatai és kötelességei teljesítése során az adatvédelmi tisztviselő:
a) |
bármikor betekinthet az adatkezelési műveletek tárgyát képező adatokba, beléphet valamennyi hivatali helyiségbe, valamint hozzáférhet valamennyi adatfeldolgozó berendezéshez és adathordozóhoz; |
b) |
jogi véleményt kérhet a Tanács Jogi Szolgálatától; |
c) |
egyéb támogatást kérhet a Főtitkárság illetékes főigazgatóságaitól és szolgálataitól; |
d) |
a Főtitkárság érintett főigazgatóságaihoz és szolgálataihoz utalhat ügyeket abból a célból, hogy azok hozzák meg a megfelelő követő intézkedéseket; |
e) |
a 14. cikkben meghatározott eljárásnak megfelelően, kérésre vagy saját kezdeményezésére megvizsgálhat olyan ügyeket és eseményeket, amelyek közvetlenül kapcsolódnak az adatvédelmi tisztviselő feladataihoz; |
f) |
adminisztratív intézkedéseket javasolhat a Tanács főtitkárának, és általános ajánlásokat adhat ki az (EU) 2018/1725 rendelet megfelelő alkalmazására vonatkozóan; |
g) |
ajánlásokat tehet a Főtitkárságnak, a felhatalmazott adatkezelőknek és az operatív adatkezelőknek az (EU) 2018/1725 rendelet gyakorlatban való alkalmazásának a javítására, így többek között:
|
h) |
az (EU, Euratom) 2018/1046 európai parlamenti és tanácsi rendelettel (9) összhangban az engedélyezésre jogosult tisztviselő előzetes beleegyezésével kérheti külső, információs és kommunikációs technológiai szakértők szolgáltatásainak az igénybevételét; |
i) |
meghívást kell, hogy kapjon a Főtitkárság érintett vezetői testületeinek és bizottságainak az üléseire minden olyan esetben, amikor a személyes adatok kezelésével kapcsolatos kérdéseket vitatnak meg, és napirendi pontokat javasolhat e testületek és bizottságok üléseire; |
j) |
értesítheti a Főtitkárság kinevezésre jogosult hatóságát arról, ha a Főtitkárság személyzetének egy tagja nem teljesítette az (EU) 2018/1725 rendelet szerinti kötelezettségeket, és javasolhatja, hogy indítsanak igazgatási vizsgálatot az említett rendelet 69. cikkében előírt szankciók lehetséges alkalmazása céljából; |
k) |
a Főtitkárság érintett szolgálataival konzultálva felel az 1049/2001/EK rendelet alapján benyújtott, a hivatala birtokában lévő dokumentumokhoz való hozzáférés iránti alapkérelmekről szóló határozatok meghozataláért. |
3. SZAKASZ
AZ ADATVÉDELEMBEN RÉSZT VEVŐK JOGAI ÉS KÖTELESSÉGEI
7. cikk
Konzultáció az adatvédelmi tisztviselővel és az adatvédelmi tisztviselő tájékoztatása
(1) Az adatkezelőknek be kell vonniuk az adatvédelmi tisztviselőt a személyes adatok kezelésével járó tevékenységek tervezésébe és megvitatásába. Az adatvédelmi tisztviselőt tájékoztatni kell minden adatkezelési műveletről, továbbá a fennálló adatkezelési műveletek bármely lényeges megváltoztatásáról.
(2) Az adatvédelmi tisztviselőt tájékoztatni kell a Főtitkárság azon belső feljegyzéseinek és határozatainak tervezetéről, amelyek közvetlenül kapcsolódnak az (EU) 2018/1725 rendelet belső alkalmazásához.
(3) Az adatvédelmi tisztviselőt tájékoztatni kell az (EU) 2018/1725 rendelet belső alkalmazásával kapcsolatban külső felekkel felvett valamennyi kapcsolatról, valamint az európai adatvédelmi biztossal folytatott bármely kapcsolatfelvételről, különösen az említett rendelet 40. és 41. cikke alapján az európai adatvédelmi biztossal folytatott konzultáció, illetve az európai adatvédelmi biztos tájékoztatása esetén.
(4) Amennyiben a személyes adatok kezelését adatfeldolgozó végzi, a közös adatkezelők közötti megállapodások tervezetéről, valamint a szerződésekben foglalt adatvédelmi záradékok, illetve egyéb jogi aktusok tervezetéről konzultálni kell az adatvédelmi tisztviselővel.
8. cikk
Felhatalmazott adatkezelők
(1) A felhatalmazott adatkezelők feladata annak biztosítása, hogy az ellenőrzésük alatt végzett valamennyi adatkezelési művelet megfeleljen az (EU) 2018/1725 rendeletnek.
(2) A felhatalmazott adatkezelőknek különösen:
a) |
ki kell jelölniük egy operatív adatkezelőt, aki segíti a felhatalmazott adatkezelőt az (EU) 2018/1725 rendeletnek való megfelelés biztosításában, főleg az érintettekkel való bánásmód tekintetében; |
b) |
nyilvántartást kell vezetniük a felelősségi körükben végzett adatkezelési tevékenységekről, és biztosítaniuk kell, hogy a nyilvántartást és a kapcsolódó adatvédelmi nyilatkozatot az operatív adatkezelő a 12. cikkben említett nyilvántartásba való bevitel céljából benyújtsa az adatvédelmi tisztviselőnek; |
c) |
felelniük kell a nevükben a személyes adatok kezelését végző adatfeldolgozók és adatfeldolgozó alvállalkozók tevékenységeiért, és biztosítaniuk kell, hogy az adatkezelést az (EU) 2018/1725 rendelet 29. cikke (3) bekezdésének megfelelő szerződés vagy más jogi aktus szabályozza. |
(3) A felhatalmazott adatkezelőknek egyrészt biztosítaniuk kell, hogy az adatvédelmi tisztviselő kellő időben bekapcsolódjon a személyes adatokkal kapcsolatos valamennyi ügybe, másrészt megfelelő intézkedéseket kell tenniük annak biztosítására is, hogy az adatvédelmi koordinátor megfelelően bekapcsolódjon a főtitkársági főigazgatóságukon és más szolgálatukon belüli adatvédelemmel kapcsolatos valamennyi ügybe.
(4) A felhatalmazott adatkezelőknek biztosítaniuk kell, hogy megfelelő technikai és szervezési intézkedések legyenek érvényben annak igazolására, hogy az adatkezelési tevékenységek megfelelnek az (EU) 2018/1725 rendeletnek, valamint megfelelő utasításokat kell adniuk a Főtitkárság személyzetének az adatkezelés bizalmas jellegének szavatolása, illetve az adatkezelésből eredő kockázatoknak megfelelő biztonsági szint biztosítása érdekében. Ezen intézkedések megválasztásakor a felhatalmazott adatkezelők konzultálhatnak az adatvédelmi tisztviselővel.
(5) A felhatalmazott adatkezelőknek jelentést kell tenniük az adatvédelmi tisztviselőnek minden olyan kérelem kezeléséről, amelyet egy érintett nyújtott be jogainak gyakorlása iránt, valamint segíteniük kell az adatvédelmi tisztviselőt és az európai adatvédelmi biztost mindenkori feladataik ellátásában, különösen azáltal, hogy megkereséseiket 30 napon belül megválaszolják.
(6) A felhatalmazott adatkezelők felelnek az (EU) 2018/1725 rendelet 14–22., 35. és 36. cikkének, valamint az említett rendelet 4. cikkének az alkalmazására vonatkozó korlátozás – a vonatkozó belső szabályokkal összhangban történő – alkalmazásáért. A felhatalmazott adatkezelőknek be kell vonniuk az adatvédelmi tisztviselőt az ilyen korlátozások alkalmazásába a teljes eljárás során.
(7) A felhatalmazott adatkezelőknek biztosítaniuk kell, hogy a Főtitkárság többi igazgatóságával vagy szolgálatával belső megállapodások legyenek érvényben arra az esetre, ha a felhatalmazott adatkezelők a szóban forgó főigazgatóságokkal vagy szolgálatokkal közösen hajtanak végre adatkezelési műveleteket, vagy ha a Főtitkárság említett főigazgatóságai vagy szolgálatai végzik el a felhatalmazott adatkezelő adatkezelési műveleteinek egy részét.
Az első albekezdésben említett megállapodásokban meg kell határozni a felhatalmazott adatkezelők és a Főtitkárság más főigazgatóságai és szolgálatai adatvédelmi kötelezettségeinek teljesítéséért fennálló felelősséget. Az említett megállapodásokban rendelkezni kell különösen azon felhatalmazott adatkezelő személyéről, aki meghatározza az adatkezelési művelet eszközeit és céljait, valamint az adatkezelési műveleteket végző operatív adatkezelő személyéről, és – adott esetben – arról, hogy mely személy vagy szervezeti egységek segítik az operatív adatkezelőt – többek között információkkal – adatvédelmi incidensek esetén vagy az érintettek jogainak érvényesítésében.
9. cikk
Operatív adatkezelők
(1) Az operatív adatkezelőknek segíteniük kell a felhatalmazott adatkezelőt annak biztosításában, hogy a felelősségi körébe tartozó adatkezelési műveletek megfeleljenek az (EU) 2018/1725 rendeletnek, valamint elsődleges kapcsolattartó pontként kell szolgálniuk az érintettek számára.
(2) Az operatív adatkezelőknek különösen:
a) |
fogadniuk és kezelniük kell az érintettek által benyújtott valamennyi kérelmet; |
b) |
az adatvédelmi koordinátorral konzultálva el kell készíteniük a felelősségi körükbe tartozó adatkezelési tevékenységek nyilvántartását és a kapcsolódó adatvédelmi nyilatkozatot; |
c) |
biztosítaniuk kell, hogy azok a szerződések vagy egyéb jogi aktusok, amelyek a személyes adatok adatfeldolgozó általi kezelését szabályozzák, megfeleljenek az (EU) 2018/1725 rendeletnek, és konzultálniuk kell az adatvédelmi tisztviselővel a szerződésekben foglalt adatvédelmi záradékok tervezetéről; |
d) |
biztosítaniuk kell, hogy az (EU) 2018/1725 rendeletnek való megfelelést igazoló dokumentumok rendelkezésre álljanak. |
(3) Adatvédelmi incidensek esetén az operatív adatkezelőknek indokolatlan késedelem nélkül tájékoztatniuk kell az adatvédelmi tisztviselőt, és rendelkezésére kell bocsátaniuk az annak biztosításához szükséges valamennyi információt, hogy a Tanács teljesítse az (EU) 2018/1725 a rendelet 34. és 35. cikke szerinti, adatvédelmi incidensekre vonatkozó kötelezettségeket.
(4) Adatvédelmi incidensek esetén az operatív adatkezelőknek adott esetben, a felhatalmazott adatkezelőkkel és az adatvédelmi tisztviselővel együttműködve értesíteniük kell az európai adatvédelmi biztost. Adott esetben az érintetteket is tájékoztatniuk kell.
(5) Az operatív adatkezelőknek biztosítaniuk kell, hogy az adatvédelmi koordinátor minden adatvédelmi üggyel kapcsolatban tájékoztatást kapjon.
(6) Az operatív adatkezelőknek értékelniük kell, hogy a felelősségi körükbe tartozó adatkezelési műveletek mennyiben jelentenek kockázatot az érintettek jogaira és szabadságaira nézve, és adott esetben adatvédelmi hatásvizsgálatot kell végezniük. Az operatív adatkezelőknek e hatásvizsgálatok elvégzésekor ki kell kérniük az adatvédelmi tisztviselő tanácsát, és meg kell vizsgálniuk, hogy az (EU) 2018/1725 rendelet 39. és 40. cikke alapján szükséges-e az előzetes konzultáció.
(7) A felhatalmazott adatkezelő kérésére az operatív adatkezelőknek el kell végezniük az e határozat hatálya alá tartozó egyéb feladatokat.
10. cikk
Adatvédelmi koordinátorok
(1) A Főtitkárság egyes főigazgatóságai vagy más szolgálatai – az adatvédelmi tisztviselővel konzultálva – kijelölnek egy vagy több adatvédelmi koordinátort, akik a főigazgatóságukon segítik a felhatalmazott adatkezelőt és operatív adatkezelőket a személyes adatok védelmének valamennyi szempontjával kapcsolatban.
(2) Az adatvédelmi koordinátorok kiválasztása a Főtitkárság vonatkozó főigazgatósága vagy más szolgálata működésével kapcsolatos ismeretek és tapasztalatok, a feladatra való alkalmasság, az adatvédelemmel kapcsolatos kompetenciák, az információs rendszerek elveinek ismerete és a kommunikációs készségek alapján történik. Az új adatvédelmi koordinátoroknak a kinevezésüket követő hat hónapon belül el kell végezniük a feladatkörük ellátásához szükséges kompetenciák megszerzésére irányuló képzéseket. E képzési követelmény alól mentesül az az adatvédelmi koordinátor, aki a kinevezését megelőző két évben a Főtitkárság egy másik főigazgatóságán vagy más szolgálatán belül kapcsolattartó személyként dolgozott.
(3) Az adatvédelmi koordinátori feladatkör a főtitkárság személyzete minden egyes, kapcsolattartó személyként kinevezett tagja munkaköri leírásának részét képezi. Az adatvédelmi koordinátor feladatairól és eredményeiről az éves értékelő jelentésben említést kell tenni.
(4) Az adatvédelmi koordinátoroknak megfelelően és időben be kell kapcsolódniuk a főtitkársági főigazgatóságukon vagy más főtitkársági szolgálatukon belüli, adatvédelemmel kapcsolatos valamennyi ügybe, és feladataikat az adatvédelmi tisztviselővel szoros együttműködésben kell ellátniuk.
(5) Az adatvédelmi koordinátoroknak jogukban áll beszerezni a főtitkársági főigazgatóságukon vagy más főtitkársági szolgálatukon belüli feladataik elvégzéséhez szükséges releváns információkat az adatkezelőktől és a személyzettől. Ez nem foglalja magában a felhatalmazott adatkezelő felelőssége mellett kezelt személyes adatokhoz való hozzáférést. Az adatvédelmi koordinátorok csak akkor férhetnek hozzá személyes adatokhoz, ha ez feladataik ellátásához szükséges.
(6) Az adatvédelmi koordinátoroknak növelniük kell az adatvédelmi kérdésekkel kapcsolatos tudatosságot, és a főtitkársági főigazgatóságukon vagy más főtitkársági szolgálatukon segíteniük kell a felhatalmazott adatkezelőket kötelezettségeik teljesítése során, különösen az alábbiak tekintetében:
a) |
az (EU) 2018/1725 rendelet végrehajtása; |
b) |
az operatív adatkezelők azonosítása, és az adatkezelési műveletek nyilvántartásának és az adatvédelmi nyilatkozatoknak az elkészítése az adatvédelmi tisztviselőhöz való benyújtásukat megelőzően; |
c) |
a Főtitkárság főigazgatósága vagy más szolgálata összes fennálló adatkezelési műveletét tartalmazó jegyzék összeállítása. |
(7) Az adatvédelmi koordinátoroknak a főtitkársági főigazgatóságukon vagy más főtitkársági szolgálatukon segíteniük kell az operatív adatkezelőket kötelezettségeik teljesítése során, különösen az alábbiak tekintetében:
a) |
az adatkezelési műveletek nyilvántartásának és az adatvédelmi nyilatkozatoknak az elkészítése az adatvédelmi tisztviselőhöz való benyújtásukat megelőzően; |
b) |
az adatkezelés dokumentálása; |
c) |
az érintettek kérelmeinek kezelése; |
d) |
adatvédelmi incidensek kezelése. |
11. cikk
A Főtitkárság személyzete
A Főtitkárság személyzetének hozzá kell járulnia az (EU) 2018/1725 rendelet alkalmazásának és végrehajtásának biztosításához. A Főtitkárság személyzete kizárólag a felhatalmazott adatkezelő vagy az operatív adatkezelő utasításai alapján férhet hozzá személyes adatokhoz vagy kezelheti azokat, kivéve, ha ezt uniós vagy tagállami jogszabályok előírják.
4. SZAKASZ
EGYÉB KÖTELEZETTSÉGEK ÉS ELJÁRÁSOK
12. cikk
Nyilvántartás
(1) Az adatvédelmi tisztviselőnek nyilvántartást kell vezetnie az adatkezelési műveletekről és biztosítania kell, hogy a nyilvántartás hozzáférhető legyen az adatvédelmi tisztviselőnek a Főtitkárság intranet oldalán keresztül elérhető honlapján, valamint a Tanács honlapján.
(2) Az operatív adatkezelőnek valamennyi adatkezelési műveletről értesítenie kell az adatvédelmi tisztviselőt, és a Főtitkárság intranet oldalán (Adatvédelem) elérhető formanyomtatvány alapján be kell nyújtania az adatkezelési tevékenységek nyilvántartását és a kapcsolódó adatvédelmi nyilatkozatot. Az értesítést elektronikus úton kell az adatvédelmi tisztviselőnek eljuttatni. A felhatalmazott adatkezelő az adatvédelmi tisztviselővel folytatott konzultációt követően megerősíti a nyilvántartást és a kapcsolódó adatvédelmi nyilatkozatot, és az adatvédelmi tisztviselő közzéteszi ezeket a nyilvántartásban.
(3) A nyilvántartásnak tartalmaznia kell az (EU) 2018/1725 rendelet 31. cikkében meghatározott valamennyi információt. Az adatvédelmi tisztviselő által a nyilvántartásba bevitt adatokat azonban kivételesen korlátozni lehet a szükséges mértékben valamely konkrét adatkezelési művelet biztonságának megóvása érdekében. Az operatív adatkezelőnek azonnal értesíteni kell az adatvédelmi tisztviselőt minden olyan változásról, amely ilyen információkat érinti.
13. cikk
Adatvédelmi incidensek
(1) Amennyiben adatvédelmi incidensre kerül sor, a felhatalmazott adatkezelőnek vagy az operatív adatkezelőnek az adatvédelmi koordinátor segítségét kell kérnie, valamint indokolatlan késedelem nélkül tájékoztatnia kell az adatvédelmi tisztviselőt az incidensről, és a rendelkezésére kell bocsátania minden ahhoz szükséges információt, hogy biztosítani tudja, hogy a Tanács teljesítse az (EU) 2018/1725 rendelet 34. és 35. cikke alapján az adatvédelmi incidensek bejelentésére és az arról való tájékoztatásra vonatkozó kötelezettségeket.
(2) Az adatvédelmi tisztviselőnek létre kell hoznia és fenn kell tartania az adatvédelmi incidensek belső nyilvántartását. A felhatalmazott adatkezelőknek és az operatív adatkezelőknek biztosítaniuk kell a szükséges információknak a nyilvántartásba való bevezetését.
(3) A felhatalmazott adatkezelőknek és az operatív adatkezelőknek az adatvédelmi tisztviselővel konzultálva el kell készíteniük az európai adatvédelmi biztosnak küldendő értesítést, kivéve, ha az adatvédelmi incidens valószínűleg nem eredményez a természetes személyek jogait és szabadságait érintő kockázatokat.
14. cikk
Vizsgálatok
(1) Az adatvédelmi tisztviselő saját kezdeményezésére, illetve a felhatalmazott adatkezelő, az operatív adatkezelő vagy az adatfeldolgozó, a személyzeti bizottság vagy bármely egyén kérelmére megvizsgálhatja a feladataihoz kapcsolódó ügyeket és eseményeket, és vizsgálatáról beszámolhat a vizsgálatot kérő személynek vagy a felhatalmazott adatkezelőknek, az operatív adatkezelőnek vagy az adatfeldolgozónak.
(2) A vizsgálat elindítására irányuló kérelmeket írásban kell benyújtani az adatvédelmi tisztviselőnek. A vizsgálati kérelem jogával való egyértelmű visszaélés esetén, például ha ugyanazon személy a közelmúltban a jelenlegivel megegyező vizsgálati kérelmet nyújtott be, az adatvédelmi tisztviselő nem köteles választ adni a kérelmezőnek.
(3) Az adatvédelmi tisztviselőnek a vizsgálat megindítására irányuló kérelem kézhezvételét követő tizenöt napon belül átvételi elismervényt kell küldenie a vizsgálatot kérő személynek, és ellenőriznie kell, hogy a kérelmet bizalmasan kell-e kezelni.
(4) Az adatvédelmi tisztviselőnek jelentést kell kérnie az ügyről a vizsgálat megindítására irányuló kérelem tárgyát képező adatkezelési műveletért felelős, felhatalmazott adatkezelőtől. A felhatalmazott adatkezelőnek tizenöt napon belül meg kell küldenie válaszát az adatvédelmi tisztviselőnek. Az adatvédelmi tisztviselő kiegészítő információkat kérhet a felhatalmazott adatkezelőtől, az operatív adatkezelőtől, az adatfeldolgozótól vagy a Főtitkárság egyéb releváns szolgálataitól. Adott esetben véleményt kérhet az üggyel kapcsolatban a Tanács Jogi Szolgálatától. Az adatvédelmi tisztviselőnek harminc napon belül meg kell küldeni az igényelt információkat vagy a véleményt.
(5) Az adatvédelmi tisztviselőnek a kézhezvételtől számított legkésőbb három hónapon belül választ kell adnia a vizsgálat megindítására irányuló kérelmet benyújtó személynek. Ez a határidő mindaddig felfüggeszthető, amíg az adatvédelmi tisztviselő meg nem kapja az általa kért minden szükséges információt.
(6) Senki sem szenvedhet sérelmet amiatt, hogy az (EU) 2018/1725 rendelet vélt megsértésével kapcsolatban felhívta az adatvédelmi tisztviselő figyelmét egy ügyre.
15. cikk
Az érintettek jogainak gyakorlására vonatkozó általános szabályok
(1) Az érintetteknek az (EU) 2018/1725 rendelet 14–24. cikke szerinti jogait csak az érintett vagy az érintett jogszerűen meghatalmazott képviselője gyakorolhatja.
(2) Az érintettnek a kérelmeket írásban kell megküldenie az operatív adatkezelőnek, másolatban pedig az adatvédelmi tisztviselőnek. Szükség esetén az adatvédelmi tisztviselőnek segítenie kell az érintettnek az adott operatív adatkezelő beazonosításában. A kérelmet elektronikus formátumban is be lehet nyújtani, és annak a következőket kell tartalmaznia:
a) |
az érintett neve, utóneve és elérhetősége és a kérelem dátuma; |
b) |
a gyakorlandó jog megjelölése és adott esetben a kérelemhez kapcsolódó igazoló dokumentumok; |
c) |
az érintett személyes adatok kategóriája vagy kategóriái; |
(3) Az operatív adatkezelőnek a kérelem nyilvántartásba vételét követő öt munkanapon belül átvételi elismervényt kell küldenie az érintettnek. Amennyiben a kérelem nem egyértelmű vagy hiányos, az operatív adatkezelőnek meg kell kérnie valamennyi szükséges pontosítást. Az (EU) 2018/1725 rendelet 14. cikkének (3) és (4) bekezdése szerinti alkalmazandó határidő számítása nem kezdődik meg valamennyi szükséges pontosítás rendelkezésre bocsátásig.
(4) Az operatív adatkezelőnek az (EU) 2018/1725 rendelet 14. cikkének (6) bekezdésével összhangban ellenőriznie kell az érintett személyazonosságát. A személyazonosság ellenőrzésének ideje alatt az említett rendelet 14. cikkének (3) és (4) bekezdése szerinti alkalmazandó határidő számítása nem kezdődik meg.
(5) Az operatív adatkezelőnek vagy jóvá kell hagynia az érintett kérelmet, vagy pedig írásban indokolnia kell a kérelem teljes vagy részleges elutasítását az (EU) 2018/1725 rendelet 14. cikkének (3) és (4) bekezdésében előírt határidőkön belül.
(6) Nagyon komplex kérelem, szabálytalanságok, vagy az érintett által a jogainak gyakorlása során elkövetett nyilvánvaló visszaélés esetén, ha a kérelem feldolgozása valószínűleg egyéb érintettek jogait és szabadságait érintő kockázatokat eredményez, vagy ha az adatkezelés az érintett állítása szerint jogellenes, az operatív adatkezelőnek konzultálnia kell az adatvédelmi tisztviselővel.
16. cikk
A 90. cikk szerinti panaszok
A személyzeti szabályzat 90. cikkének értelmében vett, a személyes adatok kezeléséhez kapcsolódó ügyben benyújtott panasz (a továbbiakban: a 90. cikk szerinti panasz) esetén a kinevezésre jogosult hatóságnak konzultálnia kell az adatvédelmi tisztviselővel. A 90. cikk szerinti panasz elfogadhatóságát nem érintve, a főtitkárság alkalmazottainak a 90. cikk szerinti panaszban fel kell tüntetnie, hogy egyidejűleg sor került-e panasz benyújtására az európai adatvédelmi biztoshoz. Az adatvédelmi tisztviselő legkésőbb a kinevezésre jogosult hatóságtól érkező kérelem kézhezvételét követő tizenöt munkanapon belül írásban véleményt nyilvánít. Ha az adatvédelmi tisztviselő nem nyilvánít véleményt e határidőn belül, akkor az a továbbiakban nem szükséges. A kinevezésre jogosult hatóságot nem kötelezi az adatvédelmi tisztviselő véleménye.
5. SZAKASZ
AZ ÉRINTETT JOGAINAK KORLÁTOZÁSA AZ ADATVÉDELMI TISZTVISELŐ FELADATAI GYAKORLÁSÁNAK ÖSSZEFÜGGÉSÉBEN
17. cikk
Kivételek és korlátozások
(1) Ha a Tanács vagy a Főtitkárság az (EU) 2018/1725 rendeletnek megfelelően az érintettek jogai tekintetében felmerülő feladatait gyakorolja, mérlegelnie kell, hogy alkalmazandó-e az említett rendeletben megállapított kivételek valamelyike.
(2) E határozat 18–22. cikkére figyelemmel a Tanács vagy a Főtitkárság az (EU) 2018/1725 rendelet 25. cikke (1) bekezdésének c), g) és h) pontjával összhangban korlátozhatja az említett rendelet 14–17., 19., 20. és 35. cikkének, továbbá az említett rendelet 4. cikke (1) bekezdésének a) pontjában meghatározott átláthatóság elvének alkalmazását, amennyiben a korlátozás rendelkezései megfelelnek az említett rendelet 14–17., 19. és 20. cikkében foglalt jogoknak és kötelezettségeknek, és amennyiben e jogok és kötelezettségek gyakorlása – egyebek mellett például a vizsgálati és auditálási eszközök és módszerek feltárása révén – veszélyeztetné az adatvédelmi tisztviselő feladatainak végzését, vagy hátrányosan érintené más érintettek jogait és szabadságait.
(3) E határozat 18–22. cikkére figyelemmel, a Tanács vagy a Főtitkárság az adatvédelmi tisztviselő által a Főtitkárság főigazgatóságaitól vagy szolgálataitól vagy más uniós intézményektől vagy szervektől kapott személyes adatok vonatkozásában korlátozhatja az e cikk (2) bekezdésében említett jogokat és kötelezettségeket. A Tanács vagy a Főtitkárság akkor járhat el így, ha a Főtitkárság szóban forgó főigazgatóságai vagy szolgálatai vagy más intézmények vagy szervek korlátozhatnák e jogok gyakorlását és kötelezettségek teljesítését az (EU) 2018/1725 rendelet 25. cikkében meghatározott egyéb jogi aktusok alapján, illetve az említett rendelet IX. fejezetével, az (EU) 2016/794 európai parlamenti és tanácsi rendelettel (10) vagy az (EU) 2017/1939 tanácsi rendelettel (11) összhangban.
Az első albekezdésben említett körülmények fennállása esetén a Tanács vagy a Főtitkárság a korlátozások alkalmazását megelőzően konzultál az érintett uniós intézménnyel vagy szervvel, kivéve, ha egyértelmű, hogy az említett albekezdésben hivatkozott jogi aktusok valamelyike rendelkezik korlátozás alkalmazásáról.
(4) A jogok és kötelezettségek (2) bekezdésben említett bármilyen korlátozásának – az érintettek jogait és szabadságait érintő kockázatokat figyelembe véve – szükségesnek és arányosnak kell lennie.
18. cikk
Az érintettek tájékoztatása
(1) A Főtitkárság a Tanács honlapján közzéteszi azon adatvédelmi nyilatkozatokat, amelyekből az érintettek tájékozódhatnak az adatvédelmi tisztviselő azon feladatairól, amelyek személyes adataik kezelésével járnak.
(2) A Főtitkárság egyénileg, megfelelő módon tájékoztat minden olyan természetes személyt, akit az adatvédelmi tisztviselő feladatai által érintett személynek ítél.
(3) Amennyiben a Főtitkárság részben vagy egészben korlátozza az érintetteknek az e cikk (2) bekezdése szerinti tájékoztatását, a 21. cikkel összhangban feljegyzi és nyilvántartásba veszi a korlátozás okait.
19. cikk
Az érintettek hozzáféréshez, törléshez és az adatkezelés korlátozásához való joga
(1) Amennyiben a Tanács vagy a Főtitkárság részben vagy egészben korlátozza az érintetteknek az (EU) 2018/1725 rendelet 17., 19. és 20. cikkében említett, a személyes adatokat érintő hozzáférési, törlési vagy adatkezelés-korlátozási jogát, a hozzáférés, törlés vagy adatkezelés-korlátozás iránti kérelemre adott válaszában tájékoztatja az érintettet az alkalmazott korlátozásról és annak fő okairól, valamint arról, hogy panasszal élhet az európai adatvédelmi biztosnál, vagy bírósági jogorvoslatot kérhet az Európai Unió Bíróságánál.
(2) Az (1) bekezdésben említett korlátozás okairól szóló tájékoztatást el lehet halasztani, el lehet hagyni vagy meg lehet tagadni, amennyiben az meghiúsítaná a korlátozás célját. Amint a tájékoztatás már nem hiúsítja meg e célt, a Tanács az ilyen információt az érintett rendelkezésére bocsátja.
(3) A Főtitkárság a 21. cikkel összhangban feljegyzi és nyilvántartásba veszi a korlátozás okait.
20. cikk
Az érintett tájékoztatása egy adatvédelmi incidensről
Amennyiben a Tanács vagy a Főtitkárság korlátozza az érintettnek egy adatvédelmi incidensről való, az (EU) 2018/1725 rendelet 35. cikke szerinti tájékoztatását, e határozat 21. cikkével összhangban feljegyzi és nyilvántartásba veszi a korlátozás okait.
21. cikk
A korlátozások feljegyzése és nyilvántartásba vétele
(1) A Főtitkárság feljegyzi e határozat alapján alkalmazott korlátozások okait, beleértve a korlátozás szükségességének és arányosságának eseti alapon történő értékelését, figyelembe véve az (EU) 2018/1725 rendelet 25. cikkének (2) bekezdésében szereplő vonatkozó elemeket.
Ennek érdekében a feljegyzésben fel kell tüntetni, hogy az említett rendelet 14–17., 19., 20. és 35. cikkében hivatkozott bármely jog gyakorlása vagy az említett rendelet 4. cikke (1) bekezdésének a) pontjában meghatározott átláthatóság elvének alkalmazása milyen módon veszélyeztetné az adatvédelmi tisztviselő e határozat szerinti tevékenységeit vagy az e határozat 17. cikkének (2) vagy (3) bekezdése alapján alkalmazott korlátozásokat, vagy miként érintené hátrányosan más érintettek jogait és szabadságait.
(2) A feljegyzést és adott esetben a mögöttes ténybeli és jogi elemeket tartalmazó dokumentumokat nyilvántartásba kell venni. Kérésre ezeket az európai adatvédelmi biztos rendelkezésére kell bocsátani.
22. cikk
A korlátozások időtartama
(1) A 18., 19. és 20. cikkben említett korlátozások mindaddig alkalmazandók, amíg azok okai fennállnak.
(2) Amennyiben a 18. vagy a 20. cikkben említett korlátozás okai már nem állnak fenn, a Főtitkárság feloldja a korlátozást, és az érintettet tájékoztatja a korlátozás okairól. Ezzel egyidejűleg a Főtitkárság tájékoztatja az érintettet arról a lehetőségről, hogy bármikor panaszt nyújthat be az európai adatvédelmi biztoshoz, vagy bírósági jogorvoslati kérelmet terjeszthet elő az Európai Unió Bíróságán.
(3) A Főtitkárság a 18. és a 20. cikkben említett korlátozások alkalmazását azok elfogadásától kezdve hathavonta, továbbá az adatvédelmi tisztviselő érintett feladatának teljesítésekor minden esetben felülvizsgálja. A feladat teljesítését követően a Főtitkárság évente felülvizsgálja az esetleges korlátozás vagy halasztás fenntartásának szükségességét.
23. cikk
Az adatvédelmi tisztviselő által végzett felülvizsgálat
(1) Amennyiben a Főtitkárság más főigazgatóságai vagy szolgálatai arra a következtetésre jutnak, hogy az érintett jogait e határozat alapján korlátozni kell, erről tájékoztatniuk kell az adatvédelmi tisztviselőt. E szolgálatoknak hozzáférést kell adniuk az adatvédelmi tisztviselő számára a feljegyzéshez, valamint a mögöttes ténybeli és jogi elemeket tartalmazó dokumentumokhoz. Az adatvédelmi tisztviselőnek a korlátozások alkalmazásában való részvételét részletesen dokumentálni kell.
(2) Az adatvédelmi tisztviselő kérheti, hogy az érintett felhatalmazott adatkezelő vizsgálja felül a korlátozások alkalmazását. Az érintett felhatalmazott adatkezelőnek írásban tájékoztatnia kell az adatvédelmi tisztviselőt a kért felülvizsgálat eredményéről.
6. SZAKASZ
ZÁRÓ RENDELKEZÉSEK
24. cikk
Hatályon kívül helyezés
A 2004/644/EK határozat hatályát veszti.
25. cikk
Hatálybalépés
Ez a határozat az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.
Kelt Luxembourgban, 2021. június 28-án.
a Tanács részéről
az elnök
M. do C. ANTUNES
(1) HL L 295., 2018.11.21., 39. o.
(2) 2021. április 6-i vélemény (a Hivatalos Lapban még nem tették közzé).
(3) Az Európai Parlament és a Tanács 1049/2001/EK rendelete (2001. május 30.) az Európai Parlament, a Tanács és a Bizottság dokumentumaihoz való nyilvános hozzáférésről (HL L 145., 2001.5.31., 43. o.).
(4) A Tanács 2004/338/EK, Euratom határozata (2004. március 22.) a Tanács eljárási szabályzatának elfogadásáról (HL L 106., 2004.4.15., o. 22).
(5) A Tanács 2013/488/EU határozata (2013. szeptember 23.) az EU-minősített adatok védelmét szolgáló biztonsági szabályokról (HL L 274., 2013.10.15., 1. o.).
(6) A tanács főtitkárának/a közös kül- és biztonságpolitika főképviselőjének határozata (2001. június 25.) a nyilvánosság felé irányuló szakmai kapcsolattartás tekintetében az Európai Unió Tanácsa Főtitkárságának és a Főtitkárság személyzetének helyes hivatali magatartási kódexéről (HL C 189., 2001.7.5., 1. o.).
(7) A Tanács 2004/644/EK határozata (2004. szeptember 13.) a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló 45/2001/EK európai parlamenti és tanácsi rendelettel kapcsolatos végrehajtási szabályok elfogadásáról (HL L 296., 2004.9.21., 16. o.).
(8) HL L 56., 1968.3.4., 1. o.
(9) Az Európai Parlament és a Tanács (EU, Euratom) 2018/1046 rendelete (2018. július 18.) az Unió általános költségvetésére alkalmazandó pénzügyi szabályokról, az 1296/2013/EU, az 1301/2013/EU, az 1303/2013/EU, az 1304/2013/EU, az 1309/2013/EU, az 1316/2013/EU, a 223/2014/EU és a 283/2014/EU rendelet és az 541/2014/EU határozat módosításáról, valamint a 966/2012/EU, Euratom rendelet hatályon kívül helyezéséről (HL L 193., 2018.7.30., 1. o.)
(10) Az Európai Parlament és a Tanács (EU) 2016/794 rendelete (2016. május 11.) a Bűnüldözési Együttműködés Európai Uniós Ügynökségéről (Europol), valamint a 2009/371/IB, a 2009/934/IB, a 2009/935/IB, a 2009/936/IB és a 2009/968/IB tanácsi határozat felváltásáról és hatályon kívül helyezéséről (HL L 135., 2016.5.24., 53. o.)
(11) A Tanács (EU) 2017/1939 rendelete (2017. október 12.) az Európai Ügyészség létrehozására vonatkozó megerősített együttműködés bevezetéséről (HL L 283., 2017.10.31., 1. o.).