1.   Dział lub służba Parlamentu Europejskiego, która określa cele i sposoby przetwarzania danych osobowych, pełni funkcję administratora tych danych w rozumieniu art. 3 pkt 8 rozporządzenia (UE) 2018/1725.

2.   W przypadku gdy operacja przetwarzania wykracza poza zakres kompetencji działu lub służby Parlamentu Europejskiego, funkcję administratora w rozumieniu art. 3 pkt 8 rozporządzenia (UE) 2018/1725 pełni właściwa dyrekcja, chyba że została uzgodniona współadministracja zgodnie z art. 28 tego rozporządzenia.

3.   W przypadku gdy operacja przetwarzania wykracza poza zakres kompetencji dyrekcji Parlamentu Europejskiego, funkcję administratora w rozumieniu art. 3 pkt 8 rozporządzenia (UE) 2018/1725 pełni właściwa dyrekcja generalna Parlamentu Europejskiego, chyba że została uzgodniona współadministracja zgodnie z art. 28 tego rozporządzenia.

4.   W przypadku gdy więcej niż jedna dyrekcja generalna Parlamentu Europejskiego określa cele i sposoby danej operacji przetwarzania lub w przypadku gdy jedna jednostka organizacyjna wymieniona w ust. 1–3 i co najmniej jeden podmiot inny niż instytucja lub organ Unii określają cele i sposoby danej operacji przetwarzania, właściwe podmioty są uznawane za współadministratorów w rozumieniu art. 28 ust. 1 rozporządzenia (UE) 2018/1725.

5.   Parlament Europejski jest uznawany za administratora do celów art. 44 ust. 3 i 6 rozporządzenia (UE) 2018/1725.

6.   Administrator jest odpowiedzialny za dopilnowanie, by operacje przetwarzania były przeprowadzane zgodnie z rozporządzeniem (UE) 2018/1725, oraz musi być w stanie wykazać zgodność z tym rozporządzeniem.

W szczególności administrator odpowiada za:

1.   Sekretarz Generalny mianuje inspektora ochrony danych spośród pracowników Parlamentu Europejskiego zgodnie z art. 43 oraz art. 44 ust. 8 i 9 rozporządzenia (UE) 2018/1725. Inspektor ochrony danych jest mianowany zgodnie z mającą zastosowanie procedurą ustanowioną w regulaminie pracowniczym (zwanym dalej „regulaminem pracowniczym”) lub w warunkach zatrudnienia innych pracowników Unii Europejskiej (zwanych dalej „warunkami zatrudnienia”), ustanowionych rozporządzeniem Rady (EWG, Euratom, EWWiS) nr 259/68 (2), stosownie do przypadku. Inspektor ochrony danych jest mianowany na okres pięciu lat, który może zostać przedłużony.

2.   W celu pełnienia swoich funkcji na mocy niniejszej decyzji inspektor ochrony danych jest zwolniony z wszelkich innych zadań w Parlamencie Europejskim. Sekretarz Generalny może jednak podjąć decyzję o przydzieleniu inspektorowi ochrony danych szczególnych dodatkowych zadań, pod warunkiem że nie spowodują one konfliktu interesów z funkcją inspektora ochrony danych, w szczególności w zakresie stosowania przepisów rozporządzenia (UE) 2018/1725.

3.   Inspektor ochrony danych powstrzymuje się od wszelkich czynności niezgodnych z charakterem pełnionych obowiązków.

4.   Inspektor ochrony danych jest zobowiązany do zachowania tajemnicy służbowej zgodnie z art. 44 ust. 5 rozporządzenia (UE) 2018/1725, w tym po zaprzestaniu pełnienia obowiązków.

5.   Inspektor ochrony danych może zostać odwołany tylko zgodnie z art. 44 ust. 3 i 8 rozporządzenia (UE) 2018/1725. Do celów uzyskania zgody Europejskiego Inspektora Ochrony Danych na takie odwołanie zgodnie z art. 44 ust. 8 rozporządzenia (UE) 2018/1725, przeprowadza się pisemne konsultacje z Europejskim Inspektorem Ochrony Danych. Kopię tej zgody przesyła się do inspektora ochrony danych.

6.   Parlament Europejski zapewnia, aby inspektor ochrony danych nie otrzymywał instrukcji dotyczących wykonywania swoich zadań, jak określono w art. 44 i 45 rozporządzenia (UE) 2018/1725. W tym względzie nie może on otrzymywać w szczególności instrukcji od Sekretarza Generalnego, w tym w odniesieniu do jego współpracy z Europejskim Inspektorem Ochrony Danych wymaganej zgodnie z rozporządzeniem (UE) 2018/1725.

7.   Inspektor ochrony danych podlega bezpośrednio Sekretarzowi Generalnemu.

1.   Inspektor ochrony danych zapewnia stosowanie rozporządzenia (UE) 2018/1725 przez Sekretariat Generalny Parlamentu Europejskiego oraz monitoruje zgodność z mającymi zastosowanie ramami prawnymi w sprawie ochrony danych osobowych. Bez uszczerbku dla art. 13 niniejszej decyzji, inspektor ochrony danych nie jest, co do zasady, uprawniony do monitorowania stosowania rozporządzenia (UE) 2018/1725 przez poszczególnych posłów do Parlamentu Europejskiego lub przez grupy polityczne Parlamentu Europejskiego.

2.   Z inspektorem ochrony danych można konsultować się lub udziela on porad zgodnie z art. 44 ust. 4 i 7 oraz art. 45 ust. 1 lit. d), e) i f) rozporządzenia (UE) 2018/1725, a także realizuje on wszelkie dalsze zadania określone w art. 45 tego rozporządzenia.

3.   Inspektor ochrony danych zgłasza wszelkie naruszenia lub wszelkie poważne zagrożenia naruszenia przepisów ustanowionych w rozporządzeniu (UE) 2018/1725 Sekretarzowi Generalnemu.

4.   Na żądanie inspektor ochrony danych wydaje opinię właściwemu administratorowi w sprawie faktycznych lub zaproponowanych operacji przetwarzania oraz proporcjonalności i adekwatności przetwarzania określonych danych lub środków bezpieczeństwa. Opinia może w szczególności dotyczyć każdej kwestii związanej z analizą zagrożeń dla praw i wolności osób, których dane dotyczą.

5.   Właściwa służba Parlamentu Europejskiego konsultuje się z inspektorem ochrony danych przed zatwierdzeniem wewnętrznych przepisów określających ramy przetwarzania danych osobowych.

6.   Inspektor ochrony danych wypełnia swoje zadania we współpracy z Europejskim Inspektorem Ochrony Danych. Stanowi on punkt kontaktowy między Parlamentem Europejskim a Europejskim Inspektorem Ochrony Danych oraz jest informowany o wszelkiej komunikacji między tymi dwiema instytucjami dotyczącej kwestii leżących w zakresie jego kompetencji.

7.   Inspektor ochrony danych regularnie uczestniczy w posiedzeniach zwoływanych przez Europejskiego Inspektora Ochrony Danych lub inspektorów ochrony danych innych instytucji i organów w celu wspierania dobrej współpracy.

8.   Inspektor ochrony danych stosuje się do zasad i przepisów ustanowionych w regulaminie pracowniczym lub w warunkach zatrudnienia, stosownie do przypadku.

1.   W przypadku wystąpienia naruszenia ochrony danych osobowych administrator niezwłocznie informuje o incydencie inspektora ochrony danych.

2.   Inspektor ochrony danych tworzy i prowadzi rejestr centralny do celów dokumentowania tych zgłoszonych naruszeń ochrony danych osobowych zgodnie z art. 34 ust. 6 rozporządzenia (UE) 2018/1725. Administrator, który odnotowuje naruszenie, wpisuje do rejestru informacje wymagane w tym artykule.

3.   Inspektor ochrony danych organizuje regularne posiedzenia z udziałem Dyrektora ds. Bezpieczeństwa Systemów Informacyjnych oraz zarządzającego ryzykiem w Parlamencie Europejskim, aby zapewnić zgodność z art. 33–36 rozporządzenia (UE) 2018/1725. Inspektor ochrony danych może zapraszać na nie innych uczestników, stosownie do przypadku.

4.   Inspektor ochrony danych, na podstawie wyników posiedzeń, o których mowa w ust. 3:

1.   Inspektor ochrony danych jest natychmiast informowany przez administratora o przypadkach ustanowienia nowej procedury administracyjnej lub modyfikacji istniejącej procedury administracyjnej wpływającej na operacje przetwarzania danych osobowych.

2.   Inspektor ochrony danych ma w każdym momencie dostęp do przetwarzanych danych osobowych, systemów przetwarzania danych i nośników danych.

1.   W przypadku nowych lub zmodyfikowanych procedur administracyjnych lub środków technicznych lub organizacyjnych związanych z przetwarzaniem danych osobowych inspektor ochrony danych, na wniosek lub z własnej inicjatywy, przekazuje informacje i pomaga administratorowi w ocenie zagrożeń dla praw i wolności osób, których dane dotyczą.

2.   Po przeprowadzeniu wspomnianej oceny zagrożeń inspektor ochrony danych doradza administratorowi, czy konieczne jest dokonanie oceny skutków dla ochrony danych.

1.   Inspektor ochrony danych doradza administratorowi w sprawie oceny rozwiązań technicznych i organizacyjnych służących wdrażaniu operacji przetwarzania.

2.   Inspektor ochrony danych może zalecić Sekretarzowi Generalnemu środki techniczne lub organizacyjne służące wdrożeniu art. 27 rozporządzenia (UE) 2018/1725, jeśli na podstawie oceny stwierdzi, że operacja przetwarzania nie gwarantuje pełnej zgodności z tym artykułem.

1.   Inspektor ochrony danych przekazuje na wniosek administratorowi opinię na temat określenia odpowiednich zakresów odpowiedzialności w kontekście uzgodnień między współadministratorami zgodnie z art. 28 ust. 1 rozporządzenia (UE) 2018/1725.

2.   Na żądanie inspektor ochrony danych może przekazać administratorowi opinię na temat odpowiednich środków technicznych i organizacyjnych, które powinien zagwarantować podmiot przetwarzający lub podwykonawca przetwarzania zgodnie z art. 29 ust. 1 i 2 rozporządzenia (UE) 2018/1725.

1.   Na zasadzie odstępstwa od art. 4 ust. 1 niniejszej decyzji posłowie do Parlamentu Europejskiego i grupy polityczne Parlamentu Europejskiego mogą zwrócić się o poradę do inspektora ochrony danych w kwestiach związanych ze stosowaniem rozporządzenia (UE) 2018/1725. Bez uszczerbku dla własnej odpowiedzialności posłów do Parlamentu Europejskiego i grup politycznych Parlamentu Europejskiego za stosowanie rozporządzenia (UE) 2018/1725 w roli administratora w rozumieniu art. 3 pkt 8 rozporządzenia (UE) 2018/1725, inspektor ochrony danych może, na wniosek posła do Parlamentu Europejskiego lub grupy politycznej Parlamentu Europejskiego, zaoferować ze swojej strony poradę, stosując odpowiednio odnośne przepisy niniejszej decyzji.

2.   Inspektor ochrony danych uzgadnia w każdym przypadku szczegółowe warunki pomocy, o której mowa w ust. 1, zgodnie z niniejszą decyzją. Pełnienie tej funkcji doradczej nie może kolidować z innymi zadaniami inspektora ochrony danych.

1.   Sekretarz Generalny może powołać pracowników do Służby Ochrony Danych w celu wsparcia inspektora ochrony danych w pełnieniu jego funkcji.

2.   Pracownicy powołani zgodnie z ust. 1 mogą reprezentować inspektora ochrony danych w przypadku jego nieobecności. W tym celu inspektor ochrony danych może wydawać wewnętrzne delegacje uprawnień w odniesieniu do konkretnych pracowników. Europejskiego Inspektora Ochrony Danych i Sekretarza Generalnego powiadamia się poprzez przesłanie kopii takiej delegacji uprawnień.

1.   W Parlamencie Europejskim ustanawia się sieć koordynatorów ds. ochrony danych, w skład której wchodzi co najmniej jeden członek z każdej dyrekcji generalnej, jedna osoba reprezentująca koordynatorów grup politycznych oraz inspektor ochrony danych.

2.   Sekretarz Generalny może określić szczegółowe warunki dotyczące mianowania, obowiązków i zadań koordynatorów ds. ochrony danych.

3.   Inspektor ochrony danych regularnie organizuje posiedzenia z udziałem koordynatorów ds. ochrony danych.

1.   Prawo do informacji, prawo dostępu, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania, prawo odbiorców do powiadomienia, prawo do przenoszenia danych, prawo do sprzeciwu oraz prawa związane z zautomatyzowanym podejmowaniem decyzji, w tym profilowaniem, ustanowione w art. 14–24 rozporządzenia (UE) 2018/1725, mogą być wykonywane tylko przez osobę, której dane dotyczą, lub jej należycie upoważnionego przedstawiciela.

2.   Osoba, której dane dotyczą, kieruje wnioski o wykonanie jednego z praw, o których mowa w ust. 1, do administratora. Nieobowiązkowy wzór do tego celu udostępnia się w formie elektronicznej na stronie internetowej Parlamentu Europejskiego. Wniosek musi zawierać:

3.   Wniosek można złożyć pocztą wewnętrzną lub zewnętrzną, pocztą elektroniczną lub w dowolnej innej formie pisemnej.

4.   Administrator zwraca się o konieczne wyjaśnienia w przypadku niejasnych lub niekompletnych wniosków. Do czasu ostatecznego wyjaśnienia tych kwestii nie rozpoczyna się bieg mającego zastosowanie terminu, o którym mowa w art. 14 ust. 3 i 4 rozporządzenia (UE) 2018/1725.

5.   Administrator weryfikuje tożsamość osoby, której dane dotyczą, zgodnie z art. 14 ust. 6 rozporządzenia (UE) 2018/1725. Tożsamość osoby, której dane dotyczą, weryfikuje się w jak najmniej uciążliwy sposób. W okresie weryfikacji tożsamości nie rozpoczyna się bieg mającego zastosowanie terminu, o którym mowa w art. 14 ust. 3 i 4 rozporządzenia (UE) 2018/1725.

6.   Administrator odpowiada na wszelkie wnioski złożone przez osoby, których dane dotyczą, dotyczące wykonywania ich praw, nawet w przypadkach gdy Parlament Europejski nie posiada żadnych odnośnych danych osobowych. Potwierdzenie odbioru jest przesyłane osobie, której dane dotyczą, w terminie pięciu dni roboczych, licząc od chwili otrzymania wniosku. Administrator nie jest jednakże zobowiązany do przesłania potwierdzenia odbioru w przypadku przekazania merytorycznej odpowiedzi na wniosek w tym samym terminie pięciu dni roboczych.

7.   Odpowiedź przesyła się osobie, której dane dotyczą, w terminie określonym w art. 14 ust. 3 i 4 rozporządzenia (UE) 2018/1725 z wykorzystaniem tego samego pisemnego sposobu komunikacji, z którego skorzystała osoba, której dane dotyczą, i w tym samym języku urzędowym Unii, o ile osoba ta nie zaznaczy inaczej.

8.   Podczas rozpatrywania wniosku na mocy art. 14 rozporządzenia (UE) 2018/1725 administrator bierze pod uwagę każdą potrzebę zastosowania wyjątku, odstępstwa lub ograniczenia zgodnie z rozdziałem V niniejszej decyzji.

9.   W przypadku bardzo skomplikowanego wniosku lub jeśli należyte rozpatrzenie wniosku może skutkować zagrożeniem dla praw i wolności innych osób, których dane dotyczą, administrator konsultuje się z inspektorem ochrony danych.

1.   Zgodnie z art. 14 rozporządzenia (UE) 2018/1725 administrator przekazuje informacje, o których mowa w art. 15 i 16 tego rozporządzenia, w tym w przypadku zamierzonego dalszego przetwarzania, w formie uogólnionej w internecie lub intranecie.

2.   W razie możliwości i bez uszczerbku dla alternatywnych środków komunikacji, o których mowa w art. 14 ust. 1 i 7 rozporządzenia (UE) 2018/1725, informacje, o których mowa w art. 15 i 16 tego rozporządzenia, są przekazywane zainteresowanym osobom, których dane dotyczą, w sposób dostosowany do indywidualnych potrzeb, na piśmie lub drogą elektroniczną.

1.   Bez uszczerbku dla ust. 2, w przypadku gdy osoba, której dane dotyczą, składa wniosek o dostęp do swoich danych osobowych, administrator pozyskuje odnośne dane z miejsca ich przechowywania, łącznie z dokumentami w formie elektronicznej lub papierowej, oraz udostępnia je osobie, której dane dotyczą, za pomocą:

2.   Zgodnie z art. 17 ust. 3 rozporządzenia (UE) 2018/1725, jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, administrator udziela informacji w powszechnie stosowanej formie elektronicznej.

1.   We wnioskach o sprostowanie danych określa się dane osobowe do sprostowania lub uzupełnienia, wykazuje się nieprawidłowości lub niekompletność danych oraz wskazuje się zmianę, jaka ma zostać wprowadzona. Wnioskowi mogą towarzyszyć w razie potrzeby dokumenty zaświadczające.

2.   Osoba, której dane dotyczą, jest powiadamiana o dokonanym sprostowaniu. W przypadku odrzucenia wniosku administrator informuje na piśmie osobę, której dane dotyczą, o powodach odrzucenia.

1.   We wnioskach o usunięcie danych określa się dane osobowe do usunięcia oraz wskazuje się powody usunięcia w rozumieniu art. 19 ust. 1 rozporządzenia (UE) 2018/1725.

2.   Osoba, której dane dotyczą, jest powiadamiana o dokonanym usunięciu. W przypadku odrzucenia wniosku administrator informuje na piśmie osobę, której dane dotyczą, o powodach odrzucenia.

3.   Usunięcie danych oznacza fizyczne wykasowanie danych osobowych bez konieczności ich zastąpienia jakimkolwiek kodem.

1.   We wnioskach o ograniczenie przetwarzania określa się odnośne dane osobowe oraz powody ograniczenia, jak określono w art. 20 ust. 1 rozporządzenia (UE) 2018/1725.

2.   Osoba, której dane dotyczą, jest powiadamiana o dokonanym ograniczeniu przetwarzania. W przypadku odrzucenia wniosku administrator informuje na piśmie osobę, której dane dotyczą, o powodach odrzucenia.

1.   Po ukończeniu jednej z procedur określonych w art. 19–21 niniejszej decyzji administrator wszczyna niezwłocznie procedurę na mocy art. 21 rozporządzenia (UE) 2018/1725.

2.   W przypadku gdy powiadomienie odbiorców okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku, administrator informuje na piśmie osobę, której dane dotyczą, o stosownej przyczynie.

1.   We wnioskach na mocy art. 22 rozporządzenia (UE) 2018/1725 określa się odnośne dane osobowe.

2.   W przypadku odrzucenia wniosku administrator informuje osobę, której dane dotyczą, o powodach odrzucenia.

1.   W sprzeciwie określa się odnośne dane osobowe oraz powody związane z sytuacją osobistą, które uzasadniają sprzeciw.

2.   W przypadku odrzucenia sprzeciwu administrator informuje osobę, której dane dotyczą, o powodach odrzucenia.

1.   Przed zastosowaniem ograniczenia zgodnie z sekcją 2 niniejszego rozdziału administrator rozpatruje, czy zastosowanie mają wyjątki ustanowione w rozporządzeniu (UE) 2018/1725, w szczególności zgodnie z art. 15 ust. 4, art. 16 ust. 5, art. 19 ust. 3 i art. 35 ust. 3 tego rozporządzenia.

2.   W przypadku przetwarzania do celów archiwalnych w interesie publicznym, a także do celów badań naukowych lub historycznych, lub do celów statystycznych, administrator rozpatruje, czy zastosowanie mają wyjątki zgodnie z art. 16 ust. 5 lit. b) i art. 19 ust. 3 lit. d) rozporządzenia (UE) 2018/1725.

1.   W przypadku przetwarzania do celów archiwalnych w interesie publicznym administrator może zastosować odstępstwa zgodnie z art. 25 ust. 4 rozporządzenia (UE) 2018/1725. W tym celu administrator może zastosować odstępstwa od praw, o których mowa w art. 17, 18, 20, 21, 22 i 23 rozporządzenia (UE) 2018/1725, zgodnie z warunkami określonymi w art. 25 ust. 4 tego rozporządzenia.

2.   W przypadku przetwarzania do celów badań naukowych lub historycznych, lub do celów statystycznych, administrator może zastosować odstępstwa zgodnie z art. 25 ust. 3 rozporządzenia (UE) 2018/1725. W tym celu administrator może zastosować odstępstwa od praw, o których mowa w art. 17, 18, 20 i 23 rozporządzenia (UE) 2018/1725, zgodnie z warunkami określonymi w art. 25 ust. 3 tego rozporządzenia.

3.   Takie odstępstwa podlegają odpowiednim zabezpieczeniom zgodnie z art. 13 rozporządzenia (UE) 2018/1725 oraz art. 28 ust. 1 i 2 niniejszej decyzji. Wdraża się środki techniczne i organizacyjne zgodnie z art. 2 ust. 6 lit. a) i art. 10 niniejszej decyzji, w szczególności w celu zapewnienia poszanowania zasady minimalizacji danych oraz, w stosownych przypadkach, pseudonimizacji.

1.   Niniejsza sekcja ustanawia ogólne warunki, na jakich administrator może ograniczyć stosowanie art. 14–21, 35 i 36 rozporządzenia (UE) 2018/1725, a także jego art. 4 – w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14–21 tego rozporządzenia – zgodnie z jego art. 25.

Ogólne warunki, o których mowa w akapicie pierwszym, są uzupełnione przepisami załączników do niniejszej decyzji, w których określa się warunki, na jakich Parlament Europejski może ograniczyć prawa osób, których dane dotyczą, w przypadku wszelkich swoich działań i procedur, w ramach których są przetwarzane dane osobowe i konieczne mogłyby się okazać ograniczenia.

2.   Niniejsza sekcja ma zastosowanie do przetwarzania danych osobowych do celu działań i procedur prowadzonych i stosowanych przez Parlament Europejski, określonych w załącznikach do niniejszej decyzji.

3.   Do celów każdej operacji przetwarzania i ograniczenia określa się właściwego administratora zgodnie z art. 2 niniejszej decyzji.

1.   Dane osobowe, których dotyczy ograniczenie, przechowywane są w bezpiecznym środowisku fizycznym lub elektronicznym, które uniemożliwia bezprawny dostęp lub przekazanie danych osobom, które nie mają potrzeby ich posiadania.

2.   Po zakończeniu przetwarzania dokumenty zawierające dane osobowe przechowuje się zgodnie z mającymi zastosowanie przepisami Parlamentu Europejskiego (3).

3.   Przed zastosowaniem jakiegokolwiek ograniczenia przeprowadza się, zgodnie z art. 35 niniejszej decyzji, ocenę konieczności i proporcjonalności ograniczenia, a także zagrożeń dla osób, których dane dotyczą.

1.   Z zastrzeżeniem art. 30–36 oraz specyfikacji zawartych w mających zastosowanie załącznikach do niniejszej decyzji administrator może zastosować ograniczenia w odniesieniu do praw osoby, której dane dotyczą, wyraźnie wskazanych w mających zastosowanie załącznikach, w przypadku gdy wykonywanie tych praw zagrażałoby celowi jednego z działań lub jednej z procedur określonych w tych załącznikach.

2.   Administrator zapisuje i rejestruje przyczyny ograniczenia zgodnie z art. 35 niniejszej decyzji.

1.   Parlament Europejski publikuje na swojej stronie internetowej komunikaty na temat ochrony danych informujące wszystkie osoby, których dane dotyczą, o jego działaniach obejmujących przetwarzanie ich danych osobowych oraz o ewentualnym ograniczeniu ich praw w tym kontekście. W informacjach tych określa się, jakie prawa mogą być ograniczone, przyczyny takich ograniczeń, potencjalny czas ich trwania oraz dostępne środki prawne.

2.   W miarę możliwości administrator, bez zbędnej zwłoki i w najbardziej odpowiedniej formie, informuje bezpośrednio każdą osobę, której dane dotyczą, o jej prawach w odniesieniu do takich ograniczeń, które określa się indywidualnie. W informacjach tych określa się, jakie prawa mogą być ograniczone, przyczyny takich ograniczeń, potencjalny czas ich trwania oraz dostępne środki prawne.

1.   W przypadku gdy administrator danych ogranicza prawo do informacji, o którym mowa w art. 15 i 16 rozporządzenia (UE) 2018/1725, osoby, których dane dotyczą, zostają poinformowane, zgodnie z art. 25 ust. 6 tego rozporządzenia, o głównych przyczynach zastosowania ograniczenia oraz o przysługującym im prawie do wniesienia skargi do Europejskiego Inspektora Ochrony Danych.

2.   Takie dostarczenie informacji może jednak zostać wstrzymane, pominięte lub można go odmówić, zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725, tak długo, jak długo unieważniałoby ono skutek ograniczenia.

3.   W przypadku gdy administrator w całości lub w części wstrzymuje lub pomija przekazanie informacji osobom, których dane dotyczą, w rozumieniu ust. 2 niniejszego artykułu, lub też, w całości lub w części, odmawia takiego przekazania informacji, zapisuje on i rejestruje przyczyny takiego działania zgodnie z art. 35 niniejszej decyzji.

1.   W przypadku gdy administrator całkowicie lub częściowo ogranicza prawo dostępu osób, których dane dotyczą, do danych osobowych, prawo do sprostowania danych, prawo do usunięcia danych lub prawo do ograniczenia przetwarzania, o których mowa odpowiednio w art. 17, 18, 19 i 20 rozporządzenia (UE) 2018/1725, a także obowiązek powiadomienia zgodnie z art. 21 tego rozporządzenia, informuje zainteresowaną osobę, której dane dotyczą, w odpowiedzi na wniosek o dostęp, sprostowanie danych, usunięcie danych lub ograniczenie przetwarzania, o ograniczeniu, które zostało zastosowane, oraz o głównych przyczynach tego ograniczenia i możliwości wniesienia skargi do Europejskiego Inspektora Ochrony Danych lub środka ochrony prawnej do Trybunału Sprawiedliwości Unii Europejskiej (zwanego dalej „Trybunałem Sprawiedliwości”).

2.   Przekazanie informacji dotyczących przyczyn ograniczenia, o których mowa w ust. 1, może zostać wstrzymane, pominięte lub można go odmówić tak długo, jak długo unieważniałoby ono skutek ograniczenia.

3.   Administrator zapisuje przyczyny wstrzymania, pominięcia lub odmowy zgodnie z art. 35 niniejszej decyzji.

4.   W przypadku gdy prawo dostępu jest całkowicie lub częściowo ograniczone, a osoba, której dane dotyczą, skorzystała z prawa do wniesienia skargi do Europejskiego Inspektora Ochrony Danych, jest ona informowana przez Europejskiego Inspektora Ochrony Danych jedynie o tym, czy dane zostały przetworzone prawidłowo, a jeżeli nie, czy dokonano koniecznych poprawek zgodnie z art. 25 ust. 7 rozporządzenia (UE) 2018/1725.

1.   Przed zastosowaniem danego ograniczenia administrator ocenia, czy jest ono konieczne i proporcjonalne, z uwzględnieniem odpowiednich elementów art. 25 ust. 2 rozporządzenia (UE) 2018/1725. Ocena taka obejmuje również ocenę zagrożeń dla praw i wolności zainteresowanych osób, których dane dotyczą, w szczególności ryzyka, że ich dane osobowe mogą być dalej przetwarzane bez ich wiedzy, oraz ryzyka, że osoby te nie będą mogły wykonywać swoich praw zgodnie z rozporządzeniem (UE) 2018/1725. Ocena ta jest dokumentowana za pomocą wewnętrznej notatki oceniającej i przeprowadzana w każdym indywidualnym przypadku.

2.   Administrator zapisuje przyczyny każdego ograniczenia zastosowanego zgodnie z niniejszą decyzją, w tym ocenę dokonaną na podstawie ust. 1.

W tym celu wpis zawiera informacje o tym, w jaki sposób wykonywanie praw osób, których dane dotyczą, zagrażałoby celowi jednego z działań lub jednej z procedur wykonywanych lub stosowanych przez Parlament Europejski, określonych w załącznikach do niniejszej decyzji.

3.   Jeżeli, zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725, administrator wstrzymuje lub pomija przekazanie informacji osobie, której dane dotyczą, na temat zastosowania ograniczenia lub odmawia takiego przekazania informacji, zapisuje on również, w stosownym przypadku, uzasadnienie takiego wstrzymania, pominięcia lub odmowy.

4.   W rejestrze centralnym przechowuje się wpis oraz, w stosownych przypadkach, dokumenty zawierające elementy stanu faktycznego i aspekty prawne stanowiące podstawę wpisu. Udostępnia się je na żądanie Europejskiemu Inspektorowi Ochrony Danych.

1.   Ograniczenia, o których mowa w art. 29 i 31–34 niniejszej decyzji, w powiązaniu z mającymi zastosowanie załącznikami do niniejszej decyzji, mają zastosowanie tak długo, jak długo mają zastosowanie przyczyny je uzasadniające.

2.   Jeżeli przyczyny ograniczenia, o którym mowa w art. 29 i 31–34 niniejszej decyzji, w powiązaniu z mającymi zastosowanie załącznikami do niniejszej decyzji, nie mają już zastosowania, administrator znosi ograniczenie. Jednocześnie administrator przedstawia osobie, której dane dotyczą, główne przyczyny ograniczenia oraz informuje ją o możliwości wniesienia, w dowolnym momencie, skargi do Europejskiego Inspektora Ochrony Danych lub środka ochrony prawnej do Trybunału Sprawiedliwości.

3.   Administrator dokonuje przeglądu zastosowania ograniczeń, o których mowa w art. 29 i 31–34 niniejszej decyzji, w powiązaniu z mającymi zastosowanie załącznikami do niniejszej decyzji, co sześć miesięcy od ich przyjęcia i przy zamknięciu danej procedury. Następnie, do celów działań i procedur określonych w załącznikach I, II, V, VI, VII, VIII, IX i X do niniejszej decyzji, administrator co roku monitoruje potrzebę utrzymania wszelkich ograniczeń.

1.   Inspektor ochrony danych jest informowany bez zbędnej zwłoki o każdym przypadku, gdy prawa osób, których dane dotyczą, są ograniczone zgodnie z niniejszą sekcją.

Inspektor ochrony danych otrzymuje, na żądanie, dostęp do wpisu oraz wszelkich dokumentów zawierających elementy stanu faktycznego i aspekty prawne stanowiące podstawę wpisu.

2.   Inspektor ochrony danych może zwrócić się do administratora o przegląd ograniczeń. Inspektora ochrony danych informuje się na piśmie o wynikach wnioskowanego przeglądu.

3.   Wszelka wymiana informacji z inspektorem ochrony danych w trakcie całej procedury zgodnie z ust. 1 i 2 jest rejestrowana w odpowiedniej formie.

1.   Zgodnie z art. 68 rozporządzenia (UE) 2018/1725 każdy pracownik Parlamentu Europejskiego może złożyć skargę do Europejskiego Inspektora Ochrony Danych. Złożenie takiej skargi nie zawiesza biegu terminów składania zażaleń zgodnie z art. 90 regulaminu pracowniczego.

2.   Niezależnie od prawa, o którym mowa w ust. 1, każdy pracownik Parlamentu Europejskiego może, zgodnie z art. 90 regulaminu pracowniczego, złożyć do organu powołującego zażalenie odnoszące się do kwestii związanej z przetwarzaniem danych osobowych. W zażaleniu pracownik określa, czy wraz z zażaleniem złożonym zgodnie z regulaminem pracowniczym złożono równocześnie skargę do Europejskiego Inspektora Ochrony Danych.

W przypadku zażalenia, o którym mowa w art. 90 ust. 2 regulaminu pracowniczego, odpowiednie służby Parlamentu Europejskiego zasięgają opinii inspektora ochrony danych.

1.   Z skutkiem od dnia wejścia w życie niniejszej decyzji uchyla się ustanowione decyzją Prezydium z 22 czerwca 2005 r. (4) Przepisy wykonawcze do Rozporządzenia (WE) nr 45/2001 Parlamentu Europejskiego i Rady o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych.

2.   Ze skutkiem od dnia wejścia w życie niniejszej decyzji uchyla się decyzję Prezydium Parlamentu Europejskiego z 3 kwietnia 2019 r. w sprawie przepisów wykonawczych w zakresie ograniczenia niektórych praw osób, których dane dotyczą, w odniesieniu do danych osobowych przekazywanych przez Parlament Europejski organom krajowym w ramach postępowań przygotowawczych lub dochodzeń finansowych (5).