EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 32020D0969
Commission Decision (EU) 2020/969 of 3 July 2020 laying down implementing rules concerning the Data Protection Officer, restrictions of data subjects’ rights and the application of Regulation (EU) 2018/1725 of the European Parliament and of the Council, and repealing Commission Decision 2008/597/EC
Rozhodnutie Komisie (EÚ) 2020/969 z 3. júla 2020, ktorým sa stanovujú vykonávacie pravidlá týkajúce sa úradníka pre ochranu údajov, obmedzení práv dotknutých osôb a uplatňovania nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 a ktorým sa zrušuje rozhodnutie Komisie 2008/597/ES
Rozhodnutie Komisie (EÚ) 2020/969 z 3. júla 2020, ktorým sa stanovujú vykonávacie pravidlá týkajúce sa úradníka pre ochranu údajov, obmedzení práv dotknutých osôb a uplatňovania nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 a ktorým sa zrušuje rozhodnutie Komisie 2008/597/ES
C/2020/4183
Ú. v. EÚ L 213, 6.7.2020, p. 12–22
(BG, ES, CS, DA, DE, ET, EL, EN, FR, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
6.7.2020 |
SK |
Úradný vestník Európskej únie |
L 213/12 |
ROZHODNUTIE KOMISIE (EÚ) 2020/969
z 3. júla 2020,
ktorým sa stanovujú vykonávacie pravidlá týkajúce sa úradníka pre ochranu údajov, obmedzení práv dotknutých osôb a uplatňovania nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 a ktorým sa zrušuje rozhodnutie Komisie 2008/597/ES
EURÓPSKA KOMISIA,
so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 249 ods. 1,
so zreteľom na nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (1), a najmä na jeho článok 45 ods. 3,
keďže:
(1) |
S cieľom zabezpečiť riadne fungovanie úradu úradníka Komisie pre ochranu údajov (ďalej len „zodpovedná osoba“) je potrebné podrobne určiť úlohy, povinnosti a právomoci zodpovednej osoby. |
(2) |
Nariadením (EÚ) 2018/1725 sa prevádzkovateľom ukladajú jasné povinnosti, najmä vo vzťahu k dotknutým osobám. S cieľom zabezpečiť, aby Komisia pôsobila ako prevádzkovateľ jednotným a transparentným spôsobom, pokiaľ ide o jej povinnosti, mali by sa stanoviť pravidlá na určenia toho, kto je v útvaroch Komisie zodpovedný za spracovateľskú operáciu, ktorá sa vykonáva v mene Komisie. V tejto súvislosti je vhodné zaviesť pojem delegovaný prevádzkovateľ, aby sa presne určila zodpovednosť subjektov Komisie, najmä pokiaľ ide o individuálne rozhodnutia týkajúce sa práv dotknutých osôb. Okrem toho je vhodné zaviesť pojem operačného prevádzkovateľa, ktorý je v rámci zodpovednosti delegovaného prevádzkovateľa poverený zabezpečovaním dodržiavania predpisov v praxi a spracúvaním žiadostí dotknutých osôb v súvislosti so spracovateľskou operáciou. Vymenovanie operačného prevádzkovateľa nebráni tomu, aby sa v praxi využívalo kontaktné miesto, napríklad vo forme funkčnej elektronickej schránky, ktorá sa sprístupní pre žiadosti dotknutých osôb. |
(3) |
V určitých prípadoch môžu spracovateľské operácie spoločne vykonávať viaceré útvary Komisie, aby splnili svoje poslanie. V takýchto prípadoch by mali zabezpečiť zavedenie vnútorných dohôd s cieľom transparentne určiť svoje príslušné zodpovednosti podľa nariadenia (EÚ) 2018/1725, najmä zodpovednosť voči dotknutým osobám, oznamovanie európskemu dozornému úradníkovi pre ochranu údajov (ďalej len „EDPS“) a vedenie záznamov. |
(4) |
S cieľom uľahčiť výkon zodpovedností delegovaných prevádzkovateľov by každý útvar Komisie mal vymenovať koordinátora pre ochranu údajov. Koordinátor pre ochranu údajov by sa mal zúčastňovať na práci siete koordinátorov pre ochranu údajov v Komisii s cieľom zabezpečiť jednotné vykonávanie a výklad nariadenia (EÚ) 2018/1725 v Komisii a diskutovať o otázkach spoločného záujmu. |
(5) |
Vzhľadom na úlohu zodpovednej osoby pri rozdeľovaní povinností podľa článku 45 ods. 1 písm. b) nariadenia (EÚ) 2018/1725 by zodpovedná osoba mala vydať dodatočné usmernenia týkajúce sa funkcie koordinátora pre ochranu údajov. |
(6) |
Komisia spracúva niekoľko kategórií osobných údajov na účely vykonávania úloh zodpovednej osoby v oblasti monitorovania, vyšetrovania, auditu a poradenstva. Komisia konkrétne spracúva identifikačné údaje, kontaktné údaje, profesijné údaje a údaje o účasti na riešených veciach. Tieto údaje sa uchovávajú počas piatich rokov od ukončenia činností v súlade so spoločným zoznamom pre uchovávanie spisov na úrovni Komisie (2). |
(7) |
Za určitých okolností je potrebné zosúladiť práva dotknutých osôb podľa nariadenia (EÚ) 2018/1725 s potrebou Komisie vykonávať úlohy zodpovednej osoby v oblasti monitorovania, vyšetrovania, auditu alebo poradenstva a potrebu dôvernosti výmeny informácií s inými útvarmi Komisie, ako aj s úplným dodržiavaním základných práv a slobôd iných dotknutých osôb. Článok 25 ods. 1 nariadenia (EÚ) 2018/1725 poskytuje Komisii na tento účel možnosť obmedziť uplatňovanie článkov 14 až 17 a článkov 19, 20 a 35, ako aj zásadu transparentnosti stanovenú v článku 4 ods. 1 písm. a), pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam uvedeným v článkoch 14 až 17 a článkoch 19 a 20 tohto nariadenia. |
(8) |
S cieľom zabezpečiť dôvernosť a účinnosť úloh zodpovednej osoby v oblasti monitorovania, vyšetrovania, auditu alebo poradenstva, a to pri súčasnom dodržaní noriem ochrany osobných údajov podľa nariadenia (EÚ) 2018/1725, je potrebné prijať interné predpisy, na základe ktorých môže zodpovedná osoba obmedziť práva dotknutých osôb v súlade s článkom 25 nariadenia (EÚ) 2018/1725. |
(9) |
Vnútorné pravidlá by sa mali uplatňovať na všetky operácie spracovania údajov realizované Komisiou pri vykonávaní úloh zodpovednej osoby v oblasti monitorovania, vyšetrovania, auditu alebo poradenstva. Mali by sa uplatňovať na spracovateľské operácie vykonávané pred začatím vyšetrovania alebo auditu, počas vyšetrovania alebo auditu a počas monitorovania opatrení na nadväzujúcich na výsledok vyšetrovania alebo auditu. Tieto pravidlá by sa mali vzťahovať aj na spracovateľské operácie, ktoré sú súčasťou úloh súvisiacich s vyšetrovacou alebo audítorskou funkciou zodpovednej osoby, ako sú procesy vybavovania sťažností realizované zodpovednou osobou. Tieto pravidlá by sa mali vzťahovať aj na monitorovanie zodpovednej osoby a konzultácie zodpovednej osoby, keď zodpovedná osoba poskytuje pomoc a spoluprácu útvarom Komisie mimo svojich administratívnych vyšetrovaní a auditov. |
(10) |
Komisia by s cieľom dosiahnuť súlad s článkami 14, 15 a 16 nariadenia (EÚ) 2018/1725 mala informovať všetkých jednotlivcov o monitorovacích, vyšetrovacích, audítorských alebo poradných úlohách zodpovednej osoby, ktoré zahŕňajú spracovanie ich osobných údajov a o ich právach podľa nariadenia (EÚ) 2018/1725. Komisia by mala tieto osoby informovať transparentným a súdržným spôsobom, a to vo forme oznámení o ochrane údajov uverejnených na webovom sídle Komisie, ako aj informovať každú osobu dotknutú monitorovaním, vyšetrovaním, auditom alebo poradenskou činnosťou zodpovednej osoby. |
(11) |
Za určitých okolností môže Komisia obmedziť poskytovanie informácií dotknutým osobám a uplatňovanie iných práv dotknutých osôb. Môže tak urobiť s cieľom chrániť úlohy zodpovednej osoby v oblasti monitorovania, vyšetrovania, auditu alebo poradenstva, súvisiace vyšetrovania a postupy iných útvarov Komisie, nástroje a metódy vyšetrovaní a auditov zodpovednej osoby, ako aj práva iných osôb súvisiace s úlohami zodpovednej osoby. |
(12) |
V niektorých prípadoch by poskytnutie konkrétnych informácií dotknutým osobám alebo odhalenie existencie monitorovania, vyšetrovania, auditu alebo poradnej činnosti zodpovednej osoby mohlo znemožniť alebo vážne narušiť účel spracovateľskej operácie a schopnosť zodpovednej osoby vykonávať takúto činnosť. |
(13) |
Okrem toho by Komisia mala chrániť totožnosť informátorov, ktorí by nemali znášať negatívne dôsledky v dôsledku svojej spolupráce so zodpovednou osobou. |
(14) |
Z týchto dôvodov môže byť potrebné, aby Komisia uplatnila dôvody pre obmedzenia uvedené v článku 25 ods. 1 písm. c), g) a h) nariadenia (EÚ) 2018/1725 na operácie spracúvania údajov vykonávané v rámci úloh zodpovednej osoby v oblasti monitorovania, vyšetrovania, auditu alebo poradenstva, ako sa uvádza v článku 45 uvedeného nariadenia. |
(15) |
Okrem toho s cieľom zachovať účinnú spoluprácu môže byť potrebné, aby Komisia obmedzila práva dotknutých osôb v záujme ochrany informácií obsahujúcich osobné údaje pochádzajúce z iných útvarov Komisie, inštitúcií alebo orgánov Únie. Na tento účel by zodpovedná osoba mala konzultovať s týmito útvarmi, inštitúciami alebo orgánmi relevantné dôvody na tieto obmedzenia, ako aj ich nutnosť a primeranosť. |
(16) |
V rámci úloh zodpovednej osoby v oblasti monitorovania, vyšetrovania, auditu alebo poradenstva si zodpovedná osoba vymieňa informácie vrátane osobných údajov s inými útvarmi Komisie. Všetky útvary Komisie spracúvajúce osobné údaje, ktoré spracúva pri plnení svojich úloh zodpovedná osoba, by preto mali uplatňovať pravidlá stanovené v tomto rozhodnutí s cieľom chrániť spracovateľské operácie vykonávané touto zodpovednou osobou. Za takýchto okolností by preto mali dotknuté útvary Komisie konzultovať so zodpovednou osobou relevantné dôvody na tieto obmedzenia, ako aj ich nutnosť a primeranosť, a to v záujme ich jednotného uplatňovania. |
(17) |
Zodpovedná osoba – a v príslušných prípadoch ostatné útvary Komisie – by mali ku všetkým obmedzeniam pristupovať transparentne a zaregistrovať každé uplatnenie obmedzení v príslušnom systéme záznamov. |
(18) |
Podľa článku 25 ods. 8 nariadenia (EÚ) 2018/1725 môžu prevádzkovatelia poskytnutie informácií o dôvodoch uplatnenia obmedzenia dotknutej osobe odložiť alebo od neho upustiť, ak by to akýmkoľvek spôsobom ohrozilo účel obmedzenia. Najmä v prípade, keď sa uplatňuje obmedzenie práv stanovených v článkoch 16 a 35, by oznámenie takéhoto obmedzenia ohrozilo účel obmedzenia. V záujme zabezpečenia toho, aby bolo právo dotknutej osoby na informácie v súlade s článkami 16 a 35 nariadenia (EÚ) 2018/1725 obmedzené len dovtedy, pokým trvajú dôvody odkladu, by Komisia mala pravidelne preskúmavať svoju pozíciu. |
(19) |
Ak sa uplatňuje obmedzenie iných práv dotknutých osôb, zodpovedná osoba by mala v jednotlivých prípadoch posúdiť, či by oznámenie obmedzenia mohlo ohroziť jeho účel. |
(20) |
Zodpovedná osoba by mala vykonať nezávislé preskúmanie uplatňovania obmedzení na základe tohto rozhodnutia inými útvarmi Komisie s cieľom zabezpečiť súlad s týmto rozhodnutím. |
(21) |
Akékoľvek obmedzenie uplatňované na základe tohto rozhodnutia by malo byť potrebné a primerané s prihliadnutím na riziká pre práva a slobody dotknutých osôb. |
(22) |
V súlade s článkom 41 ods. 1 a 2 nariadenia (EÚ) 2018/1725 sa európskemu dozornému úradníkovi pre ochranu údajov poskytli informácie a uskutočnili sa s ním konzultácie, na základe čoho európsky dozorný úradník pre ochranu údajov vydal stanovisko 16. septembra 2019. |
(23) |
V rozhodnutí Komisie 2008/597/ES (3) sa stanovujú vykonávacie pravidlá týkajúce sa úradníka pre ochranu údajov podľa nariadenia Európskeho parlamentu a Rady (ES) č. 45/2001 (4). Nariadením (EÚ) 2018/1725 sa nariadenie (ES) č. 45/2001 zrušilo s účinnosťou od 11. decembra 2019. S cieľom zabezpečiť, aby sa na zodpovednú osobu vzťahoval len jeden súbor vykonávacích pravidiel, by sa rozhodnutie 2008/597/ES malo takisto zrušiť, |
PRIJALA TOTO ROZHODNUTIE:
KAPITOLA 1
VŠEOBECNÉ USTANOVENIA
Článok 1
Predmet úpravy a rozsah pôsobnosti
1. Týmto rozhodnutím sa stanovujú pravidlá a postupy na uplatňovanie nariadenia (EÚ) 2018/1725 Komisiou a stanovujú sa vykonávacie pravidlá týkajúce sa úradníka Komisie pre ochranu údajov (ďalej len „zodpovedná osoba“).
2. Týmto rozhodnutím sa tiež stanovujú pravidlá, ktoré má dodržiavať Komisia v súvislosti s úlohami zodpovednej osoby v oblasti monitorovania, vyšetrovania, auditu alebo poradenstva, pri informovaní dotknutých osôb o spracúvaní ich osobných údajov v súlade s článkami 14, 15 a 16 nariadenia (EÚ) 2018/1725.
3. Stanovujú sa v ňom aj podmienky, za ktorých Komisia v súvislosti s úlohami zodpovednej osoby v oblasti monitorovania, vyšetrovania, auditu alebo poradenstva môže v súlade s článkom 25 ods. 1 písm. c), g) a h) nariadenia (EÚ) 2018/1725 obmedziť uplatňovanie článku 4, článkov 14 až 17 a článkov 19, 20 a 35 uvedeného nariadenia.
4. Toto rozhodnutie sa vzťahuje na spracúvanie osobných údajov Komisiou na účely úloh zodpovednej osoby uvedenej v článku 45 nariadenia (EÚ) 2018/1725 alebo vo vzťahu k nim, najmä pokiaľ ide o úlohy zodpovednej osoby v oblasti monitorovania, vyšetrovania, auditu a poradenstva.
Článok 2
Prevádzkovateľ
Na účely tohto rozhodnutia sa za prevádzkovateľa v zmysle článku 3 ods. 8 nariadenia (EÚ) 2018/1725 považuje Komisia.
Článok 3
Vymedzenie pojmov
Na účely tohto rozhodnutia sa uplatňuje toto vymedzenie pojmov:
1. |
„zodpovedná osoba“ je osoba, ktorú Komisia určila podľa článku 43 nariadenia (EÚ) 2018/1725; |
2. |
„úlohy zodpovednej osoby“ sú úlohy zodpovednej osoby uvedené v článku 45 nariadenia (EÚ) 2018/1725, najmä úlohy zodpovednej osoby v oblasti monitorovania, vyšetrovania, auditu a poradenstva; |
3. |
„koordinátor pre ochranu údajov“ je zamestnanec Komisie, ktorého generálne riaditeľstvo alebo útvar Komisie vymenovali, aby poskytol poradenstvo a pomoc tomuto generálnemu riaditeľstvu alebo útvaru vo všetkých aspektoch ochrany osobných údajov; |
4. |
„delegovaný prevádzkovateľ“ je vedúci generálneho riaditeľstva, útvaru alebo kabinetu, ktorý vykonáva spracovateľské operácie v mene Komisie pri plnení poslania tohto generálneho riaditeľstva, útvaru alebo kabinetu; |
5. |
„operačný prevádzkovateľ“ je zamestnanec Komisie na úrovni stredného alebo vyššieho manažmentu určený delegovaným prevádzkovateľom, aby zabezpečoval vedenie záznamov v súvislosti so spracovateľskou operáciou a slúžil v súvislosti s ňou ako primárne kontaktné miesto pre dotknuté osoby; |
6. |
„vnútorná dohoda“ je akákoľvek dohoda medzi dvoma alebo viacerými generálnymi riaditeľstvami alebo útvarmi o určení ich príslušných povinností a o koordinácii vedenia záznamov o spracovaní v súvislosti so spracovateľskou operáciou, ktorú vykonávajú spoločne, alebo ak jedno alebo viaceré generálne riaditeľstvá alebo útvary vykonávajú časť spracovateľskej operácie delegovaného prevádzkovateľa; |
7. |
„informátor“ je fyzická osoba, ktorá sa domnieva, že došlo k porušeniu ustanovení nariadenia (EÚ) 2018/1725, a informuje o tom zodpovednú osobu, resp. ju žiada o vyšetrenie záležitostí a udalostí, ktoré sa priamo týkajú úloh zodpovednej osoby a na ktoré ju táto fyzická osoba upozornila. |
KAPITOLA 2
ZODPOVEDNÁ OSOBA A KOORDINÁTOR OCHRANY ÚDAJOV
Článok 4
Funkcia a postavenie
Zodpovedná osoba je vybraná spomedzi zamestnancov Komisie na základe svojej odbornej kvality vrátane dobrej znalosti útvarov Komisie, ich štruktúry a ich administratívnych pravidiel a postupov.
Článok 5
Úlohy a povinnosti
1. Zodpovedná osoba prispieva k vytváraniu kultúry ochrany osobných údajov v rámci Komisie na základe posúdenia rizika a zodpovednosti.
2. Zodpovedná osoba monitoruje vykonávanie nariadenia (EÚ) 2018/1725 v Komisii okrem iného tým, že každoročne stanovuje a realizuje pracovný program v oblasti inšpekcií a auditu.
3. Zodpovedná osoba organizuje pravidelné zasadnutia koordinátorov pre ochranu údajov a predsedá im.
4. Zodpovedná osoba vedie záznamy Komisie o spracovateľských činnostiach v centrálnom registri a sprístupní ho verejnosti.
Zodpovedná osoba vedie aj interný register Komisie týkajúci sa porušení ochrany osobných údajov v zmysle článku 3 ods. 16 nariadenia (EÚ) 2018/1725.
5. Pri výkone svojich funkcií zodpovedná osoba spolupracuje so zodpovednými osobami určenými ostatnými inštitúciami a orgánmi Únie.
6. Zodpovedná osoba sa považuje za delegovaného prevádzkovateľa na účely individuálnych rozhodnutí týkajúcich sa práv dotknutých osôb podľa nariadenia (EÚ) 2018/1725 v súvislosti so spracovateľskými operáciami zodpovednej osoby.
Článok 6
Právomoci
Zodpovedná osoba pri plnení svojich úloh:
a) |
má, ak je to nevyhnutné na plnenie jej úloh, prístup k údajom, ktoré sú predmetom operácií spracovania osobných údajov, a prístup do všetkých kancelárií, zariadení na spracovanie údajov a ku všetkým dátovým nosičom; |
b) |
môže požiadať právny servis Komisie o právne stanoviská; |
c) |
môže v prípade sporu medzi ňou a delegovaným prevádzkovateľom, operačným prevádzkovateľom alebo sprostredkovateľom o výklade alebo vykonávaní nariadenia (EÚ) 2018/1725 informovať príslušného delegovaného prevádzkovateľa a generálneho tajomníka; |
d) |
môže prideliť spisy príslušným generálnym riaditeľstvám alebo útvarom Komisie na účely prijatia vhodných následných opatrení; |
e) |
môže v súlade s postupom stanoveným v článku 11 na požiadanie alebo z vlastnej iniciatívy vykonávať vyšetrovania vo veciach a udalostiach, ktoré priamo súvisia s jej úlohami; |
f) |
pri predkladaní odporúčaní a poskytovaní poradenstva môže:
|
g) |
môže upozorniť generálneho tajomníka na skutočnosť, že delegovaný prevádzkovateľ, operačný prevádzkovateľ alebo sprostredkovateľ nedodržiavajú opatrenia prijaté podľa článku 6 písm. f); |
h) |
zodpovedá za počiatočné rozhodnutia o žiadostiach o prístup k dokumentom, ktoré má k dispozícii jej úrad podľa nariadenia Európskeho parlamentu a Rady č. 1049/2001 (5). |
Článok 7
Koordinátori pre ochranu údajov
1. Delegovaný prevádzkovateľ na generálnom riaditeľstve alebo útvare patriacom do jeho pôsobnosti vymenuje koordinátora pre ochranu údajov a v prípade potreby jedného alebo viacerých jeho asistentov. Dvaja alebo viacerí delegovaní prevádzkovatelia môžu z dôvodov súdržnosti alebo účinnosti rozhodnúť o vymenovaní spoločného koordinátora pre ochranu údajov alebo asistenta koordinátora pre ochranu údajov, resp. môžu spoločne využívať služby už vymenovaného koordinátora pre ochranu údajov alebo asistenta koordinátora pre ochranu údajov. Príslušní delegovaní prevádzkovatelia takúto svoju dohodou zaznamenajú písomne.
2. Koordinátor pre ochranu údajov vymenovaný generálnym riaditeľstvom alebo útvarom je takisto príslušný aj pre kabinet zodpovedný za toto generálne riaditeľstvo alebo útvar. Koordinátor pre ochranu údajov vymenovaný pre Generálny sekretariát je príslušný pre kabinet predsedu či predsedníčky Komisie, ako aj pre kabinety, pre ktoré je generálny sekretariát jediným podporným útvarom. Ak je kabinet zodpovedný za niekoľko generálnych riaditeľstiev alebo útvarov, delegovaní prevádzkovatelia rozhodnú o tom, ktorý z ich príslušných koordinátorov pre ochranu údajov bude mať príslušnosť v prípade tohto kabinetu.
3. Koordinátor pre ochranu údajov, zamestnanci príslušného generálneho riaditeľstva alebo útvaru a príslušný kabinet sú informovaní o každom vymenovaní nového koordinátora pre ochranu údajov.
Novo vymenovaní koordinátori pre ochranu údajov absolvujú odbornú prípravu s cieľom získať potrebné spôsobilosti pre plnenie úlohy koordinátora pre ochranu údajov do šiestich mesiacov od svojho vymenovania. Koordinátor pre ochranu údajov, ktorý predtým zastával pozíciu koordinátora pre ochranu údajov na inom generálnom riaditeľstve alebo útvare alebo počas dvoch rokov pred vymenovaním za koordinátora pre ochranu údajov bol zamestnancom zodpovednej osoby, je od tejto požiadavky na odbornú prípravu oslobodený.
4. Delegovaní prevádzkovatelia prijmú vhodné opatrenia s cieľom zabezpečiť, aby bol koordinátor pre ochranu údajov riadne a včas zapojený do všetkých záležitostí, ktoré sa týkajú ochrany údajov na ich generálnom riaditeľstve alebo útvare, a aby sa stanoviská, ktoré vydáva koordinátor pre ochranu údajov na jeho žiadosť urýchlene dostali do pozornosti delegovaného prevádzkovateľa.
5. Koordinátori pre ochranu údajov sa vyberajú na základe ich znalostí a skúseností s fungovaním príslušného generálneho riaditeľstva alebo útvaru, motivácie plniť túto funkciu, schopností v oblasti ochrany údajov, chápania zásad informačných systémov a na základe ich komunikačných zručností.
6. Funkcia koordinátora pre ochranu údajov sa môže kombinovať s inými funkciami. Delegovaný prevádzkovateľ zabezpečí, aby boli tieto funkcie s funkciou koordinátora pre ochranu údajov zlučiteľné.
7. Funkcia koordinátora pre ochranu údajov je súčasťou opisu pracovného miesta každého zamestnanca, ktorý bol vymenovaný za koordinátora pre ochranu údajov. Odkaz na ich úlohy a výsledky sa uvedie v ročnej hodnotiacej správe.
8. Koordinátor pre ochranu údajov pôsobí ako kontaktné miesto medzi delegovaným prevádzkovateľom, operačným prevádzkovateľom, sprostredkovateľom a zodpovednou osobou.
9. Koordinátor pre ochranu údajov má na svojom generálnom riaditeľstve alebo útvare právo získavať akékoľvek informácie v rozsahu, v akom je to potrebné na plnenie jeho úloh. Koordinátori pre ochranu údajov majú prístup k osobným údajom, len ak je to potrebné na plnenie ich úloh.
10. Koordinátor pre ochranu údajov vedie záznamy a poskytuje anonymizované štatistické údaje o žiadostiach dotknutých osôb generálnemu riaditeľstvu, útvaru alebo kabinetu, v ktorých uvádza počet žiadostí a počet čiastočne a úplne zamietnutých žiadostí. Zodpovedná osoba určí kategórie žiadostí, v prípade ktorých sa uchovávajú štatistiky. Zodpovedná osoba môže spresniť, aké ďalšie informácie sa majú poskytnúť.
Koordinátor pre ochranu údajov uchováva anonymizované štatistiky o porušeniach ochrany osobných údajov, ktoré spravuje generálne riaditeľstvo, útvar alebo kabinet, s uvedením celkového počtu porušení ochrany osobných údajov, počtu prípadov porušenia ochrany osobných údajov, ktoré boli oznámené EDPS, a počtu prípadov porušení ochrany osobných údajov oznámených dotknutým osobám.
11. Koordinátor pre ochranu údajov zvyšuje informovanosť o otázkach ochrany údajov v rámci svojho GR alebo útvaru a radí a pomáha delegovaným prevádzkovateľom a operačným prevádzkovateľom pri plnení ich povinností, najmä pokiaľ ide o:
a) |
vykonávanie všeobecných zásad nariadenia (EÚ) 2018/1725; |
b) |
dokumentáciu spracovateľských operácií; |
c) |
predloženie záznamov o spracovateľských operáciách delegovaných prevádzkovateľov zodpovednej osobe podľa článku 10; |
d) |
prípravu vyhlásení o ochrane osobných údajov. |
12. Koordinátori pre ochranu údajov sa zúčastňujú na zasadnutiach a v prípade potreby aj na činnosti pracovných skupín koordinátorov pre ochranu údajov.
13. Zodpovedná osoba vydá dodatočné usmernenia týkajúce sa úloh a funkcií koordinátora pre ochranu údajov.
KAPITOLA 3
PREVÁDZKOVATELIA
Článok 8
Delegovaní prevádzkovatelia a operační prevádzkovatelia
1. Delegovaní prevádzkovatelia konajú v mene Komisie ako prevádzkovateľ na účely uplatňovania nariadenia (EÚ) 2018/1725.
2. Delegovaní prevádzkovatelia a operační prevádzkovatelia:
a) |
môžu prostredníctvom koordinátora pre ochranu údajov konzultovať so zodpovednou osobou, či sú spracovateľské operácie v súlade s nariadením, a to najmä ak majú pochybnosti o ich súlade; |
b) |
prostredníctvom koordinátora pre ochranu údajov oznamujú zodpovednej osobe všetky žiadosti doručené od dotknutej osoby na účely výkonu jej práv. |
3. Delegovaný prevádzkovateľ:
a) |
určí operačného prevádzkovateľa, ktorého úlohou je poskytovať pomoc delegovanému prevádzkovateľovi pri zabezpečovaní súladu s nariadením (EÚ) 2018/1725, najmä pokiaľ ide o dotknuté osoby; |
b) |
zabezpečuje, aby boli zavedené vnútorné dohody s inými generálnymi riaditeľstvami alebo útvarmi, ak delegovaný prevádzkovateľ vykonáva spracovateľské operácie spoločne s nimi, alebo ak tieto generálne riaditeľstvá alebo útvary vykonávajú časť spracovateľskej operácie delegovaného prevádzkovateľa. |
V dohodách uvedených v prvom pododseku písm. b) sa určia ich príslušné zodpovednosti za plnenie ich povinností v oblasti ochrany údajov. Ich obsahom je najmä identifikácia delegovaného prevádzkovateľa, ktorý určuje prostriedky a účely spracovateľskej operácie, ako aj operačného prevádzkovateľa na účely tejto spracovateľskej operácie, a ak je to vhodné, aj identifikáciu osôb a/alebo subjektov, ktoré pomáhajú operačnému prevádzkovateľovi okrem iného v prípade porušenia ochrany osobných údajov alebo práv dotknutých osôb.
4. Operačný prevádzkovateľ:
a) |
prijíma a spracúva všetky žiadosti dotknutých osôb; |
b) |
v prípade porušenia ochrany osobných údajov informuje európskeho dozorného úradníka pre ochranu údajov (EDPS); |
c) |
informuje koordinátora pre ochranu údajov a zodpovednú osobu o porušení ochrany osobných údajov a v prípade potreby informuje aj dotknutú osobu; |
d) |
zabezpečuje, aby bol koordinátor pre ochranu údajov informovaný o všetkých záležitostiach týkajúcich sa ochrany údajov, a to najmä o žiadostiach dotknutých osôb; |
e) |
na žiadosť delegovaného prevádzkovateľa plní akékoľvek iné úlohy patriace do predmetu úpravy tohto rozhodnutia. |
KAPITOLA 4
ĎALŠIE POVINNOSTI A POSTUPY
Článok 9
Informovanie
Delegovaný prevádzkovateľ v spolupráci s koordinátorom pre ochranu údajov informuje zodpovednú osobu v prípade konzultácií s európskym dozorným úradníkom pre ochranu údajov alebo poskytnutia informácií európskemu dozornému úradníkovi pre ochranu údajov v súlade s nariadením (EÚ) 2018/1725, a najmä podľa jeho článkov 40 a 41. Okrem toho delegovaný prevádzkovateľ, operačný prevádzkovateľ alebo koordinátor pre ochranu údajov informuje zodpovednú osobu o akejkoľvek inej priamej interakcii s EDPS v súvislosti s vykonávaním nariadenia (EÚ) 2018/1725.
Článok 10
Register
1. Zodpovedná osoba zabezpečí, aby register operácií spracovania údajov Komisie bol prístupný prostredníctvom webového sídla zodpovednej osoby na intranetovej stránke Komisie a prostredníctvom webového sídla zodpovednej osoby na webovom sídle Europa.
2. Delegovaní prevádzkovatelia oznamujú záznamy o svojich spracovateľských operáciách zodpovednej osobe prostredníctvom svojho koordinátora pre ochranu údajov s využitím notifikačného online systému Komisie, ktorý je prístupný na webovom sídle zodpovednej osoby na intranetovej stránke Komisie.
Článok 11
Postup vyšetrovania
1. Žiadosti o začatie vyšetrovania uvedené v článku 6 písm. e) sa zodpovednej osobe podávajú písomne. Zodpovedná osoba do 15 pracovných dní od doručenia žiadosti zašle potvrdenie o jej prijatí osobe, ktorá o vyšetrovanie požiadala, a overí, či sa má žiadosť považovať za dôvernú, aby sa zabezpečila jej dôvernosť, pokiaľ dotknuté osoby neposkytnú svoj jednoznačný súhlas na to, aby sa so žiadosťou zaobchádzalo inak. V prípade, že ide o zjavné zneužitie práva požiadať o začatie vyšetrovania, nie je zodpovedná osoba povinná žiadateľovi odpovedať.
2. Zodpovedná osoba požiada delegovaného prevádzkovateľa, ktorý je zodpovedný za príslušnú operáciu spracovania údajov, o písomné vyjadrenie k predmetnej záležitosti. Delegovaný prevádzkovateľ odpovie zodpovednej osobe do 15 pracovných dní. Zodpovedná osoba môže požiadať delegovaného prevádzkovateľa alebo iné strany o doplňujúce informácie do 15 pracovných dní.
3. Zodpovedná osoba odpovie osobe, ktorá o vyšetrovanie požiadala, najneskôr do troch mesiacov od doručenia žiadosti. Plynutie tejto lehoty sa môže pozastaviť, a to až do času, kým zodpovedná osoba nezíska všetky potrebné informácie, o ktoré žiadala.
4. Nikto nesmie utrpieť ujmu v dôsledku toho, že zodpovednú osobu upozornil na záležitosť, o ktorej sa domnieval, že predstavuje porušenie ustanovení nariadenia (EÚ) 2018/1725.
Článok 12
Správa a riadenie
1. Zodpovedná osoba je na administratívne účely priradená ku generálnemu sekretariátu. V tejto súvislosti sa zodpovedná osoba zúčastňuje na tvorbe ročného plánu riadenia a predbežného návrhu rozpočtu generálneho sekretariátu.
2. Zodpovedná osoba je hodnotiteľom pracovníkov Úradu pre ochranu údajov. Schvaľujúcim úradníkom je zástupca generálneho tajomníka. Zodpovedná osoba sa podľa potreby zúčastňuje na koordinácii riadenia generálneho sekretariátu.
KAPITOLA 5
OBMEDZENIA PRÁV DOTKNUTÝCH OSÔB
Článok 13
Uplatniteľné výnimky a obmedzenia
1. V prípadoch, keď Komisia plní svoje povinnosti týkajúce sa dodržiavania práv dotknutých osôb vyplývajúcich z nariadenia (EÚ) 2018/1725, zváži, či sa neuplatňuje niektorá z výnimiek stanovených v uvedenom nariadení.
2. Komisia môže na základe článkov 14 až 18 tohto rozhodnutia obmedziť uplatňovanie článkov 14 až 17, 19, 20 a 35 nariadenia (EÚ) 2018/1725, ako aj zásadu transparentnosti stanovenú v článku 4 ods. 1 písm. a) uvedeného nariadenia, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam stanoveným v článkoch 14 až 17, 19 a 20 uvedeného nariadenia (EÚ) 2018/1725, ak by výkon týchto práv a povinností ohrozil účel úloh zodpovednej osoby, okrem iného tým, že by došlo k zverejneniu jej nástrojov a metód vyšetrovania alebo auditu alebo k nepriaznivému ovplyvneniu práv a slobôd ostatných dotknutých osôb v súlade s článkom 25 ods. 1 písm. c), g) a h).
3. S výhradou článkov 14 až 18 tohto rozhodnutia môže Komisia obmedziť práva a povinnosti uvedené v odseku 2 tohto článku v súvislosti s osobnými údajmi, ktoré zodpovedná osoba získala od útvarov Komisie alebo iných inštitúcií a orgánov Únie. Komisia tak môže urobiť, ak by uplatňovanie týchto práv a povinností mohlo byť obmedzené týmito útvarmi Komisie a inštitúciami alebo orgánmi Únie na základe iných aktov uvedených v článku 25 nariadenia (EÚ) 2018/1725 alebo v súlade s kapitolou IX uvedeného nariadenia alebo podľa nariadenia Európskeho parlamentu a Rady (EÚ) 2016/794 (6) alebo nariadenia Rady (EÚ) 2017/1939 (7).
Komisia sa pred uplatnením obmedzení za okolností uvedených v prvom pododseku poradí s príslušnými inštitúciami alebo orgánmi Únie, okrem prípadov, keď je Komisii zrejmé, že uplatnenie obmedzenia sa stanovuje v niektorom z aktov uvedených v tomto pododseku.
4. Akékoľvek obmedzenie uplatňovania práv a povinností uvedených v odseku 2 tohto článku musí byť potrebné a primerané s prihliadnutím na riziká pre práva a slobody dotknutých osôb.
Článok 14
Poskytovanie informácií dotknutým osobám
1. Komisia uverejní na svojom webovom sídle oznámenia o ochrane údajov, v ktorých informuje všetky dotknuté osoby o úlohách zodpovednej osoby zahŕňajúcich spracúvanie osobných údajov týchto osôb.
2. Komisia individuálne informuje v primeranom formáte každú fyzickú osobu, ktorú považuje za osobu, ktorej sa týkajú úlohy zodpovednej osoby, alebo za informátora.
3. Ak Komisia úplne alebo čiastočne obmedzí poskytovanie informácií dotknutým osobám uvedeným v odseku 2, zaznamená a zaregistruje dôvody obmedzenia v súlade s článkom 17.
Článok 15
Právo dotknutých osôb na prístup k osobným údajom, právo na vymazanie a právo na obmedzenie spracúvania
1. Ak Komisia úplne alebo čiastočne obmedzí právo dotknutých osôb na prístup k údajom, na vymazanie alebo na obmedzenie spracúvania v zmysle článkov 17, 19, resp. 20 nariadenia (EÚ) 2018/1725, informuje v odpovedi na žiadosť o prístup k údajom, vymazanie alebo obmedzenie spracúvania príslušnú dotknutú osobu o uplatnenom obmedzení a jeho hlavných dôvodoch, ako aj o možnosti podať sťažnosť európskemu dozornému úradníkovi pre ochranu údajov alebo využiť súdny prostriedok nápravy na Súdnom dvore Európskej únie.
2. Poskytovanie informácií o dôvodoch obmedzenia podľa odseku 1 sa môže odložiť, môže sa od neho upustiť alebo sa môže zamietnuť, ak by sa ním narušil účel obmedzenia.
3. Komisia zaznamenáva a registruje všetky dôvody obmedzenia v súlade s článkom 17.
4. Ak je právo na prístup k osobným údajom plne alebo čiastočne obmedzené, dotknutá osoba môže uplatniť svoje právo na prístup prostredníctvom európskeho dozorného úradníka pre ochranu údajov v súlade s článkom 25 ods. 6, 7 a 8 nariadenia (EÚ) 2018/1725.
Článok 16
Oznámenie porušenia ochrany osobných údajov dotknutej osobe
Ak Komisia obmedzí oznamovanie prípadov porušenia ochrany osobných údajov dotknutej osobe tak, ako je to uvedené v článku 35 nariadenia (EÚ) 2018/1725, zaznamená a zaregistruje dôvody obmedzenia v súlade s článkom 17 tohto rozhodnutia.
Článok 17
Zaznamenávanie a registrovanie obmedzení
1. Komisia zaznamená dôvody každého obmedzenia uplatneného podľa tohto rozhodnutia vrátane individuálneho posúdenia potreby a primeranosti obmedzenia s prihliadnutím na príslušné skutočnosti obsiahnuté v článku 25 ods. 2 nariadenia (EÚ) 2018/1725.
Na tento účel príslušný záznam obsahuje informácie o tom, akým spôsobom by výkon práva ohrozil účel úloh zodpovednej osoby podľa tohto rozhodnutia alebo účel obmedzení uplatnených na základe článku 13 ods. 2 alebo 3, alebo by nepriaznivo ovplyvnil práva a slobody ostatných dotknutých osôb.
2. Uvedený záznam a v náležitých prípadoch aj dokumenty obsahujúce súvisiace faktické a právne prvky sa zaregistrujú. Na požiadanie sa sprístupnia európskemu dozornému úradníkovi pre ochranu údajov.
Článok 18
Trvanie obmedzení
1. Obmedzenia uvedené v článkoch 14, 15 a 16 sa uplatňujú dovtedy, kým trvajú dôvody, ktoré ich opodstatňujú.
2. Ak dôvody na obmedzenie uvedené v článku 14 alebo 16 už neplatia, Komisia zruší obmedzenie a informuje dotknutú osobu o dôvodoch príslušného obmedzenia. Komisia zároveň informuje dotknutú osobu o možnosti kedykoľvek podať sťažnosť európskemu dozornému úradníkovi pre ochranu údajov alebo o možnosti využiť opravný prostriedok na Súdnom dvore Európskej únie.
3. Komisia preskúma uplatňovanie obmedzení uvedených v článkoch 14 a 16 každých šesť mesiacov od ich prijatia a v každom prípade pri skončení príslušnej činnosti zodpovednej osoby. Komisia takisto každoročne sleduje, či treba obmedzenie alebo odklad zachovať.
Článok 19
Preskúmanie zodpovednou osobou
1. Ak iné útvary Komisie dospejú k záveru, že práva dotknutej osoby by sa mali obmedziť podľa tohto rozhodnutia, informujú o tom zodpovednú osobu. Zodpovednej osobe poskytnú aj prístup k záznamu a všetkým dokumentom obsahujúcim základné faktické a právne prvky.
2. Zodpovedná osoba môže požiadať, aby delegovaný prevádzkovateľ príslušného útvaru Komisie preskúmal uplatňovanie obmedzení. Delegovaný prevádzkovateľ Komisie písomne informuje zodpovednú osobu o výsledku požadovaného preskúmania.
KAPITOLA 6
ZÁVEREČNÉ USTANOVENIA
Článok 20
Zrušenie
Rozhodnutie 2008/597/ES sa zrušuje.
Článok 21
Nadobudnutie účinnosti
Toto rozhodnutie nadobúda účinnosť dvadsiatym dňom po jeho uverejnení v Úradnom vestníku Európskej únie.
V Bruseli 3. júla 2020
Za Komisiu
predsedníčka
Ursula VON DER LEYEN
(1) Ú. v. EÚ L 295, 21.11.2018, s. 39.
(2) SEC(2019)900/2.
(3) Rozhodnutie Komisie 2008/597/ES z 3. júna 2008 o prijatí vykonávacích pravidiel, ktoré sa týkajú úradníka pre ochranu údajov v zmysle článku 24 ods. 8 nariadenia (ES) č. 45/2001 o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi Spoločenstva a o voľnom pohybe takýchto údajov (Ú. v. EÚ L 193, 22.7.2008, s. 7).
(4) Nariadenie Európskeho parlamentu a Rady (ES) č. 45/2001 z 18. decembra 2000 o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi Spoločenstva a o voľnom pohybe takýchto údajov (Ú. v. ES L 8, 12.1.2001, s. 1).
(5) Nariadenie Európskeho parlamentu a Rady (ES) č. 1049/2001 z 30. mája 2001 o prístupe verejnosti k dokumentom Európskeho parlamentu, Rady a Komisie (Ú. v. ES L 145, 31.5.2001, s. 43).
(6) Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/794 z 11. mája 2016 o Agentúre Európskej únie pre spoluprácu v oblasti presadzovania práva (Europol), ktorým sa nahrádzajú a zrušujú rozhodnutia Rady 2009/371/SVV, 2009/934/SVV, 2009/935/SVV, 2009/936/SVV a 2009/968/SVV (Ú. v. EÚ L 135, 24.5.2016, s. 53).
(7) Nariadenie Rady (EÚ) 2017/1939 z 12. októbra 2017, ktorým sa vykonáva posilnená spolupráca na účely zriadenia Európskej prokuratúry (Ú. v. EÚ L 283, 31.10.2017, s. 1).