ROZHODNUTIE SPRÁVNEJ RADY č. 5/2020

z 21. októbra 2020

o interných predpisoch týkajúcich sa obmedzení určitých práv dotknutých osôb v súvislosti so spracúvaním osobných údajov v rámci činností vykonávaných Agentúrou Európskej únie pre bezpečnosť letectva

SPRÁVNA RADA AGENTÚRY EURÓPSKEJ ÚNIE PRE BEZPEČNOSŤ LETECTVA,

so zreteľom na Zmluvu o fungovaní Európskej únie,

so zreteľom na nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (1), a najmä na jeho článok 25,

So zreteľom na nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1139 zo 4. júla 2018 o spoločných pravidlách v oblasti civilného letectva a o zriadení Agentúry Európskej únie pre bezpečnosť letectva, ktorým sa menia nariadenia (ES) č. 2111/2005 , (ES) č. 1008/2008, (EÚ) č. 996/2010, (EÚ) č. 376/2014 a smernice Európskeho parlamentu a Rady 2014/30/EÚ a 2014/53/EÚ, a ktorým sa rušia nariadenia ( ES) č. 552/2004 a (ES) č. 216/2008 Európskeho parlamentu a Rady a nariadenie Rady (EHS) č. 3922/91 (2), a najmä na jeho na jeho článok 132,

So zreteľom na rokovací poriadok správnej rady Agentúry Európskej únie pre bezpečnosť letectva,

Po konzultácii s európskym dozorným úradníkom pre ochranu údajov,

Po informovaní výboru zamestnancov,

keďže:

(1)

Agentúra Európskej únie pre bezpečnosť letectva (EASA) je splnomocnená vykonávať administratívne vyšetrovania, úkony pred začatím disciplinárneho konania, disciplinárne konania a konania o pozastavení výkonu funkcie v súlade so Služobným poriadkom úradníkov Európskej únie a Podmienkami zamestnávania ostatných zamestnancov Európskej únie stanovenými v nariadení Rady (EHS, Euratom, ESUO) č. 259/68 (ďalej len „služobný poriadok“) (3), ako aj rozhodnutím výkonného riaditeľa EASA č. 2011/216/E zo 16. decembra 2011, ktorým sa prijímajú vykonávacie ustanovenia týkajúce sa vedenia správnych vyšetrovaní a disciplinárnych konaní. Ak je to potrebné, informuje o prípadoch aj OLAF.

(2)

Zamestnanci EASA sú povinní nahlasovať možné nelegálne činnosti vrátane podvodov a korupcie, ktoré poškodzujú záujmy Únie. Zamestnanci sú povinní oznamovať aj konanie týkajúce sa výkonu služobných povinností, ktoré môže predstavovať vážne porušenie povinností úradníkov Únie. Upravuje sa to v rozhodnutí správnej rady 2018-15 zo 14. decembra 2018.

(3)

EASA zaviedla politiku na účinné predchádzanie skutočným alebo potenciálnym prípadom psychického alebo sexuálneho obťažovania na pracovisku a ich riešenie, ako sa stanovuje v rozhodnutí EASA č. 2008/180/A výkonného riaditeľa EASA z 5. augusta 2009, ktorým sa prijímajú vykonávacie opatrenia v súlade so služobným poriadkom.

(4)	Rozhodnutie ustanovuje neformálny postup, ktorým sa údajná obeť obťažovania môže obrátiť na „dôverných“ poradcov agentúry EASA.

(5)	EASA môže takisto viesť vyšetrovania potenciálnych porušení bezpečnostných pravidiel pre utajované informácie Európskej únie na základe rozhodnutia EASA č. 2020/010/ED výkonného riaditeľa EASA zo 17. februára 2020 o bezpečnostných pravidlách EASA na ochranu utajovaných skutočností Európskej únie.

(6)	Činnosť EASA podlieha vnútorným aj vonkajším auditom.

(7)	V súvislosti s takýmito administratívnymi vyšetrovaniami, auditmi a vyšetrovaniami EASA spolupracuje s inými inštitúciami, orgánmi, úradmi a agentúrami Únie

(8)	EASA môže na požiadanie alebo z vlastnej iniciatívy spolupracovať s vnútroštátnymi orgánmi tretích krajín a medzinárodnými organizáciami.

(9)	EASA môže takisto na požiadanie alebo z vlastnej iniciatívy spolupracovať s verejnými orgánmi členských štátov EÚ.

(10)

EASA sa zúčastňuje na konaniach pred Súdnym dvorom Európskej únie, v prípade, že buď predloží vec Súdnemu dvoru, obhajuje rozhodnutie, ktoré prijal a ktoré bolo pred Súdnym dvorom napadnuté, alebo zasahuje vo veciach, ktoré sú pre jeho úlohy relevantné. V tejto súvislosti môže EASA potrebovať zachovať dôvernosť osobných údajov obsiahnutých v dokumentoch, ktoré získali účastníci konania alebo vedľajší účastníci konania.

(11)	Agentúra EASA je splnomocnená vykonávať inšpekcie, iné monitorovacie činnosti a vyšetrovania v súlade s článkom 75 ods. 2 písm. E) nariadenia (EÚ) 2018/1139.

(12)	EASA je splnomocnená na vykonávanie bezpečnostných vyšetrovaní IT, ktoré sa vedú interne alebo s externým zapojením (napr. CERT-EU) v súlade s článkom 75 ods. 2 písm. D) nariadenia (EÚ) 2018/1139.

(13)	Úradník pre ochranu údajov EASA (ďalej len „DPO“) je splnomocnená spracúvať interné a externé sťažnosti a vykonávať interné audity a vyšetrovania v súlade s článkom 45 ods. 2 nariadenia (EÚ) 2018/1725 (ďalej len „nariadenie“).

(14)

Na plnenie svojich úloh agentúra EASA zhromažďuje a spracúva informácie a niekoľko kategórií osobných údajov vrátane identifikačných údajov fyzických osôb, kontaktných informácií, profesionálnych rolí a úloh, informácií o súkromnom a profesionálnom správaní a výkonnosti a finančných údajov. Agentúra EASA plní funkciu správcu údajov.

(15)	Podľa nariadenia je preto EASA povinná poskytnúť dotknutým osobám informácie o týchto spracovateľských činnostiach a rešpektovať ich práva ako dotknutých osôb.

(16)

Od EASA sa môže vyžadovať, aby tieto práva zosúladila s cieľmi administratívnych vyšetrovaní, auditov, vyšetrovaní a súdnych konaní. Okrem toho môže byť potrebné vyvážiť práva dotknutej osoby a základné práva a slobody iných dotknutých osôb. Na tento účel sa v článku 25 nariadenia poskytuje EASA možnosť, s výhradou splnenia prísnych podmienok, obmedziť uplatňovanie článkov 14 až 22, článkov 35 a 36, ako aj článku 4 nariadenia, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam stanoveným v článkoch 14 až 20. Pokiaľ nie sú obmedzenia ustanovené v právnom akte prijatom na základe zmlúv, je potrebné prijať interné predpisy, podľa ktorých má EASA právo tieto práva obmedziť.

(17)

EASA môže napríklad potrebovať obmedziť informácie, ktoré poskytuje dotknutej osobe o spracúvaní jej osobných údajov vo fáze predbežného posúdenia administratívneho vyšetrovania alebo počas samotného vyšetrovania, pred možným odmietnutím prípadu alebo vo fáze pred začatím disciplinárneho konania. Za určitých okolností môže poskytnutie takýchto informácií vážne ovplyvniť schopnosť EASA účinne viesť vyšetrovanie, a to napríklad keď existuje riziko, že dotknutá osoba by mohla zničiť dôkazy alebo ovplyvniť možných svedkov pred ich vypočutím. EASA môže takisto potrebovať chrániť práva a slobody svedkov, ako aj práva a slobody iných zúčastnených osôb.

(18)

Môže byť potrebné chrániť anonymnosť svedka alebo oznamovateľa protispoločenskej činnosti, ktorý požiadal o utajenie svojej identity. V takomto prípade sa EASA môže rozhodnúť obmedziť prístup k identifikačným údajom, vyhláseniam alebo iným osobným údajom takýchto osôb s cieľom chrániť ich práva a slobody.

(19)

Môže byť potrebné chrániť dôverné informácie týkajúce sa zamestnanca, ktorý kontaktoval dôverných poradcov EASA v kontexte postupu riešenia prípadu obťažovania. V takýchto prípadoch EASA môže potrebovať obmedziť prístup k identifikačným údajom, vyhláseniam alebo iným osobným údajom údajnej obete a iných dotknutých osôb s cieľom chrániť práva a slobody všetkých dotknutých osôb.

(20)	EASA by mala uplatňovať obmedzenia len v prípadoch, keď rešpektujú podstatu základných práv a slobôd, sú nevyhnutne potrebné a sú primeraným opatrením v demokratickej spoločnosti. EASA by mala poskytovať dôvody vysvetľujúce odôvodnenie uloženia takýchto obmedzení.

(21)	V rámci uplatňovania zásady zodpovednosti by EASA mala uchovávať záznamy o uplatňovaní obmedzení.

(22)	Pri spracúvaní osobných údajov vymieňaných s inými organizáciami v kontexte svojich úloh by EASA a tieto organizácie mali navzájom konzultovať možné dôvody na uloženie obmedzení a nevyhnutnosť a primeranosť týchto obmedzení, pokiaľ sa tým neohrozia činnosti vykonávané EASA.

(23)	V článku 25 ods. 6 nariadenia sa ukladá prevádzkovateľovi povinnosť informovať dotknuté osoby o hlavných dôvodoch, na základe ktorých sa obmedzenie uplatňuje, a o ich práve podať sťažnosť EDPS.

(24)

V súlade s článkom 25 ods. 8 nariadenia je EASA oprávnená poskytnutie informácií o dôvodoch uplatnenia obmedzenia dotknutej osobe odložiť, môže od neho upustiť alebo ho môže zamietnuť, ak by sa poskytnutím informácií zrušil účinok tohto obmedzenia. EASA by mala v jednotlivých prípadoch posúdiť, či by sa oznámením o uplatňovaní obmedzenia zrušil jeho účinok.

(25)	EASA by mala obmedzenie zrušiť, hneď ako podmienky odôvodňujúce jeho uplatňovanie prestanú platiť, a tieto podmienky pravidelne posudzovať

(26)	Na účely zabezpečenia čo možno najväčšej miery ochrany práv a slobôd dotknutých osôb a v súlade s článkom 44 ods. 1 nariadenia by zodpovedná osoba mala byť včas konzultovaná o všetkých obmedzeniach, ktoré sa môžu uplatňovať a malo by sa overiť dodržiavanie ich súladu s týmto rozhodnutím.

(27)	V článku 16 ods. 5 a článku 17 ods. 4 nariadenia sa stanovujú výnimky z práva dotknutých osôb na informácie a práva na prístup. Ak sa tieto výnimky uplatňujú, EASA nemusí uplatňovať obmedzenie podľa tohto rozhodnutia.

PRIJALA TOTO ROZHODNUTIE:

Článok 1

Predmet úpravy a rozsah pôsobnosti

1. Týmto rozhodnutím sa stanovujú pravidlá týkajúce sa podmienok, za ktorých môže EASA na základe článku 25 nariadenia obmedziť uplatňovanie článkov 4, 14 až 22, 35 a 36.

2. Agentúru EASA ako kontrolóra zastupuje jej výkonný riaditeľ.

Článok 2

Obmedzenia

1. EASA môže obmedziť uplatňovanie článkov 14 až 22, 35 a 36, ako aj článku 4 nariadenia, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam stanoveným v článkoch 14 až 20:

podľa článku 25 ods. 1 písm. b), c), f), g) a h) nariadenia pri vykonávaní administratívnych vyšetrovaní, pred začatím disciplinárnych konaní, pri vykonávaní disciplinárnych konaní alebo konaní o pozastavení podľa článku 86 a prílohy IX k služobnému poriadku a podľa rozhodnutia výkonného riaditeľa EASA č. 2011/216/E zo 16. decembra 2011 a pri nahlasovaní prípadov úradu OLAF;

(b)	podľa článku 25 ods. 1 písm. h) nariadenia pri zabezpečovaní toho, aby zamestnanci agentúry EASA mohli oznamovať fakty dôverne, ak sa domnievajú, že ide o závažné nezrovnalosti, ako sa uvádza v rozhodnutí správnej rady EASA 15 - 2018 zo 14. decembra 2018;

(c)	podľa článku 25 ods. 1 písm. h) nariadenia pri zabezpečovaní toho, aby zamestnanci agentúry EASA mohli podávať správy dôverným poradcom v rámci obťažovania, ako je definované v rozhodnutí výkonného riaditeľa EASA č. 2008/180/A z 5. augusta 2009;

(d)

podľa článku 25 ods. 1 písm. b), c), d), f), g) ah) pri vyšetrovaní možného porušenia bezpečnostných pravidiel pre utajované skutočnosti Európskej únie (ďalej len „EUCI“) , na základe rozhodnutia EASA č. 2020/010/ED výkonného riaditeľa EASA zo 17. februára 2020 o bezpečnostných pravidlách EASA na ochranu utajovaných skutočností Európskej únie;

(e)	podľa článku 25 ods. 1 písm. c), g) a h) nariadenia pri vykonávaní vnútorných auditov v súvislosti s činnosťami alebo oddeleniami EASA;

(f)

podľa článku 25 ods. 1 písm. c), d), g) a h) nariadenia pri poskytovaní pomoci a spolupráce iným inštitúciám, orgánom, úradom a agentúram Únie alebo jej prijímaní od nich v súvislosti s činnosťami podľa písmen a) až d) tohto odseku a podľa príslušných dohôd o úrovni poskytovaných služieb, memoránd o porozumení a dohôd o spolupráci;

(g)	podľa článku 25 ods. 1 písm. c), g) a h) nariadenia, pri poskytovaní pomoci a spolupráce vnútroštátnym orgánom tretích krajín a medzinárodným organizáciám alebo jej prijímaní od nich, a to buď na ich žiadosť, alebo z vlastnej iniciatívy;

(h)	podľa článku 25 ods. 1 písm. c), g) a h) nariadenia, pri poskytovaní pomoci a spolupráce orgánom verejnej moci členských štátov EÚ alebo jej prijímaní od nich, a to buď na ich žiadosť, alebo z vlastnej iniciatívy;

(i)	podľa článku 25 ods. 1 písm. e) nariadenia, pri spracúvaní osobných údajov v dokumentoch, ktoré získali účastníci konania alebo vedľajší účastníci konania v rámci konania pred Súdnym dvorom Európskej únie;

(j)	podľa článku 25 ods. 1 písm. c), g) a h) nariadenia pri spracúvaní osobných údajov pri vykonávaní inšpekcií, iných monitorovacích činností a vyšetrovaní v súlade s článkom 75 ods. 2 písm. e) nariadenia (EÚ) 2018/1139;

(k)	podľa článku 25 ods. 1 písm. b), c), d), f), g) a h) nariadenia pri spracúvaní osobných údajov pri vykonávaní bezpečnostných vyšetrovaní IT interne alebo s externým zapojením CERT-EU) v súlade s článkom 75 ods. 2 písm. d) nariadenia (EÚ) 2018/1139.

2. Podľa článku 25 ods. 1 písm. b), c), f), g) ah) nariadenia môže úradník pre ochranu údajov obmedziť uplatňovanie článkov 14 až 22, 35 a 36 a článku 4 uvedeného nariadenia. pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam ustanoveným v článkoch 14 až 20 pri spracúvaní interných a externých sťažností a vykonávaní vnútorných auditov a vyšetrovaní v súlade s článkom 45 ods. 2 nariadenia.

3. Každé obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti.

4. Pred uplatnením obmedzení sa v jednotlivých prípadoch vykoná test nevyhnutnosti a primeranosti. Obmedzenia sa vzťahujú výhradne na to, čo je nevyhnutné na dosiahnutie ich cieľa.

5. Na účely zodpovednosti EASA vypracuje záznam s opisom dôvodov uplatňovaných obmedzení, ktoré sa uplatňujú z dôvodov uvedených v odseku 1, a výsledok testu nevyhnutnosti a primeranosti. Tieto záznamy sú súčasťou registra, ktorý sa na požiadanie sprístupní EDPS. EASA pravidelne vypracúva správy o uplatňovaní článku 25 nariadenia.

6. Pri spracúvaní osobných údajov prijímaných od iných organizácií v kontexte svojich úloh EASA konzultuje s týmto organizáciami o možných dôvodoch na uloženie obmedzení, ako aj o nevyhnutnosti a primeranosti dotknutých obmedzení, pokiaľ sa tým neohrozia činnosti vykonávané EASA.

Článok 3

Riziká pre práva a slobody dotknutých osôb

1. Posúdenia rizík pre práva a slobody dotknutých osôb vyplývajúcich z uloženia obmedzení a podrobné údaje o období uplatňovania týchto obmedzení sa evidujú v záznamoch o pracovateľských činnostiach, ktoré vedie EASA podľa článku 31 nariadenia. Okrem toho sa zaznamenajú vo všetkých posúdeniach vplyvu na ochranu údajov, ktoré sa týkajú týchto obmedzení vykonaných podľa článku 39 nariadenia.

2. EASA pri posudzovaní nevyhnutnosti a primeranosti obmedzenia vždy zváži možné riziká pre práva a slobody dotknutej osoby.

Článok 4

Záruky a obdobia uchovávania

1. EASA zavedie záruky na predchádzanie zneužívaniu osobných údajov a nezákonnému prístupu k nim, ktoré podliehajú alebo môžu podliehať obmedzeniam. Takéto záruky zahŕňajú technické a organizačné opatrenia a sú podľa potreby podrobne opísané v interných rozhodnutiach, postupoch a vo vykonávacích pravidlách EASA. Tieto záruky zahŕňajú:

(a)	jasné vymedzenie úloh, zodpovedností a procesných krokov;

(b)	ak je to vhodné, bezpečné elektronické prostredie, ktoré zabráni nezákonnému a náhodnému prístupu alebo prenosu elektronických údajov neoprávneným osobám;

(c)	ak je to vhodné, bezpečné uskladnenie a spracovanie papierových dokumentov;

(d)	náležité monitorovanie obmedzení a pravidelné preskúmanie ich uplatňovania.

Preskúmania uvedené v písmene d) sa vykonávajú minimálne každých šesť mesiacov.

2. Obmedzenia sa zrušia, len čo prestanú existovať okolnosti, na základe ktorých boli zavedené.

3. Osobné údaje sa uchovávajú v súlade s príslušnými pravidlami uchovávania údajov EASA, ktoré sa vymedzia v záznamoch o ochrane údajov vedených podľa článku 31 nariadenia. Na konci obdobia uchovávania sa osobné údaje vymažú, anonymizujú alebo prenesú do archívov v súlade s článkom 13 nariadenia.

Článok 5

Zapojenie zodpovednej osoby

1. Zodpovedná osoba sa bez zbytočného odkladu informuje vždy, keď sa v súlade s týmto rozhodnutím obmedzujú práva dotknutých osôb. Poskytne sa jej prístup k súvisiacim záznamom a ku všetkým dokumentom týkajúcim sa skutkového alebo právneho kontextu.

2. Zodpovedná osoba EASA môže požiadať o preskúmanie uplatňovania obmedzenia. EASA písomne informuje svoju zodpovednú osobu o výsledku preskúmania.

3. EASA zdokumentuje zapojenie zodpovednej osoby pri uplatňovaní obmedzení, ako aj informácie, ktoré jej boli poskytnuté.

Článok 6

Poskytovanie informácií dotknutým osobám o obmedzeniach ich práv

1. EASA zahrnie do oznámení o ochrane údajov, ktoré zverejňuje na svojom webovom sídle/intranete, časť, v rámci ktorej poskytne dotknutým osobám všeobecné informácie o možnosti obmedzenia práv dotknutých osôb podľa článku 2 ods. 1 Ide o informácie o tom, ktoré práva môžu byť obmedzené, dôvodoch, na základe ktorých sa obmedzenia môžu uplatniť a o ich možnom trvaní.

2. EASA informuje dotknuté osoby o prebiehajúcich alebo budúcich obmedzeniach ich práv individuálne, písomne a bez zbytočného odkladu. EASA informuje dotknutú osobu o hlavných dôvodoch, na základe ktorých sa obmedzenie uplatňuje, o jej práve konzultovať so zodpovednou osobou s cieľom napadnúť obmedzenie a o jej práve podať sťažnosť EDPS.

3. EASA môže poskytnutie informácií o dôvodoch uplatnenia obmedzenia a o práve podať sťažnosť EDPS odložiť, môže od neho upustiť alebo ho môže zamietnuť, ak by sa ním zrušil účinok tohto obmedzenia. Posúdenie toho, či by to bolo odôvodnené, sa uskutočňuje od prípadu k prípadu. EASA poskytne dotknutej osobe tieto informácie hneď ako sa ich poskytnutím už nebude rušiť účinok obmedzenia.

Článok 7

Oznámenie porušenia ochrany osobných údajov dotknutej osobe

1. Ak má EASA povinnosť oznámiť porušenie ochrany údajov podľa článku 35 ods. 1 nariadenia, môže takéto oznámenie za výnimočných okolností úplne alebo čiastočne obmedziť. V poznámke uvedie dôvody obmedzenia, jeho právny základ podľa článku 2 a posúdenie jeho nevyhnutnosti a primeranosti. O tejto poznámke sa informuje EDPS v čase oznámenia porušenia ochrany osobných údajov.

2. Ak dôvody na obmedzenie prestanú platiť, EASA oznámi porušenie ochrany osobných údajov príslušnej dotknutej osobe a informuje dotknutú osobu o hlavných dôvodoch tohto obmedzenia a o jej práve podať sťažnosť EDPS.

Článok 8

Dôvernosť elektronických komunikácií

1. Za výnimočných okolností môže EASA obmedziť právo na dôvernosť elektronických komunikácií podľa článku 36 nariadenia. Takéto obmedzenia budú v súlade so smernicou Európskeho parlamentu a Rady 2002/58/ES (4).

2. Ak EASA obmedzí právo na dôvernosť elektronických komunikácií, informuje dotknutú osobu vo svojej odpovedi na akúkoľvek žiadosť dotknutej osoby o hlavných dôvodoch, na základe ktorých sa obmedzenie uplatňuje, a o jej práve podať sťažnosť EDPS.

Článok 9

Nadobudnutie účinnosti

Toto rozhodnutie nadobúda účinnosť dvadsiatym dňom po jeho uverejnení v Úradnom vestníku Európskej únie.

Vo Varšave 21. októbra 2020

Piotr SAMSON

Predseda správnej rady

(1) Ú. v. EÚ L 295, 21.11.2018, s. 39.

(2) Ú. v. EÚ L 212, 22.8.2018, s. 1.

(3) Nariadenie Rady (EHS, Euratom, ESUO) č. 259/68 z 29. februára 1968, ktorým sa ustanovuje Služobný poriadok úradníkov a podmienky zamestnávania ostatných zamestnancov Európskych spoločenstiev a ktorým sa zavádzajú osobitné opatrenia dočasne uplatniteľné na úradníkov Komisie ( Ú. V. ES L 56, 4.3.1968, s. 1).

(4) Smernica Európskeho parlamentu a Rady2002/58/ES z 12. júla 2002, týkajúca sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 31.7.2002, s. 37).