ROZHODNUTIE KOMISIE (EÚ) 2021/2243

z 15. decembra 2021,

ktorým sa stanovujú vnútorné pravidlá týkajúce sa poskytovania informácií dotknutým osobám a obmedzenia niektorých ich práv v súvislosti so spracúvaním osobných údajov na účely bezpečnosti informačných a komunikačných systémov Komisie

EURÓPSKA KOMISIA,

so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 249 ods. 1,

keďže:

(1)

Komisia je pri plnení svojich úloh povinná rešpektovať práva fyzických osôb súvisiace so spracúvaním osobných údajov, priznané v článku 8 ods. 1 Charty základných práv Európskej únie a v článku 16 ods. 1 Zmluvy o fungovaní Európskej únie. Musí takisto rešpektovať práva stanovené v nariadení Európskeho parlamentu a Rady (EÚ) 2018/1725 (1). Komisia musí zároveň riešiť incidenty v oblasti bezpečnosti informačných technológií v súlade s pravidlami stanovenými v článku 15 rozhodnutia (EÚ, Euratom) 2017/46 (2).

(2)

Komisia, najmä prostredníctvom svojho Generálneho riaditeľstva pre informatiku, prijala opatrenia stanovené v rozhodnutí (EÚ, Euratom) 2017/46 a v rozhodnutí C(2017) 8841 (3) s cieľom zaistiť bezpečnosť informačných technológií, teda zachovanie dôvernosti, integrity a dostupnosti komunikačných a informačných systémov a súborov údajov, ktoré spracúvajú, týkajúcich sa osôb, aktív a informácií. K uvedeným opatreniam patrí monitorovanie bezpečnostných rizík v oblasti informačných technológií a zavedených bezpečnostných opatrení v oblasti informačných technológií, ktorými sa vyžaduje od vlastníkov systémov prijímať osobitné bezpečnostné opatrenia v oblasti informačných technológií s cieľom zmierniť bezpečnostné riziká v oblasti informačných technológií pre komunikačné a informačné systémy Komisie a riešiť incidenty v oblasti bezpečnosti informačných technológií.

(3)

Generálne riaditeľstvo pre informatiku zabezpečuje pre Komisiu operácie a služby v oblasti bezpečnosti informačných technológií a musí spracúvať viaceré kategórie osobných údajov, aby mohlo:

—	oznamovať upozornenia a varovania súvisiace s udalosťami a incidentmi v oblasti bezpečnosti informačných technológií,

—	reagovať na udalosti a incidenty v oblasti bezpečnosti informačných technológií a zabrániť ich šíreniu,

—	uľahčovať používanie nástrojov a operácie prostredníctvom bezpečnostných auditov, bezpečnostných hodnotení a riadenia zraniteľnosti,

—	zvyšovať informovanosť zamestnancov Komisie v oblasti kybernetickej bezpečnosti,

—	monitorovať a zisťovať výskyt udalostí a incidentov v oblasti bezpečnosti informačných technológií a predchádzať im,

—	preverovať privilegované používateľské kontá.

(4)	Incidenty v oblasti bezpečnosti informačných technológií, ktoré by mohli narušiť bezpečnosť informačných a komunikačných systémov Komisie, sa môžu vyskytnúť pri akejkoľvek operácii spracúvania údajov vykonávanej Komisiou. Môžu sa týkať akejkoľvek kategórie osobných údajov spracúvaných Komisiou.

(5)

Za určitých okolností môže byť potrebné zosúladiť práva dotknutých osôb podľa nariadenia (EÚ) 2018/1725 s potrebou Komisie účinne vykonávať svoje úlohy týkajúce sa zaistenia bezpečnosti osôb, majetku a informácií v oblasti informačných technológií v Komisii podľa rozhodnutia (EÚ, Euratom) 2017/46, a to pri plnom dodržiavaní základných práv a slobôd iných dotknutých osôb. Článok 25 ods. 1 nariadenia (EÚ) 2018/1725 povoľuje Komisii na tento účel obmedziť uplatňovanie článkov 14 až 17 a článkov 19, 20 a 35 uvedeného nariadenia, ako aj zásadu transparentnosti stanovenú v jeho článku 4 ods. 1 písm. a), pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam stanoveným v článkoch 14 až 17 a článkoch 19 a 20 uvedeného nariadenia.

(6)

Toto rozhodnutie by sa malo vzťahovať na všetky operácie spracúvania údajov, ktoré vykonáva Komisia ako prevádzkovateľ pri plnení svojich úloh s cieľom zaistiť bezpečnosť osôb, majetku a informácií v oblasti informačných technológií v Komisii v súlade s rozhodnutím (EÚ, Euratom) 2017/46. Malo by sa preto týkať dotknutých osôb tých kategórií osobných údajov, na ktoré sa vzťahujú všetky tieto operácie spracúvania údajov, t. j. na jednotlivcov, ktorí interagujú s informačnými a komunikačnými systémami Komisie.

(7)

Osobné údaje sa uchovávajú v zabezpečenom elektronickom prostredí s cieľom zabrániť nezákonnému prístupu osôb mimo Komisie. Na rôzne operácie spracúvania údajov sa vzťahujú rôzne obdobia uchovávania údajov v závislosti od typu príslušných osobných údajov. Uchovávanie spisov v rámci Komisie sa riadi spoločným zoznamom pre uchovávanie spisov na úrovni Komisie [SEC(2019) 900], regulačným dokumentom vo forme harmonogramu uchovávania, ktorý stanovuje lehoty uchovávania pre rôzne druhy súborov Komisie, aby sa uchovávanie údajov obmedzilo na nevyhnutnú mieru.

(8)

Komisia by mohla byť nútená obmedziť uplatňovanie práv dotknutých osôb s cieľom zabezpečiť svoju vnútornú bezpečnosť v súlade s článkom 25 ods. 1 písm. d) nariadenia (EÚ) 2018/1725 (t. j. zachovať dôvernosť, integritu a dostupnosť svojich komunikačných a informačných systémov a súborov údajov, svojich aktív a informácií). Komisia by mohla takto konať najmä pri:

—	oznamovaní upozornení a varovaní súvisiacich s udalosťami a incidentmi v oblasti bezpečnosti informačných technológií,

—	reagovaní na udalosti a incidenty v oblasti bezpečnosti informačných technológií a pri bránení ich šíreniu, uľahčovaní používania nástrojov a operácií prostredníctvom bezpečnostných auditov, bezpečnostných hodnotení a riadenia zraniteľnosti,

—	zvyšovaní informovanosti zamestnancov Komisie v oblasti kybernetickej bezpečnosti,

—	monitorovaní a zisťovaní výskytu udalostí a incidentov v oblasti bezpečnosti informačných technológií a pri predchádzaní takýmto udalostiam a incidentom,

—	preverovaní privilegovaných používateľských kont.

(9)

Na účel riešenia incidentov v oblasti bezpečnosti informačných technológií, ako sa uvádza v článku 15 rozhodnutia (EÚ, Euratom) 2017/46, si Generálne riaditeľstvo pre informatiku môže vymieňať informácie s tímom reakcie na kybernetické útoky Generálneho riaditeľstva zodpovedného za ľudské zdroje a bezpečnosť.

(10)

Komisia by mala v záujme dodržiavania súladu s článkami 14, 15 a 16 nariadenia (EÚ) 2018/1725 informovať všetkých jednotlivcov o činnostiach, ktoré zahŕňajú spracúvanie ich osobných údajov a ktoré ovplyvňujú ich práva. Mala by tak konať transparentným a súdržným spôsobom v podobe oznámenia o ochrane osobných údajov na webovom sídle Komisie. V prípade potreby by mala uplatniť ďalšie záruky, aby informovala dotknuté osoby jednotlivo a vo vhodnej forme.

(11)

V súlade s článkami 14, 15 a 16 nariadenia (EÚ) 2018/1725 by mohla odhaliť existenciu bezpečnostných opatrení, zraniteľností alebo incidentov v oblasti informačných technológií podľa článku 15 rozhodnutia (EÚ, Euratom) 2017/46. Odhalenie týchto bezpečnostných opatrení, zraniteľností alebo incidentov v oblasti informačných technológií zvyšuje riziko obchádzania takéhoto odhaleného bezpečnostného opatrenia v oblasti informačných technológií, zneužitia odhalenej zraniteľnosti a narušenia prebiehajúcej analýzy incidentu v oblasti informačných technológií, pretože používateľ alebo škodlivý subjekt môže náhodne alebo úmyselne manipulovať s artefaktmi. Mohlo by to závažne narušiť schopnosť Komisie zaisťovať svoju bezpečnosť informačných technológií, a najmä účinne riešiť incidenty v oblasti bezpečnosti informačných technológií v budúcnosti.

(12)

Podľa článku 25 ods. 1 písm. h) nariadenia (EÚ) 2018/1725 Komisia môže obmedziť aj uplatňovanie práv dotknutých osôb s cieľom chrániť práva a slobody iných jednotlivcov v súvislosti s incidentmi v oblasti bezpečnosti informačných technológií, ktoré by mohli oslabiť operácie v oblasti bezpečnosti informačných technológií.

(13)

Komisia môže byť nútená obmedziť poskytovanie informácií dotknutým osobám a výkon iných práv dotknutých osôb v súvislosti s osobnými údajmi získanými od krajín mimo EÚ alebo medzinárodných organizácií s cieľom plniť svoju úlohu spolupráce s uvedenými krajinami alebo organizáciami. Patrí to k úlohe Komisie zaručiť dosiahnutie dôležitého cieľa, ktorým je všeobecný verejný záujem EÚ, ako sa uvádza v článku 25 ods. 1 písm. c) nariadenia (EÚ) 2018/1725. Za určitých okolností však môže záujem základných práv dotknutej osoby prevážiť nad záujmom medzinárodnej spolupráce.

(14)

Komisia preto určila dôvody uvedené v článku 25 ods. 1 písm. c), d), a h) nariadenia (EÚ) 2018/1725 ako dôvody na obmedzenia, ktoré môže byť potrebné uplatniť pri operáciách spracúvania údajov vykonávaných Generálnym riaditeľstvom pre informatiku súvisiacich s poskytovaním operácií a služieb v oblasti bezpečnosti informačných technológií Komisii.

(15)	Akékoľvek obmedzenie uplatňované podľa tohto rozhodnutia by malo byť nutné a primerané s prihliadnutím na riziká pre práva a slobody dotknutých osôb.

(16)	Komisia by mala so všetkými obmedzeniami zaobchádzať transparentne a každé uplatnenie obmedzení registrovať v príslušnom systéme záznamov.

(17)

Podľa článku 25 ods. 8 nariadenia (EÚ) 2018/1725 môžu prevádzkovatelia poskytnutie informácií odložiť, upustiť od neho alebo ho zamietnuť z dôvodu uplatnenia obmedzenia voči dotknutej osobe, ak by poskytnutie týchto informácií akýmkoľvek spôsobom narúšalo účinok obmedzenia. Platí to najmä v prípade obmedzenia povinností stanovených v článkoch 16 a 35 nariadenia (EÚ) 2018/1725. Komisia by mala pravidelne preskúmavať uložené obmedzenia s cieľom zabezpečiť, že práva dotknutej osoby na informácie v súlade s článkami 16 a 35 nariadenia (EÚ) 2018/1725 sú obmedzené len dovtedy, kým sú takéto obmedzenia nevyhnutné na to, aby Komisia mohla zaistiť svoju bezpečnosť informačných technológií, a najmä riešiť incidenty v oblasti bezpečnosti informačných technológií.

(18)	Ak Komisia obmedzí uplatňovanie iných práv dotknutých osôb, ako sú práva uvedené v článkoch 16 a 35 nariadenia (EÚ) 2018/1725, prevádzkovateľ by mal pri každom prípade jednotlivo posúdiť, či by oznámenie obmedzenia nenarúšalo svoj účel.

(19)	Zodpovedná osoba Komisie pre ochranu údajov by mala nezávisle preskúmať uplatňovanie obmedzení s cieľom zabezpečiť súlad s týmto rozhodnutím.

(20)	Aby Komisia mohla okamžite obmedziť uplatňovanie určitých práv a povinností v súlade s článkom 25 nariadenia (EÚ) 2018/1725, toto rozhodnutie by malo nadobudnúť účinnosť dvadsiatym dňom po jeho uverejnení v Úradnom vestníku Európskej únie.

(21)	Európsky dozorný úradník pre ochranu údajov vydal stanovisko 16. septembra 2021,

PRIJALA TOTO ROZHODNUTIE:

Článok 1

Predmet úpravy a rozsah pôsobnosti

1. Toto rozhodnutie stanovuje pravidlá, ktoré musí Komisia dodržiavať počas vykonávania svojich úloh v súlade s rozhodnutím (EÚ, Euratom) 2017/46 pri informovaní dotknutých osôb o spracúvaní ich osobných údajov v súlade s článkami 14, 15 a 16 nariadenia (EÚ) 2018/1725.

Stanovuje aj podmienky, za ktorých môže Komisia počas vykonávania svojich úloh podľa rozhodnutia (EÚ, Euratom) 2017/46 obmedziť použitie článku 4, článkov 14 až 17 a článkov 19, 20 a 35 nariadenia (EÚ) 2018/1725 v súlade s článkom 25 ods. 1 písm. c), d) a h) uvedeného nariadenia.

2. Toto rozhodnutie sa vzťahuje na spracúvanie osobných údajov buď Komisiou, alebo v jej mene na účel činností vykonávaných v záujme zaistenia bezpečnosti osôb, majetku a informácií v oblasti informačných technológií v Komisii podľa rozhodnutia (EÚ, Euratom) 2017/46 alebo vo vzťahu k týmto činnostiam.

Článok 2

Uplatniteľné výnimky a obmedzenia

1. Ak Komisia vykonáva svoje povinnosti so zreteľom na práva dotknutých osôb podľa nariadenia (EÚ) 2018/1725, posudzuje, či sa uplatňujú akékoľvek výnimky stanovené v uvedenom nariadení.

2. Na základe článkov 3 až 7 tohto rozhodnutia, ak by výkon práv a povinností stanovených v článkoch 14 až 17 a článkoch 19, 20 a 35 nariadenia (EÚ) 2018/1725 vo vzťahu k osobným údajom spracúvaným Komisiou narušil účel poskytovania operácií a služieb v oblasti bezpečnosti informačných technológií, okrem iného aj tým, že by došlo k odhaleniu vyšetrovacích nástrojov, zraniteľností a metód Komisie alebo k nepriaznivému ovplyvneniu práv, slobôd a bezpečnosti iných dotknutých osôb, najmä v prípade spracúvania osobných údajov s cieľom:

—	oznamovať upozornenia a varovania súvisiace s udalosťami a incidentmi v oblasti bezpečnosti informačných technológií,

—	reagovať na udalosti a incidenty v oblasti bezpečnosti informačných technológií a zabrániť ich šíreniu,

—	uľahčovať používanie nástrojov a operácie prostredníctvom bezpečnostných auditov, bezpečnostných hodnotení a riadenia zraniteľnosti,

—	zvyšovať informovanosť zamestnancov Komisie v oblasti kybernetickej bezpečnosti,

—	monitorovať a zisťovať výskyt udalostí a incidentov v oblasti bezpečnosti informačných technológií a predchádzať im,

—	preverovať privilegované používateľské kontá,

môže Komisia obmedziť uplatňovanie:

a)	článkov 14 až 17 a článkov 19, 20 a 35 nariadenia (EÚ) 2018/1725;

b)	zásady transparentnosti stanovenej v článku 4 ods. 1 písm. a) nariadenia (EÚ) 2018/1725, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam stanoveným v článkoch 14 až 17 a článkoch 19 a 20 nariadenia (EÚ) 2018/1725.

Komisia tak môže konať v súlade s článkom 25 ods. 1 písm. c), d) a h) nariadenia (EÚ) 2018/1725.

3. S výhradou článkov 3 až 7 môže Komisia obmedziť práva a povinnosti uvedené v odseku 2 tohto článku:

ak by výkon týchto práv a povinností v súvislosti s osobnými údajmi získanými od inej inštitúcie, orgánu, agentúry alebo úradu EÚ mohol byť obmedzený touto inou inštitúciou, orgánom, agentúrou alebo úradom EÚ na základe právnych aktov stanovených v článku 25 nariadenia (EÚ) 2018/1725 alebo v súlade s kapitolou IX uvedeného nariadenia, alebo podľa nariadenia Európskeho parlamentu a Rady (EÚ) 2016/794 (4), alebo v súlade s nariadením Rady (EÚ) 2017/1939 (5);

ak by výkon týchto práv a povinností v súvislosti s osobnými údajmi získanými od príslušného orgánu členského štátu mohol byť obmedzený príslušnými orgánmi tohto členského štátu na základe legislatívnych opatrení uvedených v článku 23 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (6) alebo na základe vnútroštátnych opatrení, ktorými sa transponuje článok 13 ods. 3, článok 15 ods. 3 alebo článok 16 ods. 3 smernice Európskeho parlamentu a Rady (EÚ) 2016/680 (7);

c)	ak by výkon týchto práv a povinností narúšal spoluprácu Komisie s krajinami mimo EÚ alebo medzinárodnými organizáciami v oblasti spoločných kybernetických hrozieb.

Pred uplatnením obmedzení za okolností uvedených v prvom pododseku písm. a) a b) Komisia konzultuje s príslušnými inštitúciami, orgánmi, agentúrami, úradmi EÚ alebo orgánmi členských štátov o možných dôvodoch na uloženie obmedzení a o nutnosti a primeranosti daných obmedzení, pokiaľ by to nenarúšalo činnosti Komisie a pokiaľ by nebolo Komisii zrejmé, že uplatnenie obmedzenia je stanovené v niektorom z aktov uvedených v daných písmenách, alebo že by táto konzultácia narušila účel jej činností podľa rozhodnutia (EÚ, Euratom) 2017/46.

Prvý pododsek písm. c) sa neuplatňuje, ak záujmy alebo základné práva a slobody dotknutej osoby prevažujú nad záujmom Komisie spolupracovať s krajinami mimo EÚ alebo medzinárodnými organizáciami.

4. V odsekoch 1, 2 a 3 sa bez toho, aby bolo dotknuté uplatňovanie iných rozhodnutí Komisie, stanovujú vnútorné pravidlá týkajúce sa poskytovania informácií dotknutým osobám a obmedzenia určitých práv podľa článku 25 nariadenia (EÚ) 2018/1725.

5. Akékoľvek obmedzenie práv a povinností uvedených v odseku 2 musí byť nutné a primerané v súvislosti s rizikami pre práva a slobody dotknutých osôb.

6. Pred uplatnením obmedzení sa v každom prípade jednotlivo vykonáva test nutnosti a primeranosti a obmedzenia sa vzťahujú na to, čo je nevyhnutne nutné na dosiahnutie zamýšľaného účelu.

Článok 3

Poskytovanie informácií dotknutým osobám

1. Komisia uverejní na svojom webovom sídle oznámenie o ochrane údajov, v ktorom informuje všetky dotknuté osoby o svojich činnostiach v súvislosti so spracúvaním ich osobných údajov na účely plnenia svojich úloh podľa rozhodnutia (EÚ, Euratom) 2017/46 vrátane opisu kategórií daných osobných údajov. Ak je to možné bez toho, aby bola narušená bezpečnosť informačných technológií, Komisia zabezpečí, aby boli dotknuté osoby informované individuálne v primeranej forme.

2. Ak Komisia plne alebo čiastočne obmedzí poskytovanie informácií dotknutým osobám, ktorých údaje sa spracúvajú na účely vykonávania jej úloh podľa rozhodnutia (EÚ, Euratom) 2017/46, zaznamenáva a registruje dôvody tohto obmedzenia v súlade s článkom 6 tohto rozhodnutia.

Článok 4

Právo dotknutých osôb na prístup k osobným údajom, právo na vymazanie a právo na obmedzenie spracúvania údajov

1. Ak Komisia úplne alebo čiastočne obmedzí právo dotknutých osôb na prístup k osobným údajom, právo vymazať alebo právo obmedziť spracúvanie údajov, ktoré sa uvádzajú v článkoch 17, 19 a 20 nariadenia (EÚ) 2018/1725, v odpovedi na žiadosť o prístup, vymazanie alebo obmedzenie spracúvania informuje dotknutú osobu:

a)	o uplatnenom obmedzení a hlavných dôvodoch jeho uplatnenia;

b)	o spôsobe podania sťažnosti európskemu dozornému úradníkovi pre ochranu údajov alebo o spôsobe, ako využiť súdne prostriedky nápravy na Súdnom dvore Európskej únie.

2. Komisia môže odložiť, vynechať alebo odmietnuť poskytnutie informácií o dôvodoch obmedzenia uvedeného v odseku 1, pokiaľ by sa tým narušil účel obmedzenia.

3. Komisia zaznamenáva a registruje dôvody obmedzenia v súlade s článkom 6.

4. Ak je právo na prístup k osobným údajom plne alebo čiastočne obmedzené, dotknuté osoby môžu uplatniť svoje právo na prístup kontaktovaním európskeho dozorného úradníka pre ochranu údajov v súlade s článkom 25 ods. 6, 7 a 8 nariadenia (EÚ) 2018/1725.

Článok 5

Oznamovanie prípadov porušenia ochrany osobných údajov dotknutým osobám

Ak Komisia obmedzí oznamovanie prípadov porušenia ochrany osobných údajov dotknutej osobe, ako sa uvádza v článku 35 nariadenia (EÚ) 2018/1725, zaznamenáva a registruje dôvody obmedzenia v súlade s článkom 6 tohto rozhodnutia. Komisia v čase oznámenia porušenia ochrany osobných údajov postúpi záznam európskemu dozornému úradníkovi pre ochranu údajov.

Článok 6

Zaznamenávanie a registrovanie obmedzení

1. Komisia zaznamenáva dôvody každého obmedzenia uplatneného podľa tohto rozhodnutia vrátane odkazu na uplatnené právne dôvody obmedzenia a posúdenia nutnosti a primeranosti obmedzenia s prihliadnutím na príslušné prvky stanovené v článku 25 ods. 2 nariadenia (EÚ) 2018/1725.

2. V zázname sa uvádza, ako by výkon práva príslušnou dotknutou osobou narušil účel poskytovania operácií a služieb v oblasti bezpečnosti informačných technológií Komisii v súlade s rozhodnutím (EÚ, Euratom) 2017/46 alebo účel obmedzení uplatňovaných podľa článku 2 ods. 2 alebo 3 tohto rozhodnutia, alebo ako by mal nepriaznivý vplyv na práva a slobody iných dotknutých osôb.

3. Komisia registruje tieto záznamy a akékoľvek dokumenty, ktoré obsahujú základné skutkové a právne prvky. Na požiadanie sa sprístupnia európskemu dozornému úradníkovi pre ochranu údajov.

Článok 7

Trvanie obmedzení

1. Obmedzenia uvedené v článkoch 3, 4 a 5 sa uplatňujú dovtedy, kým zostávajú platné dôvody, ktoré ich opodstatňujú.

2. Ak dôvody na obmedzenie uvedené v článkoch 3, 4 a 5 už neplatia, Komisia:

a)	obmedzenie zruší;

b)	informuje dotknutú osobu o hlavných dôvodoch príslušného obmedzenia;

c)	informuje dotknutú osobu o spôsobe, ako kedykoľvek podať sťažnosť európskemu dozornému úradníkovi pre ochranu údajov alebo využiť súdny prostriedok nápravy na Súdnom dvore Európskej únie.

Článok 8

Záruky a obdobia uchovávania

1. Komisia preskúma uplatňovanie obmedzení uvedených v článkoch 3, 4 a 5 šesť mesiacov po ich prijatí a pri skončení príslušnej operácie v oblasti bezpečnosti informačných technológií. Komisia potom každoročne preskúmava a sleduje, či treba zachovať akékoľvek obmedzenie.

Súčasťou preskúmania je posúdenie nutnosti a primeranosti obmedzenia s prihliadnutím na príslušné prvky stanovené v článku 25 ods. 2 nariadenia (EÚ) 2018/1725.

2. Komisia prijala technické a organizačné opatrenia na zabránenie náhodnému alebo nezákonnému zničeniu, strate, zmene, neoprávnenému poskytnutiu prenášaných, uchovávaných alebo inak spracúvaných osobných údajov alebo prístupu k nim, ako je správa prístupových práv, politika zálohovania a akékoľvek iné opatrenie v súlade s rozhodnutím (EÚ, Euratom) 2017/46.

3. Komisia zaznamenáva príslušné obdobia uchovávania v súlade so spoločným zoznamom pre uchovávanie spisov na úrovni Komisie a vo svojom oznámení o ochrane údajov poskytne dotknutým osobám informácie o príslušných obdobiach uchovávania týkajúcich sa činností spracúvania údajov.

Článok 9

Preskúmanie zodpovednou osobou Komisie pre ochranu údajov

1. Zodpovedná osoba Komisie pre ochranu údajov je bezodkladne informovaná o každom prípade obmedzenia práv dotknutých osôb v súlade s týmto rozhodnutím. Zodpovednej osobe pre ochranu údajov sa na požiadanie poskytne prístup k záznamu a všetkým dokumentom, ktoré obsahujú základné skutkové a právne prvky.

2. Zodpovedná osoba pre ochranu údajov môže požiadať o preskúmanie obmedzení a je informovaná o výsledkoch vyžiadaného preskúmania.

3. Komisia zdokumentuje zapojenie zodpovednej osoby pre ochranu údajov vždy, keď dôjde k obmedzeniu práv dotknutých osôb v súlade s týmto rozhodnutím.

Článok 10

Nadobudnutie účinnosti

Toto rozhodnutie nadobúda účinnosť dvadsiatym dňom po jeho uverejnení v Úradnom vestníku Európskej únie.

V Bruseli 15. decembra 2021

Za Komisiu

predsedníčka

Ursula VON DER LEYEN

(1) Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Ú. v. EÚ L 295, 21.11.2018, s. 39).

(2) Rozhodnutie Komisie (EÚ, Euratom) 2017/46 z 10. januára 2017 o bezpečnosti komunikačných a informačných systémov v Európskej komisii (Ú. v. EÚ L 6, 11.1.2017, s. 40).

(3) Rozhodnutie Komisie [C(2017) 8841] z 13. decembra 2017, ktorým sa ustanovujú vykonávacie predpisy pre články 3, 5, 7, 8, 9, 10, 11, 12, 14, 15 rozhodnutia Komisie (EÚ, Euratom) 2017/46 o bezpečnosti komunikačných a informačných systémov v Komisii.

(4) Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/794 z 11. mája 2016 o Agentúre Európskej únie pre spoluprácu v oblasti presadzovania práva (Europol), ktorým sa nahrádzajú a zrušujú rozhodnutia Rady 2009/371/SVV, 2009/934/SVV, 2009/935/SVV, 2009/936/SVV a 2009/968/SVV (Ú. v. EÚ L 135, 24.5.2016, s. 53).

(5) Nariadenie Rady (EÚ) 2017/1939 z 12. októbra 2017, ktorým sa vykonáva posilnená spolupráca na účely zriadenia Európskej prokuratúry („EPPO“, Ú. v. EÚ L 283, 31.10.2017, s. 1).

(6) Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016, s. 1).

(7) Smernica Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119, 4.5.2016, s. 89).