ROZHODNUTIE RIADIACEHO VÝBORU INEA SC (2020) 26

zo 14. októbra 2020

o interných predpisoch týkajúcich sa obmedzení určitých práv dotknutých osôb v súvislosti so spracúvaním osobných údajov v rámci činností vykonávaných výkonnou agentúrou pre inovácie a siete

RIADIACI VÝBOR VÝKONNEJ AGENTÚRY PRE INOVÁCIE A SIETE,

so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 249 ods. 1,

so zreteľom na nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (1) (ďalej len „nariadenie“), a najmä na jeho článok 25,

so zreteľom na nariadenie Rady (ES) č. 58/2003 z 19. decembra 2002, ktoré stanovuje štatút výkonných orgánov, ktorým majú byť zverené niektoré úlohy v rámci riadenia programov Spoločenstva (2),

so zreteľom na vykonávacie rozhodnutie Komisie 2013/801/EÚ z 23. decembra 2013, ktorým sa zriaďuje Výkonná agentúra pre inovácie a siete a zrušuje rozhodnutie 2007/60/ES, zmenené rozhodnutím 2008/593/ES (3),

so zreteľom na rozhodnutie Komisie C(2013)9235 z 23. Decembra 2013, ktorým sa delegujú právomoci na Výkonnú agentúru pre inovácie a siete s cieľom vykonávať úlohy spojené s vykonávaním programov Únie v oblasti dopravy, energetickej a telekomunikačnej infraštruktúry a v oblasti výskumu a inovácií v oblasti dopravy a energetiky, ktoré zahŕňa najmä používanie prostriedkov zahrnutých do všeobecného rozpočtu Únie (4), naposledy zmenené rozhodnutím Komisie C(2018)1281 z 27. februára 2018 (5),

po konzultácii s európskym dozorným úradníkom pre ochranu údajov,

Keďže

(1)

Výkonná agentúra pre inovácie a siete – INEA – (ďalej len „agentúra“) bola zriadená vykonávacím rozhodnutím Komisie 2013/801/EÚ s cieľom vykonávať úlohy spojené s vykonávaním programov Únie v oblasti dopravnej, energetickej a telekomunikačnej infraštruktúry a v oblasti výskumu a inovácií v oblasti dopravy a energetiky (6).

(2)

V rámci svojho administratívneho a prevádzkového fungovania môže agentúra vykonávať administratívne vyšetrovania, úkony pred začatím disciplinárneho konania, disciplinárne konania a konania o pozastavení výkonu funkcie v súlade so Služobným poriadkom úradníkov Európskej únie a Podmienkami zamestnávania ostatných zamestnancov Európskej únie stanovenými v nariadení Rady (EHS, Euratom, ESUO) č. 259/68 (7) (ďalej len „služobný poriadok“) a s vykonávacími ustanoveniami o vykonávaní administratívnych vyšetrovaní a disciplinárnych konaní. V prípade potreby môže agentúra vykonávať predbežné činnosti súvisiace s prípadmi možných podvodov a nezrovnalostí a môže prípady oznámiť úradu OLAF.

(3)

Zamestnanci agentúry sú povinní nahlasovať možné nelegálne činnosti vrátane podvodov a korupcie, ktoré poškodzujú záujmy Únie. Zamestnanci sú povinní oznamovať aj konanie týkajúce sa výkonu služobných povinností, ktoré môže predstavovať vážne porušenie povinností úradníkov Únie. Toto je upravené internými predpismi alebo politikami týkajúcimi sa oznamovania protispoločenskej činnosti.

(4)

Agentúra má zavedenú politiku na predchádzanie skutočným alebo potenciálnym prípadom psychického alebo sexuálneho obťažovania na pracovisku, ako aj na ich účinné riešenie, ako sa stanovuje vo vykonávacích opatreniach podľa služobného poriadku, ktorými sa stanovuje neformálny postup, prostredníctvom ktorého sa údajná obeť obťažovania môže obrátiť na dôverných poradcov agentúry.

(5)	Agentúra môže vykonávať aj interné vyšetrovania v oblasti bezpečnosti informačných technológií a prípadné porušenia bezpečnostných predpisov pre utajované skutočnosti Európskej únie.

(6)	Agentúra podlieha vnútorným aj vonkajším auditom týkajúcim sa jej činností vrátane auditov vykonávaných Útvarom pre vnútorný audit Európskej komisie a Európskym dvorom audítorov.

(7)	Agentúra môže riešiť žiadosti Európskej prokuratúry (EPPO), žiadosti o prístup k zdravotnej dokumentácii zamestnancov agentúry, vykonávať vyšetrovania zodpovednou osobou v súlade s článkom 45 ods. 2 nariadenia.

(8)	V súvislosti s takýmito administratívnymi vyšetrovaniami, auditmi, vyšetrovaniami alebo žiadosťami agentúra spolupracuje s inými inštitúciami, orgánmi, úradmi a agentúrami Únie.

(9)	Agentúra môže na požiadanie alebo z vlastnej iniciatívy spolupracovať s vnútroštátnymi orgánmi tretích krajín a medzinárodnými organizáciami.

(10)	Agentúra môže takisto na požiadanie alebo z vlastnej iniciatívy spolupracovať so subjektmi verejného sektora členských štátov EÚ.

(11)	Agentúra môže byť predmetom sťažností, konaní alebo vyšetrovaní prostredníctvom oznamovateľov alebo európskeho ombudsmana.

(12)

Agentúra sa môže zúčastňovať na konaniach pred Súdnym dvorom Európskej únie v prípade, že buď predloží vec Súdnemu dvoru, obhajuje rozhodnutie, ktoré prijala a ktoré bolo pred Súdnym dvorom napadnuté, alebo zasahuje vo veciach, ktoré sú pre jej úlohy relevantné. V tejto súvislosti môže agentúra potrebovať zachovať dôvernosť osobných údajov obsiahnutých v dokumentoch, ktoré získali účastníci konania alebo vedľajší účastníci konania.

(13)

Agentúra v rámci svojich činností spracúva niekoľko kategórií osobných údajov vrátane identifikačných údajov fyzických osôb, kontaktných údajov, pracovných rolí a úloh, informácií o súkromnom a profesionálnom správaní a výkonnosti, ako aj finančných údajov a v niektorých osobitných prípadoch aj citlivých údajov (napr. údajov týkajúcich sa zdravia). Osobné údaje zahŕňajú údaje založené na faktoch, tzv. tvrdé údaje, a údaje založené na hodnoteniach, tzv. mäkké údaje.

a)	Tzv. tvrdé údaje sú objektívne údaje založené na faktoch, ako sú identifikačné údaje, kontaktné údaje, pracovné údaje, administratívne údaje, metaúdaje týkajúce sa elektronických komunikácií a prevádzkových údajov.

Tzv. mäkké údaje sú subjektívne údaje a zahŕňajú predovšetkým opis a posúdenie situácií a okolností, názory, pozorovania týkajúce sa dotknutých osôb, hodnotenie správania a výkonu dotknutých osôb a odôvodnenie individuálnych rozhodnutí týkajúcich sa predmetu konania alebo činnosti vykonávanej agentúrou v súlade s uplatniteľným právnym rámcom, alebo predložených v súvislosti s nimi.

c)	Posudzovania, pozorovania a názory sa považujú za osobné údaje v zmysle článku 3 ods. 1 nariadenia.

(14)	Podľa nariadenia je preto agentúra povinná poskytnúť dotknutým osobám informácie o takýchto spracovateľských činnostiach a rešpektovať ich práva ako dotknutých osôb.

(15)

Agentúra je odhodlaná v maximálnej možnej miere rešpektovať základné práva dotknutých osôb, najmä právo na poskytovanie informácií, prístup a opravu, právo na vymazanie, obmedzenie spracúvania, právo na oznámenie porušenia ochrany osobných údajov dotknutej osobe alebo dôvernosť komunikácie, ako je to zakotvené v nariadení. Agentúra však môže byť takisto povinná obmedziť práva a povinnosti dotknutej osoby na účely ochrany svojich činností a základných práv a slobôd iných osôb.

(16)

Preto sa článkom 25 ods. 1 a 5 nariadenia poskytuje agentúre možnosť obmedziť za určitých podmienok uplatňovanie článkov 14 až 22, 35 a 36, ako aj článku 4 nariadenia, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam stanoveným v článkoch 14 až 20. Takéto obmedzenie vychádza z interných predpisov, ktoré sa majú prijať na najvyššej úrovni riadenia agentúry a ktoré podliehajú uverejneniu v Úradnom vestníku Európskej únie, pokiaľ nie sú založené na právnych aktoch prijatých na základe zmlúv

(17)	Obmedzenia sa môžu vzťahovať na rozličné práva dotknutých osôb vrátane poskytovania informácií dotknutým osobám, práva na prístup, opravu, vymazanie, obmedzenie spracúvania, oznamovania porušenia ochrany osobných údajov dotknutej osobe alebo dôvernosti komunikácie, ako je to zakotvené v nariadení.

(18)	Od agentúry sa môže vyžadovať, aby tieto práva zosúladila s cieľmi administratívnych vyšetrovaní, auditov, vyšetrovaní a súdnych konaní. Okrem toho môže byť potrebné vyvážiť práva dotknutej osoby a základné práva a slobody iných dotknutých osôb.

(19)

Agentúra môže napríklad potrebovať obmedziť informácie, ktoré poskytuje dotknutej osobe o spracúvaní jej osobných údajov vo fáze predbežného posúdenia administratívneho vyšetrovania alebo počas samotného vyšetrovania, pred možným odmietnutím prípadu alebo vo fáze pred začatím disciplinárneho konania. Za určitých okolností môže poskytnutie takýchto informácií vážne ovplyvniť schopnosť agentúry účinne viesť vyšetrovanie, a to napríklad keď existuje riziko, že dotknutá osoba by mohla zničiť dôkazy alebo ovplyvniť možných svedkov pred ich vypočutím. Agentúra môže takisto potrebovať chrániť práva a slobody svedkov, ako aj práva a slobody iných zúčastnených osôb.

(20)

Agentúra môže potrebovať chrániť anonymnosť svedka alebo oznamovateľa protispoločenskej činnosti, ktorý požiadal o utajenie svojej identity. V takomto prípade sa agentúra môže rozhodnúť obmedziť prístup k identifikačným údajom, vyhláseniam alebo iným osobným údajom takýchto osôb alebo podozrivých s cieľom chrániť ich práva a slobody.

(21)

Môže byť potrebné, aby agentúra chránila dôverné informácie týkajúce sa zamestnanca, ktorý kontaktoval dôverných poradcov agentúry v kontexte postupu riešenia prípadu obťažovania. V takýchto prípadoch agentúra môže potrebovať obmedziť prístup k identifikačným údajom, vyhláseniam alebo iným osobným údajom údajnej obete a iných dotknutých osôb s cieľom chrániť práva a slobody všetkých dotknutých osôb.

(22)

Pokiaľ ide o výberové konania a postupy náboru zamestnancov, hodnotenie zamestnancov a postupy verejného obstarávania, právo na prístup, opravu, vymazanie a obmedzenie sa môže uplatniť iba v určitých časových okamihoch a za podmienok stanovených v rámci príslušných postupov, aby sa zabezpečili práva iných dotknutých osôb a rešpektovali zásady rovnakého zaobchádzania a tajnosti porád.

(23)

Agentúra môže takisto obmedziť prístup jednotlivcov k ich lekárskym údajom, napríklad psychologickej alebo psychiatrickej povahy z dôvodu potenciálnej citlivosti týchto údajov, pričom lekárska služba Komisie môže dotknutým osobám poskytnúť len nepriamy prístup prostredníctvom ich vlastného lekára. Dotknutá osoba si môže uplatniť právo na opravu posúdení alebo stanovísk lekárskej služby Komisie tým, že poskytne svoje pripomienky alebo správu lekára podľa vlastného výberu.

(24)	Agentúra, zastúpená svojím riaditeľom, koná ako prevádzkovateľ bez ohľadu na ďalšie delegovanie úlohy prevádzkovateľa v rámci agentúry, ktoré zohľadňuje prevádzkovú zodpovednosť za konkrétne činnosti spracúvania osobných údajov delegovaných prevádzkovateľov.

(25)

Osobné údaje sa uchovávajú zabezpečeným spôsobom v elektronickom prostredí v súlade s rozhodnutím Komisie (EÚ, Euratom) 2017/46 (8) o bezpečnosti komunikačných a informačných systémov v Európskej komisii alebo v papierovej forme, aby sa zabránilo nezákonnému prístupu k údajom alebo ich prenosu osobám, ktoré ich nepotrebujú poznať. Spracúvané osobné údaje sa neuchovávajú dlhšie, než je potrebné a primerané na účely, na ktoré sa údaje spracúvajú počas obdobia uvedeného v oznámeniach o ochrane údajov alebo v záznamoch agentúry.

(26)

Agentúra uplatňuje obmedzenia len vtedy, ak rešpektujú podstatu základných práv a slobôd, sú nevyhnutne potrebné a sú primeraným opatrením v demokratickej spoločnosti. Agentúra uvedie dôvody vysvetľujúce tieto obmedzenia a zodpovedajúcim spôsobom informuje dotknuté osoby o týchto dôvodoch a o ich práve podať sťažnosť európskemu dozornému úradníkovi pre ochranu údajov, ako sa ustanovuje v článku 25 ods. 6 nariadenia.

(27)	V rámci uplatňovania zásady zodpovednosti agentúra uchováva záznamy o uplatňovaní obmedzení.

(28)	Pri spracúvaní osobných údajov vymieňaných s inými organizáciami v kontexte svojich úloh agentúra a tieto organizácie navzájom konzultujú možné dôvody na uloženie obmedzení a nevyhnutnosť a primeranosť týchto obmedzení, pokiaľ sa tým neohrozia činnosti vykonávané agentúrou.

(29)

Tieto interné predpisy sa teda vzťahujú na všetky spracovateľské činnosti zahŕňajúce osobné údaje, ktoré agentúra uskutočňuje pri výkone administratívnych vyšetrovaní, disciplinárnych konaniach, predbežných činnostiach týkajúcich sa prípadov možných nezrovnalostí nahlasovaných úradu OLAF, vyšetrovaní Európskou prokuratúrou (EPPO), postupoch oznamovania protispoločenskej činnosti, (formálnych a neformálnych) postupoch v prípadoch obťažovania, vybavovaní interných a externých sťažností, žiadostiach o prístup k vlastnej zdravotnej dokumentácii alebo o jej opravu, pri vyšetrovaniach, ktoré vykonáva zodpovedná osoba v súlade s článkom 45 ods. 2 nariadenia, pri vyšetrovaniach v oblasti bezpečnosti informačných technológií vykonávaných interne alebo so zapojením externých subjektov (napr. CERT-EU), pri auditoch, konaniach pred Súdnym dvorom Európskej únie alebo vnútroštátnymi subjektmi verejného sektora, pri výberových konaniach a náboroch, hodnoteniach zamestnancov a verejných obstarávaniach, ako sa uvádza vyššie.

(30)

Tieto interné predpisy sa vzťahujú na spracovateľské činnosti vykonané pred začatím uvedených postupov, počas týchto postupov a počas monitorovania opatrení nadväzujúcich na výsledky týchto postupov. Mali by zahŕňať aj pomoc a spoluprácu, ktorú agentúra poskytuje iným inštitúciám EÚ, vnútroštátnym orgánom a medzinárodným organizáciám nad rámec svojich administratívnych vyšetrovaní.

(31)

V súlade s článkom 25 ods. 8 nariadenia je agentúra oprávnená odložiť poskytnutie informácií o dôvodoch uplatnenia obmedzenia dotknutej osobe, môže od neho upustiť alebo ho môže zamietnuť, ak by sa poskytnutím informácií zrušil účinok tohto obmedzenia. Agentúra v jednotlivých prípadoch posudzuje, či by sa oznámením o uplatňovaní obmedzenia zrušil jeho účinok.

(32)	Agentúra obmedzenie zruší, hneď ako podmienky odôvodňujúce jeho uplatňovanie prestanú platiť, a tieto podmienky pravidelne posudzuje.

(33)	S cieľom zaručiť maximálnu ochranu práv a slobôd dotknutých osôb a v súlade s článkom 44 ods. 1 nariadenia sa uskutočňujú konzultácie so zodpovednou osobou agentúry včas pred tým, ako sa akékoľvek obmedzenie môže uplatniť alebo preskúmať, a overuje sa jeho súlad s týmto rozhodnutím.

(34)	V článku 16 ods. 5 a v článku 17 ods. 4 nariadenia sa stanovujú výnimky z práva dotknutých osôb na informácie a práva na prístup. Ak sa tieto výnimky uplatňujú, agentúra nemusí uplatňovať obmedzenie podľa tohto rozhodnutia.

PRIJAL TOTO ROZHODNUTIE:

Článok 1

Predmet úpravy a rozsah pôsobnosti

1. V tomto rozhodnutí sa stanovujú pravidlá týkajúce sa podmienok, za ktorých Výkonná agentúra pre inovácie a siete a akýkoľvek jej právny nástupca (ďalej len „agentúra“) môže obmedziť uplatňovanie článkov 4, 14 až 22, 35 a 36 v súlade s článkom 25 nariadenia.

2. Agentúra ako prevádzkovateľ je zastúpená riaditeľom agentúry, ktorý môže delegovať funkciu prevádzkovateľa ďalej.

Článok 2

Uplatňované obmedzenia

1. Agentúra môže obmedziť uplatňovanie článkov 14 až 22, 35 a 36, ako aj článku 4 nariadenia, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam stanoveným v článkoch 14 až 20.

2. Toto rozhodnutie sa uplatňuje na spracúvanie osobných údajov agentúrou v rámci jej administratívneho a prevádzkového fungovania:

podľa článku 25 ods. 1 písm. b), c), f), g) a h) nariadenia pri vykonávaní interných vyšetrovaní vrátane vyšetrovaní na základe externých sťažností, úkonov pred začatím disciplinárneho konania, disciplinárnych konaní a konaní o pozastavení výkonu funkcie na základe článku 86 služobného poriadku a prílohy IX k nemu, ako aj jeho vykonávacích pravidiel, bezpečnostných vyšetrovaní alebo vyšetrovaním úradom OLAF;

b)	podľa článku 25 ods. 1 písm. h) nariadenia pri zabezpečovaní toho, aby zamestnanci agentúry mohli nahlasovať skutočnosti dôverne, ak sa domnievajú, že existujú závažné nezrovnalosti, ako sa uvádza v interných predpisoch alebo politikách týkajúcich sa oznamovania protispoločenskej činnosti;

c)	podľa článku 25 ods. 1 písm. h) nariadenia pri zabezpečovaní, že zamestnanci agentúry môžu nahlasovať skutočnosti dôverným poradcom v kontexte postupu riešenia obťažovania, ako je vymedzené v interných predpisoch;

d)	podľa článku 25 ods. 1 písm. c), g) a h) nariadenia pri vykonávaní vnútorných alebo vonkajších auditov v súvislosti s činnosťami alebo fungovaním agentúry;

podľa článku 25 ods. 1 písm. d) a h) nariadenia pri zabezpečovaní bezpečnostných analýz týkajúcich sa okrem iného kybernetickej bezpečnosti a zneužívania informačných systémov, ktoré sa riešia interne alebo s externým zapojením (napr. CERT-EU), pri zabezpečení vnútornej bezpečnosti prostredníctvom monitorovania kamerovým systémom, na účely kontroly prístupu a vyšetrovania, pri zabezpečovaní komunikačných a informačných systémov a vykonávaní technických bezpečnostných protiopatrení;

f)	podľa článku 25 ods. 1 písm. g) a h) nariadenia, ak zodpovedná osoba agentúry vyšetruje záležitosti priamo súvisiace s jej úlohami;

g)	podľa článku 25 ods. 1 písm. b), g) a h) nariadenia v súvislosti s vyšetrovaniami Európskej prokuratúry (EPPO);

h)	podľa článku 25 ods. 1 písm. h) nariadenia, ak jednotlivci požiadajú o prístup alebo opravu svojich osobných lekárskych údajov vrátane prípadu, keď ich má v držbe lekárska služba Komisie;

podľa článku 25 ods. 1 písm. c), d), g) a h) nariadenia pri poskytovaní pomoci a spolupráce iným inštitúciám, orgánom, úradom a agentúram Únie alebo jej prijímaní od nich v súvislosti s činnosťami podľa písmen a) až h) tohto odseku a podľa príslušných dohôd o úrovni poskytovaných služieb, memoránd o porozumení a dohôd o spolupráci, ako aj príslušného aktu o ich zriadení;

j)	podľa článku 25 ods. 1 písm. c), g) a h) nariadenia pri poskytovaní pomoci a spolupráce vnútroštátnym orgánom tretích krajín a medzinárodným organizáciám alebo jej prijímaní od nich, a to buď na ich žiadosť, alebo z vlastnej iniciatívy;

k)	podľa článku 25 ods. 1 písm. c), g) a h) nariadenia pri poskytovaní pomoci a spolupráce subjektom verejného sektora členských štátov EÚ alebo pri jej prijímaní od nich, a to buď na ich žiadosť, alebo z vlastnej iniciatívy;

l)	podľa článku 25 ods. 1 písm. e) nariadenia pri spracúvaní osobných údajov v dokumentoch, ktoré získali účastníci konania alebo vedľajší účastníci konania v rámci konania pred Súdnym dvorom Európskej únie.

Na účely tohto rozhodnutia uvedené činnosti zahŕňajú prípravné a následné činnosti priamo súvisiace s rovnakou činnosťou.

3. Agentúra môže takisto v jednotlivých prípadoch uplatňovať obmedzenia práva dotknutých osôb, na ktoré sa vzťahuje toto rozhodnutie, a to za týchto okolností:

ak sú útvary Komisie alebo iné inštitúcie, orgány, agentúry a úrady Únie oprávnené obmedziť výkon uvedených práv a účel takéhoto obmedzenia zo strany príslušného útvaru Komisie, inštitúcie, orgánu alebo agentúry Únie by bol ohrozený, pokiaľ by agentúra neuplatňovala rovnocenné obmedzenie vo vzťahu k rovnakým osobným údajom;

b)	ak sú príslušné orgány členských štátov oprávnené obmedziť výkon uvedených práv a účel takéhoto obmedzenia zo strany príslušného orgánu členského štátu by bol ohrozený, pokiaľ by agentúra neuplatňovala rovnocenné obmedzenie vo vzťahu k rovnakým osobným údajom;

c)	ak by uplatňovanie uvedených práv a povinností ohrozilo spoluprácu agentúry s tretími krajinami alebo medzinárodnými organizáciami pri plnení jej úloh, pokiaľ nad takouto potrebou spolupracovať neprevažujú záujmy alebo základné práva a slobody dotknutej osoby.

Pred uplatnením obmedzení podľa tohto odseku sa agentúra v prípade potreby poradí s príslušnými útvarmi Komisie, inými inštitúciami, orgánmi, agentúrami, úradmi, medzinárodnými organizáciami alebo príslušnými orgánmi členských štátov, pokiaľ nie je jasné, že uplatnenie obmedzenia je stanovené v niektorom z uvedených právnych aktov alebo že takáto konzultácia by ohrozila činnosti agentúry.

4. Kategórie osobných údajov spracúvaných v súvislosti s uvedenými činnosťami môžu obsahovať tzv. tvrdé údaje založené na faktoch a tzv. mäkké údaje založené na hodnoteniach.

5. Každé obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti.

Článok 3

Zaznamenávanie a registrácia obmedzení

1. Prevádzkovateľ vypracuje záznam o obmedzení, v ktorom uvedie:

a)	dôvody akéhokoľvek obmedzenia uplatňovaného podľa tohto rozhodnutia;

b)	dôvody uvedené v článku 2, ktoré sa uplatňujú;

c)	akým spôsobom by výkon príslušného práva predstavoval riziko pre dotknutú osobu alebo by ohrozil účel úloh agentúry, alebo by nepriaznivo ovplyvnil práva a slobody iných dotknutých osôb;

d)	výsledok posúdenia nevyhnutnosti a primeranosti obmedzenia s prihliadnutím na príslušné prvky článku 25 ods. 2 nariadenia.

2. Pred uplatnením obmedzenia sa v jednotlivých prípadoch vykoná test nevyhnutnosti a primeranosti. Prevádzkovateľ zohľadní potenciálne riziká pre práva a slobody dotknutej osoby. Obmedzenia sa vzťahujú výhradne na to, čo je nevyhnutné na dosiahnutie ich cieľa.

3. Záznam o obmedzení a v náležitých prípadoch aj dokumenty obsahujúce súvisiace skutkové a právne prvky sa zaregistrujú. Na požiadanie sa sprístupnia európskemu dozornému úradníkovi pre ochranu údajov.

Článok 4

Riziká pre práva a slobody dotknutých osôb

1. Posúdenia rizík pre práva a slobody dotknutých osôb vyplývajúcich z uloženia obmedzení a podrobné údaje o období uplatňovania týchto obmedzení sa registrujú v záznamoch o spracovateľských činnostiach, ktoré vedie prevádzkovateľ podľa článku 31 nariadenia. Okrem toho sa zaznamenajú vo všetkých posúdeniach vplyvu na ochranu údajov, ktoré sa týkajú týchto obmedzení vykonaných podľa článku 39 nariadenia, ak sa uplatňujú.

2. Ak prevádzkovateľ uvažuje o uplatnení obmedzenia, zváži riziko pre práva a slobody dotknutej osoby, najmä v porovnaní s rizikom pre práva a slobody iných dotknutých osôb a rizikom, že oslabí účinnosť vyšetrovaní alebo postupov, napr. zničením dôkazov. Riziká týkajúce sa práv a slobôd dotknutej osoby sa týkajú predovšetkým, ale nielen, rizika poškodenia dobrej povesti a rizík spojených s právom na obhajobu a právom na vypočutie.

Článok 5

Záruky a obdobia uchovávania

1. Agentúra zavedie osobitné záruky na predchádzanie zneužitiu osobných údajov, ktoré podliehajú alebo môžu podliehať obmedzeniam, nezákonnému prístupu k nim alebo ich prenosu. Takéto záruky zahŕňajú technické a organizačné opatrenia a sú podľa potreby podrobne opísané v interných rozhodnutiach, postupoch a vo vykonávacích pravidlách agentúry. Tieto záruky zahŕňajú:

a)	jasné vymedzenie úloh, zodpovedností a procesných krokov;

b)	v prípade potreby zabezpečené elektronické prostredie, ktorým sa predchádza nezákonnému a náhodnému prístupu k elektronickým údajom či ich prenosu neoprávneným osobám;

c)	v prípade potreby zabezpečené ukladanie a spracúvanie papierových dokumentov;

d)	zabezpečenie zachovávania dôvernosti všetkými osobami, ktoré majú prístup k osobným údajom.

2. Obdobie uchovávania osobných údajov, na ktoré sa vzťahuje obmedzenie, je vymedzené v súvisiacom zázname podľa článku 31 nariadenia s prihliadnutím na účel spracúvania a zahŕňa časový rámec potrebný na správne a súdne preskúmanie. Na konci obdobia uchovávania sa osobné údaje vymažú, anonymizujú alebo prenesú do archívu v súlade s článkom 13 nariadenia.

Článok 6

Trvanie obmedzení

1. Obmedzenia uvedené v článku 2 sa uplatňujú dovtedy, kým platia dôvody, ktoré ich opodstatňujú.

2. Ak už dôvody obmedzenia neplatia, prevádzkovateľ zruší obmedzenie, pokiaľ by uplatnenie obmedzeného práva už nemalo nepriaznivý vplyv na príslušný uplatniteľný postup alebo nepriaznivo neovplyvnilo práva alebo slobody iných dotknutých osôb.

3. V prípade, že dotknutá osoba opätovne požiada o prístup k dotknutým osobným údajom, prevádzkovateľ údajov poskytne dotknutej osobe hlavné dôvody obmedzenia. Súčasne agentúra informuje dotknutú osobu o možnosti podať kedykoľvek sťažnosť európskemu dozornému úradníkovi pre ochranu údajov alebo žiadať o súdne prostriedky nápravy na Súdnom dvore Európskej únie.

4. Agentúra preskúma uplatňovanie obmedzení uvedených v článku 2 každých šesť mesiacov.

Článok 7

Zapojenie zodpovednej osoby

1. Prevádzkovateľ agentúry informuje zodpovednú osobu agentúry bez zbytočného odkladu a pred každým rozhodnutím o obmedzení práv dotknutej osoby v súlade s týmto rozhodnutím alebo o predĺžení uplatňovania obmedzenia. Prevádzkovateľ poskytne zodpovednej osobe prístup k súvisiacim záznamom a ku všetkým dokumentom týkajúcim sa skutkového alebo právneho kontextu.

2. Zodpovedná osoba môže požiadať prevádzkovateľa o preskúmanie uplatňovania obmedzenia. Prevádzkovateľ písomne informuje zodpovednú osobu o výsledku požadovaného preskúmania.

3. Prevádzkovateľ zaznamená zapojenie zodpovednej osoby do uplatňovania obmedzenia vrátane toho, aké informácie sa vymieňajú. Dokumentácia podľa tohto článku je súčasťou záznamu o obmedzení a na požiadanie sa sprístupní európskemu dozornému úradníkovi pre ochranu údajov.

Článok 8

Poskytovanie informácií dotknutým osobám o obmedzeniach ich práv

1. Prevádzkovateľ zahrnie do oznámenia o ochrane údajov a záznamov podľa článku 31 nariadenia, zverejnených na svojom webovom sídle a na intranete, všeobecné informácie o prípadných obmedzeniach práv dotknutých osôb podľa článku 2 ods. 2 tohto rozhodnutia. Ide o informácie o tom, ktoré práva a povinnosti môžu byť obmedzené, o dôvodoch, na základe ktorých sa obmedzenia môžu uplatniť, a o ich možnom trvaní.

2. Prevádzkovateľ informuje dotknuté osoby o prebiehajúcich alebo budúcich obmedzeniach ich práv individuálne, písomne a bez zbytočného odkladu. Prevádzkovateľ informuje dotknutú osobu o hlavných dôvodoch, na základe ktorých sa obmedzenie uplatňuje, o jej práve konzultovať so zodpovednou osobou s cieľom napadnúť obmedzenie a o jej práve podať sťažnosť EDPS.

3. Prevádzkovateľ môže poskytnutie informácií o dôvodoch uplatnenia obmedzenia a o práve podať sťažnosť EDPS odložiť, môže od neho upustiť alebo ho môže zamietnuť, ak by sa ním zrušil účinok tohto obmedzenia. Posúdenie tohto odôvodnenia sa uskutoční v jednotlivých prípadoch, pričom prevádzkovateľ poskytne príslušné informácie dotknutej osobe, a to hneď ako sa predpokladá, že výkon obmedzeného práva by už nerušil účinok obmedzenia.

Článok 9

Právo dotknutej osoby na prístup k údajom

1. V riadne odôvodnených prípadoch a za podmienok stanovených v tomto rozhodnutí môže prevádzkovateľ v prípade potreby a vhodnosti obmedziť právo na prístup podľa článku 17 nariadenia, pokiaľ ide o činnosti podľa tohto rozhodnutia.

2. Ak dotknuté osoby žiadajú o prístup k svojim osobným údajom spracúvaným v súvislosti s konkrétnou spracovateľskou činnosťou uvedenou v článku 2 ods. 2 tohto rozhodnutia, agentúra obmedzí svoju odpoveď na osobné údaje spracúvané na účely predmetnej činnosti.

3. Práva dotknutých osôb na priamy prístup k dokumentácii psychologickej alebo psychiatrickej povahy môžu byť obmedzené. Nepriamy prístup ani právo na opravu a oznamovanie porušenia ochrany osobných údajov nie sú obmedzené týmito internými predpismi. Preto sa prístup ku všetkým súvisiacim informáciám a diskrečná právomoc, pokiaľ ide o to, akým spôsobom poskytnúť prístup dotknutej osobe a aký prístup, udelí spostredkujúcemu lekárovi na žiadosť dotknutej osoby.

4. V prípade, že prevádzkovateľ obmedzí, a to úplne alebo čiastočne, právo na prístup k osobným údajom, ako je uvedené v článku 17 nariadenia, dotknutej osobe v písomnej odpovedi na jej žiadosť poskytne informácie o uplatňovanom obmedzení a jeho hlavných dôvodoch, ako aj o možnosti podať sťažnosť EDPS alebo dožadovať sa súdneho prostriedku nápravy pred Súdnym dvorom Európskej únie.

5. Poskytnutie informácií o obmedzení prístupu sa môže odložiť, môže sa od neho upustiť alebo sa môže zamietnuť, ak by sa ním zrušil účinok obmedzenia v súlade s článkom 25 ods. 8 nariadenia.

6. Obmedzenie podľa tohto článku sa uplatňuje v súlade s týmto rozhodnutím.

Článok 10

Právo na opravu, vymazanie a obmedzenie spracúvania

1. V riadne odôvodnených prípadoch a za podmienok stanovených v tomto rozhodnutí môže prevádzkovateľ v prípade potreby a vhodnosti obmedziť právo na opravu, vymazanie a obmedzenie spracúvania podľa článku 18, článku 19 ods. 1 a článku 20 ods. 1 nariadenia, pokiaľ ide o činnosti podľa článku 2 ods. 2 tohto rozhodnutia.

2. Pokiaľ ide o lekárske údaje, dotknuté osoby si môžu uplatniť právo na opravu posúdenia alebo stanoviska lekárskej služby Komisie tým, že poskytnú svoje pripomienky alebo správu lekára podľa vlastného výberu, a to aj priamo lekárskej službe Komisie.

3. Obmedzenie podľa tohto článku sa uplatňuje v súlade s týmto rozhodnutím.

Článok 11

Oznámenie porušenia ochrany osobných údajov dotknutej osobe

1. Ak má prevádzkovateľ povinnosť oznámiť porušenie ochrany údajov podľa článku 35 ods. 1 nariadenia, môže takéto oznámenie za výnimočných okolností úplne alebo čiastočne obmedziť. V poznámke uvedie dôvody obmedzenia, jeho právny základ podľa článku 2 a posúdenie jeho nevyhnutnosti a primeranosti. O tejto poznámke sa informuje EDPS v čase oznámenia porušenia ochrany osobných údajov.

2. Ak dôvody na obmedzenie prestanú platiť, agentúra oznámi porušenie ochrany osobných údajov príslušnej dotknutej osobe a informuje dotknutú osobu o hlavných dôvodoch tohto obmedzenia a o jej práve podať sťažnosť EDPS.

Článok 12

Dôvernosť elektronických komunikácií

1. Za výnimočných okolností môže agentúra obmedziť právo na dôvernosť elektronických komunikácií stanovených v článku 36 nariadenia. Takéto obmedzenia sú v súlade so smernicou Európskeho parlamentu a Rady 2002/58/ES (9).

2. Bez ohľadu na článok 8 ods. 3, ak agentúra obmedzí právo na dôvernosť elektronických komunikácií, informuje dotknutú osobu vo svojej odpovedi na každú žiadosť dotknutej osoby o hlavných dôvodoch, na základe ktorých sa obmedzenie uplatňuje, a o jej práve podať sťažnosť EDPS.

Článok 13

Nadobudnutie účinnosti

Toto rozhodnutie nadobúda účinnosť dvadsiatym dňom po jeho uverejnení v Úradnom vestníku Európskej únie.

Prijaté riadiacim výborom Výkonnej agentúry pre inovácie a siete

Dátum prijatia 14. októbra 2020

Potvrdené výkonným riaditeľom INEA

(1) Ú. v. EÚ L 295, 21.11. 2018, s. 39.

(2) Ú. v. ES L 16.1.2003 , s. 1.

(3) Ú. v. EÚ L 352, 24.12.2013, s. 65.

(4) SEC(2009)481/3.

(5) SEC (2018)120/2.

(6) Rozhodnutie Komisie C(2013) 9235 z 23. decembra 2013 zmenené rozhodnutím Komisie C(2018) 1281 z 27. februára 2018.

(7) Nariadenie Rady (EHS, Euratom, ESUO) č. 259/68 z 29. februára 1968, ktorým sa ustanovuje Služobný poriadok úradníkov a Podmienky zamestnávania ostatných zamestnancov Európskych spoločenstiev a prijímajú osobitné opatrenia dočasne uplatniteľné na úradníkov Komisie (Ú. v. ES L 56, 4.3.1968, s. 1).

(8) Rozhodnutie Komisie (EÚ, Euratom) 2017/46 z z 10. januára 2017 o bezpečnosti komunikačných a informačných systémov v Európskej komisii (Ú. v. EÚ L 6, 11.1.2017, s. 40).

(9) Smernica Európskeho parlamentu a Rady 2020/58/ES z 12. júla 2002, týkajúca sa spracovávania osobných údajov a ochrany súkromia v sektore elektronických komunikácií (smernica o súkromí a elektronických komunikáciách) (Ú. v. ES L 201, 31.7.2002, s. 37).