Decizia Comitetului european pentru risc sistemic din 13 iulie 2012 de punere în aplicare a normelor privind protecția datelor la Comitetul european pentru risc sistemic (CERS/2012/1)

Articolul 1

Obiectul și domeniul de aplicare Prezenta decizie stabilește norme în ceea ce privește: (a) desemnarea și statutul RPD al Comitetului european pentru risc sistemic, precum și sarcinile, îndatoririle și competențele RPD; (b) rolurile, sarcinile și îndatoririle operatorilor și ale coordonatorilor de protecția datelor; (c) exercitarea drepturilor de către persoanele vizate.

Articolul 2

Definiții În sensul prezentei decizii, se aplică următoarele definiții: (a) „operator” înseamnă un conducător al unei unități organizaționale care stabilește scopurile și mijloacele de procesare a datelor cu caracter personal; (b) „coordonator de protecția datelor” înseamnă un membru al personalului care asistă un operator în îndeplinirea obligațiilor acestuia din urmă privind protecția datelor. Această persoană este specializată în gestionarea arhivelor. SECȚIUNEA 2 RESPONSABILUL CU PROTECȚIA DATELOR

Articolul 3

Desemnare, statut și probleme organizaționale (1) Consiliul general: (a) desemnează un RPD care are experiența necesară pentru a îndeplini cerințele prevăzute la articolul 24 din Regulamentul (CE) nr. 45/2001; (b) stabilește durata mandatului RPD, care va fi cuprinsă între doi și cinci ani. (2) Consiliul general se asigură că RPD își poate îndeplini sarcinile și îndatoririle ce îi revin într-o manieră independentă. Fără a aduce atingere acestei independențe, persoanele însărcinate cu evaluarea RPD se consultă cu AEPD înainte de a evalua modul în care RPD își îndeplinește sarcinile și îndatoririle ce îi revin. (3) Operatorul competent se asigură că RPD este informat fără întârziere: (a) în cazul apariției unei situații care are sau care poate avea implicații în ceea ce privește protecția datelor; și (b) în ceea ce privește toate contactele dintre CERS și terți în legătură cu aplicarea Regulamentului (CE) nr. 45/2001 și, mai ales, în ceea ce privește cooperarea cu AEPD. (4) Consiliul general poate desemna un RPD adjunct în privința căruia se aplică articolul 24 alineatele (1), (2) și (6) din Regulamentul (CE) nr. 45/2001. RPD adjunct sprijină RPD în îndeplinirea sarcinilor și a îndatoririlor sale și îi va ține locul în cazul absenței acestuia. (5) Personalul care acordă sprijin RPD în aspectele legate de protecția datelor acționează numai în conformitate cu instrucțiunile RPD. (6) În cazul în care nu mai îndeplinește condițiile necesare pentru îndeplinirea sarcinilor și a îndatoririlor sale, RPD poate fi demis cu acordul AEPD.

Articolul 4

Sarcinile și îndatoririle RPD În îndeplinirea sarcinilor prevăzute la articolul 24 din Regulamentul (CE) nr. 45/2001 și în anexa la acesta, RPD are următoarele îndatoriri, ținând cont de elementele comunicate de către secretariatul CERS: (a) crește gradul de sensibilizare cu privire la aspectele legate de protecția datelor și promovează un climat de protecție a datelor cu caracter personal în cadrul CERS; (b) consiliază Consiliul general, Comitetul director, secretariatul, operatorul și coordonatorul de protecția datelor în probleme referitoare la aplicarea dispozițiilor privind protecția datelor la CERS. RPD poate fi consultat de către Consiliul general, Comitetul director, secretariat, operatorul implicat sau de către orice persoană fizică în orice privință referitoare la interpretarea sau aplicarea Regulamentului (CE) nr. 45/2001; (c) cooperează cu AEPD, la cererea acesteia din urmă sau din proprie inițiativă, și răspunde la solicitările pe care AEPD le adresează RPD din cadrul CERS; (d) stabilește dacă o operațiune de prelucrare poate prezenta riscuri specifice în sensul articolului 27 din Regulamentul (CE) nr. 45/2001 și face așadar obiectul unei verificări prealabile. Dacă este necesar, RPD consultă operatorul implicat. În cazul îndoielii cu privire la necesitatea verificării prealabile, RPD consultă AEPD în conformitate cu articolul 27 alineatul (3) din Regulamentul (CE) nr. 45/2001; (e) la cererea Consiliului general, a Comitetului director, a secretariatului sau a oricărei persoane fizice ori din proprie inițiativă, investighează cazurile și problemele direct legate de sarcinile și îndatoririle sale și prezintă un raport persoanei care a solicitat investigația. RPD tratează aspectele și faptele în mod imparțial și cu respectarea drepturilor persoanei vizate. În cazul în care RPD consideră că acest lucru este necesar, informează în mod corespunzător toate celelalte părți interesate. Dacă solicitantul este o persoană fizică sau dacă acționează în numele unei persoane fizice, RPD, în măsura în care este posibil, se asigură că solicitarea rămâne confidențială, mai puțin în situația în care persoana vizată respectivă își exprimă neechivoc acordul ca solicitarea să fie tratată într-un mod diferit; (f) cooperează cu RPD din alte instituții și organe ale Uniunii, în special prin schimburi de experiență și know-how și reprezintă CERS în toate discuțiile – mai puțin procesele judiciare – referitoare la aspecte legate de protecția datelor; și (g) prezintă Consiliului general și AEPD un program de lucru anual și un raport anual asupra activităților RPD.

Articolul 5

Competențele RPD (1) RPD poate: (a) solicita avize din partea secretariatului CERS cu privire la orice problemă referitoare la sarcinile și îndatoririle RPD; (b) emite un aviz privind legalitatea operațiunilor de prelucrare curente sau propuse sau asupra oricărui aspect referitor la notificarea operațiunilor de prelucrare; (c) aduce în atenția șefului secretariatului CERS orice neîndeplinire de către membrii personalului a obligațiilor prevăzute de Regulamentul (CE) nr. 45/2001; (d) avea acces permanent la datele care fac obiectul operațiunilor de prelucrare a datelor cu caracter personal și la toate birourile, instalațiile de prelucrare a datelor și suporturile de date; (e) fi implicat ori de câte ori CERS elaborează norme interne cu privire la protecția datelor cu caracter personal; (f) păstra o listă anonimă cu solicitările scrise din partea persoanelor vizate cu privire la exercitarea drepturilor acestora; și (g) îndeplini celelalte sarcini prevăzute în anexa la Regulamentul (CE) nr. 45/2001. (2) Fără a aduce atingere sarcinilor și competențelor operatorului, RPD are competența de a semna corespondența redactată de el însuși în limitele mandatului care i-a fost atribuit. SECȚIUNEA 3 OPERATORUL ȘI COORDONATORUL DE PROTECȚIA DATELOR

Articolul 6

Sarcini și îndatoriri ale operatorilor și ale coordonatorilor de protecția datelor (1) Operatorii se asigură că toate prelucrările de date cu caracter personal efectuate în sfera lor de responsabilitate respectă Regulamentul (CE) nr. 45/2001. (2) În îndeplinirea obligației de a asista RPD și AEPD în exercitarea îndatoririlor acestora, operatorii le furnizează toate informațiile, le dau accesul la datele cu caracter personal și răspund întrebărilor acestora în termen de 20 de zile lucrătoare de la primirea solicitării. (3) Operatorii informează în timp util RPD în cazul în care primesc o solicitare de acces la sau de rectificare, de blocare ori de ștergere a datelor cu caracter personal, precum și în cazul în care primesc o solicitare cu privire la exercitarea dreptului la opoziție al persoanei vizate sau o plângere referitoare la probleme legate de protecția datelor. (4) Fără a aduce atingere responsabilităților operatorilor: (a) coordonatorii de protecția datelor asistă operatorii în îndeplinirea obligațiilor lor fie la solicitarea operatorilor, fie din proprie inițiativă. În acest sens, coordonatorii de protecția datelor iau legătura cu personalul operatorilor, care le furnizează toate informațiile necesare. La alegerea operatorului competent, acest lucru poate presupune inclusiv accesul la datele cu caracter personal a căror prelucrare intră în responsabilitatea operatorului respectiv; (b) coordonatorii de protecția datelor asistă RPD: (i) la identificarea operatorului competent în privința prelucrării datelor cu caracter personal; (ii) la difuzarea avizului RPD și la sprijinirea operatorului conform îndrumărilor date de RPD; (iii) cu privire la alte aspecte ale programului de lucru al RPD stabilite de comun acord de către RPD și conducerea coordonatorilor de protecția datelor.

Articolul 7

Procedura de notificare (1) Înainte de efectuarea unor noi prelucrări ale datelor cu caracter personal, operatorul competent notifică RPD utilizând interfața online accesibilă prin intermediul paginilor de internet ale RPD de pe intranetul CERS. Orice prelucrare care face obiectul verificării prealabile prevăzute la articolul 27 alineatul (3) din Regulamentul (CE) nr. 45/2001 este notificată cu suficient timp înainte de efectuare pentru a permite AEPD să efectueze verificarea prealabilă. (2) Operatorul informează de îndată RPD despre orice modificare care afectează informațiile cuprinse în notificarea deja înaintată către RPD. SECȚIUNEA 4 DREPTURILE PERSOANELOR VIZATE

Articolul 8

Registru Registrul ținut de RPD în temeiul articolului 26 din Regulamentul (CE) nr. 45/2001 are rolul de a păstra evidența tuturor prelucrărilor de date cu caracter personal efectuate la CERS. Persoanele vizate pot utiliza informațiile cuprinse în registru în vederea exercitării drepturilor prevăzute la articolele 13-19 din Regulamentul (CE) nr. 45/2001.

Articolul 9

Exercitarea drepturilor de către persoanele vizate (1) Pe lângă drepturile lor de a fi informați în mod corespunzător despre orice prelucrare a datelor lor cu caracter personal, persoanele vizate se pot adresa operatorului competent pentru exercitarea drepturilor lor în temeiul articolelor 13-19 din Regulamentul (CE) nr. 45/2001, în condițiile precizate mai jos: (a) aceste drepturi pot fi exercitate numai de către persoanele vizate sau de reprezentanții lor împuterniciți conform legii. Aceste persoane pot exercita oricare dintre aceste drepturi în mod gratuit; (b) solicitările de exercitare a acestor drepturi se adresează în scris operatorului competent. Operatorul aprobă solicitarea numai după verificarea identității solicitantului și, dacă este cazul, după verificarea corespunzătoare a dreptului de a reprezenta persoana vizată. Persoana vizată este imediat informată de către operator, în scris, cu privire la aprobarea sau respingerea solicitării. Dacă solicitarea a fost respinsă, operatorul indică motivele respingerii; (c) oricând în decursul a trei luni calendaristice de la data primirii solicitării, operatorul acordă accesul în temeiul articolului 13 din Regulamentul (CE) nr. 45/2001, permițând persoanei vizate să consulte datele la fața locului sau să primească o copie a acestora, conform opțiunii solicitantului; (d) în cazul în care operatorul nu respectă vreunul dintre termenele prevăzute la litera (b) sau (c), persoanele vizate se pot adresa RPD. În cazul în care persoana vizată își exercită drepturile în mod vădit abuziv, operatorul poate îndruma persoana vizată către RPD. În această situație, RPD decide cu privire la fundamentele solicitării și la modul adecvat de continuare a soluționării solicitării. În caz de dezacord între persoana vizată și operator, ambele părți au dreptul de a se consulta cu RPD. (2) Personalul se poate consulta cu RPD înainte de a depune plângeri la AEPD.

Articolul 10

Excepție și restricții (1) Cu condiția ca RPD să fi fost consultat în prealabil, operatorul poate restricționa exercitarea drepturilor prevăzute la articolele 13-17 din Regulamentul (CE) nr. 45/2001 pentru motivele și în conformitate cu condițiile stabilite la articolul 20 din Regulamentul (CE) nr. 45/2001. (2) Orice persoană lezată poate solicita AEPD să aplice articolul 47 alineatul (1) litera (c) din Regulamentul (CE) nr. 45/2001.

Articolul 11

Investigare (1) Orice solicitare de investigare în temeiul punctului 1 din anexa la Regulamentul (CE) nr. 45/2001 se adresează, în scris, RPD. (2) RPD trimite solicitantului o confirmare de primire în termen de 20 de zile lucrătoare de la primirea solicitării. (3) RPD poate investiga problema la fața locului și poate solicita o declarație scrisă din partea operatorului competent. Operatorul competent transmite răspunsul său către RPD în termen de 20 de zile lucrătoare de la primirea solicitării din partea RPD. RPD poate solicita informații suplimentare sau asistență din partea secretariatului. Secretariatul acordă această asistență sau transmite aceste informații în termen de 20 de zile lucrătoare de la primirea solicitării din partea RPD. (4) RPD transmite solicitantului un raport, în termen de trei luni calendaristice de la primirea solicitării. SECȚIUNEA 5 INTRARE ÎN VIGOARE

Articolul 12

Intrare în vigoare Prezenta decizie intră în vigoare în a douăzecea zi de la publicarea în Jurnalul Oficial al Uniunii Europene.