Act UE 2019/1025 · CELEX 32019Q1025(01)

Decizia Autorității Europene Pentru Siguranța Alimentară din 19 iunie 2019 privind normele interne referitoare la restricționarea anumitor drepturi ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal în cadrul funcționării EFSA

Data act: 19.06.2019
Intrare in vigoare: 26.10.2019
Jurnalul Oficial UE: oj:JOL_2019_272_R_0015
Status: In vigoare

date personale funcționare instituțională protecția datelor protecția vieții private

Recitale

(1) EFSA își desfășoară activitățile în conformitate cu Regulamentul (CE) nr. 178/2002 de instituire a autorității.

(2) Conform articolului 25 alineatul (1) din Regulamentul (UE) 2018/1725, restricționarea aplicării articolelor 14-22, 35 și 36, precum și a articolului 4 din acest regulament, în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-22, trebuie să aibă la bază normele interne care urmează să fie adoptate de EFSA, dacă acestea nu au la bază actele legislative adoptate în temeiul tratatelor.

(3) Aceste norme interne, inclusiv dispozițiile sale privind evaluarea necesității și a proporționalității unei restricții, nu trebuie să se aplice în cazul în care un act legislativ adoptat în temeiul tratatelor prevede o restricționare a drepturilor persoanelor vizate.

(4) În cadrul îndeplinirii sarcinilor sale cu privire la drepturile persoanelor vizate în conformitate cu Regulamentul (UE) 2018/1725, EFSA analizează dacă se aplică vreuna dintre excepțiile prevăzute în acest regulament.

(5) În cadrul funcționării sale administrative, EFSA poate desfășura anchete administrative, proceduri disciplinare, activități preliminare privind cazuri de eventuale nereguli raportate la OLAF, poate prelucra cazuri de avertizare în interes public, proceduri (oficiale și neoficiale) de hărțuire, poate trata plângeri interne și externe, poate desfășura audituri interne, investigații prin responsabilul cu protecția datelor, conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725, precum și investigații interne de securitate (IT). EFSA prelucrează mai multe categorii de date cu caracter personal, și anume date concrete (date „obiective”, cum ar fi date de identificare, date de contact, date profesionale, detalii administrative, date primite din surse specifice, date privind comunicațiile electronice și privind traficul) și/sau date mai puțin concrete (date „subiective” referitoare la caz, cum ar fi raționamente, date comportamentale, evaluări, date privind performanța și conduita și date referitoare la sau prezentate în legătură cu obiectul procedurii sau al activității).

(6) EFSA, reprezentată de directorul său executiv, acționează în calitate de operator de date, fără a ține seama de delegarea ulterioară a rolului de operator în cadrul EFSA, prin care se reflectă responsabilitățile operaționale pentru operațiuni specifice de prelucrare a datelor cu caracter personal.

(7) Datele cu caracter personal sunt stocate în condiții de siguranță într-un mediu electronic sau pe hârtie pentru a preveni accesul ilegal la acestea sau transferul lor către persoane care nu au nevoie să le cunoască. Datele cu caracter personal prelucrate nu sunt păstrate mai mult decât este necesar și adecvat pentru îndeplinirea scopurilor pentru care sunt prelucrate datele pe perioada specificată în notificările privind protecția datelor, în declarațiile de confidențialitate sau în evidențele EFSA.

(8) Normele interne trebuie să se aplice tuturor operațiunilor de prelucrare realizate de EFSA în desfășurarea anchetelor administrative, a procedurilor disciplinare, a activităților preliminare legate de cazurile de eventuale nereguli raportate la OLAF, a procedurilor de avertizare în interes public, a procedurilor (oficiale și neoficiale) privind cazurile de hărțuire, a tratării plângerilor interne și externe, a desfășurării auditurilor interne, a investigațiilor desfășurate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725, a investigațiilor de securitate (IT) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE).

(9) Ele trebuie să se aplice în cadrul operațiunilor de prelucrare efectuate înainte de demararea procedurilor menționate mai sus, în timpul acestor proceduri, precum și în timpul monitorizării rezultatelor procedurilor. De asemenea, trebuie să includă asistența și cooperarea furnizate de EFSA autorităților naționale și organizațiilor internaționale în afara anchetelor administrative.

(10) În cazurile în care se aplică aceste norme interne, EFSA trebuie să ofere justificări, explicând de ce restricțiile sunt necesare și adecvate într-o societate democratică și să respecte esența drepturilor și libertăților fundamentale.

(11) În acest cadru general, EFSA are obligația de a respecta, în cea mai mare măsură posibilă, drepturile fundamentale ale persoanelor vizate în timpul procedurilor de mai sus, în special pe cele referitoare la dreptul de furnizare de informații, de acces și de rectificare, dreptul de ștergere a datelor, de restricționare a prelucrării lor, dreptul de comunicare a unei încălcări a securității datelor cu caracter personal către persoana vizată sau dreptul la confidențialitatea comunicării, potrivit dispozițiilor Regulamentului (UE) 2018/1725.

(12) Cu toate acestea, este posibil ca EFSA să aibă obligația de a restricționa informarea persoanei vizate și alte drepturi ale persoanei vizate pentru a-și proteja în special propriile investigații, investigațiile și procedurile altor autorități publice, precum și drepturile altor persoane legate de investigațiile sale sau de alte proceduri.

(13) Astfel, EFSA poate restricționa informarea în scopul protejării investigației și a drepturilor și libertăților fundamentale ale altor persoane vizate.

(14) EFSA trebuie să urmărească periodic dacă se aplică condițiile care justifică restricția și să ridice restricția în măsura în care nu se mai aplică.

(15) Operatorul de date trebuie să informeze responsabilul cu protecția datelor în momentul amânării și pe durata reviziilor,

Articolul 1

Obiect și domeniu de aplicare

(1) Prezenta decizie stabilește normele referitoare la condițiile în care EFSA, în cadrul general al procedurilor sale prevăzute la alineatul (2), poate restricționa aplicarea drepturilor consacrate la articolele 14-21, 35 și 36, precum și la articolul 4, cu respectarea articolului 25 din Regulamentul (UE) 2018/1725. (2) În cadrul funcționării administrative a EFSA, prezenta decizie se aplică operațiunilor de prelucrare a datelor cu caracter personal de către EFSA, în următoarele scopuri: desfășurarea anchetelor administrative, a procedurilor disciplinare, a activităților preliminare legate de cazurile de eventuale nereguli raportate la OLAF, prelucrarea procedurilor de avertizare în interes public, a procedurilor (oficiale și neoficiale) privind cazurile de hărțuire, tratarea plângerilor interne și externe, desfășurarea auditurilor interne, a investigațiilor desfășurate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725 și a investigațiilor de securitate (IT) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE). (3) Categoriile de date vizate sunt datele concrete (date „obiective”, cum ar fi date de identificare, date de contact, date profesionale, detalii administrative, date primite din surse specifice, date privind comunicațiile electronice și privind traficul) și/sau datele mai puțin concrete (date „subiective” referitoare la caz, cum ar fi raționamente, date comportamentale, evaluări, date privind performanța și conduita și date referitoare la sau prezentate în legătură cu obiectul procedurii sau al activității). (4) În cadrul îndeplinirii sarcinilor sale cu privire la drepturile persoanelor vizate în conformitate cu Regulamentul (UE) 2018/1725, EFSA analizează dacă se aplică vreuna dintre excepțiile prevăzute în acest regulament. (5) Sub rezerva condițiilor prevăzute în prezenta decizie, restricțiile pot fi aplicabile următoarelor drepturi: de furnizare de informații persoanelor vizate, dreptul de acces, de rectificare, de ștergere, de restricționare a prelucrării, de comunicare a unei încălcări a securității datelor cu caracter personal către persoana vizată sau dreptul la confidențialitatea comunicării.

Articolul 2

Menționarea operatorului și a garanțiilor

(1) Garanțiile instituite pentru a evita încălcarea securității datelor, scurgerile de date sau divulgarea lor neautorizată sunt următoarele: (a) documentele pe hârtie se păstrează în dulapuri securizate și sunt accesibile numai personalului autorizat; (b) toate datele electronice se stochează într-o aplicație informatică securizată conform standardelor de securitate ale EFSA, precum și în dosare electronice specifice, la care are acces doar personalul autorizat. Se acordă niveluri corespunzătoare de acces în mod individual; (c) bazele de date se protejează cu parolă pe baza unui sistem de autentificare unic și se conectează automat cu numele de utilizator și parola. Evidențele electronice se stochează în siguranță, pentru a se asigura confidențialitatea și respectarea normelor și principiilor de protecție a datelor; (d) toate persoanele care au acces la date se supun obligației de confidențialitate. (2) Operatorul pentru prelucrarea datelor este EFSA, reprezentată de directorul său executiv, care poate delega funcția de operator de date. Persoanele vizate sunt informate cu privire la operatorul de date delegat prin notificări privind protecția datelor sau evidențe publicate pe site-ul EFSA, pe portalul intranet și/sau în catalogul serviciilor agenției. (3) Perioada de păstrare a datelor cu caracter personal menționate la articolul 1 alineatul (3) nu este mai lungă decât este necesar și adecvat pentru scopul în care se prelucrează datele. În orice caz, nu este mai lungă decât perioada de păstrare specificată în notificările privind protecția datelor, în declarațiile de confidențialitate sau în evidențele menționate la articolul 5 alineatul (1). (4) În cazul în care are în vedere aplicarea unei restricții, EFSA apreciază riscul pentru drepturile și libertățile persoanei vizate, în special în raport cu riscul pentru drepturile și libertățile altor persoane vizate și cu riscul de anulare a efectului investigațiilor sau al procedurilor EFSA, de exemplu prin distrugerea probelor. Riscurile pentru drepturile și libertățile persoanei vizate se referă în primul rând la riscurile reputaționale și la riscurile pentru dreptul la apărare și pentru dreptul de a fi audiat, fără a se limita însă la acestea.

Articolul 3

Restricții

(1) EFSA aplică eventualele restricții doar pentru a garanta: (a) prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor sau executarea sancțiunilor penale, inclusiv protejarea împotriva amenințărilor la adresa securității publice și prevenirea acestora; (b) alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele politicii externe și de securitate comune ale Uniunii sau un interes economic sau financiar important al Uniunii sau al unui stat membru, inclusiv în domeniile monetar, bugetar și fiscal și în domeniul sănătății publice și al securității sociale; (c) securitatea internă a instituțiilor și a organelor Uniunii, inclusiv a rețelelor de comunicații electronice ale acestora; (d) prevenirea, investigarea, depistarea și urmărirea penală a încălcării eticii în cazul profesiilor reglementate; (e) corelarea, chiar și ocazională, a funcției de monitorizare, de inspecție sau de reglementare cu exercitarea autorității oficiale în cazurile menționate la literele (a) și (b); (f) protecția persoanei vizate sau a drepturilor și libertăților altor persoane. (2) În aplicarea specifică a scopurilor descrise la alineatul (1) de mai sus, EFSA poate să aplice restricții în ceea ce privește schimbul de date cu caracter personal cu serviciile Comisiei sau cu alte instituții, organe, agenții și oficii ale Uniunii, cu autorități competente ale statelor membre sau cu țări terțe sau organizații internaționale, în următoarele situații: (a) în cazul în care exercitarea drepturilor și a obligațiilor respective ar putea fi restricționată de serviciile Comisiei sau de alte instituții, organe, agenții și oficii ale Uniunii, în baza altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din acest regulamentul sau cu actele de instituire a altor instituții, organe, agenții și oficii ale Uniunii; (b) în cazul în care exercitarea drepturilor și obligațiilor respective ar putea fi restricționată de autoritățile competente ale statelor membre în baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (4) sau conform măsurilor naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului (5); (c) în cazul în care exercitarea respectivelor drepturi și obligații ar putea periclita cooperarea EFSA cu țări terțe sau cu organizații internaționale în îndeplinirea sarcinilor sale. Înainte de a aplica restricții în situațiile menționate la literele (a) și (b) de mai sus, EFSA consultă serviciile relevante ale Comisiei, instituțiile, organele, agențiile și oficiile Uniunii sau autoritățile competente ale statelor membre, cu excepția cazului în care EFSA are certitudinea că aplicarea unei restricții este prevăzută de unul dintre actele menționate la literele respective. (3) Orice restricție este necesară și adecvată, având în vedere riscurile pentru drepturile și libertățile persoanelor vizate și respectă esența drepturilor și libertăților fundamentale într-o societate democratică. (4) Dacă se are în vedere aplicarea restricției, se efectuează un test de necesitate și proporționalitate, în baza prezentelor norme. Acesta este documentat printr-o notă de evaluare internă în scopul respectării principiului responsabilității, de la caz la caz. (5) Restricțiile sunt ridicate imediat ce situațiile care le justifică nu se mai aplică. În special, în cazul în care se consideră că exercitarea dreptului restricționat nu ar mai anula efectul restricției impuse sau nu ar mai afecta negativ drepturile sau libertățile altor persoane vizate. În acest caz, restricțiile sunt ridicate imediat ce este posibil și de regulă în termen de cinci zile lucrătoare de la modificarea circumstanțelor de drept sau de fapt.

Articolul 4

Reexaminarea de către responsabilul cu protecția datelor

(1) EFSA informează, fără întârzieri nejustificate, responsabilul cu protecția datelor („RPD”), ori de câte ori operatorul restricționează aplicarea drepturilor persoanelor vizate sau prelungește restricția, în conformitate cu prezenta decizie. Operatorul acordă responsabilului cu protecția datelor acces la evidențele care cuprind evaluarea necesității și a proporționalității restricției și documentează data informării responsabilului cu protecția datelor în aceste evidențe. (2) RPD îi poate solicita operatorului, în scris, reexaminarea aplicării restricțiilor. Operatorul informează RPD în scris cu privire la rezultatul revizuirii solicitate. (3) Operatorul informează RPD la ridicarea restricției.

Articolul 5

Furnizarea de informații către persoana vizată

(1) În cazuri justificate în mod corespunzător și în condițiile stabilite în prezenta decizie, dreptul la furnizarea de informații poate fi restricționat de către operator în contextul următoarelor operațiuni de prelucrare: (a) desfășurarea anchetelor administrative și procedurilor disciplinare; (b) activități preliminare legate de cazuri ale unor eventuale nereguli raportate la OLAF; (c) proceduri de avertizare în interes public; (d) proceduri (oficiale și neoficiale) privind cazuri de hărțuire; (e) tratarea plângerilor interne și externe; (f) audituri interne; (g) investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725; (h) investigații de securitate (IT) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE). EFSA include în notificările privind protecția datelor, în declarațiile de confidențialitate sau în evidențele sale, în sensul articolului 31 din Regulamentul (UE) 2018/1725, publicate pe site-ul său și/sau pe intranet, prin care informează persoanele vizate cu privire la drepturile lor în cadrul unei anumite proceduri, informații referitoare la eventuala restricționare a acestor drepturi. Informațiile includ drepturile care pot fi restricționate, motivele restricționării și posibila durată a acesteia. (2) Fără a aduce atingere dispozițiilor de la alineatul (3), EFSA, atunci în limitele proporționalității, informează, de asemenea, în mod individual, toate persoanele vizate care sunt considerate persoane interesate în operațiunea specifică de prelucrare, cu privire la drepturile lor legate de restricțiile prezente sau viitoare, fără întârzieri nejustificate și în scris. (3) În cazurile în care EFSA restricționează, integral sau parțial, furnizarea de informații către persoanele vizate menționate la alineatul (2), aceasta consemnează motivele restricționării, temeiul legal în conformitate cu articolul 3 din prezenta decizie, inclusiv o evaluare a necesității și proporționalității restricției. Aceste evidențe, și, după caz, documentele care conțin elemente de fapt și de drept subiacente, se înregistrează. La cerere, acestea se pun la dispoziția Autorității Europene pentru Protecția Datelor. (4) Restricția menționată la alineatul (3) continuă să se aplice cât timp motivele care le justifică rămân aplicabile și, de regulă, în termen de cinci zile lucrătoare de la modificarea circumstanțelor de drept sau de fapt. În cazul în care motivele restricției nu se mai aplică, EFSA furnizează persoanei vizate informații cu privire la principalele motive care stau la baza aplicării unei restricții. În același timp, agenția informează persoana vizată cu privire la dreptul de a depune oricând o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene. EFSA reexaminează aplicarea restricției o dată la șase luni de la adoptarea sa, precum și la încheierea anchetei, procedurii sau investigației relevante.

Articolul 6

Dreptul de acces al persoanei vizate

(1) În cazuri justificate în mod corespunzător și în condițiile stabilite în prezenta decizie, dreptul la acces poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și adecvat: (a) desfășurarea anchetelor administrative și procedurilor disciplinare; (b) activități preliminare legate de cazuri ale unor eventuale nereguli raportate la OLAF; (c) proceduri de avertizare în interes public; (d) proceduri (oficiale și neoficiale) privind cazuri de hărțuire; (e) tratarea plângerilor interne și externe; (f) audituri interne; (g) investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725; (h) investigații de securitate (IT) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE). Când persoanele vizate solicită acces la datele lor cu caracter personal prelucrate în contextul unuia sau mai multor cazuri specifice sau la o anumită operațiune de prelucrare, conform articolului 17 din Regulamentul (UE) 2018/1725, EFSA își limitează evaluarea cererii doar la aceste date cu caracter personal. (2) În cazul în care EFSA restricționează, integral sau parțial, dreptul de acces menționat la articolul 17 din Regulamentul (UE) 2018/1725, aceasta ia următoarele măsuri: (a) informează persoana vizată, în răspunsul său la cerere, cu privire la restricția aplicată și la principalele motive ale acesteia, precum și la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene; (b) documentează într-o notă de evaluare internă motivele restricționării, inclusiv o evaluare a necesității și proporționalității restricției și a duratei sale. Furnizarea informațiilor menționate la litera (a) poate fi amânată, omisă sau refuzată, dacă aceasta ar anula efectul restricției în conformitate cu articolul 25 alineatul (8) din Regulamentul (UE) 2018/1725. EFSA reexaminează aplicarea restricției o dată la șase luni de la adoptarea sa, precum și la încheierea investigației relevante. (3) Aceste evidențe, și, după caz, documentele care conțin elemente de fapt și de drept subiacente, se înregistrează. La cerere, acestea se pun la dispoziția Autorității Europene pentru Protecția Datelor.

Articolul 7

Dreptul de a rectifica și de a șterge datele și dreptul de a restricționa prelucrarea lor

(1) În cazuri justificate în mod corespunzător și în condițiile stabilite în prezenta decizie, dreptul de a rectifica și de a șterge datele și dreptul de a restricționa prelucrarea lor pot fi restricționate de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și adecvat: (a) desfășurarea anchetelor administrative și procedurilor disciplinare; (b) activități preliminare legate de cazuri ale unor eventuale nereguli raportate la OLAF; (c) proceduri de avertizare în interes public; (d) proceduri (oficiale și neoficiale) privind cazuri de hărțuire; (e) tratarea plângerilor interne și externe; (f) audituri interne; (g) investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725; (h) investigații de securitate (IT) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE). (2) În cazul în care EFSA restricționează, integral sau parțial, aplicarea dreptului de a rectifica și de a șterge datele și a dreptului de a restricționa prelucrarea datelor, menționat la articolul 18, articolul 19 alineatul (1) și articolul 20 alineatul (1) din Regulamentul (UE) 2018/1725, aceasta ia măsurile prevăzute la articolul 6 alineatul (2) din prezenta decizie și consemnează înregistrarea în conformitate cu articolul 6 alineatul (3) din decizie.

Articolul 8

Informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal și confidențialitatea comunicațiilor electronice

(1) În cazuri justificate în mod corespunzător și în condițiile stabilite în prezenta decizie, dreptul la informare cu privire la încălcarea securității datelor cu caracter personal poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și proporțional: (a) desfășurarea anchetelor administrative și procedurilor disciplinare; (b) activități preliminare legate de cazuri ale unor eventuale nereguli raportate la OLAF; (c) proceduri de avertizare în interes public; (d) proceduri (oficiale și neoficiale) privind cazuri de hărțuire; (e) tratarea plângerilor interne și externe; (f) audituri interne; (g) investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725; (h) investigații de securitate (IT) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE). (2) În cazuri justificate în mod corespunzător și în condițiile stabilite în prezenta decizie, dreptul la confidențialitatea comunicațiilor electronice poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și proporțional: (a) desfășurarea anchetelor administrative și procedurilor disciplinare; (b) activități preliminare legate de cazuri ale unor eventuale nereguli raportate la OLAF; (c) proceduri de avertizare în interes public; (d) proceduri oficiale privind cazuri de hărțuire; (e) tratarea plângerilor interne și externe; (f) investigații de securitate (IT) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE). (3) În cazul în care EFSA restricționează informarea unei persoane vizate cu privire la încălcarea securității datelor cu caracter personal sau confidențialitatea comunicațiilor electronice, așa cum se menționează la articolele 35 și 36 din Regulamentul (UE) 2018/1725, aceasta consemnează și înregistrează motivele restricționării în conformitate cu articolul 5 alineatul (3) din prezenta decizie. Se aplică articolul 5 alineatul (4) din prezenta decizie.

Articolul 9

Intrarea în vigoare

Prezenta decizie intră în vigoare în ziua următoare datei publicării în Jurnalul Oficial al Uniunii Europene.