Articolul 1
Obiect și domeniu de aplicare
(1) În conformitate cu articolul 25 din Regulamentul (UE) 2018/1725 (denumit în continuare „regulamentul”), prezenta decizie stabilește normele privind condițiile în care SEAE, în cadrul activităților sale menționate la alineatul (2), poate restricționa aplicarea drepturilor și a obligațiilor prevăzute la articolele 14-21, 35 și 36, precum și la articolul 4 din regulament, în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la aceleași articole 14-21.
(2) Prezenta decizie se aplică prelucrării datelor cu caracter personal de către SEAE în scopul următoarelor activități: (i) investigații interne, inclusiv investigații de securitate, anchete administrative, inclusiv cu privire la hărțuire sau nereguli semnalate, proceduri disciplinare și de suspendare; (ii) notificarea cazurilor și sesizarea Oficiului de investigație și de disciplină al Comisiei (IDOC) și a Oficiului European de Luptă Antifraudă (OLAF); (iii) analizele de securitate legate de incidentele de securitate cibernetică sau de abuzarea sistemelor informatice, inclusiv implicarea externă a CERT-UE, asigurarea securității interne prin intermediul supravegherii video, al controlului accesului și al investigării, securizarea sistemelor de comunicații și informații și punerea în aplicare a unor contramăsuri tehnice de securitate; (iv) investigarea chestiunilor legate în mod direct de sarcinile responsabilului cu protecția datelor din cadrul SEAE (denumit în continuare „RPD”); (v) audituri interne; (vi) inspecții ale delegațiilor și birourilor UE; (vii) activitățile serviciului medical și ale consilierilor medicali angajați de SEAE; (viii) activitățile serviciului de mediere; (ix) procedurile de achiziții publice; (x) procedurile de selecție a personalului și aprecierea performanței personalului; (xi) colectarea de date în scopuri de informare, inclusiv de conștientizare a situației, de contrainformații, de alertă timpurie și analiză a informațiilor în sprijinul diferitelor organisme decizionale ale UE cu activități în domeniul politicii externe și de securitate comune (PESC), al politicii de securitate și apărare comune (PSAC), al combaterii terorismului și al amenințărilor hibride; (xii) procedurile privind măsurile restrictive (sancțiuni) care urmăresc realizarea obiectivelor specifice ale Uniunii în domeniul politicii externe și de securitate; (xiii) activitățile desfășurate pentru a proteja alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele PESC. În sensul prezentei decizii, activitățile menționate anterior includ acțiunile de pregătire și acțiunile ulterioare legate direct de aceleași activități.
(3) Categoriile de date cu caracter personal prelucrate în legătură cu activitățile menționate mai sus pot conține date factuale și date de evaluare. Datele factuale includ datele referitoare la identificarea personală și alte detalii administrative, metadatele referitoare la comunicațiile electronice și datele privind traficul. Datele de evaluare includ descrierea și evaluarea situațiilor și a circumstanțelor, avize, observații referitoare la persoanele vizate, evaluarea conduitei sau a performanței persoanelor vizate și motivele care stau la baza deciziilor individuale în legătură cu funcționarea administrativă a SEAE.
Articolul 2
Menționarea operatorului de date și garanții
(1) SEAE instituie garanții specifice pentru a evita încălcarea securității datelor, scurgerile sau divulgarea neautorizată a datelor care fac obiectul unei restricții, cum ar fi: (a) măsuri de securitate sporite pentru stocarea suporturilor fizice conținând date cu caracter personal; (b) măsuri de securitate specifice pentru bazele de date și instrumentele electronice; (c) restricții privind accesul și fișierele-jurnal.
(2) Operatorul de date pentru activitățile de prelucrare a datelor este SEAE. Entitățile organizaționale care pot restricționa drepturile și obligațiile menționate la articolul 1 alineatul (1) sunt serviciile care sunt responsabile de activitățile descrise la articolul 1 alineatul (2).
(3) Restricționarea drepturilor și a obligațiilor în materie de date cu caracter personal nu se menține mai mult timp decât este necesar pentru îndeplinirea scopului restricției. Perioada de păstrare a datelor cu caracter personal care fac obiectul unei restricții se definește ținând seama de scopul prelucrării și include perioada necesară pentru controlul administrativ și judiciar.
Articolul 3
Restricții
(1) SEAE poate aplica o restricție în temeiul prezentei decizii, de la caz la caz, pentru a garanta: (a) securitatea națională, securitatea publică sau apărarea statelor membre, inclusiv, dar fără a se limita la supravegherea și prelucrarea datelor în scopuri de informare sau pentru protejarea vieților omenești, în special ca răspuns la dezastre naturale sau provocate de om și la atacuri teroriste; (b) prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor sau executarea sancțiunilor penale, inclusiv, dar fără a se limita la prevenirea amenințărilor la adresa securității publice; aceste investigații pot include anchete administrative, proceduri disciplinare sau investigații ale OLAF, în măsura în care există o legătură cu prevenirea sau investigarea infracțiunilor; (c) obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele PESC, ori interesele economice sau financiare importante ale Uniunii sau ale unui stat membru, inclusiv, dar fără a se limita la chestiuni monetare, bugetare și fiscale, sănătatea publică și securitatea socială, procedurile de achiziții și investigațiile care servesc unor obiective importante de interes public ale Uniunii; (d) securitatea internă a instituțiilor și organelor Uniunii, inclusiv, dar fără a se limita la rețelele de comunicații electronice și de informații; (e) protecția independenței judiciare și a procedurilor judiciare, inclusiv a consultanței juridice; (f) prevenirea, investigarea, depistarea și urmărirea penală a încălcărilor normelor de etică pentru profesiile reglementate sau a încălcării obligațiilor prevăzute de Statutul funcționarilor (3) și Regulamentul financiar (4), inclusiv în cazuri care nu au legătură cu infracțiuni; (g) funcțiile de monitorizare, de inspecție sau de reglementare legate, chiar și ocazional, de exercitarea autorității oficiale în cazurile menționate la literele (a)-(c), inclusiv, dar fără a se limita la audituri direcționate, inspecții sau investigații; (h) protecția persoanei vizate sau a drepturilor și libertăților altor persoane, inclusiv, dar fără a se limita la protejarea martorilor, a persoanelor intervievate în contextul investigațiilor de securitate, a anchetelor administrative, a inspecțiilor și a auditurilor, precum și a avertizorilor de integritate și a victimelor prezumate ale hărțuirii; (i) executarea hotărârilor pronunțate în acțiuni în pretenții formulate în temeiul dreptului civil.
(2) Sub rezerva articolelor 4-8, SEAE poate restricționa drepturile și obligațiile menționate la articolul 1 alineatul (1) în ceea ce privește datele cu caracter personal obținute de la o altă instituție, organ, agenție sau oficiu al Uniunii, de la autoritățile competente ale unui stat membru sau ale unei țări terțe ori de la o organizație internațională, în următoarele cazuri: (a) în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către cealaltă instituție, organism, agenție sau oficiu al Uniunii pe baza actelor lor juridice relevante adoptate în conformitate cu articolul 25 sau cu capitolul IX din regulament sau pe baza actelor de instituire a acestora; (b) în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de autoritățile competente ale unui stat membru pe baza actelor juridice adoptate în conformitate cu articolul 23 din Regulamentul (UE) 2016/679 (5) al Parlamentului European și al Consiliului sau în conformitate cu alte măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 (6) a Parlamentului European și a Consiliului; (c) în cazul în care exercitarea acestor drepturi și obligații ar putea periclita cooperarea SEAE cu țări terțe sau cu organizații internaționale în desfășurarea activităților sale, cu excepția situației în care interesele sau drepturile și libertățile fundamentale ale persoanelor vizate prevalează asupra necesității de a coopera cu țările terțe sau organizațiile internaționale respective. Înainte de a aplica o restricție în temeiul prezentului alineat, SEAE consultă instituția, organul, agenția, oficiul relevant al Uniunii, organizația internațională sau autoritățile competente ale unui stat membru, cu excepția cazului în care este evident că restricția este prevăzută de un act juridic menționat la prezentul alineat sau în care o astfel de consultare ar periclita activitățile SEAE.
(3) Înainte de a aplica o restricție, SEAE analizează dacă aceasta este necesară și proporțională într-o societate democratică și dacă respectă esența drepturilor și libertăților fundamentale ale persoanelor vizate. La evaluarea necesității și a proporționalității pentru fiecare caz, SEAE: (i) analizează riscul pentru drepturile și libertățile persoanei vizate în raport cu riscul pentru drepturile și libertățile altor persoane. Riscurile pentru drepturile și libertățile persoanei vizate se referă în primul rând la viața sa privată, la reputația sa și la momentul în care poate începe să își exercite dreptul la apărare; și (ii) analizează necesitatea de a garanta obiectivul activităților SEAE în temeiul articolului 1 alineatul (2), în special riscul de distrugere sau ascundere a probelor. Această evaluare a necesității și a proporționalității, precum și motivele unei restricții trebuie să fie documentate. În acest scop, toate restricțiile trebuie înregistrate în mod specific în inventarul gestionat de operatorul de date și trebuie să indice modul în care exercitarea drepturilor și a obligațiilor restricționate menționate la articolul 1 alineatul (1) ar periclita scopul activităților menționate la articolul 1 alineatul (2) sau ar aduce atingere drepturilor și libertăților altor persoane. Trebuie înregistrate, de asemenea, documentele care conțin elementele de fapt și de drept subiacente restricției. Evidențele trebuie să fie puse la dispoziția Autorității Europene pentru Protecția Datelor, la cerere. Accesul la evidențele din inventar, inclusiv la nota de evaluare, este restricționat atât timp cât restricția pe care o justifică rămâne valabilă în conformitate cu alineatele (4) și (5).
(4) Restricția este ridicată de îndată ce motivele care o justifică nu mai există.
(5) Necesitatea de a menține o restricție se reexaminează la intervale corespunzătoare, cel puțin o dată la șase luni de la adoptarea sa și, în orice caz, la încheierea procedurii relevante legate de activitățile menționate la articolul 1 alineatul (2).
Articolul 4
Reexaminarea de către responsabilul cu protecția datelor
(1) Fiecare entitate organizațională îl informează în scris pe RPD, fără întârzieri nejustificate, atunci când restricționează exercitarea drepturilor și a obligațiilor menționate la articolul 1 alineatul (1), când reexaminează restricția și când o extinde sau o elimină. RPD are acces la evidențele întocmite în conformitate cu articolul 3 alineatul (3).
(2) RPD îi poate solicita operatorului de date, în scris, să reexamineze aplicarea restricției. Operatorul de date îl informează pe RPD, în scris, cu privire la rezultatul reexaminării solicitate.
(3) Documentele prevăzute la prezentul articol se pun la dispoziția AEPD, la cerere.
Articolul 5
Furnizarea de informații către persoanele vizate și informații privind restricțiile
(1) SEAE publică pe site-ul său web sau pe pagina de intranet declarațiile sale de confidențialitate și avizele privind protecția datelor prin care informează persoanele vizate cu privire la activitățile sale care implică prelucrarea de date cu caracter personal, la drepturile lor și la eventualele restricții.
(2) Dreptul la informație poate fi restricționat de către operatorul de date în ceea ce privește activitățile prevăzute la articolul 1 alineatul (2) punctele (i), (ii), (iii), (iv), (v), (vi), (viii), (xi), (xii) și (xiii). Fără a aduce atingere alineatului (4), atunci când acest lucru este proporțional, SEAE informează individual persoanele vizate cu privire la aplicarea restricției, fără întârzieri nejustificate și în scris. În cazul în care o cerere a unei persoane vizate este respinsă din cauza unei restricții, persoana vizată este informată cu privire la motivele principale pe care se bazează restricția și la dreptul său de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor.
(3) O restricție în temeiul prezentului articol se aplică în conformitate cu articolele 3 și 4.
(4) Furnizarea de informații cu privire la o restricție în temeiul prezentei decizii poate fi amânată, omisă sau refuzată dacă ar anula efectul restricției. Amânarea, omisiunea sau refuzul se aplică în conformitate cu dispozițiile articolelor 3 și 4.
Articolul 6
Dreptul de acces
(1) Dreptul de acces prevăzut la articolul 17 din regulament poate fi restricționat în ceea ce privește activitățile prevăzute la articolul 1 alineatul (2) punctele (i), (ii), (iii), (iv), (v), (vi), (vii), (viii), (x), (xi), (xii) și (xiii).
(2) În cazul în care persoanele vizate solicită accesul la datele lor cu caracter personal prelucrate în contextul unei activități specifice menționate la articolul 1 alineatul (2), SEAE își limitează răspunsul la datele cu caracter personal prelucrate pentru activitatea respectivă.
(3) În cazul în care restricționează, integral sau parțial, dreptul de acces al persoanei vizate la datele cu caracter personal, astfel cum se prevede la articolul 17 din Regulamentul (UE) 2018/1725, SEAE informează persoana vizată, în scris, în răspunsul său la cererea de acces, fără întârzieri nejustificate, cu privire la restricția aplicată și la motivele principale pe care se bazează restricția. Furnizarea de informații cu privire la motivele restricției poate fi amânată, omisă sau refuzată dacă ar submina scopul restricției.
(4) SEAE poate restricționa, de la caz la caz, dreptul persoanei vizate de a accesa direct date medicale de natură psihologică sau psihiatrică, în cazul în care accesul la astfel de date este susceptibil să reprezinte un risc pentru sănătatea persoanei vizate. Această restricție este proporțională cu ceea ce este strict necesar pentru a proteja persoana vizată. În astfel de cazuri, accesul la informații este acordat unui medic la alegerea persoanei vizate.
(5) O restricție în temeiul prezentului articol se aplică în conformitate cu articolele 3, 4 și 5.
Articolul 7
Dreptul la rectificare, dreptul la ștergerea datelor și dreptul la restricționarea prelucrării
(1) Dreptul la rectificare, dreptul la ștergerea datelor și dreptul la restricționarea prelucrării prevăzute la articolul 18, la articolul 19 alineatul (1) și la articolul 20 alineatul (1) din regulament pot fi restricționate în ceea ce privește activitățile prevăzute la articolul 1 alineatul (2) punctele (i), (ii), (iii), (iv), (v), (vi), (vii), (viii), (ix), (x), (xi), (xii) și (xiii).
(2) În ceea ce privește datele medicale, persoanele vizate își pot exercita dreptul de rectificare a evaluărilor sau a avizelor personalului și consilierilor medicali ai SEAE, furnizând propriile observații sau un raport al unui medic la alegerea lor.
(3) O restricție în temeiul prezentului articol se aplică în conformitate cu articolele 3, 4 și 5.
Articolul 8
Informarea persoanelor vizate cu privire la încălcarea securității datelor cu caracter personal
(1) Dreptul la informarea persoanelor vizate cu privire la încălcarea securității datelor cu caracter personal prevăzut la articolul 35 din regulament poate fi restricționat în ceea ce privește activitățile prevăzute la articolul 1 alineatul (2) punctele (i), (ii), (iii), (iv), (v), (vi), (viii), (xi), (xii) și (xiii).
(2) O restricție în temeiul prezentului articol se aplică în conformitate cu articolele 3, 4 și 5.
Articolul 9
Confidențialitatea comunicațiilor electronice
(1) Obligația de a asigura confidențialitatea comunicațiilor electronice poate fi restricționată numai în ceea ce privește activitățile prevăzute la articolul 1 alineatul (2) punctele (i), (ii), (iii), (iv), (xi), (xii) și (xiii) în următoarele cazuri excepționale: (a) dacă restricționarea obligației de a asigura confidențialitatea identificării apelantului este necesară pentru detectarea apelurilor nedorite; (b) dacă restricționarea obligației de a asigura confidențialitatea identificării apelantului și a datelor de localizare este necesară pentru a permite serviciilor de urgență să intervină în mod eficace; (c) dacă restricționarea obligației de a asigura confidențialitatea comunicațiilor, a datelor privind traficul și a datelor de localizare este necesară pentru a garanta securitatea națională, securitatea publică sau apărarea statelor membre, securitatea internă a instituțiilor și organelor Uniunii, prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor, încălcarea dispozițiilor prevăzute de Statutul funcționarilor și de Regulamentul financiar sau utilizarea neautorizată a sistemului de comunicații electronice, astfel cum sunt menționate la articolul 25 din regulament.
(2) O restricție în temeiul prezentului articol se aplică în conformitate cu articolele 3, 4 și 5.
Articolul 10
Intrarea în vigoare
Prezenta decizie intră în vigoare în ziua următoare datei publicării în Jurnalul Oficial al Uniunii Europene.