Act UE 2020/210 · CELEX 32020Q0210(01)

Decizia Consiliului de administrație al Agenției Uniunii Europene Pentru Securitate Cibernetică din 21 noiembrie 2019 privind normele interne referitoare la restricționarea anumitor drepturi ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal în cadrul funcționării ENISA

Data act: 21.11.2019
Intrare in vigoare: 11.02.2020
Jurnalul Oficial UE: oj:JOL_2020_037_R_0005
Status: In vigoare

date personale funcționare instituțională persoane fizice protecția datelor protecția vieții private transmisia datelor

Recitale

(1) În conformitate cu articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, restricționarea aplicării articolelor 14-22, 35 și 36, precum și a articolului 4 din regulamentul respectiv în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-22, trebuie să aibă la bază normele interne care urmează să fie adoptate de ENISA, dacă acestea nu au la bază actele legislative adoptate în baza tratatelor.

(2) Aceste norme interne, inclusiv dispozițiile lor privind evaluarea necesității și a proporționalității unei restricții, nu trebuie să se aplice în cazul în care un act legislativ adoptat în temeiul tratatelor prevede o restricționare a drepturilor persoanelor vizate.

(3) În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, ENISA analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul menționat.

(4) În contextul funcționării sale administrative, ENISA poate desfășura anchete administrative, proceduri disciplinare, activități preliminare legate de cazuri privind posibile nereguli raportate la OLAF, poate prelucra cazuri de avertizare în interes public, poate prelucra proceduri de hărțuire (oficiale și neoficiale), poate prelucra reclamații interne și externe, poate desfășura audituri interne, poate efectua evaluări ale incidentelor de securitate cibernetică în temeiul articolului 7 alineatul (4) din Regulamentul (UE) 2019/881, poate desfășura investigații prin responsabilul cu protecția datelor, conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725, precum și investigații interne de securitate (informatică). ENISA prelucrează mai multe categorii de date cu caracter personal, inclusiv date concrete (date „obiective”, cum ar fi date de identificare, date de contact, date profesionale, detalii administrative, date primite din surse specifice, date privind comunicațiile electronice și privind traficul) și/sau date calitative (date „subiective” referitoare la caz, cum ar fi datele obținute din raționamente, date comportamentale, evaluări, date privind performanța și conduita și date referitoare la sau prezentate în legătură cu obiectul procedurii sau al activității).

(5) ENISA, reprezentată de directorul său executiv, îndeplinește rolul de operator de date, fără a ține seama de delegarea ulterioară a rolului de operator în cadrul ENISA, prin care se reflectă responsabilitățile operaționale pentru operațiuni specifice de prelucrare a datelor cu caracter personal.

(6) Datele cu caracter personal sunt păstrate în condiții de siguranță într-un mediu electronic sau pe hârtie, împiedicând-se accesarea ilegală sau transferul de date către persoane care nu au nevoie să le cunoască. Datele cu caracter personal prelucrate nu sunt păstrate mai mult timp decât este necesar și sunt adecvate scopurilor în care sunt prelucrate datele pentru perioada specificată în notificările privind protecția datelor, în declarațiile de confidențialitate sau în evidențele ENISA.

(7) Normele interne se aplică tuturor operațiunilor de prelucrare efectuate de ENISA în desfășurarea anchetelor administrative, a procedurilor disciplinare, a activităților preliminare legate de cazuri privind posibile nereguli raportate la OLAF, a procedurilor de avertizare în interes public, a procedurilor (oficiale și neoficiale) pentru cazurile de hărțuire, a prelucrării reclamațiilor interne și externe, a auditurilor interne, a evaluărilor incidentelor de securitate cibernetică în temeiul articolului 7 alineatul (4) din Regulamentul (UE) 2019/881, a investigațiilor efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725, a investigațiilor de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

(8) Aceste norme interne trebuie să se aplice operațiunilor de prelucrare efectuate înaintea deschiderii procedurilor la care s-a făcut referire mai sus, pe durata acestor proceduri, precum și pe durata monitorizării rezultatelor procedurilor. De asemenea, trebuie să includă asistența și cooperarea furnizate de ENISA autorităților naționale și organizațiilor internaționale în afara anchetelor administrative.

(9) În cazurile în care aceste norme interne sunt aplicabile, ENISA trebuie să ofere justificări, explicând de ce restricțiile sunt strict necesare și proporționale într-o societate democratică și să respecte esența drepturilor și libertăților fundamentale.

(10) În acest cadru general, ENISA are obligația de a respecta, în cea mai mare măsură posibilă, drepturile fundamentale ale persoanelor vizate în timpul procedurilor de mai sus, în special pe cele referitoare la dreptul de a furniza informații, de acces și de rectificare, dreptul de ștergere a datelor, de restricționare a prelucrării lor, dreptul de informare a persoanei vizate cu privire la încălcarea securității datelor cu caracter personal sau dreptul la confidențialitatea comunicării, potrivit dispozițiilor Regulamentului (UE) 2018/1725.

(11) Cu toate acestea, este posibil ca ENISA să aibă obligația de a restricționa informarea persoanei vizate și alte drepturi ale persoanei vizate pentru a proteja în special investigațiile proprii, investigațiile și procedurile altor autorități publice, precum și drepturile altor persoane legate de investigațiile sale sau de alte proceduri.

(12) Astfel, ENISA poate restricționa informarea în scopul protejării investigației și a drepturilor și libertăților fundamentale ale altor persoane vizate.

(13) ENISA trebuie să monitorizeze periodic aplicabilitatea condițiilor care justifică restricția și să ridice restricția în măsura în care acestea nu mai sunt aplicabile.

(14) Operatorul trebuie să informeze responsabilul cu protecția datelor în momentul amânării și pe durata revizuirilor.

(15) Având în vedere importanța normelor interne pentru protecția drepturilor persoanelor vizate, decizia trebuie să intre în vigoare cât mai curând posibil după publicarea sa în Jurnalul Oficial al Uniunii Europene,

Articolul 1

Obiect și domeniu de aplicare

(1) Prezenta decizie stabilește normele referitoare la condițiile în care ENISA, în cadrul procedurilor sale prevăzute la alineatul (2), poate restricționa aplicarea drepturilor consacrate la articolele 14-21, 35 și 36, precum și la articolul 4, cu respectarea articolului 25 din Regulamentul (UE) 2018/1725. (2) În cadrul general al funcționării administrative a ENISA, prezenta decizie se aplică operațiunilor de prelucrare a datelor cu caracter personal de ENISA, în următoarele scopuri: desfășurarea anchetelor administrative, a procedurilor disciplinare, a activităților preliminare legate de cazurile de eventuale nereguli raportate la OLAF, prelucrarea procedurilor de avertizare în interes public, a procedurilor (oficiale și neoficiale) în cazurile de hărțuire, prelucrarea reclamațiilor interne și externe, desfășurarea auditurilor interne, efectuarea evaluării incidentelor de securitate cibernetică în temeiul articolului 7 alineatul (4) din Regulamentul (UE) 2019/881, a investigațiilor desfășurate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725 și a investigațiilor de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE). (3) Categoriile de date în discuție sunt date concrete (date „obiective”, cum ar fi date de identificare, date de contact, date profesionale, detalii administrative, date primite din surse specifice, date privind comunicațiile electronice și date privind traficul) și/sau date mai puțin concrete (date „subiective” referitoare la caz, cum ar fi datele obținute din raționamente, date comportamentale, evaluări, date privind performanța și conduita și date referitoare la sau prezentate în legătură cu obiectul procedurii sau al activității). (4) În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, ENISA analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul menționat. (5) Sub rezerva condițiilor prevăzute în prezenta decizie, restricțiile pot fi aplicabile următoarelor drepturi: dreptul de a furniza informații către persoanele vizate, dreptul de acces, de rectificare, de ștergere, de restricționare a prelucrării, de informare a persoanei vizate cu privire la încălcarea securității datelor cu caracter personal sau dreptul la confidențialitatea comunicării.

Articolul 2

Specificație privind operatorul și garanții

(1) Garanțiile instituite pentru a evita încălcarea securității datelor, scurgerile de date sau prezentarea neautorizată a acestora sunt următoarele: (a) documentele pe hârtie se păstrează în dulapuri securizate și sunt accesibile doar personalului autorizat; (b) toate datele electronice se stochează într-o aplicație informatică securizată, conform standardelor de securitate ale ENISA, precum și în fișiere electronice specifice, accesibile doar personalului autorizat. Se acordă niveluri corespunzătoare de acces în mod individual; (c) baza de date este protejată cu parolă într-un sistem de autentificare unic și este conectată automat la ID-ul de utilizator și la parolă. Înlocuirea utilizatorilor este strict interzisă. Evidențele electronice se păstrează în condiții de siguranță, pentru a garanta confidențialitatea datelor pe care le conțin; (d) toate persoanele care au acces la date se supun obligației de confidențialitate. (2) Operatorul pentru operațiunile de prelucrare este ENISA, reprezentată de directorul său executiv, care poate delega funcția de operator. Persoanele vizate vor fi informate cu privire la operatorul delegat prin notificări privind protecția datelor sau prin evidențe publicate pe site-ul și/sau pe intranetul ENISA. (3) Perioada de păstrare a datelor cu caracter personal menționată la articolul 1 alineatul (3) nu va fi mai lungă decât este necesar și va fi adecvată scopului în care se prelucrează datele. În orice caz, aceasta nu va fi mai lungă decât perioada de păstrare specificată în notificările privind protecția datelor, în declarațiile de confidențialitate sau în evidențele menționate la articolul 5 alineatul (1). (4) În momentul în care ENISA analizează aplicarea unei restricții, se evaluează riscul pentru drepturile și libertățile persoanei vizate, în special în raport cu riscul pentru drepturile și libertățile altor persoane vizate și cu riscul de anulare a efectului investigațiilor sau al procedurilor ENISA, de exemplu prin distrugerea probelor. Riscurile pentru drepturile și libertățile persoanei vizate se referă în primul rând la riscurile reputaționale și la riscurile pentru dreptul la apărare și pentru dreptul de a fi ascultat, fără a se limita însă la acestea.

Articolul 3

Restricții

(1) ENISA aplică eventualele restricții doar pentru a garanta: (a) prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor sau executarea sancțiunilor penale, inclusiv protejarea împotriva amenințărilor la adresa securității publice și prevenirea acestora; (b) alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele politicii externe și de securitate comune a Uniunii sau un interes economic sau financiar important al Uniunii sau al unui stat membru, inclusiv în domeniile monetar, bugetar și fiscal și în domeniul sănătății publice și al securității sociale; (c) securitatea internă a instituțiilor și a organelor Uniunii, inclusiv a rețelelor lor de comunicații electronice; (d) prevenirea, investigarea, depistarea și urmărirea penală a încălcării etice în cazul profesiilor reglementate; (e) o funcție de monitorizare, inspecție sau reglementară corelată, chiar și ocazional, cu exercitarea autorității oficiale în cazurile menționate la literele (a) și (b); (f) protecția persoanei vizate sau a drepturilor și libertăților altor persoane. (2) Evaluarea incidentelor de securitate cibernetică, efectuată de ENISA în temeiul articolului 7 alineatul (4) din Regulamentul (UE) 2019/881 (Regulamentul privind securitatea cibernetică) intră sub incidența alineatului (1) litera (b) din acest articol. (3) Ca o aplicare specifică a scopurilor descrise la alineatul (1) de mai sus, ENISA poate să aplice restricții cu privire la schimbul de date cu caracter personal cu serviciile Comisiei sau cu alte instituții, organe, agenții și oficii ale Uniunii, cu autorități competente ale statelor membre sau cu țări terțe sau organizații internaționale, în următoarele situații: (a) în cazul în care exercitarea drepturilor și a obligațiilor respective ar putea fi restricționată de serviciile Comisiei sau de alte instituții, organe, agenții și oficii ale Uniunii, în baza altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul respectiv sau cu actele de instituire a altor instituții, organe, agenții și oficii ale Uniunii; (b) în cazul în care exercitarea drepturilor și obligațiilor respective ar putea fi restricționată de autoritățile competente ale statelor membre în baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (3) sau în conformitate cu măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului (4); (c) în cazul în care exercitarea respectivelor drepturi și obligații ar putea periclita cooperarea ENISA cu țări terțe sau cu organizații internaționale în desfășurarea sarcinilor sale. Înainte de a aplica restricții în situațiile menționate la literele (a) și (b) din primul paragraf, ENISA consultă serviciile Comisiei, instituțiile, organele, agențiile, oficiile relevante ale Uniunii sau autoritățile competente ale statelor membre, cu excepția cazului în care ENISA are certitudinea că aplicarea unei restricții este prevăzută de unul dintre actele menționate la literele respective. (4) Toate restricțiile vor fi necesare și proporționale și vor ține cont de riscurile pentru drepturile și libertățile persoanelor vizate și de respectarea esenței drepturilor și libertăților fundamentale într-o societate democratică. (5) Dacă se ia în considerare aplicarea restricției, se efectuează un test de necesitate și de proporționalitate, în baza prezentelor norme. Acesta este documentat, de la caz la caz, printr-o notă de evaluare internă în scopul respectării principiului responsabilității. (6) Restricțiile sunt ridicate imediat ce circumstanțele care le justifică nu mai sunt aplicabile, în special, în cazul în care se consideră că exercitarea dreptului restricționat nu ar mai anula efectul restricției impuse sau ar aduce atingere drepturilor sau libertăților altor persoane vizate.

Articolul 4

Revizuirea de către responsabilul cu protecția datelor

(1) ENISA își informează imediat responsabilul cu protecția datelor („RPD”), ori de câte ori operatorul restricționează aplicarea drepturilor persoanelor vizate sau prelungește restricția, în conformitate cu prezenta decizie. Operatorul acordă RPD acces la evidențele care cuprind evaluarea necesității și a proporționalității restricției și menționează în evidențe data la care RPD a fost informat. ENISA implică responsabilul cu protecția datelor pe parcursul tuturor procedurilor relevante, iar implicarea RPD se documentează. (2) RPD îi poate solicita operatorului în scris revizuirea aplicării restricțiilor. Operatorul informează RPD în scris cu privire la rezultatul revizuirii solicitate. (3) Operatorul informează RPD la ridicarea restricției.

Articolul 5

Furnizarea de informații către persoana vizată

(1) În cazuri justificate corespunzător și în condițiile stabilite în prezenta decizie, operatorul poate restricționa dreptul la furnizarea de informații în contextul următoarelor operațiuni de prelucrare: (a) efectuarea de anchete administrative și proceduri disciplinare; (b) activități preliminare legate de cazuri ale unor eventuale nereguli raportate la OLAF; (c) proceduri de avertizare în interes public; (d) proceduri (oficiale și neoficiale) în cazurile de hărțuire; (e) prelucrarea reclamațiilor interne și externe; (f) audituri interne; (g) investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725; (h) investigații de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE); (i) evaluarea incidentelor de securitate cibernetică, efectuată de ENISA în temeiul articolului 7 alineatul (4) din Regulamentul (UE) 2019/881, conform articolului 3 alineatul (2) din prezenta decizie. ENISA include în notificările privind protecția datelor declarații de confidențialitate sau evidențe în sensul articolului 31 din Regulamentul (UE) 2018/1725, publicate pe site-ul său și/sau pe intranet, prin care informează persoanele vizate cu privire la drepturile lor în cadrul unei proceduri date, precum și informații referitoare la eventuala restricționare a acestor drepturi. Informațiile cuprind drepturile care pot fi restricționate, motivele și durata probabilă. (2) Fără a aduce atingere dispozițiilor alineatului (3) din prezentul articol, ENISA, atunci când este proporțional, informează, de asemenea, în mod individual, fără întârzieri nejustificate și în scris, toate persoanele vizate care sunt considerate persoane interesate în acea operațiune de prelucrare specifică, cu privire la drepturile lor legate de restricțiile prezente sau viitoare. (3) În cazurile în care ENISA restricționează, integral sau parțial, furnizarea de informații către persoanele vizate menționate la alineatul (2) din prezentul articol, aceasta înregistrează motivele restricționării, temeiul legal în conformitate cu articolul 3 din prezenta decizie, inclusiv o evaluare a necesității și proporționalității restricției. Această evidență și, după caz, documentele care conțin elementele subiacente de fapt și de drept sunt consemnate. La cerere, acestea sunt puse la dispoziția Autorității Europene pentru Protecția Datelor. (4) Restricția menționată la alineatul (3) din prezentul articol continuă să se aplice atât timp cât motivele care o justifică rămân aplicabile. În cazul în care motivele restricției nu se mai aplică, ENISA furnizează persoanei vizate informații cu privire la principalele motive care stau la baza aplicării unei restricții. În același timp, ENISA informează persoana vizată cu privire la dreptul de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor în orice moment sau de a introduce o cale de atac la Curtea de Justiție a Uniunii Europene. ENISA revizuiește aplicarea restricției o dată la șase luni de la adoptarea sa, precum și la închiderea anchetei, procedurii sau investigației relevante. Ulterior, operatorul monitorizează necesitatea de a menține restricția o dată la șase luni.

Articolul 6

Dreptul de acces al persoanei vizate

(1) În cazuri justificate corespunzător și în condițiile stabilite în prezenta decizie, dacă este o măsură necesară și proporțională, operatorul poate restricționa dreptul la acces în contextul următoarelor operațiuni de prelucrare: (a) efectuarea de anchete administrative și proceduri disciplinare; (b) activități preliminare legate de cazuri privind eventuale nereguli raportate la OLAF; (c) proceduri de avertizare în interes public; (d) proceduri (oficiale și neoficiale) în cazurile de hărțuire; (e) prelucrarea reclamațiilor interne și externe; (f) audituri interne; (g) investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725; (h) investigații de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE); (i) evaluarea incidentelor de securitate cibernetică, efectuată de ENISA în temeiul articolului 7 alineatul (4) din Regulamentul (UE) 2019/881, conform articolului 3 alineatul (2) din prezenta decizie. Când persoanele vizate solicită acces la datele lor cu caracter personal prelucrate în contextul unuia sau mai multor cazuri specifice sau la o anumită operațiune de prelucrare, în conformitate cu articolul 17 din Regulamentul (UE) 2018/1725, ENISA își limitează evaluarea cererii doar la aceste date cu caracter personal. (2) În cazul în care ENISA restricționează, integral sau parțial, dreptul de acces menționat la articolul 17 din Regulamentul (UE) 2018/1725, aceasta ia următoarele măsuri: (a) informează persoana vizată în cauză, în răspunsul la cererea acesteia, cu privire la restricția aplicată și la principalele motive ale restricției, precum și la posibilitatea de a depune o plângere la AEPD sau de a introduce o cale de atac la Curtea de Justiție a Uniunii Europene; (b) documentează motivele restricționării, într-o notă de evaluare internă, care conține și evaluarea necesității, a proporționalității și durata restricției. Furnizarea informațiilor menționate la litera (a) poate fi amânată, omisă sau refuzată, dacă aceasta ar anula efectul restricției în conformitate cu articolul 25 alineatul (8) din Regulamentul (UE) 2018/1725. ENISA revizuiește aplicarea restricției o dată la șase luni de la adoptarea sa, precum și la închiderea investigației relevante. Ulterior, operatorul monitorizează necesitatea de a menține restricția o dată la șase luni. (3) Această evidență și, după caz, documentele care conțin elementele subiacente de fapt și de drept sunt consemnate. La cerere, acestea sunt puse la dispoziția AEPD.

Articolul 7

Dreptul de a rectifica și a șterge date și dreptul de a restricționa prelucrarea lor

(1) În cazuri justificate corespunzător și în condițiile stabilite în prezenta decizie, dacă este necesar și adecvat, dreptul de a rectifica și de a șterge date și dreptul de a restricționa prelucrarea lor pot fi restricționate de operator în contextul următoarelor operațiuni de prelucrare: (a) efectuarea de anchete administrative și proceduri disciplinare; (b) activități preliminare legate de cazuri privind eventuale nereguli raportate la OLAF; (c) proceduri de avertizare în interes public; (d) proceduri (oficiale și neoficiale) în cazurile de hărțuire; (e) prelucrarea reclamațiilor interne și externe; (f) audituri interne; (g) investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725; (h) investigații de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE); (i) evaluarea incidentelor de securitate cibernetică, efectuată de ENISA în temeiul articolului 7 alineatul (4) din Regulamentul (UE) 2019/881, conform articolului 3 alineatul (2) din prezenta decizie. (2) În cazul în care ENISA restricționează, integral sau parțial, aplicarea dreptului de a rectifica și de a șterge date și a dreptului de a restricționa prelucrarea lor, menționată la articolul 18, articolul 19 alineatul (1) și articolul 20 alineatul (1) din Regulamentul (UE) 2018/1725, aceasta ia măsurile prevăzute la articolul 6 alineatul (2) din prezenta decizie și în conformitate cu articolul 6 alineatul (3) din respectiva decizie.

Articolul 8

Informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal și confidențialitatea comunicațiilor electronice

(1) În cazuri justificate corespunzător și în condițiile stabilite în prezenta decizie, dacă este necesar și adecvat, dreptul la informare cu privire la încălcarea securității datelor cu caracter personal poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare: (a) efectuarea de anchete administrative și proceduri disciplinare; (b) activități preliminare legate de cazuri privind eventuale nereguli raportate la OLAF; (c) proceduri de avertizare în interes public; (d) prelucrarea reclamațiilor interne și externe; (e) audituri interne; (f) investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725; (g) investigații de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE); (h) evaluarea incidentelor de securitate cibernetică, efectuată de ENISA în temeiul articolului 7 alineatul (4) din Regulamentul (UE) 2019/881, conform articolului 3 alineatul (2) din prezenta decizie. (2) În cazuri justificate corespunzător și în condițiile stabilite în prezenta decizie, dacă este necesar și adecvat, dreptul la confidențialitatea comunicațiilor electronice poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare: (a) efectuarea de anchete administrative și a procedurilor disciplinare; (b) activități preliminare legate de cazuri privind eventuale nereguli raportate la OLAF; (c) proceduri de avertizare în interes public; (d) proceduri formale în cazurile de hărțuire; (e) prelucrarea reclamațiilor interne și externe; (f) investigații de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE). (g) evaluarea incidentelor de securitate cibernetică, efectuată de ENISA în temeiul articolului 7 alineatul (4) din Regulamentul (UE) 2019/881, conform articolului 3 alineatul (2). (3) În cazul în care ENISA restricționează informarea unei persoane vizate cu privire la încălcarea securității datelor cu caracter personal sau confidențialitatea comunicațiilor electronice, astfel cum se menționează la articolele 35 și 36 din Regulamentul (UE) 2018/1725, se aplică dispozițiile articolului 5 alineatul (3) din prezenta decizie. Se aplică articolul 5 alineatul (4) din prezenta decizie.

Articolul 9

Intrarea în vigoare

Prezenta decizie intră în vigoare în ziua următoare datei publicării în Jurnalul Oficial al Uniunii Europene.