Recitale
(1)
întrucât, în cadrul activităților sale, Curtea de Conturi Europeană (denumită în continuare „Curtea”) prelucrează mai multe categorii de date cu caracter personal și are obligația de a respecta drepturile persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, drepturi recunoscute la articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și la articolul 16 alineatul (1) TFUE;
(2)
întrucât, în anumite circumstanțe, este necesară concilierea drepturilor persoanelor vizate prevăzute de regulament cu nevoile impuse de sarcinile și de activitățile Curții. În acest sens, articolul 25 din regulament prevede, în condiții stricte, posibilitatea de a restricționa aplicarea articolelor 14-20, 35 și 36, precum și a articolului 4;
(3)
întrucât Curtea ar trebui să aplice restricții numai atunci când acestea respectă esența drepturilor și libertăților fundamentale și reprezintă o măsură necesară și proporțională într-o societate democratică. Curtea trebuie să trateze toate restricțiile în mod transparent și să furnizeze persoanei vizate informații cu privire la motivele aplicării unei restricții;
(4)
întrucât Curtea trebuie să ridice restricția de îndată ce condițiile care o justifică nu mai sunt aplicabile și trebuie să evalueze aceste condiții în mod regulat;
(5)
întrucât responsabilul cu protecția datelor din cadrul Curții trebuie să fie informat în timp util cu privire la orice restricții aplicate și să efectueze o analiză independentă a aplicării restricțiilor, în vederea asigurării conformității cu prezenta decizie,
Articolul 1
Obiect și domeniu de aplicare
Prezenta decizie stabilește normele referitoare la condițiile în care Curtea poate restricționa, în temeiul articolului 25 din regulament, aplicarea articolelor 14-20, 35 și 36, precum și a articolului 4 din acesta.
Articolul 2
Restricții
(1) În conformitate cu articolul 25 alineatul (1) din regulament, Curtea poate restricționa, de la caz la caz, aplicarea articolelor 14-20, 35 și 36, precum și a articolului 4 din acesta, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-20, atunci când: (a) efectuează audituri în temeiul articolului 287 TFUE. Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) literele (c), (g) și (h) din regulament; (b) desfășoară anchete administrative, proceduri predisciplinare, disciplinare și de suspendare, în temeiul articolului 86 din Statutul funcționarilor Uniunii Europene (1) (denumit în continuare „Statutul funcționarilor”) și în conformitate cu anexa IX la acesta. Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) literele (b), (c), (d), (f), (g) și (h) din regulament; (c) prelucrează plângeri interne și externe împotriva unui membru al personalului sau împotriva unui membru al Curții de Conturi Europene. Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) litera (h) din regulament; (d) desfășoară activități preliminare legate de cazuri de posibile nereguli raportate către OLAF. Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) literele (b), (c) și (h) din regulament; (e) asigură faptul că membrii personalului Curții pot furniza în mod confidențial informații cu privire la nereguli grave de care iau cunoștință în cursul exercitării atribuțiilor lor, în conformitate cu dispozițiile Regulamentului de procedură al Curții referitoare la furnizarea de informații în cazul unor nereguli grave (avertizarea în interes public). Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) literele (f) și (h) din regulament; (f) asigură faptul că membrii personalului Curții care se consideră victime ale hărțuirii pot solicita în mod confidențial consiliere și sprijin din partea unui manager, a unei persoane de contact, a medicului consultant sau a unui mediator, în conformitate cu Decizia nr. 26-2017 a Curții privind politica de menținere a unui mediu de lucru satisfăcător și de combatere a hărțuirii psihologice și sexuale. Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) literele (f) și (h) din regulament; (g) desfășoară audituri interne, în conformitate cu Decizia nr. 38-2016 a Curții de stabilire a normelor de aplicare a Regulamentului de procedură al Curții de Conturi. Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) literele (c), (g) și (h) din regulament; (h) asigură, în conformitate cu articolul 26a din Statutul funcționarilor și cu articolele 16 și 91 din Regimul aplicabil celorlalți agenți, accesul persoanelor vizate la date medicale de natură psihologică sau psihiatrică ce le privesc, în cazul în care accesul direct la astfel de date poate reprezenta un risc pentru sănătatea persoanei vizate, sau accesul la date medicale în cazul în care exercitarea acestui drept ar afecta în mod negativ drepturile și libertățile persoanei vizate sau ale altor persoane. Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) litera (h) din regulament; (i) asigură securitatea internă în cadrul Curții, și anume securitatea persoanelor, a activelor și a informațiilor, inclusiv desfășurarea de anchete interne de securitate, eventual cu implicare externă (CERT-UE, autoritățile polițienești naționale etc.). Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) literele (a), (b), (c), (d), (g) și (h) din regulament; (j) asigură faptul că responsabilul cu protecția datelor din cadrul Curții poate efectua investigații în conformitate cu articolul 45 alineatul (2) din regulament. Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) literele (d), (g) și (h) din regulament; (k) acordă asistență și cooperare altor instituții, organe, oficii și agenții ale Uniunii sau beneficiază de asistență și cooperare din partea acestora. Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) literele (c), (d), (g) și (h) din regulament; (l) furnizează, la cerere sau din proprie inițiativă, asistență și cooperare unor autorități publice din statele membre ale UE, unor țări terțe și unor organizații internaționale sau beneficiază de asistență și cooperare din partea acestora. Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) literele (c), (g) și (h) din regulament; (m) prelucrează date cu caracter personal din documente obținute de părți sau de intervenienți în contextul unei proceduri judiciare în fața Curții de Justiție a Uniunii Europene. Restricțiile relevante pot fi întemeiate pe articolul 25 alineatul (1) litera (e) din regulament.
(2) Categoriile de date includ datele de identificare ale unei persoane fizice, datele de contact, rolurile și sarcinile profesionale, informații privind conduita și performanța privată și profesională, precum și date financiare.
(3) Orice restricție trebuie să respecte esența drepturilor și libertăților fundamentale într-o societate democratică și să fie necesară și proporțională.
(4) Înainte de aplicarea restricțiilor, operatorul și responsabilul cu protecția datelor din cadrul Curții efectuează un test de necesitate și de proporționalitate, de la caz la caz. Restricțiile trebuie să fie limitate la ceea ce este strict necesar pentru atingerea obiectivelor stabilite.
(5) Curtea consemnează motivele restricțiilor aplicate, temeiul juridic, evaluarea riscurilor pentru drepturile și libertățile persoanelor vizate ale căror date cu caracter personal pot face obiectul unor restricții, precum și evaluarea necesității și a proporționalității restricției. Această consemnare și, dacă este cazul, documentele care conțin elemente de fapt și de drept subiacente fac parte dintr-un registru ad hoc, care este pus, la cerere, la dispoziția Autorității Europene pentru Protecția Datelor („AEPD”). Documentația privind restricțiile pentru dosarul medical se înregistrează numai în dosarul medical relevant.
(6) Atunci când prelucrează date cu caracter personal partajate cu alte organizații în contextul atribuțiilor sale, Curtea consultă organizațiile respective și este consultată de acestea cu privire la posibilele motive relevante pentru impunerea de restricții, precum și cu privire la necesitatea și la proporționalitatea restricțiilor, cu excepția cazului în care acest lucru ar pune în pericol activitățile Curții.
Articolul 3
Monitorizarea restricțiilor și reexaminarea acestora
(1) Restricțiile menționate la articolul 2 continuă să se aplice atât timp cât circumstanțele care le justifică rămân aplicabile.
(2) Curtea reexaminează aplicarea unei restricții din șase în șase luni de la data adoptării acesteia. O reexaminare trebuie de asemenea efectuată atunci când elementele esențiale ale unui caz se schimbă.
Articolul 4
Garanții
(1) Curtea instituie garanții pentru a preveni utilizarea abuzivă și accesarea sau transferul ilegal al datelor cu caracter personal care pot face obiectul unor restricții. Aceste garanții includ măsuri tehnice și organizatorice și sunt detaliate, după caz, în deciziile, în procedurile și în normele de punere în aplicare interne ale Curții. Garanțiile includ: (a) o definire adecvată a rolurilor, a responsabilităților și a etapelor procedurale; (b) dacă este cazul, un mediu electronic securizat care previne accesul ilegal sau accidental sau transferul de date electronice către persoane neautorizate; (c) dacă este cazul, stocarea și prelucrarea în condiții de siguranță a documentelor pe hârtie.
Articolul 5
Informațiile care trebuie comunicate responsabilului cu protecția datelor din cadrul Curții și reexaminarea de către acesta
(1) Responsabilul cu protecția datelor din cadrul Curții este informat fără întârzieri nejustificate ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie și i se acordă acces la evidențe și la orice documente care conțin elemente de fapt și de drept subiacente.
(2) Responsabilul cu protecția datelor din cadrul Curții poate depune o cerere de reexaminare a aplicării unei restricții. Curtea îl informează în scris cu privire la rezultatul cererii sale.
(3) Implicarea responsabilului cu protecția datelor în procedura privind restricțiile, inclusiv în schimburile de informații, trebuie să fie documentată într-o formă corespunzătoare.
Articolul 6
Informații furnizate persoanelor vizate cu privire la restricționarea drepturilor lor
(1) Curtea publică pe site-ul său informații generale referitoare la restricțiile privind drepturile persoanelor vizate descrise la articolul 2. Sfera restricției, motivele care stau la baza acesteia și durata sa potențială trebuie să fie explicate.
(2) În cazul în care Curtea aplică articolul 2 din prezenta decizie, aceasta informează persoanele vizate, fără întârzieri nejustificate și în scris, cu privire la principalele motive pe care se bazează aplicarea restricției, precum și cu privire la dreptul persoanelor vizate de a depune o plângere la AEPD și de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.
(3) Curtea poate amâna, omite sau refuza furnizarea de informații privind motivele restricției menționate la alineatul (2) atât timp cât aceasta ar anula efectul restricției. Această evaluare se efectuează de la caz la caz.
Articolul 7
Informarea persoanelor vizate cu privire la încălcări ale securității datelor cu caracter personal
În cazul în care restricționează informarea persoanei vizate cu privire la o încălcare a securității datelor cu caracter personal, astfel cum este menționată la articolul 35 din regulament, Curtea consemnează și înregistrează motivele restricției în conformitate cu articolul 2 alineatul (5) din prezenta decizie.
Articolul 8
Confidențialitatea comunicațiilor electronice
(1) În circumstanțe excepționale și în conformitate cu dispozițiile Directivei 2002/58/CE asupra confidențialității și comunicațiilor electronice, Curtea poate restricționa dreptul la confidențialitatea comunicațiilor electronice, astfel cum este menționată la articolul 36 din regulament. În acest caz, Curtea detaliază circumstanțele, motivele, riscurile relevante și garanțiile aferente în norme interne specifice.
(2) În cazul în care restricționează dreptul la confidențialitatea comunicațiilor electronice, Curtea informează persoana vizată, în răspunsul său la solicitarea acesteia, cu privire la principalele motive pe care se bazează aplicarea restricției, precum și cu privire la posibilitatea de a depune o plângere la AEPD sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.
(3) Curtea poate amâna, omite sau refuza furnizarea de informații privind motivele restricției menționate la alineatele (1) și (2) atât timp cât aceasta ar anula efectul restricției. Această evaluare se efectuează de la caz la caz.
Articolul 9
Intrarea în vigoare
Prezenta decizie intră în vigoare la data publicării în Jurnalul Oficial al Uniunii Europene.