Act UE 2022/513 · CELEX 32022Q0513(01)

Decizia GB(D)06-2021 de stabilire a normelor interne referitoare la restricționarea anumitor drepturi ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal în cadrul funcționării întreprinderii comune „Proiectul de cercetare privind ATM în contextul Cerului unic european” 3 [2022/737]

Data act: 14.12.2021
Intrare in vigoare: 14.05.2022
Jurnalul Oficial UE: oj:JOL_2022_136_R_0008
Status: In vigoare

date personale funcționare instituțională întreprindere comună europeană órgão decisor (UE) persoane fizice protecția datelor protecția vieții private regulament interior

Recitale

(1) Numai actele juridice adoptate în temeiul tratatelor pot prevedea restricționarea drepturilor persoanelor vizate. În cazul în care aceste restricții nu se pot baza pe acte juridice adoptate în temeiul tratatelor, Regulamentul (UE) 2018/1725 prevede că, în ceea ce privește aspectele legate de operațiunile întreprinderii comune SESAR 3, restricțiile pot fi impuse prin norme interne, în urma evaluării necesității și proporționalității acestor restricții.

(2) În conformitate cu articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, restricționarea aplicării articolelor 14-22, 35 și 36, precum și a articolului 4 din regulamentul respectiv, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-22, trebuie să se bazeze pe normele interne care urmează să fie adoptate de întreprinderea comună SESAR 3.

(3) În cadrul funcționării sale administrative, întreprinderea comună SESAR 3 poate desfășura anchete administrative, proceduri disciplinare, activități preliminare privind cazuri de eventuale nereguli raportate la OLAF, poate prelucra cazuri de avertizare în interes public, proceduri (oficiale și neoficiale) de hărțuire, poate trata plângeri interne și externe, poate desfășura audituri interne, investigații prin responsabilul cu protecția datelor al întreprinderii comune SESAR 3 conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725, precum și investigații interne de securitate (IT).

(4) Întreprinderea comună SESAR 3 prelucrează mai multe categorii de date cu caracter personal, cum ar fi date de identificare, date de contact, date profesionale, date administrative, date primite din surse specifice, date privind comunicațiile electronice și privind traficul, precum și date referitoare la caz (cum ar fi date obținute din raționamente și din evaluări, date comportamentale, date privind performanța și conduita și date referitoare la obiectul procedurii sau al activității sau prezentate în legătură cu acesta) (3).

(5) Întreprinderea comună SESAR 3, reprezentată de directorul său executiv, acționează în calitate de operator de date.

(6) Datele cu caracter personal sunt stocate în condiții de siguranță într-un mediu electronic sau pe hârtie pentru a preveni accesul ilegal la acestea sau transferul lor către persoane care nu au dreptul legal de acces la aceste date cu caracter personal. Datele cu caracter personal prelucrate sunt păstrate doar atât timp cât este necesar și adecvat în scopurile pentru care sunt prelucrate datele pentru perioada specificată în avizele privind protecția datelor, în declarațiile de confidențialitate sau în evidențele întreprinderii comune SESAR 3.

(7) Normele interne trebuie să se aplice tuturor operațiunilor de prelucrare realizate de întreprinderea comună SESAR 3 în desfășurarea anchetelor administrative, a procedurilor disciplinare, a activităților preliminare privind cazuri de eventuale nereguli raportate la OLAF, a procedurilor de avertizare în interes public, a procedurilor (oficiale și neoficiale) privind cazurile de hărțuire, în tratarea plângerilor interne și externe, în desfășurarea auditurilor interne, a investigațiilor efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725, precum și a investigațiilor de securitate (IT) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE).

(8) Normele interne trebuie să se aplice operațiunilor de prelucrare relevante efectuate înainte de procedurile menționate mai sus, pe durata acestor proceduri, pe durata monitorizării rezultatelor procedurilor, precum și pe toată durata perioadei în care restricția continuă să se aplice. De asemenea, aceste norme trebuie să fie aplicabile oricărui tip de asistență și cooperare furnizat de întreprinderea comună SESAR 3 autorităților naționale și organizațiilor internaționale în afara propriilor sale anchete administrative.

(9) În cazurile în care se aplică aceste norme interne, întreprinderea comună SESAR 3 trebuie să furnizeze justificări, explicând de ce restricțiile sunt strict necesare și proporționale într-o societate democratică, și să respecte esența drepturilor și libertăților fundamentale.

(10) În acest cadru, întreprinderea comună SESAR 3 are obligația de a respecta, în cea mai mare măsură posibilă și în deplină conformitate cu legislația și orientările relevante, drepturile fundamentale ale persoanelor vizate în timpul procedurilor de mai sus, în special pe cele referitoare la dreptul de furnizare de informații, dreptul de acces și de rectificare, dreptul de ștergere a datelor, dreptul de restricționare a prelucrării datelor, dreptul de informare a persoanei vizate cu privire la încălcarea securității datelor cu caracter personal sau dreptul la confidențialitatea comunicării, astfel cum sunt instituite prin Regulamentul (UE) 2018/1725.

(11) Cu toate acestea, este posibil ca întreprinderea comună SESAR 3 să fie obligată să restricționeze informarea persoanelor vizate și alte drepturi ale acestora pentru a proteja în special investigațiile proprii, investigațiile și procedurile altor autorități publice, precum și drepturile altor persoane legate de investigațiile sale sau de alte proceduri.

(12) În cazul în care are în vedere aplicarea unei restricții, întreprinderea comună SESAR 3 apreciază riscul pentru drepturile și libertățile persoanei vizate, în special în raport cu riscul pentru drepturile și libertățile altor persoane vizate și cu riscul de anulare a efectului investigațiilor sau al procedurilor întreprinderii comune SESAR 3, de exemplu prin distrugerea probelor. Riscurile pentru drepturile și libertățile persoanei vizate privesc, în primul rând, riscurile reputaționale și riscurile pentru dreptul la apărare și pentru dreptul de a fi ascultat, fără a se limita însă la acestea.

(13) Astfel, întreprinderea comună SESAR 3 poate restricționa informarea în scopul protejării investigației și a drepturilor și libertăților fundamentale ale altor persoane vizate.

(14) Întreprinderea comună SESAR 3 trebuie să verifice periodic dacă se aplică condițiile care justifică restricția și să ridice restricția îndată ce aceasta nu se mai aplică.

(15) Operatorul trebuie să informeze responsabilul cu protecția datelor în momentul amânării și pe durata revizuirilor.

(16) Prezenta decizie se adoptă prin procedură scrisă, în conformitate cu articolul 10 din Regulamentul de procedură al Consiliului de administrație,

Articolul 1

Obiect și domeniu de aplicare

(1) Prezenta decizie stabilește normele referitoare la condițiile în care întreprinderea comună SESAR 3, în cadrul procedurilor sale prevăzute la alineatul (2), poate restricționa aplicarea drepturilor consacrate la articolele 14-21, 35 și 36, precum și la articolul 4, în conformitate cu articolul 25 din Regulamentul (UE) 2018/1725. (2) În cadrul funcționării administrative a întreprinderii comune SESAR 3, prezenta decizie se aplică operațiunilor de prelucrare a datelor cu caracter personal de către Biroul de programe, în următoarele scopuri: desfășurarea anchetelor administrative, a procedurilor disciplinare, a activităților preliminare privind cazuri de eventuale nereguli raportate la OLAF, prelucrarea cazurilor de avertizare în interes public, a procedurilor (oficiale și neoficiale) în cazurile de hărțuire, tratarea plângerilor interne și externe, desfășurarea auditurilor interne, a investigațiilor efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725 și a investigațiilor de securitate (IT) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE). (3) Categoriile de date în cauză cuprind date de identificare, date de contact, date profesionale, detalii administrative, date primite din surse specifice, date privind comunicațiile electronice și privind traficul, precum și date referitoare la caz, cum ar fi date obținute din raționamente și din evaluări, date comportamentale, date privind performanța și conduita și date referitoare obiectul procedurii sau al activității sau prezentate în legătură cu acesta. (4) În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, întreprinderea comună SESAR 3 analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul menționat.

Articolul 2

Menționarea operatorului

Operatorul responsabil cu prelucrarea datelor este întreprinderea comună SESAR 3, reprezentată de directorul său executiv.

Articolul 3

Menționarea garanțiilor

(1) Întreprinderea comună SESAR 3 instituie următoarele garanții menite să prevină utilizările abuzive ale datelor cu caracter personal sau accesul ori transferul ilegal al acestor date: (a) documentele pe hârtie se păstrează în dulapuri securizate și sunt accesibile doar personalului autorizat; (b) toate datele electronice se stochează într-o aplicație informatică securizată conform standardelor de securitate ale întreprinderii comune SESAR 3, precum și în dosare electronice specifice, la care are acces doar personalul autorizat. Se acordă niveluri corespunzătoare de acces în mod individual; (c) baza de date este protejată cu parolă într-un sistem de autentificare unic și este conectată automat la ID-ul de utilizator și la parolă, efectuându-se inclusiv „pseudonimizarea” și/sau „criptarea”, dacă este cazul. Înlocuirea utilizatorilor este strict interzisă. Evidențele electronice se păstrează în condiții de siguranță, pentru a garanta confidențialitatea datelor pe care le conțin; (d) toate persoanele care au acces la date se supun obligației de confidențialitate. (2) Conform articolului 6 alineatul (3), garanțiile menționate la alineatul (1) trebuie să facă obiectul unei reexaminări periodice. (3) Perioada de păstrare a datelor cu caracter personal menționate la articolul 1 alineatul (3) este indicată în avizele relevante privind protecția datelor, în declarațiile de confidențialitate sau în evidențele menționate la articolul 7 alineatul (1). Perioada de păstrare nu trebuie să fie mai lungă, în niciun caz, decât este necesar și adecvat îndeplinirii scopurilor în care sunt prelucrate datele (4).

Articolul 4

Motive pentru aplicarea restricțiilor

(1) Întreprinderea comună SESAR 3 aplică eventualele restricții doar pentru a garanta: (a) securitatea națională, securitatea publică sau apărarea statelor membre; (b) prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor sau executarea sancțiunilor penale, inclusiv protejarea împotriva amenințărilor la adresa securității publice și prevenirea acestora; (c) alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele politicii externe și de securitate comune ale Uniunii sau un interes economic sau financiar important al Uniunii sau al unui stat membru, inclusiv în domeniile monetar, bugetar și fiscal și în domeniul sănătății publice și al securității sociale; (d) securitatea internă a instituțiilor și a organelor Uniunii, inclusiv a rețelelor lor de comunicații electronice; (e) prevenirea, investigarea, depistarea și urmărirea penală a încălcării eticii în cazul profesiilor reglementate; (f) funcția de monitorizare, inspecție sau reglementare legată, chiar și ocazional, de exercitarea autorității oficiale în cazurile menționate la literele (a)-(c); (g) protecția persoanei vizate sau a drepturilor și libertăților altora; (h) punerea în aplicare a pretențiilor de drept civil. (2) În aplicarea specifică a scopurilor descrise la alineatul (1) de mai sus, întreprinderea comună SESAR 3 poate să aplice restricții în următoarele situații: (a) în legătură cu datele cu caracter personal care fac obiectul schimburilor de date cu serviciile Comisiei sau cu alte instituții, organe, agenții și oficii ale Uniunii: (i) în cazul în care serviciul respectiv al Comisiei ori instituția, organul sau agenția în cauză a Uniunii are dreptul de a restricționa exercitarea drepturilor menționate în temeiul altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul respectiv sau cu actele de înființare ale altor instituții, organe, agenții și oficii ale Uniunii; (ii) în cazul în care scopul unei astfel de restricționări de către serviciul respectiv al Comisiei sau de către instituția, organul sau agenția în cauză a Uniunii ar fi periclitat dacă întreprinderea comună SESAR 3 nu ar aplica o restricție echivalentă în privința acelorași date cu caracter personal; (b) în legătură cu datele cu caracter personal care fac obiectul schimburilor de date cu autoritățile competente ale statelor membre: (i) în cazul în care autoritățile competente ale statelor membre în cauză au dreptul de a restricționa exercitarea drepturilor menționate în temeiul unor acte prevăzute la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (5) sau în temeiul măsurilor naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului (6); (ii) în cazul în care scopul unei astfel de restricționări de către autoritatea competentă în cauză ar fi periclitat dacă întreprinderea comună SESAR 3 nu ar aplica o restricție echivalentă în privința acelorași date cu caracter personal; (c) în legătură cu datele cu caracter personal care fac obiectul schimburilor de date cu țări terțe sau cu organizații internaționale, în cazul în care există dovezi clare că exercitarea drepturilor și a obligațiilor respective ar putea periclita cooperarea întreprinderii comune SESAR 3 cu țări terțe sau cu organizații internaționale în îndeplinirea sarcinilor sale. Înainte de a aplica restricții în situațiile menționate la primul paragraf literele (a) și (b), întreprinderea comună SESAR 3 consultă serviciile relevante ale Comisiei ori instituțiile, organele, agențiile sau oficiile relevante ale Uniunii ori autoritățile competente ale statelor membre, cu excepția cazului în care întreprinderea comună SESAR 3 are certitudinea că aplicarea unei restricții este prevăzută de unul dintre actele menționate la literele respective.

Articolul 5

Restricții și drepturi ale persoanelor vizate

(1) În cazuri justificate corespunzător și în condițiile stabilite în prezenta decizie, următoarele drepturi pot fi restricționate de operator în contextul operațiunilor de prelucrare enumerate la articolul 1 alineatul (2) și la alineatul (2) de mai jos, dacă este necesar și proporțional: (a) dreptul la informare; (b) dreptul de acces; (c) dreptul de a rectifica și de a șterge datele și dreptul de a restricționa prelucrarea acestora; (d) dreptul de a informa persoana vizată cu privire la o încălcare a securității datelor cu caracter personal; (e) dreptul la confidențialitatea comunicațiilor electronice. (2) În cazuri justificate corespunzător și pentru a proteja scopurile menționate la articolul 4 alineatul (1), operatorul poate aplica restricții în contextul următoarelor operațiuni de prelucrare menționate la articolul 1 alineatul (2): (a) desfășurarea anchetelor administrative și a procedurilor disciplinare; (b) activități preliminare privind cazuri de eventuale nereguli raportate la OLAF; (c) proceduri de avertizare în interes public; (d) proceduri oficiale și neoficiale în cazurile de hărțuire; (e) tratarea plângerilor interne și externe; (f) audituri interne; (g) investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725; (h) investigații de securitate (IT) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE); (i) în cadrul procedurii de gestionare a granturilor sau de achiziții publice, după data-limită de depunere a cererilor de propuneri sau a cererilor de oferte. (3) În contextul procedurii pentru cazurile de hărțuire, drepturile menționate la alineatul (1) pot fi limitate în aceleași condiții, cu excepția dreptului de informare a persoanei vizate cu privire la o încălcare a securității datelor cu caracter personal menționat la alineatul (1) litera (d). (4) În contextul procedurii de gestionare a granturilor sau de achiziții publice, drepturile menționate la alineatul (1) pot fi limitate în aceleași condiții, cu excepția dreptului de a rectifica și de a șterge datele și a dreptului de a restricționa prelucrarea acestora menționate la alineatul (1) litera (c). (5) În cazuri justificate corespunzător și în condițiile prevăzute în prezenta decizie, dreptul de a rectifica și de a șterge datele și dreptul de a restricționa prelucrarea acestora pot fi restricționate de către operator, cu excepțiile prevăzute la alineatele (3) și (4). (6) În cazul în care întreprinderea comună SESAR 3 restricționează, total sau parțial, aplicarea drepturilor menționate la alineatele (1), (3), (4) și (5), aceasta ia măsurile prevăzute la articolele 6 și 7 din prezenta decizie. (7) În cazul în care persoanele vizate solicită acces la datele lor cu caracter personal prelucrate în contextul unuia sau al mai multor cazuri specifice sau solicită acces la o anumită operațiune de prelucrare, în conformitate cu articolul 17 din Regulamentul (UE) 2018/1725, evaluarea cererii de către întreprinderea comună SESAR 3 se limitează numai la aceste date cu caracter personal.

Articolul 6

Necesitatea și proporționalitatea restricțiilor

(1) Toate restricțiile prevăzute la articolul 4 sunt necesare și proporționale, având în vedere riscurile pentru drepturile și libertățile persoanelor vizate, și respectă esența drepturilor și libertăților fundamentale într-o societate democratică. (2) Dacă se ia în considerare aplicarea restricției, se efectuează un test de necesitate și proporționalitate, în baza prezentelor norme. Testul se efectuează, de asemenea, în cadrul reexaminării periodice, după ce se evaluează dacă motivele de fapt și de drept pe care se întemeiază restricția mai sunt aplicabile. Acesta este documentat printr-o notă de evaluare internă în scopul respectării principiului responsabilității, de la caz la caz. (3) Restricțiile sunt temporare. Acestea continuă să se aplice cât timp motivele care le justifică rămân aplicabile. În special, în cazul în care se consideră că exercitarea dreptului restricționat nu ar mai anula efectul restricției impuse sau ar aduce atingere drepturilor sau libertăților altor persoane vizate. Întreprinderea comună SESAR 3 reexaminează aplicarea restricției o dată la șase luni de la adoptarea acesteia, precum și la încheierea anchetei, procedurii sau investigației relevante. Ulterior, operatorul verifică necesitatea de a menține restricția o dată la șase luni. (4) În cazul în care aplică, integral sau parțial, restricțiile prevăzute la articolul 4 din prezenta decizie, întreprinderea comună SESAR 3 consemnează motivele restricționării, temeiul juridic în conformitate cu alineatul (1) de mai sus, inclusiv o evaluare a necesității și proporționalității restricției. Aceste evidențe se înregistrează. După caz, se înregistrează și documentele care conțin elementele de fapt și de drept subiacente. La cerere, acestea se pun la dispoziția Autorității Europene pentru Protecția Datelor.

Articolul 7

Obligația de a informa

(1) Întreprinderea comună SESAR 3 include în avizele privind protecția datelor, declarațiile de confidențialitate sau evidențele păstrate în sensul articolului 31 din Regulamentul (UE) 2018/1725 publicate pe site-ul său și/sau pe intranet, prin care informează persoanele vizate cu privire la drepturile lor în cadrul unei proceduri date, informații referitoare la eventuala restricționare a acestor drepturi. Informațiile cuprind drepturile care pot fi restricționate, motivele restricționării și posibila durată a acesteia. Fără a se aduce atingere dispozițiilor prevăzute la articolul 6 alineatul (4), întreprinderea comună SESAR 3, în cazul în care este proporțional, informează, de asemenea, în mod individual, toate persoanele vizate considerate persoane interesate în operațiunea specifică de prelucrare, cu privire la drepturile lor legate de restricțiile prezente sau viitoare, fără întârzieri nejustificate și în scris. (2) În cazul în care restricționează, integral sau parțial, drepturile prevăzute la articolul 5, întreprinderea comună SESAR 3 informează persoana vizată cu privire la restricția aplicată și la principalele motive ale acesteia, precum și la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene. Furnizarea informațiilor menționate la alineatul (2) de mai sus poate fi amânată, omisă sau refuzată, dacă aceasta ar anula efectul restricției în conformitate cu articolul 25 alineatul (8) din Regulamentul (UE) 2018/1725.

Articolul 8

Reexaminarea de către responsabilul cu protecția datelor

(1) Întreprinderea comună SESAR 3 își informează responsabilul cu protecția datelor („RPD”), fără întârzieri nejustificate, ori de câte ori operatorul restricționează aplicarea drepturilor persoanelor vizate sau prelungește restricția, în conformitate cu prezenta decizie. Operatorul acordă responsabilului cu protecția datelor acces la evidențele care cuprind evaluarea necesității și a proporționalității restricției și consemnează data informării acestuia. (2) RPD îi poate solicita operatorului, în scris, reexaminarea aplicării restricțiilor. Operatorul informează RPD, în scris, cu privire la rezultatul reexaminării solicitate. (3) RPD este implicat pe parcursul întregii proceduri. Operatorul informează RPD la ridicarea restricției.

Articolul 9

Intrare în vigoare

Prezenta decizie intră în vigoare în ziua următoare datei publicării în Jurnalul Oficial al Uniunii Europene.