Articolul text
Text integral
DECIZIA nr. 20/2022 A CONSILIULUI DE ADMINISTRAȚIE AL ELA din 24 noiembrie 2022 privind normele interne referitoare la restricționarea anumitor drepturi ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal în cadrul activităților desfășurate de Autoritatea Europeană a Muncii (2023/C 113/10) CONSILIUL DE ADMINISTRAȚIE AL AUTORITĂȚII EUROPENE A MUNCII, având în vedere Tratatul privind funcționarea Uniunii Europene, având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (1) [„Regulamentul (UE) 2018/1725” sau „regulamentul”], în special articolul 25, având în vedere Regulamentul (UE) 2019/1149 al Parlamentului European și al Consiliului din 20 iunie 2019 de instituire a unei Autorități Europene a Muncii, de modificare a Regulamentului (CE) nr. 883/2004, a Regulamentului (UE) nr. 492/2011 și a Regulamentului (UE) 2016/589 și de abrogare a Deciziei (UE) 2016/344 (2) („regulamentul de instituire”), în special articolul 36, după consultarea Autorității Europene pentru Protecția Datelor, întrucât: ADOPTĂ PREZENTA DECIZIE: Articolul 1 Obiect și domeniu de aplicare (1) Prezenta decizie stabilește normele privind condițiile în care ELA poate restricționa aplicarea articolelor 4, 14-22, 35 și 36, în temeiul articolului 25 din regulament. (2) Autoritatea Europeană a Muncii, în calitate de operator de date, este reprezentată de directorul executiv. Articolul 2 Restricții (1) Autoritatea Europeană a Muncii poate restricționa aplicarea articolelor 14-22, 35 și 36, precum și a articolului 4, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-20: (2) Aceste restricții trebuie să respecte esența drepturilor și libertăților fundamentale și să constituie o măsură necesară și proporțională într-o societate democratică. (3) Înainte de aplicarea restricțiilor și după caz, se efectuează un test de necesitate și proporționalitate. Restricțiile se limitează la ceea ce este strict necesar pentru atingerea obiectivelor lor. (4) În scopul asigurării răspunderii, ELA întocmește o evidență în care sunt descrise motivele care stau la baza restricțiilor aplicate, care anume dintre motivele enumerate la alineatul (1) se aplică și rezultatul testului de necesitate și proporționalitate. Evidența respectivă se introduce într-un registru, care este pus, la cerere, la dispoziția AEPD. Autoritatea Europeană a Muncii elaborează rapoarte periodice privind aplicarea articolului 25 din regulament. (5) Atunci când prelucrează date cu caracter personal primite de la alte organizații în contextul sarcinilor care îi revin, ELA se consultă cu organizațiile respective cu privire la potențialele motive pentru impunerea de restricții și cu privire la necesitatea și proporționalitatea restricțiilor vizate, cu excepția cazului în care acest lucru ar pune în pericol activitățile ELA. Articolul 3 Riscurile pentru drepturile și libertățile persoanelor vizate (1) Evaluările riscurilor pentru drepturile și libertățile persoanelor vizate de impunerea de restricții și detaliile referitoare la perioada de aplicare a acestor restricții se înregistrează în evidența activităților de prelucrare desfășurate de ELA în temeiul articolului 31 din regulament. Acestea sunt înregistrate, de asemenea, în orice evaluare a impactului restricțiilor asupra protecției datelor, efectuată în temeiul articolului 39 din regulament. (2) La evaluarea necesității și proporționalității unei restricții, ELA ia în considerare riscurile potențiale pentru drepturile și libertățile persoanei vizate. Articolul 4 Garanții și perioade de stocare (1) Autoritatea Europeană a Muncii instituie garanții pentru a preveni abuzul sau accesul ilegal sau transferul de date cu caracter personal care fac sau ar putea face obiectul unor restricții. Astfel de garanții conțin măsuri tehnice și organizatorice, iar dacă este necesar, sunt prezentate în detaliu în deciziile interne, în procedurile și în normele de punere în aplicare ale ELA. Garanțiile cuprind: Revizuirile menționate la litera (d) se efectuează cel puțin o dată la șase luni. (2) Restricțiile sunt ridicate imediat ce situațiile care le justifică nu se mai aplică. (3) Datele cu caracter personal se păstrează în conformitate cu normele aplicabile privind păstrarea datelor, care urmează să fie definite în evidența privind protecția datelor ținută în conformitate cu articolul 31 din regulament. La sfârșitul perioadei de păstrare, datele cu caracter personal sunt șterse, anonimizate sau transferate în arhive conform articolului 13 din regulament. Articolul 5 Implicarea responsabilului cu protecția datelor (1) Responsabilul cu protecția datelor al ELA este informat fără întârzieri nejustificate înainte de a se lua orice decizie de restricționare a drepturilor persoanelor vizate în conformitate cu prezenta decizie. Responsabilul cu protecția datelor al ELA are acces la evidența asociată și la orice document referitor la contextul faptic sau juridic. (2) Responsabilul cu protecția datelor al ELA poate solicita revizuirea aplicării restricției. Operatorul de date informează în scris responsabilul cu protecția datelor cu privire la rezultatul analizei. (3) Operatorul de date ELA consemnează implicarea responsabilului cu protecția datelor în aplicarea restricțiilor, inclusiv informațiile care îi sunt comunicate. (4) Operatorul de date informează responsabilul cu protecția datelor la ridicarea restricției. Articolul 6 Dreptul la informare (1) În cazuri justificate în mod corespunzător și în condițiile stabilite în prezenta decizie, dreptul la informare poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare: (2) Fără a aduce atingere dispozițiilor punctului 1, în limitele proporționalității, ELA informează de asemenea, în mod individual, toate persoanele vizate considerate persoane interesate în operațiunea specifică de prelucrare cu privire la drepturile lor legate de restricțiile prezente sau viitoare, fără întârzieri nejustificate și în scris. (3) În cazul în care restricționează, integral sau parțial, furnizarea de informații persoanelor vizate, la care face referire punctul 2, ELA înregistrează motivele restricționării, temeiul juridic în conformitate cu articolul 2 din prezenta decizie, incluzând și o evaluare a necesității și proporționalității restricției. Evidențele și, dacă este cazul, documentele care conțin elementele de fapt și de drept aferente se înregistrează. La cerere, acestea se pun la dispoziția Autorității Europene pentru Protecția Datelor. (4) Restricția menționată la punctul 1 continuă să se aplice atâta timp cât motivele care o justifică rămân aplicabile. În cazul în care motivele restricției nu se mai aplică, ELA furnizează persoanei vizate informații cu privire la principalele motive care stau la baza aplicării unei restricții. În același timp, ELA informează persoana vizată cu privire la dreptul de a depune oricând plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene. Articolul 7 Dreptul de acces al persoanei vizate (1) În cazuri justificate în mod corespunzător și în condițiile stipulate în prezenta decizie, dreptul de acces poate fi restricționat de operator, în contextul următoarelor operațiuni de prelucrare, dacă este necesar și proporțional: (2) În cazul în care restricționează, integral sau parțial, dreptul de acces menționat la articolul 17 din Regulamentul (UE) 2018/1725, ELA ia următoarele măsuri: (3) Evidențele și, dacă este cazul, documentele care conțin elementele de fapt și de drept aferente se înregistrează. La cerere, se pun la dispoziția Autorității Europene pentru Protecția Datelor. Articolul 8 Dreptul de rectificare și ștergere a datelor și dreptul de restricționare a prelucrării acestora (1) În cazuri justificate în mod corespunzător și în condițiile stabilite în prezenta decizie, dreptul de rectificare, ștergere și restricționare a datelor poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și adecvat: (2) În cazul în care restricționează, integral sau parțial, aplicarea dreptului de rectificare și ștergere a datelor și a dreptului de restricționare a prelucrării acestora, menționate la articolul 18, articolul 19 alineatul (1) și articolul 20 alineatul (1) din Regulamentul (UE) 2018/1725, ELA ia măsurile prevăzute la articolul 6 alineatul (2) din prezenta decizie și efectuează înregistrarea în conformitate cu articolul 6 alineatul (3) din decizie. Articolul 9 Furnizarea de informații persoanelor vizate cu privire la restricționarea drepturilor lor Autoritatea Europeană a Muncii poate amâna, omite sau refuza furnizarea de informații privind motivele restricției și dreptul de a depune o plângere la AEPD, atâta timp cât aceasta ar anula efectul restricției. Evaluarea caracterului justificat al acestor măsuri se efectuează de la caz la caz. Imediat ce aceasta nu ar mai anula efectul restricției, ELA furnizează informațiile persoanei vizate. Articolul 10 Informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal (1) În cazul în care ELA are obligația de a comunica o încălcare a securității datelor în temeiul articolului 35 alineatul (1) din regulament, acesta poate, în circumstanțe excepționale, să restricționeze integral sau parțial această comunicare. ELA trebuie să consemneze într-o notă motivele restricției, temeiul juridic al acesteia, în conformitate cu articolul 2, și o evaluare a necesității și proporționalității acesteia. Nota trebuie comunicată AEPD în momentul notificării încălcării securității datelor cu caracter personal. (2) În cazul în care motivele restricției nu se mai aplică, ELA comunică persoanei vizate încălcarea securității datelor cu caracter personal și o informează cu privire la motivele principale ale restricției și cu privire la dreptul său de a depune o plângere la AEPD. Articolul 11 Confidențialitatea comunicațiilor electronice (1) În circumstanțe excepționale, ELA poate restricționa dreptul la confidențialitatea comunicațiilor electronice în temeiul articolului 36 din regulament. Astfel de restricții sunt în conformitate cu Directiva 2002/58/CE a Parlamentului European și a Consiliului (4). (2) În cazul în care restricționează dreptul la confidențialitatea comunicațiilor electronice, ELA informează persoana vizată, în răspunsul său la o eventuală cerere a persoanei vizate, cu privire la principalele motive pe care se bazează aplicarea restricției și cu privire la dreptul său de a depune o plângere la AEPD. (3) Autoritatea Europeană a Muncii poate amâna, omite sau refuza furnizarea de informații privind motivele restricției și dreptul de a depune o plângere la AEPD, atâta timp cât aceasta ar anula efectul restricției. Evaluarea caracterului justificat al acestor măsuri se efectuează de la caz la caz. Articolul 12 Intrarea în vigoare Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene. Adoptată la Bratislava, 24 noiembrie 2022. Pentru Consiliul de administrație Tom BEVERS Președintele Consiliului de administrație (1) JO L 295, 21.11.2018, p. 39. (2) JO L 186, 11.7.2019, p. 21. (3) Regulamentul (CEE, Euratom, CECO) nr. 259/68 al Consiliului din 29 februarie 1968 de stabilire aStatutului funcționarilor Uniunii Europene și a Regimului aplicabil celorlalți agenți ai Uniunii Europene și de instituire a unor măsuri speciale tranzitorii aplicabile funcționarilor Comisiei (JO L 56, 4.3.1968, p. 1). (4) Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) (JO L 201, 31.7.2002, p. 37).