Act UE 2026/4448 · CELEX 32026Q04448

Decizia nr. 19/2025/MB a Consiliului de administrație privind normele interne referitoare la restricționarea anumitor drepturi ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal în cadrul activităților desfășurate de CEPOL Adoptată de Consiliul de administrație la 18 noiembrie 2025

Data act: 18.11.2025
Intrare in vigoare: 20.09.2026
Jurnalul Oficial UE: oj:C_202604448
Status: In vigoare

CEPOL date personale funcționare instituțională órgão decisor (UE) persoane fizice protecția datelor protecția vieții private regulament interior

Recitale

(1) Agenția Uniunii Europene pentru Formare în Materie de Aplicare a Legii (numită în continuare CEPOL) este împuternicită să desfășoare anchete administrative, proceduri predisciplinare, disciplinare și de suspendare, în conformitate cu Statutul funcționarilor Uniunii Europene și Regimul aplicabil celorlalți agenți ai Uniunii Europene, prevăzut de Regulamentul (CEE, Euratom, CECO) nr. 259/68 al Consiliului („Statutul funcționarilor”) (2), și cu Decizia nr. 04/2022 a Consiliului de administrație al CEPOL din 17 mai 2022 (3) de adoptare a dispozițiilor de punere în aplicare referitoare la desfășurarea anchetelor administrative și a procedurilor disciplinare. Dacă este necesar, CEPOL notifică cazurile și la OLAF, conform Deciziei nr. 21/2021/MB a Consiliului de administrație al CEPOL din 23 noiembrie 2021 (4).

(2) Membrii personalului CEPOL au obligația de a raporta activități potențial ilegale, și anume fraudă și corupție, care aduc atingere intereselor Uniunii. Membrii personalului sunt, de asemenea, obligați să raporteze comportamentele legate de îndeplinirea sarcinilor profesionale care ar putea constitui o încălcare gravă a obligațiilor funcționarilor Uniunii. Acest aspect este reglementat prin Decizia nr. 03/2019/MB a Consiliului de administrație al CEPOL (5) privind normele interne referitoare la denunțarea neregulilor, din 6 martie 2019.

(3) CEPOL a instituit o politică de prevenire și gestionare eficace a cazurilor reale sau potențiale de hărțuire psihologică sau sexuală la locul de muncă, astfel cum se prevede în Decizia nr. 02/2024/MB a Consiliului de administrație (6) din 23 februarie 2024 de adoptare a măsurilor de punere în aplicare în conformitate cu Statutul funcționarilor. Decizia stabilește o procedură informală prin care presupusa victimă a hărțuirii poate contacta persoanele de încredere din cadrul CEPOL.

(4) De asemenea, CEPOL poate desfășura investigații cu privire la potențiale încălcări ale normelor de securitate pentru informațiile UE clasificate („IUEC”), pe baza Deciziei nr. 12/2017/MB a Consiliului de administrație al CEPOL (7) din 10 mai 2017 de modificare/adoptare a normelor sale de securitate pentru protecția IUEC.

(5) CEPOL face obiectul unor audituri interne și externe privind activitățile sale.

(6) În contextul unor astfel de anchete administrative, audituri și investigații, CEPOL cooperează cu alte instituții, organe, oficii și agenții ale Uniunii.

(7) CEPOL poate coopera cu autoritățile naționale și cu organizațiile internaționale din țările terțe, la cererea lor sau din proprie inițiativă.

(8) CEPOL poate coopera și cu autoritățile publice ale statelor membre ale UE, la cererea lor sau din proprie inițiativă.

(9) CEPOL este implicat în cauzele prezentate în fața Curții de Justiție a Uniunii Europene când fie sesizează Curtea, apără o decizie pe care a luat-o și care a fost contestată în fața Curții, fie intervine în cauze care sunt de competența sa. În acest context, CEPOL ar putea fi nevoit să păstreze confidențialitatea datelor cu caracter personal conținute în documentele obținute de părți sau de intervenienți.

(10) Pentru a-și îndeplini sarcinile, CEPOL colectează și prelucrează informații și mai multe categorii de date cu caracter personal, și anume date de identificare ale persoanelor fizice, date de contact, roluri și sarcini profesionale, informații despre comportamentul și performanțele din viața privată și activitatea profesională, precum și date financiare. CEPOL acționează ca operator de date.

(11) Prin urmare, în temeiul regulamentului, CEPOL este obligat să furnizeze persoanelor vizate informații cu privire la aceste activități de prelucrare și să le respecte drepturile în calitate de persoane vizate.

(12) CEPOL ar putea fi obligat să reconcilieze aceste drepturi cu obiectivele anchetelor administrative, ale auditurilor, ale investigațiilor și ale acțiunilor în justiție. De asemenea, ar putea fi nevoit să asigure un echilibru între drepturile persoanei vizate și drepturile și libertățile fundamentale ale altor persoane vizate. În acest sens, articolul 25 din Regulamentul (UE) 2018/1725 conferă agenției posibilitatea de a restricționa, în condiții stricte, aplicarea articolelor 14-22, 35 și 36 din regulament, precum și a articolului 4, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-20. Cu excepția cazului în care sunt prevăzute restricții într-un act juridic adoptat în temeiul tratatelor, trebuie adoptate norme interne în temeiul cărora CEPOL are dreptul să restricționeze aceste drepturi.

(13) CEPOL ar putea, de exemplu, să fie nevoit să restricționeze informațiile pe care le furnizează unei persoane vizate cu privire la prelucrarea datelor sale cu caracter personal în etapa de evaluare preliminară a unei anchete administrative sau în cadrul anchetei propriu-zise, înainte de o eventuală revocare a cazului sau în etapa predisciplinară. În anumite situații, furnizarea de asemenea informații ar putea afecta grav capacitatea CEPOL de a efectua o anchetă în mod eficace, de exemplu, dacă există riscul ca persoana vizată să distrugă probe sau să ia legătura cu potențialii martori înainte de audierea lor. De asemenea, CEPOL ar putea fi nevoit să protejeze drepturile și libertățile martorilor, precum și pe cele ale celorlalte persoane implicate.

(14) Ar putea fi necesar să se protejeze anonimatul unui martor sau al unui avertizor de integritate care a solicitat să nu fie identificat. Într-un astfel de caz, CEPOL ar putea decide să restricționeze accesul la identitatea, declarațiile și alte date cu caracter personal ale acestor persoane, pentru a le proteja drepturile și libertățile.

(15) Ar putea fi necesar să se protejeze informațiile confidențiale ale unui membru al personalului care a contactat persoanele de încredere de la CEPOL, în contextul unei proceduri de hărțuire. În astfel de cazuri, CEPOL ar putea fi nevoit să restricționeze accesul la identitatea, declarațiile și alte date cu caracter personal ale presupusei victime, ale presupusului hărțuitor și ale altor persoane implicate, pentru a proteja drepturile și libertățile tuturor persoanelor implicate.

(16) CEPOL trebuie să aplice restricții numai dacă acestea respectă esența drepturilor și libertăților fundamentale, dacă sunt strict necesare și constituie o măsură proporțională într-o societate democratică. CEPOL trebuie să prezinte motivele care explică justificarea acestor restricții.

(17) Conform principiului responsabilității, CEPOL trebuie să țină evidența aplicării restricțiilor.

(18) Când prelucrează date cu caracter personal transmise altor organizații în contextul sarcinilor care îi revin, CEPOL se consultă cu organizațiile respective cu privire la potențialele motive pentru impunerea de restricții și cu privire la necesitatea și proporționalitatea restricțiilor respective, cu excepția cazului în care acest lucru ar pune în pericol activitățile CEPOL.

(19) Articolul 25 alineatul (6) din regulament prevede obligația operatorului de a informa persoanele vizate cu privire la principalele motive care stau la baza aplicării restricției și cu privire la dreptul lor de a depune o plângere la AEPD.

(20) În temeiul articolului 25 alineatul (8) din regulament, CEPOL poate amâna, omite sau refuza furnizarea de informații privind motivele aplicării unei restricții persoanei vizate, dacă aceasta ar anula efectul restricției. CEPOL trebuie să evalueze, de la caz la caz, dacă comunicarea restricției îi anulează efectul.

(21) CEPOL trebuie să ridice restricția imediat ce condițiile care justifică restricția nu mai sunt valabile și să evalueze aceste condiții în mod regulat.

(22) Pentru a garanta cea mai mare protecție a drepturilor și libertăților persoanelor vizate și în conformitate cu articolul 44 alineatul (1) din regulament, responsabilul cu protecția datelor trebuie consultat în timp util cu privire la restricțiile care pot fi aplicate și trebuie să verifice că acestea respectă dispozițiile prezentei decizii.

(23) Articolul 16 alineatul (5) și articolul 17 alineatul (4) din regulament prevăd excepții de la exercitarea de către persoanele vizate a dreptului la informare și a dreptului de acces. Dacă se aplică aceste excepții, CEPOL nu este nevoit să aplice o restricție în temeiul prezentei decizii,

Articolul 1

Obiect și domeniu de aplicare

(1) Prezenta decizie stabilește normele privind condițiile în care CEPOL poate restricționa aplicarea articolelor 4, 14-22, 35 și 36, în temeiul articolului 25 din regulament. (2) CEPOL, în calitate de operator, este reprezentat de directorul executiv.

Articolul 2

Restricții

(1) CEPOL poate restricționa aplicarea articolelor 14-22, 35 și 36, precum și a articolului 4, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-20: (a) în temeiul articolului 25 alineatul (1) literele (b), (c), (f), (g) și (h) din regulament, atunci când desfășoară anchete administrative, proceduri predisciplinare sau disciplinare sau suspendări în temeiul articolului 86 și al anexei IX din Statutul funcționarilor Uniunii Europene și în temeiul Deciziei nr. 04/2022/MB a Consiliului de administrație al CEPOL, precum și atunci când notifică cazuri la OLAF, în temeiul Deciziei nr. 21/2021/MB a Consiliului de administrație al CEPOL. (b) în temeiul articolului 25 alineatul (1) litera (h) din regulament, atunci când se asigură că membrii personalului CEPOL pot raporta faptele în mod confidențial, în cazul în care consideră că există nereguli grave, așa cum se prevede în Decizia nr. 03/2019/MB a Consiliului de administrație al CEPOL privind normele interne referitoare la avertizarea în interes public; (c) în temeiul articolului 25 alineatul (1) litera (h) din regulament, atunci când se asigură că membrii personalului CEPOL pot raporta persoanelor de încredere în contextul unei proceduri de hărțuire, așa cum se definește în Decizia nr. 02/2024/MB a Consiliului de administrație al CEPOL; (d) în temeiul articolului 25 alineatul (1) literele (c), (g) și (h) din regulament, atunci când efectuează audituri interne în legătură cu activitățile sau departamentele CEPOL; (e) în temeiul articolului 25 alineatul (1) literele (c), (d), (g) și (h) din regulament, atunci când acordă asistență altor instituții, organe, oficii și agenții ale Uniunii sau beneficiază de asistență din partea acestora sau cooperează cu acestea în contextul activităților prevăzute la literele (a)-(d) de la prezentul alineat și în temeiul acordurilor relevante privind nivelul serviciilor, al memorandumurilor de înțelegere și al acordurilor de cooperare; (f) în temeiul articolului 25 alineatul (1) literele (c), (g) și (h) din regulament, atunci când acordă asistență autorităților naționale și organizațiilor internaționale din țări terțe sau beneficiază de asistență din partea acestora sau cooperează cu aceste autorități și organizații, la cererea lor sau din proprie inițiativă; (g) în temeiul articolului 25 alineatul (1) literele (c), (g) și (h) din regulament, atunci când acordă și beneficiază de asistență din partea autorităților publice ale statelor membre ale UE și atunci când cooperează cu acestea, la cererea lor sau din proprie inițiativă; (h) în temeiul articolului 25 alineatul (1) litera (e) din regulament, atunci când prelucrează date cu caracter personal în documentele obținute de părți sau de intervenienți în contextul procedurilor desfășurate în fața Curții de Justiție a Uniunii Europene; (i) în temeiul articolului 25 alineatul (1) literele (d), (g) și (h) din regulament, atunci când responsabilul cu protecția datelor desfășoară investigații în conformitate cu articolul 45 alineatul (2) din regulament; (j) în temeiul articolului 25 alineatul (1) literele (a), (b), (c), (d), (g) și (h), atunci când efectuează investigații de securitate (TIC) gestionate la nivel intern sau cu implicarea unor părți externe. (2) Toate restricțiile trebuie să respecte esența drepturilor și libertăților fundamentale și să constituie o măsură necesară și proporțională într-o societate democratică. (3) Înainte de aplicarea restricțiilor și după caz, se efectuează un test de necesitate și proporționalitate. Restricțiile se limitează la ceea ce este strict necesar pentru atingerea obiectivelor lor. (4) În scopul asigurării răspunderii, CEPOL întocmește o evidență în care sunt descrise motivele care stau la baza restricțiilor aplicate, care motive din cele enumerate la alineatul (1) se aplică și rezultatul testului de necesitate și proporționalitate. Evidența respectivă se introduce într-un registru, care este pus, la cerere, la dispoziția AEPD. CEPOL întocmește rapoarte periodice privind aplicarea articolului 25 din regulament. (5) Atunci când prelucrează date cu caracter personal primite de la alte organizații în contextul sarcinilor care îi revin, CEPOL se consultă cu organizațiile respective cu privire la potențialele motive pentru impunerea de restricții și cu privire la necesitatea și proporționalitatea restricțiilor vizate, cu excepția cazului în care acest lucru ar pune în pericol activitățile CEPOL.

Articolul 3

Riscul pentru drepturile și libertățile persoanelor vizate

(1) Evaluările riscurilor pentru drepturile și libertățile persoanelor vizate privind impunerea de restricții și detaliile referitoare la perioada de aplicare a acestor restricții se înregistrează în evidența activităților de prelucrare desfășurate de CEPOL în temeiul articolului 31 din regulament. Acestea sunt înregistrate, de asemenea, în orice evaluare a impactului restricțiilor asupra protecției datelor, efectuată în temeiul articolului 39 din regulament. (2) La evaluarea necesității și proporționalității unei restricții, CEPOL ia în considerare riscurile potențiale pentru drepturile și libertățile persoanei vizate.

Articolul 4

Garanții și perioade de păstrare

(1) CEPOL instituie garanții pentru a preveni utilizarea abuzivă și accesul sau transferul ilegal de date cu caracter personal care fac sau ar putea face obiectul unor restricții. Aceste garanții conțin măsuri tehnice și organizatorice, iar dacă este necesar, sunt prezentate în detaliu în deciziile interne, procedurile și normele de punere în aplicare ale CEPOL. Garanțiile cuprind: (a) definirea clară a rolurilor, a responsabilităților și a etapelor procedurale; (b) dacă este cazul, un mediu electronic securizat care să împiedice accesul sau transferul ilegal și accidental al datelor electronice către persoane neautorizate; (c) dacă este cazul, păstrarea și prelucrarea securizată a documentelor pe suport de hârtie; (d) monitorizarea corespunzătoare a restricțiilor și o examinare periodică a aplicării lor. Revizuirile menționate la litera (d) se efectuează cel puțin o dată la șase luni. (2) Restricțiile sunt ridicate imediat ce situațiile care le justifică nu se mai aplică. (3) Datele cu caracter personal se păstrează conform normelor CEPOL aplicabile privind păstrarea datelor, care urmează să fie definite în evidența privind protecția datelor cu caracter personal ținută conform articolului 31 din regulament. La sfârșitul perioadei de păstrare, datele cu caracter personal sunt șterse, anonimizate sau transferate în arhive conform articolului 13 din regulament.

Articolul 5

Implicarea responsabilului cu protecția datelor

(1) Responsabilul cu protecția datelor al CEPOL este informat fără întârzieri nejustificate ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie. Acesta are acces la evidența asociată și la orice documente referitoare la contextul faptic sau juridic. (2) Responsabilul cu protecția datelor (RPD) poate solicita reexaminarea aplicării restricției. Operatorul de date informează responsabilul cu protecția datelor, în scris, cu privire la rezultatul revizuirii. (3) CEPOL documentează implicarea responsabilului cu protecția datelor în aplicarea restricțiilor, inclusiv informațiile care îi sunt comunicate.

Articolul 6

Informarea persoanelor vizate cu privire la restricționarea drepturilor lor

(1) Anunțurile publicate pe site-ul/intranetul CEPOL privind protecția datelor cu caracter personal conțin o secțiune în care persoanelor vizate li se furnizează informații generale cu privire la posibilitatea de a li se restricționa drepturile în temeiul articolului 2 alineatul (1). Informațiile se referă la drepturile care pot fi restricționate, motivele pentru care se pot aplica restricții și durata lor potențială. (2) CEPOL informează fiecare persoană vizată în parte, în scris și fără întârzieri nejustificate, cu privire la restricțiile prezente sau viitoare ale drepturilor lor. CEPOL informează persoana vizată cu privire la principalele motive care stau la baza aplicării restricției, la dreptul său de a se consulta cu responsabilul cu protecția datelor în vederea contestării restricției și la dreptul său de a depune plângere la AEPD. (3) CEPOL poate amâna, omite sau refuza furnizarea de informații privind motivele restricției și dreptul de a depune plângere la AEPD, atât timp cât aceasta ar anula efectul restricției. Evaluarea caracterului justificat al acestor măsuri se efectuează de la caz la caz. Imediat ce aceasta nu ar mai anula efectul restricției, CEPOL furnizează informațiile persoanei vizate.

Articolul 7

Informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal

(1) În cazul în care trebuie să comunice o încălcare a securității datelor în temeiul articolului 35 alineatul (1) din regulament, CEPOL poate, în circumstanțe excepționale, să restricționeze integral sau parțial această comunicare. CEPOL trebuie să consemneze într-o notă motivele restricției, temeiul juridic al acesteia, în conformitate cu articolul 2, și o evaluare a necesității și proporționalității acesteia. Nota este comunicată AEPD în momentul notificării încălcării securității datelor cu caracter personal. (2) În cazul în care motivele restricției nu se mai aplică, CEPOL comunică persoanei vizate încălcarea securității datelor cu caracter personal și o informează cu privire la motivele principale ale restricției și cu privire la dreptul său de a depune plângere la AEPD.

Articolul 8

Confidențialitatea comunicațiilor electronice

(1) În circumstanțe excepționale, CEPOL poate restricționa dreptul la confidențialitatea comunicațiilor electronice în temeiul articolului 36 din regulament. Aceste restricții sunt în conformitate cu Directiva 2002/58/CE a Parlamentului European și a Consiliului. (2) În cazul în care restricționează dreptul la confidențialitatea comunicațiilor electronice, CEPOL informează persoana vizată, în răspunsul său la o eventuală cerere a persoanei vizate, cu privire la principalele motive pe care se bazează aplicarea restricției și cu privire la dreptul său de a depune plângere la AEPD. (3) CEPOL poate amâna, omite sau refuza furnizarea de informații privind motivele restricției și dreptul de a depune plângere la AEPD, atât timp cât aceasta ar anula efectul restricției. Evaluarea caracterului justificat al acestor măsuri se efectuează de la caz la caz.

Articolul 9

Intrarea în vigoare

Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.