Dz.U.UE.L.2019.32.9

| Akt obowiązujący
Wersja od: 4 lutego 2019 r.

DECYZJA KOMISJI (UE) 2019/165
z dnia 1 lutego 2019 r.
ustanawiająca przepisy wewnętrzne dotyczące przekazywania informacji osobom, których dotyczą dane, oraz ograniczenia przez Komisję niektórych ich praw w zakresie ochrony danych w kontekście dochodzeń administracyjnych, postępowań przeddyscyplinarnych, dyscyplinarnych i postępowań w sprawie zawieszenia

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 249 ust. 1,

a także mając na uwadze, co następuje:

(1) Komisja prowadzi dochodzenia administracyjne, postępowania przeddyscyplinarne, dyscyplinarne i postępowania w sprawie zawieszenia na podstawie art. 86 regulaminu pracowniczego urzędników Unii Europejskiej 1  oraz zgodnie z jego załącznikiem IX oraz decyzją Komisji C(2004) 1588 2 . Zadania te leżą głównie w gestii Biura Dochodzeń i Postępowań Dyscyplinarnych Komisji ("IDOC"), która to dyrekcja jest częścią Dyrekcji Generalnej ds. Zasobów Ludzkich i Bezpieczeństwa. Postępowania dyscyplinarne mogą obejmować postępowania prowadzone przez Komisję Dyscyplinarną Komisji zgodnie z art. 17 załącznika IX do regulaminu pracowniczego.

(2) W kontekście tych działań odpowiednie służby Komisji gromadzą i przetwarzają odpowiednie informacje. Informacje te obejmują dane osobowe, w szczególności dane dotyczące tożsamości i zachowania oraz dane kontaktowe. Odpowiednie służby Komisji przekazują dane osobowe innym służbom Komisji zgodnie z zasadą ograniczonego dostępu.

(3) Dane osobowe przechowuje się w zabezpieczonych środowiskach fizycznych i elektronicznych, aby uniemożliwić bezprawny dostęp do tych danych oraz przekazywanie ich osobom z naruszeniem zasady ograniczonego dostępu. Po zakończeniu przetwarzania dane są przechowywane zgodnie z obowiązującymi przepisami Komisji 3 .

(4) Przy wykonywaniu swoich zadań Komisja jest zobowiązana do poszanowania praw osób fizycznych w związku z przetwarzaniem danych osobowych zgodnie z art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej i art. 16 ust. 1 Traktatu, a także praw przewidzianych w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2018/1725 4 , które zastąpiło rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady 5 . Jednocześnie Komisja jest zobowiązana przestrzegać ścisłych zasad poufności i tajemnicy zawodowej oraz zapewnić poszanowanie praw procesowych osób objętych dochodzeniem i świadków, w szczególności domniemania niewinności danej osoby.

(5) W pewnych okolicznościach konieczne jest pogodzenie praw osób, których dane dotyczą, zgodnie z rozporządzeniem (UE) 2018/1725 z potrzebą zapewnienia skuteczności dochodzeń administracyjnych oraz postępowań przeddyscyplinarnych, dyscyplinarnych i postępowań w sprawie zawieszenia, jak również pełnym poszanowaniem podstawowych praw i wolności innych osób, których dane dotyczą. W tym celu art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725 daje Komisji możliwość ograniczenia zastosowania art. 14-17, 19, 20 i 35, a także zasady przejrzystości ustanowionej w art. 4 ust. 1 lit. a), o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-17, 19, 20 i 35 tego rozporządzenia.

(6) Może to w szczególności dotyczyć przekazania danej osobie informacji o przetwarzaniu danych osobowych na początku postępowania administracyjnego. Przekazanie takich informacji może wpłynąć na zdolność Komisji do prowadzenia dochodzenia administracyjnego, na przykład ze względu na to, że dana osoba mogłaby zniszczyć dowody zanim zostaną one zbadane przez Komisję lub wpływać na potencjalnych świadków zanim zostaną oni przesłuchani. Podobnie zapewnienie dostępu do danych osobowych na etapach procedury, na których dana osoba nie ma dostępu do akt, np. podczas oceny wstępnej lub dochodzenia administracyjnego, mogłoby spowodować ujawnienie informacji, które mogłyby negatywnie wpłynąć na przebieg dochodzenia administracyjnego. W obu przypadkach ograniczenie praw danej osoby może być konieczne do zabezpieczenia funkcji kontrolnych, inspekcyjnych lub regulacyjnych związanych z wykonywaniem władzy publicznej w przypadku, gdy w grę wchodzi ważny cel leżący w ogólnym interesie publicznym Unii, a mianowicie zapewnienie, aby pracownicy Komisji przestrzegali regulaminowych obowiązków i postępowali etycznie.

(7) Konieczne może być również ograniczenie prawa dostępu danej osoby do danych osobowych w przypadku, gdy taki dostęp spowodowałby ujawnienie informacji o świadku lub sygnaliście, którzy zwrócili się o nieujawnianie ich tożsamości. W takim przypadku Komisja może podjąć decyzję o ograniczeniu dostępu do oświadczenia dotyczącego danej osoby w celu ochrony praw i wolności danego świadka lub sygnalisty.

(8) Aby zapewnić poufność i skuteczność dochodzeń administracyjnych, postępowań przeddyscyplinarnych, dyscyplinarnych, postępowań w sprawie zawieszenia i jednocześnie przestrzegać norm w zakresie ochrony danych osobowych na mocy rozporządzenia (UE) 2018/1725, konieczne jest przyjęcie przepisów wewnętrznych, na mocy których Komisja może ograniczyć prawa osób, których dane dotyczą, zgodnie z art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725.

(9) Przepisy wewnętrzne powinny mieć zastosowanie do wszystkich procesów przetwarzania danych realizowanych przez Komisję w ramach wykonywania jej zadań, w tym do procesów przetwarzania prowadzonych przed wszczęciem dochodzenia administracyjnego oraz w trakcie działań polegających na pomocy i współpracy ze strony Komisji na rzecz organów krajowych i organizacji międzynarodowych poza jej działalnością.

(10) W celu zapewnienia zgodności z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725 Komisja powinna informować - w sposób przejrzysty i spójny, w formie informacji o ochronie danych publikowanych na stronie internetowej Komisji - wszystkie osoby fizyczne o swoich działaniach obejmujących przetwarzanie ich danych osobowych oraz o ich prawach. Komisja powinna ponadto indywidualnie informować w odpowiedniej formie osoby, których dane dotyczą, objętych dochodzeniem administracyjnym lub postępowaniem przeddyscyplinarnym lub dyscyplinarnym lub postępowaniem w sprawie zawieszenia.

(11) Aby utrzymać skuteczną współpracę Komisja może być ponadto zmuszona ograniczyć stosowanie praw osób, których dane dotyczą, celem ochrony procesów przetwarzania dokonywanych przez inne instytucje, organy i jednostki organizacyjne Unii lub organów państw członkowskich i państw trzecich i organizacji międzynarodowych. W związku z tym Komisja powinna skonsultować się z tymi instytucjami, organami, jednostkami organizacyjnymi i organizacjami międzynarodowymi w kwestii stosownych podstaw nałożenia ograniczeń oraz w kwestii konieczności i proporcjonalności ograniczeń, chyba że zagroziłoby to działaniom Komisji.

(12) Komisja może również ograniczyć udzielanie informacji osobom, których dane dotyczą, i stosowanie innych praw tych osób w odniesieniu do danych osobowych otrzymywanych od państw trzecich lub organizacji międzynarodowych, aby wywiązać się z obowiązku współpracy z tymi państwami lub organizacjami, a tym samym chronić ważny cel leżący w ogólnym interesie publicznym Unii. W pewnych okolicznościach interes lub prawa podstawowe osoby, której dane dotyczą, mogą jednak przeważać nad interesem współpracy międzynarodowej.

(13) Komisja powinna rozpatrywać wszystkie ograniczenia w sposób przejrzysty i każde zastosowanie ograniczeń rejestrować w odpowiednim systemie rejestracji.

(14) Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 administratorzy mogą wstrzymać przekazanie informacji, pominąć je lub odmówić go z powodów zastosowania ograniczenia w stosunku do osoby, której dane dotyczą, jeżeli przekazanie tych informacji w jakikolwiek sposób zagroziłoby celowi tego ograniczenia. Dotyczy to w szczególności ograniczeń praw przewidzianych w art. 16 i 35 rozporządzenia (UE) 2018/1725.

(15) Komisja powinna regularnie dokonywać przeglądu nałożonych ograniczeń w celu zapewnienia, aby prawa osoby, której dane dotyczą, do uzyskania informacji zgodnie z art. 16 i 35 rozporządzenia (UE) 2018/1725 były ograniczone tylko tak długo, jak długo takie ograniczenia są konieczne, aby umożliwić Komisji prowadzenie dochodzeń administracyjnych, postępowań przeddyscyplinarnych, dyscyplinarnych lub postępowań w sprawie zawieszenia.

(16) W przypadku ograniczenia innych praw osoby, której dane dotyczą, administrator danych powinien w poszczególnych przypadkach ocenić, czy poinformowanie o ograniczeniu zagrażałoby jego celowi.

(17) Inspektor ochrony danych Komisji Europejskiej powinien przeprowadzić niezależny przegląd stosowania ograniczeń w celu zapewnienia zgodności z niniejszą decyzją,

(18) Europejski Inspektor Ochrony Danych wydał opinię w dniu 5 grudnia 2018 r.,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł  1

Przedmiot i zakres

1.  Niniejsza decyzja ustanawia zasady obowiązujące Komisję w zakresie informowania osób, których dane dotyczą, o przetwarzaniu ich danych zgodnie z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725 w ramach prowadzenia dochodzeń administracyjnych, postępowań przeddyscyplinarnych, dyscyplinarnych, postępowań w sprawie zawieszenia.
2.  Określa ona również warunki, na jakich Komisja może ograniczyć stosowanie art. 4 ust. 1 lit. a), art. 14-17, 19, 20 i 35 rozporządzenia (UE) 2018/1725, zgodnie z jego art. 25 ust. 1 lit. c), g) i h).
3.  Niniejsza decyzja ma zastosowanie do przetwarzania danych osobowych przez Komisję na podstawie art. 86 regulaminu pracowniczego i załącznika IX do niego oraz decyzji C(2004) 1588.
4.  Niniejsza decyzja ma zastosowanie do przetwarzania danych osobowych przez Komisję w zakresie, w jakim przetwarza ona dane osobowe do celów związanych z dochodzeniami administracyjnymi, postępowaniami przeddyscyplinarnymi, dyscyplinarnymi i postępowaniami w sprawie zawieszenia.
5.  Kategorie danych osobowych objętych niniejszą decyzją obejmują dane dotyczące tożsamości i zachowania oraz dane kontaktowe.
Artykuł  2

Obowiązujące wyjątki i ograniczenia

1.  Wykonując swoje obowiązki w odniesieniu do praw osób, których dane dotyczą, zgodnie z rozporządzeniem (UE) 2018/1725, Komisja uwzględnia, czy zastosowanie mają jakiekolwiek wyjątki określone w tym rozporządzeniu.
2.  Z zastrzeżeniem art. 3-7 niniejszej decyzji, Komisja może ograniczyć stosowanie art. 14-17, 19, 20 i 35 rozporządzenia (UE) 2018/1725, a także stosowanie zasady przejrzystości określonej w art. 4 ust. 1 lit. a) tego rozporządzenia w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-17, 19, 20 i 35 tego rozporządzenia, w przypadku gdy wykonywanie tych praw i obowiązków zagrażałoby celowi dochodzeń administracyjnych, postępowań przeddyscyplinarnych, dyscyplinarnych, postępowań w sprawie zawieszenia lub naruszałoby prawa i wolności innych osób, których dane dotyczą.
3.  Z zastrzeżeniem art. 3-7, Komisja może ograniczyć prawa i obowiązki, o których mowa w ust. 2 niniejszego artykułu, w odniesieniu do danych osobowych uzyskanych od innych instytucji, organów i jednostek organizacyjnych Unii, właściwych organów państw członkowskich, państw trzecich lub organizacji międzynarodowych, jeżeli zachodzą następujące okoliczności:
a) gdy wykonywanie tych praw i obowiązków mogłoby zostać ograniczone przez inne instytucje, organy i jednostki organizacyjne Unii na podstawie innych aktów, o których mowa w art. 25 rozporządzenia (UE) 2018/1725, lub zgodnie z rozdziałem IX tego rozporządzenia lub zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/794 6  lub rozporządzeniem Rady (UE) 2017/1939 7 ;
b) gdy wykonywanie tych praw i obowiązków mogłoby zostać ograniczone przez właściwe organy państw członkowskich na podstawie aktów, o których mowa w art. 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 8 , lub na podstawie środków krajowych transponujących art. 13 ust. 3, art. 15 ust. 3 lub art. 16 ust. 3 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 9 ;
c) gdy wykonywanie tych praw i obowiązków mogłoby zagrozić współpracy Komisji z państwami trzecimi lub organizacjami międzynarodowymi w prowadzeniu dochodzeń administracyjnych, postępowań przeddyscyplinarnych, dyscyplinarnych i postępowań w sprawie zawieszenia.

Przed zastosowaniem ograniczeń w okolicznościach, o których mowa w akapicie pierwszym lit. a) i b), Komisja konsultuje się z odpowiednimi instytucjami, organami i jednostkami organizacyjnymi Unii lub właściwymi organami państw członkowskich, chyba że dla Komisji jest jasne, że stosowanie ograniczenia jest przewidziane w jednym z aktów, o których mowa w tych literach, lub jeśli takie konsultacje zagrażałyby działaniom Komisji.

Lit. c) akapit pierwszy nie ma zastosowania, w przypadku gdy interesy lub podstawowe prawa i wolności osób, których dane dotyczą, przeważają nad interesem Komisji dotyczącym współpracy z państwami trzecimi lub organizacjami międzynarodowymi.

Artykuł  3

Przekazywanie informacji osobom, których dane dotyczą

1.  Komisja publikuje na swojej stronie internetowej informacje o ochronie danych, w ramach których informuje wszystkie osoby, których dane dotyczą, o prowadzonych przez siebie działaniach obejmujących przetwarzanie ich danych osobowych.
2.  Komisja indywidualnie informuje w odpowiedniej formie osobę, której dotyczy dochodzenie administracyjne, postępowanie przeddyscyplinarne, dyscyplinarne i postępowanie w sprawie zawieszenia, jak również świadków, do których skierowano wniosek o udzielenie informacji w związku z tymi postępowaniami, o przetwarzaniu ich danych osobowych.
3.  W przypadku gdy Komisja ogranicza, zgodnie z art. 2 niniejszej decyzji, w całości lub w części, przekazywanie informacji, o których mowa w ust. 2, zapisuje ona i rejestruje powody ograniczenia zgodnie z art. 6.
Artykuł  4

Prawo dostępu dla osób, których dane dotyczą, prawo do usunięcia danych oraz prawo do ograniczenia przetwarzania

1.  W przypadku ograniczenia, całkowitego lub częściowego, prawa dostępu, prawa do usunięcia danych lub prawa do ograniczenia przetwarzania danych osób, których dane dotyczą, o których to prawach mowa odpowiednio w art. 17, 19 i 20 rozporządzenia (UE) 2018/1725, Komisja informuje zainteresowaną osobę, której dane dotyczą, w odpowiedzi na jej wniosek o dostęp, usunięcie lub ograniczenie przetwarzania, o zastosowanych ograniczeniach i o ich głównych przyczynach oraz o możliwości złożenia skargi do Europejskiego Inspektora Ochrony Danych lub do wniesienia środka ochrony prawnej do Trybunału Sprawiedliwości Unii Europejskiej.
2.  Przekazanie informacji dotyczących przyczyn ograniczenia, o którym mowa w ust. 1 może zostać wstrzymane, pominięte lub można go odmówić tak długo, jak długo takie przekazanie naruszałoby cel ograniczenia.
3.  Zgodnie z art. 6 niniejszej decyzji Komisja rejestruje powody ograniczenia.
4.  W przypadku gdy prawo dostępu jest w całości lub w części ograniczone, osoba, której dane dotyczą, może skorzystać z prawa dostępu za pośrednictwem Europejskiego Inspektora Ochrony Danych zgodnie z art. 25 ust. 6, 7 i 8 rozporządzenia (UE) 2018/1725.
Artykuł  5

Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

W przypadku gdy Komisja ogranicza zawiadomienie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, jak określono w art. 35 rozporządzenia (UE) 2018/1725, zapisuje ona i rejestruje powody ograniczenia zgodnie z art. 6 niniejszej decyzji.

Artykuł  6

Zapisywanie i rejestrowanie ograniczeń

1.  Komisja zapisuje przyczyny wszelkich ograniczeń zastosowanych zgodnie z niniejszą decyzją, zamieszczając każdorazowo indywidualną ocenę konieczności i proporcjonalności.

W tym celu we wpisie określa się, w jaki sposób wykonywanie praw mogłoby zagrozić celowi dochodzeń administracyjnych, postępowań przeddyscyplinarnych, dyscyplinarnych, postępowań w sprawie zawieszenia lub ograniczeniom mającym zastosowanie zgodnie z art. 2 ust. 2 lub 3, lub jaki negatywny wpływ mogłoby wywrzeć na prawa i wolności innych osób, których dane dotyczą.

2.  W rejestrze uwzględnia się wspomniany wpis oraz, w stosownych przypadkach, leżące u jego podstaw dokumenty zawierające elementy stanu faktycznego oraz aspekty prawne. Udostępnia się je na żądanie Europejskiego Inspektora Ochrony Danych.
Artykuł  7

Okres obowiązywania ograniczeń

1.  Ograniczenia, o których mowa w art. 3, 4 i 5, mają zastosowanie tak długo, jak długo mają zastosowanie powody uzasadniające ich zastosowanie.
2.  W przypadku gdy przyczyny ograniczenia, o którym mowa w art. 3 i 5, nie mają już zastosowania, Komisja znosi ograniczenie i podaje główne powody ograniczenia osobie, której dane dotyczą. Jednocześnie Komisja informuje osobę, której dane dotyczą, o możliwości wniesienia, w dowolnym momencie, skargi za pośrednictwem Europejskiego Inspektora Ochrony Danych lub o możliwości odwołania się do Trybunału Sprawiedliwości Unii Europejskiej.
3.  Komisja dokonuje przeglądu stosowania ograniczeń, o których mowa w art. 3 i 5, co sześć miesięcy od ich przyjęcia i każdorazowo po zamknięciu dochodzenia administracyjnego, postępowania przeddyscyplinarnego, dyscyplinarnego i postępowania w sprawie zawieszenia. Następnie raz w roku Komisja monitoruje konieczność podtrzymania jakiegokolwiek odroczenia.
Artykuł  8

Przegląd dokonywany przez inspektora ochrony danych Komisji Europejskiej

1.  Inspektor ochrony danych Komisji Europejskiej jest niezwłocznie informowany, ilekroć prawa osób, których dane dotyczą, są ograniczone zgodnie z niniejszą decyzją. Inspektor ochrony danych otrzymuje, na żądanie, dostęp do wpisu oraz wszelkich leżących u jego podstaw dokumentów zawierających elementy stanu faktycznego oraz aspekty prawne.
2.  Inspektor ochrony danych może zwrócić się o przegląd ograniczeń. Inspektora ochrony danych należy pisemnie poinformować o wynikach wnioskowanego przeglądu.
Artykuł  9

Wejście w życie

Niniejsza decyzja wchodzi w życie trzeciego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Sporządzono w Brukseli dnia 1 lutego 2019 r.
W imieniu Komisji
Jean-Claude JUNCKER
Przewodniczący
1 Rozporządzenie Rady (EWG, Euratom, EWWiS) nr 259/68 z dnia 29 lutego 1968 r. ustanawiające regulamin pracowniczy i warunki zatrudnienia innych pracowników Wspólnot Europejskich oraz wprowadzające środki mające czasowe zastosowanie do urzędników Komisji (Dz.U. L 56 z 4.3.1968, s. 1; polskie wydanie specjalne: rozdział 1, tom 2, s. 5).
2 Decyzja Komisji C(2004) 1588 ustanawiająca ogólne przepisy wykonawcze dotyczące prowadzenia dochodzeń administracyjnych i postępowań dyscyplinarnych.
3 Wspólny, komisyjny wykaz dotyczący akt Komisji Europejskiej - SEC(2012) 713.
4 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39).
5 Rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.U. L 8 z 12.1.2001, s. 1).
6 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/794 z dnia 11 maja 2016 r. w sprawie Agencji Unii Europejskiej ds. Współpracy Organów Ścigania (Europol), zastępujące i uchylające decyzje Rady 2009/371/WSiSW, 2009/934/WSiSW, 2009/935/WSiSW, 2009/936/WSiSW i 2009/968/WSiSW (Dz.U. L 135 z 24.5.2016, s. 53).
7 Rozporządzenie Rady (UE) 2017/1939 z dnia 12 października 2017 r. wdrażające wzmocnioną współpracę w zakresie ustanowienia Prokuratury Europejskiej (Dz.U. L 283 z 31.10.2017, s. 1).
8 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1).
9 Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. L 119 z 4.5.2016, s. 89).