KOLEGIUM EUROJUSTU,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1727 z dnia 14 listopada 2018 r. w sprawie Agencji Unii Europejskiej ds. Współpracy Wymiarów Sprawiedliwości i w Sprawach Karnych (Eurojust) oraz zastąpienia i uchylenia decyzji Rady 2002/18 7/WSiSW, zwane dalej "rozporządzeniem o Eurojuście",

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725z dnia 2 3 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE, zwane dalej "rozporządzeniem 2018/1725",

uwzględniając regulamin wewnętrzny Eurojustu zatwierdzony przez Radę decyzją wykonawczą (UE) 2019/2250z dnia 19 grudnia 2019 r. i przyjęty przez kolegium w dniu 20 grudnia 2019 r. i w szczególności jego art. 17,

uwzględniając opinie Wspólnego Organu Nadzorczego wydane w dniu 28 października 2019 r. i w dniu 11 grudnia 2019 r.,

uwzględniając opinię Europejskiego Inspektora Ochrony Danych wydaną w dniu 13 grudnia 2019 r.,

uwzględniając zatwierdzenie niniejszego regulaminu wewnętrznego przez Radę w drodze decyzji wykonawczej (UE) 2019/2250 z dnia 19 grudnia 2019 r.,

PRZYJMUJE REGULAMIN WEWNĘTRZNY O PRZETWARZANIU I OCHRONIE DANYCH OSOBOWYCH W EUROJUŚCIE W DNIU 20 GRUDNIA 2019 r:

TYTUŁ I

ZAKRES STOSOWANIA, STRUKTURA I DEFINICJE

Artykuł 1

Zakres stosowania i definicje

1. Regulamin przetwarzania i ochrony danych ochrony w Eurojuście (zwany dalej "regulaminem") wdraża przepisy o ochronie danych zawarte w rozporządzeniu o Eurojuście i w rozporządzeniu 2018/1725.

2. Ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących lub mających stanowić część zbioru danych.

3. Regulamin ma zastosowanie do wszystkich danych osobowych przetwarzanych przez Eurojust, w tym danych osobowych zawartych w informacjach sporządzonych lub otrzymanych przez Eurojust i pozostających w jego posiadaniu, dotyczących kwestii związanych z politykami, działaniami i decyzjami mieszczącymi się w jego kompetencjach.

Artykuł 2

Struktura

1. Niniejszy regulamin ma zastosowanie zarówno do operacyjnych, jak i administracyjnych danych osobowych przetwarzanych przez Eurojust.

2. Dane operacyjne są przetwarzane zgodnie z przepisami tytułu II.

3. Dane administracyjne są przetwarzane zgodnie z przepisami tytułu III.

TYTUŁ II

PRZEPISY DOTYCZĄCE OPERACJI PRZETWARZANIA OPERACYJNYCH DANYCH OSOBOWYCH

ROZDZIAŁ I

Ogólne zasady przetwarzania operacyjnych danych osobowych

Artykuł 3

Administrowanie przetwarzaniem operacyjnych danych osobowych w Eurojuście

W odniesieniu do przetwarzania operacyjnych danych osobowych Eurojust jako administrator danych działa za pośrednictwem przedstawicieli krajowych, którzy zgodnie z art. 24 ust. 1 rozporządzenia o Eurojuście, są odpowiedzialni za zarządzanie sprawami otworzonymi przez nich w ramach wykonywania ich zadań określonych w rozporządzeniu o Eurojuście lub zainicjowanymi przez nich w przypadku, gdy Eurojust będzie działał jako kolegium zgodnie z art. 5 ust. 2 lit. a) rozporządzenia o Eurojuście.

Artykuł 4

Szczególne warunki przetwarzania

Przedstawiciele krajowi otrzymujący operacyjne dane osobowe od właściwych organów krajowych przestrzegają szczególnych warunków przetwarzania nałożonych przez nie zgodnie z art. 9 ust. 3 i 4 dyrektywy (UE) 2016/680 i i informują także te organy krajowe o wszelkich szczególnych warunkach nałożonych na nich przez mające zastosowanie prawo UE, które to warunki mają zastosowanie do wszelkich operacyjnych danych osobowych przekazywanych, w odpowiednich przypadkach, przez przedstawicieli krajowych organom krajowym.

Artykuł 5

Jakość danych

Jeśli Eurojust wykryje jakąkolwiek nieścisłość w danych otrzymanych od państwa członkowskiego w związku z dochodzeniem lub wniesieniem i popieraniem oskarżenia lub w danych otrzymanych od instytucji, organu lub jednostki organizacyjnej Unii, przedstawiciel krajowy zleca, po konsultacji z organami krajowymi, niezwłoczne sprostowanie tych informacji i poinformowanie o tym odnośnego państwa członkowskiego lub odnośnych instytucji, organów lub jednostek organizacyjnych Unii, od których otrzymano dane informacje.

Artykuł 6

Bezpieczeństwo danych

Wszyscy pracownicy Eurojustu są odpowiednio poinformowani o polityce bezpieczeństwa Eurojustu oraz obowiązani do wykorzystywania środków technicznych i organizacyjnych oddanych im do dyspozycji, w tym do odbycia wymaganego szkolenia, zgodnie z mającymi zastosowanie wymogami dotyczącymi ochrony danych i bezpieczeństwa danych.

ROZDZIAŁ II

Prawa osób, których dane dotyczą

Artykuł 7

Procedura korzystania z praw przez osoby, których dane dotyczą, w przypadku przetwarzania operacyjnych danych osobowych

1. Wnioski o skorzystanie z praw przysługujących osobom, których dane dotyczą, są rozpatrywane przez odpowiedniego przedstawiciela krajowego lub odpowiednich przedstawicieli krajowych, którzy w celach ewidencyjnych przekazują kopię wniosku inspektorowi ochrony danych.

2. Dany przedstawiciel krajowy lub dani przedstawiciele krajowi konsultują się z właściwymi organami państw członkowskich w sprawie decyzji, która ma zostać podjęta w odpowiedzi na wniosek.

3. Inspektor ochrony danych, jeżeli w danym przypadku jest to wymagane, przeprowadza dodatkowe kontrole w zautomatyzowanym systemie zarządzania sprawami i powiadamia danego przedstawiciela krajowego lub danych przedstawicieli krajowych, czy w wyniku tych kontroli znalezione zostały jakiekolwiek dodatkowe istotne informacje. Dany przedstawiciel krajowy lub dani przedstawiciele krajowi uwzględniają informacje przedstawione przez inspektora ochrony danych i w stosownym przypadku ponownie rozpatrują pierwotną decyzję.

4. Przyczyny prawne i faktyczne będące podstawą decyzji podjętej przez przedstawiciela krajowego lub przedstawicieli krajowych są dokumentowane w aktach tymczasowych dotyczących wniosku zawartych w zautomatyzowanym systemie zarządzania sprawami i na żądanie udostępniane EIOD.

5. Inspektor ochrony danych przekazuje osobie, której dane dotyczą, decyzję podjętą przez danego przedstawiciela krajowego lub danych przedstawicieli krajowych w imieniu Eurojustu i informuje tę osobę o możliwości złożenia skargi do EIOD, jeśli nie odpowiada jej podjęta decyzja, lub wniesienia środka prawnego do Trybunału Sprawiedliwości.

6. W przypadkach, w których wniosek wpłynął za pośrednictwem krajowego organu nadzorczego, Eurojust informuje ten organ o decyzji przekazanej przez inspektora ochrony danych osobie, której dane dotyczą.

Artykuł 8

Informowanie stron trzecich w związku ze sprostowaniem, ograniczeniem lub usunięciem operacyjnych danych osobowych

Eurojust wprowadza odpowiednie środki techniczne w celu zapewnienia, by wtedy, gdy w następstwie otrzymanego wniosku Eurojust sprostowuje, ogranicza lub usuwa dane osobowe, automatycznie powstawał wykaz podmiotów, które dostarczyły i otrzymały te dane.

ROZDZIAŁ III

Zautomatyzowany system zarządzania sprawami

Artykuł 9

Akta tymczasowe i indeks zautomatyzowanego systemu zarządzania sprawami

1. Zautomatyzowany system zarządzania sprawami automatycznie przydziela wszystkim nowym aktom tymczasowym niepowtarzalną sygnaturę (identyfikator).

2. Jeżeli przedstawiciel krajowy odpowiedzialny za prowadzenie akt tymczasowych zgodnie z art. 24 ust. 1 rozporządzenia o Eurojuście udostępnia akta tymczasowe lub ich część uczestniczącemu przedstawicielowi krajowemu lub większej ich liczbie, zautomatyzowany system zarządzania sprawami zapewnia upoważnionym użytkownikom figurującym w profilu biura krajowego podlegającego temu przedstawicielowi krajowemu dostęp do odpowiednich części akt, lecz nie umożliwia im modyfikacji danych wprowadzonych przez pierwotnego autora. Upoważnieni użytkownicy mogą jednak dodawać wszelkie istotne informacje do nowych części akt tymczasowych. Także informacje znajdujące się w indeksie mogą być odczytywane przez wszystkich upoważnionych użytkowników systemu, ale zmieniać może je wyłącznie ich pierwotny autor.

3. Inspektor ochrony danych jest automatycznie informowany przez zautomatyzowany system zarządzania sprawami o utworzeniu wszelkich nowych akt tymczasowych, które zawiera dane osobowe.

4. Zautomatyzowany system zarządzania sprawami umożliwia odpowiedniemu państwu członkowskiemu, które otworzyło akta tymczasowe, zapisywanie w indeksie zgodnie z art. 23 ust. 4 i art. 24 ust. 3 rozporządzenia o Eurojuście wyłącznie operacyjnych danych osobowych, o których mowa w pkt 1 lit. a)-i), k) i m) i w pkt 2 załącznika II do rozporządzenia o Eurojuście.

5. W przypadku gdy zgodnie z art. 23 ust. 6 rozporządzenia o Eurojuście przedstawiciele krajowi chcą tymczasowo przechowywać i analizować dane osobowe do celów ustalenia, czy takie dane są istotne dla zadań Eurojustu, tworzą projekt akt tymczasowych, który pozostanie dostępny tylko dla nich i dla osób przez nich upoważnionych figurujących w profilu ich biura krajowego. Po trzech miesiącach projekt akt tymczasowych powinien zostać przekształcony w akta tymczasowe w zautomatyzowanym systemie zarządzania sprawami lub powinien zostać automatycznie usunięty przez system. System wysyła danemu przedstawicielowi krajowemu powiadomienie o zbliżającym się upływie tego terminu, by przypomnieć mu o potrzebie podjęcia decyzji co do projektu akt.

6. Dany przedstawiciel krajowy lub dani przedstawiciele krajowi zapewniają, by informacje zawarte w indeksie były wystarczające do realizacji zadań Eurojustu określonych w art. 2 rozporządzenia o Eurojuście.

Artykuł 10

Szczególne kategorie danych

1. Eurojust podejmuje odpowiednie środki techniczne w celu zapewnienia, by inspektor ochrony danych był automatycznie powiadamiany o wyjątkowych przypadkach, w których zastosowano art. 2 7 ust. 4 rozporządzenia o Eurojuście. Zautomatyzowany system zarządzania sprawami uniemożliwia ujmowanie takich danych w indeksie, o którym mowa w art. 2 3 ust. 1 i 4 rozporządzenia o Eurojuście.

2. W przypadku gdy dane te odnoszą się do świadków lub pokrzywdzonych w rozumieniu art. 27 ust. 2 rozporządzenia o Eurojuście, zautomatyzowany system zarządzania sprawami nie rejestruje tych informacji, chyba że odpowiedni przedstawiciele krajowi postanowią inaczej. Decyzja o przetwarzaniu takich danych musi zostać udokumentowana.

Artykuł 11

Przetwarzanie kategorii operacyjnych danych osobowych, o których mowa w art. 27 ust. 2 i 3 rozporządzenia o Eurojuście

1. Eurojust podejmuje odpowiednie środki techniczne w celu zapewnienia, by inspektor ochrony danych był automatycznie powiadamiany o wyjątkowych przypadkach, w których, przez ograniczony okres, jest stosowany art. 2 7 ust. 3 rozporządzenia o Eurojuście. W zautomatyzowanymi systemie zarządzania sprawami dane te powinny zostać oznaczone w sposób, który będzie przypominać osobie, która wprowadziła dane do systemu, o tym, że dane te mogą być przechowywane tylko przez ograniczony okres.

2. W przypadku gdy dane te odnoszą się do świadków lub pokrzywdzonych w rozumieniu art. 27 ust. 2 rozporządzenia o Eurojuście, zautomatyzowany system zarządzania sprawami nie rejestruje tych informacji, chyba że odpowiedni przedstawiciele krajowi postanowią inaczej. Decyzja o przetwarzaniu takich danych musi zostać udokumentowana.

Artykuł 12

Udzielenie dostępu do operacyjnych danych osobowych

1. Każdy z przedstawicieli krajowych w Eurojuście prowadzi dokumentację dotyczącą polityki udzielania dostępu do operacyjnych danych osobowych, którą zgodnie z art. 34 rozporządzenia o Eurojuście prowadzi w swoim biurze krajowym, i przekazuje inspektorowi ochrony danych informacje na jej temat.

2. Przedstawiciele krajowi mogą w poszczególnych przypadkach postanowić o udzieleniu szczególnego zezwolenia na dostęp do akt tymczasowych lub do ich części osobie, która nie jest członkiem personelu Eurojustu, ale pracuje w imieniu Eurojustu i należy do szczególnej kategorii pracowników, którzy zostali uprzednio upoważnieni przez dyrektora administracyjnego Eurojustu, zgodnie z art. 24 ust. 2 rozporządzenia o Eurojuście, do dostępu do zautomatyzowanego systemu zarządzania sprawami.

3. Przedstawiciele krajowi zapewniają, by w ich biurach krajowych zostały wprowadzone i były przestrzegane stosowne rozwiązania natury organizacyjnej i by odpowiednio wykorzystywane były środki techniczne i organizacyjne, w tym odbycie wymaganego szkolenia, oddane im do dyspozycji przez Eurojust.

4. Zgodnie z art. 34 rozporządzenia o Eurojuście kolegium może upoważnić innych pracowników Eurojustu do dostępu do operacyjnych danych osobowych, jeżeli jest do konieczne do wykonywania zadań Eurojustu.

Artykuł 13

Rejestrowanie czynności przetwarzania

1. Zautomatyzowany system zarządzania sprawami określony w art. 23 rozporządzenia o Eurojuście służy jako rejestr wszystkich operacji przetwarzania wymienionych w art. 35 rozporządzenia o Eurojuście w odniesieniu do operacyjnych danych osobowych.

2. Zautomatyzowany system zarządzania sprawami Eurojustu zawiera pełny rejestr operacji przesyłania i otrzymywania operacyjnych danych osobowych, umożliwiający wskazanie każdego przypadku przekazania operacyjnych danych osobowych oraz zidentyfikowanie organu krajowego, organizacji lub państwa trzeciego lub organizacji międzynarodowej, które przekazały takie informacje Eurojustowi lub je od niego otrzymały.

ROZDZIAŁ IV

Przekazywanie danych państwom trzecim lub organizacjom międzynarodowym

Artykuł 14

Przekazywanie danych państwom trzecim lub organizacjom międzynarodowym podlegające odpowiednim zabezpieczeniom

1. Decyzję o przekazaniu danych osobowych państwom trzecim lub organizacjom międzynarodowym zgodnie z art. 58 ust. 1 rozporządzenia o Eurojuście podejmuje kolegium Eurojustu na wniosek danego przedstawiciela krajowego lub danych przedstawicieli krajowych, po przeprowadzeniu oceny przez inspektora ochrony danych.

2. Ocenę, o której mowa w ust. 1, inspektor ochrony danych przedstawia w terminie 10 dni roboczych. Gdy jest to konieczne ze względu na pilny charakter sprawy wskazany przez danego przedstawiciela krajowego lub danych przedstawicieli krajowych, ocena jest przedstawiana w jak najkrótszym terminie. W szczególnie złożonych przypadkach inspektor ochrony danych może uzgodnić z danym przedstawicielem krajowym lub danymi przedstawicielami krajowymi wydłużenie terminu przedstawienia oceny.

3. Ocena przedstawiana przez inspektora ochrony danych odnosi się w szczególności do kwestii, o których mowa w motywach 51 i 52 rozporządzenia o Eurojuście. Jeżeli w danym przypadku podlegająca ocenie adekwatność zabezpieczeń budzi zastrzeżenia inspektora ochrony danych, może on przed wydaniem oceny dotyczącej danego przypadku przekazania danych zasięgnąć opinii EIOD.

Artykuł 15

Rejestrowanie przypadków międzynarodowego przekazania danych państwom trzecim lub organizacjom międzynarodowym w zautomatyzowanym systemie zarządzania sprawami

W zautomatyzowanym systemie zarządzania sprawami dokumentuje się wszystkie przypadki przekazania danych osobowych państwom trzecim lub organizacjom międzynarodowym zgodnie z art. 58 ust. 3 rozporządzenia o Eurojuście i art. 94 ust. 4 rozporządzenia 2018/1725.

ROZDZIAŁ V

Terminy

Artykuł 16

Terminy przechowywania operacyjnych danych osobowych

1. Eurojust wprowadza odpowiednie środki techniczne służące zapewnieniu, by przestrzegane były terminy przechowywania operacyjnych danych osobowych określone w art. 29 rozporządzenia o Eurojuście i by, o ile w procedurze sprawdzania nie zostanie podjęta żadna uzasadniona decyzja o dalszym przechowywaniu operacyjnych danych osobowych, dane te były automatycznie usuwane.

2. Zautomatyzowany system zarządzania sprawami zapewnia w szczególności, by co trzy lata od wprowadzenia danych sprawdzano celowość ich przechowywania w aktach tymczasowych. Procedurę sprawdzania należy odpowiednio udokumentować w systemie, włącznie z przedstawieniem motywacji stojącej za decyzją o dalszym przechowywaniu operacyjnych danych osobowych, a o wyniku sprawdzenia jest automatycznie powiadamiany inspektor ochrony danych. Skutki takiej decyzji lub jej braku mają zastosowanie do całej sprawy, jak określono w art. 29 ust. 2 rozporządzenia o Eurojuście.

3. Zautomatyzowany system zarządzania sprawami w sposób szczególny oznacza dane zarejestrowane na ograniczony okres, zgodnie z art. 27 ust. 3 decyzji o Eurojuście, a także dane wspomniane w art. 27 ust. 4 rozporządzenia o Eurojuście. Jeżeli jakiekolwiek operacyjne dane osobowe, o których mowa w art. 27 ust. 4, są przechowywane przez okres dłuższy niż pięć lat, zautomatyzowany system zarządzania sprawami generuje ostrzeżenie, tak by zapewnić automatyczne przekazanie EIOD informacji na ten temat.

4. W wyjątkowych przypadkach, gdy przedstawiciel krajowy uzna, że operacyjne dane osobowe są nadal potrzebne do celów archiwalnych w interesie publicznym lub do celów statystycznych, o czym mowa w art. 29 ust. 7 lit. e) rozporządzenia o Eurojuście, kolegium podejmuje decyzję, po zapoznaniu się z opinią inspektora ochrony danych, co do konieczności zatrzymania tych danych w tej konkretnej sprawie, w tym konkretnym celu. O skorzystaniu z tej procedury informowany jest EIOD.

TYTUŁ III

PRZEPISY DOTYCZĄCE OPERACJI PRZETWARZANIA ADMINISTRACYJNYCH DANYCH OSOBOWYCH

Artykuł 17

Procedura korzystania z praw przez osoby, których dane dotyczą, w przypadku przetwarzania administracyjnych danych osobowych

1. Wnioski o skorzystanie z praw są kierowane bezpośrednio do dyrektora administracyjnego Eurojustu lub do inspektora ochrony danych. W każdym przypadku inspektor ochrony danych otrzymuje kopię wniosku w celu jego zarejestrowania.

2. W razie potrzeby inspektor ochrony danych udziela pomocy osobie, której dane dotyczą, i udostępnia specjalne formularze, z których ta osoba może skorzystać do złożenia wniosku.

3. Dyrektor administracyjny - na podstawie informacji przedstawionych przez jednostkę administracyjną bezpośrednio zaangażowaną w przetwarzanie danych osobowych oraz opinii inspektora ochrony danych - podejmuje decyzję dotyczącą konkretnego przypadku.

4. Inspektor ochrony danych przekazuje osobie, której dane dotyczą, decyzję podjętą przez dyrektora administracyjnego i informuje tę osobę o możliwości złożenia skargi do EIOD, jeśli nie odpowiada jej decyzja podjęta przez Eurojust.

5. Wniosek jest rozpatrywany w całości w terminie miesiąca od daty otrzymania. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na liczbę wniosków lub ich złożony charakter. W terminie miesiąca od otrzymania wniosku dyrektor administracyjny informuje osobę, której dane dotyczą, o każdym takim przedłużeniu terminu z podaniem przyczyn opóźnienia. Osoba, której dane dotyczą, może złożyć skargę do EIOD, jeżeli w tym terminie Eurojust nie wydał decyzji w sprawie złożonego przez nią wniosku.

Artykuł 18

Terminy dotyczące administracyjnych danych osobowych

1. Dla każdej indywidualnej operacji przetwarzania administracyjnych danych osobowych przeprowadzanej w Eurojuście, w świetle jej określonego celu i w pełnej zgodności z art. 4 ust. 1 lit. d) i art. 31 ust. 1 lit. f) rozporządzenia 2018/1725, określa się jasny i zdefiniowany termin przechowywania w celu zapewnienia, by dane były przechowywane nie dłużej niż jest to konieczne do celów, dla których te administracyjne dane osobowe są przetwarzane. Taki termin zostaje ustalony dla każdej kategorii przetwarzanych danych i udokumentowany w rejestrze czynności przetwarzania.

2. Eurojust przechowuje administracyjne dane osobowe zgodnie z ust. 1 tak długo, jak jest to konieczne, i w żadnym wypadku nie dłużej niż okresy wskazane dla każdej kategorii czynności przetwarzania przedstawionych w tabeli znajdującej się w załączniku do niniejszego regulaminu.3. Na wniosek dyrektora administracyjnego zarząd może ustalić krótsze okresy zatrzymywania danych niż okresy określone w załączniku do niniejszego regulaminu.

TYTUŁ IV

PRZEPISY KOŃCOWE

Artykuł 19

Przegląd niniejszego regulaminu

1. Niniejszy regulamin podlega regularnemu przeglądowi w celu stwierdzenia, czy konieczne jest wprowadzenie w nim zmian. Każda zmiana w niniejszym regulaminie podlega tej samej procedurze co procedura, która została określona w rozporządzeniu o Eurojuście w celu zatwierdzenia tego regulaminu.

2. EIOD poddaje uwadze kolegium wszelkie propozycje lub zalecenia dotyczące zmian w niniejszym regulaminie.

Artykuł 20

Wejście w życie i publikacja

Regulamin zostaje opublikowany w Dzienniku Urzędowym Unii Europejskiej. Wchodzi w życie następnego dnia po jego opublikowaniu.

ZAŁĄCZNIK

Maksymalne terminy zatrzymywania administracyjnych danych osobowych