ZARZĄD,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (¹), w szczególności jego art. 25,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/128 z dnia 16 stycznia 2019 r. ustanawiające Europejskie Centrum Rozwoju Kształcenia Zawodowego („Cedefop”) i uchylające rozporządzenie Rady (EWG) nr 337/ 75 (²), w szczególności jego art. 23 ust. 4,

uwzględniając opinię Europejskiego Inspektora Ochrony Danych (EIOD) z dnia 12 grudnia 2019 r. oraz wytyczne EIOD dotyczące art. 25 nowego rozporządzenia i wewnętrznych zasad (³),

A TAKŻE MAJĄC NA UWADZE, CO NASTĘPUJE:

(1) Cedefop prowadzi działalność zgodnie z rozporządzeniem (UE) 2019/128.

(2) Zgodnie z art. 25 ust. 1 rozporządzenia (UE) 2018/1725 ograniczenia w stosowaniu art. 14–22, 35 i 36, jak również art. 4 tego rozporządzenia w zakresie, w jakim przepisy te odnoszą się do praw i obowiązków przewidzianych w art. 14–22, o ile nie opierają się na aktach prawnych przyjętych na podstawie Traktatów, powinny być oparte na wewnętrznych zasadach przyjętych przez Cedefop.

(3) Te wewnętrzne zasady, w tym przepisy dotyczące oceny konieczności i proporcjonalności ograniczenia, nie powinny mieć zastosowania, gdy ograniczenie praw osób, której dane dotyczą, określa akt prawny przyjęty na podstawie Traktatów.

(4) Cedefop, realizując swoje obowiązki dotyczące praw osób, których dane dotyczą, przewidziane rozporządzeniem (UE) 2018/1725, rozważa, czy zastosowanie ma którykolwiek z wyjątków przewidzianych w rozporządzeniu.

(5) W ramach własnego funkcjonowania administracyjnego Cedefop może prowadzić postępowania administracyjne, dyscyplinarne, wstępne czynności związane z przypadkami potencjalnych nieprawidłowości zgłaszanych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF), procedury związane ze zgłaszaniem przypadków naruszeń przez sygnalistów, (formalne i nieformalne) procedury podejmowane w przypadkach nękania, rozpatrywać wewnętrzne i zewnętrzne skargi, prowadzić wewnętrzne audyty, badać sprawy za pośrednictwem inspektora ochrony danych (IOD) zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725, jak również prowadzić postępowania dotyczące wewnętrznego bezpieczeństwa (informatycznego) i rozpatrywać wnioski pracowników o dostęp do swojej dokumentacji medycznej.

Cedefop przetwarza kilka kategorii danych osobowych, w tym „twarde dane” (dane „obiektywne”, takie jak dane umożliwiające identyfikację, dane kontaktowe, dane zawodowe, dane administracyjne, dane pozyskane z określonych źródeł, dane pochodzące z łączności elektronicznej oraz dane o ruchu) lub „miękkie dane” (dane „subiektywne” związane ze sprawą, takie jak tok rozumowania, dane behawioralne, oceny, dane o zachowaniu i postępowaniu, jak również dane związane z przedmiotem procedury lub czynności).

(6) Cedefop, reprezentowany przez dyrektora wykonawczego, pełni rolę administratora niezależnie od dalszego delegowania roli administratora w ramach Cedefopu dokonanego w celu odzwierciedlenia obowiązków operacyjnych dla konkretnych operacji przetwarzania danych osobowych.

(7) Dane osobowe są przechowywane w sposób bezpieczny w środowisku elektronicznym lub w wersji papierowej w sposób uniemożliwiający nadużycia, bezprawny dostęp do danych lub przekazanie danych osobom, które nie muszą mieć do nich dostępu. Dokumentacja medyczna jest przechowywana przez zewnętrznego usługodawcę, z którego usług korzysta Cedefop. Przetwarzane dane osobowe są przechowywane przez okres nie dłuższy niż to konieczne i właściwe dla celów, dla których są przetwarzane, wskazany w informacji o zasadach przetwarzania danych lub rejestrach Cedefopu.

(8) Niniejsze wewnętrzne zasady powinny mieć zastosowanie do wszystkich operacji przetwarzania danych prowadzonych przez Cedefop w toku realizacji postępowań administracyjnych, dyscyplinarnych, wstępnych czynności związanych z przypadkami potencjalnych nieprawidłowości zgłaszanych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF), procedur związanych ze zgłaszaniem przypadków naruszeń przez sygnalistów, (formalnych i nieformalnych) procedur podejmowanych w przypadkach nękania, rozpatrywania wewnętrznych i zewnętrznych skarg, prowadzenia audytów wewnętrznych, badania spraw za pośrednictwem inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725, jak również postępowań dotyczących bezpieczeństwa (informatycznego), prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU) oraz rozpatrywania wniosków pracowników o dostęp do swojej dokumentacji medycznej.

(9) Te wewnętrzne zasady powinny mieć zastosowanie do operacji przetwarzania danych prowadzonych przed uruchomieniem procedur, o których mowa powyżej, w trakcie tych procedur oraz podczas monitorowania działań następczych podejmowanych w rezultacie wspomnianych procedur. Powinny one również obejmować pomoc i współpracę ze strony Cedefopu udzielaną organom krajowym i organizacjom międzynarodowym poza dochodzeniami administracyjnymi.

(10) W przypadkach, w których zastosowanie mają wewnętrzne zasady, Cedefop powinien przedstawić uzasadnienie ścisłej konieczności i proporcjonalności ograniczeń w społeczeństwie demokratycznym oraz postępować z poszanowaniem istoty podstawowych praw i wolności.

(11) W ramach powyższego Cedefop podczas realizacji wspomnianych procedur ma obowiązek przestrzegać w możliwie szerokim zakresie praw podstawowych osób, których dane dotyczą, w szczególności związanych z prawem do udzielania informacji osobie, której prawa dotyczą, prawem dostępu, prawem do sprostowania danych, prawem do usunięcia danych, prawem do ograniczeniem przetwarzania, prawem do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych lub prawem do poufności łączności, które to prawa przewidziano w rozporządzeniu (UE) 2018/1725.

(12) Cedefop może być jednak zobowiązany do ograniczenia prawa do informacji udzielanych osobie, której dane dotyczą, i innych praw takiej osoby w celu zapewnienia ochrony – w szczególności – własnych postępowań przygotowawczych, postępowań przygotowawczych i czynności innych organów publicznych, jak również praw innych osób objętych postępowaniami przygotowawczymi lub innymi procedurami.

(13) Cedefop powinien okresowo dokonywać przeglądu, czy warunki uzasadniające ograniczenie nadal występują i znieść ograniczenie, gdy nie można stwierdzić ich występowania.

(14) Administrator powinien poinformować inspektora ochrony danych, w przypadku w którym zachodzi zamiar zastosowania ograniczenia oraz w trakcie kolejnych przeglądów i zaangażować go we wszystkie etapy całej procedury, aż do zniesienia ograniczenia,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Przedmiot i zakres

1. Niniejsza decyzja ustanawia zasady dotyczące warunków, na jakich Cedefop może ograniczyć stosowanie praw określonych w art. 14–21, 35 i 36 oraz art. 4 rozporządzenia (UE) 2018/1725 w kontekście procedur określonych w ust. 2 zgodnie z art. 25 tego rozporządzenia.

2. W ramach administracyjnego funkcjonowania Cedefopu niniejsza decyzja ma zastosowanie do operacji przetwarzania danych osobowych przez Cedefop dla celów prowadzenia postępowań administracyjnych, dyscyplinarnych, wstępnych czynności związanych z przypadkami potencjalnych nieprawidłowości zgłaszanych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF), procedur związanych ze zgłaszaniem przypadków naruszeń przez sygnalistów, (formalnych i nieformalnych) procedur podejmowanych w przypadkach nękania, rozpatrywania wewnętrznych i zewnętrznych skarg, audytów wewnętrznych, badania spraw za pośrednictwem inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725, postępowań dotyczących bezpieczeństwa (informatycznego), prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU) oraz rozpatrywania wniosków pracowników o dostęp do swojej dokumentacji medycznej.

3. Przedmiotowe dane obejmują kategorię „twardych danych” (danych „obiektywnych”, takich jak dane umożliwiające identyfikację, dane kontaktowe, dane zawodowe, dane administracyjne, dane pozyskane z określonych źródeł, dane pochodzące z łączności elektronicznej oraz dane dotyczące ruchu) oraz kategorię „miękkich danych” (danych „subiektywnych” związanych ze sprawą, takich jak tok rozumowania, dane behawioralne, oceny, dane o zachowaniu i postępowaniu, jak również dane związane z przedmiotem procedury lub czynności).

4. Cedefop, realizując swoje obowiązki dotyczące praw osób, których dane dotyczą, przewidziane rozporządzeniem (UE) 2018/1725, rozważa, czy zastosowanie ma którykolwiek z wyjątków przewidzianych w rozporządzeniu.

5. Z zastrzeżeniem warunków określonych w niniejszej decyzji, ograniczenia mogą mieć zastosowanie do następujących praw: przekazywania informacji osobom, których dane dotyczą, prawa dostępu do informacji, prawa do sprostowania danych, prawa do usunięcia danych, prawa do ograniczenia przetwarzania, prawa do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony prywatności lub prawa do poufności łączności elektronicznej.

Artykuł 2

Określenie administratora i zabezpieczeń

1. Cedefop wprowadza następujące zabezpieczenia w celu zapobiegania nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu:

a) dokumenty papierowe są przechowywane w zabezpieczonych szafkach i dostęp do nich ma tylko upoważniony personel;

b) wszystkie dane elektroniczne są przechowywane w bezpiecznej aplikacji informatycznej zgodnej z normami bezpieczeństwa Cedefopu, jak również w konkretnych folderach elektronicznych, do których dostęp ma tylko upoważniony personel. Odpowiedni poziom dostępu jest przyznawany indywidualnie;

c) środowisko informatyczne Cedefopu jest dostępne za pośrednictwem systemu pojedynczego logowania i łączy się automatycznie z identyfikatorem i hasłem użytkownika. Rejestry elektroniczne są przechowywane w bezpieczny sposób w celu ochrony poufności i ochrony prywatności zawartych w nich danych;

d) wszystkie osoby z dostępem do danych mają obowiązek zachować ich poufność;

e) usługodawca zewnętrzny przechowujący dokumentację medyczną jest związany klauzulami umownymi dotyczącymi poufności i przetwarzania danych osobowych.

2. Administratorem operacji przetwarzania danych jest Cedefop, reprezentowany przez dyrektora wykonawczego, który może dokonać delegowania obowiązków administratora. Osoby, których dane dotyczą, są informowane o tożsamości osoby, której powierzono funkcję administratora, poprzez informacje o ochronie danych lub rejestry publikowane na stronie internetowej lub w intranecie Cedefopu.

3. Okres przechowywania danych osobowych, o którym mowa w art. 1 ust. 3 niniejszej decyzji, nie może być dłuższy niż to konieczne i właściwe dla celów przetwarzania danych. W żadnym razie nie może przekraczać okresu przechowywania określonego w informacjach o ochronie danych lub rejestrach, o których mowa w art. 3 ust. 3 niniejszej decyzji.

4. W sytuacji gdy Cedefop rozważa zastosowanie ograniczenia, należy porównać zagrożenie dla praw i wolności osób, których dane dotyczą, z zagrożeniem – w szczególności – dla praw i wolności innych osób, których dane dotyczą, jak również z zagrożeniem osłabienia skuteczności postępowań przygotowawczych lub procedur Cedefopu, zwłaszcza ze względu na zniszczenie materiału dowodowego. Zagrożenia dla praw i wolności osób, których dane dotyczą, wiążą się przede wszystkim, choć nie wyłącznie, z zagrożeniem dla reputacji oraz zagrożeniem dla prawa do obrony oraz prawa do bycia wysłuchanym.

Artykuł 3

Ograniczenia

1. Jakiekolwiek ograniczenie jest stosowane wyłącznie przez Cedefop na podstawie jednego lub kilku powodów wymienionych w art. 25 ust. 1 lit. a)–i) rozporządzenia (UE) 2018/1725. W szczególności w kontekście przetwarzania danych osobowych, o którym mowa w art. 1 ust. 2 niniejszej decyzji, ograniczenia mogą opierać się na następujących podstawach:

a) w przypadku prowadzenia postępowań administracyjnych i dyscyplinarnych, podstawę ograniczeń może stanowić art. 25 ust. 1 lit. b), c), g) i h) rozporządzenia (UE) 2018/1725;

b) w przypadku prowadzenia wstępnych czynności związanych z potencjalnymi nieprawidłowościami zgłoszonymi do OLAF, podstawę ograniczeń może stanowić art. 25 ust. 1 lit. b), c), f), g) i h) rozporządzenia (UE) 2018/1725;

c) w przypadku procedur związanych ze zgłaszaniem przypadków naruszeń przez sygnalistów podstawę ograniczeń może stanowić art. 25 ust. 1 lit. b), c), f), g) i h) rozporządzenia (UE) 2018/1725;

d) w przypadku (formalnych i nieformalnych) procedur podejmowanych w przypadkach nękania podstawę ograniczeń może stanowić art. 25 ust. 1 lit. b), f), h) oraz i) rozporządzenia (UE) 2018/1725;

e) w przypadku rozpatrywania wewnętrznych i zewnętrznych skarg podstawę ograniczeń może stanowić art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725;

f) w przypadku audytów wewnętrznych podstawę ograniczeń może stanowić art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725;

g) w przypadku postępowań prowadzonych przez inspektora ochrony danych, zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725, podstawę ograniczeń może stanowić art. 25 ust. 1 lit. c), g) i h) niniejszego rozporządzenia;

h) w przypadku postępowań dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU) podstawę ograniczeń może stanowić art. 25 ust. 1 lit. c), d), g) i h) rozporządzenia (UE) 2018/1725;

i) w przypadku rozpatrywania wniosków pracowników o dostęp do swojej dokumentacji medycznej podstawę ograniczeń może stanowić art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725.

2. Jako szczególne zastosowanie w celach opisanych w pkt 1 powyżej Cedefop może zastosować ograniczenia praw, o których mowa w art. 1 ust. 5 niniejszej decyzji, w następujących okolicznościach:

a) w przypadku gdy inna instytucja, inny organ lub inna jednostka organizacyjna Unii jest uprawniona do ograniczania wykonywania tych praw na podstawie innych aktów przewidzianych w art. 25 rozporządzenia (UE) 2018/1725 lub zgodnie z rozdziałem IX tego rozporządzenia lub z ich aktami założycielskimi, a cel takiego ograniczenia przez tę inną instytucję, inny organ lub inną jednostkę organizacyjną Unii byłby zagrożony, gdyby Cedefop nie stosował równoważnych ograniczeń w odniesieniu do tych samych danych osobowych;

b) w przypadku gdy właściwy organ państwa członkowskiego jest uprawniony do ograniczenia wykonywania tych praw na podstawie aktów, o których mowa w art. 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (⁴) lub na mocy środków krajowych transponujących art. 13 ust. 3, art. 15 ust. 3 lub art. 16 ust. 3 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 (⁵), a cel takiego ograniczenia przez właściwy organ państwa członkowskiego byłby zagrożony, gdyby Cedefop nie stosował równoważnych ograniczeń w odniesieniu do tych samych danych osobowych;

c) jeżeli realizacja tych praw i obowiązków mogłaby zaszkodzić współpracy Cedefopu z państwami trzecimi lub organizacjami międzynarodowymi przy realizacji jego zadań.

Przed zastosowaniem ograniczeń w okolicznościach, o których mowa w lit. a) i b) akapitu pierwszego, Cedefop konsultuje się z odpowiednimi instytucjami, organami i jednostkami organizacyjnymi Unii lub właściwymi organami państw członkowskich, chyba że dla Cedefopu jasne jest, że stosowanie ograniczenia przewidziano w jednym z aktów, o których mowa w lit. a) i b).

3. Cedefop zamieszcza informacje o potencjalnym ograniczeniu praw w informacjach o ochronie danych osobowych lub rejestrze w rozumieniu art. 31 rozporządzenia (UE) 2018/1725, publikowanych na stronie internetowej lub w intranecie, gdzie zawarta jest informacja dla osób, których dane dotyczą, na temat praw przysługujących ich w ramach danej procedury. Informacje te określają dane, które mogą podlegać ograniczeniu, przyczyny ograniczenia oraz potencjalny okres obowiązywania ograniczenia.

Bez uszczerbku dla przepisów art. 5 ust. 2 Cedefop, w sytuacji gdy jest to proporcjonalne, bez zbędnej zwłoki informuje również na piśmie indywidualnie wszystkie osoby, których dane dotyczą, uznawane za osoby objęte konkretną operacją przetwarzania danych, o przysługujących im prawach odnośnie do obecnych lub przyszłych ograniczeń.

4. Wszelkie ograniczenia są konieczne i proporcjonalne, zważywszy na zagrożenie dla praw i wolności osób, których dane dotyczą, a przy ich wprowadzaniu przestrzega się istoty praw podstawowych i wolności w społeczeństwie demokratycznym.

5. Jeżeli rozważane jest zastosowanie ograniczenia, przeprowadza się analizę konieczności i proporcjonalności opartą na zasadach przedstawionych poniżej. Proces ten zostaje udokumentowany wewnętrzną notą oceny dla celów rozliczalności, osobno dla każdego przypadku.

6. Ograniczenia są znoszone, gdy tylko przestają występować okoliczności uzasadniające ich stosowanie.

Artykuł 4

Przegląd dokonywany przez inspektora ochrony danych

1. Inspektor ochrony danych Cedefopu („IOD”) jest informowany bez zbędnej zwłoki za każdym razem, gdy administrator ogranicza stosowanie praw osób, których dane dotyczą, lub rozszerza ograniczenie, zgodnie z niniejszą decyzją. Administrator zapewnia inspektorowi ochrony danych dostęp do rejestru zawierającego ocenę konieczności i proporcjonalności ograniczenia oraz odnotowuje datę powiadomienia inspektora ochrony danych. Inspektor ochrony danych bierze udział w całej procedurze, aż do zniesienia ograniczenia.

2. Inspektor ochrony danych może na piśmie wymagać od administratora przedstawienia przeglądu stosowania ograniczeń. Administrator informuje inspektora ochrony danych na piśmie o rezultatach żądanego przeglądu.

3. Administrator informuje inspektora ochrony danych o zniesieniu ograniczenia, gdy do niego dojdzie.

Artykuł 5

Ograniczenie prawa do informacji przekazywanych osobie, której dane dotyczą

1. W należycie uzasadnionych przypadkach i z zastrzeżeniem warunków określonych w niniejszej decyzji prawo do informacji przekazywanych osobie, której dane dotyczą, może być ograniczone przez administratora w kontekście następujących operacji przetwarzania danych:

a) prowadzenia postępowań administracyjnych i dyscyplinarnych;

b) czynności wstępnych związanych z przypadkami potencjalnych nieprawidłowości zgłoszonych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF);

c) procedur związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów;

d) (formalnych i nieformalnych) procedur podejmowanych w przypadkach nękania;

e) rozpatrywania wewnętrznych i zewnętrznych skarg;

f) audytów wewnętrznych;

g) postępowań prowadzonych przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725;

h) postępowań dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU).

2. Jeżeli Cedefop ogranicza w całości lub częściowo udzielanie informacji osobom, których dane dotyczą, o których mowa w art. 14–16 rozporządzenia (UE) 2018/1725, podaje w rejestrze powód ograniczenia, podstawę prawną lub podstawy prawne, zgodnie z art. 3 niniejszej decyzji, w tym ocenę konieczności i proporcjonalności ograniczenia.

Rejestr oraz – w stosownych przypadkach – dokumenty zawierające okoliczności faktyczne i prawne leżące u podstaw takiej decyzji są dokumentowane.

Udostępnia się je na żądanie Europejskiemu Inspektorowi Ochrony Danych.

3. Ograniczenie, o którym mowa w ust. 2, ma zastosowanie tak długo, jak długo występują powody uzasadniające to ograniczenie.

Jeżeli powody ograniczenia przestają występować, Cedefop przedstawia osobie, której dane dotyczą, informacje o podstawowych przyczynach stosowania ograniczenia. Jednocześnie Cedefop informuje osobę, której dane dotyczą, o prawie do złożenia w dowolnym momencie skargi do Europejskiego Inspektora Ochrony Danych lub odwołania się do Trybunału Sprawiedliwości Unii Europejskiej („Trybunału Sprawiedliwości”).

Cedefop dokonuje przeglądu stosowania ograniczenia co sześć miesięcy od chwili przyjęcia ograniczenia, jak również z chwilą zakończenia danego postępowania, danej procedury lub danego dochodzenia. Następnie administrator monitoruje konieczność utrzymania ograniczenia co sześć miesięcy. Analiza konieczności i proporcjonalności, o której mowa w art. 3 ust. 5, przeprowadzana jest również w kontekście każdego okresowego przeglądu, po dokonaniu oceny, czy nadal mają zastosowanie przyczyny faktyczne i prawne ograniczenia.

Artykuł 6

Ograniczenie prawa dostępu osoby, której dane dotyczą

1. W należycie uzasadnionych przypadkach i z zastrzeżeniem warunków określonych w niniejszej decyzji, o ile jest to konieczne i proporcjonalne, prawo dostępu osoby, której dane dotyczą, może być ograniczone przez administratora w kontekście następujących operacji przetwarzania danych:

a) prowadzenia postępowań administracyjnych i dyscyplinarnych;

b) czynności wstępnych związanych z przypadkami potencjalnych nieprawidłowości zgłoszonych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF);

c) procedur związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów;

d) (formalnych i nieformalnych) procedur podejmowanych w przypadkach nękania;

e) rozpatrywania wewnętrznych i zewnętrznych skarg;

f) audytów wewnętrznych;

g) postępowań prowadzonych przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725;

h) postępowań dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU).

i) rozpatrywania wniosków pracowników o dostęp do dokumentacji medycznej.

Jeżeli osoby, których dane dotyczą, żądają dostępu do swoich danych osobowych przetwarzanych w kontekście co najmniej jednej sprawy lub konkretnej operacji przetwarzania, zgodnie z art. 17 rozporządzenia (UE) 2018/1725 Cedefop ogranicza się w ocenie wniosku do takich danych osobowych.

2. Jeżeli Cedefop ogranicza, w całości lub częściowo, prawo dostępu, o którym mowa w art. 17 rozporządzenia (UE) 2018/1725, podejmuje następujące kroki:

a) w odpowiedzi na wniosek informuje osobę, której dane dotyczą, o stosowanym ograniczeniu i jego głównych przyczynach, jak również o możliwości złożenia skargi do Europejskiego Inspektora Ochrony Danych i odwołania się do Trybunału Sprawiedliwości;

b) w wewnętrznej notatce oceny dokumentuje powody ograniczenia, w tym ocenę konieczności i proporcjonalności ograniczenia oraz okres jego obowiązywania.

Ograniczenia nałożone na prawo pracowników do dostępu do dokumentacji medycznej dotyczą wyłącznie wniosków o bezpośredni dostęp pracowników do danych medycznych o charakterze psychologicznym lub psychiatrycznym, w przypadku których ocena każdego przypadku wykaże, że pośredni dostęp jest niezbędny do ochrony osoby, której dane dotyczą. Dostępu do takich danych udziela się za pośrednictwem lekarza wyznaczonego przez osobę, której dane dotyczą. Lekarz wybrany przez osobę, której dane dotyczą, uzyskuje dostęp do wszystkich informacji i uprawnień dyskrecjonalnych w zakresie decydowania o tym, w jaki sposób i jaki dostęp należy zapewnić osobie, której dane dotyczą.

Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 można wstrzymać przekazanie informacji, o których mowa w lit. a), pominąć je lub odmówić ich, jeśli to unieważniałoby skutek nałożonego ograniczenia.

Cedefop dokonuje przeglądu stosowania ograniczenia co sześć miesięcy od chwili przyjęcia ograniczenia, jak również z chwilą zakończenia danego postępowania, danej procedury lub danego dochodzenia. Następnie administrator monitoruje konieczność utrzymania ograniczenia co sześć miesięcy. Analiza konieczności i proporcjonalności, o której mowa w art. 3 ust. 5, przeprowadzana jest również w kontekście każdego okresowego przeglądu, po dokonaniu oceny, czy nadal mają zastosowanie przyczyny faktyczne i prawne ograniczenia.

3. Rejestr oraz – w stosownych przypadkach – dokumenty zawierające okoliczności faktyczne i prawne leżące u podstaw takiej decyzji są rejestrowane. Udostępnia się je Europejskiemu Inspektorowi Ochrony Danych na jego wniosek.

Artykuł 7

Ograniczenie praw osoby, której dane dotyczą, do sprostowania danych, ich usunięcia i ograniczenia przetwarzania

1. W należycie uzasadnionych przypadkach i z zastrzeżeniem warunków określonych w niniejszej decyzji, o ile jest to konieczne i stosowne, prawo osoby, której dane dotyczą, do sprostowania danych, ich usunięcia i ograniczenia przetwarzania może być ograniczone przez administratora w kontekście następujących operacji przetwarzania danych:

a) prowadzenia postępowań administracyjnych i dyscyplinarnych;

b) czynności wstępnych związanych z przypadkami potencjalnych nieprawidłowości zgłoszonych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF);

c) procedur związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów;

d) (formalnych i nieformalnych) procedur podejmowanych w przypadkach nękania;

e) rozpatrywania wewnętrznych i zewnętrznych skarg;

f) audytów wewnętrznych;

g) postępowań prowadzonych przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725;

h) postępowań dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU).

2. Jeżeli Cedefop ogranicza w całości lub częściowo stosowanie prawa osoby, której dane dotyczą, do sprostowania danych, ich usunięcia i ograniczenia przetwarzania, o których mowa odpowiednio w art. 18, art. 19 ust. 1 i art. 20 ust. 1 rozporządzenia (UE) 2018/1725, podejmuje kroki określone w art. 6 ust. 2 niniejszej decyzji oraz dokonuje wpisu w rejestrze zgodnie z art. 6 ust. 3 decyzji.

Artykuł 8

Ograniczenie prawa do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych i prawa do poufności łączności elektronicznej

1. W należycie uzasadnionych przypadkach i z zastrzeżeniem warunków określonych w niniejszej decyzji, o ile jest to konieczne i stosowne, prawo do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych może być ograniczone przez administratora w kontekście następujących operacji przetwarzania danych:

a) prowadzenia postępowań administracyjnych i dyscyplinarnych;

b) czynności wstępnych związanych z przypadkami potencjalnych nieprawidłowości zgłoszonych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF);

c) procedur związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów;

d) audytów wewnętrznych;

e) postępowań prowadzonych przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725;

f) postępowań dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU).

2. W należycie uzasadnionych przypadkach i z zastrzeżeniem warunków określonych w niniejszej decyzji, o ile jest to konieczne i stosowne, prawo do poufności łączności elektronicznej może być ograniczone przez administratora w kontekście następujących operacji przetwarzania danych:

a) prowadzenia postępowań administracyjnych i dyscyplinarnych;

b) czynności wstępnych związanych z przypadkami potencjalnych nieprawidłowości zgłoszonych do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF);

c) procedur związanych ze zgłoszeniami przypadków naruszeń przez sygnalistów;

d) formalnych procedur podejmowanych w przypadkach nękania;

e) e) rozpatrywania wewnętrznych i zewnętrznych skarg;

f) postępowań dotyczących bezpieczeństwa (informatycznego) prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-EU).

3. Jeżeli Cedefop ogranicza prawo do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych lub prawo do poufności łączności elektronicznej, o których mowa odpowiednio w art. 35 i 36 rozporządzenia (UE) 2018/1725, rejestruje powody ograniczenia zgodnie z art. 5 ust. 2 niniejszej decyzji. Zastosowanie ma również art. 5 ust. 3 niniejszej decyzji.

Artykuł 9

Wejście w życie

Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Sporządzono dnia 6 maja 2020 r.