ZARZĄD AGENCJI UNII EUROPEJSKIEJ DS. ZARZĄDZANIA OPERACYJNEGO WIELKOSKALOWYMI SYSTEMAMI INFORMATYCZNYMI W PRZESTRZENI WOLNOŚCI, BEZPIECZEŃSTWA I SPRAWIEDLIWOŚCI (EU-LISA), zwanej dalej "eu-LISA",

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725z dnia 2 3 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (¹), w szczególności jego art. 25 (zwane dalej "rozporządzeniem (UE) 2018/1725"),

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1726 z dnia 14 listopada 2018 r. w sprawie Agencji Unii Europejskiej ds. Zarządzania Operacyjnego Wielkoskalowymi Systemami Informatycznymi w Przestrzeni Wolności, Bezpieczeństwa i Sprawiedliwości (eu-LISA), zmiany rozporządzenia (WE) nr 1987/2006 i decyzji Rady 2007/533/WSiSW oraz uchylenia rozporządzenia (UE) nr 1077/2011 (²), w szczególności jego art. 35 (zwane dalej "rozporządzeniem (UE) 2018/1726"),

uwzględniając opinię Europejskiego Inspektora Ochrony Danych (EIOD) z dnia 11 marca 2021 r. oraz jego wytyczne dotyczące art. 25 rozporządzenia (UE) 2018/1725 i przepisów wewnętrznych ograniczających prawa osób, których dane dotyczą (³),

po konsultacji z Komitetem Pracowniczym,

a także mając na uwadze, co następuje:

(1) eu-LISA prowadzi działalność zgodnie z rozporządzeniem (UE) 2018/1726.

(2) eu-LISA jest uprawniona do prowadzenia dochodzeń administracyjnych, postępowań przeddyscyplinarnych, dyscyplinarnych i postępowań w sprawie zawieszenia zgodnie z regulaminem pracowniczym urzędników Unii Europejskiej i warunkami zatrudnienia innych pracowników Unii Europejskiej, określonymi w rozporządzeniu Rady (EWG, Euratom, EWWiS) nr 259/68 ("regulamin pracowniczy") (⁴) oraz zgodnie z decyzją zarządu eu-LISA nr 2014-080 z dnia 28 stycznia 2015 r. w sprawie przyjęcia przepisów wykonawczych do regulaminu pracowniczego, w których przyjęto przepisy wykonawcze dotyczące prowadzenia dochodzeń administracyjnych i postępowań dyscyplinarnych. Jeśli występuje taka konieczność, zgłasza również sprawy do Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF).

(3) Pracownicy eu-LISA są zobowiązani do zgłaszania potencjalnie niezgodnych z prawem działań, w tym nadużyć finansowych i korupcji, które są szkodliwe dla interesów Unii. Pracownicy mają również obowiązek zgłaszać zachowania związane ze zwolnieniem z obowiązków zawodowych, które mogą stanowić poważne niedopełnienie obowiązków urzędników Unii. Kwestię tę reguluje decyzja eu-LISA w sprawie wewnętrznych zasad dotyczących informowania o nieprawidłowościach z dnia 26 czerwca 2018 r.

(4) eu-LISA wdrożyła politykę zapobiegania faktycznym lub potencjalnym przypadkom mobbingu lub molestowania seksualnego w miejscu pracy oraz skutecznego postępowania w takich przypadkach, jak przewidziano w decyzji zarządu nr 2018-174 z dnia 6 grudnia 2018 r. dotyczącej polityki eu-LISA w zakresie ochrony godności osoby i zapobiegania mobbingowi i molestowaniu seksualnemu, przyjmując środki wykonawcze zgodnie z regulaminem pracowniczym. W decyzji ustanowiono nieformalną procedurę, zgodnie z którą osoba będąca domniemaną ofiarą mobbingu lub molestowania seksualnego może skontaktować się z zaufanymi doradcami eu-LISA.

(5) EU-LISA może również prowadzić dochodzenia w sprawie potencjalnych naruszeń przepisów bezpieczeństwa dotyczących informacji niejawnych Unii Europejskiej ("EUCI") na podstawie decyzji nr 2019-273 z dnia 20 listopada 2019 r. zmieniającej jej przepisy bezpieczeństwa dotyczące ochrony EUCI.

(6) Agencja eu-LISA podlega zarówno audytom wewnętrznym, jak i zewnętrznym dotyczącym jej działań.

(7) W kontekście takich dochodzeń administracyjnych, audytów i postępowań eu-LISA współpracuje z innymi instytucjami, organami i jednostkami organizacyjnymi Unii.

(8) eu-LISA może realizować współpracę z organami krajowymi państw trzecich i organizacjami międzynarodowymi zgodnie z przepisami określonymi w art. 43 rozporządzenia (UE) 2018/1726.

(9) eu-LISA może również współpracować z organami publicznymi państw członkowskich UE na ich wniosek lub z własnej inicjatywy.

(10) Agencja uczestniczy w sprawach toczących się przed Trybunałem Sprawiedliwości Unii Europejskiej, gdy kieruje sprawę do Trybunału, broni swojej decyzji, która została zaskarżona do Trybunału, albo interweniuje w sprawach związanych z jej zadaniami. W tym kontekście eu-LISA może być zmuszona do zachowania poufności danych osobowych zawartych w dokumentach uzyskanych przez strony lub interwenientów.

(11) W celu realizacji swoich zadań eu-LISA gromadzi i przetwarza informacje oraz kilka kategorii danych osobowych, w tym dane identyfikacyjne osób fizycznych, dane kontaktowe, role i zadania zawodowe, informacje na temat prywatnego i zawodowego postępowania i wyników oraz dane finansowe. eu-LISA pełni rolę administratora danych.

(12) Na mocy rozporządzenia (UE) 2018/1725 eu-LISA jest zatem zobowiązana do udzielania osobom, których dane dotyczą, informacji na temat tych czynności przetwarzania oraz do poszanowania ich praw jako osób, których dane dotyczą.

(13) eu-LISA może być zobowiązana do pogodzenia tych praw z celami dochodzeń administracyjnych, audytów, dochodzeń i postępowań sądowych. Może być również wymagane zrównoważenie praw osoby, której dane dotyczą, z podstawowymi prawami i wolnościami innych osób, których dane dotyczą. W tym celu w art. 25 rozporządzenia (UE) 2018/1725 przyznano eu-LISie, na ściśle określonych warunkach, możliwość ograniczenia zastosowania art. 14-22, 35 i 36 rozporządzenia (UE) 2018/1725, a także art. 4, w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-20. O ile w akcie prawnym przyjętym na podstawie Traktatów nie przewidziano ograniczeń, konieczne jest przyjęcie przepisów wewnętrznych, na mocy których eu-LISA będzie uprawniona do ograniczania tych praw.

(14) eu-LISA może być, na przykład, zmuszona do ograniczenia przekazywanych przez siebie informacji na temat przetwarzania posiadanych danych osobowych do osoby, której dane dotyczą, na etapie wstępnej oceny dochodzenia administracyjnego lub w trakcie samego dochodzenia, przed ewentualnym umorzeniem sprawy lub na etapie przeddyscyplinarnym. W pewnych okolicznościach udzielenie takich informacji mogłoby poważnie wpłynąć na zdolność eu-LISA do prowadzenia dochodzenia w skuteczny sposób, gdy na przykład istnieje ryzyko, że dana osoba może zniszczyć dowody lub wpłynąć na potencjalnych świadków przed ich przesłuchaniem. Agencja może też stanąć przed koniecznością ochrony praw i wolności świadków, jak również innych zaangażowanych osób.

(15) Konieczna może być ochrona anonimowości świadka lub sygnalisty, który zwrócił się o nieujawnianie jego tożsamości. W takim przypadku eu-LISA może podjąć decyzję o ograniczeniu dostępu do tożsamości, oświadczeń i innych danych osobowych takich osób w celu ochrony ich praw i wolności.

(16) Niezbędna może okazać się ochrona informacji poufnych dotyczących pracownika, który skontaktował się z zaufanymi doradcami eu-LISA w kontekście procedury dotyczącej mobbingu lub molestowania seksualnego. W takich przypadkach eu-LISA może być zmuszona do ograniczenia dostępu do tożsamości, oświadczeń i innych danych osobowych osoby będącej domniemaną ofiarą, domniemanym sprawcą mobbingu lub molestowania seksualnego i innych zaangażowanych osób, aby chronić prawa i wolności wszystkich zainteresowanych stron.

(17) eu-LISA powinna stosować ograniczenia wyłącznie wtedy, gdy są one zgodne z istotą podstawowych praw i wolności, są absolutnie konieczne i stanowią środek proporcjonalny w społeczeństwie demokratycznym. eu-LISA powinna przedstawić uzasadnienie tych ograniczeń.

(18) Zgodnie z zasadą rozliczalności eu-LISA powinna prowadzić rejestr stosowania ograniczeń.

(19) Przetwarzając dane osobowe wymieniane z innymi organizacjami w ramach swoich zadań, eu-LISA i wspomniane organizacje powinny konsultować się wzajemnie na temat potencjalnych powodów nałożenia ograniczeń oraz konieczności i proporcjonalności tych ograniczeń, o ile nie zagroziłoby to działalności eu-LISA.

(20) Art. 25 ust. 6 rozporządzenia (UE) 2018/1725 zobowiązuje administratora danych do poinformowania osób, których dane dotyczą, o głównych powodach zastosowania ograniczenia oraz o ich prawie do wniesienia skargi do EIOD.

(21) Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 eu-LISA jest uprawniona do odroczenia, zaniechania lub odmowy udzielenia informacji o powodach zastosowania ograniczenia wobec osoby, której dane dotyczą, jeżeli w jakikolwiek sposób unieważniłoby to skutek ograniczenia. Agencja powinna w poszczególnych przypadkach ocenić, czy powiadomienie o ograniczeniu anuluje jego skutek.

(22) eu-LISA powinna znieść ograniczenie niezwłocznie po ustaniu warunków uzasadniających ograniczenie i regularnie oceniać te warunki.

(23) W celu zagwarantowania jak największej ochrony praw i wolności osób, których dane dotyczą, oraz zgodnie z art. 44 ust. 1 rozporządzenia (UE) 2018/1725 należy w odpowiednim czasie konsultować się z inspektorem ochrony danych eu-LISA w sprawie wszelkich ograniczeń, które mogą zostać zastosowane, oraz zweryfikować ich zgodność z niniejszą decyzją.

(24) Art. 16 ust. 5 i art. 17 ust. 4 rozporządzenia (UE) 2018/1725 przewidują wyjątki od prawa osób, których dane dotyczą, do informacji i prawa dostępu. Jeżeli wyjątki te mają zastosowanie, eu-LISA nie musi stosować ograniczenia na mocy niniejszej decyzji.

(25) Zgodnie z art. 35 ust. 2 rozporządzenia (UE) 2018/1726 zarząd przyjmuje środki dotyczące stosowania przez Agencję rozporządzenia (UE) 2018/1725, w tym przepisy wewnętrzne, o których mowa w art. 25 ust. 1, 3 i 4 rozporządzenia 2018/1725, po konsultacji z EIOD,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Przedmiot i zakres

1. W niniejszej decyzji ustanawia się przepisy dotyczące warunków, na jakich eu-LISA może ograniczyć stosowanie art. 4,14-22, 35 i 36 zgodnie z art. 25 rozporządzenia (UE) 2018/1725 w kontekście procedur określonych w ust. 2 zgodnie z art. 25 tego rozporządzenia.

2. eu-LISA, jako administrator danych, jest reprezentowana przez dyrektora wykonawczego.

Artykuł 2

Ograniczenia

1. eu-LISA może ograniczyć stosowanie art. 14-22, 35 i 36 oraz art. 4 rozporządzenia w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-20:

a) zgodnie z art. 25 ust. 1 lit. b), c), f), g) i h) rozporządzenia (UE) 2018/1725 w przypadku prowadzenia dochodzeń administracyjnych, postępowań przeddyscyplinarnych, dyscyplinarnych lub w sprawie zawieszenia na podstawie art. 86 regulaminu pracowniczego i załącznika IX do regulaminu pracowniczego i decyzji eu-LISA nr 2014-080 z dnia 28 stycznia 2015 r. oraz gdy zgłasza sprawy do OLAF;

b) zgodnie z art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725, w przypadku zapewnienia możliwości poufnego zgłaszania faktów przez członków personelu eu-LISA, jeżeli uzna, że istnieją poważne nieprawidłowości, jak określono w decyzji eu-LISA nr 2018-122 z dnia 26 czerwca 2018 r. w sprawie przepisów wewnętrznych dotyczących informowania o nieprawidłowościach;

c) zgodnie z art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725, w przypadku zapewnienia, aby pracownicy eu-LISA mogli zgłaszać się do zaufanych doradców w kontekście procedury dotyczącej mobbingu lub molestowania seksualnego określonej w decyzji eu-LISA nr 2018-174 z grudnia 2018 r.;

d) zgodnie z art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725 w przypadku przeprowadzania audytów wewnętrznych w odniesieniu do działań lub działów eu-LISA;

e) zgodnie z art. 25 ust. 1 lit. c), d), g) i h) rozporządzenia (UE) 2018/1725, gdy udziela pomocy innym instytucjom, organom i jednostkom organizacyjnym Unii lub otrzymuje od nich pomoc lub współpracuje z nimi w kontekście działań, o których mowa w lit. a)-d) niniejszego ustępu, oraz zgodnie z odpowiednimi umowami o gwarantowanym poziomie usług, protokołami ustaleń i umowami o współpracy;

f) zgodnie z art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725, gdy udziela pomocy na rzecz organów krajowych państw trzecich i organizacji międzynarodowych lub otrzymuje od nich pomoc lub współpracuje z takimi organami i organizacjami, bez uszczerbku dla przepisów określonych w art. 43 rozporządzenia (UE) 2018/1726;

g) zgodnie z art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725, w przypadku udzielania pomocy organom publicznym państw członkowskich UE i współpracy z nimi lub otrzymywania takiej pomocy od tych organów, na ich wniosek lub z własnej inicjatywy;

h) zgodnie z art. 25 ust. 1 lit. e) rozporządzenia (UE) 2018/1725 w przypadku przetwarzania danych osobowych w dokumentach uzyskanych przez strony lub interwenientów w ramach postępowania przed Trybunałem Sprawiedliwości Unii Europejskiej.

2. Wszelkie ograniczenia respektują istotę podstawowych praw i wolności oraz są niezbędne i proporcjonalne w społeczeństwie demokratycznym.

3. Badanie konieczności i analizę proporcjonalności przeprowadza się indywidualnie dla każdego przypadku przed wprowadzeniem ograniczeń. Ograniczenia nie mogą wykraczać poza to, co niezbędne do osiągnięcia wyznaczonych celów.

4. Do celów rozliczalności eu-LISA sporządza protokół opisujący przyczyny zastosowanych ograniczeń, mające zastosowanie przesłanki z ust. 1, oraz wyniki badania konieczności i proporcjonalności. Ewidencja ta stanowi część rejestru, który jest udostępniany EIOD na wniosek. eu-LISA przygotowuje sprawozdania okresowe dotyczące stosowania art. 25 rozporządzenia (UE) 2018/1725.

5. Przetwarzając dane osobowe otrzymane od innych organizacji w ramach swoich zadań, eu-LISA konsultuje się z tymi organizacjami w odniesieniu do potencjalnych powodów nałożenia ograniczeń oraz konieczności i proporcjonalności tych ograniczeń, o ile nie zagroziłoby to działalności eu-LISA.

Artykuł 3

Zagrożenia dla praw i wolności osób, których dane dotyczą

1. Ocena ryzyka naruszenia praw i wolności osób, których dane dotyczą, związanego z nałożeniem ograniczeń i szczegółowe dane dotyczące okresu stosowania tych ograniczeń są zamieszczane w rejestrze czynności przetwarzania prowadzonym przez eu-LISĘ na podstawie art. 31 rozporządzenia. Są one również rejestrowane we wszelkich ocenach skutków w zakresie ochrony danych dotyczących tych ograniczeń przeprowadzanych na podstawie art. 39 rozporządzenia (UE) 2018/1725.

2. W każdym przypadku, gdy eu-LISA ocenia konieczność i proporcjonalność ograniczenia, bierze pod uwagę potencjalne zagrożenia dla praw i wolności osoby, której dane dotyczą.

Artykuł 4

Zabezpieczenia i okresy przechowywania

1. eu-LISA wdraża zabezpieczenia w celu zapobiegania nadużyciom i niezgodnemu z prawem dostępowi lub przekazywaniu danych osobowych, w odniesieniu do których mają lub mogłyby zostać zastosowane ograniczenia. Zabezpieczenia takie obejmują środki techniczne i organizacyjne oraz w razie potrzeby są szczegółowo określone w decyzjach wewnętrznych, procedurach i przepisach wykonawczych eu-LISA. Zabezpieczenia te obejmują:

a) wyraźną definicję ról, obowiązków i etapów proceduralnych;

b) w stosownych przypadkach bezpieczne środowisko elektroniczne, które uniemożliwia bezprawne i przypadkowe uzyskanie dostępu lub przekazywanie danych elektronicznych osobom nieupoważnionym;

c) w stosownych przypadkach bezpieczne przechowywanie i przetwarzanie dokumentów na papierze;

d) należyte monitorowanie ograniczeń i okresowe przeglądy ich stosowania.

Przeglądy, o których mowa w lit. d), prowadzone są co najmniej raz na sześć miesięcy.

2. Ograniczenia są znoszone, gdy tylko przestają występować okoliczności uzasadniające ich stosowanie.

3. Dane osobowe są zatrzymywane zgodnie z mającymi zastosowanie zasadami zatrzymywania danych eu-LISA, które zostaną określone w dokumentacji ochrony danych prowadzonej na podstawie art. 31 rozporządzenia (UE) 2018/1725. Po upływie okresu przechowywania dane osobowe są usuwane, anonimizowane lub przekazywane do archiwów zgodnie z art. 13 rozporządzenia (UE) 2018/1725.

Artykuł 5

Zaangażowanie inspektora ochrony danych

1. Inspektor ochrony danych eu-LISA jest informowany bez zbędnej zwłoki o ograniczeniu lub planowanym ograniczeniu praw osób, których dane dotyczą, zgodnie z niniejszą decyzją. Należy umożliwić tej osobie dostęp do powiązanych rejestrów i wszelkich dokumentów dotyczących merytorycznego lub prawnego kontekstu.

2. Inspektor ochrony danych eu-LISA może zwrócić się o przegląd stosowania ograniczenia. Agencja informuje swojego inspektora ochrony danych na piśmie o wynikach przeglądu.

3. eu-LISA dokumentuje zaangażowanie inspektora ochrony danych w stosowanie ograniczeń, z uwzględnieniem informacji, jakie są mu przekazywane.

4. W praktyce osoba odpowiedzialna w imieniu administratora ("administrator danych w praktyce") (⁵) informuje inspektora ochrony danych eu-LISA o zniesieniu ograniczenia.

Artykuł 6

Informowanie osób, których dane dotyczą, o ograniczeniach związanych z ich prawami

1. eu-LISA umieszcza w informacjach o ochronie danych publikowanych na jej stronie internetowej lub w intranecie sekcję zawierającą ogólne informacje dla osób, których dane dotyczą, na temat możliwości ograniczenia praw osób, których dane dotyczą, zgodnie z art. 2 ust. 1. W informacjach tych uwzględnia, które prawa mogą być ograniczane, podstawy możliwego stosowania ograniczeń i ich potencjalny okres obowiązywania.

2. eu-LISA informuje osoby, których dane dotyczą, indywidualnie, na piśmie i bez zbędnej zwłoki, o bieżących lub przyszłych ograniczeniach ich praw. Agencja zawiadamia osobę, której dane dotyczą, o głównych powodach zastosowania ograniczenia, o przysługującym jej prawie do konsultacji z inspektorem ochrony danych w celu zakwestionowania ograniczenia oraz o prawie do wniesienia skargi do EIOD.

3. eu-LISA może odroczyć, pominąć lub odmówić udzielenia informacji dotyczących przyczyn ograniczenia i prawa do złożenia skargi do EIOD tak długo, jak długo anulowałaby skutek ograniczenia. Oceny zasadności takiej decyzji dokonuje się w poszczególnych przypadkach. Natychmiast po unieważnieniu skutku ograniczenia eu-LISA przekazuje informacje osobie, której dane dotyczą.

Artykuł 7

Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

1. W przypadku gdy eu-LISA jest zobowiązana do powiadomienia o naruszeniu ochrony danych na mocy art. 3 5 ust. 1 rozporządzenia (UE) 2018/1725, może ona, w wyjątkowych okolicznościach, ograniczyć takie powiadomienie w całości lub w części. W nocie dokumentuje uzasadnienia dla takiego ograniczenia, podaje podstawę prawną na mocy art. 2 i ocenę jego konieczności i proporcjonalności. Zgłoszenie przekazuje EIOD w momencie zgłaszania naruszenia ochrony danych osobowych.

2. Jeżeli przyczyny ograniczenia przestają mieć zastosowanie, eu-LISA informuje daną osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych i informuje ją o głównych powodach ograniczenia oraz o przysługującym jej prawie do wniesienia skargi do EIOD.

Artykuł 8

Poufność łączności elektronicznej

1. W wyjątkowych okolicznościach eu-LISA może ograniczyć prawo do poufności łączności elektronicznej na mocy art. 36 rozporządzenia (UE) 2018/1725. Ograniczenia takie są zgodne z przepisami dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady (⁶).

2. W przypadku gdy eu-LISA ogranicza prawo do poufności łączności elektronicznej, informuje zainteresowaną osobę, której dane dotyczą, w odpowiedzi na wszelkie wnioski osoby, której dane dotyczą, o głównych powodach zastosowania ograniczenia oraz o przysługującym jej prawie do wniesienia skargi do EIOD.

3. eu-LISA może odroczyć, pominąć lub odmówić udzielenia informacji dotyczących przyczyn ograniczenia i prawa do złożenia skargi do EIOD tak długo, jak długo anulowałoby to skutek ograniczenia. Oceny zasadności takiej decyzji dokonuje się w poszczególnych przypadkach.

Artykuł 9

Wejście w życie

Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Sporządzono w Tallinnie dnia 16 kwietnia 2021 r.