Artykuł 1

Przedmiot i zakres stosowania

1. Niniejsza decyzja określa zasady dotyczące warunków, na jakich Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia w ramach własnych procedur określonych w art. 3 niniejszej decyzji może - zgodnie z art. 25 rozporządzenia (UE) 2018/1725 - ograniczyć stosowanie art. 14-22, 35 i 36 rozporządzenia (UE) 2018/1725, jak również art. 4 tego rozporządzenia.

2. Kategorie danych na potrzeby tych procedur obejmują dane umożliwiające identyfikację, dane kontaktowe, dane zawodowe, dane administracyjne, dane pozyskane z określonych źródeł, dane pochodzące z łączności elektronicznej i dane dotyczące ruchu oraz dane związane ze sprawą, takie jak tok rozumowania, dane behawioralne, oceny, dane o zachowaniu i postępowaniu, jak również dane związane z przedmiotem procedury lub czynności.

3. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia, wykonując swoje obowiązki dotyczące ustanowionych w rozporządzeniu (UE) 2018/1725 praw osób, których dane dotyczą, rozważa, czy zastosowanie ma którekolwiek z odstępstw przewidzianych w tym rozporządzeniu.

Artykuł 2

Określenie administratora

Administratorem operacji przetwarzania danych jest Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia reprezentowane przez dyrektora wykonawczego.

Artykuł 3

Ograniczenia

1. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może ograniczyć stosowanie art. 14-22, 35 i 36 rozporządzenia (UE) 2018/1725, a także jego art. 4, w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-20:

2. Jako szczególne zastosowanie ograniczeń opisanych w ust. 1 powyżej Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może zastosować ograniczenia w następujących okolicznościach:

Przed zastosowaniem ograniczeń w okolicznościach, o których mowa w akapicie pierwszym lit. a) i b), Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia konsultuje się z odpowiednimi służbami Komisji, instytucjami, organami i jednostkami organizacyjnymi Unii lub właściwymi organami państw członkowskich, chyba że jest jasne dla Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia, że stosowanie ograniczenia jest przewidziane w jednym z aktów, o których mowa w tych literach.

3. Jeżeli Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia ogranicza, w całości lub w części, stosowanie praw, o których mowa w ust. 1 i 2 powyżej, podejmuje kroki określone w art. 5 i 6 niniejszej decyzji.

4. Jeżeli osoby, których dane dotyczą, żądają dostępu do swoich danych osobowych przetwarzanych w kontekście co najmniej jednej sprawy lub do konkretnej operacji przetwarzania zgodnie z art. 17 rozporządzenia (UE) 2018/1725, Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia ogranicza się w ocenie wniosku wyłącznie do takich danych osobowych.

Artykuł 4

Określenie zabezpieczeń

1. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia wdraża zabezpieczenia, aby zapobiegać nadużyciom i niezgodnemu z prawem dostępowi do danych osobowych, względem których stosuje się lub można zastosować ograniczenia, lub niezgodnemu z prawem przekazywaniu takich danych. Takie zabezpieczenia obejmują środki techniczne i organizacyjne oraz są w razie potrzeby wyszczególnione w wewnętrznych decyzjach, procedurach i przepisach wykonawczych Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia. Zabezpieczenia te obejmują:

2. Zgodnie z art. 5 ust. 3 niniejszej decyzji zabezpieczenia, o których mowa w ust. 1, powinny podlegać okresowemu przeglądowi.

3. Dane osobowe są przechowywane zgodnie z mającymi zastosowanie przepisami Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia dotyczącymi przechowywania, które mają być określone w rejestrach ochrony danych prowadzonych na podstawie art. 31 rozporządzenia (UE) 2018/1725. Okres przechowywania w żadnym wypadku nie jest dłuższy niż to konieczne i właściwe dla celów, dla których dane są przetwarzane.

Artykuł 5

Konieczność i proporcjonalność ograniczeń

1. Wszelkie ograniczenia wynikające z art. 3 niniejszej decyzji są konieczne i proporcjonalne, zważywszy na zagrożenie dla praw i wolności osób, których dane dotyczą oraz przestrzeganie istoty praw podstawowych i wolności w społeczeństwie demokratycznym.

2. Jeżeli rozważane jest zastosowanie ograniczenia, przeprowadza się analizę konieczności i proporcjonalności opartą na zasadach przedstawionych poniżej. Badanie przeprowadza się również w ramach przeglądu okresowego, po dokonaniu oceny, czy nadal występują faktyczne i prawne powody ograniczenia. Proces ten zostaje udokumentowany wewnętrzną notą oceny dla celów rozliczalności, osobno dla każdego przypadku.

Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia przygotowuje okresowe sprawozdania ze stosowania art. 25 rozporządzenia (UE) 2018/1725.

3. Ograniczenia mają charakter tymczasowy. Ograniczenia stosuje się dopóki zastosowanie mają przyczyny uzasadniające ich stosowanie, w szczególności jeżeli uznaje się, że wykonanie ograniczonego prawa nie unieważniałoby już skutku ograniczenia lub nie wpływałoby już negatywnie na prawa lub wolności innych osób, których dotyczą dane.

Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia dokonuje przeglądu stosowania ograniczenia co sześć miesięcy od chwili przyjęcia ograniczenia, jak również z chwilą zakończenia danego dochodzenia administracyjnego, danej procedury lub danego postępowania. Następnie administrator co sześć miesięcy monitoruje konieczność zachowania jakiegokolwiek ograniczenia.

4. Jeżeli Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia stosuje, w całości lub w części, ograniczenia wynikające z art. 3 niniejszej decyzji, dokumentuje przyczyny ograniczenia, podstawę prawną (podstawy prawne) zgodnie z art. 3 niniejszej decyzji, w tym ocenę konieczności i proporcjonalności ograniczenia.

Rejestr oraz - w stosownych przypadkach - dokumenty opisujące okoliczności faktyczne i prawne leżące u podstaw ograniczenia są dokumentowane. Udostępnia się je Europejskiemu Inspektorowi Ochrony Danych na żądanie.

Artykuł 6

Obowiązek informowania

1. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia zamieszcza informacje o potencjalnym ograniczeniu praw w zawiadomieniach o ochronie danych, oświadczeniach o ochronie prywatności lub rejestrach w rozumieniu art. 31 rozporządzenia (UE) 2018/1725, publikowanych na stronie internetowej lub w intranecie, gdzie zawarta jest informacja dla osób, których dane dotyczą, na temat praw przysługujących im w ramach danej procedury. W informacjach tych podaje się prawa, które mogą podlegać ograniczeniu, przyczyny ograniczenia oraz potencjalny okres obowiązywania ograniczenia.

Bez uszczerbku dla przepisów art. 5 ust. 4 niniejszej decyzji, Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia - w sytuacji gdy jest to proporcjonalne - bez zbędnej zwłoki informuje również na piśmie indywidualnie wszystkie osoby, których dane dotyczą, uznawane za osoby objęte konkretną operacją przetwarzania, o przysługujących im prawach odnośnie do obecnych lub przyszłych ograniczeń.

2. W przypadku gdy Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia ogranicza - całkowicie lub częściowo - prawa określone w art. 3 niniejszej decyzji, informuje osobę, której dane dotyczą, o stosowanym ograniczeniu i jego głównych przyczynach, jak również o możliwości wniesienia skargi do Europejskiego Inspektora Ochrony Danych i możliwości skorzystania z sądowego środka ochrony prawnej przed Trybunałem Sprawiedliwości Unii Europejskiej.

Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 wstrzymać przekazanie informacji, o których mowa w ust. 2, pominąć je lub go odmówić, gdyby mogło ono unieważnić skutek ograniczenia.

Artykuł 7

Zaangażowanie inspektora ochrony danych

1. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia bez zbędnej zwłoki konsultuje się z inspektorem ochrony danych tego przedsięwzięcia przed planowanym ograniczeniem przez administratora stosowania praw osób, których dane dotyczą, lub planowanym rozszerzeniem ograniczenia oraz podczas stosowania takiego ograniczenia lub jego rozszerzeniu, zgodnie z niniejszą decyzją. Administrator zapewnia inspektorowi ochrony danych dostęp do rejestru zawierającego ocenę konieczności i proporcjonalności ograniczenia oraz wszelkich dokumentów dotyczących kontekstu faktycznego lub prawnego.

2. Inspektor ochrony danych może zwrócić się do administratora na piśmie o dokonanie przeglądu stosowania ograniczeń. Administrator informuje inspektora ochrony danych na piśmie o wyniku żądanego przeglądu.

3. Inspektor ochrony danych uczestniczy w procedurze przez cały czas jej trwania. Administrator informuje inspektora ochrony danych o zniesieniu ograniczenia.

4. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia dokumentuje na piśmie zaangażowanie inspektora ochrony danych w stosowanie ograniczeń, a także informacje, które są mu udostępniane.

Artykuł 8

Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

1. Jeżeli Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia jest zobowiązane do powiadomienia o naruszeniu ochrony danych osobowych na podstawie art. 35 ust. 1 rozporządzenia (UE) 2018/1725, może ono w wyjątkowych okolicznościach ograniczyć takie powiadomienie w całości lub w części. W zgłoszeniu dokumentuje powody takiego ograniczenia, podstawę prawną na mocy art. 3 niniejszej decyzji, i ocenę jego konieczności i proporcjonalności. Zgłoszenie to przekazuje się Europejskiemu Inspektorowi Ochrony Danych w momencie zgłoszenia naruszenia ochrony danych osobowych.

2. Jeżeli powody ograniczenia przestają mieć zastosowanie, Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia informuje osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych i informuje ją o głównych powodach ograniczenia oraz o przysługującym jej prawie do wniesienia skargi do Europejskiego Inspektora Ochrony Danych.

Artykuł 9

Poufność łączności elektronicznej

1. W wyjątkowych okolicznościach Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może ograniczyć prawo do poufności łączności elektronicznej na podstawie art. 36 rozporządzenia (UE) 2018/1725. Ograniczenia takie są zgodne z dyrektywą 2002/58/WE Parlamentu Europejskiego i Rady.

2. Jeżeli Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia ogranicza prawo do poufności łączności elektronicznej, informuje daną osobę, której dane dotyczą, w odpowiedzi na jakikolwiek wniosek ze strony osoby, której dane dotyczą, o głównych powodach, na których opiera się zastosowanie ograniczenia, i o jej prawie do wniesienia skargi do Europejskiego Inspektora Ochrony Danych.

3. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może wstrzymać, pominąć lub odmówić udzielenia informacji dotyczących przyczyn ograniczenia i prawa do złożenia skargi do Europejskiego Inspektora Ochrony Danych tak długo, jak długo skutkowałoby to uchyleniem skutku ograniczenia. Oceny zasadności takiej decyzji dokonuje się indywidualnie dla każdego przypadku.

Artykuł 10

Wejście w życie

Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.