Artykuł 1

Przedmiot i zakres stosowania

1. Niniejsza decyzja ustanawia przepisy, których zobowiązany jest przestrzegać administrator danych, zgodnie z definicją zawartą w art. 2 ust. 1, dotyczące informowania osób, których dane dotyczą, o przetwarzaniu ich danych zgodnie z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725.

Ustanawia ona także warunki, na jakich właściwy administrator danych może ograniczyć stosowanie art. 14-21 i 35 oraz art. 4 tego rozporządzenia, zgodnie z art. 25 ust. 1 lit. c), g) i h) powyższego rozporządzenia.

2. Niniejsza decyzja dotyczy przetwarzania danych osobowych przez dyrekcję ds. zasobów ludzkich w celu wykonywania lub w związku z wykonywaniem czynności służących realizacji jej zadań, o których mowa w art. 40 i 41 Regulaminów pracowniczych EBI I i II oraz w Polityce godności w miejscu pracy (z późniejszymi zmianami).

3. W ramach swoich uprawnień dyrekcja ds. zasobów ludzkich przetwarza kilka kategorii danych osobowych, w szczególności dane identyfikacyjne, dane kontaktowe, dane zawodowe i dane dotyczące udziału w sprawie.

Artykuł 2

Specyfikacja administratora danych i zabezpieczeń

1. Administratorem operacji przetwarzania danych jest dyrektor generalny ds. zasobów ludzkich.

2. Dane osobowe przechowywane są w zabezpieczonym środowisku elektronicznym i fizycznym, co zapobiega bezprawnemu dostępowi do tych danych lub przekazywaniu ich osobom, które nie są ich odbiorcami zgodnie z zasadą ograniczonego dostępu.

3. Przetwarzane dane osobowe przechowywane są przez co najmniej sześć miesięcy od dnia początkowego określonego w Harmonogramie przechowywania danych. Dokładne informacje na temat długości okresów przechowywania danych w przypadku poszczególnych procedur zawiera Harmonogram przechowywania danych opracowany przez dyrekcję ds. zasobów ludzkich.

Artykuł 3

Obowiązujące wyjątki i ograniczenia

1. Wykonując swoje obowiązki w odniesieniu do praw osób, których dane dotyczą, zgodnie z rozporządzeniem (UE) 2018/1725, dyrekcja ds. zasobów ludzkich uwzględnia, czy mają zastosowanie jakiekolwiek wyjątki przewidziane w tym rozporządzeniu.

2. Z zastrzeżeniem art. 4-7 niniejszej decyzji dyrekcja ds. zasobów ludzkich może ograniczyć stosowanie art. 14-21 i 35 rozporządzenia (UE) 2018/1725, a także art. 4 w zakresie, w jakim postanowienia tej decyzji odpowiadają prawom i obowiązkom przewidzianym w art. 14-22 tego rozporządzenia, w przypadku gdy wykonywanie tych praw i obowiązków zagrażałoby celowi procedur określonych w art. 40 i 41 Regulaminów pracowniczych EBI I i II oraz w Polityce godności w miejscu pracy lub naruszałoby prawa i wolności innych osób, których dane dotyczą.

3. Z zastrzeżeniem art. 4-7 niniejszej decyzji dyrekcja ds. zasobów ludzkich może również ograniczyć prawa i obowiązki, o których mowa w ust. 2 niniejszego artykułu, w odniesieniu do danych osobowych uzyskanych od innych instytucji, organów i jednostek organizacyjnych Unii Europejskiej, właściwych organów państw członkowskich bądź organizacji międzynarodowych, jeżeli zachodzą następujące okoliczności:

Przed zastosowaniem ograniczeń w okolicznościach, o których mowa w lit. a) i b) akapitu pierwszego, dyrekcja ds. zasobów ludzkich konsultuje się z właściwymi instytucjami, organami i jednostkami organizacyjnymi Unii Europejskiej lub właściwymi organami państw członkowskich, chyba że dyrekcja ds. zasobów ludzkich nie ma wątpliwości, że zastosowanie ograniczenia przewidziano w jednym z aktów, o których mowa w podanych wyżej literach.

Litera c) akapitu pierwszego nie ma zastosowania, w przypadku gdy interesy lub podstawowe prawa i wolności osób, których dane dotyczą, przeważają nad interesem Unii Europejskiej dotyczącym współpracy z państwami trzecimi lub organizacjami międzynarodowymi.

4. Postanowienia ust. 1, 2 i 3 pozostają bez uszczerbku dla stosowania innych decyzji EBI (4) ustanawiających przepisy wewnętrzne dotyczące przekazywania informacji osobom, których dane dotyczą, oraz ograniczania niektórych praw w trybie art. 25 rozporządzenia (UE) 2018/1725.

Artykuł 4

Przekazywanie informacji osobom, których dane dotyczą

1. Dyrekcja ds. zasobów ludzkich publikuje w serwisie intranetowym EBI informacje o ochronie danych, w których powiadamia wszystkie osoby, których dane dotyczą, o prowadzonych przez siebie działaniach obejmujących przetwarzanie ich danych osobowych, zawierające komunikat o ochronie danych dotyczący możliwego ograniczenia ich praw. Informacje te dotyczą praw, które mogą zostać ograniczone, podstaw, na jakich ograniczenia mogą być stosowane, oraz ich potencjalnego czasu trwania.

2. Dyrekcja ds. zasobów ludzkich informuje poszczególne osoby, których dane dotyczą, będące stronami procedury, osobami, których dotyczy procedura, lub świadkami, w specjalnym komunikacie o ochronie danych zawierającym informacje dotyczące praw, które mogą zostać ograniczone, przyczyn zastosowania takiego ograniczenia bądź takich ograniczeń oraz potencjalnego czasu trwania takiego ograniczenia bądź takich ograniczeń.

3. W przypadku całkowitego lub częściowego ograniczenia przez dyrekcję ds. zasobów ludzkich przekazywania informacji osobom, których dane dotyczą i o których mowa w art. 2, dyrekcja ds. zasobów ludzkich odnotowuje przyczyny zastosowania takiego ograniczenia, w tym ocenę jego konieczności i proporcjonalności. W ramach takiej oceny dokumentuje się również ryzyko związane z odnośną procedurą oraz wpływ na prawa i wolności osób, których dane dotyczą.

W tym celu we wpisie określa się w szczególności, w jaki sposób przekazanie takich informacji zniweczyłoby skutek ograniczenia zastosowanego (ograniczeń zastosowanych) zgodnie z art. 3 ust. 2 i art. 3 ust. 3 bądź jaki negatywny wpływ wywarłoby na prawa i wolności innych osób, których dane dotyczą.

W rejestrze uwzględnia się wspomniany wpis oraz, w stosownych przypadkach, leżące u jego podstaw dokumenty zawierające elementy stanu faktycznego oraz aspekty prawne. Udostępnia się je na żądanie Europejskiego Inspektora Ochrony Danych (EIOD).

4. Ograniczenie, o którym mowa w ust. 3, stosuje się tak długo, jak długo mają zastosowanie przyczyny je uzasadniające.

Gdy przyczyny stosowania ograniczenia przestają obowiązywać, dyrekcja ds. zasobów ludzkich przekazuje stosowne informacje osobie, której dane dotyczą, oraz podaje jej przyczyny ograniczenia. Jednocześnie dyrekcja ds. zasobów ludzkich informuje osobę, której dane dotyczą, o możliwości wniesienia w dowolnym momencie skargi za pośrednictwem EIOD lub o możliwości odwołania się do Trybunału Sprawiedliwości Unii Europejskiej.

Dyrekcja ds. zasobów ludzkich dokonuje przeglądu zastosowania danego ograniczenia co najmniej co sześć miesięcy od jego wprowadzenia oraz w chwili zamknięcia stosownej procedury. Następnie administrator danych co sześć miesięcy monitoruje konieczność zachowania jakiegokolwiek ograniczenia.

Artykuł 5

Prawo dostępu przysługujące osobie, której dane dotyczą

1. W przypadku gdy dyrekcja ds. zasobów ludzkich ogranicza, całkowicie lub częściowo, prawo dostępu, o którym mowa w art. 17 rozporządzenia (UE) 2018/1725, podejmuje ona następujące kroki:

Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 można opóźnić przekazanie informacji, o których mowa w lit. a), pominąć je lub go odmówić.

2. W rejestrze uwzględnia się wpis, o którym mowa w ust. 2 lit. b) akapitu pierwszego, oraz, w stosownych przypadkach, leżące u jego podstaw dokumenty zawierające elementy stanu faktycznego oraz aspekty prawne. Udostępnia się je na żądanie EIOD. Zastosowanie ma art. 25 ust. 7 rozporządzenia (UE) 2018/1725.

3. Ograniczenie, o którym mowa w ust. 1, stosuje się tak długo, jak długo mają zastosowanie przyczyny je uzasadniające.

Gdy przyczyny stosowania ograniczenia przestają obowiązywać, dyrekcja ds. zasobów ludzkich przekazuje stosowne informacje osobie, której dane dotyczą, oraz podaje jej przyczyny ograniczenia. Jednocześnie dyrekcja ds. zasobów ludzkich informuje osobę, której dane dotyczą, o możliwości wniesienia w dowolnym momencie skargi za pośrednictwem EIOD lub o możliwości odwołania się do Trybunału Sprawiedliwości Unii Europejskiej.

Dyrekcja ds. zasobów ludzkich dokonuje przeglądu zastosowania danego ograniczenia co najmniej co sześć miesięcy od jego wprowadzenia oraz w chwili zamknięcia stosownej procedury. Następnie administrator danych co sześć miesięcy monitoruje konieczność zachowania jakiegokolwiek ograniczenia.

Artykuł 6

Prawo do poprawiania danych, ich usunięcia i ograniczenia przetwarzania

Jeżeli dyrekcja ds. zasobów ludzkich ogranicza, całkowicie lub częściowo, stosowanie prawa do poprawiania danych, ich usunięcia lub prawa do ograniczenia ich przetwarzania, o czym mowa w art. 18, 19 ust. 1 i art. 20 ust. 1 rozporządzenia (UE) 2018/1725, podejmuje ona kroki określone w art. 5 ust. 2 i art. 5 ust. 3 niniejszej decyzji.

Artykuł 7

Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

Jeżeli dyrekcja ds. zasobów ludzkich ogranicza zawiadomienie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, o czym mowa w art. 35 rozporządzenia (UE) 2018/1725, odnotowuje ona i rejestruje powody takiego ograniczenia zgodnie z art. 4 ust. 3 niniejszej decyzji. Zastosowanie ma art. 4 ust. 4 niniejszej decyzji.

Artykuł 8

Przegląd prowadzony przez inspektora ochrony danych

Dyrekcja ds. zasobów ludzkich niezwłocznie informuje inspektora ochrony danych o swojej decyzji o ograniczeniu stosowania praw osób, których dane dotyczą, zgodnie z niniejszą decyzją. Inspektor ochrony danych dokonuje przeglądu wpisu w rejestrze oraz oceny konieczności i proporcjonalności ograniczenia. Z przeglądu przeprowadzonego przez inspektora ochrony danych zostanie sporządzona dokumentacja.

Inspektor ochrony danych może zwrócić się do dyrekcji ds. zasobów ludzkich na piśmie o dokonanie przeglądu stosowania ograniczeń. Dyrekcja ds. zasobów ludzkich informuje inspektora ochrony danych na piśmie o wynikach wnioskowanego przeglądu.

Artykuł 9

Wejście w życie

Niniejsza decyzja, zatwierdzona przez Radę Dyrektorów EBI w dniu 9 października 2023 r., zastępuje decyzję EBI ustanawiającą przepisy wewnętrzne dotyczące przetwarzania danych osobowych przez dyrekcję ds. zasobów ludzkich Europejskiego Banku Inwestycyjnego w odniesieniu do przekazywania informacji osobom, których dane dotyczą, oraz do ograniczenia niektórych ich praw, zatwierdzoną przez Radę Dyrektorów EBI w dniu 26 lutego 2019 r. Decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.