Artykuł 1

Zakres stosowania i przedmiot

1. Niniejsza decyzja ma zastosowanie do przetwarzania danych osobowych przez Komisję jako administratora danych do celów wykonywania przez głównego zaufanego doradcę i zaufanych doradców zadań dotyczących zapobiegania nękaniu psychicznemu lub molestowaniu seksualnemu oraz zwalczania tych zjawisk, jak określono w decyzji C(2023) 8630.

2. Kategorie danych osobowych objętych niniejszą decyzją obejmują dane kontaktowe, dane dotyczące tożsamości i zachowania związane z zachowaniem domniemanego sprawcy wobec ofiary lub innych zainteresowanych osób, a także dane osobowe, o których mowa w art. 10 ust. 1 i art. 11 rozporządzenia (UE) 2018/1725.

3. Niniejsza decyzja ustanawia przepisy, których Komisja zobowiązana jest przestrzegać, dotyczące informowania osób, których dane dotyczą, o przetwarzaniu ich danych osobowych zgodnie z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725.

4. Określa ona również warunki, na jakich Komisja może ograniczyć stosowanie art. 4, 14-17, 19, 20 i 35 rozporządzenia (UE) 2018/1725, zgodnie z jego art. 25 ust. 1 lit. h).

Artykuł 2

Ograniczenia mające zastosowanie

1. Z zastrzeżeniem art. 3-7 niniejszej decyzji, w przypadku gdy wykonywanie praw i obowiązków, o których mowa w poniższych przepisach, miałoby negatywny wpływ na ochronę osoby, której dane dotyczą, lub na prawa i wolności innych osób zgodnie z art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725, Komisja może ograniczyć stosowanie:

Komisja wykonuje uprawnienia przyznane jej w akapicie pierwszym wyłącznie w celu zabezpieczenia jednego z poniższych:

Komisja wykonuje uprawnienia przyznane jej w akapicie pierwszym wyłącznie w odniesieniu do jednej z następujących kategorii danych osobowych przetwarzanych przez Komisję:

2. Komisja może to uczynić, w przypadku gdy wykonywanie tych praw i obowiązków miałoby negatywny wpływ na ochronę osób, których dane dotyczą, lub na prawa i wolności innych osób zgodnie z art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725.

3. Ust. 1 nie ma wpływu na stosowanie innych decyzji Komisji ustanawiających przepisy wewnętrzne dotyczące przekazywania informacji osobom, których dane dotyczą, ani ograniczeń wynikających z art. 25 rozporządzenia (UE) 2018/1725.

4. Przed zastosowaniem ograniczeń Komisja ocenia w każdym przypadku z osobna ich konieczność i proporcjonalność. Ograniczenia nie mogą wykraczać poza to, co jest bezwzględnie konieczne do osiągnięcia wyznaczonych celów.

Artykuł 3

Przekazywanie informacji osobom, których dane dotyczą

1. Komisja publikuje na swojej stronie internetowej oświadczenie o ochronie danych, w którym informuje wszystkie osoby, których dane dotyczą, o swoich działaniach obejmujących przetwarzanie ich danych osobowych do celów określonych w art. 2 ust. 1 akapit drugi.

2. Oświadczenie na temat ochrony danych zawiera sekcję zawierającą ogólne informacje dla osób, których dane dotyczą, na temat możliwości ograniczenia praw osób, których dane dotyczą, zgodnie z art. 2 ust. 1. Są tam zawarte informacje na temat praw, które mogą zostać ograniczone, podstaw stosowania ograniczeń oraz potencjalnego czasu trwania ograniczeń.

3. Komisja informuje indywidualnie ofiary i świadków, którzy zgłaszają przypadki nękania psychicznego i molestowania seksualnego, o przetwarzaniu ich danych osobowych, za pomocą odpowiednich środków.

4. Po zakończeniu nieformalnej procedury z udziałem głównego zaufanego doradcy Komisja informuje indywidualnie, na piśmie i bez zbędnej zwłoki domniemanego sprawcę, którego prawa jako osoby, której dane dotyczą, zostały ograniczone zgodnie z niniejszą decyzją, o odpowiednich ograniczeniach jego praw. Komisja informuje osobę, której dane dotyczą, o podstawowych powodach zastosowania ograniczenia, o przysługującym jej prawie do konsultacji z inspektorem ochrony danych w celu zakwestionowania ograniczenia oraz o prawie do wniesienia skargi do Europejskiego Inspektora Ochrony Danych. Jeżeli jest to absolutnie niezbędne do ochrony ofiary lub innych zaangażowanych w sprawę osób, Komisja może nadal ograniczać niektóre prawa osób, których dane dotyczą, związane z danymi osobowymi przetwarzanymi do celów nieformalnej procedury po zakończeniu tej procedury, i w miarę możliwości wskazuje termin, w którym prawa te zostaną w pełni przywrócone.

Artykuł 4

Prawo dostępu dla osób, których dane dotyczą, prawo do usunięcia danych oraz prawo do ograniczenia przetwarzania

1. W przypadku gdy Komisja ogranicza, w całości lub w części, osobom, których dane dotyczą, prawo dostępu do danych osobowych, prawo do usunięcia danych lub prawo do ograniczenia przetwarzania, o których to prawach mowa w art. 17, 19 i 20 rozporządzenia (UE) 2018/1725, w odpowiedzi na wniosek o dostęp, usunięcie danych lub ograniczenie przetwarzania Komisja przekazuje danej osobie, której dane dotyczą, na piśmie i bez zbędnej zwłoki następujące informacje:

2. Przekazanie informacji dotyczących podstawowych powodów ograniczenia, o którym mowa w ust. 1 lit. a), może zostać wstrzymane, pominięte lub można go odmówić, jeżeli takie przekazanie unieważniłoby skutek ograniczenia. Komisja ocenia w poszczególnych przypadkach, czy takie ograniczenie jest uzasadnione.

Artykuł 5

Zawiadamianie o naruszeniach ochrony danych osobowych i ich zgłaszanie

1. Jeżeli Komisja jest zobowiązana do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych na podstawie art. 35 ust. 1 rozporządzenia (UE) 2018/1725, może ona w wyjątkowych okolicznościach ograniczyć takie zawiadomienie w całości lub w części. W formie noty dokumentuje ona powody takiego ograniczenia, podstawę prawną na mocy art. 2 oraz ocenę jego konieczności i proporcjonalności. Nota jest przekazywana Europejskiemu Inspektorowi Ochrony Danych w momencie zgłaszania naruszenia ochrony danych osobowych.

2. Jeżeli powody ograniczenia przestają mieć zastosowanie, Komisja zawiadamia osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych i informuje ją o głównych powodach ograniczenia oraz o przysługującym jej prawie do wniesienia skargi do Europejskiego Inspektora Ochrony Danych.

3. W przypadku gdy Komisja zgłasza Europejskiemu Inspektorowi Ochrony Danych naruszenie ochrony danych osobowych na podstawie art. 34 ust. 1 rozporządzenia (UE) 2018/1725, dołącza do zgłoszenia wpis dokonany na podstawie art. 6 niniejszej decyzji.

Artykuł 6

Zapisywanie i sporządzanie rejestrów ograniczeń

1. Oceny ryzyka naruszenia praw i wolności osób, których dane dotyczą, związanego z nałożeniem ograniczeń oraz szczegóły dotyczące okresu stosowania tych ograniczeń są wpisywane do rejestru czynności przetwarzania prowadzonego przez Komisję na podstawie art. 31 rozporządzenia (UE) 2018/1725. We wpisie określa się, w jaki sposób wykonywanie prawa przez daną osobę, której dane dotyczą, naruszyłoby mającą zastosowanie podstawę wymienioną w art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725.

2. Komisja rejestruje powody przeprowadzenia wszelkich indywidualnych ocen dotyczących każdego ograniczenia zastosowanego na podstawie niniejszej decyzji, w tym oceny ryzyka naruszenia praw i wolności osób, których dane dotyczą, związanego z nałożeniem danego ograniczenia oraz oceny jego konieczności i proporcjonalności, z uwzględnieniem odpowiednich elementów określonych w art. 25 ust. 2 rozporządzenia (UE) 2018/1725.

3. W rejestrze uwzględnia się wspomniany wpis oraz, w stosownych przypadkach, dokumenty zawierające elementy stanu faktycznego oraz aspekty prawne będące jego podstawą. Udostępnia się je na żądanie Europejskiego Inspektora Ochrony Danych.

4. Komisja przygotowuje okresowe sprawozdania ze stosowania art. 25 rozporządzenia (UE) 2018/1725.

Artykuł 7

Okres obowiązywania ograniczeń

1. Ograniczenia, o których mowa w art. 3, 4 i 5, mają zastosowanie tak długo, jak długo mają zastosowanie uzasadniające je powody.

2. Jeżeli powody uzasadniające ograniczenie, o którym mowa w art. 3, 4 lub 5, przestają mieć zastosowanie, Komisja znosi to ograniczenie. Jednocześnie Komisja informuje również osobę, której dane dotyczą, o głównych powodach zastosowania tego ograniczenia oraz o możliwości wniesienia, w dowolnym momencie, skargi do Europejskiego Inspektora Ochrony Danych lub środka ochrony prawnej do Trybunału Sprawiedliwości Unii Europejskiej.

3. Komisja dokonuje przeglądu stosowania ograniczeń, o których mowa w art. 3, 4 i 5, co sześć miesięcy. Przegląd obejmuje ocenę konieczności i proporcjonalności ograniczenia, z uwzględnieniem odpowiednich elementów określonych w art. 25 ust. 2 rozporządzenia (UE) 2018/1725.

Artykuł 8

Zabezpieczenia i okresy przechowywania

1. Komisja wdraża zabezpieczenia w celu zapobiegania nadużyciom i bezprawnemu dostępowi lub przekazywaniu danych osobowych, w odniesieniu do których są lub mogą być stosowane ograniczenia. Takie zabezpieczenia obejmują następujące środki techniczne i organizacyjne:

2. Ograniczenia, o których mowa w art. 2, zostają zniesione z chwilą ustania uzasadniających je powodów.

3. Dane osobowe są zatrzymywane zgodnie z obowiązującymi przepisami Komisji dotyczącymi zatrzymywania danych, które zostaną określone w rejestrach prowadzonych na mocy art. 31 rozporządzenia (UE) 2018/1725. Na koniec okresu zatrzymania dane osobowe są usuwane, anonimizowane lub przekazywane do archiwów zgodnie z art. 13 rozporządzenia (UE) 2018/1725.

Artykuł 9

Przegląd ex ante przeprowadzany przez koordynatora ds. ochrony danych oraz przegląd ex post przeprowadzany przez inspektora ochrony danych Komisji

1. Przed ewentualnym zastosowaniem jakichkolwiek ograniczeń przeprowadza się konsultacje z koordynatorem ds. ochrony danych w Dyrekcji Generalnej ds. Zasobów Ludzkich, który powinien sprawdzić ich zgodność z niniejszą decyzją.

2. Inspektor ochrony danych Komisji jest niezwłocznie informowany, ilekroć prawa osób, których dane dotyczą, są ograniczane zgodnie z niniejszą decyzją. Inspektor ochrony danych otrzymuje, na żądanie, dostęp do wpisu oraz wszelkich leżących u jego podstaw dokumentów zawierających elementy stanu faktycznego oraz aspekty prawne.

3. Inspektor ochrony danych może zwrócić się o przegląd stosowania ograniczenia. Inspektora ochrony danych należy pisemnie poinformować o wynikach wnioskowanego przeglądu.

4. Komisja dokumentuje udział inspektora ochrony danych i koordynatora ds. ochrony danych oraz to, jakie informacje im udostępniono, w każdym przypadku, w którym prawa i obowiązki, o których mowa w art. 2 ust. 1, akapit pierwszy, są ograniczane.

Artykuł 10

Wejście w życie

Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.