Przepisy wykonawcze w zakresie ograniczenia niektórych praw osób, których dane dotyczą, w odniesieniu do danych osobowych przekazywanych przez Parlament Europejski organom krajowym w ramach postępowań przygotowawczych lub dochodzeń finansowych.

DECYZJA PREZYDIUM PARLAMENTU EUROPEJSKIEGO

z dnia 3 kwietnia 2019 r.

w sprawie przepisów wykonawczych w zakresie ograniczenia niektórych praw osób, których dane dotyczą, w odniesieniu do danych osobowych przekazywanych przez Parlament Europejski organom krajowym w ramach postępowań przygotowawczych lub dochodzeń finansowych

(2019/C 163/01)

(Dz.U.UE C z dnia 13 maja 2019 r.)

PREZYDIUM PARLAMENTU EUROPEJSKIEGO,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 16,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 ¹ , w szczególności jego art. 25,

uwzględniając art. 25 ust. 2 Regulaminu Parlamentu Europejskiego,

uwzględniając opinię Europejskiego Inspektora Ochrony Danych z dnia 28 lutego 2019 r., z którym skonsultowano się na mocy art. 41 ust. 2 rozporządzenia (UE) 2018/1725,

a także mając na uwadze, co następuje:

(1) Parlament Europejski otrzymuje od organów krajowych prowadzących postępowania przygotowawcze lub dochodzenia finansowe wnioski o przekazanie informacji i kopii akt i dokumentów administracyjnych.

(2) Parlament Europejski jest zobowiązany przekazywać dokumenty, których dotyczy wniosek zgodnie z zasadą lojalnej współpracy zawartą w art. 4 ust. 3 Traktatu o Unii Europejskiej.

(3) W informacjach i dokumentach przekazywanych na wniosek organów krajowych mogą znajdować się dane osobowe.

(4) Przewodniczący, sekretarz generalny lub wyznaczone przez nich służby mogą przekazywać informacje i dokumenty, których dotyczy wniosek i pełnią funkcję administratora do celów ich przekazywania.

(5) W tym kontekście Parlament Europejski ma obowiązek przestrzegać praw podstawowych osób, których dane dotyczą, zgodnie z art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej, art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej i z rozporządzeniem (UE) 2018/1725, a w szczególności prawa do bycia poinformowanym o przetwarzaniu.

(6) Parlament Europejski może być jednak zobowiązany do ograniczenia stosowania art. 4, 14-21 i 35-36 rozporządzenia (UE) 2018/1725 w odniesieniu do operacji przekazywania, aby chronić w szczególności cel i poufność krajowych postępowań przygotowawczych i dochodzeń finansowych.

(7) Przed zastosowaniem jakiegokolwiek ograniczenia Parlament Europejski musi w każdym przypadku ocenić jego konieczność i proporcjonalność, uwzględniając zagrożenie dla praw i wolności osób, których dane dotyczą; Parlament Europejski musi uzasadnić, dlaczego w demokratycznym społeczeństwie te ograniczenia są bezwzględnie konieczne i proporcjonalne oraz przestrzegać odnośnych podstawowych praw i wolności,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł  1

Przedmiot i zakres ograniczeń

1. Niniejsza decyzja określa warunki, na jakich Parlament Europejski może ograniczyć stosowanie art. 4, 14-21 i 35-36 rozporządzenia (UE) 2018/1725 zgodnie z art. 25 ust. 1 lit. b), e) i f) tego rozporządzenia, w przypadku przekazywania organom krajowym informacji i dokumentów, o które zwracają się one w związku z postępowaniami przygotowawczymi lub dochodzeniami finansowymi.

2. Niniejsza decyzja ma zastosowanie do przetwarzania danych osobowych, a w szczególności ich przekazywania, przez Parlament Europejski w celu dostarczenia organom krajowym informacji i dokumentów, o które zwracają się w związku z postępowaniami przygotowawczymi lub dochodzeniami finansowymi.

3. Przewodniczący, sekretarz generalny lub wyznaczone przez nich służby mogą przekazywać informacje i dokumenty, których dotyczy wniosek i pełnią oni funkcję administratora do celów takiego przekazywania.

4. Niniejsza decyzja ma zastosowanie do następujących kategorii danych osobowych:

a) dane identyfikacyjne;

b) dane kontaktowe;

c) dane zawodowe;

d) dane finansowe;

e) łączność elektroniczna;

f) dane o ruchu;

g) dane z nadzoru wideo;

h) nagrania audio;

i) dane dotyczące obecności osób;

j) wszelkie inne dane dotyczące przedmiotu danego postępowania lub dochodzenia prowadzonego przez organy krajowe.

Artykuł  2

Zabezpieczenia

1. Dane osobowe należy przechowywać w zabezpieczonym środowisku fizycznym i elektronicznym, które uniemożliwia bezprawny dostęp do danych lub ich przekazanie osobom, które nie mają potrzeby ich posiadania.

2. Po zakończeniu przetwarzania dane osobowe należy przechowywać zgodnie z obowiązującymi przepisami Parlamentu Europejskiego ² .

3. Ocenę konieczności i proporcjonalności ograniczenia przeprowadza się zgodnie z art. 9 przed zastosowaniem jakiegokolwiek konkretnego ograniczenia.

Artykuł  3

Obowiązujące ograniczenia

1. Z zastrzeżeniem art. 4-10 niniejszej decyzji, administrator danych może ograniczyć stosowanie art. 14-21 i 35-36 rozporządzenia (UE) 2018/1725, jak również jego art. 4 w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-21 tego rozporządzenia, w przypadku gdy wykonywanie tych praw zagrażałoby celowi i poufności krajowych postępowań przygotowawczych i dochodzeń finansowych.

2. Zgodnie z art. 9 niniejszej decyzji administrator danych zapisuje i rejestruje przyczyny ograniczenia.

Artykuł  4

Przekazywanie informacji osobom, których dane dotyczą

1. Parlament Europejski publikuje na swojej stronie internetowej informacje o ochronie danych, w których informuje wszystkie osoby, których dane dotyczą, o możliwości przekazywania ich danych osobowych w ramach współpracy Parlamentu Europejskiego z organami krajowymi w odniesieniu do toczących się postępowań przygotowawczych lub dochodzeń finansowych oraz o ewentualnym ograniczeniu praw tych osób w tym kontekście. W informacjach tych wskazuje się, jakie prawa mogą być ograniczone, przyczyny tych ograniczeń, potencjalny czas ich trwania oraz dostępne środki prawne.

2. W miarę możliwości administrator danych informuje, bez zbędnej zwłoki i w najbardziej odpowiedniej formie, bezpośrednio każdą osobę, której dane dotyczą, o przysługujących jej prawach w odniesieniu do takich ograniczeń. W informacjach tych wskazuje się, jakie prawa mogą być ograniczone, przyczyny takich ograniczeń, potencjalny czas ich trwania oraz dostępne środki prawne.

Artykuł  5

Prawo do informacji

1. W przypadku gdy administrator danych ogranicza prawo do informacji, o którym mowa w art. 15 i 16 rozporządzenia (UE) 2018/1725, osoby, których dane dotyczą, zostają poinformowane, zgodnie z art. 25 ust. 6 tego rozporządzenia, o głównych przyczynach zastosowania ograniczenia oraz o przysługującym im prawie do wniesienia skargi do Europejskiego Inspektora Ochrony Danych.

2. Jednakże takie dostarczenie informacji na temat przekazania organom krajowym danych osobowych i zastosowania ograniczenia może zostać wstrzymane, pominięte lub można go odmówić, zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725, tak długo, jak długo unieważniałoby ono skutek ograniczenia.

3. W przypadku gdy administrator danych w całości lub częściowo wstrzymuje lub pomija przekazanie informacji osobom, których dane dotyczą, w rozumieniu ust. 2, lub też odmawia takiego przekazania informacji, wówczas zapisuje on i rejestruje przyczyny takiej decyzji zgodnie z art. 9.

Artykuł  6

Prawo dostępu osób, których dane dotyczą, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania, obowiązek powiadomienia

1. W przypadku gdy administrator danych ogranicza, w całości lub w części, prawo dostępu osób, których dane dotyczą, do danych osobowych, prawo do sprostowania danych, prawo do usunięcia danych lub prawo do ograniczenia przetwarzania, o których mowa odpowiednio w art. 17, 18, 19 i 20 rozporządzenia (UE) 2018/1725, jak również obowiązek powiadomienia zgodnie z art. 21 tego rozporządzenia, zapisuje on i rejestruje przyczyny ograniczenia zgodnie z art. 9 niniejszej decyzji. Administrator informuje zainteresowaną osobę, której dane dotyczą, w odpowiedzi na wniosek o dostęp, sprostowanie danych, usunięcie danych i ograniczenie przetwarzania, o zastosowanym ograniczeniu i głównych przyczynach tego ograniczenia, a także o możliwości wniesienia skargi do Europejskiego Inspektora Ochrony Danych lub środka zaskarżenia do Trybunału Sprawiedliwości Unii Europejskiej.

2. Przekazanie informacji dotyczących przyczyn ograniczenia, o których mowa w ust. 1, może zostać wstrzymane, pominięte lub można go odmówić tak długo, jak długo unieważniałoby ono skutek ograniczenia.

3. Administrator danych zapisuje przyczyny wstrzymania, pominięcia lub odmowy zgodnie z art. 9.

4. W przypadku gdy prawo dostępu jest w całości lub w części ograniczone, osoba, której dane dotyczą, korzysta z prawa dostępu za pośrednictwem Europejskiego Inspektora Ochrony Danych zgodnie z art. 25 ust. 6, 7 i 8 rozporządzenia (UE) 2018/01725.

Artykuł  7

Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

W przypadku gdy administrator danych ogranicza prawo osób, których dane dotyczą do otrzymania zawiadomienia o naruszeniu ochrony danych osobowych osoby, której dane dotyczą, o którym mowa w art. 35 rozporządzenia (UE) 2018/1725, zapisuje on i rejestruje przyczyny tego ograniczenia zgodnie z art. 9 niniejszej decyzji.

Artykuł  8

Poufność łączności elektronicznej

W przypadku gdy administrator danych ogranicza prawo do poufności łączności elektronicznej, o którym mowa w art. 36 rozporządzenia (UE) 2018/1725, zapisuje on i rejestruje przyczyny ograniczenia zgodnie z art. 9 niniejszej decyzji.

Artykuł  9

Ocena konieczności i proporcjonalności ograniczeń oraz ich zapisywanie i rejestrowanie

1. Przed zastosowaniem danego ograniczenia, administrator danych dokonuje oceny konieczności i proporcjonalności ograniczeń, z uwzględnieniem odpowiednich elementów art. 25 ust. 2 rozporządzenia (UE) 2018/1725. Ocena taka obejmuje również ocenę ryzyka dla praw i wolności odnośnych osób, których dane dotyczą, w szczególności ryzyka, że ich dane osobowe mogą być przekazywane bez ich wiedzy i zgody, oraz ryzyka, że osoby te nie będą mogły wykonywać swych praw zgodnie z tym rozporządzeniem. Ocena ta jest dokumentowana za pomocą wewnętrznej notatki oceniającej i przeprowadzana w każdym indywidualnym przypadku.

2. Administrator danych zapisuje przyczyny każdego ograniczenia zastosowanego zgodnie z niniejszą decyzją, w tym ocenę dokonaną na mocy ust. 1.

W tym celu we wpisie należy określić, w jaki sposób wykonywanie praw osoby, której dane dotyczą, zagrażałoby celowi i poufności krajowych postepowań przygotowawczych i dochodzeń finansowych.

3. Jeżeli, zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725, administrator danych wstrzymuje lub pomija przekazanie informacji lub odmawia takiego przekazania informacji, zapisuje on również, w odpowiednim przypadku, uzasadnienie takiego wstrzymania, pominięcia lub odmowy.

4. W rejestrze centralnym umieszcza się wpis oraz, w stosownych przypadkach, potwierdzające dokumenty zawierające elementy stanu faktycznego i aspekty prawne. Udostępnia się je na żądanie Europejskiego Inspektora Ochrony Danych.

Artykuł  10

Okres obowiązywania ograniczeń

1. Ograniczenia, o których mowa w art. 3, 5, 6, 7 i 8, mają zastosowanie tak długo, jak długo mają zastosowanie przyczyny uzasadniające ich zastosowanie.

2. W przypadku gdy przyczyny ograniczenia, o którym mowa w art. 3, 5, 6, 7 i 8, nie mają już zastosowania, administrator danych znosi ograniczenie i podaje główne przyczyny ograniczenia osobie, której dane dotyczą. Jednocześnie administrator danych informuje osobę, której dane dotyczą, o możliwości wniesienia, w dowolnym momencie, skargi do Europejskiego Inspektora Ochrony Danych lub środka prawnego do Trybunału Sprawiedliwości Unii Europejskiej.

3. Administrator danych dokonuje przeglądu zastosowania ograniczenia, o którym mowa w art. 3, 5, 6, 7 i 8, co sześć miesięcy od jego przyjęcia i przy zamknięciu odnośnej procedury.

Artykuł  11

Przegląd dokonywany przez inspektora ochrony danych

1. Inspektor ochrony danych jest informowany bez zbędnej zwłoki o każdym przypadku, gdy prawa osób, których dane dotyczą, są ograniczone zgodnie z niniejszą decyzją. Inspektor ochrony danych otrzymuje, na wniosek, dostęp do wpisu oraz do wszelkich potwierdzających dokumentów zawierających elementy stanu faktycznego i aspekty prawne.

2. Inspektor ochrony danych może zwrócić się do administratora danych o przegląd ograniczeń. Inspektora ochrony danych należy pisemnie poinformować o wynikach przeglądu, którego taki wniosek dotyczy.

3. Wszelka wymiana informacji z inspektorem ochrony danych w trakcie całej procedury zgodnie z ust. 1 i 2 jest rejestrowana w odpowiedniej formie.

Artykuł  12

Wejście w życie

Niniejsza decyzja wchodzi w życie następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

1 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39).

2 Decyzja Prezydium z dnia 2 lipca 2012 r. dotycząca zarządzania dokumentami w Parlamencie Europejskim.

• Identyfikator: Dz.U.UE.C.2019.163.1
• Rodzaj: Decyzja
• Tytuł: Przepisy wykonawcze w zakresie ograniczenia niektórych praw osób, których dane dotyczą, w odniesieniu do danych osobowych przekazywanych przez Parlament Europejski organom krajowym w ramach postępowań przygotowawczych lub dochodzeń finansowych.
• Data aktu: 03/04/2019
• Data ogłoszenia: 13/05/2019
• Data wejścia w życie: 14/05/2019