Decyzja ustanawiająca przepisy wewnętrzne dotyczące przetwarzania danych osobowych przez dyrekcję personelu Europejskiego Banku Inwestycyjnego w odniesieniu do przekazywania informacji osobom, których dane dotyczą, oraz do ograniczenia niektórych ich praw

DECYZJA EUROPEJSKIEGO BANKU INWESTYCYJNEGO

z dnia 26 lutego 2019 r.

ustanawiająca przepisy wewnętrzne dotyczące przetwarzania danych osobowych przez dyrekcję personelu Europejskiego Banku Inwestycyjnego w odniesieniu do przekazywania informacji osobom, których dane dotyczą, oraz do ograniczenia niektórych ich praw

EUROPEJSKI BANK INWESTYCYJNY ("EBI"),

(Dz.U.UE L z dnia 26 kwietnia 2019 r.)

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 309,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE,

a także mając na uwadze, co następuje:

Zgodnie z art. 38 Regulaminów pracowniczych EBI I i II, w stosunku do pracowników, którzy nie wypełniają swoich zobowiązań wobec EBI, mogą zostać podjęte środki dyscyplinarne przewidziane procedurą określoną w art. 40 tych regulaminów. Zgodnie z art. 41 Regulaminów pracowniczych EBI I i II, spory inne niż wynikające z zastosowania środków dyscyplinarnych przewidzianych w art. 38 tych regulaminów mogą być kierowane do komisji pojednawczej. Zgodnie z obowiązującymi w EBI Wytycznymi w sprawie procedury odwoławczej dotyczącej oceny pracownika i Polityką godności w miejscu pracy, EBI ma obowiązek rozpatrywać odpowiednio skargi dotyczące mobbingu oraz odwołania dotyczące wyników oceny pracownika.

Podstawową odpowiedzialność za organizację procedur określonych w art. 40 i 41 Regulaminów pracowniczych EBI I i II, w Wytycznych w sprawie procedury odwoławczej dotyczącej oceny pracownika i w Polityce godności w miejscu pracy oraz za zarządzanie powyższymi procedurami ponosi dyrekcja personelu EBI. W szczególności dyrekcja personelu udziela pomocy organom odpowiedzialnym za powyższe procedury oraz pełni funkcję sekretariatu prawnego na potrzeby tych organów.

W trakcie wykonywania swoich zadań dyrekcja personelu ma obowiązek przestrzegania praw osób fizycznych w odniesieniu do przetwarzania danych osobowych wynikających z art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej i art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej, jak również z aktów prawnych opartych na tych przepisach. Jednocześnie dyrekcja personelu ma obowiązek przestrzegania ścisłych zasad poufności i tajemnicy zawodowej, o których mowa w Regulaminie pracowniczym EBI i w Kodeksie postępowania dla pracowników EBI, oraz poszanowania praw procesowych osób objętych procedurą i świadków, a w szczególności prawa osób objętych procedurą do rzetelnego postępowania sądowego, prawa do obrony i zasady domniemania niewinności.

W pewnych okolicznościach konieczne jest pogodzenie praw osób, których dane dotyczą, określonych w rozporządzeniu (UE) 2018/1725 ¹ , z celami i wymogami zadań realizowanych przez dyrekcję personelu, jak również z pełnym poszanowaniem podstawowych praw i wolności innych osób, których dane dotyczą. W tym celu art. 25 powyższego rozporządzenia stanowi, że dyrekcja personelu może ograniczyć stosowanie art. 14-22 i 35, a także art. 4 w zakresie, w jakim przepisy tego rozporządzenia odpowiadają prawom i obowiązkom przewidzianym w art. 14-22.

W celu zapewnienia skuteczności procedur realizowanych przez komisję dyscyplinarną i komisję pojednawczą (powołane odpowiednio zgodnie z art. 40 i art. 41 Regulaminów pracowniczych I i II) oraz przez panel ds. godności w miejscu pracy i panel ds. rozstrzygania sporów (powołane odpowiednio zgodnie z Polityką godności w miejscu pracy i Wytycznymi w sprawie procedury odwoławczej dotyczącej oceny pracownika) przy jednoczesnym poszanowaniu standardów ochrony danych osobowych wynikających z rozporządzenia (UE) 2018/1725 konieczne jest przyjęcie przepisów wewnętrznych, na mocy których dyrekcja personelu będzie mogła ograniczać prawa osób, których dane dotyczą, zgodnie z art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725.

Przepisy wewnętrzne powinny mieć zastosowanie do wszystkich operacji przetwarzania realizowanych przez dyrekcję personelu w ramach wykonywania uprawnień wynikających z art. 40 i 41 Regulaminów pracowniczych EBI I i II oraz zgodnie z Polityką godności w miejscu pracy i Wytycznymi w sprawie procedury odwoławczej dotyczącej oceny pracownika. Ponadto powyższe przepisy powinny mieć zastosowanie do operacji przetwarzania realizowanych przed uruchomieniem procedur wykonywanych przez komisję dyscyplinarną, komisję pojednawczą, panel ds. godności w miejscu pracy i panel ds. rozstrzygania sporów, w trakcie wykonywania powyższych procedur oraz w trakcie wykonywania dalszych działań wynikających z powyższych procedur.

W celu zapewnienia zgodności z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725 administrator danych powinien informować wszystkie osoby fizyczne o swoich działaniach związanych z przetwarzaniem ich danych osobowych oraz o ich prawach w sposób przejrzysty i spójny w formie komunikatów o ochronie danych publikowanych w serwisie intranetowym EBI, jak również powinien indywidualnie informować osoby, których dane dotyczą i których dotyczy jego działalność, tj. osoby objęte procedurą, strony i świadków.

W celu utrzymania skutecznej współpracy dyrekcja personelu może być także zmuszona do stosowania ograniczeń w odniesieniu do praw osób, których dane dotyczą, do ochrony informacji zawierających dane osobowe pochodzących od innych służb EBI, instytucji, organów i jednostek organizacyjnych Unii Europejskiej, właściwych organów państw członkowskich i państw trzecich oraz organizacji międzynarodowych. W tym celu dyrekcja personelu powinna konsultować ze wspomnianymi innymi służbami EBI, instytucjami, organami i jednostkami organizacyjnymi Unii oraz agencjami, organami państw i organizacjami międzynarodowymi zastosowanie ograniczeń w oparciu o istotne przesłanki, konieczność ich zastosowania oraz ich proporcjonalność.

Dyrekcja personelu powinna rozpatrywać wszystkie ograniczenia w przejrzysty sposób i rejestrować każde zastosowanie ograniczeń w odpowiednim systemie rejestracji.

Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 administratorzy danych mogą wstrzymać przekazanie osobie, której dane dotyczą, informacji o powodach zastosowania ograniczenia lub odmówić przekazania takich informacji, jeżeli mogłoby to w jakikolwiek sposób zagrozić celowi ograniczenia. Dotyczy to w szczególności przypadków ograniczenia praw przewidzianych w art. 16 i 35 rozporządzenia (UE) 2018/1725. Dyrekcja personelu powinna regularnie weryfikować swoje stanowisko, aby zapewnić, że prawo osoby, której dane dotyczą, do uzyskania informacji zgodnie z art. 16 i 35 rozporządzenia (UE) 2018/1725 jest ograniczone jedynie tak długo, jak długo zachodzą przesłanki opóźnienia przekazania tych informacji.

W przypadku ograniczenia praw innych osób, których dane dotyczą, dyrekcja personelu powinna ocenić w poszczególnych przypadkach, czy poinformowanie o ograniczeniu zagrażałoby celowi takiego ograniczenia.

Inspektor ochrony danych EBI może przeprowadzić niezależny przegląd stosowania ograniczeń w celu zapewnienia zgodności z niniejszą decyzją,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł  1

Przedmiot i zakres stosowania

1. Niniejsza decyzja ustanawia przepisy, których zobowiązany jest przestrzegać administrator danych, zgodnie z definicją zawartą w art. 2 ust. 1, dotyczące informowania osób, których dane dotyczą, o przetwarzaniu ich danych zgodnie z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725.

Ustanawia ona także warunki, na jakich właściwy administrator danych może ograniczyć stosowanie art. 14-22 i 35 oraz art. 4 tego rozporządzenia, zgodnie z art. 25 ust. 1 lit. c), g) i h) powyższego rozporządzenia.

2. Niniejsza decyzja dotyczy przetwarzania danych osobowych przez dyrekcję personelu w celu wykonywania lub w związku z wykonywaniem czynności służących realizacji jej zadań, o których mowa w art. 40 i 41 Regulaminów pracowniczych EBI I i II oraz w Polityce godności w miejscu pracy i Wytycznych w sprawie procedury odwoławczej dotyczącej oceny pracownika (z późniejszymi zmianami).

3. W ramach swoich uprawnień dyrekcja personelu przetwarza kilka kategorii danych osobowych, w szczególności dane identyfikacyjne, dane kontaktowe, dane zawodowe i dane dotyczące udziału w sprawie.

Artykuł  2

Specyfikacja administratora danych i zabezpieczeń

1. Administratorem operacji przetwarzania danych jest dyrektor generalny ds. personelu.

2. Dane osobowe przechowywane są w zabezpieczonym środowisku elektronicznym i fizycznym, co zapobiega bezprawnemu dostępowi do tych danych lub przekazywaniu ich osobom, które nie są ich odbiorcami zgodnie z zasadą ograniczonego dostępu.

3. Przetwarzane dane osobowe są przechowywane przez co najmniej sześć miesięcy i maksymalnie przez dziesięć lat. Dokładne informacje na temat długości okresów przechowywania danych w przypadku poszczególnych procedur zawiera Harmonogram przechowywania danych opracowany przez dyrekcję personelu.

4. Okresy dłuższe niż określone powyżej stosuje się w wyjątkowych i należycie uzasadnionych przypadkach, za zgodą inspektora ochrony danych.

Artykuł  3

Obowiązujące wyjątki i ograniczenia

1. Wykonując swoje obowiązki w odniesieniu do praw osób, których dane dotyczą, zgodnie z rozporządzeniem (UE) 2018/1725, dyrekcja personelu uwzględnia, czy mają zastosowanie jakiekolwiek wyjątki przewidziane w tym rozporządzeniu.

2. Z zastrzeżeniem art. 4-7 niniejszej decyzji dyrekcja personelu może ograniczyć stosowanie art. 14-22 i 35 rozporządzenia (UE) 2018/1725, a także art. 4 w zakresie, w jakim postanowienia tej decyzji odpowiadają prawom i obowiązkom przewidzianym w art. 14-22 tego rozporządzenia, w przypadku gdy wykonywanie tych praw i obowiązków zagrażałoby celowi procedur określonych w art. 40 i 41 Regulaminów pracowniczych EBI I i II oraz w Polityce godności w miejscu pracy i w Wytycznych w sprawie odwołań dotyczących oceny pracownika lub naruszałoby prawa i wolności innych osób, których dane dotyczą.

3. Z zastrzeżeniem art. 4-7 niniejszej decyzji dyrekcja personelu może również ograniczyć prawa i obowiązki, o których mowa w ust. 2 niniejszego artykułu, w odniesieniu do danych osobowych uzyskanych od innych służb EBI lub instytucji, organów i jednostek organizacyjnych Unii Europejskiej, właściwych organów państw członkowskich bądź organizacji międzynarodowych, jeżeli zachodzą następujące okoliczności:

a) gdy wykonywanie tych praw i obowiązków mogłoby zostać ograniczone przez inne służby EBI lub instytucje, organy i jednostki organizacyjne Unii Europejskiej na podstawie innych aktów, o których mowa w art. 25 powyższego rozporządzenia, lub zgodnie z rozdziałem IX tego rozporządzenia;

b) gdy wykonywanie tych praw i obowiązków mogłoby zostać ograniczone przez właściwe organy państw członkowskich na podstawie aktów, o których mowa w art. 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 ² , lub na podstawie środków krajowych transponujących art. 13 ust. 3, art. 15 ust. 3 lub art. 16 ust. 3 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 ³ ;

c) gdy wykonywanie tych praw i obowiązków mogłoby zagrozić współpracy dyrekcji personelu z państwami trzecimi i organizacjami międzynarodowymi przy wypełnianiu jej zadań.

Przed zastosowaniem ograniczeń w okolicznościach, o których mowa w lit. a) i b) akapitu pierwszego, dyrekcja personelu konsultuje się z właściwymi służbami EBI, instytucjami, organami i jednostkami organizacyjnymi Unii Europejskiej lub właściwymi organami państw członkowskich, chyba że dyrekcja personelu nie ma wątpliwości, że zastosowanie ograniczenia przewidziano w jednym z aktów, o których mowa w podanych wyżej literach.

Litera c) akapitu pierwszego nie ma zastosowania, w przypadku gdy interesy lub podstawowe prawa i wolności osób, których dane dotyczą, przeważają nad interesem Unii Europejskiej dotyczącym współpracy z państwami trzecimi lub organizacjami międzynarodowymi.

4. Postanowienia ust. 1, 2 i 3 pozostają bez uszczerbku dla stosowania innych decyzji EBI ustanawiających przepisy wewnętrzne dotyczące przekazywania informacji osobom, których dane dotyczą, oraz ograniczania niektórych praw w trybie art. 25 rozporządzenia (UE) 2018/1725.

Artykuł  4

Przekazywanie informacji osobom, których dane dotyczą

1. Dyrekcja personelu publikuje w serwisie intranetowym EBI informacje o ochronie danych, w których powiadamia wszystkie osoby, których dane dotyczą, o prowadzonych przez siebie działaniach obejmujących przetwarzanie ich danych osobowych.

2. Dyrekcja personelu indywidualnie informuje osoby, których dane dotyczą i które są stronami procedury, osobami objętymi procedurą bądź świadkami.

3. W przypadku całkowitego lub częściowego ograniczenia przez dyrekcję personelu przekazywania informacji osobom, których dane dotyczą i o których mowa w art. 2, dyrekcja personelu odnotowuje przyczyny zastosowania takiego ograniczenia, w tym ocenę jego konieczności i proporcjonalności.

W tym celu we wpisie określa się, w jaki sposób przekazanie takich informacji zagroziłoby celowi odpowiedniej procedury wykonywanej przez dyrekcję personelu lub celowi ograniczeń mających zastosowanie zgodnie z art. 3 ust. 3 bądź jaki negatywny wpływ wywarłoby na prawa i wolności innych osób, których dane dotyczą.

W rejestrze uwzględnia się wspomniany wpis oraz, w stosownych przypadkach, leżące u jego podstaw dokumenty zawierające elementy stanu faktycznego oraz aspekty prawne. Udostępnia się je na żądanie Europejskiego Inspektora Ochrony Danych (EIOD).

4. Ograniczenie, o którym mowa w ust. 3, stosuje się tak długo, jak długo mają zastosowanie przyczyny je uzasadniające.

Gdy przyczyny stosowania ograniczenia przestają obowiązywać, dyrekcja personelu przekazuje stosowne informacje osobie, której dane dotyczą, oraz podaje jej przyczyny ograniczenia. Jednocześnie dyrekcja personelu informuje osobę, której dane dotyczą, o możliwości wniesienia w dowolnym momencie skargi za pośrednictwem EIOD lub o możliwości odwołania się do Trybunału Sprawiedliwości Unii Europejskiej.

Dyrekcja personelu dokonuje przeglądu zastosowania danego ograniczenia co najmniej co sześć miesięcy od jego wprowadzenia oraz w chwili zamknięcia stosownej procedury. Następnie administrator danych raz w roku monitoruje konieczność zachowania jakiegokolwiek ograniczenia.

Artykuł  5

Prawo dostępu przysługujące osobie, której dane dotyczą

1. Jeżeli osoby, których dane dotyczą, występują z wnioskiem o dostęp do ich danych osobowych przetwarzanych w ramach jednej lub kilku konkretnych spraw bądź konkretnej operacji przetwarzania danych zgodnie z art. 17 rozporządzenia (UE) 2018/1725, dyrekcja personelu ogranicza swoją ocenę takiego wniosku wyłącznie do powyższych danych osobowych.

2. W przypadku gdy dyrekcja personelu ogranicza, całkowicie lub częściowo, prawo dostępu, o którym mowa w art. 17 rozporządzenia, podejmuje ona następujące kroki:

a) w odpowiedzi na wniosek informuje przedmiotową osobę, której dane dotyczą, o zastosowanym ograniczeniu oraz o jego głównych przyczynach, a także o możliwości wniesienia skargi za pośrednictwem EIOD lub o możliwości odwołania się do Trybunału Sprawiedliwości Unii Europejskiej;

b) rejestruje przyczyny stosowania ograniczenia, m.in. oceniając, czy jest ono konieczne i proporcjonalne; w tym celu we wpisie określa się, w jaki sposób przekazanie takich informacji zagroziłoby celowi odpowiedniej procedury wykonywanej przez dyrekcję personelu lub celowi ograniczeń mających zastosowanie zgodnie z art. 3 ust. 3 bądź jaki negatywny wpływ wywarłoby na prawa i wolności innych osób, których dane dotyczą.

Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 można opóźnić przekazanie informacji, o których mowa w lit. a), pominąć je lub go odmówić.

3. W rejestrze uwzględnia się wpis, o którym mowa w ust. 2 lit. b) akapitu pierwszego, oraz, w stosownych przypadkach, leżące u jego podstaw dokumenty zawierające elementy stanu faktycznego oraz aspekty prawne. Udostępnia się je na żądanie EIOD. Zastosowanie ma art. 25 ust. 7 rozporządzenia (UE) 2018/1725.

Artykuł  6

Prawo do poprawiania danych, ich usunięcia i ograniczenia przetwarzania

Jeżeli dyrekcja personelu ogranicza, całkowicie lub częściowo, stosowanie prawa do poprawiania danych, ich usunięcia lub prawa do ograniczenia ich przetwarzania, o czym mowa w art. 18, 19 ust. 1 i art. 20 ust. 1 rozporządzenia (UE) 2018/1725, podejmuje ona kroki określone w art. 5 ust. 2 niniejszej decyzji i rejestruje wpis zgodnie z art. 5 ust. 3 niniejszej decyzji.

Artykuł  7

Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

Jeżeli dyrekcja personelu ogranicza zawiadomienie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, o czym mowa w art. 35 rozporządzenia (UE) 2018/1725, odnotowuje ona i rejestruje powody takiego ograniczenia zgodnie z art. 4 ust. 3 niniejszej decyzji. Zastosowanie ma art. 4 ust. 4 niniejszej decyzji.

Artykuł  8

Przegląd prowadzony przez inspektora ochrony danych

Dyrekcja personelu bez zbędnej zwłoki informuje inspektora ochrony danych, ilekroć prawa osób, których dane dotyczą, są ograniczone zgodnie z niniejszą decyzją, oraz zapewnia dostęp do rejestru i oceny konieczności oraz proporcjonalności takiego ograniczenia.

Inspektor ochrony danych może zwrócić się do dyrekcji personelu na piśmie o dokonanie przeglądu stosowania ograniczeń. Dyrekcja personelu informuje inspektora ochrony danych na piśmie o wynikach wnioskowanego przeglądu.

Artykuł  9

Wejście w życie

Niniejsza decyzja została zatwierdzona przez Radę Dyrektorów EBI w dniu 26 lutego 2019 r. i wchodzi w życie z dniem jej opublikowania w serwisie internetowym EBI.

Sporządzono w Luksemburgu dnia 26 lutego 2019 r.

1 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39).

2 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1).

3 Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. L 119 z 4.5.2016, s. 89).

• Identyfikator: Dz.U.UE.L.2019.112I.1
• Rodzaj: Decyzja
• Tytuł: Decyzja ustanawiająca przepisy wewnętrzne dotyczące przetwarzania danych osobowych przez dyrekcję personelu Europejskiego Banku Inwestycyjnego w odniesieniu do przekazywania informacji osobom, których dane dotyczą, oraz do ograniczenia niektórych ich praw
• Data aktu: 26/02/2019
• Data ogłoszenia: 26/04/2019
• Data wejścia w życie: 03/05/2019