Decyzja w sprawie wewnętrznych zasad dotyczących ograniczenia pewnych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach nieformalnej procedury przewidzianej polityką SRB dotyczącą ochrony godności i zapobiegania mobbingowi i molestowaniu seksualnemu

DECYZJA

JEDNOLITEJ RADY DS. RESTRUKTURYZACJI I UPORZĄDKOWANEJ LIKWIDACJI

z dnia 18 września 2019 r.

w sprawie wewnętrznych zasad dotyczących ograniczenia pewnych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach nieformalnej procedury przewidzianej polityką SRB dotyczącą ochrony godności i zapobiegania mobbingowi i molestowaniu seksualnemu (SRB/PS/2019/33)

JEDNOLITA RADA DS. RESTRUKTURYZACJI I UPORZĄDKOWANEJ LIKWIDACJI,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 806/2014 z dnia 15 lipca 2014 r. ustanawiające jednolite zasady i jednolitą procedurę restrukturyzacji i uporządkowanej likwidacji instytucji kredytowych i niektórych firm inwestycyjnych w ramach jednolitego mechanizmu restrukturyzacji i uporządkowanej likwidacji oraz jednolitego funduszu restrukturyzacji i uporządkowanej likwidacji oraz zmieniające rozporządzenie (UE) nr 1093/2010 ¹ , w szczególności jego art. 42, art. 43 ust. 5, art. 50 ust. 3, art. 56 ust. 1-3, art. 61, 63 i 64,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE ² ,

uwzględniając konsultacje z Europejskim Inspektorem Ochrony Danych,

a także mając na uwadze, co następuje:

(1) Jednolita Rada ds. Restrukturyzacji i Uporządkowanej Likwidacji (Single Resolution Board - "SRB") pełni rolę organu ds. restrukturyzacji i uporządkowanej likwidacji w ramach jednolitego mechanizmu restrukturyzacji i uporządkowanej likwidacji (Single Resolution Mechanism - "SRM") zgodnie z rozporządzeniem (UE) nr 806/2014 z dnia 15 lipca 2014 r. Misją SRB jest zapewnienie, aby restrukturyzacja i uporządkowana likwidacja banków znajdujących się w trudnej sytuacji przebiegały w sposób uporządkowany, wywierając jak najmniejszy wpływ na gospodarkę realną, system finansowy i finanse publiczne uczestniczących państw członkowskich i innych państw.

(2) W art. 12a regulaminu pracowniczego urzędników Unii Europejskiej potępiono mobbing i molestowanie seksualne. W polityce SRB dotyczącej ochrony godności i zapobiegania molestowaniu seksualnemu i mobbingowi doprecyzowano zapisy wspomnianego artykułu poprzez promowanie kultury szacunku i ochrony godności wszystkich pracowników SRB. Wprowadzono też proste i skuteczne procedury służące ochronie godności każdej osoby pracującej na rzecz Agencji. W ramach tej polityki członek personelu lub każda inna osoba pracująca na rzecz agencji na podstawie prawa krajowego może wszcząć nieformalną procedurę, jeżeli uważa, że jest ofiarą molestowania seksualnego lub mobbingu, szukając wsparcia zaufanego doradcy.

(3) Podmiot SRB odpowiedzialny za zasoby ludzkie zawiadamia podmiot SRB odpowiedzialny za zgodność z przepisami o powtarzających się zgłoszeniach dotyczących tej samej osoby, zgodnie z art. 7.5 polityki SRB dotyczącej ochrony godności i zapobiegania mobbingowi i molestowaniu seksualnemu. Podmiot odpowiedzialny za zgodność z przepisami będzie informować o tym organ powołujący, który w stosownych przypadkach uruchomi procedurę przewidzianą w załączniku IX do regulaminu pracowniczego.

(4) SRB, reprezentowana w tym przypadku przez koordynatora ds. przeciwdziałania mobbingowi i molestowaniu, przetwarza kilka kategorii danych osobowych, w szczególności dane umożliwiające identyfikację, dane kontaktowe i dane służbowe. Dane osobowe są przechowywane w zabezpieczonym środowisku elektronicznym uniemożliwiającym bezprawny dostęp lub przekazanie danych osobom, które nie muszą mieć do nich dostępu. Przetwarzane dane osobowe są zatrzymywane zgodnie z zasadami SRB dotyczącymi zatrzymywania dokumentów. Po upływie okresu zatrzymania informacje dotyczące sprawy, w tym dane osobowe, są przenoszone do archiwów lub usuwane zgodnie z zasadą minimalizacji danych i prawidłowości danych.

(5) Wewnętrzne zasady powinny mieć zastosowanie do wszystkich procesów przetwarzania prowadzonych przez SRB w toku wykonywania działalności służącej zapobieganiu mobbingowi i molestowaniu seksualnemu oraz wykrywaniu i ściganiu naruszeń, między innymi, kodeksu etyki SRB i regulaminu pracowniczego.

(6) Wewnętrzne zasady powinny mieć zastosowanie do procesów przetwarzania prowadzonych w trakcie nieformalnych procedur, a także w trakcie monitorowania działań następczych podejmowanych w rezultacie tych procedur. Wewnętrzne zasadypowinny mieć zastosowanie do procesów przetwarzania, które stanowią część działań powiązanych z funkcją urzędnika SRB ds. etyki i zgodności z przepisami. Powinny one również obejmować pomoc i współpracę ze strony urzędnika SRB ds. etyki i zgodności z przepisami udzielaną organom krajowym i organizacjom międzynarodowym poza dochodzeniami administracyjnymi.

(7) SRB musi przedstawić uzasadnienie ścisłej konieczności i proporcjonalności ograniczeń w społeczeństwie demokratycznym oraz postępować z poszanowaniem istoty podstawowych praw i wolności.

(8) W ramach powyższego SRB ma obowiązek przestrzegać w możliwie szerokim zakresie w trakcie realizacji powyższych procedur praw podstawowych osób, których dane dotyczą, w szczególności tych związanych z prawem dostępu, prawem do sprostowania danych, prawem do usunięcia danych, prawem do przenoszenia danych itp., które to prawa przewidziano w rozporządzeniu (UE) nr 2018/1725.

(9) Tym niemniej SRB może być zobowiązana do wstrzymania przekazania informacji osobie, której dane dotyczą, lub wykonania innych praw osoby, której dane dotyczą, w szczególności odnośnie do toczących się nieformalnych procedur, a także praw innych osób związanych z trwającymi lub zakończonymi procedurami nieformalnymi.

(10) SRB może zatem wstrzymać w celu ochrony domniemanej ofiary lub zabezpieczenia nieformalnej procedury lub repozytorium procesów danych w kontekście nieformalnej procedury.

(11) SRB powinna znieść ograniczenia, gdy tylko przestaną występować warunki uzasadniające ograniczenie.

(12) SRB powinna regularnie, w odstępach sześciu miesięcy, monitorować warunki ograniczające i w razie konieczności dokonywać ich rewizji.

(13) SRB powinna w trakcie dokonywania rewizji konsultować się z inspektorem ochrony danych,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł  1

Przedmiot i zakres stosowania

1. Niniejsza decyzja określa zasady wewnętrzne dotyczące warunków, w których SRB w ramach nieformalnej procedury przewidzianej polityką SRB dotyczącą ochrony godności i zapobiegania mobbingowi i molestowaniu seksualnemu. Może zgodnie z art. 25 rozporządzenia (UE) 2018/1725 ograniczyć stosowanie praw przewidzianych w art. 14-21 i 35, jak również w art. 4.

2. Niniejsza decyzja ma zastosowanie do procesów przetwarzania danych osobowych przez SRB w celu inicjowania, prowadzenia i zakończenia nieformalnej procedury w ramach polityki SRB dotyczącej ochrony godności i zapobiegania mobbingowi i molestowaniu seksualnemu. W odniesieniu do procesów przetwarzania danych osobowych przez SRB na potrzeby prowadzenia dochodzeń wewnętrznych, administracyjnych postępowań wyjaśniających i postępowań dyscyplinarnych zastosowanie ma odrębna decyzja dotycząca ograniczenia praw (zob. SRB/PS/2019/32).

3. Do kategorii danych podlegających przetwarzaniu należą tzw. dane twarde (dane administracyjne, numer telefonu, prywatny adres, środki łączności elektronicznej i dane o ruchu) lub tzw. dane miękkie (oceny, wszczęcia postępowań wyjaśniających, sprawozdania z dochodzeń wstępnych) itp.

4. Z zastrzeżeniem warunków określonych w niniejszej decyzji ograniczenia te mogą mieć zastosowanie do następujących praw: prawo dostępu do informacji, prawo do sprostowania, prawo do usunięcia i prawo do przenoszenia, prawo do informacji, poufność komunikacji, jak również do zasad procesu przetwarzania danych, o ile mają one związek z którymkolwiek z praw.

Artykuł  2

Wyznaczenie administratora i zabezpieczenia

1. W celu uniknięcia naruszenia, wycieku lub nieuprawnionego ujawnienia danych wprowadzono następujące zabezpieczenia: ograniczenie praw dostępu do folderów elektronicznych oraz funkcyjnej skrzynki pocztowej służącej do składania skarg, szafki na klucz, szczegółowe szkolenie dotyczące poufności dla osób przetwarzających informacje.

2. Administratorem tych procesów przetwarzania jest SRB, reprezentowana w tym przypadku przez koordynatora ds. przeciwdziałania mobbingowi i molestowaniu.

3. Zebrane dane osobowe są przechowywane i zatrzymywane zgodnie z zasadami SRB dotyczącymi zatrzymywania dokumentów. Dane są zatrzymywane zgodnie z zasadą, w myśl której danych nie zatrzymuje się na okres dłuższy niż jest to konieczne do realizacji procesu przetwarzania i - ewentualnie - rozstrzygnięcia sporów sądowych lub administracyjnych.

Artykuł  3

Ograniczenia

1. Zgodnie z art. 25 ust. 1 rozporządzenia (UE) 2018/1725 wszelkie ograniczenia mają zastosowanie jedynie w celu:

- zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom,

- ochrony osoby, której dane dotyczą, lub praw i wolności innych osób,

- zapobiegania naruszeniom zasad etyki, prowadzenia postępowań w takich sprawach, ich wykrywania oraz ścigania.

2. Ograniczenia muszą być ściśle konieczne i proporcjonalne w społeczeństwie demokratycznym oraz zgodne z poszanowaniem istoty podstawowych praw i wolności.

3. Test konieczności i proporcjonalności należy przeprowadzić w oparciu o obowiązujące zasady wewnętrzne. Proces ten zostaje udokumentowany wewnętrzną notą oceny dla celów rozliczalności, osobno dla każdego przypadku.

4. Ograniczenia są należycie monitorowane i poddawane okresowej weryfikacji co sześć miesięcy.

5. Ograniczenia są znoszone, gdy tylko przestają występować okoliczności uzasadniające ich stosowanie.

6. Ryzykiem dla praw i wolności osób, których dane dotyczą, jest czasowe ograniczenie skutecznego wykonywania praw osób, których dane dotyczą, między innymi prawa do informacji, prawa do usunięcia danych czy prawa do obrony, przewidzianych w rozporządzeniu (UE) 2018/1725.Ryzyko to powinno być uwzględnione w zakresie testu konieczności i proporcjonalności, o którym mowa w ust. 3 niniejszego artykułu.

Artykuł  4

Zaangażowanie inspektora ochrony danych

1. SRB w toku dowolnej procedury ograniczania praw informuje inspektora ochrony danych SRB ("inspektora ochrony danych") bez zbędnej zwłoki o wprowadzonych ograniczeniach zastosowania praw osób, których dane dotyczą, zgodnie z niniejszą decyzją. SRB udziela dostępu do dokumentacji oraz oceny konieczności i proporcjonalności tego ograniczenia.

2. Inspektor ochrony danych może na piśmie wymagać od administratora przedstawienia przeglądu stosowania ograniczeń. SRB informuje inspektora ochrony danych na piśmie o rezultacie żądanego przeglądu i zniesieniu ograniczenia.

Artykuł  5

Udzielanie informacji osobom, których dane dotyczą

1. SRB uwzględnia w klauzuli o ochronie danych opublikowanej w intranecie, zawierającej informację o prawach przysługujących w ramach danej procedury osobom, których dane dotyczą, informacje dotyczące ewentualnego ograniczenia tych praw. Informacja zawiera wskazanie danych, które mogą podlegać ograniczeniu, przyczyny ograniczenia oraz potencjalny okres obowiązywania ograniczenia.

2. Ponadto SRB, bez uszczerbku dla kolejnego ustępu, bez zbędnej zwłoki i w formie pisemnej informuje indywidualnie osoby, których dane dotyczą, o ich prawach dotyczących obecnych lub przyszłych ograniczeń.

3. Osoby, których dane dotyczą, są informowane o głównych przyczynach zastosowania ograniczenia oraz prawie do wniesienia skargi do Europejskiego Inspektora Ochrony Danych.

Artykuł  6

Prawo dostępu do danych przez osobę, której dane dotyczą

1. Jeżeli osoby, których dane dotyczą, żądają dostępu do swoich danych osobowych przetwarzanych w kontekście co najmniej jednej sprawy lub konkretnej operacji przetwarzania, zgodnie z art. 17 rozporządzenia (UE) 2018/1725 SRB ogranicza się w ocenie wniosku wyłącznie do takich danych osobowych.

2. Jeżeli SRB ogranicza, w całości lub częściowo, prawo dostępu, o którym mowa w art. 17 rozporządzenia (UE) 2018/1725, podejmuje następujące kroki:

a) w odpowiedzi na wniosek informuje osobę, której dane dotyczą, o stosowanym ograniczeniu i jego głównych przyczynach, jak również o możliwości złożenia skargi do Europejskiego Inspektora Ochrony Danych i możliwości skorzystania ze środka ochrony prawnej przed Trybunałem Sprawiedliwości Unii Europejskiej;

b) dokumentuje przyczyny ograniczenia, w tym ocenę jego konieczności i proporcjonalności; w tym celu dokumentacja określa, w jaki sposób udzielenie dostępu do danych zagroziłoby działalności dochodzeniowej SRB lub ograniczeniom stosowanym na podstawie art. 2 ust. 3. bądź też negatywnie wpłynęłoby na prawa i wolności innych osób, których dane dotyczą.

Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 można wstrzymać przekazanie informacji, o których mowa w lit. a), pominąć je lub odmówić go.

3. Dokumentacja, o której mowa w ust. 2 lit. b), jak również - w stosownych przypadkach - dokumenty zawierające informację o okolicznościach faktycznych i prawnych stanowiących jej podstawę - są rejestrowane. Udostępnia się je Europejskiemu Inspektorowi Ochrony Danych na żądanie. Zastosowanie ma art. 25 ust. 7 rozporządzenia (UE) 2018/1725.

Artykuł  7

Prawo do sprostowania, usunięcia i ograniczenia przetwarzania

Jeżeli SRB ogranicza w całości lub częściowo stosowanie prawa do sprostowania danych, ich usunięcia lub ograniczenia przetwarzania, o których mowa w art. 18, art. 19 ust. 1 i art. 20 ust. 1 rozporządzenia (UE) 2018/1725, podejmuje kroki określone w art. 6 ust. 2 niniejszej decyzji oraz dokonuje wpisu w rejestrze zgodnie z art. 6 ust. 3 decyzji.

Artykuł  8

Wejście w życie

Niniejsza decyzja wchodzi w życie następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Sporządzono w Brukseli dnia 18 września 2019 r.

	W imieniu Jednolitej Rady ds. Restrukturyzacji i Uporządkowanej Likwidacji
	Elke KÖNIG
	Przewodniczący

1 Dz.U. L 225 z 30.7.2014, s. 1.

2 Dz.U. L 295 z 21.11.2018, s. 39.

• Identyfikator: Dz.U.UE.L.2019.301.10
• Rodzaj: Decyzja
• Tytuł: Decyzja w sprawie wewnętrznych zasad dotyczących ograniczenia pewnych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach nieformalnej procedury przewidzianej polityką SRB dotyczącą ochrony godności i zapobiegania mobbingowi i molestowaniu seksualnemu
• Data aktu: 18/09/2019
• Data ogłoszenia: 22/11/2019
• Data wejścia w życie: 23/11/2019