Decyzja wykonawcza 2025/1382 w sprawie odpowiedniej ochrony danych osobowych przez Europejską Organizację Patentową na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679

DECYZJA WYKONAWCZA KOMISJI (UE) 2025/1382

z dnia 15 lipca 2025 r.

w sprawie odpowiedniej ochrony danych osobowych przez Europejską Organizację Patentową na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679

(notyfikowana jako dokument nr C(2025) 4626)

(Tekst mający znaczenie dla EOG)

(Dz.U.UE L z dnia 18 lipca 2025 r.)

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) ¹ , w szczególności jego art. 45 ust. 3,

a także mając na uwadze, co następuje:

1. WPROWADZENIE

(1) W rozporządzeniu (UE) 2016/679 określono zasady dotyczące przekazywania danych osobowych przez administratorów lub podmioty przetwarzające w Unii do państw trzecich i organizacji międzynarodowych w zakresie, w jakim takie przekazywanie wchodzi w zakres stosowania rozporządzenia. Zasady dotyczące międzynarodowego przekazywania danych określono w rozdziale V (art. 44-50) tego rozporządzenia. Chociaż przepływ danych osobowych do państw i organizacji międzynarodowych spoza Unii Europejskiej oraz z takich państw i organizacji jest niezbędnym warunkiem rozwoju handlu transgranicznego i współpracy międzynarodowej, przekazywanie danych osobowych państwom trzecim i organizacjom międzynarodowym nie może obniżać stopnia ochrony tych danych w Unii ² .

(2) Zgodnie z art. 45 ust. 3 rozporządzenia (UE) 2016/679 Komisja może w drodze aktu wykonawczego przyjąć decyzję stwierdzającą, że państwo trzecie, terytorium lub określony sektor lub określone sektory w tym państwie trzecim lub organizacja międzynarodowa zapewniają odpowiedni stopień ochrony. W świetle tego warunku przekazanie danych osobowych do organizacji międzynarodowej może nastąpić bez konieczności uzyskania dodatkowego zezwolenia, jak przewidziano w art. 45 ust. 1 i motywie 103 rozporządzenia (UE) 2016/679.

(3) Jak określono w art. 45 ust. 2 rozporządzenia (UE) 2016/679, przy przyjmowaniu decyzji stwierdzającej odpowiedni stopień ochrony należy opierać się na wszechstronnej analizie systemu prawnego organizacji międzynarodowej, obejmującej zarówno jego przepisy mające zastosowanie do podmiotów odbierających dane, jak i ograniczenia oraz zabezpieczenia w zakresie dostępu organów publicznych do danych osobowych. W swojej ocenie Komisja musi ustalić, czy dana organizacja międzynarodowa gwarantuje stopień ochrony "zasadniczo odpowiadający" stopniowi ochrony zapewnianemu w Unii ³ . Standard, na podstawie którego ocenia się "merytoryczną równoważność", określono w prawodawstwie Unii, w szczególności w rozporządzeniu (UE) 2016/679, a także w orzecznictwie Trybunału Sprawiedliwości Unii Europejskiej ⁴ . Istotne znaczenie pod tym względem ma również dokument w sprawie odpowiedniego stopnia ochrony opracowany przez Europejską Radę Ochrony Danych (EROD), który ma na celu doprecyzowanie wspomnianego standardu i zapewnienie wytycznych ⁵ .

(4) Jak wyjaśnił Trybunał Sprawiedliwości, od państwa trzeciego lub organizacji międzynarodowej nie można wymagać zapewnienia poziomu ochrony identycznego z tym, jaki jest zagwarantowany w unijnym porządku prawnym. ⁶  W szczególności środki, z jakich korzysta dane państwo trzecie lub dana organizacja międzynarodowa dla zapewnienia ochrony danych osobowych, mogą różnić się od środków wprowadzonych w Unii, o ile w praktyce skutecznie zapewniają odpowiedni stopień ochrony ⁷ . Odpowiedni standard ochrony nie wymaga zatem dokładnego powielenia przepisów unijnych. Przy badaniu odpowiedniości chodzi raczej o stwierdzenie, czy - biorąc pod uwagę istotę praw do prywatności oraz zabezpieczenia służące ochronie danych (w tym ich skuteczne wprowadzenie w życie, egzekwowanie i nadzór nad ich przestrzeganiem), a także okoliczności przekazywania danych osobowych - dany zagraniczny system jako całość zapewnia wymagany stopień ochrony ⁸ .

(5) Komisja przeanalizowała ramy prawne i praktyki Europejskiej Organizacji Patentowej. Na podstawie ustaleń przedstawionych w motywach 7-100 Komisja stwierdza, że Europejska Organizacja Patentowa ("EPO") zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych w ramach zakresu stosowania rozporządzenia (UE) 2016/679 z Unii Europejskiej do EPO.

(6) Zgodnie z niniejszą decyzją przekazywanie Europejskiej Organizacji Patentowej danych przez administratorów lub podmioty przetwarzające dane w Unii Europejskiej może odbywać się bez konieczności uzyskania jakiegokolwiek dodatkowego zezwolenia. Niniejsza decyzja nie powinna mieć wpływu na bezpośrednie stosowanie rozporządzenia (UE) 2016/679 w odniesieniu do takich podmiotów, jeżeli spełnione są warunki dotyczące terytorialnego zakresu określone w art. 3 tego rozporządzenia.

2. PRZEPISY MAJĄCE ZASTOSOWANIE DO PRZETWARZANIA DANYCH OSOBOWYCH

2.1. Organizacja i zadania Europejskiej Organizacji Patentowej

(7) Europejska Organizacja Patentowa jest organizacją międzyrządową utworzoną 7 października 1977 r. na podstawie Konwencji o udzielaniu patentów europejskich ("konwencja o patencie europejskim"). EPO ma siedzibę w Monachium i liczy 39 umawiających się państw, w tym wszystkie państwa członkowskie Unii, Islandię, Norwegię i Liechtenstein, a także Albanię, Macedonię Północną, Monako, San Marino, Serbię, Szwajcarię, Czarnogórę, Zjednoczone Królestwo i Turcję ⁹ .

(8) EPO posiada osobowość prawną ¹⁰  i składa się z dwóch organów ¹¹ . Są nimi: Europejski Urząd Patentowy ("Urząd") i Rada Administracyjna. Głównym zadaniem EPO jest udzielanie patentów europejskich ¹²  zgodnie z konwencją o patencie europejskim, czym zajmuje się Urząd pod nadzorem Rady Administracyjnej. Rada Administracyjna składa się z przedstawicieli umawiających się państw i wykonuje uprawnienia ustawodawcze w imieniu EPO. Odpowiada ona również za kwestie polityczne i nadzoruje działalność Urzędu ¹³ . Urzędem, który pełni funkcję organu wykonawczego EPO, kieruje Prezes ¹⁴ , który zarządza Urzędem i odpowiada przed Radą Administracyjną ¹⁵ . Prezes między innymi przygotowuje i realizuje budżet Urzędu, mianuje personel Urzędu i sprawuje nad nim władzę zwierzchnią, sprawuje władzę dyscyplinarną nad pracownikami, zapewnia funkcjonowanie Urzędu, w tym zatwierdza wewnętrzne instrukcje administracyjne i informacje podawane do

wiadomości publicznej oraz może przedkładać Radzie Administracyjnej projekt zmiany konwencji, projekt przepisów o charakterze ogólnym lub decyzji, które wchodzącą w zakres kompetencji Rady Administracyjnej ¹⁶ . Urząd składa się z różnych działów, w tym Sekcji Zgłoszeń, Wydziału Prawnego, Wydziału Badań i Wydział ds. Sprzeciwów oraz Komisji Odwoławczych (niezależnego organu wewnętrznego, do którego można odwołać się od decyzji podejmowanych przez EPO w ramach procedury udzielania patentu) ¹⁷ .

(9) Wykonując swoje zadania, EPO otrzymuje dane osobowe od szeregu różnych podmiotów w Unii. Europejskie zgłoszenia patentowe ¹⁸  są stale składane w EPO przez zgłaszających, którzy ubiegają się o patent, lub przekazywane do EPO przez krajowe urzędy patentowe w państwach członkowskich ¹⁹ . EPO otrzymuje i przetwarza również dane osobowe w kontekście zadań powierzonych jej na mocy rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1257/2012 ²⁰ . Zadania te obejmują przyjmowanie i rozpatrywanie wniosków o rejestrację jednolitego skutku patentów europejskich, pobieranie opłat za utrzymanie w mocy oraz rejestrowanie jednolitego skutku ²¹ . W tym kontekście EPO otrzymuje również od Jednolitego Sądu Patentowego wnioski dotyczące postępowań odwoławczych toczących się przed Komisją Odwoławczą Urzędu ²² , które mogą zawierać dane osobowe niezbędne do zidentyfikowania danej sprawy ²³ .

(10) Podobnie EPO otrzymuje dane osobowe zawarte w międzynarodowych zgłoszeniach patentowych, gdy działa na podstawie Układu o współpracy patentowej (PCT) będącego traktatem międzynarodowym umożliwiającym zgłaszającym uzyskanie patentów ze skutkami dla wszystkich umawiających się państw PCT ²⁴ . EPO działa jako Międzynarodowy Organ Poszukiwań w rozumieniu PCT i w ramach tej funkcji dokonuje oceny zdolności patentowej wynalazków podanych w zgłoszeniach międzynarodowych, co pomaga zgłaszającym w ustaleniu, czy złożyć wniosek o badanie merytoryczne na poziomie krajowym/unijnym ²⁵ .

(11) Ponadto EPO ściśle współpracuje z krajowymi urzędami patentowymi we wszystkich państwach członkowskich w ramach "europejskiej sieci patentowej" i w tym kontekście wymienia z nimi dane osobowe, na przykład w związku z prowadzonymi szkoleniami i świadczonymi usługami informatycznymi w celu wspierania i zacieśniania współpracy na podstawie konwencji o patencie europejskim. EPO zawarła również porozumienia w sprawie współpracy dwustronnej z państwami członkowskimi, które to porozumienia przewidują wymianę danych osobowych, np. w kontekście powołania grup roboczych, oddelegowania i rozmieszczenia ekspertów technicznych. EPO prowadzi również bliską współpracę z Urzędem Unii Europejskiej ds. Własności Intelektualnej, na przykład prowadzi wspólne szkolenia i kampanie informacyjne oraz oddelegowuje ekspertów.

(12) Ponadto EPO zawarła umowy z kilkoma dostawcami usług w Unii, którzy działają jako podmiot przetwarzający w rozumieniu art. 4 pkt 8 rozporządzenia (UE) 2016/679 i przekazują EPO dane osobowe.

2.2. Obowiązujące ramy prawne i przepisy o ochronie danych

(13) Prawo pierwotne regulujące działalność EPO zostało ustanowione w traktacie międzynarodowym, czyli w konwencji o patencie europejskim, a w przypadku gdy EPO działa na podstawie Układu o współpracy patentowej - w tymże układzie. Na drugim poziomie hierarchii norm mających zastosowanie do EPO znajdują się akty prawne przyjęte przez Radę Administracyjną lub, w odniesieniu do PCT, przez Zgromadzenie PCT. Prawo wtórne EPO obejmuje Regulamin wykonawczy do konwencji o patencie europejskim oraz tzw. Regulamin pracowniczy (który reguluje aspekty dotyczące personelu EPO, w tym ich prawa i obowiązki) ²⁶ . Prawo do ochrony danych osobowych jest określone w art. 1B Regulaminu pracowniczego ²⁷ , który zawiera również pewne podstawowe przepisy ram ochrony danych EPO, tj. dotyczące zakresu stosowania ram ochrony danych, ochrony szczególnych kategorii danych i wykonywania praw przez osoby fizyczne. W art. 2 ust. 1 i art. 32A Regulaminu pracowniczego ustanowiono niezależne mechanizmy nadzoru (Inspektor Ochrony Danych (IOD) i Rada Ochrony Danych (ROD)) w celu nadzorowania przestrzegania przepisów o ochronie danych ²⁸ .

(14) Te same wymogi merytoryczne dotyczące ochrony danych osobowych mają zastosowanie do Rady Administracyjnej i Urzędu, a także do wszystkich ich działów. W szczególności przetwarzanie danych osobowych przez Urząd jest regulowane przepisami wykonawczymi do art. 1B i 32A Regulaminu pracowniczego dla pracowników stałych oraz pozostałych pracowników Europejskiego Urzędu Patentowego, dotyczącymi ochrony danych osobowych (przepisy o ochronie danych osobowych, zwane dalej "przepisami ODO" lub "ODO"), które zostały przyjęte przez Radę Administracyjną ²⁹ . Przetwarzanie danych osobowych przez Radę Administracyjną podlega przepisom Rady Administracyjnej o ochronie danych, w których stosuje się odpowiednio przepisy ODO ³⁰ . W przypadku gdy niniejsza decyzja odnosi się do przepisów ODO, takie odniesienia obejmują odpowiednie wymogi mające zastosowanie do Rady Administracyjnej, jej sekretariatu i jej komitetów. Struktura i treść przepisów ODO są ściśle dostosowane do unijnych ram ochrony danych ³¹ . W szczególności przepisy ODO mają wiele punktów wspólnych z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 ³² , które określa wymogi w zakresie ochrony danych dla instytucji i organów Unii, a zatem jest dobrze dostosowane do specyficznej struktury i cech organizacji międzynarodowych, a jednocześnie ściśle odzwierciedla rozporządzenie (UE) 2016/679.

(15) Jeżeli chodzi o przetwarzanie danych przez Urząd, Prezes wydał kolejne prawnie wiążące instrumenty, takie jak okólniki, decyzje i wewnętrzne instrukcje administracyjne ³³ . W szczególności uzupełnieniem przepisów ODO jest decyzja Prezesa z dnia 13 grudnia 2021 r. w sprawie przetwarzania danych osobowych w postępowaniach o udzielenie patentu i powiązanych postępowaniach ("decyzja z dnia 13 grudnia 2021 r.") ³⁴ ; decyzja z dnia 7 grudnia 2022 r. w sprawie przetwarzania danych osobowych w postępowaniach dotyczących patentów europejskich o jednolitym skutku ("decyzja z dnia 7 grudnia 2022 r.") ³⁵ ; decyzja z dnia 17 listopada 2022 r. dotycząca państw i podmiotów zapewniających odpowiednią ochronę danych osobowych ³⁶ ; decyzja z dnia 2 maja 2024 r. określająca jednostki operacyjne Urzędu działające w charakterze administratorów delegowanych ³⁷  oraz okólnik nr 420 wdrażający art. 25 ODO dotyczący ograniczeń praw osób, których dane dotyczą (okólnik 420) ³⁸ . W szczególności w odniesieniu do przetwarzania danych w kontekście postępowań o udzielenie patentu należy zauważyć, że wymogi dotyczące przetwarzania danych osobowych przewidziane bezpośrednio w konwencji o patencie europejskimi i PCT są nadrzędne w stosunku do przepisów ODO. Wzajemne zależności między konwencją o patencie europejskim i PCT z jednej strony a przepisami ODO z drugiej strony wyjaśniono w decyzji z dnia 13 grudnia 2021 r. ³⁹  i decyzji z dnia 7 grudnia 2022 r. Szczegółowe wymogi w zakresie ochrony danych wynikające bezpośrednio z konwencji o patencie europejskim i PCT oceniono w motywach 55-59. Przepisy ODO i uzupełniające je instrumenty są prawnie wiążące i możliwe do wyegzekwowania na drodze prawnej, a osoby fizyczne mogą się na nie powoływać przed niezależnymi mechanizmami dochodzenia roszczeń, jak opisano w motywach 89-96.

(16) Przepisy przewidziane w instrumentach prawnych, o których mowa w motywie 15, są dalej wdrażane w instrumentach wydanych przez inspektora ochrony danych (zob. motywy 83-88) ⁴⁰ , które mają zastosowanie do Rady Administracyjnej i Urzędu, a także do wszystkich ich działów ⁴¹ .

2.3. Zakres przedmiotowy i podmiotowy przepisów o ochronie danych osobowych

(17) Zgodnie z przepisami ODO i Regulaminem pracowniczym ⁴²  wszyscy pracownicy EPO są zobowiązani do przestrzegania przepisów ODO przy przetwarzaniu danych osobowych. Przedmiotowy i podmiotowy zakres stosowania przepisów ODO określają zawarte w nich pojęcia "dane osobowe", "przetwarzanie", "administrator", "administrator delegowany" i "podmiot przetwarzający".

2.3.1. Definicja danych osobowych i przetwarzania

(18) Definicje "danych osobowych" i "przetwarzania" zawarte w przepisach ODO są identyczne z definicjami zawartymi w rozporządzeniu (UE) 2016/679 ⁴³ . Przepisy ODO mają zastosowanie do każdego przypadku przetwarzania danych osobowych przez EPO, niezależnie od tego, czy takie przetwarzanie dotyczy danych osobowych jej własnych

pracowników, czy danych innych osób ⁴⁴ . Dane, które poddano pseudonimizacji ⁴⁵ , również uznaje się za dane osobowe, natomiast dane osób zmarłych lub osób prawnych, lub anonimowe informacje ⁴⁶  nie są traktowane jako dane osobowe na podstawie przepisów ODO ⁴⁷ .

(19) Przepisy ODO mają zastosowanie do przetwarzania danych osobowych przez EPO w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących lub mających stanowić część zbioru danych ⁴⁸ .

2.3.2. Administrator, oddelegowany administrator i podmiot przetwarzający dane

(20) Przepisy ODO definiują "administratora" jako podmiot, a mianowicie Europejski Urząd Patentowy, który samodzielnie lub wspólnie z innymi określa cele i sposoby przetwarzania danych osobowych ⁴⁹ . Co do zasady Prezes pełni funkcję administratora w odniesieniu do operacji przetwarzania danych prowadzonych przez Urząd ⁵⁰ . To samo dotyczy Rady Administracyjnej (gdy jej przewodniczący pełni funkcję administratora), Komisji Odwoławczych działających w ramach sprawowania przez nie wymiaru sprawiedliwości (gdy ich przewodniczący pełni funkcję administratora ⁵¹ ) oraz komisji specjalnej (gdy jej przewodniczący pełni funkcję administratora ⁵² ). Administrator może przekazać to uprawnienie jednostkom operacyjnym reprezentowanym przez kierownika wyższego szczebla ⁵³ . W takich przypadkach jednostki operacyjne działają jako "delegowani administratorzy" ⁵⁴ , którzy definiują cel (np. powód, uzasadnienie i potrzeby biznesowe), środki operacji przetwarzania oraz zapewniają, aby wszystkie operacje przetwarzania obejmujące dane osobowe były zgodne z przepisami ODO ⁵⁵ . W takich przypadkach za przetwarzanie danych osobowych odpowiada administrator. Przepisy ODO przewidują również scenariusz "współadministracji danych", według którego administrator określa cel i sposoby przetwarzania wraz z co najmniej jednym administratorem spoza EPO ⁵⁶ .

(21) Definicja "podmiotu przetwarzającego" zawarta w przepisach ODO jest identyczna z definicją zawartą w art. 4 pkt 8 rozporządzenia (UE) 2016/679, tj. podmiot przetwarzający oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub jakikolwiek inny podmiot, który przetwarza dane osobowe w imieniu administratora ⁵⁷ . Administrator może korzystać wyłącznie z usług podmiotów przetwarzających zapewniających wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zapewnienia, aby przetwarzanie spełniało wymogi określone w przepisach ODO ⁵⁸ . Stosunki między administratorem a podmiotem przetwarzającym muszą być regulowane umową lub aktem prawnym wiążącym taki podmiot przetwarzający i określającym m.in. przedmiot, czas trwania, charakter i cel przetwarzania danych ⁵⁹ . Podmiot przetwarzający może przetwarzać dane wyłącznie zgodnie z udokumentowanymi instrukcjami administratora. Podmiot przetwarzający ma obowiązek pomagać administratorowi w wypełnianiu jego obowiązków wynikających z przepisów ODO. Podmiot przetwarzający ma zakaz angażowania podwykonawców przetwarzania bez uprzedniej zgody administratora ⁶⁰ . Delegowani administratorzy mają dostęp do standardowej umowy w sprawie przetwarzania danych ⁶¹ . Ponadto jeżeli podmiot przetwarzający ma siedzibę w państwie trzecim, wszelka wymiana danych osobowych z tym podmiotem przetwarzającym musi również spełniać wymogi określone w przepisach ODO i dotyczące międzynarodowego przekazywania danych, jak opisano w motywach 68-73 niniejszej decyzji ⁶² .

2.4. Zabezpieczenia, prawa i obowiązki

2.4.1. Zgodność z prawem i rzetelność przetwarzania

(22) Dane osobowe powinno się przetwarzać zgodnie z prawem i rzetelnie.

(23) Te ogólne zasady określono w art. 4 ust. 2 lit. a) ODO, który można uznać za identyczny z art. 5 ust. 1 lit. a) rozporządzenia (UE) 2016/679.

(24) Zasada zgodności z prawem została doprecyzowana w art. 5 ODO, w którym wymieniono podstawy prawne przetwarzania danych osobowych. Tymi podstawami prawnymi są:

a) konieczność wykonania zadania w ramach czynności urzędowych EPO ⁶³  lub w ramach zgodnego z prawem sprawowania władzy publicznej powierzonej administratorowi, co obejmuje przetwarzanie niezbędne do zarządzania Urzędem i jego funkcjonowania ⁶⁴ ;

b) konieczność wypełnienia obowiązku prawnego ciążącego na administratorze (np. obowiązek publikowania w Europejskim Rejestrze Patentowym informacji zawartych w zgłoszeniu patentowym) ⁶⁵ ;

c) konieczność wykonania umowy, której stroną jest osoba, której dane dotyczą, lub podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;

d) zgoda osoby, której dane dotyczą lub

e) konieczność ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej.

(25) Definicja zgody zawarta w przepisach ODO jest taka sama jak definicja w rozporządzeniu (UE) 2016/679, tj. "zgoda" osoby, której dane dotyczą, "oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych" ⁶⁶ . Do administratora należy wykazanie, że osoba, której dane dotyczą, wyraziła zgodę ⁶⁷ . W trakcie oceny, czy zgodę wyrażono dobrowolnie, należy uwzględnić, czy wykonanie umowy uzależnione jest od zgody na przetwarzanie danych, które nie jest niezbędne do wykonania tej umowy ⁶⁸ . Wyrażenia zgody nie można uznać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji ⁶⁹ . Ponadto, aby wyrażenie zgody było świadome, przepisy ODO stanowią, że osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych ⁷⁰ . Ponadto osoba, której dane dotyczą, ma prawo wycofać zgodę w dowolnym momencie ⁷¹ .

2.4.2. Przetwarzanie szczególnych kategorii danych osobowych

(26) Jeżeli przetwarzane są "szczególne kategorie" danych, powinny istnieć szczególne zabezpieczenia.

(27) Przepisy ODO zawierają szczegółowe przepisy dotyczące przetwarzania szczególnych kategorii danych osobowych ⁷² , które są zdefiniowane w taki sam sposób jak w rozporządzeniu (UE) 2016/679, tj. "danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych ⁷³ , danych biometrycznych ⁷⁴  w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia ⁷⁵ , seksualności lub orientacji seksualnej tej osoby." ⁷⁶ . Zgodnie z przepisami ODO przetwarzanie szczególnych kategorii danych jest co do zasady zabronione, chyba że zastosowanie ma szczególny wyjątek ⁷⁷ .

(28) Szczególne wyjątki wymienione w art. 11 ust. 2 ODO są podobne do tych określonych w art. 9 ust. 2 i 3 rozporządzenia (UE) 2016/679, z kilkoma dostosowaniami do ram prawnych, zgodnie z którymi działa EPO. Przetwarzanie szczególnych kategorii danych osobowych jest dozwolone wyłącznie w konkretnych i ograniczonych okolicznościach ⁷⁸ , tj. gdy (1) osoba, której dane dotyczą, wyraziła na to wyraźną zgodę; 2) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby (w przypadku gdy osoba, której dane dotyczą, jest fizycznie lub

prawnie niezdolna do wyrażenia wyraźnej zgody); 3) dane osobowe zostały w sposób oczywisty upublicznione przez osobę, której dane dotyczą; 4) przetwarzanie jest niezbędne do konkretnego celu związanego z wykonywaniem przez EPO czynności urzędowych lub zgodnym z prawem sprawowaniem władzy publicznej powierzonej administratorowi ⁷⁹  lub 5) przetwarzanie jest niezbędne do ustalenia, dochodzenia lub ochrony roszczeń.

(29) Oprócz szczególnych kategorii danych osobowych, o których mowa w motywie 27, przepisy ODO wymagają również szczególnej ochrony przetwarzania danych osobowych dotyczących wyroków skazujących i czynów zabronionych, to znaczy zezwalają na takie przetwarzanie wyłącznie po uprzedniej konsultacji z ROD lub gdy przetwarzanie jest wymagane na mocy prawnie wiążącego instrumentu, który przewiduje odpowiednie zabezpieczenia praw i wolności osób ⁸⁰ .

2.4.3. Ograniczenie celu

(30) Dane osobowe powinny być przetwarzane w określonym celu, a następnie wykorzystywane tylko w takim zakresie, w jakim nie jest to niezgodne z celem przetwarzania.

(31) Zasada ta jest przewidziana w art. 4 ust. 2 lit. b) ODO, zgodnie z którym dane osobowe muszą być gromadzone w konkretnych, wyraźnych i prawnie uzasadnionych celach i nie mogą być dalej przetwarzane w sposób niezgodny z tymi celami.

(32) Podobnie jak w rozporządzeniu (UE) 2016/679 przepisy ODO zezwalają na dalsze przetwarzanie (niezależnie od zgodności celu dalszego przetwarzania z pierwotnym celem) na podstawie wyraźnej zgody osoby, której dane dotyczą, lub na podstawie obowiązujących przepisów prawnych EPO ⁸¹ . W tym drugim przypadku przepisy ODO nakładają wymóg, aby przetwarzanie było środkiem niezbędnym i proporcjonalnym do ochrony celu leżącego w ogólnym interesie publicznym ⁸² .

(33) Jeżeli dalsze przetwarzanie nie opiera się na tych dwóch podstawach, w przepisach ODO przewidziano czynniki, które należy wziąć pod uwagę przy ocenie zgodności celu dalszego przetwarzania z celem, w którym pierwotnie zgromadzono dane osobowe ⁸³ . To podejście i czynniki wymienione w przepisach ODO są identyczne z tymi określonymi w art. 6 ust. 4 rozporządzenia (UE) 2016/679 i art. 6 rozporządzenia (UE) 2018/1725 ⁸⁴ .

2.4.4. Dokładność i minimalizacja danych, ograniczenie przechowywania i bezpieczeństwo danych

(34) Dane osobowe powinny być prawidłowe i w razie potrzeby uaktualniane. Powinny być również adekwatne, stosowne oraz ograniczone do celów, w których są przetwarzane, a także co do zasady przechowywane przez okres nie dłuższy niż jest to niezbędne do celów, w których przetwarza się dane osobowe.

(35) Zasady te określono w art. 4 ust. 2 lit. c), d) i e) ODO w taki sam sposób, jak w rozporządzeniu (UE) 2016/679.

(36) Dane osobowe powinny być także przetwarzane w sposób zapewniający im bezpieczeństwo, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem. W tym celu podmioty gospodarcze powinny wdrożyć odpowiednie środki techniczne lub organizacyjne, aby chronić dane osobowe przed ewentualnymi zagrożeniami. Środki te należy ocenić, biorąc pod uwagę stan wiedzy technicznej oraz koszty ich wdrożenia.

(37) Bezpieczeństwo danych jest zapisane w ramach prawnych EPO jako zasada integralności i poufności określona w art. 4 ust. 2 lit. f) i art. 33 ODO w prawie identyczny sposób jak w rozporządzeniu (UE) 2016/679. W szczególności przepisy ODO nakładają wymóg zapewnienia poziomu bezpieczeństwa, które jest odpowiednie do ryzyka, za pomocą odpowiednich środków technicznych i organizacyjnych, z uwzględnieniem aktualnego stanu wiedzy, kosztów wdrożenia oraz charakteru, zakresu, kontekstu i celów przetwarzania, a także zróżnicowanego prawdopodobieństwa i wagi wszelkich zagrożeń dla praw i wolności osób.

(38) Ponadto przepisy ODO zawierają szczegółowe wymogi dotyczące postępowania w przypadku naruszenia ochrony danych i powiadamiania o nim ⁸⁵ . Po pierwsze, administrator ma obowiązek powiadomić IOD o naruszeniu ochrony danych bez zbędnej zwłoki (i w miarę możliwości nie później niż 72 godziny po uzyskaniu informacji o naruszeniu), chyba że jest mało prawdopodobne, aby naruszenie zagrażało prawom i wolnościom osób ⁸⁶ . Podmiot przetwarzający jest również zobowiązany do niezwłocznego powiadomienia administratora o naruszeniu ⁸⁷ . W powiadomieniu należy w szczególności opisać charakter naruszenia, jego prawdopodobne konsekwencje oraz środki podjęte lub proponowane w celu zaradzenia takiemu naruszeniu ⁸⁸ . Jeżeli naruszenie ochrony danych może powodować wysoki stopień zagrożenia dla praw i wolności osób, administrator musi również bez zbędnej zwłoki zawiadomić osobę, której dane dotyczą, o takim naruszeniu ⁸⁹ . W zawiadomieniu do osoby, której dane dotyczą, należy opisać charakter naruszenia ochrony danych osobowych jasnym i prostym językiem ⁹⁰ , ale takie zawiadomienie nie jest wymagane, jeżeli administrator podjął dalsze środki zapewniające, że nie wystąpi już wysoki poziom zagrożenia dla praw i wolności osób, których dane dotyczą ⁹¹ .

2.4.5. Przejrzystość

(39) Osoby, których dane dotyczą, powinny być informowane o głównych cechach przetwarzania ich danych osobowych.

(40) Zgodnie z przepisami ODO administrator ma obowiązek, w momencie pozyskiwania danych osobowych, udzielić osobom informacji, w szczególności na temat ich tożsamości i danych kontaktowych (a także danych kontaktowych IOD), celu przetwarzania i jego podstawy prawnej, odbiorców lub kategorii odbiorców, faktu, że zamierza przekazać dane poza EPO, a także mających zastosowanie praw i możliwości uzyskania odszkodowania ⁹² . To samo dotyczy przetwarzania danych osobowych w celu innym niż ten, w jakim dane te zostały zebrane ⁹³ . Oba obowiązki mają zastosowanie jedynie w zakresie, w jakim dana osoba nie posiada jeszcze informacji ⁹⁴ .

(41) Te same informacje należy przekazać osobom, których dane dotyczą, jeżeli dane osobowe nie są zbierane bezpośrednio od nich, wraz z dodatkowymi informacjami na temat źródła danych osobowych i kategorii danych, o których mowa ⁹⁵ . Takie informacje należy przekazać w rozsądnym terminie po pozyskaniu danych (ale najpóźniej w ciągu miesiąca), mając na uwadze konkretne okoliczności przetwarzania danych ⁹⁶ . Jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą, takie same informacje należy przekazać najpóźniej przy pierwszej komunikacji z tą osobą ⁹⁷ . Informacje, o których mowa w motywie 40, należy również przekazać, zanim nastąpi jakiekolwiek dalsze przetwarzanie lub, jeżeli przewiduje się ich ujawnienie innemu odbiorcy, najpóźniej w momencie ujawnienia danych osobowych osobie trzeciej ⁹⁸ . Obowiązek ten nie ma zastosowania w niektórych przypadkach, a mianowicie gdy osoba, której dane dotyczą, posiada już odnośne informacje; gdy informacje te muszą pozostać poufne ze względu na obowiązek zachowania tajemnicy zawodowej uregulowany na podstawie konwencji o patencie europejskim lub innych przepisów prawnych mających zastosowanie do EPO ⁹⁹ ; gdy przekazanie tych informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku, w szczególności w przypadku przetwarzania danych do celów archiwizacji, badań naukowych lub historycznych lub celów statystycznych, ponieważ uniemożliwiłoby to lub poważnie utrudniłoby osiągnięcie celów przetwarzania lub gdy uzyskanie lub ujawnienie tych informacji jest wyraźnie określone w konwencji o patencie europejskim lub innych mających zastosowanie przepisach prawnych, które przewidują odpowiednie środki ochrony uzasadnionych interesów osoby, której dane dotyczą ¹⁰⁰ .

2.4.6. Prawa indywidualne

(42) Osobom, których dane dotyczą, powinny przysługiwać określone prawa, które można egzekwować wobec administratora lub podmiotu przetwarzającego, w szczególności prawo dostępu do danych, prawo do sprostowania danych, prawo do sprzeciwu wobec przetwarzania danych oraz prawo do usunięcia danych. Jednocześnie prawa te mogą podlegać ograniczeniom w zakresie, w jakim ograniczenia te są niezbędne i proporcjonalne do ochrony ważnych celów leżących w ogólnym interesie publicznym.

2.4.6.1. Prawa przewidziane w przepisach ODO

(43) Konieczność ułatwienia wykonywania praw indywidualnych określono w art. 1B ust. 4 Regulaminu pracowniczego. W celu dalszego stosowania tego wymogu przepisy ODO gwarantują osobom fizycznym takie same prawa, jak te określone w rozporządzeniu (UE) 2016/679, a mianowicie prawo dostępu (art. 18 ODO), prawo do sprostowania danych (art. 19 ODO), prawo do usunięcia danych (art. 20 ODO), prawo do ograniczenia przetwarzania (art. 21 ODO), prawo do przenoszenia danych (art. 22 ODO), prawo wniesienia sprzeciwu (art. 23 ODO) oraz prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji (art. 24 ODO).

(44) Przepisy ODO zawierają również ogólne przepisy dotyczące rozpatrywania wniosków o wykonanie praw, składanych przez osoby fizyczne. Przepisy te zobowiązują administratora do komunikacji z osobami, których dane dotyczą, przy użyciu jasnego i przystępnego języka, z zastosowaniem zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formy (na piśmie lub w inny sposób) ¹⁰¹ . Administrator ma obowiązek informować osoby fizyczne o środkach podjętych w odpowiedzi na wniosek bez zbędnej zwłoki, a w każdym razie w terminie jednego miesiąca od otrzymania wniosku (termin można przedłużyć o kolejne dwa miesiące, jeżeli jest to konieczne ze względu na złożoność i liczbę wniosków) ¹⁰² . Jeżeli wnioski osoby, której dane dotyczą, są całkowicie nieuzasadnione lub nadmierne, w szczególności ze względu na ich powtarzalny charakter, administrator może odmówić wykonania wniosków ¹⁰³ : W sytuacji gdy administrator odmówił wykonania wniosku, musi powiadomić o tym osobę fizyczną i poinstruować ją o możliwości dochodzenia roszczeń ¹⁰⁴ .

(45) Po pierwsze, jeśli chodzi o prawo dostępu, zgodnie z przepisami ODO osoby fizyczne mają prawo do uzyskania od EPO potwierdzenia, czy dotyczące ich dane osobowe są przetwarzane, a jeżeli tak, mają prawo dostępu do danych osobowych w łatwy sposób ¹⁰⁵  i w rozsądnych odstępach czasu ¹⁰⁶ . Ponadto osoby fizyczne mają prawo do uzyskania informacji, w szczególności na temat celu przetwarzania, kategorii odnośnych danych, odbiorców, którym dane są udostępniane, oraz przewidywanego okresu przechowywania danych ¹⁰⁷ .

(46) Po drugie, przepisy ODO stanowią, że przewidziane w nich prawo do sprostowania umożliwia osobom fizycznym uzyskanie sprostowania nieprawidłowych danych lub uzupełnienia niekompletnych danych (na przykład poprzez przedstawienie dodatkowego oświadczenia) ¹⁰⁸ . Po sprostowaniu danych administrator ma obowiązek powiadomić o tym każdego odbiorcę, któremu ujawniono dane osobowe ¹⁰⁹ . Zgodnie z przepisami ODO prawo do sprostowania danych ma zastosowanie do obiektywnych i faktycznych danych, a nie do subiektywnych oświadczeń ¹¹⁰ , chociaż w tym przypadku osoby fizyczne mają prawo uzupełnić istniejące dane o drugą opinię bądź kontrekspertyzę lub zgłosić uwagi ¹¹¹ .

(47) Po trzecie, przepisy ODO gwarantują osobom fizycznym także prawo do usunięcia danych ¹¹² , w szczególności jeżeli:

a) dane osobowe nie są już niezbędne do celu, w którym są przetwarzane;

b) osoba, której dane dotyczą, cofa zgodę i nie istnieje inna podstawa prawna przetwarzania danych;

c) osoba, której dane dotyczą, sprzeciwia się przetwarzaniu danych i nie ma nadrzędnych uzasadnionych podstaw takiego przetwarzania;

d) dane były przetwarzane niezgodnie z prawem lub

e) dane należy usunąć w celu wypełnienia obowiązku prawnego spoczywającego na administratorze ¹¹³ . Administrator musi poinformować o usunięciu wszelkich danych każdego odbiorcę, któremu dane zostały udostępnione, chyba że okaże się to niemożliwe lub wymaga to niewspółmiernie dużego wysiłku ¹¹⁴ . Podobnie, jeżeli administrator podał dane osobowe do wiadomości publicznej, musi podjąć rozsądne kroki w celu poinformowania innych administratorów, którzy przetwarzają te dane, o tym, że osoba fizyczna zażądała usunięcia tych danych ¹¹⁵ . Prawo do usunięcia danych nie ma zastosowania w następujących sytuacjach, w zakresie, w jakim przetwarzanie danych jest niezbędne,

a) do wykonywania prawa do wolności wypowiedzi i informacji;

b) do wypełnienia obowiązku prawnego EPO lub zobowiązań wynikających ze spoczywającego na EPO obowiązku współpracy z umawiającymi się państwami ¹¹⁶  lub w celu wykonywania władzy publicznej powierzonej EPO ¹¹⁷ ;

c) ze względu na współpracę z umawiającymi się państwami w dziedzinie zdrowia publicznego ¹¹⁸ ;

d) do celów archiwizacji, badań naukowych lub historycznych oraz do celów statystycznych (o ile usunięcie danych prawdopodobnie uniemożliwiłoby lub poważnie utrudniłoby osiągnięcie celów przetwarzania) lub

e) do ustalenia, dochodzenia lub obrony roszczeń prawnych ¹¹⁹ .

(48) Po czwarte, art. 21 ODO przewiduje prawo do ograniczenia przetwarzania, tj. oznaczania danych osobowych w celu ograniczenia ich przetwarzania w przyszłości (w tym środków programowych mających na celu trwałe uniemożliwienie dostępu do takich danych) ¹²⁰ . Na prawo do ograniczenia przetwarzania można się powołać w szczególności w przypadku, gdy osoba fizyczna kwestionuje prawidłowość danych osobowych (na okres wymagany przez administratora do sprawdzenia prawidłowości) lub gdy przetwarzanie jest niezgodne z prawem, ale osoba ta sprzeciwia się usunięciu danych ¹²¹ . W przypadku gdy przetwarzanie jest ograniczone, dane osobowe mogą, z wyjątkiem przechowywania, być przetwarzane wyłącznie za wyraźną zgodą osoby fizycznej w celu ustalenia, wykonania lub obrony roszczeń prawnych, w celu ochrony praw innych osób lub w celu wykonania zadania realizowanego w ramach urzędowych czynności EPO (tj. zadania, które jest niezbędne do celów pracy administracyjnej i technicznej, którą EPO jest zobowiązana wykonywać zgodnie z konwencją o patencie europejskim) ¹²² .

(49) Po piąte, prawo sprzeciwu określono w art. 1B ust. 4 Regulaminu pracowniczego i art. 23 ODO. W szczególności osoby fizyczne mają prawo w każdej chwili wnieść sprzeciw wobec przetwarzania danych osobowych dokonywanego w celu wykonania zadania w ramach wypełniania czynności urzędowych EPO lub w ramach zgodnego z prawem sprawowania władzy publicznej powierzonej administratorowi ¹²³ . Osoby fizyczne należy poinformować o istnieniu takiego prawa w jasny sposób i najpóźniej w momencie pierwszego kontaktu z nimi ¹²⁴ . W przypadku gdy osoba fizyczna sprzeciwi się przetwarzaniu danych osobowych, przepisy ODO zobowiązują administratora do zaprzestania przetwarzania tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń prawnych ¹²⁵ .

(50) Po szóste, przepisy ODO gwarantują osobom fizycznym prawo do przenoszenia danych, umożliwiając im uzyskanie własnych danych osobowych w ustrukturyzowanym, powszechnie używanym formacie nadającym się do odczytu maszynowego oraz przekazywanie tych danych innemu administratorowi ¹²⁶ . Prawo to ma zastosowanie, gdy przetwarzanie odbywa się w sposób zautomatyzowany i na podstawie zgody osoby fizycznej lub w celu wykonania umowy z osobą fizyczną lub w jej interesie ¹²⁷ .

(51) Wreszcie zgodnie z przepisami ODO osoby fizyczne mają prawo do tego, by nie podlegać zautomatyzowanemu podejmowaniu decyzji, to znaczy decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, co wywołuje wobec tych osób skutki prawne lub w podobny sposób znacząco na nie wpływa ¹²⁸ . Przepisy ODO stanowią, że zautomatyzowane podejmowanie decyzji może mieć miejsce, gdy opiera się na wyraźnej zgodzie osoby, której dane dotyczą, lub gdy jest to konieczne do zawarcia lub wykonania umowy z osobą fizyczną, w którym to przypadku administrator musi wdrożyć odpowiednie zabezpieczenia, takie jak zapewnienie prawa do interwencji człowieka, wyrażenia stanowiska osób fizycznych i zaskarżenia takiej decyzji ¹²⁹ . Zautomatyzowane podejmowanie decyzji może być również dozwolone na mocy aktu prawnego, jeżeli akt ten ustanawia odpowiednie środki ochrony praw osób fizycznych ¹³⁰ . Jeżeli administrator uczestniczy w zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu, ma obowiązek w sposób proaktywny poinformować o tym osobę fizyczną w ramach swoich obowiązków zachowania przejrzystości i przekazać istotne informacje o zasadach podejmowania takich decyzji, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą ¹³¹ . Te same informacje należy dostarczyć na żądanie ¹³² .

2.4.6.2. Ograniczenia praw indywidualnych

(52) Podobnie jak art. 23 rozporządzenia (UE) 2016/679 i art. 25 rozporządzenia (UE) 2018/1725, art. 25 ODO stanowi, że szczegółowe przepisy prawne w ramach prawnych EPO mogą ograniczać stosowanie praw, o których mowa w motywach 43-51 ¹³³  (tj. ograniczyć ich stosowanie tymczasowo) ¹³⁴ , jeżeli takie ograniczenie nie narusza istoty podstawowych praw ¹³⁵  i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym do ochrony konkretnych celów ¹³⁶ . Ponadto takie ograniczenie musi być przewidziane w "jasnych i precyzyjnych" przepisach, które mają na celu wywarcie skutków prawnych wobec osób, których dane dotyczą, i które muszą zostać przyjęte co najmniej na szczeblu Prezesa ¹³⁷ . Przepisy te muszą w szczególności określać cel przetwarzania, zakres ograniczenia, zabezpieczenia zapobiegające nadużyciom oraz okresy przechowywania i mające zastosowanie zabezpieczenia ¹³⁸ .

(53) Obecnie jedynym instrumentem prawnym, który przewiduje ograniczenia praw indywidualnych, jest okólnik 420 (instrument prawnie wiążący przyjęty przez Prezesa). Wyjaśniono w nim, w jaki sposób i na jakich warunkach administrator może stosować ograniczenia, oraz wyczerpująco określono, w jakich konkretnych sytuacjach i do jakich celów prawa mogą zostać ograniczone ¹³⁹ . W szczególności przewidziano w nim, że EPO może ograniczać prawa indywidualne w określonych celach szczegółowych: a i b) podczas prowadzenia postępowania przygotowawczego lub dyscyplinarnego wobec swoich pracowników ¹⁴⁰ ; c) w kontekście wewnętrznego rozstrzygania sporów lub ustalania, wykonywania lub obrony roszczeń prawnych, w tym w kontekście arbitrażu, w celu zachowania poufnych informacji i dokumentów uzyskanych od stron, interwenientów lub z innych legalnych źródeł; d) podczas przetwarzania danych dotyczących zdrowia podczas procedur medycznych i w dokumentacji medycznej, ale wyłącznie w celu ochrony praw osób fizycznych ¹⁴¹ ; e i f) podczas przeprowadzania audytów i inspekcji wewnętrznych (te ostatnie są przeprowadzane przez IOD); g) do celów zarządzania incydentami informatycznymi i zgłaszania incydentów związanych z bezpieczeństwem fizycznym oraz h) w przypadku udzielania pomocy właściwym organom publicznym, w tym umawiającym się państwom EPO i organizacjom międzynarodowym, lub otrzymywania od nich pomocy, lub podczas współpracy z nimi w zakresie działań określonych w odpowiednich umowach o gwarantowanym poziomie usług, protokołach ustaleń i umowach o współpracy, na ich wniosek lub z własnej inicjatywy Urzędu ¹⁴² .

(54) To, czy ograniczenie można zastosować w konkretnym przypadku, jest rozpatrywane przez administratora indywidualnie dla każdego przypadku w świetle istotnych okoliczności ¹⁴³ . Przy podejmowaniu decyzji o zastosowaniu ograniczenia administrator musi najpierw ocenić jego konieczność i proporcjonalność w konkretnym przypadku, przy udziale IOD ¹⁴⁴ . Ocena ta obejmuje zestawienie potencjalnego ryzyka naruszenia praw i wolności osoby, której dane dotyczą, z ryzykiem naruszenia praw i wolności innych osób, których dane dotyczą, oraz z ryzykiem utrudnienia realizacji celu i osiągnięcia wyniku operacji przetwarzania ¹⁴⁵ . Ograniczenia muszą być udokumentowane, m.in. przez zapis oceny ograniczonych praw, na jak długo zostały ograniczone, z jakich powodów i na jakiej podstawie ¹⁴⁶ . Ponadto dopóki obowiązuje dane ograniczenie, należy stosować odpowiednie środki techniczne i organizacyjne ¹⁴⁷ . Wszelkie ograniczenia mogą być stosowane tylko tak długo, jak długo istnieją przyczyny ograniczenia ¹⁴⁸ . W przypadku ograniczenia prawa administrator musi poinformować osobę fizyczną o głównych przyczynach tego ograniczenia oraz o prawie do złożenia skargi ¹⁴⁹ .

2.4.6.3. Szczegółowe przepisy w kontekście procedury udzielania patentów

(55) Postanowienia traktatu założycielskiego EPO (tj. konwencji o patencie europejskim) i PCT oraz przepisy mające zastosowanie na ich podstawie (wszystkie stanowią prawo pierwotne dla EPO) zawierają pewne szczególne wymogi w kontekście procedury udzielania patentu, które mogą mieć wpływ na wykonywanie niektórych praw na podstawie przepisów ODO ¹⁵⁰ . W decyzji z dnia 13 grudnia 2021 r. przedstawiono przegląd tych wymogów prawa pierwotnego, wyjaśniono, w jaki sposób można korzystać z praw osób, których dane dotyczą, w tym kontekście, oraz wyraźnie określono możliwe wyjątki ¹⁵¹ . Okólnik 420 stanowi, że przepisy, które mogą ograniczać stosowanie praw do ochrony danych, muszą jasno określać zakres każdego wyłączenia, a tym samym wyważyć różne wchodzące w grę interesy ¹⁵² .

(56) Po pierwsze, zgodnie z art. 127 konwencji o patencie europejskim Urząd jest zobowiązany do prowadzenia Europejskiego Rejestru Patentowego, w którym publikowane są określone prawnie dane osobowe. Zgodnie z prawem pierwotnym zgłoszenia patentowe muszą być opublikowane w trakcie procedury udzielania patentów, zasadniczo możliwie jak najszybciej po upływie osiemnastu miesięcy od daty zgłoszenia. Konwencja o patencie europejskim stanowi, że do danych osobowych zawartych w takich zgłoszeniach patentowych można uzyskać dostęp przez wgląd do akt lub sprawdzenie Rejestru ¹⁵³ . Przed publikacją zgłoszenia patentowe nie są dostępne do wglądu bez wyraźnej zgody zgłaszającego. Podobne zasady określono w PCT ¹⁵⁴ .

(57) Po drugie, możliwość dokonania zmian w informacjach wykorzystywanych w ramach procedury udzielania patentów jest szczegółowo uregulowana w konwencji o patencie europejskim ¹⁵⁵ . W szczególności konwencja o patencie europejskim przewiduje jedynie możliwość uzyskania sprostowania błędów w dokumentach złożonych w EPO ¹⁵⁶ , sprostowania błędów w decyzjach ¹⁵⁷ , korekty tłumaczeń ¹⁵⁸  i sprostowania wskazania twórcy ¹⁵⁹ . Sprostowanie danych osobowych zawartych w dokumentach wykorzystywanych w procedurze udzielania patentów można zatem uzyskać jedynie w tych przypadkach. To samo dotyczy możliwości uzyskania ograniczenia przetwarzania danych ¹⁶⁰ .

(58) Po trzecie, konwencja o patencie europejskim nakłada szczególne wymogi dotyczące przechowywania i publikacji niektórych dokumentów wykorzystywanych w procedurze udzielania patentów, które to wymogi mają wpływ na możliwość usunięcia informacji zawartych w tych dokumentach, w tym danych osobowych ¹⁶¹ . W szczególności opublikowane zgłoszenia patentowe i informacje patentowe publikowane w Europejskim Biuletynie Patentowym muszą być przechowywane i publicznie dostępne ¹⁶² . W związku z tym usunięcie danych osobowych zawartych w tych dokumentach byłoby sprzeczne z podstawowymi zobowiązaniami prawnymi EPO (art. 129 lit. a) konwencji o patencie europejskim), więc nie można go uzyskać. Inne akta muszą być przechowywane przez EPO przez okres określony w konwencji o patencie europejskim, który zasadniczo wynosi pięć lat ¹⁶³ . Dopóki okres ten ma zastosowanie, nie można uzyskać usunięcia informacji zawartych w tych aktach (w tym danych osobowych).

(59) W związku z tym, biorąc pod uwagę w szczególności ich ograniczony zakres i warunki ich stosowania, ograniczenia w wykonywaniu praw wynikające z przepisów, o których mowa w motywach 55-58, można uznać za ograniczone do tego, co jest konieczne i proporcjonalne do zapewnienia prawidłowego funkcjonowania procedury udzielania patentów, zgodnie z wymogami interesu publicznego do celów wypełniania oficjalnych zadań EPO. W zakresie, w jakim konwencja o patencie europejskim i PCT nie regulują konkretnie wykonywania praw do ochrony danych, tzn. we wszystkich sytuacjach innych niż te opisane w motywach 55-58 pełne zastosowanie mają wymogi zawarte w przepisach ODO.

2.4.7. Dalsze przekazywanie

(60) Stopień ochrony zapewnianej danym osobowym przekazywanym z Unii do EPO nie może zostać obniżony wskutek dalszego przekazywania takich danych odbiorcom w państwach trzecich lub innej organizacji międzynarodowej.

(61) W przepisach ODO dokonano rozróżnienia między "przesyłaniem danych osobowych" (tj. udostępnianiem danych przez EPO umawiającym się państwom) a "przekazywaniem danych osobowych" (udostępnianiem danych przez EPO jakiejkolwiek innej osobie lub podmiotowi spoza EPO) ¹⁶⁴ .

2.4.7.1. Przesyłanie danych

(62) Po pierwsze, przepisy ODO stanowią, że przesyłanie danych do krajowego urzędu ds. własności intelektualnej umawiającego się państwa EPO może nastąpić, jeżeli dane te są niezbędne do a) wykonywania kompetencji lub władzy publicznej przez odbiorcę i b) przesyłanie danych jest niezbędne do wykonywania oficjalnych zadań/władzy przez EPO ¹⁶⁵ . Takie przesyłanie danych odbywa się w kontekście procedury udzielania patentów przewidzianej w konwencji o patencie europejskim i w PCT ¹⁶⁶ .

(63) Po drugie, przepisy ODO umożliwiają przesyłanie danych organowi publicznemu umawiającego się państwa EPO ¹⁶⁷ , jeżeli dane te są niezbędne do wykonywania zadań tego organu publicznego, a przesyłanie danych jest zgodne z zadaniami i funkcjonowaniem EPO ¹⁶⁸ . Takie przesyłanie danych nie jest wyraźnie wymagane na podstawie konwencji o patencie europejskim ani innych instrumentów prawnych regulujących procedurę udzielania patentów, ale może być nadal konieczne do wykonywania zadań EPO, na przykład współpracy EPO z umawiającymi się państwami w procesie konsultacji, delegowania i rozmieszczania ekspertów lub dostarczania informacji na temat pracowników EPO do celów ustalania świadczeń z zabezpieczenia społecznego, wymogów podatkowych itp.

(64) IOD przygotował wzory klauzul, które należy włączyć do protokołów ustaleń regulujących takie przesyłanie danych, opisanych w motywach 62 i 63. Klauzule te m.in. zawierają zasady ochrony danych, ograniczają dalsze przetwarzanie danych tylko w dopuszczalnych celach, zapewniają prawa osób, których dane dotyczą, a także określają obowiązki w zakresie bezpieczeństwa danych, naruszeń danych i niezależnego nadzoru ¹⁶⁹ .

(65) W obu przypadkach opisanych w motywach 62 i 63 odbiorca musi, zgodnie z przepisami ODO, przedstawić dowody na to, że przesyłanie danych jest konieczne w konkretnym celu wynikającym z obowiązków EPO w zakresie współpracy z umawiającym się państwem lub umawiającymi się państwami ¹⁷⁰ . W odniesieniu do każdego przesyłania danych administrator musi być w stanie wykazać, że jest ono konieczne i proporcjonalne do konkretnego celu, w którym dane są udostępniane ¹⁷¹ . Przesyłanie wszelkich danych musi odbywać się sposób zapewniający utrzymanie poziomu ochrony przewidzianego w przepisach ODO ¹⁷² . Zgodnie z wytycznymi wydanymi przez IOD oznacza to, że należy stosować odpowiednie zabezpieczenia, m.in. dane, które mają być udostępniane, należy ograniczyć do minimum i tylko do tego, co jest odpowiednie, istotne i absolutnie niezbędne do osiągnięcia tego celu ¹⁷³ . Jeżeli istnieją jakiekolwiek przesłanki, aby przypuszczać, że może dojść do naruszenia uzasadnionych interesów danejosoby fizycznej, administrator - po wyważeniu różnych wchodzących w grę interesów - musi wykazać, że przesłanie danych osobowych w tym konkretnym celu jest proporcjonalne ¹⁷⁴ .

(66) W odniesieniu do tych dwóch sytuacji należy również zauważyć, że wszystkie umawiające się państwa EPO są stronami europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności i podlegają jurysdykcji Europejskiego Trybunału Praw Człowieka, a także są stronami Konwencji Rady Europy o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych (ETS nr 108).

(67) Ponadto przepisy ODO umożliwiają przesyłanie danych do podmiotu przetwarzającego dane, mającego siedzibę w Europejskim Obszarze Gospodarczym (EOG), pod warunkiem że zapewniona jest zgodność z wymogami określonymi w przepisach ODO, dotyczącymi zaangażowania podmiotów przetwarzających ¹⁷⁵ .

2.4.7.2. Przekazywanie danych

(68) Udostępnianie danych osobowych podmiotowi spoza EPO, innemu niż organ publiczny lub krajowy urząd ds. własności intelektualnej umawiających się państw EPO lub podmiot przetwarzający dane w EOG, uznaje się za "przekazanie" danych osobowych, z zastrzeżeniem szczególnych wymogów określonych przepisami ODO ¹⁷⁶ . Wymogi te mają zastosowanie na przykład do udostępniania danych podmiotom przetwarzającym spoza EOG, administratorom znajdującym się w umawiających się państwach lub poza nimi, organom publicznym w państwach niebędących umawiającymi się państwami oraz innym organizacjom międzynarodowym. Ogólnie rzecz biorąc, przepisy ODO nakładają wymóg, aby poziom ochrony gwarantowany osobom fizycznym przez EPO nie został naruszony w wyniku przekazywania danych stronom trzecim ¹⁷⁷ . Zgodnie z wytycznymi IOD ochrona przekazywanych danych osobowych zapewniana w państwie trzecim lub organizacji międzynarodowej musi być "zasadniczo równoważna ochronie gwarantowanej przepisami ODO" ¹⁷⁸ .

(69) Zgodnie z przepisami ODO przekazanie danych osobowych poza EPO może mieć miejsce przede wszystkim, jeżeli państwo, w którym znajduje się odbiorca, lub organizacja międzynarodowa zapewniają odpowiedni poziom ochrony oraz jeżeli przekazanie odbywa się wyłącznie w celu umożliwienia EPO wykonywania zadań wchodzących w zakres jej kompetencji ¹⁷⁹ . Decyzję stwierdzającą odpowiedni stopień ochrony podejmuje Prezes ¹⁸⁰ , który w razie wątpliwości konsultuje się uprzednio z IOD i ROD ¹⁸¹ . IOD opracował dokument dotyczący "odpowiedniego stopnia ochrony" określający kryteria, na jakich należy oprzeć decyzje stwierdzające odpowiedni stopień ochrony ¹⁸² . Ramy prawne państwa trzeciego lub organizacji międzynarodowej muszą w szczególności określać kluczowe zasady ochrony danych, prawa osób, których dane dotyczą, przepisy dotyczące dalszego przekazywania danych, mechanizmy proceduralne i mechanizmy egzekwowania oraz środki odwoławcze dla osób fizycznych. Jeżeli Prezes przyjmie decyzję stwierdzającą odpowiedni stopień ochrony, przekazanie danych może nastąpić bez zastosowania dodatkowych zabezpieczeń ¹⁸³ . EPO uznaje obecnie, że państwa członkowskie UE, a także Norwegia, Islandia, Liechtenstein, wszystkie państwa, które korzystają z decyzji Komisji stwierdzającej odpowiedni stopień ochrony ¹⁸⁴ , oraz instytucje i organy Unii zapewniają odpowiedni poziom ochrony ¹⁸⁵ .

(70) Zgodnie z przepisami ODO w przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony administrator lub podmiot przetwarzający mogą przekazać dane osobowe odbiorcom spoza EPO tylko wówczas, gdy zapewnili odpowiednie zabezpieczenia, oraz pod warunkiem, że osoby, których dane dotyczą, dysponują możliwymi do wyegzekwowania prawami i skutecznymi środkami ochrony prawnej ¹⁸⁶ . Takie odpowiednie zabezpieczenia mogą być zawarte w porozumieniach administracyjnych z organami publicznymi lub organizacjami międzynarodowymi, w klauzulach umownych (po konsultacji z ROD) ¹⁸⁷  lub w mechanizmach certyfikacji ¹⁸⁸ . IOD opracował schemat przepisów, które należy uwzględnić w porozumieniach administracyjnych ¹⁸⁹ . Dostępny jest również wzór umowy o ochronie danych na potrzeby przekazywania danych podmiotom przetwarzającym ¹⁹⁰ . Zgodnie z wytycznymi IOD EPO musi ocenić, czy ramy prawne, któremu podlega podmiot odbierający dane, nie uniemożliwią temu podmiotowi wypełnienia obowiązków wynikających z narzędzia przekazywania danych, i w razie potrzeby musi wprowadzić środki uzupełniające ¹⁹¹ . Aby przeprowadzić tę ocenę, IOD zaleca, aby w notach wyjaśniających EPO dotyczących przesyłania i przekazywania danych osobowych uwzględniono odpowiednie wytyczne EROD i Europejskiego Inspektora Ochrony Danych ¹⁹² .

(71) Zgodnie z przepisami ODO w przypadku przekazywania danych do państw lub organizacji korzystających z decyzji stwierdzającej odpowiedni stopień ochrony, a także w przypadku przekazywania danych na podstawie odpowiednich zabezpieczeń EPO musi wykazać konieczność i proporcjonalność każdego przekazania danych do celów ich przetwarzania ¹⁹³ . Ponadto, po wyważeniu różnych wchodzących w grę interesów, EPO musi stwierdzić, że przekazanie danych jest proporcjonalne, jeżeli istnieją powody, by sądzić, że może dojść do naruszenia

uzasadnionych interesów osób, których dane dotyczą ¹⁹⁴ . Ponadto należy zapewnić (za pomocą zabezpieczeń umownych), aby odbiorca mógł przetwarzać lub wykorzystywać dane wyłącznie do celów, w których zostały one przekazane, i aby musiał je usunąć, gdy tylko cel ten zostanie osiągnięty ¹⁹⁵ .

(72) Zgodnie z przepisami ODO w przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony lub braku odpowiednich zabezpieczeń przekazywanie danych osobowych poza EPO jest dopuszczalne "wyłącznie w wyjątkowych przypadkach", jeżeli tak zwane "odstępstwo" ma zastosowanie na warunkach podobnych do warunków określonych w odpowiednich przepisach unijnego prawa o ochronie danych ¹⁹⁶ . Ma to miejsce w przypadku, gdy a) osoba, której dane dotyczą, wyraźnie wyraziła zgodę na przekazanie danych ¹⁹⁷ ; b i c) przekazanie danych jest sporadyczne i niezbędne do wykonania umowy z osobą, której dane dotyczą, lub w jej interesie (lub do wykonania środków przedumownych na wniosek osoby, której dane dotyczą) ¹⁹⁸ ; d) przekazanie danych jest niezbędne do wykonania zadania w ramach wypełniania przez EPO czynności urzędowych lub w ramach uzasadnionego wykonywania władzy publicznej powierzonej administratorowi ¹⁹⁹ ; e) przekazanie danych jest sporadyczne i niezbędne do ustalenia, dochodzenia lub ochrony roszczeń prawnych ²⁰⁰ ; f) przekazanie danych jest niezbędne do ochrony żywotnych interesów osoby, w przypadku gdy osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia wyraźnej zgody ²⁰¹  lub g) przekazanie danych następuje z rejestru, który ma służyć za źródło informacji dla ogółu społeczeństwa i który jest dostępny do wglądu dla ogółu obywateli lub dla każdej osoby mogącej wykazać prawnie uzasadniony interes, o ile w danym przypadku spełnione zostały warunki dotyczące wglądu do takiego rejestru ²⁰² . Ze względu na ich charakter i zgodnie z wytycznymi IOD nie można powoływać się na te odstępstwa w przypadku systematycznego, regularnego przekazywania danych ²⁰³ .

(73) Ponadto w odniesieniu do przekazywania określonych kategorii danych do państw lub organizacji, które nie korzystają z decyzji stwierdzającej odpowiedni stopień ochrony, Prezes ma prawo jeszcze bardziej ograniczyć takie przekazywanie z ważnych powodów związanych z uzasadnionym wykonywaniem władzy publicznej powierzonej Urzędowi ²⁰⁴ . Dotychczas Prezes nie skorzystał z takich uprawnień.

2.4.8. Rozliczalność

(74) Zgodnie z zasadą rozliczalności podmioty przetwarzające dane są zobowiązane do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby skutecznie przestrzegać swoich obowiązków w zakresie ochrony danych oraz być w stanie wykazać taką zgodność, zwłaszcza wobec właściwego organu nadzorczego.

(75) W art. 4 ust. 1 przepisów ODO ustanowiono ogólną zasadę rozliczalności, która jasno stwierdza, że administrator jest odpowiedzialny za przestrzeganie przepisów ODO i musi być w stanie wykazać zgodność z tymi przepisami. W szczególności administrator musi wdrożyć odpowiednie środki techniczne i organizacyjne w celu zapewnienia i wykazania zgodności z przepisami, z uwzględnieniem charakteru, zakresu, kontekstu i celów przetwarzania danych oraz różnego prawdopodobieństwa i wagi różnych rodzajów ryzyka dla praw osób fizycznych ²⁰⁵ . W tym względzie przepisami ODO wdrożono również zasady ochrony prywatności już w fazie projektowania oraz domyślnej ochrony prywatności, ponieważ nałożono na administratora obowiązek wprowadzenia środków mających na celu wdrożenie zasad ochrony danych i zapewnienie zgodności z przepisami ODO oraz obowiązek zagwarantowania, aby domyślnie przetwarzane były wyłącznie dane osobowe, które są niezbędne do każdego konkretnego celu przetwarzania ²⁰⁶ .

(76) Administrator i podmioty przetwarzające dane muszą prowadzić rejestr czynności przetwarzania, zawierający między innymi informacje na temat celu przetwarzania, kategorii przetwarzanych danych, kategorii odbiorców, którym ujawniane są dane, oraz wszelkich przypadków przekazywania danych osobowych ²⁰⁷ . Rejestry te są co do zasady publicznie dostępne (chyba że zawierają informacje poufne) i zawarte w publicznie dostępnym rejestrze ochrony danych oraz muszą być udostępniane ROD na żądanie ²⁰⁸ . Każda jednostka operacyjna musi też wyznaczyć co najmniej jedną osobę kontaktową ds. ochrony danych (na odnawialną kadencję trwającą od roku do trzech lat), która musi przejść obowiązkowe szkolenie w zakresie ochrony danych i pomagać administratorowi w wypełnianiu jego obowiązków ²⁰⁹ .

(77) Przepisy ODO przewidują ponadto różne instrumenty, które mogą pomóc administratorom i podmiotom przetwarzającym w przestrzeganiu przepisów. Na przykład zgodnie z przepisami ODO przestrzeganie zatwierdzonych mechanizmów certyfikacji może służyć jako dowód zgodności z obowiązkami wynikającymi z ODO ²¹⁰ . Ponadto, w określonych warunkach, przepisy ODO nakładają wymóg przeprowadzenia oceny skutków dla ochrony danych lub uprzedniej konsultacji z IOD i ROD. Ocena skutków dla ochrony danych jest wymagana w przypadku, gdy dany rodzaj przetwarzania może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych ²¹¹ . Jest to wymagane na przykład w przypadku systematycznej i szeroko zakrojonej oceny aspektów osobistych, na których opierają się zautomatyzowane decyzje, lub w przypadku przetwarzania szczególnych kategorii danych na dużą skalę ²¹² . Jeżeli ocena skutków wykaże, że przetwarzanie spowodowałoby wysokie ryzyko naruszenia praw i wolności osób fizycznych, i ryzyka tego nie można ograniczyć za pomocą zasadnych środków bezpieczeństwa, administrator musi skonsultować się z ROD ²¹³ . ROD musi udzielić pisemnej porady, jeżeli jest zdania, że zamierzone przetwarzanie stanowiłoby naruszenie przepisów ODO ²¹⁴ . Bardziej ogólnie, administrator ma obowiązek skonsultować się z IOD podczas przygotowywania przepisów lub dokumentów operacyjnych dotyczących wdrażania ograniczeń praw indywidualnych ²¹⁵ .

2.5. Nadzór i egzekwowanie przepisów

(78) W celu zapewnienia odpowiedniego stopnia ochrony danych w praktyce, należy ustanowić niezależny organ nadzorczy, któremu powierzone zostaną uprawnienia do monitorowania i egzekwowania zgodności z przepisami o ochronie danych. Wykonując swoje obowiązki i uprawnienia, organ ten działa całkowicie niezależnie i bezstronnie.

(79) W ramach prawnych EPO nadzór nad przestrzeganiem przez EPO przepisów o ochronie danych powierzono dwóm organom: IOD i ROD. Oba te organy zostały utworzone na mocy art. 32A Regulaminu pracowniczego, a ich status i uprawnienia doprecyzowano w przepisach ODO ²¹⁶ . Ich zadania się uzupełniają i obejmują współpracę, podczas gdy każdy z nich pozostaje niezależny w pełnieniu swoich funkcji.

2.5.1. Niezależność

(80) Zgodnie z Regulaminem pracowniczym IOD i ROD działają całkowicie niezależnie od jakiejkolwiek wewnętrznej lub zewnętrznej ingerencji w wykonywanie ich zadań i korzystanie z ich uprawnień ²¹⁷ . Zasadę tę uzupełniają różne dodatkowe zabezpieczenia gwarantujące ich niezależność.

(81) IOD (i jego zastępcy) jest powoływany przez Prezesa na podstawie kwalifikacji zawodowych, a w szczególności wiedzy fachowej na temat prawa i praktyk w zakresie ochrony danych ²¹⁸ . IOD jest mianowany na odnawialną kadencję trwającą od trzech do pięciu lat. Przed proponowanym usunięciem lub odwołaniem IOD z jego funkcji zasięga się opinii ROD ²¹⁹ . Takie uprzednie konsultacje przed usunięciem lub odwołaniem IOD mają na celu zapewnienie dodatkowej kontroli i przeglądu w przypadku proponowanego usunięcia lub odwołania. Takie usunięcie lub odwołanie może mieć miejsce z jednego z następujących powodów ²²⁰ : w przypadku, gdy IOD nie spełnia już warunków wymaganych do wykonywania obowiązków ²²¹ ; w przypadku nienależytego wykonywania obowiązków ²²²  lub w wyniku zastosowania środków dyscyplinarnych ²²³ . Przepisy ODO zakładają ponadto, że IOD nie może zostać odwołany ani ukarany za wykonywanie swoich zadań i nie może otrzymywać żadnych instrukcji ²²⁴ . IOD musi być zaangażowany we wszystkie kwestie związane z ochroną danych osobowych i wydawać roczne sprawozdania z działalności dla Prezesa i Rady Administracyjnej ²²⁵ . Urząd musi zapewnić IOD zasoby niezbędne do wykonywania jego zadań ²²⁶ .

(82) W skład ROD wchodzi trzech ekspertów zewnętrznych w dziedzinie ochrony danych, mianowicie przewodniczący i dwóch innych członków ²²⁷ , oraz zastępca członka, mianowani przez Prezesa EPO na odnawialną trzyletnią kadencję ²²⁸ . Członkowie ROD muszą posiadać kwalifikacje wymagane do mianowania na stanowisko sędziowskie lub być specjalistami w dziedzinie ochrony danych posiadającymi udokumentowaną wiedzę fachową i doświadczenie w dziedzinie prawa ochrony danych zdobyte na szczeblu krajowym lub międzynarodowym. Nie mogą być pracownikami EPO ani zatrudnionymi przez nią w ciągu ostatnich dziesięciu lat ²²⁹ . Zgodnie z art. 48 ust. 6 ODO członkowie ROD są w pełni niezależni w sprawowaniu swojej funkcji. W szczególności członkowie ROD nie mogą zwracać się o instrukcje do Urzędu ani Rady Administracyjnej i nie mogą być związani takimi instrukcjami. Regulamin ROD przewiduje również, że przy wykonywaniu swoich zadań musi ona działać w sposób bezstronny i całkowicie niezależny ²³⁰ . Ponadto członkowie ROD mogą zostać odwołani z funkcji przez EPO Zob. również art. 13 ust. 4 lit. b) Regulaminu pracowniczego, który stanowi, że "sprawozdanie dotyczące urzędnika na okresie próbnym może zostać sporządzone w każdej chwili w okresie próbnym, jeżeli jego obowiązki, wydajność i sposób postępowania okazują się niewystarczające. Na podstawie sprawozdania lub sprawozdań z okresu próbnego organ powołujący może: - odwołać nowego pracownika w okresie próbnym,

- zdecydować, że pracownik w okresie próbnym, który został przeniesiony lub awansowany, powróci na swoje poprzednie stanowisko lub, jeżeli zostało ono obsadzone, na stanowisko odpowiadające grupie zaszeregowania na poprzednim stanowisku, w odniesieniu do którego spełnia wymogi". jedynie z poważnej przyczyny ²³¹ . Członkowie ROD są zobowiązani do zachowania poufności ²³²  i muszą wstrzymać się od działania w przypadku konfliktu interesów, w szczególności jeżeli chodzi o interes osobisty ²³³ . EPO ma obowiązek wspierać ROD w wykonywaniu jej zadań przez zapewnienie jej niezbędnych zasobów, a także wsparcia prawnego i administracyjnego (za pośrednictwem sekretariatu i przez zapewnienie ROD dostępu do danych osobowych i operacji przetwarzania) ²³⁴ .

2.5.2. Zadania i uprawnienia

(83) Do zadań IOD należy: informowanie administratora lub podmiotów przetwarzających dane o ich obowiązkach oraz odpowiednie doradzanie im; upowszechnianie wiedzy wśród pracowników zaangażowanych w operacje przetwarzania i zapewnianie im szkoleń; zapewnianie, by osoby, których dane dotyczą, były informowane o prawach przysługujących im na mocy przepisów ODO oraz monitorowanie w niezależny sposób wewnętrznego stosowania przepisów ODO i zgodności z nimi, a także z innymi przepisami prawnymi EPO mającymi wpływ na ochronę danych ²³⁵ . Osoby, których dane dotyczą, mogą kontaktować się z IOD we wszelkich kwestiach związanych z przetwarzaniem ich danych lub wykonywaniem przysługujących im praw ²³⁶ , a administrator i podmioty przetwarzające mogą konsultować się z IOD we wszelkich sprawach dotyczących interpretacji i stosowania przepisów ODO ²³⁷ .

(84) W ramach swojej funkcji nadzorczej IOD jest uprawniony do przeprowadzania kontroli i dochodzeń w sprawie ochrony danych ²³⁸ . Kontrole inicjuje IOD zgodnie z rocznym planem kontroli, który jest przygotowywany w porozumieniu z ROD ²³⁹ . Kontrola koncentruje się na ocenie rejestrów, oświadczeń i odpowiedniej dokumentacji w zakresie ochrony danych, na przykład w celu weryfikacji dokładności i kompletności dokumentacji dotyczącej ochrony danych, prawidłowego stosowania metod zarządzania ryzykiem, dokładności i terminowości odpowiedzi udzielanych osobom, których dane dotyczą, lub prawidłowego przeprowadzania i liczby ocen skutków dla ochrony danych ²⁴⁰ . Według informacji otrzymanych przez Komisję od IOD w 2023 r. przeprowadzono trzy kontrole, a w 2024 r. - cztery. IOD może wszcząć dochodzenie z własnej inicjatywy, na podstawie wniosku otrzymanego od ROD lub organu w ramach EPO (np. Prezesa lub administratora delegowanego) lub na podstawie informacji otrzymanych w inny sposób (na przykład od stron trzecich i osób fizycznych) ²⁴¹ . Dochodzenia na wniosek ROD są prowadzone przez IOD w sposób niezależny. ROD ma prawo przekazać uwagi lub wnioskować o dodatkowe dochodzenie w dowolnej kwestii, która mogła się pojawić ²⁴² . Inspekcje koncentrują się na operacjach przetwarzania, ich szczególnych aspektach lub zdarzeniach z nimi związanych i mają na celu zapewnienie, aby przetwarzanie spełniało wymogi przepisów ODO, oraz zapewnienie ochrony praw i wolności osób, których dane dotyczą ²⁴³ .

(85) IOD ma dostęp do wszystkich istotnych informacji, w tym do przetwarzanych danych osobowych, a także do wszystkich biur, instalacji przetwarzania danych i nośników danych ²⁴⁴ . Wszyscy pracownicy EPO i jednostki operacyjne są zobowiązani do wspierania IOD w wypełnianiu jego obowiązków, w tym przez zapewnienie dostępu do pomieszczeń i odpowiednich informacji ²⁴⁵ . (6) sześciomiesięcznego okresu pisemnego wypowiedzenia". Ponieważ umowa o świadczenie usług jest regulowana przez prawo niemieckie, pojęcie poważnego powodu należy interpretować zgodnie z § 626 niemieckiego kodeksu cywilnego. Zgodnie z orzecznictwem może to być na przykład powtarzające się i uporczywe naruszanie mających zastosowanie obowiązków (np. dotyczących konfliktu interesów) lub pozbawienie wolności.

(86) Kończąc kontrolę lub dochodzenie, IOD przyjmuje sprawozdanie zawierające ustalenia, wnioski i zalecane działania naprawcze ²⁴⁶ . Takie działania mogą obejmować na przykład: środki zapobiegawcze lub łagodzące mające na celu poprawę przestrzegania przepisów, a także środki mające na celu usunięcie niezgodności (np. zapewnienie zgodności przetwarzania z przepisami ODO, rozpatrywanie wniosków osób, których dane dotyczą, o skorzystanie z przysługujących im praw, zawieszenie lub zakończenie przetwarzania itp.) ²⁴⁷ . IOD może również powiadomić właściwy organ powołujący o niezastosowaniu się do przepisów ODO przez pracowników i zalecić wszczęcie dochodzenia administracyjnego w celu ustalenia, czy konieczne jest podjęcie działań dyscyplinarnych lub innych ²⁴⁸ . Każdy pracownik, który nie przestrzega przepisów ODO, umyślnie lub w wyniku zaniedbania, może podlegać karom dyscyplinarnym lub innym działaniom na podstawie Regulaminu pracowniczego ²⁴⁹ .

(87) Wyniki kontroli i dochodzeń muszą zostać przekazane ROD ²⁵⁰ . Sprawozdanie z kontroli lub dochodzenia należy udostępnić ROD na żądanie. ROD może wypowiadać się na temat sprawozdania IOD, w tym na temat ustaleń IOD, czy doszło do naruszenia przepisów ODO, oraz na temat proponowanych działań naprawczych, a także może wnioskować o podjęcie dodatkowych czynności dochodzeniowych ²⁵¹ . Jeżeli w wyniku kontroli lub inspekcji przeprowadzonej przez IOD stwierdzono, że doszło do niezgodności (tj. naruszenia przepisów ODO), sprawozdanie IOD musi zostać przedłożone ROD w celu zatwierdzenia wniosków i zalecanych działań naprawczych. W przypadku gdy ROD nie zgadza się z wnioskami IOD lub zalecanymi przez niego działaniami naprawczymi, ROD przekazuje swoje uwagi IOD, m.in. w celu zmiany proponowanych wniosków i zalecanych działań naprawczych, które to uwagi powinny zostać odpowiednio uwzględnione. Działania naprawcze zatwierdzone przez ROD są wiążące dla administratora i administratorów delegowanych i osoby fizyczne mogą się na nie powoływać w ramach mechanizmów dochodzenia roszczeń opisanych w motywie 95 ²⁵² . IOD musi zweryfikować wdrożenie działań naprawczych (zasadniczo po upływie sześciu miesięcy od przekazania informacji o nich) i co roku składać Prezesowi sprawozdanie ze stanu ich wdrożenia ²⁵³ .

(88) Oprócz egzekwowania przestrzegania przepisów ODO do zadań ROD należy również doradzanie Prezesowi w zakresie przyjmowania decyzji stwierdzających odpowiedni stopień ochrony, doradzanie administratorowi w kwestii konieczności przeprowadzenia oceny skutków dla ochrony danych oraz rozpatrywanie skarg osób fizycznych (zob. motywy 92-96) ²⁵⁴ .

2.6. Dochodzenie roszczeń

(89) W celu zapewnienia odpowiedniej ochrony, a w szczególności egzekwowania praw indywidualnych, osoba, której dane dotyczą, powinna mieć dostęp do skutecznego dochodzenia roszczeń, w tym odszkodowania.

(90) Ramy prawne EPO oferują osobom fizycznym możliwość dochodzenia roszczeń na różne sposoby.

(91) Po pierwsze, osoby, których dane dotyczą, które uważają, że przetwarzanie ich danych osobowych przez EPO narusza ich prawa (tj. narusza przepisy ODO), mogą złożyć wniosek o dokonanie przeglądu przez administratora delegowanego zgodnie z art. 49 ODO. Administrator delegowany rozpatrzy skargę i podejmie decyzję ²⁵⁵ . Przed podjęciem decyzji administrator delegowany musi skonsultować się z IOD, który przedstawia pisemną opinię nie później niż piętnaście dni kalendarzowych od otrzymania wniosku o dokonanie przeglądu ²⁵⁶ . Administrator delegowany musi udzielić danej osobie odpowiedzi w terminie jednego miesiąca od daty otrzymania wniosku ²⁵⁷ .

Decyzja musi zostać przekazana tej osobie wraz z informacją o możliwości skorzystania z dalszych środków odwoławczych ²⁵⁸ . Jeżeli administrator delegowany nie podejmie żadnych działań w terminie trzech miesięcy, uznaje się to za dorozumiane odrzucenie wniosku.

(92) Po drugie, osoby fizyczne mogą zaskarżyć decyzję lub dorozumiane odrzucenie wniosku o dokonanie przeglądu przez administratora delegowanego, składając skargę do ROD ²⁵⁹ .

(93) Podczas rozpatrywania skargi ROD musi wezwać osobę, której dane dotyczą, administratora oraz, w stosownych przypadkach, podmiot przetwarzający dane do przedstawienia na piśmie stanowiska w przedmiocie roszczeń i faktów oraz do przedstawienia dowodów lub uwag i argumentów dotyczących dostępnych dowodów ²⁶⁰ . W tym kontekście ROD może zwrócić się do stron o wszelkie informacje potrzebne do rozpatrzenia skargi i może, dodatkowo, uzyskać dalsze informacje za pośrednictwem IOD ²⁶¹ . Podejmując decyzję w sprawie niezbędnych działań następczych w związku ze skargą, ROD musi wziąć pod uwagę między innymi charakter i wagę zarzucanego naruszenia, liczbę osób, których dane dotyczą, kategorie danych, których dotyczy skarga, oraz czas trwania naruszenia ²⁶² . ROD może wezwać strony do polubownego rozstrzygnięcia sporu oraz zachęca do takiego rozwiązania i aktywnie działa, aby ułatwić jego zastosowanie ²⁶³ . Skarżący może również zwrócić się do ROD o zastosowanie trybu pilnego ze względu na wagę domniemanego naruszenia lub ze względu na powagę ryzyka naruszenia praw jednostek ²⁶⁴ .

(94) Po zbadaniu skargi ROD wydaje administratorowi uzasadnioną opinię zawierającą przedstawienie stanu faktycznego, główne argumenty stron, uwagi ROD i jej zalecenia ²⁶⁵ . W przypadku trybu pilnego ROD musi formalnie wydać uzasadnioną opinię w terminie dwóch miesięcy od złożenia skargi ²⁶⁶ . W uzasadnionej opinii ROD może wydać wszelkie zalecenia, które uzna za konieczne, w tym nakaz sądowy (np. zaprzestanie niezgodnego z prawem przetwarzania danych, usunięcie danych przetwarzanych niezgodnie z prawem), odszkodowanie za szkodę materialną lub niematerialną ²⁶⁷ . Uzasadnioną opinię należy przekazać osobie, której dane dotyczą, i administratorowi (tj. Prezesowi Urzędu, przewodniczącemu Komisji Odwoławczych, przewodniczącemu Rady Administracyjnej lub przewodniczącemu komisji specjalnej, w zależności od tego, czy skarga dotyczy Urzędu, Komisji Odwoławczych, Rady lub komisji specjalnej). Następnie administrator podejmie prawomocną wiążącą decyzję na podstawie uzasadnionej opinii ROD ²⁶⁸ . Prawomocną decyzję przekazuje się osobie, której dane dotyczą, ROD i IOD ²⁶⁹ . Jeżeli administrator miał zdecydować o nieuwzględnieniu co najmniej jednego aspektu uzasadnionej opinii, powinien wyjaśnić to w decyzji ²⁷⁰ .

(95) Osoba, której dane dotyczą, która nie jest zadowolona z decyzji administratora, może się od niej dalej odwołać i w takim odwołaniu odnieść się do uzasadnionej opinii ROD. Pracownicy EPO mogą zaskarżyć decyzję do Trybunału Administracyjnego Międzynarodowej Organizacji Pracy ²⁷¹ . Każda inna osoba, której dane dotyczą, która nie zgadza się z decyzją administratora, może, w terminie trzech miesięcy od otrzymania decyzji, złożyć do Prezesa wniosek o arbitraż ad hoc ²⁷² . W przepisach ODO przewidziano specjalną procedurę, którą należy zastosować w przypadku arbitrażu ad hoc ²⁷³ . W szczególności w terminie trzech miesięcy od otrzymania wniosku osoby, której dane dotyczą, sekretarz generalny Stałego Trybunału Arbitrażowego musi wyznaczyć jednego arbitra na podstawie kryteriów określonych w przepisach ODO ²⁷⁴ . Arbiter musi posiadać kwalifikacje prawne, być dopuszczony do wykonywania zawodu prawniczego w jednym z umawiających się państw EPO, być w stanie wykazać się odpowiednią wiedzą fachową w dziedzinie ochrony danych oraz znać prawo regulujące działalność organizacji międzynarodowych ²⁷⁵ . Oprócz spełnienia tych kryteriów wyznaczona osoba nie mogła pracować dla EPO ani dla osoby, której dane dotyczą, ani świadczyć im usług. Przepisy ODO stanowią, że arbiter musi działać w sposób niezależny i bezstronny ²⁷⁶ , traktować każdą ze stron jednakowo i dać im możliwość przedstawienia swoich argumentów na każdym etapie postępowania ²⁷⁷ . Postępowanie arbitrażowe nie jest jawne ²⁷⁸  i jest regulowane przez konwencję o patencie europejskim, przepisy ODO, w tym wszelkie przepisy wykonawcze, prawo organizacji międzynarodowych oraz zasady prawa międzynarodowego publicznego ²⁷⁹ . Chociaż każda ze stron musi pokryć własne koszty i wydatki związane z zastępstwem prawnym (chyba że arbiter postanowi inaczej), honoraria i wydatki arbitra, koszty ewentualnych porad biegłych i świadków są pokrywane przez EPO ²⁸⁰ . Rozstrzygnięcie sporu musi nastąpić w formie pisemnego orzeczenia arbitrażowego o uzgodnionym brzmieniu, które jest prawomocne i wiążące ²⁸¹ .

(96) Każda osoba fizyczna, która poniosła szkodę w wyniku naruszenia przepisów ODO, może zwrócić się do EPO o odszkodowanie, korzystając z procedur opisanych w motywach 91-95 ²⁸² . EPO nie zostanie pociągnięta do odpowiedzialności, jeżeli udowodni, że nie odpowiada za zdarzenie, które doprowadziło do powstania szkody.

3. DOSTĘP ORGANÓW PUBLICZNYCH DO DANYCH OSOBOWYCH PRZEKAZYWANYCH Z UNII DO EUROPEJSKIEGO URZĘDU PATENTOWEGO I ICH WYKORZYSTYWANIE

(97) Ramy prawne, na podstawie których EPO ocenia wnioski organów publicznych - w umawiających się państwach i w państwach trzecich - dotyczące danych osobowych przetwarzanych przez EPO, i odpowiada na nie, wynikają z Protokołu w sprawie przywilejów i immunitetów (PPI) EPO ²⁸³ , wymogów nałożonych przepisami ODO dotyczących przesyłania i przekazywania danych osobowych oraz z prawa międzynarodowego publicznego.

(98) Po pierwsze, przetwarzanie danych osobowych przez EPO do celów oficjalnej działalności jest objęte immunitetami tej organizacji. Immunitety EPO uzupełnia obowiązek współpracy określony w art. 20 PPI. W efekcie wszystkie wnioski organów publicznych umawiających się państw o dostęp do danych przetwarzanych przez EPO są oceniane przez Prezesa zgodnie z (art. 20 ust. 1) PPI, który przewiduje, że EPO "stale współpracuje z właściwymi organami umawiających się państw w celu ułatwienia właściwego działania wymiaru sprawiedliwości, zapewnienia przestrzegania zarządzeń policji oraz przepisów dotyczących zdrowia publicznego, inspekcji pracy lub innych podobnych przepisów krajowych oraz w celu zapobieżenia wszelkim naruszeniom przywilejów, immunitetów i ułatwień przewidzianych w niniejszym Protokole". W drodze wyjątku EPO może zrzec się immunitetu jurysdykcyjnego i egzekucyjnego ²⁸⁴ . Przy podejmowaniu decyzji w sprawie wniosku o współpracę Prezes korzysta z uprawnień dyskrecjonalnych, uwzględniając zgodność takiego wniosku z ramami prawnymi EPO. ²⁸⁵  W rezultacie Urząd może odpowiedzieć na wniosek na podstawie PPI i może ujawnić dane osobowe wyłącznie zgodnie z wymogami dotyczącymi przesyłania danych przewidzianymi w przepisach ODO (zob. motywy 62-67). Zgodnie z przepisami ODO odbiorca musi przedstawić dowody na to, że przesyłanie danych jest konieczne w konkretnym celu wynikającym z obowiązków EPO w zakresie współpracy z umawiającym się państwem lub umawiającymi się państwami ²⁸⁶ . W odniesieniu do każdego przesyłania danych administrator musi być w stanie wykazać, że jest ono konieczne i proporcjonalne do konkretnego celu, w którym to przesyłanie danych się odbywa ²⁸⁷ . Przesyłanie wszelkich danych musi odbywać się sposób zapewniający utrzymanie poziomu ochrony przewidzianego w przepisach ODO ²⁸⁸ . Zgodnie z wytycznymi wydanymi przez IOD oznacza to, że należy stosować odpowiednie zabezpieczenia, m.in. dane, które mają być udostępniane, należy ograniczyć do minimum i tylko do tego, co jest odpowiednie, istotne i absolutnie niezbędne do osiągnięcia tego celu ²⁸⁹ . Jeżeli istnieją jakiekolwiek przesłanki, aby przypuszczać, że może dojść do naruszenia praw i wolności danej osoby fizycznej, administrator - po wyważeniu różnych wchodzących w grę interesów - musi wykazać, że przesłanie danych osobowych w tym konkretnym celu jest proporcjonalne ²⁹⁰ .

(99) Po drugie, nie istnieje żaden instrument prawny mający zastosowanie do EPO, który konkretnie reguluje rozpatrywanie wniosków od organów publicznych państw trzecich (tj. niebędących umawiającą się stroną EPO) o uzyskanie danych przetwarzanych przez EPO. W związku z tym wszelkie ujawnienie danych w odpowiedzi na taki wniosek jest możliwe tylko wtedy, gdy spełnione są wymogi dotyczące międzynarodowego przekazywania danych na podstawie przepisów ODO (jak opisano w motywach 68-73). Ma to miejsce wyłącznie w przypadku przyjęcia decyzji stwierdzającej odpowiedni stopień ochrony w odniesieniu do danego państwa i obejmującej przekazanie danych, jeżeli istnieją odpowiednie zabezpieczenia lub jeżeli zastosowanie ma odstępstwo.

(100) Przestrzeganie PPI przez Prezesa, w tym sposobu rozpatrywania wniosków od organów publicznych o współpracę, podlega nadzorowi Rady Administracyjnej, natomiast spełnienie zawartych w przepisach ODO wymogów dotyczących przesyłania i przekazywania danych osobowych podlega nadzorowi IOD i ROD, jak opisano w motywach 84-88. Osoby fizyczne mogą skorzystać z możliwości dochodzenia roszczeń opisanych w motywach 90-96 i dotyczących przesyłania lub przekazywania danych osobowych z naruszeniem przepisów ODO.

4. WNIOSKI

(101) Komisja uważa, że EPO zapewnia stopień ochrony danych osobowych przekazywanych z Unii, który jest merytorycznie równoważny stopniowi ochrony zagwarantowanemu w rozporządzeniu (UE) 2016/679.

(102) Na podstawie ustaleń niniejszej decyzji należy uznać, że EPO zapewnia odpowiedni stopień ochrony w rozumieniu art. 45 rozporządzenia (UE) 2016/679, interpretowanego w świetle Karty praw podstawowych Unii Europejskiej, danych osobowych przekazywanych z Unii do EPO.

5. SKUTKI NINIEJSZEJ DECYZJI I DZIAŁANIA ORGANÓW OCHRONY DANYCH

(103) Państwa członkowskie i ich organy mają obowiązek stosować środki niezbędne do zapewnienia zgodności z aktami instytucji unijnych, ponieważ domniemywa się, że akty te są zgodne z prawem, a zatem wywołują skutki prawne do chwili ich uchylenia, stwierdzenia ich nieważności w postępowaniu o stwierdzenie nieważności lub orzeczenia o ich nieważności w następstwie wniosku o wydanie orzeczenia w trybie prejudycjalnym lub zarzutu niezgodności z prawem.

(104) Decyzja stwierdzająca odpowiedni stopień ochrony danych osobowych przyjęta przez Komisję na podstawie art. 45 ust. 3 rozporządzenia (UE) 2016/679 jest zatem wiążąca dla wszystkich organów państw członkowskich, do których jest skierowana, w tym ich niezależnych organów nadzorczych. W szczególności przekazywanie danych przez administratora lub podmiot przetwarzający w Unii do EPO może odbywać się bez konieczności uzyskania jakiegokolwiek dodatkowego zezwolenia.

(105) Należy przypomnieć, że zgodnie z art. 58 ust. 5 rozporządzenia (UE) 2016/679 i jak wyjaśnił Trybunał Sprawiedliwości w wyroku w sprawie C-362/14 ²⁹¹ , jeżeli krajowy organ ochrony danych kwestionuje, w tym na podstawie skargi, zgodność wydanej przez Komisję decyzji stwierdzającej odpowiedni stopień ochrony z przysługującymi osobie fizycznej prawami podstawowymi do prywatności i ochrony danych, należy zapewnić w prawie krajowym drogę prawną umożliwiającą tej osobie podniesienie tych zarzutów przed sądem krajowym, który może być zobowiązany do wystąpienia z odesłaniem prejudycjalnym do Trybunału Sprawiedliwości.

6. MONITOROWANIE, ZAWIESZENIE, UCHYLENIE LUB ZMIANA NINIEJSZEJ DECYZJI

(106) Zgodnie z orzecznictwem Trybunału Sprawiedliwości i art. 45 ust. 4 rozporządzenia (UE) 2016/679 Komisja powinna ciągle monitorować istotne zmiany zachodzące w państwie trzecim lub organizacji międzynarodowej po przyjęciu decyzji stwierdzającej odpowiedni stopień ochrony, aby ocenić, czy nadal zapewnia merytorycznie równoważny stopień ochrony. Taka kontrola jest wymagana w każdym przypadku, gdy Komisja otrzyma informacje budzące uzasadnione wątpliwości w tym względzie.

(107) W związku z tym Komisja powinna stale monitorować sytuację w zakresie ram prawnych i rzeczywistej praktyki EPO w odniesieniu do przetwarzania danych osobowych, podlegających ocenie w niniejszej decyzji. W celu ułatwienia tego procesu zachęca się EPO do informowania Komisji o merytorycznych zmianach, które są istotne dla niniejszej decyzji, dotyczących przetwarzania danych osobowych oraz ograniczeń i zabezpieczeń w zakresie dostępu organów publicznych do danych osobowych.

(108) Ponadto, aby Komisja mogła skutecznie realizować funkcję monitorowania, państwa członkowskie powinny informować ją o wszelkich istotnych działaniach podejmowanych przez ich krajowe organy ochrony danych, zwłaszcza w odniesieniu do zapytań lub skarg osób z Unii, których dane dotyczą, na temat przekazywania danych osobowych z Unii do EPO.

(109) W zastosowaniu art. 45 ust. 3 rozporządzenia (UE) 2016/679 oraz w świetle tego, że stopień ochrony zapewniany w ramach prawnych EPO może ulec zmianie, Komisja po przyjęciu niniejszej decyzji powinna okresowo oceniać, czy ustalenia odnoszące się do adekwatności stopnia ochrony gwarantowanego przez EPO są nadal faktycznie i prawnie uzasadnione. Taką ocenę należy przeprowadzać co najmniej raz na cztery lata w odniesieniu do wszystkich aspektów obowiązywania niniejszej decyzji, w tym funkcjonowania odpowiednich mechanizmów nadzoru i egzekwowania.

(110) W celu przeprowadzenia tej oceny Komisja powinna odbyć spotkanie z EPO, w tym z jego IOD i ROD. Uczestnictwo w tym spotkaniu powinno być otwarte dla przedstawicieli członków Europejskiej Rady Ochrony Danych. W ramach tej oceny Komisja powinna wystąpić do EPO o przedłożenie wyczerpujących informacji na temat wszystkich aspektów istotnych dla ustalenia dotyczącego stwierdzenia odpowiedniego stopnia ochrony. Komisja powinna również zwracać się o wyjaśnienia dotyczące wszelkich informacji istotnych dla niniejszej decyzji, w tym otrzymanych od EROD, poszczególnych organów ochrony danych i organizacji społeczeństwa obywatelskiego, a także informacji publicznie dostępnych, doniesień medialnych oraz informacji z innych dostępnych źródeł.

(111) Na podstawie tej oceny Komisja powinna przygotować ogólnodostępne sprawozdanie, które przedłoży Parlamentowi Europejskiemu i Radzie.

(112) W przypadku gdy z dostępnych informacji, w szczególności informacji uzyskanych w wyniku monitorowania przez Komisję - zgodnie z art. 45 ust. 4 rozporządzenia (UE) 2016/679 - zmian mogących wpłynąć na obowiązywanie niniejszej decyzji lub informacji przedstawionych przez EPO lub organy państw członkowskich wynika, że stopień ochrony zapewniany przez EPO może nie być już odpowiedni, Komisja powinna powiadomić o tym EPO i zwrócić się o zastosowanie właściwych środków w określonym, rozsądnym terminie.

(113) Jeśli po upływie tego określonego terminu EPO nie zastosuje tych środków lub w inny zadowalający sposób nie wykaże, że stopień ochrony będący podstawą niniejszej decyzji jest nadal odpowiedni, Komisja rozpocznie procedurę, o której mowa w art. 93 ust. 2 rozporządzenia (UE) 2016/679, w celu częściowego lub całkowitego zawieszenia lub uchylenia niniejszej decyzji.

(114) Ewentualnie Komisja rozpocznie tę procedurę w celu zmiany decyzji, zwłaszcza przez uzależnienie przekazywania danych od spełnienia dodatkowych warunków lub ograniczenie zakresu ustalenia dotyczącego stwierdzenia odpowiedniego stopnia ochrony wyłącznie do przekazywania danych, co do których zapewnia się ciągłość odpowiedniego stopnia ochrony.

(115) Komisja powinna również rozważyć wszczęcie procedury prowadzącej do zmiany, zawieszenia lub uchylenia niniejszej decyzji, jeżeli w kontekście przeglądu lub w innym przypadku EPO nie przedłoży informacji lub wyjaśnień wymaganych do oceny stopnia ochrony zapewnianego w odniesieniu do danych osobowych przekazywanych z Unii albo do oceny zgodności z niniejszą decyzją. W tej kwestii Komisja powinna uwzględnić również zakres, w jakim właściwe informacje można uzyskać z innych źródeł.

(116) W należycie uzasadnionych, szczególnie pilnych przypadkach Komisja skorzysta z możliwości przyjęcia - zgodnie z procedurą, o której mowa w art. 93 ust. 3 rozporządzenia (UE) 2016/679 - aktów wykonawczych mających natychmiastowe zastosowanie, zawieszających, uchylających lub zmieniających niniejszą decyzję.

7. UWAGI KOŃCOWE

(117) Europejska Rada Ochrony Danych opublikowała swoją opinię ²⁹² , która została uwzględniona podczas przygotowywania niniejszej decyzji.

(118) Środki przewidziane w niniejszej decyzji są zgodne z opinią Komitetu ustanowionego na podstawie art. 93 ust. 1 rozporządzenia (UE) 2016/679,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł  1

Do celów art. 45 rozporządzenia (UE) 2016/679 Europejska Organizacja Patentowa zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych z Unii do Europejskiej Organizacji Patentowej.

Artykuł  2

W każdym przypadku, gdy właściwe organy w państwach członkowskich, w celu ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych, wykonują swoje uprawnienia na podstawie art. 58 rozporządzenia (UE) 2016/679 w odniesieniu do przekazywania danych wchodzącego w zakres stosowania określony w art. 1, dane państwo członkowskie niezwłocznie informuje o tym fakcie Komisję.

Artykuł  3

1. Komisja stale monitoruje stosowanie ram prawnych Europejskiej Organizacji Patentowej, na których opiera się niniejsza decyzja, w celu oceny, czy Europejska Organizacja Patentowa nadal zapewnia odpowiedni stopień ochrony w rozumieniu art. 1.

2. Państwa członkowskie oraz Komisja informują się nawzajem o przypadkach, w których Europejska Organizacja Patentowa nie zapewnia zgodności z ramami prawnymi, na których opiera się niniejsza decyzja.

3. Co najmniej raz na cztery lata Komisja ocenia ustalenie, o którym mowa w art. 1, na podstawie wszystkich dostępnych informacji, w tym informacji otrzymanych w ramach przeglądu przeprowadzanego wspólnie z Europejską Organizacją Patentową.

4. Jeżeli Komisja ma przesłanki wskazujące na to, że odpowiedni stopień ochrony nie jest już zapewniony, powiadamia o tym Europejską Organizację Patentową. W razie potrzeby Komisja może postanowić o zawieszeniu, zmianie albo uchyleniu niniejszej decyzji albo o ograniczeniu jej zakresu zgodnie z art. 45 ust. 5 rozporządzenia (UE) 2016/679.

Komisja może również zawiesić, uchylić lub zmienić niniejszą decyzję, jeżeli brak współpracy ze strony Europejskiej Organizacji Patentowej uniemożliwia Komisji ustalenie, czy ocena, o której mowa w art. 1 niniejszej decyzji, jest nadal zasadna.

Artykuł  4

Niniejsza decyzja skierowana jest do państw członkowskich.

Sporządzono w Brukseli dnia 15 lipca 2025 r.

1 Dz.U. L 119 z 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj.

2 Zob. motyw 101 rozporządzenia (UE) 2016/679.

3 Zob. motyw 104 rozporządzenia (UE) 2016/679.

4 Zob. sprawa C-311/18, Facebook Ireland i Schrems ("Schrems II"), ECLI:EU:C:2020:559, pkt 94.

5 Europejska Rada Ochrony Danych, dokument w sprawie odpowiedniego stopnia ochrony, WP 254 rev.01, dostępny na stronie: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=614108.

6 Sprawa C-362/14, Schrems ("Schrems I"), ECLI:EU:C:2015:650, pkt 73.

7 Schrems I, pkt 74.

8 Schrems I, pkt 75.

9 Liczba umawiających się państw według stanu na luty 2025 r.

10 Art. 5 ust. 1 konwencji o patencie europejskim.

11 Art. 4 ust. 2 konwencji o patencie europejskim.

12 Co do zasady patent europejski ma w każdym umawiającym się państwie, dla którego został udzielony, ten sam skutek i podlega tym samym warunkom, co patent krajowy udzielony przez to państwo (zob. art. 2 ust. 2 konwencji o patencie europejskim).

13 Art. 26 i 33 konwencji o patencie europejskim.

14 Prezes jest mianowany przez Radę Administracyjną i reprezentuje EPO na zewnątrz (art. 5 ust. 3 konwencji o patencie europejskim).

15 Art. 10 ust. 1 konwencji o patencie europejskim.

16 Art. 10 ust. 2 konwencji o patencie europejskim.

17 Członkowie Komisji Odwoławczych powoływani są przez Radę Administracyjną (na wniosek Prezesa) i są niezawiśli (art. 11 ust. 3 i art. 23 konwencji o patencie europejskim).

18 Zawierają one na przykład imię i nazwisko, adres, obywatelstwo i numer telefonu zgłaszających; imię i nazwisko oraz adres twórców i przedstawicieli patentowych; imię i nazwisko oraz informacje finansowe osoby dokonującej płatności itp. EPO może uzyskać dodatkowe dane osobowe, jeżeli osoba trzecia sprzeciwia się udzieleniu patentu, w której to sytuacji EPO mogą zostać przekazane dodatkowe informacje, takie jak uwagi, dowody i pisemne oświadczenia osoby trzeciej (zob. Regulamin wykonawczy do konwencji o patencie europejskim, np. R41(2), R143(1)(h), R92(2)(c), R19(1), R53(1) itp.). Zob. również art. 9 decyzji Prezesa w sprawie procedury udzielania patentów.

19 Europejskie zgłoszenie patentowe można złożyć w centralnym urzędzie zajmującym się ochroną własności przemysłowej lub w innym właściwym organie umawiającego się państwa. Po sprawdzeniu zgłoszenia pod kątem bezpieczeństwa lub innych wymogów krajowych organ krajowy przekazuje go EPO.

20 Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1257/2012 z dnia 17 grudnia 2012 r. wprowadzające wzmocnioną współpracę w dziedzinie tworzenia jednolitego systemu ochrony patentowej (Dz.U. L 361 z 31.12.2012, s. 1, ELI: http://data.europa. eu/eli/reg/2012/1257/oj).

21 Patenty europejskie o jednolitym skutku dla wszystkich uczestniczących państw członkowskich są rejestrowane centralnie w EPO, bez konieczności podejmowania dalszych kroków administracyjnych na poziomie krajowym (co jest wymagane w przypadku patentów europejskich).

22 W grudniu 2024 r. EPO przyjęła przepisy dotyczące niezależnego mechanizmu nadzoru nad przetwarzaniem danych osobowych przez Komisję Odwoławczą w ramach sprawowania przez nią wymiaru sprawiedliwości. Dostępne na stronie: https://www.epo.org/ en/about-us/transparency-portal?search_description=CA%2FD+19%2F24&op=&sort_by=most&items_per_page=10.

23 Jednolity Sąd Patentowy został ustanowiony na podstawie Porozumienia w sprawie Jednolitego Sądu Patentowego (Dz.U. C 175 z 20.6.2013, s. 1) i ma wyłączną właściwość w sprawach dotyczących m.in. patentów europejskich (podlegających okresowi przejściowemu) i patentów europejskich o jednolitym skutku (na przykład w odniesieniu do powództw w sprawach dotyczących faktycznych lub grożących naruszeń patentów oraz związanych z nimi środków obrony, powództw w sprawach dotyczących stwierdzenia braku naruszenia patentów, powództw w sprawach dotyczących środków i nakazów tymczasowych i ochronnych, powództw w sprawach dotyczących unieważnienia patentów oraz powództw wzajemnych dotyczących unieważnienia patentów). Jednolity Sąd Patentowy ma również wyłączną właściwość w odniesieniu do decyzji EPO w wykonywaniu jej zadań w zakresie jednolitego systemu ochrony patentowej.

24 Przegląd procedury PCT zawarto w Przewodniku PCT dla zgłaszających - Wprowadzenie do etapu międzynarodowego, dostępnym na stronie https://www.wipo.int/pct/en/guide/index.html, w szczególności w rozdziale 3, oraz w przewodniku dla zgłaszających: Postępowanie PCT przed EPO (Przewodnik po Euro-PCT), 16. edycja, 1 stycznia 2023 r., dostępny na stronie https://www.epo.org/en/ legal/guide-europct/2023/index.html. W odniesieniu do kategorii danych osobowych przetwarzanych przez EPO w kontekście postępowań na podstawie PCT zob. w szczególności sekcja 9 lit. a), d), h), i), j), l), m), n) i p) załącznika do decyzji Prezesa Europejskiego Urzędu Patentowego z dnia 13 grudnia 2021 r. dotyczącej przetwarzania danych osobowych w postępowaniach o udzielenie patentu i powiązanych postępowaniach (Dz.U. Europejskiego Urzędu Patentowego 2021, A98).

25 Również w tym przypadku zgłoszenie patentowe może wymagać przekazania z centralnego urzędu zajmującego się ochroną własności przemysłowej lub innego właściwego organu państwa będącego stroną PCT do EPO.

26 Art. 33 konwencji o patencie europejskim.

27 Zob. w szczególności art. 1B ust. 1 Regulaminu pracowniczego, który stanowi, że Urząd dąży do zapewnienia poszanowania praw podstawowych do prywatności i ochrony danych osobowych wszystkich osób, których dane są przetwarzane przez Urząd, oraz do zagwarantowania rozliczalności w tym względzie. Zob. w szczególności art. 1 ust. 1 ODO, który precyzuje, że przepisy ODO stanowią ramy prawne niezbędne do zapewnienia poszanowania praw podstawowych osób fizycznych do prywatności i ochrony ich danych osobowych przetwarzanych przez Urząd.

28 Zob. również art. 47 i 48 ODO.

29 Przepisy o ochronie danych osobowych (od s. 495), dostępne pod adresem https://report-archive.epo.org/files/babylon/ service_regulations_en.pdf. Przepisy ODO mają również zastosowanie do Komisji Odwoławczych Urzędu, z wyjątkiem procedury odwoławczej przed Radą Ochrony Danych, która nie ma zastosowania do przetwarzania danych osobowych przez Komisje Odwoławcze w ramach sprawowania przez nie wymiaru sprawiedliwości (art. 2 ust. 6 ODO). W odniesieniu do tych działań przepisy ODO nakładają wymóg, aby Komisje Odwoławcze ustanowiły odrębny niezależny mechanizm kontroli.

30 Przepisy Rady Administracyjnej o ochronie danych osobowych, dostępne na stronie https://link.epo.org/ac-document/CA/D%202/ 23%20-%20En.pdf. Jedyny aspekt, w odniesieniu do którego przepisy Rady Administracyjnej o ochronie danych osobowych różnią się od przepisów ODO, dotyczy dostosowań do konkretnej struktury Rady Administracyjnej, tj. zastąpienia odniesień do Prezesa odniesieniami do przewodniczącego Rady Administracyjnej. Ponadto w odniesieniu do komisji specjalnej Rady Administracyjnej przyjęto odrębne przepisy, tj. przepisy komisji specjalnej dotyczące ochrony danych osobowych. Komisja ta składa się z umawiających się państw EPO i organizacji użytkowników i została ustanowiona na mocy art. 9 ust. 2 rozporządzenia (UE) nr 1257/2012 i art. 145 konwencji o patencie europejskim w celu nadzorowania działań Urzędu w kontekście procedury jednolitego patentu. Przepisy komisji specjalnej o ochronie danych osobowych stosują przepisy Rady Administracyjnej o ochronie danych osobowych (które z kolei stosują przepisy ODO) (zob. https://link.epo.org/web/about-us/governance/SC_D_1_23_en.pdf). Również w tym przypadku przepisy komisji specjalnej o ochronie danych osobowych różnią się od przepisów Rady Administracyjnej i Urzędu jedynie poprzez odniesienie do przewodniczącego komisji (zamiast przewodniczącego Rady lub Prezesa).

31 Przepisy EPO o ochronie danych osobowych: https://www.epo.org/en/about-us/office/data-protection-and-privacy.

32 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

33 Art. 10 konwencji o patencie europejskim. Zob. również art. 1 ust. 2 lit. a) ODO.

34 https://www.epo.org/en/legal/official-journal/2021/12/a98.html. Podobną decyzję wydał przewodniczący Komisji Odwoławczych w odniesieniu do przetwarzania danych w postępowaniu odwoławczym przed Komisjami Odwoławczymi, tj. decyzję z dnia 14 lipca 2023 r. w sprawie przetwarzania danych osobowych w postępowaniu odwoławczym przed Komisjami Odwoławczymi, dostępną na stronie https://www.epo.org/en/legal/official-journal/2023/07/a73.html.

35 Decyzja z dnia 7 grudnia 2022 r. w sprawie przetwarzania danych osobowych w postępowaniach dotyczących patentów europejskich o jednolitym skutku, dostępna pod adresem https://www.epo.org/en/legal/official-journal/2022/12/a112.html.

36 https://epo.org/en/legal/official-journal/2022/12/a111.html. Zmieniona decyzją z dnia 11 maja 2023 r. (Dz.U. Europejskiego Urzędu Patentowego 2023, A57), dostępną pod adresem https://www.epo.org/en/legal/official-journal/2023/06/a57.html.

37 https://link.epo.org/web/en-decision-of-the-president-on-delegated-controllers.pdf. Niniejsza decyzja jest aktualizowana co najmniej raz w roku.

38 Okólnik 420 wdrażający art. 25 przepisów o ochronie danych, dostępny pod adresem https://link.epo.org/web/circular_420_en.pdf.

39 W odniesieniu do przetwarzania danych osobowych przez Komisje Odwoławcze w postępowaniu odwoławczym to wzajemne oddziaływanie zostało wyjaśnione w decyzji przewodniczącego Komisji Odwoławczych dotyczącej przetwarzania danych osobowych w postępowaniu odwoławczym przed Komisjami Odwoławczymi.

40 Zob. na przykład odniesienie do dokumentów operacyjnych wydanych przez IOD w art. 1 ust. 2 lit. c) ODO, które zostały zatwierdzone przez Prezesa i w związku z tym stały się wiążące.

41 Zob. art. 1 ust. 6 i art. 12 ust. 5 przepisów Rady Administracyjnej o ochronie danych osobowych.

42 Art. 2 ust. 2 ODO i art. 1 Regulaminu pracowniczego.

43 Art. 3 ust. 1 lit. a) i b) konwencji o patencie europejskim i art. 4 ust. 1 i 2 ODO.

44 Art. 1B ust. 2 Regulaminu pracowniczego i art. 2 ust. 2 i 3 ODO. Zob. także definicję "osoby, której dane dotyczą" (art. 3 ust. 1 lit. w) ODO), czyli każdej zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, niezależnie od tego, czy osoba ta jest pracownikiem Urzędu, czy też nie. Aby stwierdzić, czy dana osoba jest możliwa do zidentyfikowania, trzeba wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby, w tym wyodrębnienie wpisów dotyczących tej samej osoby, w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej.

45 To znaczy przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, zob. art. 3 ust. 1 lit. e) ODO.

46 To znaczy informacje, które nie odnoszą się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, lub dane osobowe zanonimizowane w taki sposób, że osoba, której dane dotyczą, nie jest zidentyfikowana lub jej identyfikacja nie jest już możliwa, zob. art. 3 ust. 1 lit. r) ODO. Zgodnie z art. 13 ust. 1 ODO administrator nie jest zobowiązany do przechowywania, uzyskiwania ani przetwarzania dodatkowych informacji w celu zidentyfikowania osoby wyłącznie w celu zastosowania się do przepisów ODO, jeżeli cele, dla których dane są przetwarzane, nie wymagają lub przestały wymagać identyfikacji osoby.

47 Art. 2 ust. 4 ODO. W odniesieniu do przetwarzania danych osobowych do celów archiwizacji (w ramach zgodnego z prawem sprawowania przez EPO władzy publicznej), do celów badań naukowych, historycznych lub statystycznych przepisy ODO wymagają wprowadzenia środków technicznych i organizacyjnych, między innymi aby zapewnić poszanowanie zasady minimalizacji danych, a w przypadku gdy cel przetwarzania można osiągnąć w ten sposób, przetwarzać dane tak, aby uniemożliwić identyfikację osoby fizycznej (art. 14 ODO).

48 Art. 1B ust. 3 Regulaminu pracowniczego i art. 2 ust.1 ODO. "Zbiór danych osobowych" oznacza uporządkowany zestaw danych osobowych dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw ten jest scentralizowany, zdecentralizowany czy rozproszony funkcjonalnie lub geograficznie (zob. art. 3 ust. 1 lit. f) ODO).

49 Art. 3 ust. 1 lit. g) ODO. W niniejszej decyzji termin "administrator" odnosi się albo do samej EPO, albo do delegowanych administratorów.

50 Art. 10 ust. 2 konwencji o patencie europejskim i art. 28 ust. 1 ODO.

51 Art. 28 ust. 2 ODO. Wynika to w szczególności z przekazania uprawnień przez Prezesa Urzędu, zob. https://www.epo.org/en/legal/ official-journal/2021/etc/se1/p175.html. W odniesieniu do innych działań (gdy Komisje Odwoławcze nie działają w ramach sprawowania wymiaru sprawiedliwości) ich przewodniczący pełni funkcję delegowanego administratora w imieniu Prezesa Urzędu.

52 Zob. art. 1 ust. 4 i 5 przepisów Rady Administracyjnej o ochronie danych i art. 13a ust. 2 regulaminu komisji specjalnej.

53 Art. 28 ust. 3 ODO.

54 Art. 3 ust. 1 lit. h) ODO. Osoba reprezentująca jednostkę operacyjną musi być kierownikiem wyższego szczebla, zwykle co najmniej głównym dyrektorem. Wykaz delegowanych administratorów jest podawany do wiadomości publicznej (zob. np. https://link.epo.org/ web/en-decision-of-the-president-on-delegated-controllers.pdf and https://link.epo.org/web/decision_of_the_president_of_the_board s_of_appeal_appointing_a_delegated_controller_en.pdf) i jest regularnie aktualizowany.

55 W niniejszej decyzji odniesienie do "administratora", obejmuje odpowiednich delegowanych administratorów.

56 W takim przypadku art. 29 ODO zobowiązuje (delegowanego) administratora do określenia w przejrzysty sposób odpowiedzialności obu stron w zakresie wypełniania obowiązków w obszarze ochrony danych, w szczególności w odniesieniu do wykonywania praw osób i obowiązków w zakresie przejrzystości.

57 Art. 3 ust. 1 lit. j) ODO.

58 Art. 30 ust. 1 ODO.

59 Art. 30 ust. 3 ODO.

60 Art. 30 ust. 2-3 ODO. Podmiot przetwarzający zatrudniający podwykonawcę przetwarzania jest (umownie) zobowiązany do nałożenia na tego podwykonawcę takich samych obowiązków w zakresie ochrony danych jak obowiązki przewidziane w umowie między administratorem a podmiotem przetwarzającym (art. 30 ust. 4 ODO).

61 Załącznik E do ogólnych warunków umowy między wykonawcą i EPO, https://link.epo.org/web/ general_conditions_of_contract_en.pdf.

62 Zob. art. 8 ust. 1, 2 i 5 w związku z art.9 ust. 1 ODO.

63 Odnosi się to do zadań wykonywanych na podstawie konwencji o patencie europejskim i PCT lub przepisów przyjętych na tej podstawie (np. Regulamin pracowniczy), które są niezbędne do wykonywania zadań EPO w ramach procedury udzielania patentów. Zob. również pkt 5 ust. 1 załącznika do decyzji z dnia 13 grudnia 2021 r. i odpowiednie przepisy konwencji o patencie europejskim, takie jak jej część IV i V. Przy wykonywaniu swoich zadań w kontekście procedury udzielania patentów EPO przetwarza dane osobowe na potrzeby rozpatrywania zgłoszeń i patentów; prowadzenia postępowania sprzeciwowego; komunikowania się ze stronami postępowania (oraz, w stosownych przypadkach, z osobami trzecimi); prowadzenia Europejskiego Rejestru Patentowego; sporządzania sprawozdań i statystyk oraz wymiany danych z umawiającymi się państwami i Światową Organizacją Własności Intelektualnej (pkt 6 załącznika do decyzji z dnia 13 grudnia 2021 r.).

64 Obejmuje to zadania powierzone Prezesowi Urzędu w celu zapewnienia skutecznego funkcjonowania Urzędu i zarządzania nim. Zob. np. art. 10 konwencji o patencie europejskim, w którym opisano zadania Prezesa w odniesieniu do personelu, (dostępu do) budynków i zarządzania sprzętem. Podejście to jest zgodne z art. 5 ust. 1 lit. a) i motywem 22 rozporządzenia (UE) 2018/1725. Obejmuje to również zadania Rady Administracyjnej określone w konwencji o patencie europejskim, na przykład ustanawianie Regulaminu systemu emerytalnego i Regulaminu finansowego, zob. art. 33 konwencji o patencie europejskim, zasady 9 ust. 2, 12 lit. c) i 122 ust. 4 Regulaminu wykonawczego do konwencji o patencie europejskim. Jeżeli chodzi o komisję specjalną, obejmuje to zadania nadzorowania, o których mowa w art. 145 konwencji o patencie europejskim. Wreszcie w odniesieniu do Komisji Odwoławczych obejmuje to na przykład ich odpowiedzialność za rozpatrywanie odwołań od decyzji innych sekcji i wydziałów Urzędu, zob. art. 21 ust. 1 konwencji o patencie europejskim.

65 Zob. na przykład zasada 20 Regulaminu wykonawczego do konwencji o patencie europejskim.

66 Art. 3 ust. 1 lit. m) ODO. Zob. również art. 7 ust. 2 ODO.

67 Art. 7 ust. 1 ODO.

68 Art. 7 ust. 1, 5, 6 i 7 ODO.

69 Art. 7 ust. 4 ODO.

70 Art. 7 ust. 4 ODO.

71 Art. 7 ust. 5 ODO.

72 Zob. na przykład art. 11 ODO.

73 Zdefiniowane jako dane osobowe dotyczące odziedziczonych lub nabytych cech genetycznych osoby fizycznej, które ujawniają niepowtarzalne informacje o fizjologii lub zdrowiu tej osoby i które wynikają w szczególności z analizy próbki biologicznej pochodzącej od tej osoby fizycznej, zob. art. 3 ust. 1 lit. o) ODO.

74 Zdefiniowane jako dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby fizycznej, takie jak wizerunek twarzy lub dane daktyloskopijne, zob. art. 3 ust. 1 lit. p) ODO.

75 Zdefiniowane jako dane osobowe dotyczące zdrowia fizycznego lub psychicznego osoby fizycznej, w tym korzystania z usług opieki zdrowotnej, ujawniające informacje o stanie zdrowia tej osoby, zob. art. 3 ust. 1 lit. q) ODO.

76 Art. 11 ust. 1 ODO.

77 Art. 11 ust. 1 i 2 ODO.

78 Przepisy ODO pozwalają również na przetwarzanie szczególnych kategorii danych w konkretnych sytuacjach, które dotyczą głównie pracowników EPO, a zatem są mniej istotne w przypadku danych przekazywanych na podstawie niniejszej decyzji. W szczególności można przetwarzać szczególne kategorie danych, jeżeli zezwala na to prawnie wiążący przepis mający zastosowanie do Europejskiej Organizacji Patentowej (np. konwencja o patencie europejskim i instrumenty przyjęte przez Radę Administracyjną i Prezesa, zob. art. 3 ust. 1 lit. y) ODO), który przewiduje odpowiednie zabezpieczenia podstawowych praw i interesów osoby, której dane dotyczą (art. 11 ust. 2 lit. b) ODO), i jest niezbędny do wypełniania obowiązków i wykonywania szczególnych praw administratora lub osoby, której dane dotyczą, w dziedzinie prawa pracy i zabezpieczenia społecznego. Przetwarzanie może również mieć miejsce, jeżeli jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego (takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej, na podstawie prawa krajowego, które przewiduje odpowiednie i konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową, zob. art. 11 ust. 2 lit. g) ODO). Ponadto przetwarzanie może być wymagane w przypadku medycyny prewencyjnej lub medycyny pracy, oceny zdolności pracownika do pracy, diagnozy medycznej, świadczenia opieki zdrowotnej lub społecznej lub leczenia, zarządzania systemami i usługami opieki zdrowotnej lub społecznej lub badań i opinii medycznych, w przypadku gdy dane te są przetwarzane przez pracownika służby zdrowia podlegającego obowiązkowi zachowania tajemnicy zawodowej lub przez inną osobę podlegającą równoważnemu obowiązkowi zachowania tajemnicy (art. 11 ust. 3 ODO).

79 Na przykład w kontekście odwołań od udzielonego patentu dane szczególnie chronione mogą być zawarte w zeznaniach świadków lub przedłożonych dowodach. Przetwarzanie na podstawie tego przepisu może mieć również miejsce, jeżeli jest ono niezbędne do zarządzania Urzędem i jego funkcjonowania oraz do wypełniania zobowiązań wynikających ze spoczywającego na EPO obowiązku współpracy z umawiającymi się państwami (np. konieczność przetwarzania informacji zdrowotnych personelu lub odwiedzających zgodnie z wymogami nałożonymi przez organy ds. zdrowia publicznego państwa przyjmującego EPO). W każdym razie instrument prawny będący podstawą przetwarzania musi być proporcjonalny do zamierzonego celu, szanować istotę prawa do ochrony danych i przewidywać odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą (art. 11 ust. 2 lit. f) ODO).

80 Art. 12 ODO. Do ewentualnych sytuacji, w których takie dane byłyby przetwarzane, należy postępowanie dyscyplinarne dotyczące rzeczników patentowych prowadzone przed Komisją Dyscyplinarną EPO (zob. na przykład pkt A.7 załącznika do decyzji z dnia 13 grudnia 2021 r.).

81 Art. 6 ust. 2 ODO.

82 Na przykład bezpieczeństwo EPO; zapobieganie przestępstwom, dochodzenie, wykrywanie i karanie przestępstw; prawa i wolności innych osób (zob. art. 25 ust. 1 ODO).

83 Art. 6 ust. 3 ODO.

84 W szczególności wszelkie powiązania między celem gromadzenia a celem zamierzonego dalszego przetwarzania; kontekst, w którym zgromadzono dane; charakter danych oraz ewentualne konsekwencje dalszego przetwarzania danych dla osób, zob. art. 6 ust. 3 ODO.

85 "Naruszenie ochrony danych" oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych, zob. art. 3 ust. 1 lit. n) ODO.

86 Art. 34 ust. 1 ODO.

87 Art. 34 ust. 2 ODO.

88 Art. 34 ust. 1 i 3 ODO.

89 Art. 34 ust. 6 ODO.

90 Art. 34 ust. 6 ODO.

91 Art. 34 ust. 8 ODO.

92 Art. 16 ust. 1-2 ODO.

93 Art. 16 ust. 3 ODO.

94 Art. 16 ust. 4 ODO.

95 Art. 17 ust. 1 i 2 ODO.

96 Art. 17 ust. 3 lit. a) ODO.

97 Art. 17 ust. 3 lit. b) ODO.

98 Art. 17 ust. 3 lit. c) i art. 17 ust. 4 ODO. Art. 3 ust. 1 lit. l) ODO definiuje osobę trzecią jako osobę fizyczną lub prawną, władzę publiczną, agencję lub organ niebędący osobą, której dane dotyczą, ani administratorem, ani przetwarzającym, ani jedną z osób, które pod bezpośrednim zwierzchnictwem administratora lub przetwarzającego upoważnione są do przetwarzania danych osobowych.

99 Art. 17 ust. 4 ODO. Takie wymogi poufności mają zastosowanie na przykład w kontekście przetwarzania danych osobowych pracowników przez służbę medyczną EPO (w tym przypadku lekarze, których to dotyczy. mogą podlegać obowiązkowi zachowania tajemnicy zawodowej, zob. np. art. 11 ust. 3 ODO i przepisy wykonawcze do art. 83a, 84 i 84a Regulaminu pracowniczego, lit. E) lub w kontekście rekrutacji (sekcja 6 załącznika II - Konkursy na stanowiska, w przypadku których Prezes jest organem powołującym).

100 Mowa o przypadkach, gdy w konwencji o patencie europejskim lub instrumentach prawnych przyjętych na jej podstawie szczegółowo określono informacje, które mają być ujawniane osobom fizycznym lub opinii publicznej. Więcej szczegółów na ten temat podano w sekcji 1.4.6.7 poniżej.

101 Art. 15 ust. 1 ODO.

102 Art. 15 ust. 2 ODO.

103 Art. 15 ust. 4 ODO. Ponadto w art. 13 ust. 2 ODO wyjaśniono, że jeżeli administrator potrafi wykazać, że nie jest w stanie zidentyfikować osoby, której dane dotyczą, przepisy dotyczące praw indywidualnych nie mają zastosowania (chyba że osoba, której dane dotyczą, przekaże dodatkowe informacje umożliwiające jej identyfikację).

104 Art. 15 ust. 3 ODO.

105 W szczególności administrator musi dostarczyć w zrozumiałej formie kopię danych podlegających przetwarzaniu oraz wszystkich dostępnych informacji (jakichkolwiek, niezależnie od ich charakteru (obiektywnego lub subiektywnego), treści (w tym wszelkiego rodzaju podejmowanych działań) lub formatu (pliki papierowe, zapisy komputerowe, e-maile)), zob. art. 18 ust. 3 ODO. Jednocześnie prawo do uzyskania kopii danych nie może naruszać praw i wolności innych osób (art. 18 ust. 5 ODO).

106 Art. 18 ust. 1 ODO.

107 Art. 18 ust. 2-3 ODO.

108 Art. 19 ust. 1 ODO.

109 Art. 19 ust. 3 ODO. Jeżeli osoba, której dane dotyczą, o to wystąpi, administrator musi poinformować ją o tych odbiorcach.

110 Interpretacja ta została przyjęta zgodnie z Wytycznymi EIOD w sprawie praw osób fizycznych w odniesieniu do przetwarzania danych osobowych. https://www.edps.europa.eu/sites/default/files/publication/14-02-25_gl_ds_rights_en.pdf Zob. w szczególności s. 18, wytyczne dotyczące prawa do sprostowania odnoszące się do "obiektywnych i faktycznych danych" oraz "subiektywnych oświadczeń".

111 Art. 19 ust. 2 ODO.

112 Usunięcie danych definiuje się jako usunięcie przechowywanych danych w taki sposób, aby nie było możliwe ich odtworzenie (art. 3 ust. 1 lit. v) ODO). Odniesienie do przechowywanych danych obejmuje wszystkie dane gromadzone i przechowywane przez administratora (oraz wszelkie osoby trzecie w imieniu administratora).

113 Art. 20 ust. 1 ODO.

114 Art. 20 ust. 4 ODO.

115 Art. 20 ust. 2 ODO.

116 Zgodnie z art. 20 protokołu EPO w sprawie przywilejów i immunitetów EPO może być zobowiązana do przekazywania danych osobowych umawiającym się państwom w kontekście postępowań administracyjnych lub sądowych, na przykład dotyczących obliczania i przenoszenia uprawnień emerytalnych pracowników, dochodzeń podatkowych lub postępowań cywilnych dotyczących pracowników EPO.

117 Odnosi się to do sytuacji, w których EPO jest zobowiązana na mocy konwencji o patencie europejskim, PCT lub instrumentów prawnych przyjętych na tej podstawie do przetwarzania danych osobowych w związku z procedurą udzielania patentu (np. przechowywanie informacji w Europejskim Rejestrze Patentowym i Europejskim Biuletynie Patentowym na podstawie art. 127 i 129 konwencji o patencie europejskim).

118 Przetwarzanie danych dotyczących zdrowia ze względu na interes publiczny w dziedzinie zdrowia publicznego musi odbywać się zgodnie z art. 11 ust. 2 lit. g) ODO.

119 Art. 20 ust. 3 ODO.

120 Art. 3 ust. 1 lit. c) ODO.

121 Art. 21 ust. 1 ODO.

122 Art. 21 ust. 2 ODO.

123 Jeżeli EPO jest prawnie zobowiązana do przetwarzania danych osobowych w ramach procedury udzielania patentu, tj. na podstawie konwencji o patencie europejskim i PCT, osoby fizyczne nie mogą sprzeciwić się przetwarzaniu danych, zob. pkt 28 załącznika do decyzji z dnia 13 grudnia 2021 r. Jeżeli dane osobowe przetwarzane są do celów badań naukowych, historycznych lub statystycznych, osoby, których dane dotyczą, mają prawo sprzeciwić się takiemu przetwarzaniu z przyczyn związanych z ich szczególną sytuacją, chyba że przetwarzanie jest niezbędne do wykonania zadania realizowanego w ramach zgodnego z prawem sprawowania władzy publicznej powierzonej administratorowi, co obejmuje przetwarzanie niezbędne do zarządzania Urzędem i jego funkcjonowania (art. 23 ust. 4 ODO).

124 Art. 23 ust. 2 ODO.

125 Art. 23 ust. 1 ODO.

126 Art. 22 ust. 1 ODO.

127 Ponieważ przetwarzanie danych osobowych w ramach procedury udzielania patentów nie opiera się na żadnej z tych podstaw, w takim kontekście prawo do przenoszenia danych nie ma zastosowania, zob. pkt 29-30 załącznika do decyzji z dnia 13 grudnia 2021 r.

128 Art. 24 ust. 1 ODO. Profilowanie zdefiniowane w art. 3 ust. 1 lit. d) ODO oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się.

129 Art. 24 ust. 3 ODO.

130 Art. 24 ust. 2 lit. b) ODO.

131 Zob. art. 16 ust. 2 lit. f) oraz art. 17 ust. 2 lit. f) ODO.

132 Art. 18 ust. 1 lit. h) ODO.

133 Z wyjątkiem prawa sprzeciwu, w odniesieniu do którego okólnik 420 nie przewiduje żadnych ograniczeń, zob. art. 3 ust. 3. Ponadto na podstawie art. 9 okólnika 420 EPO może ograniczyć zawiadomienie osoby fizycznej o naruszeniu ochrony danych.

134 Zob. definicja ograniczeń w art. 2 okólnika 420.

135 Nie można uzasadnić ograniczeń, które są tak daleko idące i inwazyjne, że w efekcie pozbawiają prawo podstawowe jego istoty i uniemożliwiają korzystanie z tego prawa, zob. art. 4 ust. 3 okólnika nr 420.

136 Takimi celami są: bezpieczeństwo EPO, bezpieczeństwo publiczne lub obrona umawiających się państw; zapobieganie przestępczości, prowadzenie postępowań, wykrywanie i ściganie przestępstw lub wykonywanie kar, w tym ochrona przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganie takim zagrożeniom; inne istotne interesy EPO związane z jej podstawową misją lub wynikające z obowiązku współpracy z umawiającymi się państwami, w tym kwestie pieniężne, budżetowe i podatkowe, zdrowie publiczne i zabezpieczenie społeczne; bezpieczeństwo wewnętrzne Urzędu, w tym jego sieci łączności elektronicznej; ochrona niezawisłości sądowej i quasi-sądowej oraz postępowań sądowych i quasi-sądowych; zapobieganie naruszeniom zasad etyki w zawodach regulowanych, prowadzenie postępowań w ich sprawie, ich wykrywanie oraz karanie za nie; funkcja kontrolna, inspekcyjna lub regulacyjna związana, nawet sporadycznie, z wykonywaniem władzy publicznej; ochrona osoby, której dane dotyczą, lub praw i wolności innych osób oraz egzekucja roszczeń cywilnoprawnych (art. 25 ust. 1 ODO).

137 Art. 25 ust. 3 ODO.

138 Art. 25 ust. 2 ODO.

139 Art. 1 okólnika 420.

140 Art. 4 ust. 1 lit. a)-b) okólnika 420.

141 Dotyczy to wyłącznie przetwarzania danych dotyczących zdrowia pracowników EPO (i nie jest bezpośrednio istotne do celów ustalenia dotyczącego stwierdzenia odpowiedniego stopnia ochrony, które dotyczy przetwarzania danych przekazanych przez administratora lub podmiot przetwarzający, podlegających RODO). W art. 8 okólnika 420 doprecyzowano, w jaki sposób można stosować ograniczenia prawa dostępu do danych medycznych/dokumentacji medycznej. W szczególności uściślono, że takie ograniczenie może być stosowane wyłącznie do prawa do bezpośredniego dostępu do ich danych osobowych medycznych lub dokumentacji o charakterze psychologicznym lub psychiatrycznym, które są przetwarzane przez Urząd, ale tylko wówczas, gdy dostęp do tych danych może negatywnie wpłynąć na życie i zdrowie oraz stanowić bezpośrednie zagrożenie dla życia i zdrowia osoby, której dane dotyczą, lub innych osób.

142 Art. 4 ust. 1 okólnika 420. Przepis ten dotyczy zasadniczo wyłącznie danych osobowych pracowników EPO. Odnosi się on do przypadków, w których EPO jest zobowiązana do współpracy z organami krajowymi umawiających się państw na podstawie art. 131 konwencji o patencie europejskim (który reguluje współpracę między EPO a sądami krajowymi umawiających się państw w dochodzeniach/postępowaniach dotyczących udzielania patentów) oraz na podstawie art. 20 ust. 1 protokołu w sprawie przywilejów i immunitetów dołączonego do tej konwencji (zob. również ust. 95). Może tak być na przykład w przypadku, gdy pracownicy EPO są wezwani do złożenia zeznań przed sądem krajowym umawiającego się państwa w kontekście krajowego postępowania karnego lub gdy EPO jest proszona o udzielenie informacji na temat wynagrodzenia swoich pracowników w postępowaniu cywilnym (prawo rodzinne) itp.

143 Art. 2 okólnika 420.

144 Art. 25 ust. 3 lit. a) ODO. Zob. również art. 6 okólnika 420.

145 Art. 5 ust. 5 okólnika 420.

146 Art. 4 ust. 4 okólnika 420. Dokumentacja ta musi być udostępniana ROD na żądanie (art. 4 ust. 7 okólnika 420).

147 Środki te muszą obejmować na przykład bezpieczne przechowywanie, bezpieczne środowisko elektroniczne, które zapobiega bezprawnemu i przypadkowemu dostępowi do danych elektronicznych lub ich przekazywaniu osobom nieupoważnionym, oraz monitorowanie ograniczeń i okresowy przegląd ich stosowania, zob. art. 5 ust. 2 okólnika 420.

148 Art. 4 ust. 5 i art. 5 ust. 3 okólnika 420.

149 Art. 25 ust. 3 lit. b) ODO. Można wstrzymać przekazanie tych informacji, odmówić ich przekazania lub je pominąć, jeżeli informacje te unieważniłyby skutek ograniczenia, zob. art. 25 ust. 4 ODO. To dalsze ograniczenie może być stosowane wyłącznie w należycie uzasadnionych przypadkach oraz tak długo, jak jest to konieczne i proporcjonalne (art. 7 ust. 4 okólnika 420). Uzasadnienie takiego ograniczenia musi być regularnie poddawane ponownej ocenie. Oprócz szczególnego wymogu informowania osób fizycznych o ograniczeniu ich praw, EPO musi podać w swoim intranecie lub na swojej stronie internetowej ogólne informacje na temat działań, które mogą wiązać się z ograniczeniem praw (art. 7 ust. 1 okólnika 420).

150 Art. 2 okólnika 420 (przepisy prawne EPO).

151 Art. 1 decyzji z dnia 13 grudnia 2021 r. i załącznik do niej.

152 Art. 2 okólnika 420.

153 Pkt C.13 i C.14 załącznika do decyzji z dnia 13 grudnia 2021 r. oraz art. 128 konwencji o patencie europejskim. Niektóre części dokumentacji są wykluczone z wglądu do akt zgodnie z art. 128 ust. 4 i zasadą 144 Regulaminu wykonawczego do konwencji o patencie europejskim oraz z decyzją Prezesa EPO z dnia 12 lipca 2007 r. dotyczącą dokumentów wyłączonych z wglądu do akt (wydanie specjalne nr 3, Dz.U. EPO 2007, J.3). Są to następujące części dokumentacji: dokumenty dotyczące wykluczenia lub zastrzeżeń członków Komisji Odwoławczych lub Rozszerzonej Komisji Odwoławczej; projekty decyzji i ogłoszeń oraz wszelkie inne dokumenty wykorzystywane do przygotowania decyzji i ogłoszeń, które nie są przekazywane stronom; wskazanie twórcy, jeżeli zrezygnował on z prawa do bycia wymienionym, oraz wszelkie inne dokumenty wyłączone z wglądu przez Prezesa Europejskiego Urzędu Patentowego ze względu na to, że wgląd w te dokumenty nie służyłby informowaniu opinii publicznej o europejskim zgłoszeniu patentowym lub o patencie europejskim, takie jak: orzeczenia lekarskie; wnioski o wyłączenie z wglądu do akt i powiązana korespondencja; informacje, których publikacja byłaby szkodliwa dla uzasadnionych interesów osobistych lub gospodarczych i nie obejmowałaby informacji mających znaczenie dla procedury zgłoszenia, patentu lub jego udzielenia.

154 Zob. art. 3 decyzji Prezesa EPO z dnia 20 lutego 2019 r. w sprawie wglądu do akt online dokumentów znajdujących się w posiadaniu EPO jako urzędu przyjmującego, Międzynarodowego Organu Poszukiwań lub organu wyznaczonego do wyszukiwania uzupełniającego (Dz.U. Europejskiego Urzędu Patentowego 2019, A17). Zob. w tym względzie art. 30 PCT w odniesieniu do publicznego dostępu do akt, a także zasady 94 i 48 PCT. EPO powołuje się na te przepisy, gdy działa jako właściwy urząd lub organ na mocy PCT zgodnie z art. 151-153 konwencji o patencie europejskim.

155 Korekta lub sprostowanie na podstawie tych przepisów może skutkować aktualizacją wpisów w Europejskim Rejestrze Patentowym i Europejskim Biuletynie Patentowym oraz publikacji zgłoszenia lub patentu. Nie zmieni jednak z mocą wsteczną treści akt (które będą nadal zawierać wszystkie dokumenty złożone przez strony oraz komunikaty i decyzje EPO). Korekta lub sprostowanie nie doprowadzi również do wycofania ani usunięcia wcześniejszych publikacji (pkt C.19 załącznika do decyzji z dnia 13 grudnia 2021 r.). Ma to również zastosowanie na podstawie art. 19 i 34 PCT, gdy EPO działa jako właściwy organ/urząd na podstawie art. 151-153 konwencji o patencie europejskim.

156 Art. 139 Regulaminu wykonawczego do konwencji o patencie europejskim.

157 Art. 140 Regulaminu wykonawczego do konwencji o patencie europejskim. W decyzjach EPO mogą być poprawiane jedynie błędy językowe, błędy pisarskie oraz oczywiste pomyłki.

158 Art. 14 ust. 2 zdanie drugie konwencji o patencie europejskim.

159 Art. 21 Regulaminu wykonawczego do konwencji o patencie europejskim. Nieprawidłowe wskazanie twórcy może zostać sprostowane na wniosek i wyłącznie za zgodą błędnie wskazanej osoby, a w przypadku gdy taki wniosek został złożony przez osobę trzecią - za zgodą zgłaszającego lub właściciela patentu.

160 Pkt C.25 załącznika do decyzji z dnia 13 grudnia 2021 r.

161 Pkt C.22-C.23 załącznika do decyzji z dnia 13 grudnia 2021 r.

162 Art. 129 konwencji o patencie europejskim.

163 Zasada 147 pkt 4 i 5 Regulaminu wykonawczego do konwencji o patencie europejskim.

164 Art. 3 ust. 1 lit. s) i t) ODO.

165 Art. 8 ust. 2 ODO.

166 Zob. w szczególności art. 130, 131 i 135 konwencji o patencie europejskim, a także odpowiednie zasady Regulaminu wykonawczego do konwencji o patencie europejskim (np. R 148-150). Zob. również art. 12, 18, 20 i 36 PCT, a także zasady 22, 23, 23 bis, 44, 47 i 71 Regulaminu wykonawczego.

167 Na przykład organ krajowy lub lokalny, a także inny podmiot prawa publicznego, taki jak szpital lub uniwersytet.

168 Art. 8 ust. 1 ODO.

169 Przegląd wymogów zawartych we wzorach klauzul ochrony danych EPO na potrzeby protokołów ustaleń, dostępny na stronie internetowej: https://link.epo.org/web/office/data-protection-and-privacy/en-outline-of-the-template-data-protection-clause-for- mous.pdf.

170 Art. 8 ust. 3 ODO.

171 Art. 8 ust. 4 ODO.

172 Nota wyjaśniająca "EPO - przesyłanie i przekazywanie danych osobowych" (nota dot. przesyłania i przekazywania), dostępna pod adresem https://link.epo.org/web/office/data-protection-and-privacy/en-explanatory-note-on-epo-transmission-and-transfer-of- personal-data.pdf, s. 4. Zob. w szczególności przepisy ODO Europejskiego Urzędu Patentowego [...] określające ogólną zasadę odpowiedniej ochrony, zwłaszcza mającą zastosowanie do międzynarodowego strumienia danych.

173 Nota dot. przesyłania i przekazywania, o której mowa w przypisie 12.

174 Art. 8 ust. 3 ODO.

175 Art. 8 ust. 1, 2 i 5 ODO.

176 Art. 9 ust. 1 ODO.

177 Art. 9 ust. 1 ODO.

178 Nota dot. przesyłania i przekazywania, s. 11 i przypis 8. "Państwo trzecie" zdefiniowano w przepisach ODO jako państwo, które nie jest umawiającym się państwem konwencji o patencie europejskim, zob. art. 3 ust. 1 lit. u) ODO.

179 Art. 9 ust. 2 ODO.

180 Zob. art. 1 ust. 2 lit. a) ODO w związku z art. 10 ust. 2 lit. a) konwencji o patencie europejskim i art. 9 ust. 2 ODO.

181 Art. 9 ust. 3 ODO.

182 Opis kryteriów odpowiedniego stopnia ochrony EPO dostępny na stronie internetowej: https://link.epo.org/web/office/data- protection-and-privacy/en-outline-of-the-adequacy-referential-methodology.pdf.

183 Przypis 49 noty dot. przesyłania i przekazywania.

184 Z wyjątkiem ram ochrony danych UE-USA.

185 Zob. decyzja Prezesa Europejskiego Urzędu Patentowego z dnia 17 listopada 2022 r. w sprawie państw i podmiotów uznanych za zapewniające odpowiednią ochronę danych osobowych, dostępna pod adresem https://www.epo.org/en/legal/official-journal/2022/ 12/a111.html.

186 Art. 9 ust. 4 i 5 ODO.

187 W tym względzie wytyczne IOD powołują się na standardowe klauzule umowne przyjęte przez Komisję Europejską jako zapewniające dobry przegląd zabezpieczeń, które należy uwzględnić, zob. nota dot. przesyłania i przekazywania danych, s. 8.

188 Art. 9 ust. 5 ODO. Zob. również nota dot. przesyłania i przekazywania danych, s. 8.

189 Przegląd wymogów zawartych we wzorach porozumień administracyjnych EPO, dostępny na stronie internetowej: https://link.epo. org/web/office/data-protection-and-privacy/en-outline-of-the-epo's-administrative-arrangements-modules.pdf.

190 Załącznik E do ogólnych warunków umowy między wykonawcą i EPO, dostępny pod adresem: https://link.epo.org/web/ general_conditions_of_contract_en.pdf.

191 Nota dot. przesyłania i przekazywania, s. 9.

192 Nota dot. przesyłania i przekazywania, s. 9.

193 Art. 9 ust. 6 ODO. W przypadku gdy istnieje jakikolwiek powód, aby przypuszczać, że uzasadniony interes osoby, której dane dotyczą, mógłby zostać naruszony, administrator - po wyważeniu różnych wchodzących w grę interesów - musi stwierdzić, że przekazanie w tym konkretnym celu jest proporcjonalne.

194 Art. 9 ust. 6 ODO.

195 Art. 9 ust. 6 ODO.

196 Zob. art. 10 ODO, a także nota dot. przesyłania i przekazywania, s. 9-11.

197 Art. 10 ust. 1 lit. a) ODO. W takim przypadku należy poinformować daną osobę o możliwym ryzyku wynikającym z braku odpowiedniego poziomu ochrony i właściwych zabezpieczeń. EPO nie może powoływać się na to odstępstwo przy wykonywaniu czynności urzędowych (art. 10 ust. 2 ODO).

198 Art. 10 ust. 1 lit. b)-c) i art. 10 ust. 2 ODO. EPO nie może powoływać się na te odstępstwa przy wykonywaniu czynności urzędowych (art. 10 ust. 2 ODO).

199 Art. 10 ust. 1 lit. d) ODO. Takie czynności urzędowe lub władza publiczna muszą być ustanowione na podstawie konwencji o patencie europejskim lub innych mających zastosowanie przepisów prawnych Europejskiej Organizacji Patentowej (art. 10 ust. 4 ODO). Obejmuje to przetwarzanie niezbędne do zarządzania Urzędem i jego funkcjonowania lub do wypełniania zobowiązań wynikających z obowiązku współpracy EPO z umawiającymi się państwami. Przekazywanie danych może mieć miejsce na przykład w celu wypełnienia zobowiązań, na przykład między Urzędem a organami krajowymi, administracjami podatkowymi lub celnymi, organami nadzoru finansowego i służbami właściwymi w sprawach zabezpieczenia społecznego lub zdrowia publicznego, na przykład w przypadku ustalania kontaktów zakaźnych w przypadku chorób zaraźliwych (art. 10 ust. 6 ODO).

200 Art. 10 ust. 1 lit. e) i art. 10 ust. 2 ODO.

201 Art. 10 ust. 1 lit. f) ODO.

202 Art. 10 ust. 1 lit. g) ODO. Takie przekazanie danych nie może obejmować całości danych osobowych lub całych kategorii danych z rejestru, chyba że zezwalają na to przepisy prawne Europejskiej Organizacji Patentowej, a jeżeli rejestr jest przeznaczony do wglądu dla osób mających prawnie uzasadniony interes, przekazanie danych powinno nastąpić wyłącznie na żądanie tych osób lub, jeżeli osoby te mają być odbiorcami, przy pełnym uwzględnieniu interesów i praw podstawowych osoby, której dane dotyczą (art. 10 ust. 2 i 5 ODO).

203 Nota dot. przesyłania i przekazywania, s. 10.

204 Które to powody, jak wspomniano powyżej, obejmują przetwarzanie niezbędne do zarządzania Urzędem i jego funkcjonowania lub wypełnianie zobowiązań wynikających z obowiązku współpracy z umawiającymi się państwami. Zob. art. 10 ust. 6 ODO.

205 Art. 26 ust. 1 ODO.

206 Art. 27 ust. 1 i 2 ODO.

207 Art. 32 ust. 1 i 2 ODO. Zgodnie z art. 4 ust. 1 ODO administrator musi stosować "usystematyzowane i oparte na analizie ryzyka podejście do projektowania i dokumentowania operacji przetwarzania". Administrator musi również być w stanie w dowolnym momencie wykazać wobec osób, których dane dotyczą, że przy przeprowadzaniu operacji przetwarzania przestrzegane są udokumentowane zobowiązania i warunki.

208 Art. 32 ust. 4, 5 i 6 ODO.

209 Art. 45 ODO.

210 Art. 26 ust. 3 ODO.

211 Administrator musi zasięgnąć porady IOD w sprawie konieczności przeprowadzenia oceny skutków, a IOD w razie wątpliwości może z kolei skonsultować się z ROD. Zob. art. 38 ust. 1-2 ODO.

212 Art. 38 ust. 4 ODO.

213 Art. 38 ust. 6 ODO.

214 Art. 38 ust. 7 i 8 oraz art. 39 ODO.

215 Art. 40 ust. 2 ODO.

216 Art. 32A ust. 1-2 Regulaminu pracowniczego, który stanowi, że rolą IOD jest monitorowanie stosowania przepisów dotyczących ochrony danych osobowych, doradzanie różnym jednostkom operacyjnym EPO w wypełnianiu ich obowiązków oraz dostarczanie im dokumentacji operacyjnej niezbędnej do praktycznego przestrzegania wymogów ochrony danych. ROD jest zobowiązana do zapewnienia "niezależnego, skutecznego i bezstronnego nadzoru nad przepisami mającymi zastosowanie do ochrony danych osobowych". Może istnieć inny niezależny mechanizm nadzoru w celu nadzorowania przestrzegania przepisów przez Komisje Odwoławcze podczas przetwarzania danych osobowych w ramach sprawowania przez nie wymiaru sprawiedliwości (zob. również art. 2 ust. 6 ODO).

217 Art. 32A ust. 4 i 5 Regulaminu pracowniczego.

218 Art. 41 ODO.

219 Art. 42 ust. 8 ODO. Takie konsultacje mają miejsce niezależnie od podstaw bądź powodu wszelkiego proponowanego usunięcia lub odwołania.

220 Art. 50 Regulaminu pracowniczego.

221 Zobacz art. 53 ust. 1 Regulaminu pracowniczego, który stanowi, że "[o]rgan powołujący może podjąć decyzję o zakończeniu służby pracownika: a) jeżeli umawiające się państwo, którego obywatelem jest pracownik, przestaje być stroną konwencji; b) jeżeli pracownik odmawia przeniesienia do państwa innego niż to, w którym pracuje; c) jeżeli, w przypadku pracownika powołanego przez Radę Administracyjną zgodnie z art. 11 ust. 1 i 2 konwencji, Rada Administracyjna podejmie taką decyzję w interesie EPO; d) jeżeli nieprzerwanie pracował on przez okres jednego roku lub krócej na podstawie umowy na czas określony; e) jeżeli w wyniku własnych działań przestaje on spełniać warunki określone w art. 8 lit. a) lub b) [to znaczy być obywatelem jednego z umawiających się państw EPO, chyba że organ powołujący zezwoli na wyjątek, i korzystać z pełni praw obywatelskich] lub f) w innych przypadkach wyraźnie przewidzianych w niniejszym Regulaminie pracowniczym".

222 Art. 52 Regulaminu pracowniczego przewiduje kryteria i procesy, które należy zastosować i przeprowadzić w razie stwierdzenia "nienależytego wykonywania obowiązków".

223 Art. 94 Regulaminu pracowniczego.

224 Art. 42 ust. 3 ODO. Chociaż IOD może również wykonywać inne zadania, takie zadania nie mogą powodować konfliktu interesów (art. 42 ust. 6 ODO).

225 Art. 42 ust. 1 i 3 ODO.

226 Art. 42 ust. 2 ODO.

227 Art. 48 ust. 1 ODO.

228 Art. 48 ust. 1 i 3 ODO.

229 Art. 48 ust. 2 ODO.

230 Art. 1 ust. 1 Regulaminu wewnętrznego Rady Ochrony Danych, CA/26/21 Add. 1, przyjętego dnia 11 czerwca 2021 r. Dostępny pod adresem: https://link.epo.org/web/data_protection_board-rules_of_procedure_en.pdf.

231 W szczególności umowa stanowi, że "może ona [wyłącznie] zostać rozwiązana, bez uszczerbku dla prawa do wypowiedzenia z poważnego powodu, przez [członka ROD] z zachowaniem

232 Art. 48 ust. 5 ODO.

233 Art. 48 ust. 7 ODO.

234 Art. 48 ust. 10 ODO. Sekretariat wykonuje swoje zadania niezależnie od wszelkiej nadmiernej ingerencji i wyłącznie zgodnie z instrukcjami przewodniczącego ROD. Zapewnia Radzie wsparcie prawne, administracyjne i logistyczne. Zobacz art. 2 regulaminu wewnętrznego ROD.

235 Art. 43 ust. 1 ODO.

236 Art. 43 ust. 1 lit. k) ODO.

237 Art. 42 ust. 4 i 7 ODO.

238 Art. 43 ust. 1 lit. d) ODO. Zob. również notę dotyczącą nadzoru nad ochroną danych "How the Data Protection Office Conducts DP Audits and DP Inspections" [W jaki sposób biuro ochrony danych przeprowadza kontrole i inspekcje ochrony danych], dostępną pod adresem https://link.epo.org/web/office/data-protection-and-privacy/en-outline-of-the-data-protection-oversight-mechanism.pdf.

239 ROD może występować z sugestiami dotyczącymi obszarów, w których należy przeprowadzać kontrole, zob. nota dot. nadzoru nad ochroną danych, s. 4.

240 Nota dot. nadzoru nad ochroną danych, s. 4.

241 Nota dot. nadzoru nad ochroną danych, s. 7.

242 Nota dot. nadzoru nad ochroną danych, s. 6.

243 Nota dot. nadzoru nad ochroną danych, s. 6.

244 Art. 43 ust. 5 ODO.

245 Art. 46 ODO.

246 Nota dot. nadzoru nad ochroną danych.

247 Nota dot. nadzoru nad ochroną danych, s. 2 (definicja "zaleceń").

248 Art. 43 ust. 6 ODO.

249 Art. 54 ODO. Kary dyscyplinarne są nakładane przez Prezesa, który sprawuje władzę dyscyplinarną i posiada uprawnienia dyscyplinarne w odniesieniu do personelu EPO, zob. art. 10 konwencji o patencie europejskim oraz art. 93 i nast. Regulaminu pracowniczego.

250 Nota dot. nadzoru nad ochroną danych, s. 7.

251 Nota dot. nadzoru nad ochroną danych, s. 3-4 i 8.

252 Decyzja Prezesa Europejskiego Urzędu Patentowego z dnia 12 lipca 2024 r. w sprawie egzekwowania zaleceń IOD zatwierdzonych przez Radę Ochrony Danych w ramach kontroli i inspekcji ochrony danych, https://link.epo.org/web/office/data-protection-and- privacy/en-decision-of-the-president-on-enforceability-of-dpo-conclusions-and-recommendations.pdf.

253 Nota dot. nadzoru nad ochroną danych, s. 5 i 9.

254 Art. 47 ODO.

255 Art. 49 ust. 1 ODO. Wniosek należy złożyć nie później niż trzy miesiące od dnia, w którym osoba, której dane dotyczą, została poinformowana lub w inny sposób dowiedziała się o przetwarzaniu danych osobowych rzekomo naruszających jej prawa.

256 Art. 49 ust. 2 ODO. Jeżeli IOD nie wyda opinii przed upływem tego okresu, opinia nie jest już wymagana.

257 Art. 49 ust. 3 ODO. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter wniosku lub liczbę wniosków. W przypadku przedłużenia terminu administrator delegowany musi powiadomić o tym osobę, której dane dotyczą, oraz podać przyczyny opóźnienia w terminie jednego miesiąca od otrzymania wniosku o dokonanie przeglądu.

258 Art. 49 ust. 3 ODO.

259 Art. 50 ust. 1 ODO. Skargę należy złożyć do ROD w terminie trzech miesięcy od otrzymania decyzji lub - w przypadku dorozumianego odrzucenia - od daty upływu terminu na udzielenie odpowiedzi na wniosek.

260 Art. 50 ust. 2 ODO.

261 W szczególności IOD ma obowiązek odpowiadać na wnioski ROD i z nią współpracować(art. 43 lit. i) ODO). IOD jest również zobowiązany do ułatwiania współpracy między ROD a Urzędem i w tym kontekście ma dostęp do wszelkich istotnych informacji (art. 43 lit. j), art. 46 lit. a) i b) ODO).

262 Art. 4 ust. 5 Regulaminu wewnętrznego ROD.

263 Art. 8 Regulaminu wewnętrznego ROD.

264 Art. 11 ust. 1 Regulaminu wewnętrznego ROD.

265 Art. 10 ust. 2 Regulaminu wewnętrznego ROD.

266 Art. 11 ust. 2 Regulaminu wewnętrznego ROD.

267 Art. 50 ust. 3 ODO.

268 Art. 50 ust. 4 ODO i art. 10 ust. 6 regulaminu wewnętrznego ROD.

269 Art. 50 ust. 6 ODO.

270 Art. 50 ust. 4 ODO. Jeżeli zalecenia ROD nie odnoszą się bezpośrednio do osoby, której dane dotyczą, administrator powinien opisać wszelkie odchylenia w dokumencie przekazanym ROD.

271 Art. 50 ust. 7 ODO. Zob. art. 13 konwencji o patencie europejskim i art. 113 Regulaminu pracowniczego.

272 Art. 50 ust. 8 i art. 52 ust. 2 ODO. Zgodnie z przepisami Rady Administracyjnej i Komisji Specjalnej ODO wniosek o arbitraż można złożyć do przewodniczącego Rady Administracyjnej.

273 Art. 52 ust. 1 ODO.

274 Art. 52 ust. 4 ODO.

275 Art. 52 ust. 4 ODO.

276 Art. 52 ust. 4 ODO.

277 Art. 52 ust. 8 ODO.

278 Art. 52 ust. 9 ODO.

279 Art. 52 ust. 6 ODO. Miejscem arbitrażu jest Haga (art. 52 ust. 5 ODO), a język, w którym prowadzone jest postępowanie, musi zostać wybrany przez arbitra, przy czym musi to być jeden z języków urzędowych EPO (język angielski, francuski lub niemiecki) (art. 52 ust. 7 ODO).

280 Art. 52 ust. 13 ODO.

281 Art. 52 ust. 10 ODO. Zob. również art. 3 i art. 34 ust. 2 Regulaminu Stałego Trybunału Arbitrażowego.

282 Art. 53 ODO. Pod pewnymi warunkami (w szczególności w przypadku wymogów mających zastosowanie na mocy prawa niemieckiego) osoby fizyczne mogą również uzyskać odszkodowanie za szkody wyrządzone przez pracowników EPO podczas wykonywania ich obowiązków służbowych, zgodnie z art. 9 ust. 2 konwencji o patencie europejskim.

283 Protokół w sprawie przywilejów i immunitetów EPO. Dostępny pod adresem: https://www.epo.org/en/legal/epc/2020/proprim.html.

284 Art. 3 ust. 1 lit. a) PPI.

285 W tym możliwość odrzucenia wniosku.

286 Art. 8 ust. 3 ODO.

287 Art. 8 ust. 4 ODO.

288 Nota wyjaśniająca "EPO - przesyłanie i przekazywanie danych osobowych" (nota dot. przesyłania i przekazywania), dostępna pod adresem https://link.epo.org/web/office/data-protection-and-privacy/en-explanatory-note-on-epo-transmission-and-transfer-of- personal-data.pdf, s. 4. Zob. w szczególności przepisy ODO Europejskiego Urzędu Patentowego [...] określające ogólną zasadę odpowiedniej ochrony, zwłaszcza mającą zastosowanie do międzynarodowego strumienia danych.

289 Nota dot. przesyłania i przekazywania, przypis 12.

290 Art. 8 ust. 3 ODO.

291 Sprawa C-362/14, Schrems ("Schrems I"), ECLI:EU:C:2015:650, pkt 65.

292 Europejska Rada Ochrony Danych, Opinia 07/2025 w sprawie projektu decyzji wykonawczej Komisji Europejskiej zgodnie z rozporządzeniem (UE) 2016/679 w sprawie odpowiedniego stopnia ochrony danych osobowych przez Europejską Organizację Patentową. Dostępne na stronie: https://www.edpb.europa.eu/system/files/2025-05/edpb-opinion-202507-epo-adequacydecisio n_en.pdf.

• Identyfikator: Dz.U.UE.L.2025.1382
• Rodzaj: Decyzja
• Tytuł: Decyzja wykonawcza 2025/1382 w sprawie odpowiedniej ochrony danych osobowych przez Europejską Organizację Patentową na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679
• Data aktu: 15/07/2025
• Data ogłoszenia: 18/07/2025
• Data wejścia w życie: 18/07/2025