You have a complaint against an EU institution or body?

Sklep Evropskega varuha človekovih Pravic z dne 9. novembra 2020 o notranjih pravilih za omejitev nekaterih pravic posameznikov, na katere se nanašajo osebni podatki, med obdelavo osebnih podatkov

EVROPSKI VARUH ČLOVEKOVIH PRAVIC JE –

ob upoštevanju Pogodbe o delovanju Evropske unije,

ob upoštevanju Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (1) in zlasti člena 25 Uredbe;

po posvetovanju z evropskim nadzornikom za varstvo podatkov;

ob upoštevanju naslednjega:

(1)

Evropski varuh človekovih pravic je pooblaščen za izvajanje upravnih preiskav, preddisciplinskih in disciplinskih postopkov ter postopkov začasne odstranitve z delovnega mesta v skladu s Kadrovskimi predpisi za uradnike Evropske unije in Pogoji za zaposlitev drugih uslužbencev Evropske unije, določenih z Uredbo Sveta (EGS, Euratom, ESPJ) št. 259/68 (2) (Kadrovski predpisi) ter Sklepom evropskega varuha človekovih pravic z dne 4. novembra 2004 o sprejetju izvedbenih določb o izvajanju upravnih preiskav in disciplinskih postopkov. Po potrebi o primerih uradno obvesti tudi urad OLAF.

(2)

Uslužbenci evropskega varuha človekovih pravic imajo obveznost poročanja o morebitnih nezakonitih dejavnostih, vključno z goljufijami in korupcijo, ki škodijo interesom Unije. Dolžni so tudi poročati o ravnanju v zvezi z opravljanjem poklicnih nalog, ki lahko pomeni hudo kršenje obveznosti uradnikov Unije. To je urejeno s Sklepom evropskega varuha človekovih pravic o notranjih pravilih v zvezi s prijavljanjem nepravilnosti z dne 20. februarja 2015.

(3)

Evropski varuh človekovih pravic je vzpostavil politiko učinkovitega preprečevanja in obravnave dejanskega ali morebitnega psihološkega ali spolnega nadlegovanja na delovnem mestu v skladu z njegovim sklepom z dne 18. decembra 2017. Ta sklep določa neformalni postopek, po katerem se lahko domnevna žrtev nadlegovanja obrne na „korespondente za etiko“ evropskega varuha človekovih pravic in/ali spravni odbor.

(4)

Evropski varuh človekovih pravic lahko izvaja tudi preiskave v zvezi z morebitnimi kršitvami varnostnih predpisov za varovanje tajnih podatkov Evropske unije.

(5)

Dejavnosti evropskega varuha človekovih pravic so predmet notranjih in zunanjih revizij.

(6)

Evropski varuh človekovih pravic v okviru takih upravnih preiskav, revizij in drugih preiskav sodeluje z drugimi institucijami, organi, uradi in agencijami Unije.

(7)

Evropski varuh človekovih pravic lahko sodeluje z nacionalnimi organi tretjih držav in mednarodnimi organizacijami bodisi na njihovo zahtevo bodisi na lastno pobudo.

(8)

Evropski varuh človekovih pravic lahko sodeluje tudi z javnimi organi držav članic EU bodisi na njihovo zahtevo bodisi na lastno pobudo.

(9)

Evropski varuh človekovih pravic izvaja preiskave domnevnih nepravilnosti pri dejavnostih institucij, organov, uradov ali agencij Unije, razen Sodišča Evropske unije pri opravljanju njegove sodne funkcije. Pri tem mora morda ohraniti zaupnost osebnih podatkov iz dokumentov, pridobljenih od strank in med preiskavami. Evropski varuh človekovih pravic mora morda tudi zaščititi pravice in svoboščine pritožnikov in drugih vpletenih oseb.

(10)

Evropski varuh človekovih pravic za opravljanje svojih nalog zbira in obdeluje informacije in več kategorij osebnih podatkov, vključno z identifikacijskimi podatki posameznikov, kontaktnimi podatki, poklicnimi vlogami in nalogami, informacijami o zasebnem in poklicnem ravnanju in uspešnosti ter finančnimi podatki. Evropski varuh človekovih pravic deluje kot upravljavec podatkov.

(11)

Evropski varuh človekovih pravic mora zato v skladu z Uredbo (EU) 2018/1725 (v nadaljnjem besedilu: Uredba) posameznikom, na katere se nanašajo osebni podatki, zagotavljati informacije o navedenih dejavnostih obdelave ter spoštovati njihove pravice, ki jih imajo kot posamezniki, na katere se nanašajo osebni podatki.

(12)

Evropski varuh človekovih pravic mora morda navedene pravice uskladiti s cilji upravnih preiskav, revizij, drugih preiskav in sodnih postopkov. Morda mora tudi uravnotežiti pravice posameznikov, na katere se nanašajo osebni podatki, s temeljnimi pravicami in svoboščinami drugih posameznikov, na katere se nanašajo osebni podatki. V ta namen člen 25 Uredbe evropskemu varuhu človekovih pravic omogoča, da pod strogimi pogoji omeji uporabo členov od 14 do 22, 35 in 36 Uredbe ter njenega člena 4, če njegove določbe ustrezajo pravicam in obveznostim iz členov od 14 do 20. Če omejitve niso določene v pravnem aktu, sprejetem na podlagi Pogodb, je treba sprejeti notranja pravila, v skladu s katerimi lahko evropski varuh človekovih pravic omeji navedene pravice.

(13)

Evropski varuh človekovih pravic mora morda na primer omejiti informacije, ki jih zagotavlja posamezniku, na katerega se nanašajo osebni podatki, o obdelavi njegovih osebnih podatkov v fazi predhodne ocene upravne preiskave ali med preiskavo samo, pred morebitno zavrnitvijo zadeve ali v fazi preddisciplinskega postopka. V nekaterih okoliščinah lahko zagotavljanje takih informacij resno vpliva na sposobnost evropskega varuha človekovih pravic za učinkovito izvedbo preiskave, kadar na primer obstaja tveganje, da bi lahko zadevna oseba uničila dokaze ali vplivala na morebitne priče pred njihovim zaslišanjem. Evropski varuh človekovih pravic mora morda tudi zaščititi pravice in svoboščine prič ter drugih vpletenih oseb.

(14)

Morda je treba zaščititi anonimnost priče ali prijavitelja nepravilnosti, ki je zahteval, da se njegova identiteta ne razkrije. Evropski varuh človekovih pravic se v tem primeru lahko odloči za omejitev dostopa do identitete, izjav in drugih osebnih podatkov takih oseb, da zaščiti njihove pravice in svoboščine.

(15)

Morda je treba zaščititi zaupne informacije o uslužbencu, ki se je obrnil na korespondente za etiko evropskega varuha človekovih pravic in/ali spravni odbor v postopku prijave nadlegovanja. Evropski varuh človekovih pravic mora morda v takih primerih omejiti dostop do identitete, izjav in drugih osebnih podatkov domnevne žrtve, domnevnega nadlegovalca in drugih vpletenih oseb, da zaščiti pravice in svoboščine vseh vpletenih.

(16)

Evropski varuh človekovih pravic mora morda na primer omejiti informacije, ki jih zagotavlja posamezniku, na katerega se nanašajo osebni podatki in je naveden v pritožbi ali dokumentih o preiskavi, o obdelavi njegovih osebnih podatkov med preiskavo domnevnih nepravilnosti v instituciji, organu, uradu ali agenciji Unije. Zagotavljanje takih informacij lahko resno vpliva na sposobnost evropskega varuha človekovih pravic za učinkovito izvedbo preiskave, kadar na primer obstaja tveganje, da bi lahko zadevna oseba ogrozila preiskavo. Evropski varuh človekovih pravic mora morda tudi zaščititi pravice in svoboščine pritožnika in drugih vpletenih oseb.

(17)

Evropski varuh človekovih pravic bi moral uporabljati omejitve samo, če je v njih upoštevano bistvo temeljnih pravic in svoboščin ter so nujno potreben in sorazmeren ukrep v demokratični družbi. Navedene omejitve bi moral utemeljiti.

(18)

Evropski varuh človekovih pravic bi moral na podlagi načela odgovornosti voditi evidenco o svoji uporabi omejitev.

(19)

Pri obdelavi osebnih podatkov, izmenjanih z drugimi organizacijami v okviru nalog evropskega varuha človekovih pravic, bi se morali evropski varuh človekovih pravic in navedene organizacije medsebojno posvetovati o morebitnih razlogih za uvedbo omejitev ter o nujnosti in sorazmernosti navedenih omejitev, razen če bi to ogrozilo dejavnosti evropskega varuha človekovih pravic.

(20)

Člen 25(6) Uredbe zavezuje upravljavca podatkov, da posameznike, na katere se nanašajo osebni podatki, obvesti o glavnih razlogih, ki so podlaga za uporabo omejitve, in o njihovi pravici do vložitve pritožbe pri evropskem nadzorniku za varstvo podatkov (ENVP).

(21)

Evropski varuh človekovih pravic lahko v skladu s členom 25(8) Uredbe preloži, opusti ali zavrne zagotavljanje informacij o razlogih za uporabo omejitve posamezniku, na katerega se nanašajo osebni podatki, če bi se s tem kakor koli izničil učinek omejitve. Evropski varuh človekovih pravic bi moral za vsak primer posebej oceniti, ali bi sporočilo o omejitvi izničilo njen učinek.

(22)

Evropski varuh človekovih pravic bi moral omejitev odpraviti takoj, ko prenehajo pogoji, ki jo upravičujejo, in te pogoje redno ocenjevati.

(23)

Za zagotovitev čim večje zaščite pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, ter v skladu s členom 44(1) Uredbe bi se bilo treba pravočasno posvetovati s pooblaščeno osebo za varstvo podatkov o vsaki omejitvi, ki bi se lahko uporabila, in preveriti njeno skladnost s tem sklepom.

(24)

Člen 16(5) in člen 17(4) Uredbe določata izjeme od pravic posameznikov, na katere se nanašajo osebni podatki, do obveščenosti in do dostopa. Če se uporabljajo te izjeme, evropskemu varuhu človekovih pravic ni treba uporabljati omejitve na podlagi tega sklepa –

SPREJEL NASLEDNJI SKLEP:

Člen 1- Predmet urejanja in področje uporabe

1. Ta sklep določa pravila v zvezi s pogoji, pod katerimi lahko evropski varuh človekovih pravic v skladu s členom 25 Uredbe omeji uporabo členov 4, od 14 do 22, 35 in 36.

2. Urad evropskega varuha človekovih pravic kot upravljavca podatkov zastopa evropski varuh človekovih pravic.

Člen 2- Omejitve

1. Evropski varuh človekovih pravic lahko omeji uporabo členov od 14 do 22, 35 in 36 ter člena 4 navedene uredbe, če njegove določbe ustrezajo pravicam in obveznostim iz členov od 14 do 20:

(a)

v skladu s členom 25(1)(b), (c), (f), (g) in (h) Uredbe pri izvajanju upravnih preiskav, preddisciplinskih in disciplinskih postopkov ter postopkov začasne odstranitve z delovnega mesta v skladu s členom 86 in Prilogo IX h Kadrovskim predpisom ter Sklepom evropskega varuha človekovih pravic z dne 4. novembra 2004 o izvajanju upravnih preiskav in disciplinskih postopkov, ter pri prijavi primerov uradu OLAF;

(b)

v skladu s členom 25(1)(h) Uredbe pri zagotavljanju, da lahko njegovi uslužbenci prijavijo dejstva zaupno, kadar menijo, da obstajajo hude nepravilnosti, v skladu s Sklepom evropskega varuha človekovih pravic z dne 20. februarja 2015 o notranjih pravilih v zvezi s prijavljanjem nepravilnosti;

(c)

v skladu s členom 25(1)(h) Uredbe pri zagotavljanju, da lahko njegovi uslužbenci poročajo korespondentom za etiko in/ali spravnemu odboru v okviru postopka prijave nadlegovanja v skladu s Sklepom evropskega varuha človekovih pravic o politiki preprečevanja in zaščite pred nadlegovanjem v uradu varuha človekovih pravic;

(d)

v skladu s členom 25(1)(c), (g) in (h) Uredbe pri izvajanju notranjih revizij v zvezi z dejavnostmi ali oddelki evropskega varuha človekovih pravic;

(e)

v skladu s členom 25(1)(c), (d), (g) in (h) Uredbe pri zagotavljanju ali prejemanju pomoči od drugih institucij, organov, uradov in agencij Unije ali pri sodelovanju z njimi v okviru dejavnosti iz točk od (a) do (d) tega odstavka ter v skladu z zadevnimi sporazumi o ravni storitev, memorandumi o soglasju in sporazumi o sodelovanju;

(f)

v skladu s členom 25(1)(c), (g) in (h) Uredbe pri zagotavljanju ali prejemanju pomoči od nacionalnih organov tretjih držav in mednarodnih organizacij ali pri sodelovanju s takimi organi in organizacijami bodisi na njihovo zahtevo ali na svojo pobudo;

(g)

v skladu s členom 25(1)(c), (g) in (h) Uredbe pri zagotavljanju ali prejemanju pomoči od javnih organov držav članic EU ali pri sodelovanju z njimi bodisi na njihovo zahtevo ali na svojo pobudo;

(h)

v skladu s členom 25(1)(e) Uredbe pri obdelovanju osebnih podatkov iz dokumentov, ki jih pridobijo stranke ali intervenienti v okviru postopkov pred Sodiščem Evropske unije;

(i)

v skladu s členom 25(1)(h) Uredbe pri izvajanju preiskav v zvezi z domnevnimi nepravilnostmi v dejavnostih institucij, organov, uradov in agencij EU v skladu s členom 228 Pogodbe o delovanju Evropske unije ter Statutom Varuha človekovih pravic in Izvedbenimi določbami.

2. Pri vseh omejitvah se spoštuje bistvo temeljnih pravic in svoboščin, omejitve pa morajo biti nujen in sorazmeren ukrep v demokratični družbi.

3. Pred uporabo omejitev se za vsak primer posebej opravi preskus nujnosti in sorazmernosti. Omejitve se omejijo na to, kar je nujno potrebno za doseganje njihovih ciljev.

4. Evropski varuh človekovih pravic za namene odgovornosti sestavi zapisnik, v katerem opiše obstoječe razloge za omejitve, kateri razlogi iz odstavka 1 obstajajo ter rezultat preskusa nujnosti in sorazmernosti. Ti zapisniki so del evidence, ki se na zahtevo da na voljo ENVP. Evropski varuh človekovih pravic pripravlja redna poročila o uporabi člena 25 Uredbe.

5. Evropski varuh človekovih pravic se pri obdelavi osebnih podatkov, prejetih od drugih organizacij v okviru svojih nalog, s temi organizacijami posvetuje o morebitnih razlogih za uvedbo omejitev ter o nujnosti in sorazmernosti zadevnih omejitev, razen če bi to ogrozilo njegove dejavnosti.

Člen 3- Tveganja za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki

1. Ocena tveganj uvedbe omejitev za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, in podrobnosti o obdobju uporabe teh omejitev se zabeležijo v evidenci dejavnosti obdelave, ki jo evropski varuh človekovih pravic vodi v skladu s členom 31 Uredbe. Zabeležijo se tudi v vsaki oceni učinka v zvezi z varstvom podatkov, opravljeni v zvezi z navedenimi omejitvami v skladu s členom 39 Uredbe.

2. Evropski varuh človekovih pravic pri presoji nujnosti in sorazmernosti omejitve upošteva morebitna tveganja za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki.

Člen 4- Zaščitni ukrepi in obdobja hrambe

1. Evropski varuh človekovih pravic izvaja zaščitne ukrepe za preprečevanje zlorabe osebnih podatkov, za katere se uporabljajo ali bi se lahko uporabljale omejitve, nezakonitega dostopa do njih ali njihovega nezakonitega prenosa. Ti zaščitni ukrepi vključujejo tehnične in organizacijske ukrepe ter so po potrebi podrobno opisani v notranjih sklepih, postopkih in izvedbenih pravilih evropskega varuha človekovih pravic. Zaščitni ukrepi vključujejo:

(a)

jasno opredelitev vlog, odgovornosti in postopkovnih korakov;

(b)

po potrebi varno elektronsko okolje, ki preprečuje nezakonit in naključen dostop do elektronskih podatkov ali njihov prenos nepooblaščenim osebam;

(c)

po potrebi varno hrambo in obdelavo papirnih dokumentov;

(d)

ustrezno spremljanje omejitev in redni pregled njihove uporabe.

Pregledi iz točke (d) se opravijo vsaj vsakih šest mesecev.

2. Omejitve se odpravijo takoj, ko okoliščine, ki jih upravičujejo, ne veljajo več.

3. Osebni podatki se hranijo v skladu z veljavnimi pravili evropskega varuha človekovih pravic o hrambi, ki se opredelijo v evidencah o varstvu podatkov, ki se vodijo v skladu s členom 31 Uredbe. Ob koncu obdobja hrambe se osebni podatki izbrišejo, anonimizirajo ali prenesejo v arhive v skladu s členom 13 Uredbe.

Člen 5- Vključitev pooblaščene osebe za varstvo podatkov

1. Kadar se pravice posameznikov, na katere se nanašajo osebni podatki, omejijo v skladu s tem sklepom, se brez nepotrebnega odlašanja o tem obvesti oseba evropskega varuha človekovih pravic, pooblaščena za varstvo podatkov, ki se ji da dostop do povezanih evidenc in dokumentov, ki se nanašajo na dejansko stanje ali pravni okvir.

2. Oseba evropskega varuha človekovih pravic, pooblaščena za varstvo podatkov, lahko zahteva pregled uporabe omejitve. Evropski varuh človekovih pravic pooblaščeno osebo za varstvo podatkov pisno obvesti o rezultatu pregleda.

3. Evropski varuh človekovih pravic dokumentira vključitev pooblaščene osebe za varstvo podatkov v uporabo omejitev, vključno s tem, katere informacije so ji bile dane na voljo.

Člen 6- Obveščanje posameznikov, na katere se nanašajo osebni podatki, o omejitvah njihovih pravic

1. Evropski varuh človekovih pravic v obvestila o varstvu podatkov, objavljena na njegovem spletnem mestu, vključi oddelek, ki posameznikom, na katere se nanašajo osebni podatki, zagotavlja splošne informacije o možnosti za omejitev njihovih pravic v skladu s členom 2(1). Informacije zajemajo navedbo pravic, ki se lahko omejijo, razloge za morebitno uporabo omejitev in njihovo morebitno trajanje.

2. Evropski varuh človekovih pravic posameznike, na katere se nanašajo osebni podatki, posamično pisno in brez nepotrebnega odlašanja obvesti o omejitvah njihovih pravic, ki se ali se bodo uporabljale. Evropski varuh človekovih pravic obvesti posameznika, na katerega se nanašajo osebni podatki, o glavnih razlogih, na katerih temelji uporaba omejitve, njegovi pravici do posvetovanja s pooblaščeno osebo za varstvo podatkov glede izpodbijanja omejitve in njegovi pravici do vložitve pritožbe pri ENVP.

3. Evropski varuh človekovih pravic lahko preloži, opusti ali zavrne zagotavljanje informacij o razlogih za omejitev in pravici do vložitve pritožbe pri ENVP, vse dokler bi se s tem izničil učinek omejitve. Za vsak primer posebej se oceni, ali bi bilo to upravičeno. Evropski varuh človekovih pravic posamezniku, na katerega se nanašajo osebni podatki, informacije zagotovi takoj, ko se s tem ne bi več izničil učinek omejitve.

Člen 7- Sporočilo posamezniku, na katerega se nanašajo osebni podatki, o kršitvi varnosti osebnih podatkov

1. Kadar za evropskega varuha človekovih pravic velja obveznost sporočanja kršitev varnosti osebnih podatkov v skladu s členom 35(1) Uredbe, ta lahko v izjemnih okoliščinah v celoti ali delno omeji tako sporočilo. V zaznamku dokumentira razloge za omejitev, njeno pravno podlago v skladu s členom 2 ter oceno njene nujnosti in sorazmernosti. Zaznamek se sporoči ENVP ob priglasitvi kršitve varnosti osebnih podatkov.

2. Kadar razlogi za omejitev ne obstajajo več, evropski varuh človekovih pravic posreduje sporočilo o kršitvi varnosti osebnih podatkov zadevnemu posamezniku, na katerega se nanašajo osebni podatki, ter ga obvesti o glavnih razlogih za omejitev in njegovi pravici do vložitve pritožbe pri ENVP.

Člen 8- Zaupnost elektronskih sporočil

1. Evropski varuh človekovih pravic lahko v izjemnih okoliščinah omeji pravico do zaupnosti elektronskih sporočil v skladu s členom 36 Uredbe. Take omejitve morajo biti v skladu z Direktivo 2002/58/ES Evropskega parlamenta in Sveta (3).

2. Kadar evropski varuh človekovih pravic omeji pravico do zaupnosti elektronskih sporočil, zadevnega posameznika, na katerega se nanašajo osebni podatki, v svojem odgovoru na njegovo zahtevo obvesti o glavnih razlogih, na katerih temelji uporaba omejitve, in o njegovi pravici do vložitve pritožbe pri ENVP.

3. Evropski varuh človekovih pravic lahko preloži, opusti ali zavrne zagotavljanje informacij o razlogih za omejitev in pravici do vložitve pritožbe pri ENVP, vse dokler bi se s tem izničil učinek omejitve. Za vsak primer posebej se oceni, ali bi bilo to upravičeno. Evropski varuh človekovih pravic posamezniku, na katerega se nanašajo osebni podatki, informacije zagotovi takoj, ko se s tem ne bi več izničil učinek omejitve.

Člen 9- Začetek veljavnosti

Ta sklep začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.

V Strasbourgu, 9. novembra 2020

Za evropskega varuha človekovih pravic

Emily O’REILLY


(1) UL L 295, 21.11.2018, str. 39.

(2) Uredba Sveta (EGS, Euratom, ESPJ) št. 259/68 z dne 29. februarja 1968 o določitvi Kadrovskih predpisov za uradnike in Pogojev za zaposlitev drugih uslužbencev Evropskih skupnosti ter uvedbi posebnih ukrepov, začasno veljavnih za uradnike Komisije (UL L 56, 4.3.1968, str. 1).

(3) Direktiva 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL L 201, 31.7.2002, str. 37).

Sklep Evropskega varuha človekovih Pravic z dne 9. novembra 2020 o notranjih pravilih za omejitev nekaterih pravic posameznikov, na katere se nanašajo osebni podatki, med obdelavo osebnih podatkov