(C/2024/3257)(Dz.U.UE C z dnia 21 maja 2024 r.)
Uwagę podmiotów danych zwraca się na następujące informacje zgodnie z art. 16 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 1 .
Podstawami prawnymi przedmiotowej operacji przetwarzania są: decyzja Rady (WPZiB) 2019/797 2 , w wersji zmienionej decyzją Rady (WPZiB) 2024/1391 3 , i rozporządzenie Rady (UE) 2019/796 4 , wykonywane rozporządzeniem wykonawczym Rady (UE) 2024/1390 5 , w sprawie środków ograniczających w celu zwalczania cyberataków zagrażających Unii lub jej państwom członkowskim.
Administratorem przedmiotowej operacji przetwarzania jest Rada Unii Europejskiej reprezentowana przez dyrektora generalnego Dyrekcji Generalnej ds. Stosunków Zewnętrznych (RELEX) Sekretariatu Generalnego Rady, a działem odpowiedzialnym za operację przetwarzania danych jest RELEX.1, którego dane kontaktowe są następujące:
Council of the European Union General Secretariat
RELEX.1
Rue de la Loi/Wetstraat 175 1048 Bruxelles/Brussel BELGIQUE/BELGIE adres poczty elektronicznej: sanctions@consilium.europa.eu
Dane kontaktowe inspektora ochrony danych w Radzie są następujące:
Inspektor ochrony danych data.protection@consilium.europa.eu
Celem operacji przetwarzania jest ustanowienie i aktualizacja wykazu osób objętych środkami ograniczającymi zgodnie z decyzją (WPZiB) 2019/797, zmienioną decyzją (WPZiB) 2024/1391, i z rozporządzeniem (UE) 2019/796, wykonywanym rozporządzeniem wykonawczym (UE) 2024/1390.
Podmioty danych są osobami fizycznymi, które spełniają kryteria umieszczenia w wykazie, określone w decyzji (WPZiB) 2019/797 i w rozporządzeniu (UE) 2019/796.
Gromadzone dane osobowe obejmują: dane niezbędne do prawidłowej identyfikacji danej osoby, uzasadnienie oraz wszelkie inne dane dotyczące przyczyn umieszczenia danej osoby w wykazie.
Podstawę prawną postępowania z danymi osobowymi stanowią decyzje Rady przyjęte zgodnie z art. 29 TUE i rozporządzenia Rady przyjęte zgodnie z art. 215 TFUE, określające osoby fizyczne (podmioty danych) i pozwalające zamrozić aktywa i wprowadzić ograniczenia podróży.
Przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym zgodnie z art. 5 ust. 1 lit. a) i do wypełnienia obowiązków prawnych określonych w wyżej wymienionych aktach prawnych i ciążących na administratorze zgodnie z art. 5 ust. 1 lit.b) rozporządzenia (UE) 2018/1725.
Przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym zgodnie z art. 10 ust. 2 lit. g) rozporządzenia (UE) 2018/1725.
Rada może uzyskiwać dane osobowe podmiotów danych od państw członkowskich lub Europejskiej Służby Działań Zewnętrznych. Odbiorcami danych osobowych są państwa członkowskie, Komisja Europejska i Europejska Służba Działań Zewnętrznych.
Wszystkie dane osobowe przetwarzane przez Radę w związku z autonomicznymi sankcjami Unii będą zatrzymywane przez pięć lat od momentu, gdy podmiot danych zostanie usunięty z wykazu osób objętych zamrożeniem aktywów lub gdy ważność danego środka wygaśnie, lub jeśli wniesiona zostanie sprawa do Trybunału Sprawiedliwości - do chwili wydania prawomocnego wyroku. Dane osobowe zawarte w dokumentach zarejestrowanych przez Radę są przechowywane przez Radę do celów archiwalnych w interesie publicznym w rozumieniu art. 4 ust. 1 lit. e) rozporządzenia (UE) 2018/1725.
Może zaistnieć konieczność, by Rada dokonała wymiany danych osobowych dotyczących podmiotów danych z państwem trzecim lub organizacją międzynarodową w związku z transponowaniem przez Radę wykazów oenzetowskich lub w kontekście współpracy międzynarodowej dotyczącej unijnej polityki w zakresie środków ograniczających.
W razie braku decyzji stwierdzającej odpowiedni stopień ochrony lub braku odpowiednich zabezpieczeń przekazanie danych państwu trzeciemu lub organizacji międzynarodowej następuje pod następującymi warunkami, zgodnie z art. 50 rozporządzenia (UE) 2018/1725:
- przekazanie jest niezbędne ze względu na ważne względy interesu publicznego;
- przekazanie jest niezbędne do ustalenia, dochodzenia lub ochrony roszczeń.
W przetwarzaniu danych osobowych podmiotów danych nie wykorzystuje się zautomatyzowanego podejmowania decyzji. Podmioty danych mają prawo do informacji na temat swoich danych osobowych oraz prawo dostępu do nich. Mają też prawo do sprostowania swoich danych osobowych i uzupełniania ich. W pewnych okolicznościach mogą mieć prawo usunąć swoje dane osobowe lub sprzeciwić się przetwarzaniu swoich danych osobowych, bądź wystąpić o ograniczenie ich przetwarzania.
Podmioty danych mogą skorzystać z tych praw, wysyłając wiadomość e-mail do administratora z kopią do inspektora ochrony danych, jak zaznaczono wyżej.
Do swojego wniosku podmioty danych muszą dołączyć kopię dokumentu tożsamości (dowodu osobistego lub paszportu) w celu potwierdzenia tożsamości. Dokument ten powinien zawierać numer identyfikacyjny, kraj wydania, datę ważności, imię i nazwisko osoby, jej adres i datę urodzenia. Wszelkie inne dane zawarte w kopii dokumentu tożsamości, takie jak zdjęcie lub wszelkie inne cechy osobowe, mogą zostać zaczernione.
Podmioty danych mają prawo wnieść skargę do Europejskiego Inspektora Ochrony Danych zgodnie z rozporządzeniem (UE) 2018/1725 (edps@edps.europa.eu).
Zanim jednak to zrobią, zaleca się, by podmioty danych najpierw starały się dochodzić swoich praw, kontaktując się z administratorem danych osobowych lub z inspektorem ochrony danych w Radzie.
