Decyzja 2020/969 określająca przepisy wykonawcze dotyczące inspektora ochrony danych, ograniczeń praw osób, których dane dotyczą, i stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 oraz uchylająca decyzję Komisji 2008/597/WE

DECYZJA KOMISJI (UE) 2020/969

z dnia 3 lipca 2020 r.

określająca przepisy wykonawcze dotyczące inspektora ochrony danych, ograniczeń praw osób, których dane dotyczą, i stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 oraz uchylająca decyzję Komisji 2008/597/WE

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 249 ust. 1,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE ¹ , w szczególności jego art. 45 ust. 3,

a także mając na uwadze, co następuje:

(1) Aby zapewnić prawidłowe funkcjonowanie urzędu inspektora ochrony danych w Komisji, konieczne jest szczegółowe określenie jego zadań, obowiązków i uprawnień.

(2) W rozporządzeniu (UE) 2018/1725 administratorom danych powierzono jasne obowiązki, w szczególności wobec osób, których dane dotyczą. W celu zapewnienia, by Komisja, jako administrator, wypełniała swoje obowiązki w sposób jednolity i przejrzysty, należy ustalić zasady określania, kto w danej służbie lub służbach Komisji jest odpowiedzialny za operacje przetwarzania przeprowadzane w imieniu Komisji. W związku z tym należy wprowadzić pojęcie administratora delegowanego, aby dokładnie wskazać obowiązki podmiotów Komisji, w szczególności w odniesieniu do indywidualnych decyzji dotyczących praw osób, których dane dotyczą. Należy ponadto wprowadzić pojęcie administratora odpowiedzialnego za operację przetwarzania, który - na odpowiedzialność administratora delegowanego - został wyznaczony do zapewnienia zgodności z przepisami w praktyce oraz do rozpatrywania wniosków osób, których dane dotyczą, w odniesieniu do operacji przetwarzania. Powołanie administratora odpowiedzialnego za operację przetwarzania nie uniemożliwia stosowania w praktyce punktu kontaktowego, na przykład w postaci funkcyjnej skrzynki pocztowej, która zostanie udostępniona osobom, których dane dotyczą.

(3) W niektórych przypadkach kilka służb Komisji może wspólnie przeprowadzać operację przetwarzania w celu wypełnienia swojej misji. W takich przypadkach powinny one zapewnić istnienie porozumień wewnętrznych w celu przejrzystego określenia swoich odpowiednich obowiązków wynikających z rozporządzenia (UE) 2018/1725, w szczególności obowiązków wobec osób, których dane dotyczą, powiadamiania Europejskiego Inspektora Ochrony Danych ("EIOD") oraz przechowywania zapisów.

(4) Aby ułatwić wykonywanie obowiązków administratorów delegowanych, każda służba Komisji powinna wyznaczyć koordynatora ds. ochrony danych. Koordynatorzy ds. ochrony danych powinni uczestniczyć w sieci koordynatorów ds. ochrony danych w Komisji, aby zapewnić spójne wdrożenie i interpretację rozporządzenia (UE) 2018/1725 w Komisji oraz aby omawiać zagadnienia będące przedmiotem wspólnego zainteresowania.

(5) Ze względu na zadanie inspektora ochrony danych polegające na podziale obowiązków na podstawie art. 45 ust. 1 lit. b) rozporządzenia (UE) 2018/1725 inspektor ochrony danych powinien wydać dodatkowe wytyczne dotyczące funkcji koordynatora ds. ochrony danych.

(6) Do celów zadań inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu i konsultacji Komisja przetwarza kilka kategorii danych osobowych. W szczególności Komisja przetwarza dane identyfikacyjne, dane kontaktowe, dane zawodowe i dane dotyczące udziału w sprawie. Dane te są przechowywane przez pięć lat po zakończeniu działań zgodnie ze wspólnym wykazem zatrzymywanych danych w odniesieniu do akt Komisji ² .

(7) W pewnych okolicznościach konieczne jest pogodzenie praw osób, których dane dotyczą, wynikających z rozporządzenia (UE) 2018/1725, z koniecznością wykonywania przez Komisję zadań inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu lub konsultacji oraz z potrzebą zachowania poufności wymiany informacji z innymi służbami Komisji, jak również z pełnym poszanowaniem podstawowych praw i wolności innych osób, których dane dotyczą. W tym celu art. 25 ust. 1 rozporządzenia (UE) 2018/1725 daje Komisji możliwość ograniczenia zastosowania art. 14-17, 19, 20 i 35, a także zasady przejrzystości określonej w art. 4 ust. 1 lit. a), o ile ich przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-17, 19 i 20 tego rozporządzenia.

(8) Aby zapewnić poufność i skuteczność zadań inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu lub konsultacji i jednocześnie przestrzegać norm w zakresie ochrony danych osobowych na podstawie rozporządzenia (UE) 2018/1725, konieczne jest przyjęcie wewnętrznych przepisów, na podstawie których inspektor ochrony danych może ograniczyć prawa osób, których dane dotyczą, zgodnie z art. 25 rozporządzenia (UE) 2018/1725.

(9) Przepisy wewnętrzne powinny mieć zastosowanie do wszystkich operacji przetwarzania przeprowadzanych przez Komisję w ramach zadań inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu lub konsultacji. Przepisy te powinny mieć zastosowanie do operacji przetwarzania, które przeprowadza się przed wszczęciem dochodzenia lub audytu, w trakcie dochodzenia lub audytu oraz w trakcie monitorowania działań następczych związanych z wynikami. Przepisy te powinny mieć również zastosowanie do operacji przetwarzania, które stanowią część zadań inspektora ochrony danych w zakresie dochodzenia lub audytu, takich jak procedury rozpatrywania skarg prowadzone przez inspektora ochrony danych. Przepisy te powinny mieć również zastosowanie do monitorowania przez inspektora ochrony danych i konsultacji z inspektorem ochrony danych, w przypadku gdy inspektor ten zapewnia pomoc i współpracę służbom Komisji poza prowadzonymi przez niego dochodzeniami i audytami.

(10) W celu zapewnienia zgodności z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725 Komisja powinna informować wszystkie osoby fizyczne o zadaniach inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu lub konsultacji, które to zadania dotyczą przetwarzania ich danych osobowych i ich praw wynikających z rozporządzenia (UE) 2018/1725. Komisja powinna spójnie i przejrzyście informować te osoby, publikując na swojej stronie internetowej noty na temat ochrony danych, a także informować każdą osobę, której dotyczą dane i zadania inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu lub konsultacji.

(11) W pewnych okolicznościach Komisja może być zmuszona do ograniczenia przekazywania informacji osobom, których dane dotyczą, oraz stosowania innych praw osób, których dane dotyczą. Może to zrobić w celu ochrony zadań inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu lub konsultacji, powiązanych dochodzeń i procedur innych służb Komisji, narzędzi i metod dochodzeń i audytów inspektora ochrony danych, a także praw innych osób, które to prawa są związane z zadaniami inspektora ochrony danych.

(12) W niektórych przypadkach udzielanie szczególnych informacji osobom, których dane dotyczą, lub ujawnienie faktu, że inspektor ochrony danych prowadzi działania w zakresie monitorowania, dochodzenia, audytu lub konsultacji, może uniemożliwić lub poważnie utrudnić osiągnięcie celu operacji przetwarzania oraz zniwelować lub osłabić zdolność inspektora ochrony danych do prowadzenia takiej działalności.

(13) Komisja powinna ponadto chronić tożsamość informatorów, którzy nie powinni odczuwać negatywnych konsekwencji swojej współpracy z inspektorem ochrony danych.

(14) Z tych względów Komisja może być zmuszona do zastosowania podstaw ograniczeń, o których mowa w art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725, do operacji przetwarzania danych prowadzonych w ramach zadań inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu lub konsultacji, które to zadania określono w art. 45 tego rozporządzenia.

(15) W celu utrzymania skutecznej współpracy Komisja może też być zmuszona do stosowania ograniczeń praw osób, których dane dotyczą, w celu ochrony informacji zawierających dane osobowe pochodzących od innych służb Komisji, instytucji lub organów Unii. W związku z tym inspektor ochrony danych powinien skonsultować się z tymi służbami, instytucjami lub organami w kwestii stosownych podstaw oraz konieczności i proporcjonalności ograniczeń.

(16) W ramach swoich zadań w zakresie monitorowania, dochodzenia, audytu lub konsultacji inspektor ochrony danych prowadzi wymianę informacji, w tym danych osobowych, z innymi służbami Komisji. W związku z tym wszystkie służby Komisji przetwarzające dane osobowe, które są przetwarzane przez inspektora ochrony danych w ramach wykonywania jego zadań, powinny stosować przepisy określone w niniejszej decyzji w celu ochrony operacji przetwarzania prowadzonych przez inspektora ochrony danych. W takich okolicznościach dane służby Komisji powinny zatem skonsultować się z inspektorem ochrony danych w sprawie odpowiednich podstaw do zastosowania ograniczeń oraz tego, czy są one konieczne i proporcjonalne, tak aby zapewnić ich spójne stosowanie.

(17) Inspektor ochrony danych - a w stosownych przypadkach inne służby Komisji - powinien lub powinny w sposób przejrzysty podchodzić do wszystkich ograniczeń oraz rejestrować każde zastosowanie ograniczeń w odpowiednim systemie przechowywania zapisów.

(18) Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 administratorzy danych mogą wstrzymać przekazanie osobie, której dane dotyczą, informacji o powodach zastosowania ograniczenia lub odmówić przekazania takich informacji, jeżeli mogłoby to w jakikolwiek sposób zagrozić celowi ograniczenia. W szczególności gdy stosuje się ograniczenie praw przewidzianych w art. 16 i 35, zgłoszenie takiego ograniczenia zagrażałoby celowi ograniczenia. W celu zapewnienia, aby prawo osoby, której dane dotyczą, do uzyskania informacji zgodnie z art. 16 i 35 rozporządzenia (UE) 2018/1725 było ograniczone tylko dopóty, dopóki przyczyny takiego odroczenia będą obowiązywały, Komisja powinna regularnie dokonywać przeglądu swojego stanowiska.

(19) W przypadku ograniczenia innych praw osób, których dane dotyczą, inspektor ochrony danych powinien ocenić w poszczególnych przypadkach, czy powiadomienie o ograniczeniu zagrażałoby jego celowi.

(20) Inspektor ochrony danych powinien przeprowadzić niezależny przegląd stosowania ograniczeń na podstawie niniejszej decyzji przez inne służby Komisji w celu zapewnienia zgodności z niniejszą decyzją.

(21) Wszelkie ograniczenia stosowane na podstawie niniejszej decyzji powinny być konieczne i proporcjonalne, biorąc pod uwagę zagrożenia dla praw i wolności osób, których dane dotyczą.

(22) Zgodnie z art. 41 ust. 1 i 2 rozporządzenia (UE) 2018/1725 poinformowano Europejskiego Inspektora Ochrony Danych i skonsultowano się z nim; wydał on opinię w dniu 16 września 2019 r.

(23) Decyzja Komisji 2008/597/WE ³  ustanawia przepisy wykonawcze w zakresie inspektora ochrony danych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (WE) nr 45/2001 ⁴ . Rozporządzeniem (UE) 2018/1725 uchylono rozporządzenie (WE) nr 45/2001 ze skutkiem od dnia 11 grudnia 2019 r. Aby zagwarantować, że do inspektora ochrony danych ma zastosowanie tylko jeden zbiór przepisów wykonawczych, należy również uchylić decyzję 2008/597/WE,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

ROZDZIAŁ  1

PRZEPISY OGÓLNE

Artykuł  1

Przedmiot i zakres stosowania

1. Niniejsza decyzja określa zasady i procedury stosowania rozporządzenia (UE) 2018/1725 przez Komisję oraz ustanawia przepisy wykonawcze dotyczące inspektora ochrony danych w Komisji.

2. Niniejsza decyzja określa również zasady, jakimi kieruje się Komisja w odniesieniu do zadań inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu lub konsultacji, aby informować osoby, których dane dotyczą, o przetwarzaniu ich danych osobowych zgodnie z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725.

3. Niniejsza decyzja określa również warunki, na jakich Komisja, w odniesieniu do zadań inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu lub konsultacji, może ograniczyć stosowanie art. 4, 14-17, 19, 20 i 35 rozporządzenia (UE) 2018/1725, zgodnie z art. 25 ust. 1 lit. c), g) i h) tego rozporządzenia.

4. Niniejsza decyzja ma zastosowanie do przetwarzania danych osobowych przez Komisję w celu lub w odniesieniu do wykonywania zadań inspektora ochrony danych, o których to zadaniach mowa w art. 45 rozporządzenia (UE) 2018/1725, w szczególności zadań inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu i konsultacji.

Artykuł  2

Administrowanie

Do celów niniejszej decyzji Komisję uznaje się za administratora w rozumieniu art. 3 pkt 8 rozporządzenia (UE) 2018/1725.

Artykuł  3

Definicje

Na potrzeby niniejszej decyzji stosuje się następujące definicje:

1) "inspektor ochrony danych" oznacza osobę wyznaczoną przez Komisję na podstawie art. 43 rozporządzenia (UE) 2018/1725;

2) "zadania inspektora ochrony danych" oznaczają zadania inspektora ochrony danych określone w art. 45 rozporządzenia (UE) 2018/1725, w szczególności zadania inspektora ochrony danych w zakresie monitorowania, dochodzenia, audytu i konsultacji;

3) "koordynator ds. ochrony danych" oznacza pracownika Komisji powołanego przez dyrekcję generalną lub służbę Komisji do doradzania i pomocy we wszystkich aspektach ochrony danych osobowych;

4) "administrator delegowany" oznacza osobę stojącą na czele dyrekcji generalnej, służby lub gabinetu, które prowadzą operacje przetwarzania w imieniu Komisji w ramach realizacji misji danej dyrekcji generalnej, służby lub gabinetu;

5) "administrator odpowiedzialny za operację przetwarzania" oznacza członka personelu Komisji należącego do kadry kierowniczej średniego lub wyższego szczebla i wyznaczonego przez administratora delegowanego, aby zapewnił przechowywanie zapisów w odniesieniu do operacji przetwarzania oraz służył jako główny punkt kontaktowy dla osób, których dane dotyczą, w odniesieniu do tej operacji przetwarzania;

6) "porozumienie wewnętrzne" oznacza porozumienie zawarte między dwiema lub większą liczbą dyrekcji generalnych lub służb w celu określenia ich odnośnych obowiązków i koordynacji przechowywania zapisów dotyczących operacji przetwarzania, które prowadzą one wspólnie, lub w przypadku gdy jedna lub kilka dyrekcji generalnych lub służb realizuje część operacji przetwarzania przez administratora delegowanego;

7) "informator" oznacza osobę, która zgłasza inspektorowi ochrony danych sprawę, twierdząc, że doszło do naruszenia przepisów rozporządzenia (UE) 2018/1725, lub która zwraca się do inspektora ochrony danych o zbadanie spraw i zdarzeń bezpośrednio związanych z zadaniami inspektora ochrony danych, o których to sprawach i zdarzeniach osoba ta powiadamia inspektora ochrony danych.

ROZDZIAŁ  2

INSPEKTOR OCHRONY DANYCH I KOORDYNATOR DS. OCHRONY DANYCH

Artykuł  4

Powołanie i stanowisko

Inspektora ochrony danych wybiera się spośród personelu Komisji na podstawie jego kwalifikacji zawodowych, w tym rzetelnej wiedzy na temat służb Komisji, ich struktury oraz zasad i procedur administracyjnych.

Artykuł  5

Zadania i obowiązki

1. Inspektor ochrony danych przyczynia się do stworzenia w Komisji kultury ochrony danych w oparciu o ocenę ryzyka i rozliczalność.

2. Inspektor ochrony danych monitoruje wdrażanie rozporządzenia (UE) 2018/1725 w Komisji, między innymi poprzez coroczne sporządzenie i realizację programu prac dotyczących inspekcji i audytów.

3. Inspektor ochrony danych organizuje regularne posiedzenia koordynatorów ds. ochrony danych i przewodniczy tym posiedzeniom.

4. Inspektor ochrony danych przechowuje w centralnym rejestrze zapisy Komisji dotyczące działalności związanej z przetwarzaniem i udostępnia ten rejestr publicznie.

Inspektor ochrony danych prowadzi ponadto wewnętrzny rejestr naruszeń ochrony danych osobowych w Komisji w rozumieniu art. 3 pkt 16 rozporządzenia (UE) 2018/1725.

5. W ramach wykonywania swoich funkcji inspektor ochrony danych współpracuje z inspektorami ochrony danych wyznaczonymi przez inne instytucje i organy Unii.

6. Inspektora ochrony danych uznaje się za administratora delegowanego do celów indywidualnych decyzji dotyczących praw osób, których dane dotyczą, na mocy rozporządzenia (UE) 2018/1725 w odniesieniu do operacji przetwarzania danych przez inspektora ochrony danych.

Artykuł  6

Uprawnienia

Wykonując zadania inspektora ochrony danych, inspektor ochrony danych:

a) w stosownych przypadkach ma dostęp do danych będących przedmiotem operacji przetwarzania danych osobowych i do wszystkich biur, instalacji przetwarzających dane i nośników danych;

b) może wnioskować o opinię prawną służby prawnej Komisji;

c) może - w przypadku konfliktu między inspektorem ochrony danych a administratorem delegowanym, administratorem odpowiedzialnym za operację przetwarzania lub podmiotem przetwarzającym dane dotyczącego interpretacji lub wykonania rozporządzenia (UE) 2018/1725 - poinformować o tym właściwego administratora delegowanego i sekretarza generalnego;

d) może przydzielać akta do odpowiednich dyrekcji generalnych lub służb Komisji w celu podjęcia odpowiednich działań następczych;

e) może prowadzić - na wniosek lub z własnej inicjatywy - dochodzenia dotyczące spraw i zdarzeń bezpośrednio związanych z zadaniami inspektora ochrony danych, zgodnie z procedurą określoną w art. 11;

f) przy formułowaniu zaleceń i udzielaniu porad może:

(i) wezwać administratora delegowanego lub podmiot przetwarzający do zastosowania się do wniosku osoby, której dane dotyczą, o skorzystanie z praw przysługujących jej na mocy rozporządzenia (UE) 2018/1725;

(ii) wydawać ostrzeżenia skierowane do administratora delegowanego lub podmiotu przetwarzającego, jeżeli operacja przetwarzania narusza przepisy rozporządzenia (UE) 2018/1725, oraz w stosownych przypadkach wezwać tego administratora lub ten podmiot do zapewnienia zgodności operacji przetwarzania z przepisami w określony sposób i w określonym terminie;

(iii) wezwać administratora delegowanego lub podmiot przetwarzający do zawieszenia przepływu danych do odbiorcy w państwie członkowskim, do państwa trzeciego lub do organizacji międzynarodowej;

(iv) zwrócić się do administratora delegowanego lub do podmiotu przetwarzającego o złożenie do inspektora ochrony danych w określonym terminie sprawozdania na temat działań następczych podjętych w związku z zaleceniem lub radą tego inspektora;

g) może zwrócić uwagę Sekretarza Generalnego, że administrator delegowany, administrator odpowiedzialny za operację przetwarzania lub podmiot przetwarzający nie zapewnia zgodności ze środkami wprowadzonymi zgodnie z art. 6 lit. f);

h) odpowiada za pierwotne decyzje w sprawie wniosków o dostęp do dokumentów przechowywanych przez jego biuro, złożonych na podstawie rozporządzenia (WE) nr 1049/2001 Parlamentu Europejskiego i Rady ⁵ .

Artykuł  7

Koordynatorzy ds. ochrony danych

1. Administrator delegowany powołuje koordynatora ds. ochrony danych oraz - w stosownych przypadkach - jednego lub większą liczbę asystentów koordynatora ds. ochrony danych w dyrekcji generalnej lub służbie, która tej osobie podlega. Dwóch administratorów delegowanych lub większa ich liczba może, ze względu na spójność lub skuteczność, podjąć decyzję o wyznaczeniu wspólnego koordynatora ds. ochrony danych lub asystenta koordynatora ds. ochrony danych lub wspólnie korzystać z usług już wyznaczonego koordynatora ds. ochrony danych lub asystenta koordynatora ds. ochrony danych. Właściwi administratorzy delegowani odnotowują na piśmie swoje porozumienie w tej sprawie.

2. Koordynator ds. ochrony danych powołany przez dyrekcję generalną lub służbę jest również właściwy dla gabinetu odpowiedzialnego za daną dyrekcję generalną lub służbę. Koordynator ds. ochrony danych powołany w Sekretariacie Generalnym jest właściwy dla gabinetu Przewodniczącego oraz dla gabinetów, dla których Sekretariat Generalny jest jedyną służbą pomocniczą. W przypadku gdy za kilka dyrekcji generalnych lub służb odpowiedzialny jest jeden gabinet, administratorzy delegowani decydują, który z odpowiednich koordynatorów ds. ochrony danych jest właściwy dla danego gabinetu.

3. Inspektora ochrony danych, pracowników odpowiedniej dyrekcji generalnej lub służby oraz odpowiedni gabinet informuje się o każdym powołaniu nowego koordynatora ds. ochrony danych.

Nowo powołani koordynatorzy ds. ochrony danych muszą ukończyć, w ciągu sześciu miesięcy od powołania, szkolenie w celu zdobycia kompetencji niezbędnych do pełnienia funkcji koordynatora ds. ochrony danych. Koordynator ds. ochrony danych, który poprzednio zajmował stanowisko koordynatora ds. ochrony danych w innej dyrekcji generalnej lub służbie lub był pracownikiem inspektora ochrony danych w ciągu dwóch lat przed powołaniem na koordynatora ds. ochrony danych, jest zwolniony z tego wymogu szkoleniowego.

4. Administratorzy delegowani wprowadzają odpowiednie rozwiązania w celu zapewnienia, by koordynator ds. ochrony danych był odpowiednio i na czas angażowany we wszelkie kwestie dotyczące ochrony danych w danej dyrekcji generalnej lub służbie, a opinie wydane przez tego koordynatora były niezwłocznie, na jego wniosek, przekazywane administratorowi delegowanemu.

5. Koordynatorów ds. ochrony danych wybiera się na podstawie ich wiedzy i doświadczenia w zakresie funkcjonowania danej dyrekcji generalnej lub służby, ich motywacji do sprawowania tej funkcji, kompetencji związanych z ochroną danych, zrozumienia zasad systemów informacyjnych i umiejętności komunikacyjnych.

6. Funkcja koordynatora ds. ochrony danych może być łączona z innymi funkcjami. Administrator delegowany zapewnia zgodność tych funkcji z funkcją koordynatora ds. ochrony danych.

7. Funkcja koordynatora ds. ochrony danych wchodzi w skład opisu stanowiska pracy każdego członka personelu mianowanego koordynatorem ds. ochrony danych. Odniesienie do obowiązków i osiągnięć tych członków personelu zamieszcza się w rocznym sprawozdaniu z oceny.

8. Koordynator ds. ochrony danych pełni rolę punktu kontaktowego między administratorem delegowanym, administratorem odpowiedzialnym za operację przetwarzania i podmiotem przetwarzającym dane a inspektorem ochrony danych.

9. Koordynatorzy ds. ochrony danych mają prawo do uzyskania informacji w swojej dyrekcji generalnej lub służbie w zakresie, w jakim jest to niezbędne do wykonywania zadań koordynatora ds. ochrony danych. Koordynatorzy ds. ochrony danych uzyskują dostęp do danych osobowych tylko wtedy, gdy jest to konieczne do wykonywania ich zadań.

10. Koordynator ds. ochrony danych prowadzi zapisy i przekazuje zanonimizowane dane statystyczne dotyczące wniosków osób, których dane dotyczą, do dyrekcji generalnej, służby lub gabinetu, określając liczbę wniosków i liczbę wniosków odrzuconych w całości lub w części. Inspektor ochrony danych określa kategorie wniosków, w odniesieniu do których należy gromadzić dane statystyczne. Inspektor ochrony danych może określić, jakie dalsze szczegółowe informacje należy przedstawić.

Koordynator ds. ochrony danych przechowuje zanonimizowane dane statystyczne dotyczące naruszeń ochrony danych osobowych, którymi zarządza dana dyrekcja generalna, służba lub gabinet; dane te określają łączną liczbę przypadków naruszenia ochrony danych osobowych, liczbę przypadków naruszenia ochrony danych osobowych, o których to przypadkach powiadomiono EIOd, oraz liczbę przypadków naruszenia ochrony danych osobowych zgłoszonych osobom, których dane dotyczą.

11. Koordynator ds. ochrony danych upowszechnia wiedzę o kwestiach związanych z ochroną danych w swojej dyrekcji generalnej lub służbie, doradza administratorom delegowanym i administratorom odpowiedzialnym za operacje przetwarzania w wypełnianiu ich obowiązków i wspiera ich w wypełnianiu tych obowiązków, w szczególności w odniesieniu do:

a) wdrażania ogólnych zasad rozporządzenia (UE) 2018/1725;

b) dokumentowania operacji przetwarzania;

c) przekazywania inspektorowi ochrony danych zapisów dotyczących operacji przetwarzania przez administratorów delegowanych na podstawie art. 10;

d) przygotowania oświadczeń o ochronie prywatności.

12. Koordynatorzy ds. ochrony danych uczestniczą w posiedzeniach i - w stosownych przypadkach - w grupach roboczych koordynatorów ds. ochrony danych.

13. Inspektor ochrony danych wydaje dodatkowe wytyczne w sprawie obowiązków i funkcji koordynatora ds. ochrony danych.

ROZDZIAŁ  3

ADMINISTRATORZY

Artykuł  8

Administratorzy delegowani i administratorzy odpowiedzialni za operacje przetwarzania

1. Administratorzy delegowani działają w imieniu Komisji jako administratorzy do celów stosowania rozporządzenia (UE) 2018/1725.

2. Administratorzy delegowani i administratorzy odpowiedzialni za operacje przetwarzania:

a) mogą konsultować się z inspektorem ochrony danych, za pośrednictwem koordynatora ds. ochrony danych, w sprawie zgodności operacji przetwarzania danych, szczególnie w przypadku wątpliwości co do tej zgodności;

b) informują inspektora ochrony danych, za pośrednictwem koordynatora ds. ochrony danych, o rozpatrywaniu wszelkich wniosków otrzymywanych od osób, których dane dotyczą, w ramach korzystania z przysługujących tym osobom praw.

3. Administrator delegowany:

a) wyznacza administratora odpowiedzialnego za operację przetwarzania, który ma wspierać administratora delegowanego w zapewnieniu przestrzegania przepisów rozporządzenia (UE) 2018/1725, w szczególności w stosunku do osób, których dane dotyczą;

b) zapewnia istnienie wewnętrznych porozumień z innymi dyrekcjami generalnymi lub służbami, jeżeli administrator delegowany prowadzi operacje przetwarzania wspólnie z tymi dyrekcjami generalnymi lub służbami lub jeżeli te dyrekcje generalne lub służby prowadzą część operacji przetwarzania, za które odpowiada administrator delegowany.

Porozumienia, o których mowa w akapicie pierwszym lit. b), określają zakres odpowiedzialności poszczególnych stron w odniesieniu do wypełniania obowiązków w zakresie ochrony danych. W szczególności porozumienia powinny wskazywać administratora delegowanego i określać sposoby i cele operacji przetwarzania, a także administratora odpowiedzialnego za operację przetwarzania odpowiadającego za operację oraz, w stosownych przypadkach, osoby lub podmiotów, które udzielają wsparcia administratorowi odpowiedzialnemu za operację przetwarzania, między innymi za pomocą informacji o ewentualnym naruszeniu ochrony danych lub w celu uwzględnienia praw osób, których dane dotyczą.

4. Administrator odpowiedzialny za operację przetwarzania:

a) przyjmuje i rozpatruje wszystkie wnioski osób, których dane dotyczą;

b) powiadamia Europejskiego Inspektora Ochrony Danych (EIOD) o ewentualnym naruszeniu ochrony danych osobowych;

c) w przypadku naruszenia ochrony danych osobowych informuje o tym koordynatora ds. ochrony danych i inspektora ochrony danych oraz - w stosowanych przypadkach - osobę, której dane dotyczą;

d) zapewnia, by koordynator ds. ochrony danych był informowany o wszelkich kwestiach związanych z ochroną danych, w szczególności o wnioskach osób, których dane dotyczą;

e) wykonuje wszelkie inne zadania wchodzące w zakres niniejszej decyzji na wniosek administratora delegowanego.

ROZDZIAŁ  4

INNE OBOWIĄZKI I PROCEDURY

Artykuł  9

Informacje

Administrator delegowany we współpracy z koordynatorem ds. ochrony danych informuje inspektora ochrony danych, gdy konsultuje się z EIOD lub informuje EIOD zgodnie z rozporządzeniem (UE) 2018/1725, w szczególności na podstawie art. 40 i 41 tego rozporządzenia. Administrator delegowany, administrator odpowiedzialny za operację przetwarzania lub koordynator ds. ochrony danych informuje ponadto inspektora ochrony danych o wszelkich innych bezpośrednich kontaktach z EIOD w związku z wdrażaniem rozporządzenia (UE) 2018/1725.

Artykuł  10

Rejestr

1. Inspektor ochrony danych zapewnia, by prowadzony przez Komisję rejestr operacji przetwarzania danych był dostępny za pośrednictwem strony inspektora ochrony danych na stronie intranetowej Komisji oraz za pośrednictwem strony inspektora ochrony danych na stronie internetowej "Europa".

2. Administratorzy delegowani przekazują inspektorowi ochrony danych, za pośrednictwem swojego koordynatora ds. ochrony danych, zapisy operacji przetwarzania danych za pomocą prowadzonego przez Komisję internetowego systemu powiadamiania, który jest dostępny za pośrednictwem strony inspektora ochrony danych na stronie intranetowej Komisji.

Artykuł  11

Procedura dochodzenia

1. Wnioski o dochodzenie, o których mowa w art. 6 lit. e), są kierowane do inspektora ochrony danych na piśmie. W terminie 15 dni roboczych od otrzymania wniosku inspektor ochrony danych przesyła potwierdzenie odbioru osobie, która zleciła dochodzenie, oraz sprawdza, czy wniosek należy traktować jako poufny w celu zapewnienia poufności w odniesieniu do wniosku, chyba że osoba, której dane dotyczą, wyraża jednoznaczną zgodę na to, by wniosek został rozpatrzony w inny sposób. W przypadku oczywistego nadużycia prawa do wnioskowania o dochodzenie inspektor nie jest zobowiązany do przedstawienia wnioskodawcy sprawozdania.

2. Inspektor zwraca się do administratora delegowanego odpowiedzialnego za daną operację przetwarzania danych o przygotowanie pisemnego oświadczenia. Administrator delegowany przedstawia swoją odpowiedź inspektorowi ochrony danych w ciągu 15 dni roboczych. Inspektor ochrony danych może zwrócić się do administratora delegowanego, podmiotu przetwarzającego dane lub innych stron o informacje uzupełniające w terminie 15 dni roboczych.

3. Inspektor ochrony danych odpowiada osobie, która wnioskowała o przeprowadzenie dochodzenia, nie później niż w ciągu trzech miesięcy od otrzymania wniosku. Bieg tego terminu może zostać wstrzymany do momentu, w którym inspektor ochrony danych otrzyma wszelkie niezbędne informacje, o które wnioskował.

4. Nikt nie może być niekorzystnie traktowany z powodu zwrócenia uwagi inspektora na domniemane naruszenie przepisów rozporządzenia (UE) 2018/1725.

Artykuł  12

Administracja i zarządzanie

1. Do celów administracyjnych inspektor ochrony danych działa przy Sekretariacie Generalnym. W tym kontekście inspektor uczestniczy w przygotowywaniu rocznego planu zarządzania oraz wstępnego projektu budżetu Sekretariatu Generalnego.

2. Inspektor ochrony danych pełni funkcję urzędnika oceniającego wobec pracowników biura ochrony danych. Zastępca Sekretarza Generalnego sprawuje funkcję urzędnika zatwierdzającego ocenę inspektora. Inspektor ochrony danych uczestniczy w odpowiednim zakresie w koordynacji zarządzania Sekretariatem Generalnym.

ROZDZIAŁ  5

OGRANICZENIA PRAW OSÓB, KTÓRYCH DANE DOTYCZĄ

Artykuł  13

Obowiązujące wyjątki i ograniczenia

1. Wykonując swoje obowiązki w odniesieniu do praw osób, których dane dotyczą, zgodnie z rozporządzeniem (UE) 2018/1725, Komisja uwzględnia, czy zastosowanie mają jakiekolwiek wyjątki określone w tym rozporządzeniu.

2. Z zastrzeżeniem art. 14-18 niniejszej decyzji, Komisja może ograniczyć stosowanie art. 14-17, 19, 20 i 35 rozporządzenia (UE) 2018/1725, a także stosowanie zasady przejrzystości określonej w art. 4 ust. 1 lit. a) tego rozporządzenia, w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom określonym w art. 14-17, 19 i 20 rozporządzenia (UE) 2018/1725, w przypadku gdy wykonywanie tych praw i obowiązków zagrażałoby celowi zadań inspektora ochrony danych, między innymi przez ujawnienie jego narzędzi i metod prowadzenia dochodzeń i audytu, lub naruszałoby prawa i wolności innych osób, których dane dotyczą, zgodnie z art. 25 ust. 1 lit. c), g) i h).

3. Z zastrzeżeniem art. 14-18 niniejszej decyzji Komisja może ograniczyć prawa i obowiązki, o których mowa w ust. 2 niniejszego artykułu, w odniesieniu do danych osobowych uzyskanych przez inspektora ochrony danych od służb Komisji lub innych instytucji i organów Unii. Komisja może to uczynić, gdy wykonywanie tych praw i obowiązków może zostać ograniczone przez te służby Komisji, instytucje lub organy Unii na podstawie innych aktów, o których mowa w art. 25 rozporządzenia (UE) 2018/1725, lub zgodnie z rozdziałem IX tego rozporządzenia lub zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/794 ⁶  lub rozporządzeniem Rady (UE) 2017/1939 ⁷ .

Przed zastosowaniem ograniczeń w okolicznościach, o których mowa w akapicie pierwszym, Komisja konsultuje się z odpowiednimi instytucjami lub organami Unii, o ile nie jest jasne dla Komisji, że stosowanie ograniczenia jest przewidziane w jednym z aktów, o których mowa w tym akapicie.

4. Wszelkie ograniczenia stosowania praw i obowiązków, o których mowa w ust. 2 niniejszego artykułu, muszą być konieczne i proporcjonalne i uwzględniać zagrożenia dla praw i wolności osób, których dane dotyczą.

Artykuł  14

Przekazywanie informacji osobom, których dane dotyczą

1. Komisja publikuje na swojej stronie internetowej noty na temat ochrony danych, w których informuje wszystkie osoby, których dane dotyczą, o zadaniach inspektora ochrony danych obejmujących przetwarzanie ich danych osobowych.

2. Komisja indywidualnie informuje, w odpowiedniej formie, każdą osobę fizyczną, którą uznaje za osobę, której dotyczą zadania inspektora ochrony danych, lub za informatora.

3. W przypadku gdy Komisja ogranicza, całkowicie lub częściowo, przekazywanie informacji osobom, których dane dotyczą, o których mowa w ust. 2, zapisuje ona i rejestruje powody ograniczenia zgodnie z art. 17.

Artykuł  15

Prawo dostępu dla osób, których dane dotyczą, prawo do usunięcia danych oraz prawo do ograniczenia przetwarzania

1. W przypadku ograniczenia, całkowitego lub częściowego, prawa dostępu, prawa do usunięcia danych lub prawa do ograniczenia przetwarzania danych osób, których dane dotyczą, o których to prawach mowa odpowiednio w art. 17, 19 i 20 rozporządzenia (UE) 2018/1725, Komisja informuje zainteresowaną osobę, której dane dotyczą, w odpowiedzi na jej wniosek o dostęp, usunięcie lub ograniczenie przetwarzania, o zastosowanych ograniczeniach i o ich głównych przyczynach oraz o możliwości złożenia skargi do Europejskiego Inspektora Ochrony Danych lub do wniesienia środka ochrony prawnej do Trybunału Sprawiedliwości Unii Europejskiej.

2. Przekazanie informacji dotyczących przyczyn ograniczenia, o którym mowa w ust. 1, może zostać wstrzymane, pominięte lub można go odmówić tak długo, jak długo takie przekazanie naruszałoby cel ograniczenia.

3. Komisja zapisuje i rejestruje powody ograniczenia zgodnie z art. 17.

4. W przypadku gdy prawo dostępu jest całkowicie lub częściowo ograniczone, osoba, której dane dotyczą, może skorzystać z prawa dostępu za pośrednictwem EIOD zgodnie z art. 25 ust. 6, 7 i 8 rozporządzenia (UE) 2018/1725.

Artykuł  16

Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

W przypadku gdy Komisja ogranicza zawiadomienie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, jak określono w art. 35 rozporządzenia (UE) 2018/1725, zapisuje ona i rejestruje powody ograniczenia zgodnie z art. 17 niniejszej decyzji.

Artykuł  17

Zapisywanie i rejestrowanie ograniczeń

1. Komisja zapisuje przyczyny wszelkich ograniczeń zastosowanych zgodnie z niniejszą decyzją, dodając przy tym każdorazowo ocenę ich konieczności i proporcjonalności, z uwzględnieniem odpowiednich elementów art. 25 ust. 2 rozporządzenia (UE) 2018/1725.

W tym celu w zapisie określa się, w jaki sposób wykonywanie praw mogłoby zagrozić celowi zadań inspektora ochrony danych wykonywanych na podstawie niniejszej decyzji lub ograniczeń mających zastosowanie zgodnie z art. 13 ust. 2 lub 3, lub jaki negatywny wpływ wywarłoby ono na prawa i wolności innych osób, których dane dotyczą.

2. Zapis oraz, w stosownych przypadkach, leżące u jego podstaw dokumenty zawierające elementy stanu faktycznego oraz aspekty prawne uwzględnia się w protokole. Udostępnia się je EIOD na żądanie.

Artykuł  18

Okres obowiązywania ograniczeń

1. Ograniczenia, o których mowa w art. 14, 15 i 16, mają zastosowanie tak długo, jak długo mają zastosowanie powody uzasadniające ich zastosowanie.

2. W przypadku gdy przyczyny ograniczenia, o którym mowa w art. 14 lub 16, nie mają już zastosowania, Komisja znosi ograniczenie i podaje powody ograniczenia osobie, której dane dotyczą. Jednocześnie Komisja informuje osobę, której dane dotyczą, o możliwości złożenia w dowolnym momencie skargi do EIOD lub możliwości skorzystania ze środka ochrony prawnej przed Trybunałem Sprawiedliwości Unii Europejskiej.

3. Komisja dokonuje przeglądu stosowania ograniczeń, o których mowa w art. 14 i 16, co sześć miesięcy od ich przyjęcia i w każdym razie w momencie zamknięcia odpowiedniego działania inspektora ochrony danych. Następnie raz w roku Komisja monitoruje konieczność zachowania jakichkolwiek ograniczeń lub odroczeń.

Artykuł  19

Przegląd dokonywany przez inspektora ochrony danych

1. W przypadku gdy inne służby Komisji stwierdzają, że prawa osoby, której dane dotyczą, powinny zostać ograniczone na podstawie niniejszej decyzji, informują o tym inspektora ochrony danych. Zapewniają ponadto inspektorowi ochrony danych dostęp do zapisów oraz wszelkich leżących u ich podstaw dokumentów zawierających elementy stanu faktycznego oraz aspekty prawne.

2. Inspektor ochrony danych może zwrócić się do administratora delegowanego w danej służbie Komisji o dokonanie przeglądu stosowania ograniczeń. Administrator delegowany w danej służbie Komisji, informuje na piśmie inspektora ochrony danych osobowych o wyniku wnioskowanego przeglądu.

ROZDZIAŁ  6

PRZEPISY KOŃCOWE

Artykuł  20

Uchylenie

Decyzja 2008/597/WE traci moc.

Artykuł  21

Wejście w życie

Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Sporządzono w Brukseli dnia 3 lipca 2020 r.

	W imieniu Komisji
	Ursula VON DER LEYEN
	Przewodnicząca

1 Dz.U. L 295 z 21.11.2018, s. 39.

2 SEC(2019) 900/2.

3 Decyzja Komisji 2008/597/WE z dnia 3 czerwca 2008 r. w sprawie przyjęcia przepisów wykonawczych w zakresie inspektora ochrony danych zgodnie z art. 24 ust. 8 rozporządzenia (WE) nr 45/2001 o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.U. L 193 z 22.7.2008, s. 7).

4 Rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.U. L 8 z 12.1.2001, s. 1).

5 Rozporządzenie (WE) nr 1049/2001 Parlamentu Europejskiego i Rady z dnia 30 maja 2001 r. w sprawie publicznego dostępu do dokumentów Parlamentu Europejskiego, Rady i Komisji (Dz.U. L 145 z 31.5.2001, s. 43).

6 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/794 z dnia 11 maja 2016 r. w sprawie Agencji Unii Europejskiej ds. Współpracy Organów Ścigania (Europol), zastępujące i uchylające decyzje Rady 2009/371/WSísW, 2009/934/WSiSW, 2009/935/WSiSW, 2009/936/WSiSW i 2009/968/WSiSW (Dz.U. L 135 z 24.5.2016, s. 53).

7 Rozporządzenie Rady (UE) 2017/1939 z dnia 12 października 2017 r. wdrażające wzmocnioną współpracę w zakresie ustanowienia Prokuratury Europejskiej (Dz.U. L 283 z 31.10.2017, s. 1).

• Identyfikator: Dz.U.UE.L.2020.213.12
• Rodzaj: Decyzja
• Tytuł: Decyzja 2020/969 określająca przepisy wykonawcze dotyczące inspektora ochrony danych, ograniczeń praw osób, których dane dotyczą, i stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 oraz uchylająca decyzję Komisji 2008/597/WE
• Data aktu: 03/07/2020
• Data ogłoszenia: 06/07/2020
• Data wejścia w życie: 26/07/2020