ZARZĄD EUROPOLU,uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,
uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/794 z dnia 11 maja 2016 r. w sprawie Agencji Unii Europejskiej ds. Współpracy Organów Ścigania (Europol), zastępujące i uchylające decyzje Rady 2009/371/WSiSW, 2009/934/WSiSW, 2009/935/WSiSW, 2009/936/WSiSW i 2009/968/WSiSW 1 (zwane dalej "rozporządzeniem w sprawie Europolu"), w szczególności jego art. 46,
uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE 2 , w szczególności jego art. 25,
uwzględniając wytyczne Europejskiego Inspektora Ochrony Danych ("EIOD") w sprawie art. 25 tego rozporządzenia i przepisów wewnętrznych z grudnia 2018 r.,
uwzględniając uwagi Europejskiego Inspektora Ochrony Danych (EIOD) w sprawie projektu decyzji zarządu Europolu w sprawie przepisów wewnętrznych dotyczących ograniczenia pewnych praw osób, których dane dotyczą, w związku z przetwarzaniem administracyjnych danych osobowych przez Europol z dnia 14 stycznia 2020 r.,
a także mając na uwadze, co następuje:(1) Europol przetwarza dane operacyjne i nieoperacyjne (administracyjne) niezwiązane z postępowaniami przygotowawczymi, takie jak dane osobowe pracowników Europolu, usługodawców lub osób odwiedzających. Przetwarzanie danych operacyjnych podlega przepisom rozporządzenia w sprawie Europolu, natomiast przetwarzanie danych nieoperacyjnych (administracyjnych) podlega przepisom rozporządzenia (UE) 2018/1725.
(2) Zgodnie z art. 25 ust. 1 rozporządzenia (UE) 2018/1725 ograniczenia w stosowaniu art. 14-22, 35 i 36, jak również art. 4 tego rozporządzenia, w zakresie, w jakim przepisy te odnoszą się do praw i obowiązków przewidzianych w art. 14-22, o ile nie opierają się na aktach prawnych przyjętych na podstawie Traktatów, powinny być oparte na zasadach wewnętrznych przyjętych przez Europol.
(3) Takie zasady wewnętrzne, w tym przepisy dotyczące oceny konieczności i proporcjonalności ograniczenia, nie powinny mieć zastosowania, gdy ograniczenie praw osób, których dane dotyczą, określa akt prawny przyjęty na podstawie Traktatów.
(4) W ramach swojego funkcjonowania Europol może prowadzić dochodzenia administracyjne, postępowania przed-dyscyplinarne, dyscyplinarne i zawieszające. Dochodzenia administracyjne powinny być prowadzone przez Służbę Dochodzeń Wewnętrznych reprezentującą również organ upoważniony do zawierania umów o pracę, o których mowa w art. 6 warunków zatrudnienia, przed Komisją Dyscyplinarną na podstawie art. 86 regulaminu pracowniczego urzędników Unii Europejskiej 3 oraz zgodnie z decyzją zarządu Europolu ustanawiającą ogólne przepisy wykonawcze dotyczące prowadzenia dochodzeń administracyjnych i postępowań dyscyplinarnych (EDOC #417349).
(5) Pracownicy Europolu mają obowiązek zgłaszania przypadków potencjalnie nielegalnej działalności, w tym nadużyć finansowych lub korupcji, szkodzących interesom Unii lub postępowania związanego z wykonywaniem obowiązków służbowych, które może stanowić poważne zaniedbanie w wypełnianiu zobowiązań urzędników unijnych. Kwestia ta została szczegółowo wyjaśniona w wytycznych dla pracowników Europolu w sprawie ustaleń dotyczących informowania o nieprawidłowościach (EDOC #903736).
(6) Europol opracował politykę zapobiegania oraz skutecznego i efektywnego postępowania w przypadku faktycznego lub potencjalnego mobbingu lub molestowania seksualnego w miejscu pracy, zgodnie z decyzją zarządu Europolu w sprawie polityki ochrony godności osoby i zapobiegania mobbingowi i molestowaniu seksualnemu (EDOC # 958626). Decyzja ustanawia nieformalną procedurę, w ramach której osoba będąca domniemaną ofiarą mobbingu lub molestowania seksualnego może skontaktować się z zaufanymi doradcami Europolu.
(7) Inspektor ochrony danych może, zgodnie z art. 13 decyzji zarządu Europolu w sprawie ustanowienia przepisów wykonawczych dotyczących inspektora ochrony danych (EDOC# 845687), prowadzić dochodzenia dotyczące przedmiotu wniosku.
(8) Europol może przeprowadzać audyty prowadzonych przez siebie działań za pośrednictwem jednostki audytu wewnętrznego Europolu, która została ustanowiona przez zarząd na posiedzeniu mającym miejsce w dniu 1 maja 2017 r., zgodnie z art. 11 ust. 1 rozporządzenia w sprawie Europolu, i która podlega wyłącznie temu organowi.
(9) W kontekście wyżej wymienionych zadań Europol może udzielać i korzystać z pomocy, a także angażować się we wzajemną współpracę z innymi instytucjami, organami i jednostkami organizacyjnymi Unii, zgodnie z postanowieniami odpowiednich umów o gwarantowanym poziomie usług, protokołów ustaleń i umów o współpracy.
(10) Może zaistnieć konieczność pogodzenia praw osób, których dane dotyczą, zgodnie z rozporządzeniem (UE) 2018/1725, z potrzebami wyżej wymienionych działań, przy pełnym poszanowaniu podstawowych praw i wolności innych osób, których dane dotyczą. W tym celu art. 25 rozporządzenia (UE) 2018/1725 przewiduje, na ściśle określonych warunkach, możliwość ograniczenia stosowania art. 14-20, 35 i 36, jak również art. 4 w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-20. W tym przypadku konieczne jest przyjęcie zasad wewnętrznych, na mocy których Europol może ograniczać te prawa zgodnie z tym samym artykułem rozporządzenia (UE) 2018/1725.
(11) W szczególności może to mieć miejsce w przypadku przekazywania informacji na temat przetwarzania danych osobowych osobie, której dane dotyczą, na etapie wstępnej oceny dochodzenia administracyjnego lub w trakcie samego dochodzenia, przed ewentualnym oddaleniem sprawy lub etapem poprzedzającym postępowanie dyscyplinarne. W pewnych okolicznościach dostarczenie takich informacji może poważnie wpłynąć na zdolność Służby Dochodzeń Wewnętrznych do skutecznego prowadzenia dochodzenia, na przykład w każdym przypadku, gdy istnieje ryzyko, że dana osoba zniszczy dowody lub będzie wpływać na potencjalnych świadków przed przesłuchaniem. Ponadto konieczne może być zapewnienie przez Europol ochrony ich praw i wolności, jak również praw i wolności innych zaangażowanych osób.
(12) Konieczna może być ochrona poufności świadka lub sygnalisty, który zwrócił się o nieujawnianie jego tożsamości. W takim przypadku Europol może podjąć decyzję o ograniczeniu dostępu do danych dotyczących tożsamości, oświadczeń i innych danych osobowych sygnalisty i innych zaangażowanych osób, w celu ochrony ich praw i wolności.
(13) Może zaistnieć konieczność ochrony poufności zeznań pracownika, który skontaktował się z zaufanymi doradcami Europolu w kontekście procedury dotyczącej mobbingu lub molestowania. W takim przypadku Europol może podjąć decyzję o ograniczeniu dostępu do danych dotyczących tożsamości, oświadczeń i innych danych osobowych domniemanej ofiary, domniemanego sprawcy i innych zaangażowanych osób, w celu ochrony ich praw i wolności.
(14) W trakcie prowadzenia dochodzeń w sprawie czynności przetwarzania mających miejsce w Europolu może zaistnieć konieczność zachowania przez inspektora ochrony danych skuteczności prowadzonych przez siebie dochodzeń oraz, w razie potrzeby, ochrony osób zaangażowanych oraz ich praw i wolności.
(15) Europol powinien stosować ograniczenia tylko wtedy, gdy respektują one istotę podstawowych praw i wolności oraz są bezwzględnie konieczne i proporcjonalne w demokratycznym społeczeństwie. Europol powinien przedstawić uzasadnienie wyjaśniające powody tych ograniczeń.
(16) W oparciu o zasadę rozliczalności Europol powinien prowadzić rejestr stosowania ograniczeń.
(17) Przetwarzając administracyjne dane osobowe wymieniane z innymi organizacjami w ramach wykonywania swoich zadań, Europol powinien konsultować się z tymi organizacjami i uzyskiwać od nich informacje w sprawie możliwych istotnych powodów nałożenia ograniczeń oraz konieczności i proporcjonalności tych ograniczeń, chyba że zagroziłoby to działalności Europolu.
(18) Artykuł 25 ust. 6 rozporządzenia (UE) 2018/1725 zobowiązuje administratora danych do informowania osób, których dane dotyczą, o głównych powodach, na których opiera się stosowanie ograniczenia, oraz o ich prawie do złożenia skargi do Europejskiego Inspektora Ochrony Danych (EIOD).
(19) Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 Europol może odroczyć, pominąć udzielenie informacji na temat przyczyn zastosowania ograniczenia wobec osoby, której dane dotyczą, lub odmówić udzielenia tych informacji, jeżeli w jakikolwiek sposób unieważniłoby to skutek ograniczenia.
(20) Europol powinien ocenić w poszczególnych przypadkach i we współpracy z inspektorem ochrony danych, czy powiadomienie o ograniczeniu unieważniłoby jego skutek.
(21) W celu zagwarantowania jak największej ochrony praw i wolności osób, których dane dotyczą, oraz zgodnie z art. 44 ust. 1 rozporządzenia (UE) 2018/1725, inspektor ochrony danych powinien być informowany w odpowiednim czasie o wszelkich zastosowanych ograniczeniach i zweryfikować zgodność z niniejszą decyzją.
(22) Stosowanie wyżej wymienionych ograniczeń pozostaje bez uszczerbku dla ewentualnego zastosowania przepisów art. 16 ust. 5 i art. 17 ust. 4 rozporządzenia (UE) 2018/1725 odnoszących się, odpowiednio, do prawa do informacji, gdy dane nie zostały uzyskane od osoby, której dane dotyczą, oraz do prawa dostępu przysługującego osobie, której dane dotyczą,
PRZYJMUJE NINIEJSZĄ DECYZJĘ: