Rada Zarządzająca Wspólnego Przedsięwzięcia na rzecz programu EDCTP3 w dziedzinie globalnego zdrowia decyzja nr GB/18/2023 ustanawiająca wewnętrzne zasady dotyczące ograniczenia pewnych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach funkcjonowania Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia [2023/2189]

RADA ZARZĄDZAJĄCA WSPÓLNEGO PRZEDSIĘWZIĘCIA NA RZECZ PROGRAMU EDCTP3 W DZIEDZINIE GLOBALNEGO ZDROWIA DECYZJA nr GB/18/2023

ustanawiająca wewnętrzne zasady dotyczące ograniczenia pewnych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach funkcjonowania Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia [2023/2189]

RADA ZARZĄDZAJĄCA WSPÓLNEGO PRZEDSIĘWZIĘCIA NA RZECZ PROGRAMU EDCTP3 W DZIEDZINIE GLOBALNEGO ZDROWIA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE ("rozporządzenie (UE) 2018/1725") ¹ , w szczególności jego art. 25,

uwzględniając rozporządzenie Rady (UE) 2021/2085 z dnia 19 listopada 2021 r. ustanawiające wspólne przedsięwzięcia w ramach programu "Horyzont Europa" oraz uchylające rozporządzenia (WE) nr 219/2007, (UE) nr 557/2014, (UE) nr 558/2014, (UE) nr 559/2014, (UE) nr 560/2014, (UE) nr 561/2014 i (UE) nr 642/2014 ²  ("Jednolity Akt Podstawowy"),

uwzględniając wytyczne Europejskiego Inspektora Ochrony Danych (EIOD) dotyczące art. 25 rozporządzenia (UE) 2018/1725 i przepisów wewnętrznych z dnia 24 czerwca 2020 r. ³ ,

po zasięgnięciu opinii Europejskiego Inspektora Ochrony Danych w dniu 12 czerwca 2023 r., zgodnie z art. 41 ust. 2 rozporządzenia (UE) 2018/1725,

uwzględniając zalecenia Europejskiego Inspektora Ochrony Danych z dnia 19 czerwca 2023 r.,

po poinformowaniu pracowników Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia,

a także mając na uwadze, co następuje:

(1) Jedynie akty prawne przyjęte na podstawie traktatów mogą przewidywać ograniczenie praw osób, których dane dotyczą. Jeżeli ograniczenia te nie mogą opierać się na aktach prawnych przyjętych na podstawie traktatów, rozporządzenie (UE) 2018/1725 stanowi, że w sprawach dotyczących działalności Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia ograniczenia mogą być przewidziane w wewnętrznych zasadach, w następstwie oceny konieczności i proporcjonalności takich ograniczeń.

(2) Zgodnie z art. 25 ust. 1 rozporządzenia (UE) 2018/1725 ograniczenia w stosowaniu art. 14-22, 35 i 36 tego rozporządzenia, jak również art. 4 tego rozporządzenia w zakresie, w jakim przepisy te odnoszą się do praw i obowiązków przewidzianych w art. 14-20, powinny być oparte na wewnętrznych zasadach przyjętych przez Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia.

(3) Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może, w ramach swojej działalności administracyjnej, prowadzić dochodzenia administracyjne, postępowania przeddyscyplinarne, dyscyplinarne i postępowania dotyczące zawieszenia, czynności wstępne związane z przypadkami potencjalnych nieprawidłowości zgłaszanymi do OLAF, rozpatrywać sprawy związane ze zgłoszeniami przypadków naruszeń przez sygnalistów, przeprowadzać (formalne i nieformalne) procedury dotyczące nękania, rozpatrywać wewnętrzne i zewnętrzne skargi, prowadzić audyty wewnętrzne i zewnętrzne, prowadzić dochodzenia właściwe dla inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725 oraz postępowania wyjaśniające dotyczące bezpieczeństwa (informatycznego) prowadzone wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CER- T-UE).

(4) Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może również prowadzić dochodzenia w sprawie potencjalnych naruszeń przepisów bezpieczeństwa dotyczących informacji niejawnych Unii Europejskiej ("EUCI") na podstawie decyzji określającej przepisy bezpieczeństwa dotyczące ochrony EUCI, którą zamierza przyjąć.

(5) W kontekście takich dochodzeń administracyjnych, audytów i postępowań Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia współpracuje z innymi instytucjami, organami i jednostkami organizacyjnymi Unii.

(6) Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może współpracować z organami krajowymi państw trzecich i organizacjami międzynarodowymi, na ich wniosek lub z własnej inicjatywy.

(7) Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może również podejmować współpracę z organami publicznymi państw członkowskich UE, na ich wniosek lub z własnej inicjatywy.

(8) Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia angażuje się w sprawy przed Trybunałem Sprawiedliwości Unii Europejskiej, w przypadku gdy kieruje kwestię do Trybunału, broni podjętej przez siebie decyzji, którą zaskarżono przed Trybunałem, albo interweniuje w sprawach istotnych dla jego zadań. W tym kontekście Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może być zmuszone do zachowania poufności danych osobowych zawartych w dokumentach uzyskanych przez strony lub interwenientów.

(9) Na potrzeby realizacji swoich zadań Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia gromadzi i przetwarza różne kategorie danych osobowych, takich jak dane umożliwiające identyfikację, dane kontaktowe, dane zawodowe, dane administracyjne, dane pozyskane z określonych źródeł, dane pochodzące z łączności elektronicznej i dane dotyczące ruchu oraz dane związane ze sprawą, takie jak tok rozumowania, dane behawioralne, oceny, dane o zachowaniu i postępowaniu, jak również dane związane lub przekazane w związku z przedmiotem procedury lub czynności ⁴ .

(10) Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia, reprezentowane przez dyrektora wykonawczego, pełni funkcję administratora danych.

(11) Dane osobowe są przechowywane w sposób bezpieczny w środowisku elektronicznym lub w formie papierowej, co zapobiega bezprawnemu dostępowi do tych danych lub przekazywaniu ich osobom, które zgodnie z przepisami nie mają dostępu do tych danych. Przetwarzane dane osobowe są przechowywane przez okres nie dłuższy niż to konieczne i właściwe dla celów, dla których są przetwarzane, określony w zawiadomieniach o ochronie danych, oświadczeniach o ochronie prywatności lub rejestrach Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia.

(12) Na mocy rozporządzenia (UE) 2018/1725 Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia jest zatem zobowiązane do informowania osób, których dane dotyczą, o tych czynnościach przetwarzania oraz do poszanowania ich praw jako osób, których dane dotyczą.

(13) Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może zostać zobowiązane do pogodzenia tych praw z celami dochodzeń administracyjnych, audytów, dochodzeń i postępowań sądowych. Może być również wymagane zapewnienie równowagi między prawami osób, których dane dotyczą, a podstawowymi prawami i wolnościami innych osób, których dane dotyczą. W tym celu zgodnie z art. 25 rozporządzenia (UE) 2018/1725 Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia ma możliwość ograniczenia, na ściśle określonych warunkach, stosowania art. 14-22, 35 i 36 rozporządzenia (UE) 2018/1725, a także jego art. 4, w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-20.

(14) Wewnętrzne zasady powinny mieć zastosowanie do odnośnych operacji przetwarzania danych prowadzonych przed uruchomieniem procedur, o których mowa powyżej, w trakcie tych procedur oraz podczas monitorowania działań następczych podejmowanych w rezultacie wspomnianych procedur oraz przez cały okres, w którym ograniczenie obowiązuje. Powinny one również mieć zastosowanie do wszelkiej pomocy i współpracy ze strony Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia na rzecz organów krajowych i organizacji międzynarodowych, wykraczających poza prowadzone przez nie dochodzenia administracyjne.

(15) W przypadkach, w których zastosowanie mają wewnętrzne zasady, Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia musi uzasadnić, dlaczego ograniczenia są absolutnie niezbędne i proporcjonalne w demokratycznym społeczeństwie i nie naruszają istoty podstawowych praw i wolności.

(16) W tym kontekście Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia jest zobowiązane do przestrzegania - w sposób w pełni zgodny z odpowiednimi przepisami i wytycznymi - praw podstawowych osób, których dane dotyczą, podczas przeprowadzania powyższych procedur, w szczególności tych dotyczących prawa do udzielania informacji, dostępu i sprostowania danych, prawa do usunięcia danych, ograniczenia przetwarzania, prawa do zawiadomienia o naruszeniu ochrony danych osobowych przysługującego osobie, której dane dotyczą, lub poufności łączności elektronicznej, zawartych w rozporządzeniu (UE) 2018/1725.

(17) Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może być jednak zobowiązane do ograniczenia informacji udzielanych osobom, których dane dotyczą, i innych praw osób, których dane dotyczą, w celu zapewnienia ochrony - w szczególności - własnych dochodzeń, dochodzeń i postępowań prowadzonych przez inne organy publiczne, jak również praw innych osób w związku z dochodzeniami lub innymi procedurami.

(18) Przy rozważaniu zastosowania ograniczenia Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia porównuje zagrożenie dla praw i wolności osób, których dane dotyczą, z zagrożeniem - w szczególności - dla praw i wolności innych osób, których dane dotyczą, jak również z zagrożeniem unieważnienia skutku dochodzeń lub procedur Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia, np. ze względu na zniszczenie materiału dowodowego. Zagrożenia dla praw i wolności osób, których dane dotyczą, wiążą się przede wszystkim, choć nie wyłącznie, z zagrożeniem utraty reputacji oraz zagrożeniem dla prawa do obrony oraz prawa do bycia wysłuchanym.

(19) Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może zatem ograniczyć informacje w celu ochrony dochodzenia oraz ochrony praw podstawowych i wolności innych osób, których dane dotyczą.

(20) W celu zagwarantowania jak największej ochrony praw i wolności osób, których dane dotyczą, oraz zgodnie z art. 44 ust. 1 rozporządzenia (UE) 2018/1725 należy w odpowiednim czasie skonsultować z inspektorem ochrony danych wszelkie ograniczenia, które mogą być zastosowane i zweryfikować ich zgodność z niniejszą decyzją.

(21) Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia powinno okresowo monitorować warunki uzasadniające ograniczenie oraz znieść ograniczenie, gdy tylko okoliczności, które je uzasadniają, przestają mieć zastosowanie.

(22) Administrator powinien poinformować inspektora ochrony danych w momencie odroczenia i podczas przeglądów.

(23) Niniejszą decyzję przyjmuje się w drodze procedury pisemnej zgodnie z art. 10 regulaminu wewnętrznego Rady Zarządzającej Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł  1

Przedmiot i zakres stosowania

1. Niniejsza decyzja określa zasady dotyczące warunków, na jakich Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia w ramach własnych procedur określonych w art. 3 niniejszej decyzji może - zgodnie z art. 25 rozporządzenia (UE) 2018/1725 - ograniczyć stosowanie art. 14-22, 35 i 36 rozporządzenia (UE) 2018/1725, jak również art. 4 tego rozporządzenia.

2. Kategorie danych na potrzeby tych procedur obejmują dane umożliwiające identyfikację, dane kontaktowe, dane zawodowe, dane administracyjne, dane pozyskane z określonych źródeł, dane pochodzące z łączności elektronicznej i dane dotyczące ruchu oraz dane związane ze sprawą, takie jak tok rozumowania, dane behawioralne, oceny, dane o zachowaniu i postępowaniu, jak również dane związane z przedmiotem procedury lub czynności.

3. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia, wykonując swoje obowiązki dotyczące ustanowionych w rozporządzeniu (UE) 2018/1725 praw osób, których dane dotyczą, rozważa, czy zastosowanie ma którekolwiek z odstępstw przewidzianych w tym rozporządzeniu.

Artykuł  2

Określenie administratora

Administratorem operacji przetwarzania danych jest Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia reprezentowane przez dyrektora wykonawczego.

Artykuł  3

Ograniczenia

1. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może ograniczyć stosowanie art. 14-22, 35 i 36 rozporządzenia (UE) 2018/1725, a także jego art. 4, w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-20:

a) na podstawie art. 25 ust. 1 lit. b), c), f),

g) i

h) rozporządzenia (UE) 2018/1725 podczas prowadzenia dochodzeń administracyjnych, postępowań przeddyscyplinarnych, dyscyplinarnych i postępowań dotyczących zawieszenia na mocy art. 86 i załącznika IX do regulaminu pracowniczego oraz decyzji nr GB/17/2023 Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia, a także przy zgłaszaniu spraw OLAF-owi;

b) na podstawie art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725 podczas zapewniania, aby pracownicy Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia mogli zgłaszać fakty z zachowaniem poufności, jeżeli uważają, że występują poważne nieprawidłowości, zgodnie z decyzją nr GB/12/2023 Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia w sprawie wewnętrznych zasad dotyczących sygnalizowania nieprawidłowości;

c) na podstawie art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725 podczas zapewniania, aby pracownicy Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia mogli zgłaszać się do zaufanych doradców w kontekście procedury nękania, zgodnie z definicją zawartą w decyzji nr GB/13/2023 Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia;

d) na podstawie art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725 podczas przeprowadzania wewnętrznych i zewnętrznych audytów w odniesieniu do działań lub działów Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia;

e) na podstawie art. 25 ust. 1 lit. c), d), g) i h) rozporządzenia (UE) 2018/1725 podczas udzielania pomocy innym instytucjom, organom i jednostkom organizacyjnym UE lub otrzymywania od nich pomocy, lub współpracy z nimi w kontekście działań prowadzonych na podstawie lit. a)-d) niniejszego ustępu i zgodnie ze stosownymi umowami o gwarantowanym poziomie usług, protokołami ustaleń i umowami o współpracy;

f) na podstawie art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725 podczas udzielania pomocy organom krajowym państw trzecich i organizacjom międzynarodowym lub otrzymywania od nich pomocy, lub współpracy z nimi, na ich wniosek lub z własnej inicjatywy;

g) na podstawie art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725 podczas udzielania pomocy organom publicznym państw członkowskich lub otrzymywania od nich pomocy, lub współpracy z nimi, na ich wniosek lub z własnej inicjatywy;

h) na podstawie art. 25 ust. 1 lit. e) rozporządzenia (UE) 2018/1725 podczas przetwarzania danych osobowych znajdujących się w dokumentach otrzymanych od stron lub interwenientów w kontekście postępowań przed Trybunałem Sprawiedliwości Unii Europejskiej;

i) na podstawie art. 25 ust. 1 lit. c) i h) rozporządzenia (UE) 2018/1725 podczas przetwarzania danych osobowych podczas dochodzeń prowadzonych przez inspektora ochrony danych zgodnie z art. 45 ust. 2 rozporządzenia (UE) 2018/1725;

j) na podstawie art. 25 ust. 1 lit. c), d), g) i h) rozporządzenia (UE) 2018/1725 podczas przetwarzania danych osobowych podczas postępowań wyjaśniających dotyczących bezpieczeństwa informatycznego prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych (np. CERT-UE);

k) na podstawie art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725 podczas przetwarzania danych osobowych w ramach zarządzania dotacjami lub procedury udzielania zamówień po upływie terminu składania zaproszeń do składania wniosków lub składania ofert.

2. Jako szczególne zastosowanie ograniczeń opisanych w ust. 1 powyżej Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może zastosować ograniczenia w następujących okolicznościach:

a) w odniesieniu do danych osobowych wymienianych ze służbami Komisji lub z innymi instytucjami, organami i jednostkami organizacyjnymi Unii;

(i) jeżeli służby Komisji lub inne instytucje, organy i jednostki organizacyjne Unii są upoważnione do ograniczenia wykonywania wymienionych praw na podstawie innych aktów, o których mowa w art. 25 rozporządzenia (UE) 2018/1725 lub zgodnie z rozdziałem IX tego rozporządzenia lub aktami założycielskimi innych instytucji, organów i jednostek organizacyjnych Unii;

(ii) jeżeli cel takiego ograniczenia ze strony służby Komisji, instytucji, organu lub jednostki organizacyjnej Unii byłby zagrożony, w przypadku gdy Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia nie stosowałoby równoważnego ograniczenia w odniesieniu do tych samych danych osobowych;

b) w odniesieniu do danych osobowych wymienianych z właściwymi organami państw członkowskich;

(i) jeżeli właściwe organy państw członkowskich są uprawnione do ograniczenia wykonywania praw wymienionych w wykazie na podstawie aktów, o których mowa w art. 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 ⁵ , lub na mocy środków krajowych transponujących art. 13 ust. 3, art. 15 ust. 3 lub art. 16 ust. 3 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 ⁶ ,

(ii) jeżeli cel takiego ograniczenia ze strony właściwego organu byłby zagrożony, w przypadku gdy Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia nie stosowałoby równoważnego ograniczenia w odniesieniu do tych samych danych osobowych;

c) w odniesieniu do danych osobowych wymienianych z państwami trzecimi lub organizacjami międzynarodowymi, w przypadku gdy istnieją wyraźne dowody na to, że wykonywanie tych praw i obowiązków może zagrozić współpracy Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia z państwami trzecimi lub organizacjami międzynarodowymi w wykonywaniu jego zadań.

Przed zastosowaniem ograniczeń w okolicznościach, o których mowa w akapicie pierwszym lit. a) i b), Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia konsultuje się z odpowiednimi służbami Komisji, instytucjami, organami i jednostkami organizacyjnymi Unii lub właściwymi organami państw członkowskich, chyba że jest jasne dla Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia, że stosowanie ograniczenia jest przewidziane w jednym z aktów, o których mowa w tych literach.

3. Jeżeli Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia ogranicza, w całości lub w części, stosowanie praw, o których mowa w ust. 1 i 2 powyżej, podejmuje kroki określone w art. 5 i 6 niniejszej decyzji.

4. Jeżeli osoby, których dane dotyczą, żądają dostępu do swoich danych osobowych przetwarzanych w kontekście co najmniej jednej sprawy lub do konkretnej operacji przetwarzania zgodnie z art. 17 rozporządzenia (UE) 2018/1725, Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia ogranicza się w ocenie wniosku wyłącznie do takich danych osobowych.

Artykuł  4

Określenie zabezpieczeń

1. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia wdraża zabezpieczenia, aby zapobiegać nadużyciom i niezgodnemu z prawem dostępowi do danych osobowych, względem których stosuje się lub można zastosować ograniczenia, lub niezgodnemu z prawem przekazywaniu takich danych. Takie zabezpieczenia obejmują środki techniczne i organizacyjne oraz są w razie potrzeby wyszczególnione w wewnętrznych decyzjach, procedurach i przepisach wykonawczych Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia. Zabezpieczenia te obejmują:

a) jasne określenie ról, obowiązków i etapów proceduralnych;

b) dokumenty w formie papierowej są przechowywane w zabezpieczonych szafkach, do których dostęp ma wyłącznie upoważniony personel;

c) wszystkie dane elektroniczne są przechowywane w bezpiecznej aplikacji informatycznej zgodnej z normami bezpieczeństwa Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia, jak również w konkretnych folderach elektronicznych, do których dostęp ma tylko upoważniony personel. Odpowiedni poziom dostępu jest przyznawany indywidualnie;

d) wszystkie osoby z dostępem do danych mają obowiązek zachować ich poufność;

e) należyte monitorowanie ograniczeń i okresowe przeglądy ich stosowania.

2. Zgodnie z art. 5 ust. 3 niniejszej decyzji zabezpieczenia, o których mowa w ust. 1, powinny podlegać okresowemu przeglądowi.

3. Dane osobowe są przechowywane zgodnie z mającymi zastosowanie przepisami Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia dotyczącymi przechowywania, które mają być określone w rejestrach ochrony danych prowadzonych na podstawie art. 31 rozporządzenia (UE) 2018/1725. Okres przechowywania w żadnym wypadku nie jest dłuższy niż to konieczne i właściwe dla celów, dla których dane są przetwarzane.

Artykuł  5

Konieczność i proporcjonalność ograniczeń

1. Wszelkie ograniczenia wynikające z art. 3 niniejszej decyzji są konieczne i proporcjonalne, zważywszy na zagrożenie dla praw i wolności osób, których dane dotyczą oraz przestrzeganie istoty praw podstawowych i wolności w społeczeństwie demokratycznym.

2. Jeżeli rozważane jest zastosowanie ograniczenia, przeprowadza się analizę konieczności i proporcjonalności opartą na zasadach przedstawionych poniżej. Badanie przeprowadza się również w ramach przeglądu okresowego, po dokonaniu oceny, czy nadal występują faktyczne i prawne powody ograniczenia. Proces ten zostaje udokumentowany wewnętrzną notą oceny dla celów rozliczalności, osobno dla każdego przypadku.

Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia przygotowuje okresowe sprawozdania ze stosowania art. 25 rozporządzenia (UE) 2018/1725.

3. Ograniczenia mają charakter tymczasowy. Ograniczenia stosuje się dopóki zastosowanie mają przyczyny uzasadniające ich stosowanie, w szczególności jeżeli uznaje się, że wykonanie ograniczonego prawa nie unieważniałoby już skutku ograniczenia lub nie wpływałoby już negatywnie na prawa lub wolności innych osób, których dotyczą dane.

Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia dokonuje przeglądu stosowania ograniczenia co sześć miesięcy od chwili przyjęcia ograniczenia, jak również z chwilą zakończenia danego dochodzenia administracyjnego, danej procedury lub danego postępowania. Następnie administrator co sześć miesięcy monitoruje konieczność zachowania jakiegokolwiek ograniczenia.

4. Jeżeli Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia stosuje, w całości lub w części, ograniczenia wynikające z art. 3 niniejszej decyzji, dokumentuje przyczyny ograniczenia, podstawę prawną (podstawy prawne) zgodnie z art. 3 niniejszej decyzji, w tym ocenę konieczności i proporcjonalności ograniczenia.

Rejestr oraz - w stosownych przypadkach - dokumenty opisujące okoliczności faktyczne i prawne leżące u podstaw ograniczenia są dokumentowane. Udostępnia się je Europejskiemu Inspektorowi Ochrony Danych na żądanie.

Artykuł  6

Obowiązek informowania

1. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia zamieszcza informacje o potencjalnym ograniczeniu praw w zawiadomieniach o ochronie danych, oświadczeniach o ochronie prywatności lub rejestrach w rozumieniu art. 31 rozporządzenia (UE) 2018/1725, publikowanych na stronie internetowej lub w intranecie, gdzie zawarta jest informacja dla osób, których dane dotyczą, na temat praw przysługujących im w ramach danej procedury. W informacjach tych podaje się prawa, które mogą podlegać ograniczeniu, przyczyny ograniczenia oraz potencjalny okres obowiązywania ograniczenia.

Bez uszczerbku dla przepisów art. 5 ust. 4 niniejszej decyzji, Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia - w sytuacji gdy jest to proporcjonalne - bez zbędnej zwłoki informuje również na piśmie indywidualnie wszystkie osoby, których dane dotyczą, uznawane za osoby objęte konkretną operacją przetwarzania, o przysługujących im prawach odnośnie do obecnych lub przyszłych ograniczeń.

2. W przypadku gdy Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia ogranicza - całkowicie lub częściowo - prawa określone w art. 3 niniejszej decyzji, informuje osobę, której dane dotyczą, o stosowanym ograniczeniu i jego głównych przyczynach, jak również o możliwości wniesienia skargi do Europejskiego Inspektora Ochrony Danych i możliwości skorzystania z sądowego środka ochrony prawnej przed Trybunałem Sprawiedliwości Unii Europejskiej.

Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 wstrzymać przekazanie informacji, o których mowa w ust. 2, pominąć je lub go odmówić, gdyby mogło ono unieważnić skutek ograniczenia.

Artykuł  7

Zaangażowanie inspektora ochrony danych

1. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia bez zbędnej zwłoki konsultuje się z inspektorem ochrony danych tego przedsięwzięcia przed planowanym ograniczeniem przez administratora stosowania praw osób, których dane dotyczą, lub planowanym rozszerzeniem ograniczenia oraz podczas stosowania takiego ograniczenia lub jego rozszerzeniu, zgodnie z niniejszą decyzją. Administrator zapewnia inspektorowi ochrony danych dostęp do rejestru zawierającego ocenę konieczności i proporcjonalności ograniczenia oraz wszelkich dokumentów dotyczących kontekstu faktycznego lub prawnego.

2. Inspektor ochrony danych może zwrócić się do administratora na piśmie o dokonanie przeglądu stosowania ograniczeń. Administrator informuje inspektora ochrony danych na piśmie o wyniku żądanego przeglądu.

3. Inspektor ochrony danych uczestniczy w procedurze przez cały czas jej trwania. Administrator informuje inspektora ochrony danych o zniesieniu ograniczenia.

4. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia dokumentuje na piśmie zaangażowanie inspektora ochrony danych w stosowanie ograniczeń, a także informacje, które są mu udostępniane.

Artykuł  8

Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

1. Jeżeli Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia jest zobowiązane do powiadomienia o naruszeniu ochrony danych osobowych na podstawie art. 35 ust. 1 rozporządzenia (UE) 2018/1725, może ono w wyjątkowych okolicznościach ograniczyć takie powiadomienie w całości lub w części. W zgłoszeniu dokumentuje powody takiego ograniczenia, podstawę prawną na mocy art. 3 niniejszej decyzji, i ocenę jego konieczności i proporcjonalności. Zgłoszenie to przekazuje się Europejskiemu Inspektorowi Ochrony Danych w momencie zgłoszenia naruszenia ochrony danych osobowych.

2. Jeżeli powody ograniczenia przestają mieć zastosowanie, Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia informuje osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych i informuje ją o głównych powodach ograniczenia oraz o przysługującym jej prawie do wniesienia skargi do Europejskiego Inspektora Ochrony Danych.

Artykuł  9

Poufność łączności elektronicznej

1. W wyjątkowych okolicznościach Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może ograniczyć prawo do poufności łączności elektronicznej na podstawie art. 36 rozporządzenia (UE) 2018/1725. Ograniczenia takie są zgodne z dyrektywą 2002/58/WE Parlamentu Europejskiego i Rady.

2. Jeżeli Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia ogranicza prawo do poufności łączności elektronicznej, informuje daną osobę, której dane dotyczą, w odpowiedzi na jakikolwiek wniosek ze strony osoby, której dane dotyczą, o głównych powodach, na których opiera się zastosowanie ograniczenia, i o jej prawie do wniesienia skargi do Europejskiego Inspektora Ochrony Danych.

3. Wspólne Przedsięwzięcie na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia może wstrzymać, pominąć lub odmówić udzielenia informacji dotyczących przyczyn ograniczenia i prawa do złożenia skargi do Europejskiego Inspektora Ochrony Danych tak długo, jak długo skutkowałoby to uchyleniem skutku ograniczenia. Oceny zasadności takiej decyzji dokonuje się indywidualnie dla każdego przypadku.

Artykuł  10

Wejście w życie

Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Sporządzono w Brukseli dnia 3 sierpnia 2023 r.

1 Dz.U. L 295 z 21.11.2018, s. 39.

2 Dz.U. L 427 z 30.11.2021, s. 17.

3 Dostępne na stronie Wytyczne dotyczące art. 25 rozporządzenia (UE) 2018/1725 |Europejski Inspektor Ochrony Danych (europa.eu)

4 W przypadku współadministracji dane przetwarzane są zgodnie ze środkami i celami ustanowionymi w odpowiednim uzgodnieniu między współadministratorami określonym w art. 28 rozporządzenia (UE) 2018/1725.

5 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. L 119 z 4.5.2016, s. 1).

6 Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, oraz w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. L 119 z 4.5.2016, s. 89).

• Identyfikator: Dz.U.UE.L.2023.2189
• Rodzaj: Regulamin
• Tytuł: Rada Zarządzająca Wspólnego Przedsięwzięcia na rzecz programu EDCTP3 w dziedzinie globalnego zdrowia decyzja nr GB/18/2023 ustanawiająca wewnętrzne zasady dotyczące ograniczenia pewnych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach funkcjonowania Wspólnego Przedsięwzięcia na rzecz Programu EDCTP3 w dziedzinie Globalnego Zdrowia [2023/2189]
• Data aktu: 16/10/2023
• Data ogłoszenia: 16/10/2023
• Data wejścia w życie: 05/11/2023