Document UE

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Decizia 2010/427/UE a Consiliului din 26 iulie 2010 privind organizarea și funcționarea Serviciului European de Acțiune Externă,

având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE [denumit în continuare Regulamentul (UE) 2018/1725], în special articolul 25,

având în vedere avizul Autorității Europene pentru Protecția Datelor în conformitate cu articolul 41 alineatul (2) din Regulamentul (UE) 2018/1725, emis la 28 iunie 2019,

Serviciul European de Acțiune Externă (SEAE) își desfășoară activitățile în conformitate cu Decizia 2010/427/UE.

În conformitate cu articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, restricționarea aplicării articolelor 14-21, 35 și 36, precum și a articolului 4 din Regulamentul (UE) 2018/1725, în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-21, trebuie să se bazeze pe norme interne adoptate de SEAE, în cazul în care acestea nu se bazează pe actele legislative adoptate în temeiul tratatelor.

Aceste norme interne, inclusiv dispozițiile privind evaluarea necesității și a proporționalității unei restricții, nu ar trebui să se aplice în cazul în care un act legislativ adoptat în temeiul tratatelor prevede o restricționare a drepturilor persoanelor vizate.

În îndeplinirea atribuțiilor sale cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, SEAE analizează dacă se aplică vreuna dintre derogările prevăzute de regulament.

Aceste restricții se pot aplica în ceea ce privește diferite drepturi ale persoanelor vizate, inclusiv: dreptul la informație al persoanelor vizate, dreptul de acces, dreptul de rectificare, dreptul la ștergerea datelor, dreptul de restricționare a prelucrării datelor, dreptul de informare a persoanei vizate cu privire la încălcarea securității datelor cu caracter personal sau dreptul la confidențialitatea comunicațiilor.

În cadrul organizării și al funcționării sale, SEAE desfășoară activități care implică date cu caracter personal referitor la care poate fi necesar și proporțional, într-o societate democratică, să se impună o restricție în conformitate cu articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725 pentru a proteja un interes legitim, respectând în același timp esența drepturilor și libertăților fundamentale ale persoanelor vizate.

Aceste restricții se pot aplica mai multor categorii de date cu caracter personal, inclusiv datelor factuale și datelor de evaluare.

Evaluările, observațiile și avizele sunt considerate date cu caracter personal în sensul articolului 3 punctul (1) din Regulamentul (UE) 2018/1725. Aceste proceduri administrative specifice prevăd limitări, în special în ceea ce privește accesul, rectificarea și ștergerea acestor evaluări, observații sau avize în contextul procedurilor de selecție și evaluare a personalului, al activităților serviciului medical și ale serviciului de mediere, precum și în cadrul serviciilor interne de audit și de inspecție pentru delegațiile și oficiile Uniunii.

În ceea ce privește procedurile de selecție și de recrutare, evaluarea personalului și procedurile de achiziții publice, dreptul de acces, de rectificare, de ștergere și de restricționare pot fi exercitate numai în anumite momente, astfel cum se prevede în procedura relevantă, pentru a proteja drepturile altor persoane vizate și pentru a respecta principiul egalității de tratament și caracterul secret al deliberărilor.

Persoana vizată își poate exercita dreptul de rectificare a evaluărilor sau a avizelor personalului și consilierilor medicali ai SEAE, furnizând propriile observații sau un raport al unui medic la alegerea sa.

În ceea ce privește procedurile de selecție și de recrutare, nu este posibilă modificarea avizului sau a evaluării comisiei de evaluare. Acest drept poate fi exercitat prin introducerea unei căi de atac împotriva deciziei comisiei de evaluare. Aprecierile membrilor individuali ai comisiei de evaluare și discuțiile interne ale comisiei de evaluare fac obiectul secretului deliberărilor.

În ceea ce privește aprecierea performanței personalului, inclusiv procedurile de evaluare, nu este posibilă modificarea avizului sau a evaluării diferiților actori care intervin în procedura de evaluare. Persoanele vizate își pot exercita dreptul de rectificare formulând propriile observații sau introducând o cale de atac, astfel cum se prevede în procedura de evaluare a personalului.

Restricționarea drepturilor și obligațiilor în materie de date cu caracter personal se aplică de la caz la caz și nu se menține mai mult timp decât este necesar pentru îndeplinirea scopului restricției.

SEAE se angajează să respecte, în cea mai mare măsură posibilă, drepturile fundamentale ale persoanelor vizate, inclusiv dreptul la informație, dreptul de acces și dreptul de rectificare, dreptul la ștergerea datelor, dreptul de restricționare a prelucrării lor, dreptul de informare a persoanei vizate cu privire la încălcarea securității datelor cu caracter personal sau dreptul la confidențialitatea comunicațiilor, consacrate prin Regulamentul (UE) 2018/1725. Cu toate acestea, SEAE poate fi totodată obligat să restricționeze drepturile și obligațiile în scopul protejării activităților sale și a drepturilor și libertăților fundamentale ale altor persoane,

În conformitate cu articolul 25 din Regulamentul (UE) 2018/1725 (denumit în continuare regulamentul), prezenta decizie stabilește normele privind condițiile în care SEAE, în cadrul activităților sale menționate la alineatul (2), poate restricționa aplicarea drepturilor și a obligațiilor prevăzute la articolele 14-21, 35 și 36, precum și la articolul 4 din regulament, în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la aceleași articole 14-21.

Prezenta decizie se aplică prelucrării datelor cu caracter personal de către SEAE în scopul următoarelor activități:În sensul prezentei decizii, activitățile menționate anterior includ acțiunile de pregătire și acțiunile ulterioare legate direct de aceleași activități.

investigații interne, inclusiv investigații de securitate, anchete administrative, inclusiv cu privire la hărțuire sau nereguli semnalate, proceduri disciplinare și de suspendare;

notificarea cazurilor și sesizarea Oficiului de investigație și de disciplină al Comisiei (IDOC) și a Oficiului European de Luptă Antifraudă (OLAF);

analizele de securitate legate de incidentele de securitate cibernetică sau de abuzarea sistemelor informatice, inclusiv implicarea externă a CERT-UE, asigurarea securității interne prin intermediul supravegherii video, al controlului accesului și al investigării, securizarea sistemelor de comunicații și informații și punerea în aplicare a unor contramăsuri tehnice de securitate;

investigarea chestiunilor legate în mod direct de sarcinile responsabilului cu protecția datelor din cadrul SEAE (denumit în continuare RPD);

audituri interne;

inspecții ale delegațiilor și birourilor UE;

activitățile serviciului medical și ale consilierilor medicali angajați de SEAE;

activitățile serviciului de mediere;

procedurile de achiziții publice;

procedurile de selecție a personalului și aprecierea performanței personalului;

colectarea de date în scopuri de informare, inclusiv de conștientizare a situației, de contrainformații, de alertă timpurie și analiză a informațiilor în sprijinul diferitelor organisme decizionale ale UE cu activități în domeniul politicii externe și de securitate comune (PESC), al politicii de securitate și apărare comune (PSAC), al combaterii terorismului și al amenințărilor hibride;

procedurile privind măsurile restrictive (sancțiuni) care urmăresc realizarea obiectivelor specifice ale Uniunii în domeniul politicii externe și de securitate;

activitățile desfășurate pentru a proteja alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele PESC.

Categoriile de date cu caracter personal prelucrate în legătură cu activitățile menționate mai sus pot conține date factuale și date de evaluare. Datele factuale includ datele referitoare la identificarea personală și alte detalii administrative, metadatele referitoare la comunicațiile electronice și datele privind traficul. Datele de evaluare includ descrierea și evaluarea situațiilor și a circumstanțelor, avize, observații referitoare la persoanele vizate, evaluarea conduitei sau a performanței persoanelor vizate și motivele care stau la baza deciziilor individuale în legătură cu funcționarea administrativă a SEAE.

SEAE instituie garanții specifice pentru a evita încălcarea securității datelor, scurgerile sau divulgarea neautorizată a datelor care fac obiectul unei restricții, cum ar fi:

măsuri de securitate sporite pentru stocarea suporturilor fizice conținând date cu caracter personal;

măsuri de securitate specifice pentru bazele de date și instrumentele electronice;

restricții privind accesul și fișierele-jurnal.

Operatorul de date pentru activitățile de prelucrare a datelor este SEAE. Entitățile organizaționale care pot restricționa drepturile și obligațiile menționate la articolul 1 alineatul (1) sunt serviciile care sunt responsabile de activitățile descrise la articolul 1 alineatul (2).

Restricționarea drepturilor și a obligațiilor în materie de date cu caracter personal nu se menține mai mult timp decât este necesar pentru îndeplinirea scopului restricției. Perioada de păstrare a datelor cu caracter personal care fac obiectul unei restricții se definește ținând seama de scopul prelucrării și include perioada necesară pentru controlul administrativ și judiciar.

SEAE poate aplica o restricție în temeiul prezentei decizii, de la caz la caz, pentru a garanta:

securitatea națională, securitatea publică sau apărarea statelor membre, inclusiv, dar fără a se limita la supravegherea și prelucrarea datelor în scopuri de informare sau pentru protejarea vieților omenești, în special ca răspuns la dezastre naturale sau provocate de om și la atacuri teroriste;

prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor sau executarea sancțiunilor penale, inclusiv, dar fără a se limita la prevenirea amenințărilor la adresa securității publice; aceste investigații pot include anchete administrative, proceduri disciplinare sau investigații ale OLAF, în măsura în care există o legătură cu prevenirea sau investigarea infracțiunilor;

obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele PESC, ori interesele economice sau financiare importante ale Uniunii sau ale unui stat membru, inclusiv, dar fără a se limita la chestiuni monetare, bugetare și fiscale, sănătatea publică și securitatea socială, procedurile de achiziții și investigațiile care servesc unor obiective importante de interes public ale Uniunii;

securitatea internă a instituțiilor și organelor Uniunii, inclusiv, dar fără a se limita la rețelele de comunicații electronice și de informații;

protecția independenței judiciare și a procedurilor judiciare, inclusiv a consultanței juridice;

prevenirea, investigarea, depistarea și urmărirea penală a încălcărilor normelor de etică pentru profesiile reglementate sau a încălcării obligațiilor prevăzute de Statutul funcționarilor și Regulamentul financiar, inclusiv în cazuri care nu au legătură cu infracțiuni;

funcțiile de monitorizare, de inspecție sau de reglementare legate, chiar și ocazional, de exercitarea autorității oficiale în cazurile menționate la literele (a)-(c), inclusiv, dar fără a se limita la audituri direcționate, inspecții sau investigații;

protecția persoanei vizate sau a drepturilor și libertăților altor persoane, inclusiv, dar fără a se limita la protejarea martorilor, a persoanelor intervievate în contextul investigațiilor de securitate, a anchetelor administrative, a inspecțiilor și a auditurilor, precum și a avertizorilor de integritate și a victimelor prezumate ale hărțuirii;

executarea hotărârilor pronunțate în acțiuni în pretenții formulate în temeiul dreptului civil.

Sub rezerva articolelor 4-8, SEAE poate restricționa drepturile și obligațiile menționate la articolul 1 alineatul (1) în ceea ce privește datele cu caracter personal obținute de la o altă instituție, organ, agenție sau oficiu al Uniunii, de la autoritățile competente ale unui stat membru sau ale unei țări terțe ori de la o organizație internațională, în următoarele cazuri:Înainte de a aplica o restricție în temeiul prezentului alineat, SEAE consultă instituția, organul, agenția, oficiul relevant al Uniunii, organizația internațională sau autoritățile competente ale unui stat membru, cu excepția cazului în care este evident că restricția este prevăzută de un act juridic menționat la prezentul alineat sau în care o astfel de consultare ar periclita activitățile SEAE.

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către cealaltă instituție, organism, agenție sau oficiu al Uniunii pe baza actelor lor juridice relevante adoptate în conformitate cu articolul 25 sau cu capitolul IX din regulament sau pe baza actelor de instituire a acestora;

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de autoritățile competente ale unui stat membru pe baza actelor juridice adoptate în conformitate cu articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului sau în conformitate cu alte măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului;

în cazul în care exercitarea acestor drepturi și obligații ar putea periclita cooperarea SEAE cu țări terțe sau cu organizații internaționale în desfășurarea activităților sale, cu excepția situației în care interesele sau drepturile și libertățile fundamentale ale persoanelor vizate prevalează asupra necesității de a coopera cu țările terțe sau organizațiile internaționale respective.

Înainte de a aplica o restricție, SEAE analizează dacă aceasta este necesară și proporțională într-o societate democratică și dacă respectă esența drepturilor și libertăților fundamentale ale persoanelor vizate.La evaluarea necesității și a proporționalității pentru fiecare caz, SEAE:Această evaluare a necesității și a proporționalității, precum și motivele unei restricții trebuie să fie documentate. În acest scop, toate restricțiile trebuie înregistrate în mod specific în inventarul gestionat de operatorul de date și trebuie să indice modul în care exercitarea drepturilor și a obligațiilor restricționate menționate la articolul 1 alineatul (1) ar periclita scopul activităților menționate la articolul 1 alineatul (2) sau ar aduce atingere drepturilor și libertăților altor persoane. Trebuie înregistrate, de asemenea, documentele care conțin elementele de fapt și de drept subiacente restricției. Evidențele trebuie să fie puse la dispoziția Autorității Europene pentru Protecția Datelor, la cerere.Accesul la evidențele din inventar, inclusiv la nota de evaluare, este restricționat atât timp cât restricția pe care o justifică rămâne valabilă în conformitate cu alineatele (4) și (5).

analizează riscul pentru drepturile și libertățile persoanei vizate în raport cu riscul pentru drepturile și libertățile altor persoane. Riscurile pentru drepturile și libertățile persoanei vizate se referă în primul rând la viața sa privată, la reputația sa și la momentul în care poate începe să își exercite dreptul la apărare; și

analizează necesitatea de a garanta obiectivul activităților SEAE în temeiul articolului 1 alineatul (2), în special riscul de distrugere sau ascundere a probelor.

Restricția este ridicată de îndată ce motivele care o justifică nu mai există.

Necesitatea de a menține o restricție se reexaminează la intervale corespunzătoare, cel puțin o dată la șase luni de la adoptarea sa și, în orice caz, la încheierea procedurii relevante legate de activitățile menționate la articolul 1 alineatul (2).

Fiecare entitate organizațională îl informează în scris pe RPD, fără întârzieri nejustificate, atunci când restricționează exercitarea drepturilor și a obligațiilor menționate la articolul 1 alineatul (1), când reexaminează restricția și când o extinde sau o elimină. RPD are acces la evidențele întocmite în conformitate cu articolul 3 alineatul (3).

RPD îi poate solicita operatorului de date, în scris, să reexamineze aplicarea restricției. Operatorul de date îl informează pe RPD, în scris, cu privire la rezultatul reexaminării solicitate.

Documentele prevăzute la prezentul articol se pun la dispoziția AEPD, la cerere.

SEAE publică pe site-ul său web sau pe pagina de intranet declarațiile sale de confidențialitate și avizele privind protecția datelor prin care informează persoanele vizate cu privire la activitățile sale care implică prelucrarea de date cu caracter personal, la drepturile lor și la eventualele restricții.

Dreptul la informație poate fi restricționat de către operatorul de date în ceea ce privește activitățile prevăzute la articolul 1 alineatul (2) punctele (i), (ii), (iii), (iv), (v), (vi), (viii), (xi), (xii) și (xiii). Fără a aduce atingere alineatului (4), atunci când acest lucru este proporțional, SEAE informează individual persoanele vizate cu privire la aplicarea restricției, fără întârzieri nejustificate și în scris. În cazul în care o cerere a unei persoane vizate este respinsă din cauza unei restricții, persoana vizată este informată cu privire la motivele principale pe care se bazează restricția și la dreptul său de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor.

O restricție în temeiul prezentului articol se aplică în conformitate cu articolele 3 și 4.

Furnizarea de informații cu privire la o restricție în temeiul prezentei decizii poate fi amânată, omisă sau refuzată dacă ar anula efectul restricției. Amânarea, omisiunea sau refuzul se aplică în conformitate cu dispozițiile articolelor 3 și 4.

Dreptul de acces prevăzut la articolul 17 din regulament poate fi restricționat în ceea ce privește activitățile prevăzute la articolul 1 alineatul (2) punctele (i), (ii), (iii), (iv), (v), (vi), (vii), (viii), (x), (xi), (xii) și (xiii).

În cazul în care persoanele vizate solicită accesul la datele lor cu caracter personal prelucrate în contextul unei activități specifice menționate la articolul 1 alineatul (2), SEAE își limitează răspunsul la datele cu caracter personal prelucrate pentru activitatea respectivă.

În cazul în care restricționează, integral sau parțial, dreptul de acces al persoanei vizate la datele cu caracter personal, astfel cum se prevede la articolul 17 din Regulamentul (UE) 2018/1725, SEAE informează persoana vizată, în scris, în răspunsul său la cererea de acces, fără întârzieri nejustificate, cu privire la restricția aplicată și la motivele principale pe care se bazează restricția. Furnizarea de informații cu privire la motivele restricției poate fi amânată, omisă sau refuzată dacă ar submina scopul restricției.

SEAE poate restricționa, de la caz la caz, dreptul persoanei vizate de a accesa direct date medicale de natură psihologică sau psihiatrică, în cazul în care accesul la astfel de date este susceptibil să reprezinte un risc pentru sănătatea persoanei vizate. Această restricție este proporțională cu ceea ce este strict necesar pentru a proteja persoana vizată. În astfel de cazuri, accesul la informații este acordat unui medic la alegerea persoanei vizate.

O restricție în temeiul prezentului articol se aplică în conformitate cu articolele 3, 4 și 5.

Dreptul la rectificare, dreptul la ștergerea datelor și dreptul la restricționarea prelucrării prevăzute la articolul 18, la articolul 19 alineatul (1) și la articolul 20 alineatul (1) din regulament pot fi restricționate în ceea ce privește activitățile prevăzute la articolul 1 alineatul (2) punctele (i), (ii), (iii), (iv), (v), (vi), (vii), (viii), (ix), (x), (xi), (xii) și (xiii).

În ceea ce privește datele medicale, persoanele vizate își pot exercita dreptul de rectificare a evaluărilor sau a avizelor personalului și consilierilor medicali ai SEAE, furnizând propriile observații sau un raport al unui medic la alegerea lor.

O restricție în temeiul prezentului articol se aplică în conformitate cu articolele 3, 4 și 5.

Dreptul la informarea persoanelor vizate cu privire la încălcarea securității datelor cu caracter personal prevăzut la articolul 35 din regulament poate fi restricționat în ceea ce privește activitățile prevăzute la articolul 1 alineatul (2) punctele (i), (ii), (iii), (iv), (v), (vi), (viii), (xi), (xii) și (xiii).

O restricție în temeiul prezentului articol se aplică în conformitate cu articolele 3, 4 și 5.

Obligația de a asigura confidențialitatea comunicațiilor electronice poate fi restricționată numai în ceea ce privește activitățile prevăzute la articolul 1 alineatul (2) punctele (i), (ii), (iii), (iv), (xi), (xii) și (xiii) în următoarele cazuri excepționale:

dacă restricționarea obligației de a asigura confidențialitatea identificării apelantului este necesară pentru detectarea apelurilor nedorite;

dacă restricționarea obligației de a asigura confidențialitatea identificării apelantului și a datelor de localizare este necesară pentru a permite serviciilor de urgență să intervină în mod eficace;

dacă restricționarea obligației de a asigura confidențialitatea comunicațiilor, a datelor privind traficul și a datelor de localizare este necesară pentru a garanta securitatea națională, securitatea publică sau apărarea statelor membre, securitatea internă a instituțiilor și organelor Uniunii, prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor, încălcarea dispozițiilor prevăzute de Statutul funcționarilor și de Regulamentul financiar sau utilizarea neautorizată a sistemului de comunicații electronice, astfel cum sunt menționate la articolul 25 din regulament.

O restricție în temeiul prezentului articol se aplică în conformitate cu articolele 3, 4 și 5.

Prezenta decizie intră în vigoare în ziua următoare datei publicării în Jurnalul Oficial al Uniunii Europene.

Adoptată la Bruxelles, 1 octombrie 2019.Federica MogheriniÎnaltul Reprezentant