Document UE

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE, în special articolul 25,

având în vedere Decizia 2007/198/Euratom a Consiliului din 27 martie 2007 de înființare a întreprinderii comune europene pentru ITER și pentru dezvoltarea energiei de fuziune, cu oferirea unor avantaje conexe (denumită în continuare Fusion for Energy), în special articolul 6,

având în vedere statutul anexat la decizia menționată anterior, în special articolele 6 și 10,

având în vedere Statutul funcționarilor și Regimul aplicabil celorlalți agenți ai Uniunii Europene (Statutul funcționarilor), în special articolul 2 alineatul (3) și articolul 30 din anexa IX la statut,

având în vedere Regulamentul (UE, Euratom) nr. 883/2013 al Parlamentului European și al Consiliului din 11 septembrie 2013 privind investigațiile efectuate de Oficiul European de Luptă Antifraudă (OLAF) și de abrogare a Regulamentului (CE) nr. 1073/1999 al Parlamentului European și al Consiliului și a Regulamentului (Euratom) nr. 1074/1999 al Consiliului,

având în vedere Ghidul Autorității Europene pentru Protecția Datelor (AEPD) din 18 decembrie 2018 și Avizul său din 26 iulie 2019 exprimat ca urmare a notificării transmise în conformitate cu articolul 41 alineatul (2) din Regulamentul (UE) 2018/1725,

după consultarea Comitetului pentru personal,

Fusion for Energy își desfășoară activitatea în conformitate cu statutul anexat la Decizia 2007/198/Euratom.

În conformitate cu articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, restricționarea aplicării articolelor 14-22, 35 și 36, precum și a articolului 4 din regulamentul respectiv, în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-22, trebuie să aibă la bază normele interne care urmează să fie adoptate de Fusion for Energy, dacă acestea nu au la bază actele legislative adoptate în baza tratatelor.

Aceste norme interne, inclusiv dispozițiile sale privind evaluarea necesității și a proporționalității unei restricții, nu trebuie să se aplice în cazul în care un act legislativ adoptat în temeiul tratatelor prevede o restricționare a drepturilor persoanelor vizate.

În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, Fusion for Energy analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul menționat.

În cadrul funcționării administrative, Fusion for Energy poate desfășura investigații administrative și proceduri disciplinare în conformitate cu normele prevăzute în Statutul funcționarilor.De asemenea, Fusion for Energy poate desfășura activități preliminare privind cazuri de eventuale nereguli raportate la OLAF, poate prelucra cazuri de avertizare în interes public, proceduri (oficiale și neoficiale) de hărțuire, poate soluționa plângeri interne și externe, poate prelucra date medicale, poate desfășura audituri interne, investigații prin responsabilul cu protecția datelor, conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725, precum și investigații de securitate (TI) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

Fusion for Energy prelucrează mai multe categorii de date cu caracter personal, inclusiv date concrete (date obiective, cum ar fi date de identificare, date de contact, date profesionale, detalii administrative, date primite din surse specifice, date privind comunicațiile electronice și privind traficul) și/sau date calitative (date subiective referitoare la caz, cum ar fi datele obținute din raționamente, comportamentale, evaluări, date privind performanța și conduita și date referitoare la sau prezentate în legătură cu obiectul procedurii sau al activității).

Fusion for Energy, reprezentată de directorul său executiv, îndeplinește rolul de operator de date, fără a ține seama de delegarea ulterioară a rolului de operator în cadrul Fusion for Energy, prin care se reflectă responsabilitățile operaționale pentru operațiuni de prelucrare specifice a datelor cu caracter personal.

Datele cu caracter personal sunt stocate în condiții de siguranță într-un mediu electronic sau pe hârtie, împiedicând-se accesarea ilegală sau transferul de date către persoane care nu au nevoie să le cunoască. Datele cu caracter personal prelucrate sunt păstrate doar atâta timp cât este necesar și adecvat în scopurile pentru care sunt prelucrate datele pentru perioada specificată în notificările privind protecția datelor, în declarațiile de confidențialitate sau în evidențele Fusion for Energy.

Normele interne trebuie să fie aplicabile, de asemenea, operațiunilor de prelucrare efectuate înainte de procedurile la care s-a făcut referire în considerentul 5, pe durata acestor proceduri, precum și pe durata monitorizării rezultatelor procedurilor. De asemenea, trebuie să includă asistența și cooperarea furnizate de Fusion for Energy autorităților naționale și organizațiilor internaționale în afara anchetelor administrative.Aceste norme interne trebuie să se aplice, de asemenea, activităților legate de cooperarea cu organe și instituții ale UE și de transmiterea către acestea a unor informații privind anchetele administrative sau procedurile disciplinare. În acest scop, Fusion for Energy trebuie să consulte instituțiile, organele, oficiile, agențiile, autoritățile sau organizațiile respective cu privire la motivele relevante pentru impunerea restricțiilor și cu privire la necesitatea și proporționalitatea restricțiilor.

În cazurile în care se aplică aceste norme interne, Fusion for Energy trebuie să ofere justificări, explicând de ce restricțiile sunt strict necesare și adecvate într-o societate democratică, și să respecte esența drepturilor și libertăților fundamentale.

În acest cadru general, Fusion for Energy are obligația de a respecta, în cea mai mare măsură posibilă, drepturile fundamentale ale persoanelor vizate în timpul procedurilor de mai sus, în special pe cele referitoare la dreptul de furnizare de informații, de acces și de rectificare, dreptul de ștergere a datelor, de restricționare a prelucrării lor, dreptul de comunicare a unei încălcări a securității datelor cu caracter personal către persoana vizată sau dreptul la confidențialitatea comunicării, potrivit dispozițiilor Regulamentului (UE) 2018/1725.

Cu toate acestea, este posibil ca Fusion for Energy să aibă obligația de a restricționa informarea persoanei vizate și alte drepturi ale persoanei vizate pentru a proteja în special investigațiile și procedurile proprii, investigațiile și procedurile altor autorități publice, precum și drepturile altor persoane legate de investigațiile sale sau de alte proceduri.

Astfel, Fusion for Energy poate restricționa informarea în scopul protejării investigației și a drepturilor și libertăților fundamentale ale altor persoane vizate.Prin urmare, Fusion for Energy poate, în special, să amâne informarea pentru a-și proteja anchetele administrative și procedurile disciplinare, investigațiile și procedurile altor autorități publice, precum și pentru a proteja identitatea informatorilor și a altor persoane implicate în proceduri, inclusiv a avertizorilor de integritate și a martorilor care nu trebuie să suporte repercusiuni legate de cooperarea lor.În temeiul articolului 25 alineatul (8) din Regulamentul (UE) 2018/1725, operatorul poate să amâne, să omită sau să refuze furnizarea informațiilor cu privire la motivele aplicării unei restricții persoanei vizate, dacă informațiile respective ar putea anula efectul restricției impuse.

Fusion for Energy trebuie să urmărească periodic dacă mai există condițiile care justifică restricția și să ridice restricția în cazul în care condițiile respective nu se mai aplică.

Operatorul trebuie să informeze responsabilul cu protecția datelor în momentul amânării furnizării informațiilor sau atunci când se aplică alte restricții asupra drepturilor persoanei vizate și pe durata reviziilor,

Prezenta decizie stabilește normele referitoare la condițiile în care Fusion for Energy, în cadrul general al procedurilor sale prevăzute la alineatul (2), poate restricționa aplicarea drepturilor consacrate la articolele 14-21, 35 și 36, precum și la articolul 4, cu respectarea articolului 25 din Regulamentul (UE) 2018/1725.

În cadrul funcționării administrative a Fusion for Energy, prezenta decizie se aplică operațiunilor de prelucrare a datelor cu caracter personal de către Fusion for Energy, în următoarele scopuri: desfășurarea anchetelor administrative și a procedurilor disciplinare, precum și efectuarea activităților preliminare legate de cazurile de eventuale nereguli raportate la OLAF, prelucrarea procedurilor de avertizare în interes public, prelucrarea procedurilor (oficiale și neoficiale) privind cazurile de hărțuire, tratarea plângerilor interne și externe, prelucrarea datelor medicale, desfășurarea auditurilor interne, derularea investigațiilor de către responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725 și a investigațiilor de securitate (TI) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

Categoriile de date în discuție sunt date concrete (date obiective, cum ar fi date de identificare, date de contact, date profesionale, detalii administrative, date primite din surse specifice, date privind comunicațiile electronice și privind traficul) și/sau date calitative (date subiective referitoare la caz, cum ar fi datele obținute din raționamente, date comportamentale, evaluări, date privind performanța și conduita și date referitoare la sau prezentate în legătură cu obiectul procedurii sau al activității).

În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, Fusion for Energy analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul menționat.

Sub rezerva condițiilor prevăzute în prezenta decizie, restricțiile pot fi aplicabile următoarelor drepturi: de furnizare de informații persoanelor vizate, dreptul de acces, de rectificare, de ștergere, de restricționare a prelucrării, de comunicare a unei încălcări a securității datelor cu caracter personal către persoana vizată sau dreptul la confidențialitatea comunicării.

Garanțiile instituite pentru a evita încălcarea securității datelor, scurgerile de date sau divulgarea lor neautorizată sunt următoarele:

documentele pe hârtie se păstrează în dulapuri securizate și sunt accesibile doar personalului autorizat;

toate datele electronice se stochează într-o aplicație informatică securizată conform standardelor de securitate ale Fusion for Energy, precum și în fișiere electronice specifice, la care are acces doar personalul autorizat. Se acordă niveluri corespunzătoare de acces în mod individual;

baza de date este protejată cu parolă într-un sistem sign-on unic și este conectată automat la ID-ul de utilizator și la parolă. Înlocuirea utilizatorilor este strict interzisă. Evidențele electronice se păstrează în condiții de siguranță, pentru a garanta confidențialitatea datelor pe care le conțin;

toate persoanele care au acces la date se supun obligației de confidențialitate.

Operatorul pentru prelucrarea datelor este Fusion for Energy, reprezentată de directorul său, care poate delega funcția de operator. Persoanele vizate vor fi informate cu privire la operatorul delegat prin intermediul unor notificări privind protecția datelor sau al unor evidențe publicate pe site-ul și/sau pe intranetul Fusion for Energy.

Perioada de păstrare a datelor cu caracter personal la care se face referire la articolul 1 alineatul (3) nu va fi mai lungă decât este necesar și adecvat în scopul în care se prelucrează datele. În orice caz, aceasta nu va fi mai lungă decât perioada de păstrare specificată în notificările privind protecția datelor, în declarațiile de confidențialitate sau în evidențele la care se face referire la articolul 5 alineatul (1).

În cazul în care are în vedere aplicarea unei restricții, Fusion for Energy apreciază riscul pentru drepturile și libertățile persoanei vizate, în special în raport cu riscul pentru drepturile și libertățile altor persoane vizate și cu riscul de anulare a efectului investigațiilor sau al procedurilor Fusion for Energy, de exemplu prin distrugerea probelor. Riscurile pentru drepturile și libertățile altei persoane vizate se referă în primul rând la riscurile reputaționale și la riscurile pentru dreptul la apărare și pentru dreptul de a fi ascultat, fără a se limita însă la acestea.

Fusion for Energy aplică eventualele restricții doar pentru a garanta:

prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor sau executarea sancțiunilor penale, inclusiv protejarea împotriva amenințărilor la adresa securității publice și prevenirea acestora;

alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele politicii externe și de securitate comune ale Uniunii sau un interes economic sau financiar important al Uniunii sau al unui stat membru, inclusiv în domeniile monetar, bugetar și fiscal și în domeniul sănătății publice și al securității sociale;

securitatea internă a instituțiilor și a organelor Uniunii, inclusiv a rețelelor lor de comunicații electronice;

protejarea independenței judiciare și a procedurilor judiciare;

prevenirea, investigarea, depistarea și urmărirea penală a încălcării etice în cazul profesiilor reglementate;

o funcție de monitorizare, inspecție sau reglementară legată, chiar și ocazional, de exercitarea autorității oficiale în cazurile menționate la literele (a)-(c);

protecția persoanei vizate sau a drepturilor și libertăților altor persoane;

executarea hotărârilor pronunțate în acțiuni în pretenții formulate în temeiul dreptului civil.

În aplicarea specifică a scopurilor descrise la alineatul (1) de mai sus, Fusion for Energy poate să aplice restricții în ceea ce privește schimbul de date cu caracter personal cu serviciile Comisiei sau cu alte instituții, organe, agenții și oficii ale Uniunii, cu autorități competente ale statelor membre sau cu țări terțe sau organizații internaționale, în următoarele situații:

în cazul în care exercitarea drepturilor și a obligațiilor respective ar putea fi restricționată de serviciile Comisiei sau de alte instituții, organe, agenții și oficii ale Uniunii, în baza altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul respectiv sau cu actele de instituire a altor instituții, organe, agenții și oficii ale Uniunii;

în cazul în care exercitarea drepturilor și obligațiilor respective ar putea fi restricționată de autoritățile competente ale statelor membre în baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului sau în conformitate cu alte măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului;

în cazul în care exercitarea respectivelor drepturi și obligații ar putea periclita cooperarea Fusion for Energy cu țări terțe sau cu organizații internaționale în îndeplinirea sarcinilor sale.

Toate restricțiile vor fi necesare și proporționale, ținând cont de riscurile pentru drepturile și libertățile persoanelor vizate și de respectarea esenței drepturilor și libertăților fundamentale într-o societate democratică.

Dacă se analizează aplicarea restricției, se efectuează un test de necesitate și proporționalitate, în baza prezentelor norme. Acesta este documentat printr-o notă de evaluare internă în scopul respectării principiului responsabilității, de la caz la caz.

Restricțiile sunt ridicate imediat ce circumstanțele care le justifică nu mai sunt aplicabile. În special, în cazul în care se consideră că exercitarea dreptului restricționat nu ar mai anula efectul restricției impuse sau ar aduce atingere drepturilor sau libertăților altor persoane vizate.

Fusion for Energy (operatorul) informează, fără întârzieri nejustificate, responsabilul cu protecția datelor (RPD) al Fusion for Energy ori de câte ori operatorul restricționează aplicarea drepturilor persoanelor vizate sau prelungește restricția, în conformitate cu prezenta decizie. Operatorul acordă responsabilului cu protecția datelor acces la evidențele care cuprind evaluarea necesității și a proporționalității restricției și documentează data informării responsabilului cu protecția datelor în aceste evidențe.

RPD îi poate solicita operatorului în scris revizuirea aplicării restricțiilor. Operatorul informează RPD în scris cu privire la rezultatul revizuirii solicitate.

Operatorul informează RPD la ridicarea restricției.

În cazuri justificate și în condițiile stabilite în prezenta decizie, dreptul la furnizarea de informații poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare:

desfășurarea anchetelor administrative și procedurilor disciplinare;

activități preliminare legate de cazuri ale unor eventuale nereguli raportate la OLAF;

proceduri de avertizare în interes public;

proceduri (oficiale și neoficiale) în cazurile de hărțuire;

tratarea plângerilor interne și externe;

audituri interne;

investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725;

investigații de securitate (TI) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

Fără a aduce atingere dispozițiilor de la alineatul (3), Fusion for Energy, în limitele proporționalității, informează, de asemenea, în mod individual, toate persoanele vizate care sunt considerate persoane interesate în operațiunea specifică de prelucrare, cu privire la drepturile lor legate de restricțiile prezente sau viitoare, fără întârzieri nejustificate și în scris.

În cazurile în care restricționează, integral sau parțial, furnizarea de informații către persoanele vizate, la care se face referire la alineatul (2), Fusion for Energy înregistrează motivele restricționării, temeiul legal în conformitate cu articolul 3 din prezenta decizie, inclusiv o evaluare a necesității și proporționalității restricției.

Restricția menționată la alineatul (3) continuă să se aplice atât timp cât rămân aplicabile motivele care o justifică.

În cazuri justificate și în condițiile stabilite în prezenta decizie, dreptul la acces poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și proporțional:

desfășurarea anchetelor administrative și procedurilor disciplinare;

activități preliminare legate de cazuri ale unor eventuale nereguli raportate la OLAF;

proceduri de avertizare în interes public;

proceduri (oficiale și neoficiale) în cazurile de hărțuire;

tratarea plângerilor interne și externe;

prelucrarea datelor medicale, numai în cazuri specifice justificate;

audituri interne;

investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725;

investigații de securitate (TI) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

În cazul în care restricționează, integral sau parțial, dreptul de acces menționat la articolul 17 din Regulamentul (UE) 2018/1725, Fusion for Energy ia următoarele măsuri:

informează persoana vizată, în răspunsul său la cerere, cu privire la restricția aplicată și la principalele motive ale acesteia, precum și la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene;

documentează într-o notă de evaluare internă motivele restricționării, inclusiv o evaluare a necesității și proporționalității restricției și a duratei sale.

Evidențele și, dacă este cazul, documentele care conțin elementele de fapt și de drept aferente se înregistrează. La cerere, acestea se pun la dispoziția Autorității Europene pentru Protecția Datelor.

În cazuri justificate și în condițiile stabilite în prezenta decizie, dreptul de a rectifica și a șterge datele și dreptul de a restricționa prelucrarea lor pot fi restricționate de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și adecvat:

desfășurarea anchetelor administrative și procedurilor disciplinare;

activități preliminare legate de cazuri ale unor eventuale nereguli raportate la OLAF;

proceduri de avertizare în interes public;

proceduri (oficiale și neoficiale) în cazurile de hărțuire;

tratarea plângerilor interne și externe;

prelucrarea datelor medicale, numai în cazuri specifice justificate;

audituri interne;

investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725;

investigații de securitate (TI) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

În cazul în care Fusion for Energy restricționează, integral sau parțial, aplicarea dreptului de a rectifica și de a șterge datele și a dreptului de a restricționa prelucrarea datelor, menționat la articolul 18, articolul 19 alineatul (1) și articolul 20 alineatul (1) din Regulamentul (UE) 2018/1725, se aplică articolul 6 alineatele (2) și (3) din prezenta decizie.

În cazuri justificate și în condițiile stabilite în prezenta decizie, dreptul la informare cu privire la încălcarea securității datelor cu caracter personal poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și adecvat:

desfășurarea anchetelor administrative și procedurilor disciplinare;

activități preliminare legate de cazuri ale unor eventuale nereguli raportate la OLAF;

proceduri de avertizare în interes public;

proceduri (oficiale și neoficiale) în cazurile de hărțuire;

tratarea plângerilor interne și externe;

audituri interne;

investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725;

investigații de securitate (TI) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

În cazuri justificate și în condițiile stabilite în prezenta decizie, dreptul la confidențialitatea comunicațiilor electronice poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și adecvat:

desfășurarea anchetelor administrative și procedurilor disciplinare;

activități preliminare legate de cazuri ale unor eventuale nereguli raportate la OLAF;

proceduri de avertizare în interes public;

proceduri oficiale în cazurile de hărțuire;

tratarea plângerilor interne și externe;

investigații de securitate (TI) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

În cazul în care Fusion for Energy restricționează informarea unei persoane vizate cu privire la încălcarea securității datelor cu caracter personal sau confidențialitatea comunicațiilor electronice, astfel cum se menționează la articolele 35 și 36 din Regulamentul (UE) 2018/1725, se aplică articolul 5 alineatele (3) și (4) din prezenta decizie.

Prezenta decizie intră în vigoare în ziua următoare datei publicării în Jurnalul Oficial al Uniunii Europene.

Adoptată la Barcelona, 9 decembrie 2019.Pentru Fusion for EnergyJoaquín SánchezPreședintele Consiliului de administrație