Decizia Băncii Europene de Investiții din 9 octombrie 2023 de stabilire a normelor interne privind prelucrarea datelor cu caracter personal de către Direcția Resurse Umane a Băncii Europene de Investiții în ceea ce privește furnizarea de informații către persoanele vizate și restricționarea anumitor drepturi ale acestora [2023/2717]

având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 309,

având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE,

Conform articolului 38 din Regulamentul personalului BEI I și II, se pot adopta măsuri disciplinare împotriva unor membri ai personalului care nu își îndeplinesc obligațiile față de BEI în conformitate cu procedura prevăzută la articolul 40 din acest Regulament. Conform articolului 41 din Regulamentul personalului BEI I și II, membrii personalului pot înainta o cerere de revizuire a unui act care îi afectează negativ. În contextul acestei cereri, în unele cazuri, BEI se poate oferi să încheie un acord amiabil cu membrul personalului în fața unui Comitet de conciliere. Regulile de implementare privind revizuirea administrativă definesc mai amănunțit aria de aplicare a mecanismului de revizuire administrativă, precum și procedura de urmat. Conform Politicii BEI privind demnitatea în muncă, BEI trebuie să răspundă plângerilor de hărțuire.

Organizarea și gestionarea procedurilor prevăzute la articolele 40 și 41 din Regulamentul personalului BEI I și II, precum și în Politica BEI privind demnitatea în muncă și în Regulile de implementare a revizuirii administrative sunt responsabilitatea principală a Direcției Resurse Umane a BEI.

În îndeplinirea atribuțiilor ce îi revin, Direcția Resurse Umane este obligată să respecte drepturile persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, recunoscute prin articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și prin articolul 16 alineatul (1) din Tratatul privind funcționarea Uniunii Europene, precum și prin acte juridice bazate pe aceste dispoziții. În același timp, Direcția Resurse Umane trebuie să respecte normele stricte privind confidențialitatea și secretul profesional, menționate în Regulamentul personalului BEI și în Codul de conduită al personalului BEI, și să garanteze respectarea drepturilor procedurale ale persoanelor vizate și ale martorilor, în special dreptul persoanelor vizate la respectarea garanțiilor procedurale, a drepturilor la apărare și a prezumției de nevinovăție.

În anumite împrejurări, este necesar să se concilieze drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725 cu scopurile și nevoile Direcției Resurse Umane, precum și cu respectarea deplină a drepturilor și libertăților fundamentale ale altor persoane vizate. În acest sens, articolul 25 din Regulament oferă Direcției Resurse Umane posibilitatea de a restricționa aplicarea articolelor 14-21 și 35, precum și a articolului 4 din Regulament, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-21.

Pentru a asigura eficiența procedurilor desfășurate de Comitetul de disciplină constituit conform articolului 40 din Regulamentul personalului BEI I și II, de serviciul responsabil de revizuirea administrativă conform articolului 41 din Regulamentul personalului BEI I și II și, dacă este cazul, de Comitetul de conciliere constituit pentru a căuta o înțelegere amiabilă, precum și de Comitetul pentru demnitatea în muncă, înființat conform Politicii BEI privind demnitatea în muncă, cu respectarea standardelor de protecție a datelor cu caracter personal din Regulamentul (UE) 2018/1725, este necesară adoptarea unor reguli interne în baza cărora Direcția Resurse Umane să poată restricționa drepturile persoanelor vizate în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725.

Regulile interne ar trebui să se aplice tuturor operațiunilor de prelucrare desfășurate de Direcția Resurse Umane în îndeplinirea mandatului său, conform articolelor 40 și 41 din Regulamentul personalului BEI I și II și Politicii BEI privind demnitatea în muncă. Regulile ar trebui să se aplice operațiunilor de prelucrare desfășurate înainte de inițierea procedurilor efectuate de Comitetul de disciplină, de serviciul responsabil de revizuirea administrativă și/sau de Comitetul de conciliere și Comitetul pentru demnitatea în muncă, atâta timp cât procedurile sunt în desfășurare și pe parcursul urmăririi rezultatului acestor proceduri.

Pentru a se conforma articolelor 14, 15 și 16 din Regulamentul (UE) 2018/1725, operatorul ar trebui să informeze toate persoanele vizate în legătură cu activitățile sale care implică prelucrarea datelor lor cu caracter personal și cu drepturile lor, într-un mod transparent și coerent, sub formă de declarații privind protecția datelor, publicate pe intranetul BEI, precum și să informeze individual persoanele vizate de activitățile sale: persoane afectate direct, părți interesate și martori.

În plus, pentru a menține o cooperare eficace, Direcția Resurse Umane ar putea fi nevoită să aplice restricții privind drepturile persoanelor vizate de a proteja informații care conțin date cu caracter personal care provin de la alte instituții, organisme, oficii și agenții ale Uniunii Europene, de la autoritățile competente ale statelor membre și ale țărilor terțe, precum și de la organizațiile internaționale. În acest sens, Direcția Resurse Umane ar trebui să consulte instituțiile, organismele, oficiile, agențiile Uniunii Europene, autoritățile și organizațiile internaționale respective cu privire la motivele relevante, necesitatea și proporționalitatea restricțiilor.

Direcția Resurse Umane ar trebui să prelucreze toate restricțiile în mod transparent și să consemneze fiecare cerere de restricții în sistemul de înregistrare corespunzător.

În temeiul articolului 25 alineatul (8) din Regulamentul (UE) 2018/1725, operatorii pot să amâne, să omită sau să refuze furnizarea de informații privind motivele aplicării unei restricții persoanei vizate, dacă acest lucru ar compromite în vreun fel scopul restricției. Este vorba, în special, despre restricționarea drepturilor prevăzute în articolele 16 și 35 din Regulamentul (UE) 2018/1725. Pentru a garanta că dreptul persoanei vizate de a fi informată în conformitate cu articolele 16 și 35 din Regulamentul (UE) 2018/1725 este restricționat doar atâta timp cât sunt valabile motivele care au stat la baza amânării, Direcția Resurse Umane ar trebui să își revizuiască periodic poziția.

În cazul în care se aplică o restricționare a drepturilor altor persoane vizate, Direcția Resurse Umane ar trebui să evalueze, de la caz la caz, dacă notificarea restricției ar compromite scopul acesteia.

Responsabilul cu protecția datelor (RPD) din cadrul BEI poate să efectueze o analiză independentă privind aplicarea restricțiilor, pentru a asigura respectarea prezentei decizii,

Prezenta decizie stabilește normele pe care trebuie să le urmeze operatorul, așa cum este acesta definit în articolul 2 alineatul (1), pentru a informa persoanele vizate în legătură cu prelucrarea datelor lor, în conformitate cu articolele 14, 15 și 16 din Regulamentul (UE) 2018/1725.

Prezenta decizie se aplică prelucrării datelor cu caracter personal de către Direcția Resurse Umane în scopul sau în legătură cu activitățile desfășurate pentru îndeplinirea sarcinilor sale precizate în articolele 40 și 41 din Regulamentul personalului BEI I și II, precum și în Politica BEI privind demnitatea în muncă și în modificările ulterioare ale acesteia.

În cadrul mandatului său, Direcția Resurse Umane prelucrează câteva categorii de date cu caracter personal, în special date de identificare, date de contact, date profesionale și date privind rolul jucat în cazul respectiv.

Operatorul este directorul general al Direcției Resurse Umane.

Datele cu caracter personal sunt stocate într-un mediu electronic și fizic securizat care împiedică accesul ilegal sau transferul ilegal de date către persoane care nu au nevoie să le cunoască.

Datele cu caracter personal prelucrate se păstrează timp de cel puțin șase luni de la punctul de plecare definit în programul de păstrare. Pentru mai multe detalii despre durata exactă a perioadelor de păstrare în funcție de procedură, consultați Programul de păstrare al Direcției Resurse Umane.

În cazul în care Direcția Resurse Umane își exercită atribuțiile în ceea ce privește drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, aceasta analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul respectiv.

Sub rezerva dispozițiilor de la articolele 4-7 din prezenta decizie, Direcția Resurse Umane poate restricționa aplicarea articolelor 14-21 și 35 din Regulamentul (UE) 2018/1725, precum și a articolului 4 din acesta, în măsura în care dispozițiile lor corespund drepturilor și obligațiilor prevăzute la articolele 14-22 din acest regulament, în cazul în care exercitarea acestor drepturi și obligații ar compromite scopul procedurilor prevăzute la articolele 40 și 41 din Regulamentul personalului BEI I și II, precum și în Politica BEI privind demnitatea în muncă sau ar aduce atingere drepturilor și libertăților altor persoane vizate.

Sub rezerva dispozițiilor de la articolele 4-7 din prezenta decizie, Direcția Resurse Umane poate să restricționeze drepturile și obligațiile menționate la alineatul (2) din prezentul articol în ceea ce privește datele cu caracter personal obținute de la alte instituții, organe, agenții și oficii ale Uniunii Europene, de la autoritățile competente din statele membre sau de la organizații internaționale, în următoarele situații:

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de alte instituții, organe, agenții și oficii ale Uniunii Europene, pe baza altor acte prevăzute la articolul 25 din Regulament sau în conformitate cu capitolul IX din regulamentul respectiv;

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către autoritățile competente din statele membre pe baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului, sau în temeiul unor măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului;

în cazul în care exercitarea acestor drepturi și obligații ar compromite cooperarea Direcției Resurse Umane cu țările terțe sau cu organizațiile internaționale în îndeplinirea sarcinilor sale.

Alineatele (1), (2) și (3) nu aduc atingere aplicării altor decizii ale BEI care stabilesc reguli interne cu privire la furnizarea de informații persoanelor vizate și restricționarea anumitor drepturi conform articolului 25 din Regulamentul (UE) 2018/1725.

Direcția Resurse Umane publică pe intranetul BEI declarații privind protecția datelor, care informează toate persoanele vizate cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal, inclusiv o declarație generală privind protecția datelor în legătură cu eventualele restricționări ale drepturilor acestora. Informațiile vor cuprinde drepturile care pot fi restricționate, motivele pentru care se pot aplica restricții și durata posibilă a acestora.

Direcția Resurse Umane informează individual persoanele vizare care sunt parte la o procedură, persoanele afectate de o procedură sau martorii, printr-o declarație specială privind protecția datelor, care include informații despre drepturile care pot fi restricționate, motivele pentru care se pot aplica restricții și durata posibilă a acestora.

În cazul în care Direcția Resurse Umane restricționează, în întregime sau parțial, furnizarea de informații către persoanele vizate menționate la alineatul (2), aceasta ține evidența motivelor restricționării, inclusiv evaluarea necesității și a proporționalității restricției. Această evaluare documentează și riscurile pentru procedura respectivă și pentru drepturile și libertățile persoanelor vizate.

Restricția menționată la alineatul (3) continuă să se aplice, atât timp cât motivele care o justifică rămân aplicabile.

În cazul în care Direcția Resurse Umane restricționează, integral sau parțial, dreptul de acces menționat la articolul 17 din Regulamentul (UE) 2018/1725, aceasta ia următoarele măsuri:

informează persoana vizată, în răspunsul său la cererea de acces, cu privire la restricția aplicată, la principalele motive ale acesteia, la durata restricției, precum și la posibilitatea de a depune o plângere la AEPD sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene;

înregistrează motivele restricționării, inclusiv o evaluare a necesității și proporționalității restricției; în acest sens, consemnările precizează modul în care furnizarea informațiilor și exercitarea dreptului ar compromite scopul procedurii respective sau ar anula efectul restricțiilor aplicate în conformitate cu articolul 3 alineatele (2) și (3) ori ar aduce atingere drepturilor și libertăților altor persoane vizate.

Consemnările menționate la alineatul (2) primul paragraf, litera (b) și, dacă este cazul, documentele care conțin elemente factuale și juridice subiacente se includ într-un registru. La cerere, acestea sunt puse la dispoziția AEPD. Se aplică articolul 25 alineatul (7) din Regulamentul (UE) 2018/1725.

Restricția menționată la alineatul (1) continuă să se aplice, atât timp cât motivele care o justifică rămân aplicabile.

În cazul în care Direcția Resurse Umane restricționează, integral sau parțial, aplicarea dreptului de a rectifica și de a șterge datele sau a dreptului de a restricționa prelucrarea datelor, menționat la articolele 18, 19 alineatul (1) și 20 alineatul (1) din Regulamentul (UE) 2018/1725, aceasta ia măsurile prevăzute la articolul 5 alineatele (2) și (3) din prezenta decizie.

În cazul în care Direcția Resurse Umane restricționează informarea unei persoane vizate cu privire la încălcarea securității datelor cu caracter personal, așa cum se menționează la articolul 35 din Regulamentul (UE) 2018/1725, aceasta consemnează și înregistrează motivele restricționării în conformitate cu articolul 4 alineatul (3) din prezenta decizie. Se aplică articolul 4 alineatul (4) din prezenta decizie.

Direcția Resurse Umane informează imediat RPD înainte de a restricționa aplicarea drepturilor persoanelor vizate în conformitate cu prezenta decizie. RPD revizuiește consemnările și evaluarea necesității și a proporționalității restricției. Revizuirea de către RPD este documentată.

RPD poate solicita Direcției Resurse Umane, în scris, să revizuiască aplicarea restricțiilor. Direcția Resurse Umane îl informează pe RPD în scris cu privire la rezultatul revizuirii solicitate.

Prezenta decizie, aprobată de Consiliul de administrație al BEI în data de 9 octombrie 2023, înlocuiește decizia BEI privind regulile interne în legătură cu prelucrarea datelor cu caracter personal de către Direcția Resurse Umane a Băncii Europene de Investiții în ceea ce privește furnizarea de informații către persoanele vizate și restricționarea anumitor drepturi ale acestora, care a fost aprobată de Consiliul de administrație al Băncii pe 26 februarie 2019. Decizia intră în vigoare în a douăzecea zi de la publicarea sa în Jurnalul Oficial al Uniunii Europene.

Întocmită la Luxemburg, 9 octombrie 2023.