Document UE

TITLUL I

În sensul prezentului regulament și al oricărui text de punere în aplicare a acestuia:

Decizia Eurojust înseamnă Decizia Consiliului din 28 februarie 2002 de instituire a Eurojust în scopul întăririi luptei împotriva formelor grave de criminalitate, astfel cum a fost modificată de Decizia din 18 iunie 2003 a Consiliului;

colegiu înseamnă Colegiul Eurojust, prevăzut la articolul 10 din Decizia Eurojust;

membru național înseamnă membrul național detașat la Eurojust de fiecare stat membru, prevăzut la articolul 2 alineatul (1) din Decizia Eurojust;

asistent înseamnă o persoană care poate asista pe fiecare membru național, astfel cum este prevăzut la articolul 2 alineatul (2) din Decizia Eurojust;

personalul Eurojust se înțelege directorul administrativ, prevăzut la articolul 29 din Decizia Eurojust, precum și personalul prevăzut la articolul 30 din Decizia Eurojust;

responsabil cu protecția datelor înseamnă persoana numită în conformitate cu articolul 17 din Decizia Eurojust;

organ de control comun înseamnă organismul independent înființat în conformitate cu articolul 23 din Decizia Eurojust;

date cu caracter personal înseamnă orice informații referitoare la o persoană fizică identificată sau identificabilă (persoană vizată); o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin trimitere la un număr de identificare sau la unul sau mai mulți factori specifici identității sale fizice, fiziologice, mentale, economice, culturale sau sociale;

prelucrarea datelor cu caracter personal (prelucrare) înseamnă orice operație sau set de operații efectuate asupra datelor cu caracter personal, prin mijloace automatizate sau nu, precum colectare, înregistrare, organizare, stocare, adaptare sau modificare, recuperare, consultare, utilizare, comunicare prin transmitere, difuzare sau altă formă de punere la dispoziție, aliniere sau combinare, blocare, ștergere sau distrugere;

sistem de arhivare a datelor cu caracter personal (sistem de arhivare) înseamnă orice set structurat de date cu caracter personal care sunt accesibile în funcție de criterii specifice, indiferent dacă este centralizat, descentralizat sau dispersat funcțional sau geografic;

responsabil cu prelucrarea înseamnă persoana care, singură sau împreună cu alte persoane, determină scopurile și mijloacele prelucrării datelor cu caracter personal; în cazurile în care scopurile și mijloacele prelucrării sunt stabilite de legi sau reglementări naționale sau europene, responsabilul cu prelucrarea sau criteriile specifice pentru numirea acestuia pot fi desemnate prin legislația națională sau cea europeană;

operator înseamnă o persoană fizică sau juridică, autoritate publică, agenție sau orice alt organism care prelucrează date în numele responsabilului cu prelucrarea;

terț înseamnă orice persoană fizică sau juridică, autoritate publică, agenție sau orice organism, altul decât persoana vizată, responsabilul cu prelucrarea, operatorul și persoanele care, sub autoritatea directă a responsabilului cu prelucrarea sau a operatorului, sunt autorizați să prelucreze datele; și

destinatar înseamnă o persoană fizică sau juridică, autoritate publică, agenție sau orice alt organism căruia i se comunică datele, indiferent dacă este un terț sau nu.

TITLUL II

Prezentul regulament de procedură se aplică prelucrării datelor cu caracter personal de către Eurojust, în întregime sau parțial prin mijloace automatizate, precum și prelucrării altfel decât prin mijloace automatizate a datelor cu caracter personal care fac parte dintr-un sistem de arhivare sau sunt destinate să facă parte dintr-un sistem de arhivare în conformitate cu Decizia Eurojust.

Prezentul regulament se aplică tuturor informațiilor colectate și prelucrate ulterior de Eurojust, respectiv informații produse sau primite de acesta și aflate în posesia sa, referitoare la chestiuni privind politicile, activitățile și deciziile care intră în sfera de responsabilitate a Eurojust.

Prezentul regulament nu se aplică informațiilor care au fost transmise unui membru național al Eurojust exclusiv în contextul competențelor sale judiciare, definite la articolul 9 alineatul (3) al Deciziei Eurojust.

Toate datele cu caracter personal sunt considerate legate de dosare sau nelegate de dosare. Datele cu caracter personal sunt considerate legate de dosare dacă sunt legate de sarcinile operaționale ale Eurojust, definite la articolele 5, 6 și 7 din Decizia Eurojust.

Datele legate de dosare sunt prelucrate în conformitate cu titlurile III și IV. Datele nelegate de dosare sunt prelucrate în conformitate cu titlurile III și V.

TITLUL III

Eurojust respectă pe deplin drepturile omului și libertățile fundamentale ale persoanelor fizice, în special dreptul lor la viață privată în ceea ce privește prelucrarea datelor lor cu caracter personal, indiferent de cetățenie sau domiciliu.

Datele cu caracter personal trebuie prelucrate într-un mod corect și cu respectarea legalității.

Eurojust prelucrează numai datele cu caracter personal care sunt necesare, adecvate, relevante și care nu sunt excesive în raport cu scopurile pentru care sunt colectate sau prelucrate ulterior.

Eurojust își definește operațiunile și sistemele de prelucrare în conformitate cu obiectivul de a colecta sau de a prelucra ulterior numai datele cu caracter personal care sunt necesare, după cum sunt definite la alineatul (2). În special, se recurge la posibilitățile de a utiliza pseudonime și de a face datele anonime, în măsura în care este posibil, ținând cont de scopul prelucrării, iar efortul implicat să fie rezonabil.

Eurojust se asigură că datele cu caracter personal sunt exacte și, atunci când este necesar, actualizate; se iau toate măsurile rezonabile pentru a se asigura că datele inexacte sau incomplete, având în vedere scopurile pentru care au fost colectate sau pentru care sunt prelucrate ulterior, sunt șterse sau rectificate.

Datele cu caracter personal sunt păstrate într-o formă care permite identificarea persoanelor vizate nu mai mult decât este necesar pentru scopurile pentru care datele au fost colectate sau pentru care sunt prelucrate ulterior, în conformitate cu articolul 5 alineatul (2).

În conformitate cu articolul 22 din Decizia Eurojust și cu prezentul regulament, Eurojust adoptă măsurile tehnice și modalitățile organizatorice necesare pentru a proteja datele cu caracter personal împotriva distrugerii accidentale sau ilicite, pierderii accidentale sau divulgării neautorizate, modificării, accesului sau oricărei forme neautorizate de prelucrare. În special, trebuie luate măsuri pentru a se asigura că numai cei autorizați să acceseze datele cu caracter personal pot avea acces la aceste date.

Toate măsurile luate sunt proporționale cu riscurile prezentate de prelucrare și cu natura datelor prelucrate.

Eurojust elaborează o politică de securitate cuprinzătoare în conformitate cu articolul 22 alineatul (2) din Decizia Eurojust și cu prezentul regulament. Această politică ține cont pe deplin de caracterul sensibil al lucrărilor desfășurate de unitatea de cooperare judiciară și include norme referitoare la clasificarea documentelor, verificarea personalului care lucrează pentru Eurojust și acțiunile de luat în cazul unor încălcări ale securității. Organul de control comun este consultat cu privire la politica de securitate a Eurojust.

Toți responsabilii Eurojust sunt informați în mod adecvat cu privire la politica de securitate a Eurojust și li se cere să utilizeze măsurile tehnice și organizatorice puse la dispoziție în conformitate cu cerințele aplicabile de protecție și securitate a datelor.

Fără a aduce atingere dispozițiilor speciale din titlul IV cu privire la datele legate de dosare și din titlul V cu privire la datele nelegate de dosare, persoanele vizate trebuie să fie informate cu privire la scopul prelucrării și la identitatea responsabilului cu prelucrarea datelor, destinatarii sau categoriile de destinatari, existența dreptului de acces la date și a dreptului de a rectifica datele care le privesc și orice alte informații, precum temeiul legal al operațiunii de prelucrare pentru care sunt destinate datele, limitele de timp pentru stocarea datelor și dreptul de a sesiza în orice moment organul de control comun în măsura în care sunt necesare alte informații, având în vedere scopurile și circumstanțele specifice în care sunt prelucrate datele, pentru a garanta o prelucrare corectă în privința persoanei vizate.

Aceste informații trebuie furnizate cel târziu în momentul colectării datelor de la persoana vizată sau, atunci când datele sunt primite de la un terț, în momentul realizării înregistrării datelor cu caracter personal sau, dacă este preconizată divulgarea către un terț, cel târziu la data la care datele sunt divulgate pentru prima oară sau, în cazurile prevăzute în capitolul II din titlul IV al prezentului regulament, imediat ce scopurile prelucrării, anchetele și urmăririle judiciare naționale, precum și drepturile și libertățile terților nu riscă să fie periclitate.

Persoana vizată are dreptul la acces, rectificare, blocare și, dacă este cazul, ștergere. Eurojust definește, atunci când este necesar în cooperare cu respectivele autorități naționale implicate, proceduri pentru a facilita exercitarea acestor drepturi de către persoanele vizate.

Delegatul responsabil cu protecția datelor se asigură că persoanele vizate sunt informate, la cerere, cu privire la drepturile lor.

În conformitate cu articolul 25 din Decizia Eurojust, toate persoanele chemate să lucreze în cadrul și cu Eurojust trebuie să respecte obligații stricte de confidențialitate. Eurojust ia toate măsurile necesare pentru a se asigura că aceste obligații sunt respectate și că orice încălcări ale acestor obligații sunt raportate imediat responsabilului cu protecția datelor și șefului departamentului de securitate, care se asigură de luarea măsurilor corespunzătoare.

Cu excepția cazului în care un act cu putere de lege internă sau europeană reclamă aceasta, o persoană care acționează ca operator în cadrul Eurojust, având acces la datele cu caracter personal, nu le prelucrează decât în urma instrucțiunilor responsabilului cu prelucrarea.

În sensul articolului 17 alineatele (2) și (4) din Decizia Eurojust, responsabilul cu protecția datelor, furnizează, la cerere, oricărui responsabil Eurojust informații cu privire la activitățile Eurojust de prelucrare a datelor. Responsabilul cu protecția datelor răspunde la solicitări și dă curs oricăror cereri de informații sau reclamații cu privire la o presupusă încălcare a dispozițiilor Deciziei Eurojust, a prezentului regulament și a oricăror alte norme reglementând prelucrarea datelor cu caracter personal de către Eurojust. Nimeni nu suferă prejudicii ca urmare a sesizării responsabilului cu protecția datelor cu privire la o presupusă încălcare a dispozițiilor care guvernează prelucrarea datelor cu caracter personal.

Toate persoanele care lucrează la Eurojust cooperează cu Colegiul, membrii naționali, responsabilul cu protecția datelor și organul de control comun în cadrul solicitărilor, anchetelor, auditurilor și oricăror altor activități legate de protecția datelor.

TITLUL IV

CAPITOLUL I

În contextul activităților legate de dosare, Eurojust, în măsura în care este necesar pentru a-și atinge obiectivele, prelucrează datele cu caracter personal prin mijloace automatizate sau în fișiere manuale structurate în conformitate cu articolele 14, 15 și 16 din Decizia Eurojust.

Membrul sau membrii naționali care prelucrează datele cu caracter personal legate de cazuri individuale stabilesc scopurile și mijloacele prelucrării datelor cu caracter personal și sunt, în consecință, considerați ca responsabili cu prelucrarea sau, acolo unde este cazul, coresponsabili cu prelucrarea.

Datele cu caracter personal pot fi colectate și prelucrate ulterior în contextul activităților legate de dosare în măsura în care prelucrarea este necesară pentru îndeplinirea sarcinilor Eurojust în ce privește întărirea luptei împotriva formelor grave de criminalitate.

Datele cu caracter personal prelucrate de Eurojust în cadrul cercetărilor și urmăririlor judiciare nu sunt prelucrate în nici un caz pentru un alt scop.

Atunci când informațiile sunt transmise către Eurojust de un stat membru sau o parte externă în contextul unei cercetări sau urmăriri judiciare, acesta nu este responsabil de corectitudinea informațiilor primite, dar se asigură, din momentul primirii, că sunt luate toate măsurile rezonabile pentru actualizarea informațiilor.

Dacă Eurojust detectează orice inexactitate care afectează datele în cauză, acesta informează terțul de la care au fost primite informațiile și corectează informațiile.

Eurojust ia măsurile tehnice corespunzătoare pentru a se asigura că responsabilul cu protecția datelor este informat automat cu privire la cazurile excepționale care presupun recurgerea la articolul 15 alineatul (4) din Decizia Eurojust. Sistemul de gestionare a dosarelor asigură că aceste date nu pot fi incluse în indexul prevăzut la articolul 16 alineatul (1) din Decizia Eurojust.

Atunci când aceste date se referă la martori sau victime în sensul articolului 15 alineatul (2) din Decizia Eurojust, sistemul de gestionare a dosarelor nu înregistrează aceste informații decât dacă o decizie a Colegiului justifică acest lucru.

Eurojust ia măsurile tehnice corespunzătoare pentru a se asigura că responsabilul cu protecția datelor este informat automat cu privire la cazurile excepționale în care, pentru o perioadă limitată de timp, se recurge la articolul 15 alineatul (3) din Decizia Eurojust.

Atunci când aceste date se referă la martori sau victime în sensul articolului 15 alineatul (2) din Decizia Eurojust, sistemul de gestionare a dosarelor nu înregistrează aceste informații decât dacă o decizie luată în comun de cel puțin doi membri naționali justifică acest lucru.

CAPITOLUL II

În contextul activității curente a Eurojust, persoanelor vizate li se vor oferi informații cu privire la prelucrare, imediat ce este evident că furnizarea acestor informații către persoana vizată nu va afecta:

îndeplinirea sarcinilor Eurojust în întărirea luptei împotriva formelor grave de criminalitate; sau

cercetări și urmăriri judiciare naționale la care contribuie Eurojust; sau

o sarcină de monitorizare, inspecție sau de reglementare legată, chiar ocazional, de exercitarea autorității oficiale în cazurile prevăzute la literele (a) și (b); sau

drepturile și libertățile terților.

Recurgerea la cazurile enumerate la alineatul (1) este înregistrată în fișierul de lucru temporar aferent dosarului, menționându-se temeiul deciziei luate de membrul sau membrii naționali responsabili de acest fișier.

Fiecare persoană are drept de acces la datele cu caracter personal care o privesc, prelucrate de Eurojust în circumstanțele prevăzute la articolul 19 din Decizia Eurojust.

Persoanele care doresc să-și exercite drepturile în calitate de persoane vizate își pot adresa cererile direct Eurojust sau prin autoritatea numită în acest sens în statul membru ales de ele, care transmite cererea către Eurojust.

De cererile de exercitare a drepturilor se ocupă membrul sau membrii naționali vizați de cerere, care furnizează o copie a cererii responsabilului cu protecția datelor pentru înregistrarea acesteia.

Membrul sau membrii naționali vizați de cerere efectuează verificările necesare și-l informează pe responsabilul cu protecția datelor cu privire la decizia luată în cazul respectiv. Această decizie va ține cont pe deplin de prezentul regulament și de legislația aplicabilă cererii, definită la articolul 19 alineatul (3) din Decizia Eurojust, de motivele de refuz enumerate la articolul 19 alineatul (4) din Decizia Eurojust și de consultările cu autoritățile competente de aplicare a legii care au loc înainte de a se lua o decizie, prevăzute la articolul 19 alineatul (9) din Decizia Eurojust.

Responsabilul cu protecția datelor efectuează verificări suplimentare, dacă dosarul cere acest lucru, la nivelul sistemului de gestionare a dosarelor și informează membrul sau membrii naționali în cauză dacă prin aceste verificări au fost găsite informații suplimentare relevante. Membrul sau membrii naționali în cauză, în baza informațiilor furnizate de responsabilul cu protecția datelor, pot decide să reconsidere decizia inițială.

Responsabilul cu protecția datelor comunică persoanei vizate decizia definitivă luată de membrul sau membrii naționali în cauză, în conformitate cu articolul 19 alineatul (6) din Decizia Eurojust, și informează persoana vizată cu privire la posibilitatea recurgerii la organul de control comun dacă aceasta nu este satisfăcută de răspunsul dat de Eurojust.

Cererea este analizată pe deplin în termen de trei luni de la primire. Persoana vizată poate sesiza organul de control comun dacă nu a primit un răspuns la cererea sa în acest termen.

În cazurile în care cererea a fost primită printr-o autoritate națională, membrul sau membrii naționali în cauză se asigură că această autoritate este informată cu privire la existența unui răspuns dat persoanei vizate de către responsabilul cu protecția datelor.

Eurojust pune în aplicare proceduri de cooperare cu autoritățile naționale cu atribuții legate de drepturile persoanelor vizate pentru a se asigura că cererile sunt transmise în mod adecvat și la timp către Eurojust.

Eurojust pune în aplicare măsuri tehnice corespunzătoare pentru a se asigura că, în cazurile în care Eurojust rectifică, blochează sau șterge date cu caracter personal în urma unei cereri, este produsă automat o listă a furnizorilor și destinatarilor acestor date. În conformitate cu articolul 20 alineatul (5) din Decizia Eurojust, responsabilul cu prelucrarea se asigură că cei incluși pe listă sunt informați de schimbările aduse datelor cu caracter personal.

CAPITOLUL III

Eurojust pune în aplicare un sistem automat de gestionare a dosarelor integrând un sistem de arhivare, care va fi utilizat de membrii naționali când tratează activități legate de dosare și care include fișierele de lucru temporare și indexul definit la articolul 16 din Decizia Eurojust. Acest sistem include funcționalități precum gestionarea dosarelor, descrierea fluxului de date, referințe încrucișate ale informațiilor și securitate.

Sistemul de gestionare a dosarelor este aprobat de Colegiu după consultarea responsabilului cu protecția datelor, a organului de control comun și a personalului relevant Eurojust și ține seama pe deplin de cerințele articolului 22 și de orice alte dispoziții relevante ale Deciziei Eurojust.

Sistemul de gestionare a dosarelor permite membrilor naționali să identifice scopul și obiectivele specifice pentru care este deschis un fișier de lucru temporar, în cadrul sarcinilor menționate la articolele 5, 6 și 7 din Decizia Eurojust.

În conformitate cu articolul 14 alineatul (4) și articolul 16 din Decizia Eurojust, Eurojust înființează un index al datelor referitoare la anchete și fișiere de lucru temporare care conțin și date cu caracter personal. Atât indexul, cât și fișierele de lucru temporare fac parte din sistemul de gestionare a dosarelor prevăzut la articolul 23 și respectă restricțiile privind prelucrarea datelor cu caracter personal stabilite la articolul 15 din Decizia Eurojust.

Membrii naționali sunt responsabili de deschiderea unor noi fișiere de lucru temporare legate de dosarele de care se ocupă. Sistemul de gestionare a dosarelor alocă automat un număr de referință (identificator) fiecărui nou fișier de lucru temporar deschis.

Eurojust pune în aplicare un sistem automat de gestionare a dosarelor care permite membrilor naționali să păstreze datele cu caracter personal pe care le prelucrează într-un fișier de lucru temporar restricționat sau să acorde acces la acesta sau părți ale acestuia altui membru național sau altor membri naționali implicați în dosarul la care se referă fișierul. Sistemul de gestionare a dosarelor le permite să definească datele specifice, personale și nepersonale, la care doresc să acorde acces altor membri naționali, asistenți sau membri autorizați ai personalului care sunt implicați în prelucrarea dosarului, precum și să selecteze informațiile pe care doresc să le introducă în index, în conformitate cu articolele 14 și 15 din Decizia Eurojust și să se asigure că sunt incluse cel puțin următoarele elemente în index: referința la fișierul de lucru temporar; tipuri de infracțiuni; state membre, organizații și organisme internaționale și/sau autorități ale unor state terțe implicate; implicarea Comisiei Europene sau a organismelor și entităților UE; obiective și situația dosarului (deschis/închis).

Atunci când un membru național acordă acces la un fișier de lucru temporar sau la o parte a acestuia unuia sau mai multor membri naționali implicați, sistemul de gestionare a dosarelor asigură că utilizatorii autorizați au acces la părțile relevante ale fișierului, dar că nu pot modifica datele introduse de autorul inițial. Cu toate acestea, utilizatorii autorizați pot adăuga informații relevante la părțile noi ale fișierelor de lucru temporare. Similar, informațiile cuprinse în index pot fi citite de toți utilizatorii autorizați ai sistemului, dar pot fi modificate numai de autorul inițial.

Responsabilul cu protecția datelor este informat automat de acest sistem cu privire la crearea fiecărui nou fișier de lucru ce conține date cu caracter personal și în special cu privire la cazurile excepționale în care s-a recurs la articolul 15 alineatul (3) din Decizia Eurojust. Sistemul de gestionare a dosarelor marchează aceste date într-un mod care va reaminti persoanei care a introdus datele în sistem obligația de a păstra aceste date pentru o perioadă limitată de timp. Atunci când aceste date se referă la martori sau victime în sensul articolului 15 alineatul (2) din Decizia Eurojust, sistemul nu înregistrează aceste informații decât dacă o decizie luată în comun de cel puțin doi membri naționali justifică acest lucru.

Sistemul de gestionare a dosarelor îl informează automat pe responsabilul cu protecția datelor cu privire la cazurile excepționale în care se recurge la articolul 15 alineatul (4) din Decizia Eurojust. Atunci când aceste date se referă la martori sau victime în sensul articolului 15 alineatul (2) din Decizia Eurojust, sistemul nu înregistrează aceste informații decât dacă o decizie a Colegiului justifică acest lucru.

Sistemul de gestionare a dosarelor asigură că numai datele cu caracter personal prevăzute la articolul 15 alineatul (1) literele (a) – (i) și (k) și articolul 15 alineatul (2) din Decizia Eurojust pot fi înregistrate în index.

Informațiile cuprinse în index trebuie să fie suficiente pentru a permite îndeplinirea sarcinilor Eurojust și în special a obiectivelor articolului 16 alineatul (1) din Decizia Eurojust.

Eurojust pune în aplicare măsuri tehnice corespunzătoare pentru a se asigura că sunt păstrate înregistrări ale tuturor operațiunilor de prelucrare desfășurate asupra datelor cu caracter personal. Sistemul de gestionare a dosarelor asigură în special păstrarea înregistrării transmiterii și primirii datelor în temeiul articolului 17 alineatul (2) litera (b) din Decizia Eurojust, în scopul aplicării articolului 19 alineatul (3) din Decizia Eurojust. Această înregistrare asigură, după cum solicită articolul 22 din Decizia Eurojust, posibilitatea verificării și stabilirii organismelor cărora le sunt transmise date cu caracter personal și ce date cu caracter personal au fost introduse în sistemele automatizate de prelucrare a datelor, când și de către cine.

Responsabilul cu protecția datelor examinează regulat aceste înregistrări pentru a putea să-i ajute pe membrii naționali și Colegiul cu privire la orice chestiune de protecție a datelor și procedează la verificările necesare în caz de nereguli. Atunci când este necesar, responsabilul cu protecția datelor informează Colegiul și organul de control comun în conformitate cu procedura prevăzută la articolul 17 alineatul (4) din Decizia Eurojust cu privire la orice încălcări ale protecției datelor evidențiate de înregistrările menționate mai sus. Responsabilul cu protecția datelor se va asigura, atunci când este cazul, că directorul administrativ este informat, pentru a-i permite să ia măsurile necesare în cadrul administrației.

La cerere, responsabilul cu protecția datelor oferă acces deplin organului de control comun la înregistrările prevăzute la alineatul (1).

Eurojust ia măsurile tehnice corespunzătoare și prevede modalitățile organizatorice pentru a se asigura că numai membrii naționali, asistenții acestora și personalul autorizat Eurojust beneficiază de acces, în scopul atingerii obiectivelor Eurojust, la datele cu caracter personal prelucrate de Eurojust în cadrul activităților sale operaționale.

Aceste măsuri țin cont de scopurile pentru care datele au fost colectate și prelucrate ulterior, starea tehnicii, nivelul de securitate cerut de natura sensibilă a lucrărilor desfășurate de Eurojust, precum și de cerințele impuse de articolul 22 din Decizia Eurojust.

Fiecare membru național al Eurojust justifică politica de acces pe care a autorizat-o în cadrul biroului său național cu privire la fișierele legate de dosare și-l informează pe responsabilul cu protecția datelor cu privire la aceasta. În special, membrii naționali se asigură că sunt stabilite și respectate modalități organizatorice corespunzătoare și că se utilizează adecvat măsurile tehnice și organizatorice puse la dispoziția lor de către Eurojust.

Colegiul poate autoriza alți membri ai personalului Eurojust să aibă acces la fișiere legate de dosare, atunci când acest lucru este necesar pentru îndeplinirea sarcinilor Eurojust.

Responsabilul cu protecția datelor monitorizează legalitatea și conformitatea cu dispozițiile Deciziei Eurojust, cu prezentul regulament de procedură și cu orice alte norme referitoare la prelucrarea datelor cu caracter personal aplicabile Eurojust. În acest sens, responsabilul cu protecția datelor îi asistă pe membrii naționali cu privire la chestiunile de protecție a datelor și efectuează anchete anuale cu privire la conformitatea cu normele menționate mai sus în cadrul Eurojust. Responsabilul cu protecția datelor raportează Colegiului și organului de control comun cu privire la rezultatele acestor anchete, precum și cu privire la orice alte evoluții relevante în cadrul Eurojust. Responsabilul cu protecția datelor se va asigura, atunci când este cazul, că directorul administrativ este informat, pentru a-i permite să ia măsurile necesare în cadrul administrației.

Organul de control comun desfășoară controale și audituri în conformitate cu articolul 23 alineatul (7) din Decizia Eurojust.

CAPITOLUL IV

Eurojust încearcă să pună în aplicare acorduri de cooperare cuprinzând dispoziții adecvate cu privire la schimbul de date cu caracter personal cu toți partenerii cu care au loc în mod regulat schimburi de date.

Fără a aduce atingere cazurilor în care există asemenea acorduri de cooperare, Eurojust transferă date cu caracter personal unei țări terțe sau oricăreia dintre entitățile prevăzute la articolul 27 alineatul (1) din Decizia Eurojust numai dacă acestea sunt afiliate Convenției pentru protecția persoanelor privind prelucrarea automată a datelor cu caracter personal, semnată la Strasburg la 28 ianuarie 1981, sau când este asigurat un nivel adecvat de protecție.

Decizia referitoare la transferurile către state care nu sunt părți ale Convenției Consiliului Europei din 28 ianuarie 1981 este luată de membrul sau membrii naționali implicați, în temeiul evaluării cu privire la adecvarea nivelului de protecție realizată de responsabilul cu protecția datelor. Adecvarea nivelului de protecție este evaluată luând în considerare toate împrejurările pentru fiecare transfer sau categorie de transferuri. În special, evaluarea va rezulta dintr-o examinare a următoarelor elemente: tipul de date, scopurile și durata prelucrării pentru care sunt transferate datele, țara de origine și țara de destinație finală, normele juridice generale și sectoriale aplicabile în statul sau organizația în cauză, normele profesionale și de securitate care sunt aplicabile acolo, precum și existența unor garanții suficiente aplicate de destinatarul transferului. Aceste garanții pot fi în special rezultatul acordurilor scrise între responsabilul cu prelucrarea care efectuează transferul și destinatarul care nu este supus jurisdicției unei părți la Convenție. Conținutul acordurilor în cauză trebuie să includă elementele relevante de protecție a datelor. În cazurile în care evaluarea nivelului de protecție ridică dificultăți, responsabilul cu protecția datelor consultă organul de control comun înainte de a realiza o evaluare asupra unui transfer specific.

Cu toate acestea, chiar atunci când nu sunt îndeplinite condițiile menționate în alineatele anterioare, un membru național poate, în circumstanțele excepționale enumerate în articolul 27 alineatul (6) din Decizia Eurojust, transfera date unei țări terțe cu scopul unic de a lua măsuri urgente pentru a împiedica un pericol grav iminent care amenință o persoană sau securitatea publică. Membrul național justifică un asemenea transfer excepțional în fișierul de lucru temporar legat de dosar, precizând cauzele unei asemenea comunicări, și-l informează pe responsabilul cu protecția datelor cu privire la această comunicare. Responsabilul cu protecția datelor verifică dacă aceste transferuri au loc numai în cazuri excepționale și urgente.

CAPITOLUL V

Eurojust pune în aplicare măsuri tehnice corespunzătoare pentru a se asigura că sunt respectate termenele pentru stocarea datelor cu caracter personal definite la articolul 21 din Decizia Eurojust.

Sistemul de gestionare a dosarelor prevede în special reexaminarea necesității de a stoca datele într-un fișier de lucru temporar la fiecare trei ani după înregistrarea lor. Această reexaminare trebuie să fie justificată corespunzător în sistem, incluzând motivarea oricărei decizii luate, iar rezultatul ei este comunicat automat responsabilului cu protecția datelor.

Sistemul de gestionare a dosarelor marchează în special datele înregistrate pentru o perioadă limitată de timp în conformitate cu articolul 15 alineatul (3) din Decizia Eurojust. Pentru aceste categorii de date, se procedează la o reexaminare a necesității de păstrare a datelor la fiecare trei luni, aceasta fiind justificată în același mod ca cel descris la alineatele (1) și (2).

Atunci când este necesar, responsabilul cu prelucrarea consultă Colegiul și responsabilul cu protecția datelor cu privire la orice decizie de a se păstra datele pe o perioadă de timp mai lungă în urma unei reexaminări.

TITLUL V

CAPITOLUL I

Datele cu caracter personal trebuie prelucrate în mod corect și legal. În special, datele cu caracter personal pot fi prelucrate numai dacă:

prelucrarea este necesară pentru realizarea conformității cu o obligație legală pe care o are responsabilul cu prelucrarea, sau

prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru adoptarea de măsuri precontractuale la cererea persoanei vizate, sau

persoana vizată și-a dat acordul în mod neechivoc, sau

prelucrarea este necesară pentru a proteja interese vitale ale persoanei vizate, sau

prelucrarea este necesară pentru realizarea intereselor legitime urmărite de responsabilul cu prelucrarea, cu excepția cazului în care prevalează interesele legate de drepturile și libertățile fundamentale ale persoanei vizate, care necesită protecție în temeiul articolului 4 din prezentul regulament.

Datele cu caracter personal trebuie prelucrate pentru un scop legal și legitim bine definit și prelucrate ulterior numai în măsura în care acest lucru nu este incompatibil cu scopul inițial al prelucrării.

Datele cu caracter personal colectate exclusiv pentru asigurarea securității sau controlului și gestionării sistemelor sau operațiunilor de prelucrare nu sunt utilizate în alt scop, cu excepția prevenirii, investigării, detectării și urmăririi penale a infracțiunilor grave.

Prelucrarea datelor cu caracter personal care indică originea rasială sau etnică, opiniile politice, credințele religioase sau filozofice, apartenența sindicală, starea sănătății, viața sexuală sau condamnări penale în scopuri nelegate de dosar este interzisă.

Această interdicție nu se aplică dacă:

persoana vizată și-a dat acordul explicit pentru prelucrarea acestor date sau

prelucrarea este necesară în scopul respectării drepturilor și obligațiilor legale specifice ale responsabilului cu prelucrarea, precum obligațiile în materie de drept fiscal sau drept al muncii aplicabile responsabilului cu prelucrarea sau, dacă este necesar, în măsura în care această prelucrare este acceptată de delegatul responsabil cu protecția datelor, sub rezerva unor garanții adecvate, sau

prelucrarea este necesară pentru a proteja interesele vitale ale responsabilului cu prelucrarea sau ale altei persoane, atunci când persoana vizată este în incapacitate fizică sau juridică de a-și da acordul, sau

prelucrarea se referă la date care sunt în mod evident făcute publice de persoana vizată sau sunt necesare pentru constatarea, exercitarea sau apărarea unui drept în justiție.

Datele prevăzute la alineatul (1) sunt prelucrate numai în scopul pentru care au fost colectate inițial.

În cadrul activității curente a Eurojust, sunt posibile excepții de la principiul general al informării persoanei vizate atunci când furnizarea acestor informații către persoana vizată ar afecta:

un interes economic sau financiar important al unui stat membru sau al Uniunii Europene sau

protecția persoanei vizate sau a drepturilor și libertăților altora sau

securitatea națională, securitatea publică sau apărarea statelor membre.

Responsabilul cu protecția datelor este informat atunci când se recurge la aceste excepții.

Fiecare responsabil cu prelucrarea notifică în prealabil responsabilul cu protecția datelor cu privire la orice operațiune de prelucrare sau seturi de asemenea operațiuni destinate să servească unui singur scop sau mai multor scopuri corelate.

Informațiile care trebuie furnizate includ:

numele responsabilului cu prelucrarea și o indicare a elementelor organizatorice dintr-o instituție sau organism însărcinat cu prelucrarea datelor cu caracter personal într-un anumit scop;

scopul sau scopurile prelucrării;

o descriere a categoriei sau categoriilor de persoane vizate și a datelor sau categoriilor de date referitoare la acestea;

temeiul legal al operațiunii de prelucrare pentru care sunt destinate datele;

destinatarii sau categoriile de destinatari cărora datele le-ar putea fi divulgate; și

o descriere generală care permite o evaluare preliminară asupra adecvării măsurilor de securitate.

Orice schimbare relevantă care afectează informațiile prevăzute la paragraful anterior este notificată imediat responsabilului cu protecția datelor.

Responsabilul cu protecția datelor ține un registru al operațiunilor de prelucrare notificate în conformitate cu dispoziția anterioară.

Registrul conține cel puțin informațiile prevăzute la articolul 34 alineatul (2) literele (a)-(f).

Responsabilul cu protecția datelor pune la dispoziția organului de control comun orice informații cuprinse în registru, la cererea acestuia.

Atunci când o operațiune de prelucrare este desfășurată în numele său de un operator extern, responsabilul cu prelucrarea alege un operator care oferă suficiente garanții cu privire la măsurile de securitate tehnice și organizatorice cerute de articolul 22 al Deciziei Eurojust și orice alte documente relevante și asigură conformitatea cu aceste măsuri.

Realizarea unei operațiuni de prelucrare prin intermediul unui operator extern este guvernată de un contract sau act juridic care-l leagă pe operator de responsabilul cu prelucrarea și care prevede în special că:

operatorul acționează numai pe baza instrucțiunilor responsabilului cu prelucrarea; și

obligațiile cu privire la confidențialitate și securitate prevăzute de Decizia Eurojust și prezentul regulament se aplică și operatorului, cu excepția cazului în care, în temeiul articolului 16 sau articolului 17 alineatul (3) a doua liniuță din Directiva 95/46/CE din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date, operatorul se supune deja obligațiilor cu privire la confidențialitate și securitate stabilite în legislația națională a unuia dintre statele membre.

În scopul conservării probelor, părțile contractului sau actului juridic referitoare la protecția datelor și cerințele referitoare la măsurile de confidențialitate și de securitate sunt în formă scrisă sau altă formă echivalentă.

Persoana vizată are dreptul să nu fie supusă unei decizii care produce efecte juridice asupra sa sau o afectează semnificativ și care se bazează exclusiv pe prelucrarea automată a datelor destinate să evalueze anumite aspecte ale personalității sale, precum performanțele la locul de muncă, credibilitatea sau comportamentul său, cu excepția cazului în care decizia este autorizată în mod explicit în conformitate cu legislația națională sau europeană sau, dacă este necesar, de responsabilul cu protecția datelor. În ambele cazuri, sunt luate măsuri de garantare a intereselor legitime ale persoanei vizate, precum cele care-i permit să-și exprime punctul de vedere sau să înțeleagă logica prelucrării.

CAPITOLUL II

Fără a aduce atingere articolelor precedente, normele cuprinse în prezentul capitol se aplică prelucrării datelor cu caracter personal în legătură cu utilizarea și gestionarea rețelelor de telecomunicații sau echipamentelor terminale care funcționează sub controlul Eurojust.

În scopul aplicării normelor cuprinse în prezentul capitol, prin utilizator se înțelege orice persoană fizică ce utilizează o rețea de telecomunicații sau echipamente terminale care funcționează sub controlul Eurojust.

Eurojust ia măsuri tehnice și organizatorice adecvate pentru a garanta siguranța utilizării rețelelor de telecomunicații și a echipamentelor terminale (calculatoare, servere, hardware și software), dacă este necesar împreună cu furnizorii de servicii de telecomunicații accesibile publicului sau furnizorii de rețele publice de telecomunicații. Având în vedere posibilitățile tehnice cele mai recente și costul punerii lor în aplicare, aceste măsuri asigură un nivel de siguranță adecvat riscului prezentat.

În cazul unui risc specific la adresa siguranței rețelei și echipamentelor terminale, Eurojust informează utilizatorii cu privire la existența acestui risc și posibilele remedii și mijloace alternative de comunicare.

Eurojust asigură confidențialitatea comunicațiilor prin intermediul rețelelor de telecomunicații și echipamentelor terminale, în conformitate cu dreptul comunitar.

Datele referitoare la trafic, care privesc utilizatorii și care sunt prelucrate pentru a stabili apeluri și alte conexiuni prin rețeaua de telecomunicații, sunt șterse sau ascunse la terminarea apelului sau a altei conexiuni.

Excepțiile de la acest principiu general (precum necesitatea de a păstra anumite date referitoare la trafic în scopul procedurii de înregistrare necesare pentru anumite fișiere sau în scopul facturării apelurilor private) sunt permise numai dacă sunt prevăzute în normele interne adoptate de Eurojust după consultarea cu responsabilul cu protecția datelor. Dacă responsabilul cu protecția datelor nu este convins de legalitatea sau de pertinența acestor excepții, este consultat organul de control comun.

Prelucrarea datelor referitoare la trafic și la facturare se face numai de către persoane responsabile cu gestionarea facturării, traficului sau bugetului.

Datele cu caracter personal cuprinse în liste de utilizatori tipărite sau electronice și accesul la aceste liste se limitează la ceea ce este strict necesar în scopurile specifice ale anuarului.

Aceste liste sunt disponibile numai utilizatorilor Eurojust, pentru uz exclusiv intern sau în alte liste interinstituționale care sunt considerate adecvate.

CAPITOLUL III

Atunci când este necesar, Eurojust elaborează dispoziții suplimentare cu privire la prelucrarea datelor cu caracter personal în operațiuni nelegate de dosare. Aceste dispoziții sunt notificate organului de control comun și sunt publicate în manuale interne separate.

TITLUL VI

Prezentul regulament este revizuit în mod regulat pentru a se evalua dacă sunt necesare modificări. Orice modificare la prezentul regulament urmează aceleași proceduri stabilite pentru aprobarea sa în Decizia Eurojust.

Responsabilul cu protecția datelor informează atât pe președintele Colegiului, cât și organul de control comun în cazul în care consideră este necesară modificarea prezentului regulament de procedură.

Organul de control comun aduce în atenția Colegiului sugestii sau recomandări cu privire la modificarea prezentului regulament de procedură.

Prezentul regulament de procedură intră în vigoare în ziua următoare datei aprobării definitive de către Consiliu.

Acesta se publică în Jurnalul Oficial al Uniunii Europene.