Decizia (UE) 2019/165 a Comisiei din 1 februarie 2019 de stabilire a unor norme interne privind furnizarea de informații persoanelor vizate și privind restricționarea, de către Comisie, a anumitor drepturi ale acestora în materie de protecție a datelor în contextul anchetelor administrative, al procedurilor predisciplinare și disciplinare, precum și al procedurilor de suspendare

având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 249 alineatul (1),

Comisia desfășoară anchete administrative, proceduri predisciplinare și disciplinare și proceduri de suspendare în temeiul articolului 86 din Statutul funcționarilor Uniunii Europene și în conformitate cu anexa IX la acesta, precum și cu Decizia C(2004) 1588 a Comisiei. Aceste sarcini sunt, în principal, responsabilitatea Oficiului de investigație și de disciplină al Comisiei (IDOC), care este o direcție atașată Direcției Generale Resurse Umane și Securitate. Procedura disciplinară poate include investigații efectuate de către comisia de disciplină a Comisiei, în temeiul articolului 17 din anexa IX la Statutul funcționarilor.

În contextul acestor activități, serviciile relevante ale Comisiei colectează și prelucrează informațiile relevante. Aceste informații includ date cu caracter personal, în special date de identificare, de contact și privind comportamentul. Serviciile relevante ale Comisiei transmit date cu caracter personal către alte servicii ale Comisiei, pe baza principiului necesității de a cunoaște.

Datele cu caracter personal sunt stocate într-un mediu fizic și electronic securizat pentru a preveni accesul sau transferul ilegal al acestora către persoane care nu au nevoie să le cunoască. După încheierea procesului de prelucrare, datele sunt păstrate în conformitate cu normele aplicabile ale Comisiei.

În îndeplinirea sarcinilor sale, Comisia este obligată să respecte drepturile persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, recunoscute prin articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și prin articolul 16 alineatul (1) din tratat, precum și drepturile prevăzute în Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului, care a înlocuit Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului. În același timp, Comisia trebuie să respecte norme stricte în ceea ce privește confidențialitatea și secretul profesional și să asigure respectarea drepturilor procedurale ale persoanelor în cauză și ale martorilor, în special prezumția de nevinovăție a persoanei în cauză.

În anumite circumstanțe, este necesar să se reconcilieze drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725 cu nevoile de eficacitate a anchetelor administrative, a procedurilor predisciplinare și disciplinare și a procedurilor de suspendare, precum și cu respectarea deplină a drepturilor și libertăților fundamentale ale altor persoane vizate. În acest scop, articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725 îi oferă Comisiei posibilitatea de a restricționa aplicarea articolelor 14-17, 19, 20 și 35, precum și a principiului transparenței prevăzut la articolul 4 alineatul (1) litera (a), în măsura în care dispozițiile acestuia din urmă corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19, 20 și 35 din respectivul regulament.

Acest lucru ar putea fi valabil în special în ceea ce privește furnizarea de informații privind prelucrarea datelor cu caracter personal către persoana vizată la începutul unei anchete administrative. Furnizarea unor astfel de informații ar putea afecta capacitatea Comisiei de a efectua ancheta administrativă, de exemplu pentru că persoana în cauză ar putea distruge probele înainte ca acestea să facă obiectul unei examinări din partea Comisiei sau ar putea să comunice cu eventualii martori înainte ca aceștia să fie audiați. În mod similar, dacă se autorizează accesul la datele cu caracter personal pe parcursul diverselor etape ale procedurii în care persoana în cauză nu are acces la dosar, cum ar fi în timpul evaluării preliminare sau al anchetei administrative, ar putea ieși la iveală informații care ar putea afecta buna desfășurare a anchetei administrative. În ambele cazuri, s-ar impune limitarea drepturilor persoanei în cauză pentru a proteja o funcție de monitorizare, de inspecție sau de reglementare legată de exercitarea autorității publice atunci când este în joc un obiectiv important de interes public general al Uniunii, și anume asigurarea faptului că personalul Comisiei își respectă obligațiile statutare și adoptă un comportament etic.

De asemenea, s-ar putea dovedi necesară limitarea dreptului de acces al persoanei în cauză la datele cu caracter personal atunci când prin accesarea acestor date persoana ar dezvălui informații cu privire la un martor sau la un avertizor care a solicitat să nu îi fie dezvăluită identitatea. Într-un astfel de caz, Comisia poate decide să restricționeze accesul la declarația referitoare la persoana în cauză, pentru a proteja drepturile și libertățile respectivului martor sau avertizor.

Pentru a asigura confidențialitatea și eficacitatea anchetelor administrative, a procedurilor predisciplinare și disciplinare și a procedurilor de suspendare, respectând totodată standardele de protecție a datelor cu caracter personal prevăzute în Regulamentul (UE) 2018/1725, trebuie adoptate norme interne prin care Comisia să poată restricționa drepturile persoanelor vizate, în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725.

Normele interne ar trebui să se aplice în cazul tuturor operațiunilor de prelucrare efectuate de Comisie în scopul îndeplinirii sarcinilor care îi revin, inclusiv operațiunilor de prelucrare efectuate înainte de deschiderea unei anchete administrative și în cadrul asistenței și al cooperării furnizate de Comisie autorităților naționale și organizațiilor internaționale în afara activităților sale.

Pentru a se conforma articolelor 14, 15 și 16 din Regulamentul (UE) 2018/1725, Comisia ar trebui să informeze toate persoanele fizice cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal și cu privire la drepturile lor într-un mod transparent și coerent, prin publicarea unor anunțuri privind protecția datelor pe site-ul web al Comisiei. În plus, Comisia ar trebui să informeze în mod individual, într-un format adecvat, persoanele vizate care fac obiectul unei anchete administrative, al unei proceduri predisciplinare și disciplinare sau al unei proceduri de suspendare.

Mai mult, pentru menținerea unor relații de cooperare eficace, s-ar putea să fie necesară restricționarea, de către Comisie, a aplicării drepturilor persoanelor vizate pentru a proteja operațiunile de prelucrare desfășurate de alte instituții, organisme, oficii și agenții ale Uniuni sau de autorități ale statelor membre și ale țărilor terțe, precum și de organizații internaționale. În acest scop, Comisia ar trebui să consulte aceste instituții, organisme, oficii, agenții, autorități și organizații internaționale cu privire la motivele relevante care duc la impunerea de restricții și la necesitatea și proporționalitatea restricțiilor, cu excepția cazului în care acest lucru ar periclita activitățile Comisiei.

De asemenea, Comisia ar putea fi nevoită să restricționeze furnizarea de informații persoanelor vizate și aplicarea altor drepturi ale persoanelor vizate în ceea ce privește datele cu caracter personal primite din partea unor țări terțe sau a unor organizații internaționale, pentru a-și îndeplini obligația de cooperare cu aceste țări sau organizații și pentru a proteja astfel un obiectiv important de interes public general al Uniunii. Cu toate acestea, în anumite circumstanțe, interesele sau drepturile fundamentale ale persoanei vizate pot prevala asupra interesului cooperării internaționale.

Comisia ar trebui să gestioneze toate restricțiile într-un mod transparent și să înregistreze fiecare aplicare a unei restricții în sistemul de consemnări corespunzător.

În temeiul articolului 25 alineatul (8) din Regulamentul (UE) 2018/1725, operatorii pot să amâne, să omită sau să refuze furnizarea de informații privind motivele aplicării unei restricții persoanei vizate în cazul în care furnizarea acestor informații ar compromite în vreun fel scopul restricției. Este, în special, cazul restricțiilor privind drepturile prevăzute la articolele 16 și 35 din Regulamentul (UE) 2018/1725.

Comisia ar trebui să revizuiască în mod regulat restricțiile impuse pentru a se asigura că drepturile persoanelor vizate de a fi informate în conformitate cu articolele 16 și 35 din Regulamentul (UE) 2018/1725 sunt restricționate numai atât timp cât astfel de restricții sunt necesare pentru a-i permite Comisiei să își desfășoare anchetele administrative, procedurile predisciplinare și disciplinare și procedurile de suspendare.

În cazul în care se restricționează alte drepturi ale persoanelor vizate, operatorul ar trebui să evalueze, de la caz la caz, dacă informarea cu privire la restricție ar urma să compromită scopul acesteia.

Responsabilul cu protecția datelor din cadrul Comisiei Europene ar trebui să efectueze o reexaminare independentă a aplicării restricțiilor, în vederea asigurării conformității cu prezenta decizie.

Autoritatea Europeană pentru Protecția Datelor a emis un aviz la 5 decembrie 2018,

Prezenta decizie stabilește normele pe care trebuie să le respecte Comisia pentru a informa persoanele vizate cu privire la prelucrarea datelor lor în conformitate cu articolele 14, 15 și 16 din Regulamentul (UE) 2018/1725, în cadrul desfășurării anchetelor administrative, a procedurilor predisciplinare și disciplinare și a procedurilor de suspendare.

Aceasta stabilește, de asemenea, condițiile în care Comisia poate restricționa aplicarea articolului 4 alineatul (1) litera (a) și a articolelor 14-17, 19, 20 și 35 din Regulamentul (UE) 2018/1725, în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h) din respectivul regulament.

Prezenta decizie se aplică prelucrării datelor cu caracter personal de către Comisie în temeiul articolului 86 din Statutul funcționarilor și al anexei IX la acesta, precum și al Deciziei C(2004) 1588.

Prezenta decizie se aplică prelucrării datelor cu caracter personal de către Comisie, în măsura în care aceasta prelucrează date cu caracter personal în scopuri care au legătură cu anchetele administrative, cu procedurile predisciplinare și disciplinare și cu procedurile de suspendare.

Categoriile de date cu caracter personal vizate de prezenta decizie includ datele de identificare, de contact și cele privind comportamentul.

În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, Comisia analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul menționat.

Sub rezerva articolelor 3-7 din prezenta decizie, Comisia poate restricționa aplicarea articolelor 14-17, 19, 20 și 35 din Regulamentul (UE) 2018/1725, precum și a principiului transparenței prevăzut la articolul 4 alineatul (1) litera (a) din același regulament – în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19, 20 și 35 din regulamentul respectiv – în cazul în care exercitarea acestor drepturi și obligații ar periclita scopul anchetelor administrative, al procedurilor predisciplinare și disciplinare și al procedurilor de suspendare sau ar afecta drepturile și libertățile altor persoane vizate.

Sub rezerva articolelor 3-7, Comisia poate restricționa drepturile și obligațiile menționate la prezentul articol alineatul (2) în ceea ce privește datele cu caracter personal obținute de la alte instituții, organisme, agenții și oficii ale Uniunii, de la autorități competente ale statelor membre sau ale țărilor terțe sau de la organizații internaționale, în următoarele circumstanțe:

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către alte instituții, organisme, agenții și oficii ale Uniunii, pe baza altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul respectiv ori în conformitate cu Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului sau cu Regulamentul (UE) 2017/1939 al Consiliului;

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către autoritățile competente ale statelor membre pe baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului sau în temeiul unor măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului;

în cazul în care exercitarea acestor drepturi și obligații ar putea periclita cooperarea Comisiei cu țări terțe sau cu organizații internaționale în ceea ce privește desfășurarea anchetelor administrative, a procedurilor predisciplinare și disciplinare și a procedurilor de suspendare.

Comisia publică pe site-ul său web anunțuri privind protecția datelor prin care informează toate persoanele vizate în legătură cu activitățile sale care implică prelucrarea datelor lor cu caracter personal.

Comisia informează individual, într-un format adecvat, persoana care face obiectul unei anchete administrative, al unei proceduri predisciplinare și disciplinare sau al unei proceduri de suspendare, precum și martorii cărora li se solicită să furnizeze informații referitoare la procedurile respective, cu privire la prelucrarea datelor lor cu caracter personal.

În cazul în care restricționează, în conformitate cu articolul 2 din prezenta decizie, integral sau parțial, furnizarea informațiilor menționate la alineatul (2), Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 6.

În cazul în care restricționează, integral sau parțial, dreptul de acces la datele personale al persoanelor vizate, dreptul la ștergerea datelor sau dreptul la restricționarea prelucrării menționate la articolele 17, 19 și, respectiv, 20 din Regulamentul (UE) 2018/1725, Comisia informează persoana vizată – în răspunsul său la cererea acesteia privind accesul, ștergerea sau restricționarea prelucrării – cu privire la restricția aplicată și la principalele motive ale acesteia, precum și cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.

Transmiterea informațiilor cu privire la motivele restricției menționate la alineatul (1) poate fi amânată, omisă sau refuzată atât timp cât furnizarea acestor informații ar submina scopul restricției.

Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 6 din prezenta decizie.

În cazul în care dreptul de acces este restricționat integral sau parțial, persoana vizată își poate exercita dreptul de acces prin intermediul Autorității Europene pentru Protecția Datelor, în conformitate cu articolul 25 alineatele (6), (7) și (8) din Regulamentul (UE) 2018/1725.

În cazul în care restricționează informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal, astfel cum se menționează la articolul 35 din Regulamentul (UE) 2018/1725, Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 6 din prezenta decizie.

Comisia consemnează motivele oricărei restricții aplicate în temeiul prezentei decizii, incluzând o evaluare de la caz la caz a necesității și a proporționalității restricției.

Consemnarea și, dacă este cazul, documentele care conțin elemente faptice și juridice subiacente se înregistrează. Acestea sunt puse la dispoziția Autorității Europene pentru Protecția Datelor, la cerere.

Restricțiile menționate la articolele 3, 4 și 5 continuă să se aplice atât timp cât motivele care le justifică rămân aplicabile.

În cazul în care motivele unei restricții menționate la articolele 3 și 5 nu se mai aplică, Comisia ridică restricția și informează persoana vizată cu privire la motivele principale ale restricției. În același timp, Comisia informează persoana vizată cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor în orice moment sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.

Comisia examinează aplicarea restricțiilor menționate la articolele 3 și 5 din șase în șase luni de la adoptarea acestora și, în orice caz, la încheierea anchetei administrative, a procedurii predisciplinare și disciplinare sau a procedurii de suspendare. Ulterior, Comisia verifică anual dacă este necesară menținerea unor eventuale restricții.

Responsabilul cu protecția datelor din cadrul Comisiei Europene este informat, fără întârzieri nejustificate, ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie. La cerere, responsabilului cu protecția datelor i se asigură accesul la consemnări și la orice alte documente care conțin elemente faptice și juridice subiacente.

Responsabilul cu protecția datelor poate solicita o reexaminare a restricției. Responsabilul cu protecția datelor este informat cu privire la rezultatul reexaminării solicitate.

Prezenta decizie intră în vigoare în a treia zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Adoptată la Bruxelles, 1 februarie 2019.Pentru ComisiePreședinteleJean-Claude Juncker