Document UE

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE, în special articolul 25,

având în vedere Avizul Autorității Europene pentru Protecția Datelor (AEDP) din 18 decembrie 2019 (DH/GC/vm/D(2019) 2673 C 2019-0876) și Orientările AEPD cu privire la articolul 25 din noul regulament și normele interne,

având în vedere Regulamentul (CE) nr. 1406/2002 al Consiliului din 27 iunie 2002 de instituire a unei Agenții Europene pentru Siguranță Maritimă, cu modificările ulterioare, în special articolul 4 alineatul (4) din acesta,

Agenția își desfășoară activitățile în conformitate cu Regulamentul de instituire.

În conformitate cu articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, restricționarea aplicării articolelor 14-22, 35 și 36, precum și a articolului 4 din regulamentul respectiv în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-22 trebuie să aibă la bază norme interne care urmează să fie adoptate de agenție, dacă nu au la bază acte legislative adoptate în baza tratatelor.

Aceste norme interne, inclusiv dispozițiile privind evaluarea necesității și a proporționalității unei restricții, nu trebuie să se aplice în cazurile în care restricționarea drepturilor persoanelor vizate este prevăzută într-un act legislativ adoptat în baza tratatelor.

În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, agenția analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul menționat.

În cadrul funcționării sale, agenția poate desfășura anchete administrative, proceduri disciplinare, activități preliminare privind cazurile de eventuale nereguli raportate la OLAF, poate prelucra cazuri de avertizare în interes public, proceduri (oficiale și neoficiale) în cazuri de hărțuire, poate trata plângeri interne și externe, poate desfășura audituri interne, poate efectua investigații prin responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725, precum și investigații interne de securitate (informatică).Agenția prelucrează mai multe categorii de date cu caracter personal, printre care date concrete (date obiective, cum ar fi date de identificare, date de contact, date profesionale, detalii administrative, date primite din surse specifice, date privind comunicațiile electronice și traficul) și/sau date calitative (date subiective referitoare la caz, cum ar fi date obținute din raționamente, date comportamentale, evaluări, date privind performanța și conduita și date referitoare la sau prezentate în legătură cu obiectul procedurii sau al activității).

Agenția, reprezentată de directorul său executiv, acționează în calitate de operator de date indiferent de eventualele delegări viitoare ale rolului de operator în cadrul EMSA cu scopul de a reflecta responsabilitățile operaționale pentru operațiuni specifice de prelucrare a datelor cu caracter personal.

Datele cu caracter personal sunt stocate în condiții de siguranță într-un mediu electronic sau pe hârtie, împiedicându-se accesarea ilegală sau transferul lor către persoane care nu au nevoie să le cunoască. Datele cu caracter personal prelucrate sunt păstrate doar atât timp cât este necesar și adecvat în scopurile pentru care sunt prelucrate, pe perioada specificată în notificările privind protecția datelor, în declarațiile de confidențialitate sau în evidențele agenției.

Normele interne trebuie să se aplice tuturor operațiunilor de prelucrare efectuate de agenție în desfășurarea anchetelor administrative, a procedurilor disciplinare, a activităților preliminare privind cazurile de eventuale nereguli raportate la OLAF, a procedurilor de avertizare în interes public, a procedurilor (oficiale și neoficiale) în cazuri de hărțuire, în tratarea plângerilor interne și externe, în desfășurarea auditurilor interne, a investigațiilor efectuate de responsabilul cu protecția datelor în conformitate cu articolul 45 alineatul (2) din Regulamentul (UE) 2018/1725, precum și a investigațiilor de securitate (informatică) desfășurate pe plan intern sau cu implicare externă (de exemplu, CERT-UE).

Aceste norme interne trebuie să se aplice operațiunilor de prelucrare efectuate înainte de demararea procedurilor menționate mai sus, în timpul acestor proceduri și pe durata monitorizării rezultatelor procedurilor. De asemenea, trebuie să includă asistența și cooperarea furnizate de agenție autorităților naționale și organizațiilor internaționale în afara activităților sale administrative.

În cazurile în care se aplică aceste norme interne, agenția trebuie să ofere justificări, explicând motivele pentru care restricțiile sunt strict necesare și proporționale într-o societate democratică, și să respecte esența drepturilor și libertăților fundamentale.

În acest cadru general, agenția are obligația de a respecta în cea mai mare măsură posibilă drepturile fundamentale ale persoanelor vizate în timpul procedurilor descrise mai sus, în special pe cele referitoare la dreptul de furnizare de informații, de acces și de rectificare, dreptul de ștergere a datelor, de restricționare a prelucrării lor, dreptul de comunicare a unei încălcări a securității datelor cu caracter personal către persoana vizată sau dreptul la confidențialitatea comunicării, potrivit dispozițiilor Regulamentului (UE) 2018/1725.

Cu toate acestea, este posibil ca agenția să fie obligată să restricționeze informarea persoanei vizate și alte drepturi ale acesteia pentru a proteja în special investigațiile proprii, investigațiile și procedurile altor autorități publice, precum și drepturile altor persoane legate de investigațiile sale sau de alte proceduri.

Astfel, agenția poate restricționa informarea în scopul protejării investigației și a drepturilor și libertăților fundamentale ale altor persoane vizate.

Agenția trebuie să verifice regulat dacă se aplică condițiile care justifică restricția și să ridice restricția în cazul în care acestea nu se mai aplică.

Operatorul de date trebuie să informeze responsabilul cu protecția datelor în momentul amânării și pe durata revizuirilor,

Prezenta decizie stabilește normele referitoare la condițiile în care agenția poate restricționa, în cadrul procedurilor sale menționate la alineatul (2), aplicarea drepturilor instituite prin articolele 14-21, 35 și 36, precum și prin articolul 4, în conformitate cu articolul 25 din Regulamentul (UE) 2018/1725.

În cadrul funcționării agenției, prezenta decizie se aplică operațiunilor de prelucrare a datelor cu caracter personal de către agenție: la desfășurarea anchetelor administrative, a procedurilor disciplinare și a activităților preliminare legate de cazurile de eventuale nereguli raportate la OLAF, la prelucrarea cazurilor de avertizare în interes public, în cadrul procedurilor (oficiale și neoficiale) în cazuri de hărțuire, la tratarea plângerilor interne și externe, în desfășurarea auditurilor interne, a investigațiilor desfășurate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725 și a investigațiilor de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

Categoriile de date vizate sunt date concrete (date obiective, cum ar fi date de identificare, date de contact, date profesionale, detalii administrative, date primite din surse specifice, date privind comunicațiile electronice și traficul) și/sau date calitative (date subiective referitoare la caz, cum ar fi date obținute din raționamente, date comportamentale, evaluări, date privind performanța și conduita și date referitoare la sau prezentate în legătură cu obiectul procedurii sau al activității).

În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, agenția analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul menționat.

Sub rezerva condițiilor prevăzute în prezenta decizie, restricțiile pot fi aplicabile următoarelor drepturi: dreptul de furnizare de informații persoanelor vizate, dreptul de acces, de rectificare, de ștergere, de restricționare a prelucrării, de comunicare a unei încălcări a securității datelor cu caracter personal către persoana vizată sau dreptul la confidențialitatea comunicării. În conformitate cu articolul 5 alineatul (4) din Statutul funcționarilor, se aprobă prin prezenta tabelele de stabilire a echivalenței între tipurile posturilor și denumirile posturilor utilizate pentru funcționarii EMSA și pentru personalul temporar, cuprinse în anexa la prezenta decizie.

Operatorul responsabil cu operațiunile de prelucrare este agenția, reprezentată de directorul său executiv, care poate delega funcția de operator. Persoanele vizate sunt informate cu privire la operatorul delegat prin intermediul unor notificări privind protecția datelor sau al evidențelor publicate pe site-ul și/sau pe intranetul agenției.

Perioada de păstrare a datelor cu caracter personal la care se face referire la articolul 1 alineatul (3) nu va fi mai lungă decât este necesar și adecvat în scopul în care se prelucrează datele. În orice caz, aceasta nu va fi mai lungă decât perioada de păstrare specificată în notificările privind protecția datelor, în declarațiile de confidențialitate sau în evidențele menționate la articolul 5 alineatul (1).

În cazul în care are în vedere aplicarea unei restricții, agenția apreciază riscul pentru drepturile și libertățile persoanei vizate, în special în raport cu riscul pentru drepturile și libertățile altor persoane vizate și cu riscul de anulare a efectului investigațiilor sau al procedurilor agenției, de exemplu prin distrugerea probelor. Riscurile pentru drepturile și libertățile persoanei vizate se referă în primul rând la riscurile reputaționale și la riscurile pentru dreptul la apărare și pentru dreptul de a fi ascultat, fără a se limita însă la acestea.

Operatorul se angajează să instituie garanții în vederea evitării abuzurilor, a accesării ilegale sau a transferului ilegal, luând printre altele următoarele măsuri:

documentele pe suport de hârtie se păstrează în dulapuri securizate sau în seifuri, fiind accesibile numai personalului autorizat;

toate datele electronice se stochează într-o aplicație informatică securizată conform standardelor de securitate ale agenției, precum și în dosare electronice specifice la care are acces doar personalul autorizat. Se acordă niveluri corespunzătoare de acces individual;

bazele de date se protejează prin parolă într-un sistem sign-on unic și se conectează automat la ID-ul de utilizator și la parolă. Accesarea bazelor de date și a datelor în numele altor utilizatori/identități este strict interzisă. Evidențele electronice se păstrează în condiții de siguranță, pentru a se garanta confidențialitatea datelor pe care le conțin;

toate persoanele care au acces la date se supun obligației de confidențialitate.

Agenția aplică eventualele restricții doar pentru a garanta:

securitatea națională, securitatea publică sau apărarea statelor membre;

prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor sau executarea sancțiunilor penale, inclusiv protejarea împotriva amenințărilor la adresa securității publice și prevenirea acestora;

alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele politicii externe și de securitate comune ale Uniunii sau un interes economic sau financiar important al Uniunii sau al unui stat membru, inclusiv în domeniile monetar, bugetar și fiscal și în domeniul sănătății publice și al securității sociale;

securitatea internă a instituțiilor și a organelor Uniunii, inclusiv a rețelelor lor de comunicații electronice;

protejarea independenței judiciare și a procedurilor judiciare;

prevenirea, investigarea, depistarea și urmărirea penală a încălcării etice în cazul profesiilor reglementate;

o funcție de monitorizare, de inspecție sau de reglementare legată, chiar și ocazional, de exercitare a autorității oficiale în cazurile menționate la literele (a)-(c);

protecția persoanei vizate sau a drepturilor și libertăților altor persoane;

executarea hotărârilor pronunțate în acțiuni în pretenții formulate în temeiul dreptului civil.

În aplicarea specifică a scopurilor descrise la alineatul (1) de mai sus, agenția poate să aplice restricții în următoarele situații:Înainte de a aplica restricții în situațiile menționate la literele (a) și (b) de la primul paragraf, agenția consultă serviciile relevante ale Comisiei, instituțiile, organele, agențiile și oficiile relevante ale Uniunii sau autoritățile competente ale statelor membre, cu excepția cazului în care agenția are certitudinea că aplicarea unei restricții este prevăzută de unul dintre actele menționate la literele respective.

în cazul în care o altă instituție, un alt organ sau o altă agenție a Uniunii are dreptul de a restricționa exercitarea drepturilor enumerate în baza altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul respectiv sau cu actele de instituire a altor instituții, organe, agenții și oficii ale Uniunii;

în cazul în care scopul aplicării restricției respective de către instituția, organul sau agenția Uniunii ar fi periclitat prin neaplicarea de către EMSA a unei restricții echivalente asupra acelorași date cu caracter personal;

în cazul în care o autoritate competentă a unui stat membru are dreptul de a restricționa exercitarea drepturilor respective în baza altor acte menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului sau în conformitate cu măsurile naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului;

în cazul în care scopul aplicării restricției respective de către această autoritate competentă ar fi periclitat prin neaplicarea de către EMSA a unei restricții echivalente asupra acelorași date cu caracter personal;

în cazul în care exercitarea respectivelor drepturi și obligații ar periclita cooperarea agenției cu țări terțe sau cu organizații internaționale în îndeplinirea sarcinilor sale.

Toate restricțiile trebuie să fie necesare și proporționale, ținând cont de riscurile pentru drepturile și libertățile persoanelor vizate și de respectarea esenței drepturilor și libertăților fundamentale într-o societate democratică.

Dacă se are în vedere aplicarea unei restricții, la fiecare 6 (șase) luni se efectuează un test de necesitate și proporționalitate în baza prezentelor norme. Acesta se consemnează într-o notă de evaluare internă în scopul respectării principiului responsabilității, de la caz la caz.

Restricțiile se ridică imediat ce nu mai sunt aplicabile circumstanțele care le-au justificat, în special în cazul în care se consideră că exercitarea dreptului restricționat nu ar mai anula efectul restricției impuse și nu ar mai aduce atingere drepturilor sau libertăților altor persoane vizate.

Agenția informează fără întârzieri nejustificate responsabilul cu protecția datelor (RPD) ori de câte ori operatorul restricționează aplicarea drepturilor persoanelor vizate sau prelungește restricția în conformitate cu prezenta decizie. Operatorul acordă responsabilului cu protecția datelor acces la evidențele care cuprind evaluarea necesității și a proporționalității restricției și consemnează în aceste evidențe data la care a informat RPD.

RPD îi poate solicita operatorului, în scris, revizuirea aplicării restricțiilor. Operatorul informează RPD în scris cu privire la rezultatul revizuirii solicitate.

Operatorul informează RPD la ridicarea restricției.

În cazuri justificate corespunzător și în condițiile stabilite în prezenta decizie, dreptul la furnizarea de informații poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare:Agenția include în notificările privind protecția datelor, în declarațiile de confidențialitate sau în evidențele în sensul articolului 31 din Regulamentul (UE) 2018/1725, publicate pe site-ul său și/sau pe intranet, prin care informează persoanele vizate cu privire la drepturile lor în cadrul unei anumite proceduri, informații referitoare la eventuala restricționare a acestor drepturi. Informațiile cuprind drepturile care pot fi restricționate, motivele și durata posibilă a restricției.

efectuarea de anchete administrative și proceduri disciplinare;

activități preliminare privind cazurile de eventuale nereguli raportate la OLAF;

proceduri de avertizare în interes public;

proceduri (oficiale și neoficiale) în cazuri de hărțuire;

tratarea plângerilor interne și externe;

audituri interne;

investigații efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725;

investigații de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

De asemenea, fără a aduce atingere dispozițiilor de la alineatul (3), atunci când este proporțional agenția informează individual toate persoanele vizate considerate persoane interesate în acea operațiune de prelucrare, fără întârzieri nejustificate și în scris, cu privire la drepturile lor legate de restricțiile prezente sau viitoare.

În cazurile în care restricționează, integral sau parțial, furnizarea de informații către persoanele vizate menționate la alineatul (2), agenția consemnează motivele restricționării și temeiul legal în conformitate cu articolul 3 din prezenta decizie, incluzând și o evaluare a necesității și proporționalității restricției.

Restricția menționată la alineatul (3) continuă să se aplice atât timp cât motivele care o justifică rămân aplicabile.

În cazuri justificate și în condițiile stabilite în prezenta decizie, dreptul la acces poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și proporțional:În cazul în care persoanele vizate solicită acces la datele lor cu caracter personal prelucrate în contextul unuia sau mai multor cazuri specifice sau la o anumită operațiune de prelucrare, în conformitate cu articolul 17 din Regulamentul (UE) 2018/1725, agenția își limitează evaluarea cererii numai la aceste date cu caracter personal.

desfășurarea anchetelor administrative și a procedurilor disciplinare;

activități preliminare privind cazurile de eventuale nereguli raportate la OLAF;

proceduri de avertizare în interes public;

proceduri (oficiale și neoficiale) în cazuri de hărțuire;

tratarea plângerilor interne și externe;

audituri interne;

investigațiile efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725;

investigații de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

În cazul în care restricționează integral sau parțial dreptul de acces menționat la articolul 17 din Regulamentul (UE) 2018/1725, agenția ia următoarele măsuri:Furnizarea informațiilor menționate la litera (a) poate fi amânată, omisă sau refuzată dacă ar anula efectul restricției, în conformitate cu articolul 25 alineatul (8) din Regulamentul (UE) 2018/1725.Agenția revizuiește aplicarea restricției la fiecare șase luni de la adoptarea acesteia și la încheierea investigației relevante. Ulterior, operatorul verifică la fiecare șase luni dacă este necesară menținerea vreunei restricții.

informează persoana vizată, în răspunsul său la cerere, cu privire la restricția aplicată și la principalele motive ale acesteia, precum și la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene;

consemnează într-o notă de evaluare internă motivele restricționării, inclusiv o evaluare a necesității și proporționalității restricției și a duratei sale.

Evidențele și, dacă este cazul, documentele care conțin elementele de fapt și de drept aferente se înregistrează. La cerere, acestea se pun la dispoziția Autorității Europene pentru Protecția Datelor.

În cazuri justificate și în condițiile stabilite în prezenta decizie, dreptul de a rectifica și a șterge datele și dreptul de a restricționa prelucrarea lor pot fi restricționate de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și adecvat:

desfășurarea anchetelor administrative și a procedurilor disciplinare;

activități preliminare privind cazurile de eventuale nereguli raportate la OLAF;

proceduri de avertizare în interes public;

proceduri (oficiale și neoficiale) în cazuri de hărțuire;

tratarea plângerilor interne și externe;

audituri interne;

investigațiile efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725;

investigații de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE);

efectuarea copiilor de rezervă ale evidențelor offline care sunt secvențiale și se prelucrează numai în caz de recuperare urma unui dezastru sau de recuperare parțială a datelor.

În cazul în care restricționează integral sau parțial aplicarea dreptului de rectificare și ștergere a datelor și a dreptului de restricționare a prelucrării acestora, menționate la articolul 18, la articolul 19 alineatul (1) și la articolul 20 alineatul (1) din Regulamentul (UE) 2018/1725, agenția ia măsurile prevăzute la articolul 6 alineatul (2) din prezenta decizie și înregistrează evidențele în conformitate cu articolul 6 alineatul (3) din prezenta decizie. Fără a aduce atingere etapelor de mai sus, fiecare restricție este supusă revizuirii conform condițiilor stipulate la articolul 3 alineatul (4) din prezenta decizie.

În cazuri justificate și în condițiile stabilite în prezenta decizie, dreptul la informare cu privire la încălcarea securității datelor cu caracter personal poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și adecvat:

desfășurarea anchetelor administrative și a procedurilor disciplinare;

activități preliminare privind cazurile de eventuale nereguli raportate la OLAF;

proceduri de avertizare în interes public;

tratarea plângerilor interne și externe;

audituri interne;

investigațiile efectuate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725;

investigații de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

În cazuri justificate și în condițiile stabilite în prezenta decizie, dreptul la confidențialitatea comunicațiilor electronice poate fi restricționat de operator în contextul următoarelor operațiuni de prelucrare, dacă este necesar și adecvat:

desfășurarea anchetelor administrative și a procedurilor disciplinare;

activități preliminare privind cazurile de eventuale nereguli raportate la OLAF;

proceduri de avertizare în interes public;

proceduri oficiale în cazuri de hărțuire;

tratarea plângerilor interne și externe;

investigații de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

În cazul în care restricționează dreptul de informare a persoanei vizate cu privire la încălcarea securității datelor cu caracter personal sau dreptul la confidențialitatea comunicațiilor electronice, menționate la articolele 35 și 36 din Regulamentul (UE) 2018/1725, agenția consemnează și înregistrează motivele restricției în conformitate cu articolul 5 alineatul (3) din prezenta decizie. Se aplică articolul 5 alineatul (4) din prezenta decizie. Fără a aduce atingere etapelor de mai sus, fiecare restricție este supusă revizuirii conform condițiilor stipulate la articolul 3 alineatul (4) din prezenta decizie.

Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Adoptată la Lisabona, 6 aprilie 2020.Pentru Agenția Europene pentru Siguranță MaritimăAndreas NordsethPreședintele Consiliului de administrație