Document UE

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE, și în special articolul 25,

Având în vedere Regulamentul (CE) nr. 2100/94 al Consiliului din 27 iulie 1994 de instituire a unui sistem de protecție comunitară a soiurilor de plante, de instituire a Oficiului Comunitar pentru Soiuri de Plante (OCSP), în special articolul 36,

având în vedere consultarea Autorității Europene pentru Protecția Datelor la 18 decembrie 2019,

după consultarea Comitetului personalului,

Oficiul Comunitar pentru Soiuri de Plante (denumit în continuare oficiul) își desfășoară activitățile în conformitate cu Regulamentul (CE) nr. 2100/94.

În conformitate cu articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, restricționarea aplicării articolelor 14-22, 35 și 36, precum și a articolului 4 din acest regulament, în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-22, ar trebui să se bazeze pe normele interne care urmează să fie adoptate de oficiu, în cazul în care acestea nu se bazează pe actele legislative adoptate în temeiul tratatelor.

Aceste norme interne, inclusiv dispozițiile lor privind evaluarea necesității și a proporționalității unei restricții, nu se aplică în cazul în care un act legislativ adoptat în temeiul tratatelor prevede restricționarea drepturilor persoanelor vizate.

În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, oficiul ar trebui să aprecieze dacă se aplică oricare dintre excepțiile prevăzute în regulamentul menționat.

În cadrul funcționării sale administrative, oficiul poate fi obligat să restricționeze drepturile persoanelor vizate, în conformitate cu articolul 25 din Regulamentul (UE) 2018/1725.

Oficiul, reprezentat de al său președinte, acționează în calitate de operator de date, indiferent dacă există alte delegări ale rolului de operator în cadrul oficiului, pentru a reflecta responsabilitățile operaționale referitoare la operațiuni specifice de prelucrare a datelor cu caracter personal.

Datele cu caracter personal sunt stocate în siguranță într-un mediu electronic sau pe hârtie pentru a preveni accesul ilegal la acestea sau transferul lor către persoane care nu au nevoie să le cunoască. Datele cu caracter personal prelucrate sunt păstrate pe perioada specificată în notificările privind protecția datelor, în declarațiile de confidențialitate sau în evidențele oficiului.

Prezentele norme interne trebuie să se aplice tuturor operațiunilor de prelucrare realizate de oficiu în contextul anchetelor administrative, al procedurilor disciplinare, al procedurilor de avertizare în interes public (oficiale și neoficiale) pentru soluționarea cazurilor de hărțuire, al tratării plângerilor și a datelor medicale, al desfășurării auditurilor interne, al investigațiilor desfășurate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725 și al investigațiilor de securitate (IT) gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE).

În cazurile în care se aplică aceste norme interne, oficiul trebuie să dea explicații cu privire la motivele pentru care restricțiile sunt necesare și adecvate într-o societate democratică și să respecte esența drepturilor și libertăților fundamentale.

În acest cadru, oficiul are obligația să respecte, cât mai mult posibil, drepturile fundamentale ale persoanelor vizate în cursul procedurilor de mai sus, în special cele privind dreptul de informare, de acces și de rectificare, dreptul de ștergere a datelor, dreptul de restricționare a prelucrării datelor, dreptul de informare a persoanelor vizate cu privire la încălcarea securității datelor cu caracter personal sau dreptul la confidențialitatea comunicațiilor, astfel cum sunt instituite prin Regulamentul (UE) 2018/1725.

Oficiul trebuie să urmărească periodic dacă se aplică condițiile care justifică restricția și să ridice restricția în cazul în care nu se mai aplică.

Operatorul trebuie să furnizeze responsabilului cu protecția datelor informații cu privire la orice restricție aplicată asupra drepturilor persoanei vizate, în cazul ridicării sau revizuirii restricției,

Prezenta decizie stabilește normele privind condițiile în care oficiul, în cadrul general al operațiunilor sale de prelucrare, prevăzute la alineatul (2), poate restricționa aplicarea drepturilor consacrate la articolele 4, 14-21, 35 și 36 din Regulamentul (UE) 2018/1725, în conformitate cu articolul 25 din regulamentul menționat.

În cadrul funcționării administrative a oficiului, prezenta decizie se aplică prelucrării datelor cu caracter personal de către oficiu în scopul: anchetelor administrative, al procedurilor disciplinare, al procedurilor de avertizare în interes public (oficiale și neoficiale) pentru soluționarea cazurilor de hărțuire, al tratării plângerilor, al prelucrării datelor și/sau dosarelor medicale, al desfășurării auditurilor interne, al investigațiilor desfășurate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725 și al investigațiilor de securitate IT gestionate pe plan intern sau cu implicare externă (de exemplu, CERT-UE).

Categoriile de date în discuție sunt date concrete (date obiective, cum ar fi datele de identificare, datele de contact, datele profesionale, detaliile administrative, datele primite din surse specifice, datele privind comunicațiile electronice și privind traficul) și/sau datele calitative (date subiective referitoare la caz, cum ar fi datele obținute din raționamente, datele comportamentale, evaluările, datele privind performanța și conduita și datele privind obiectul procedurii sau al activității sau prezentate în legătură cu acesta).

În exercitarea atribuțiilor cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, oficiul analizează dacă se aplică oricare dintre excepțiile prevăzute în regulamentul menționat.

Sub rezerva condițiilor prevăzute în prezenta decizie, restricțiile pot fi aplicabile următoarelor drepturi: dreptul de furnizare de informații persoanelor vizate, dreptul de acces, de rectificare, de ștergere, de restricționare a prelucrării, de comunicare a unei încălcări a securității datelor cu caracter personal către persoanele vizate sau dreptul la confidențialitatea comunicării electronice.

Oficiul instituie garanțiile următoare pentru a preveni utilizarea abuzivă, accesul sau transferul ilegal:

documentele pe hârtie se păstrează în dulapuri securizate și sunt accesibile doar personalului autorizat;

toate datele electronice se stochează într-o aplicație informatică securizată conform standardelor de securitate ale oficiului, precum și în dosare electronice specifice, la care are acces doar personalul autorizat. Se acordă niveluri corespunzătoare de acces în mod individual;

sistemele IT și bazele de date ale acestora trebuie să fie prevăzute cu mecanisme de verificare a identității utilizatorului într-un sistem de autentificare unic și să se conecteze automat cu numele de utilizator și parola. Conturile de utilizator trebuie să fie unice, personale și netransferabile, partajarea conturilor de utilizator este strict interzisă. Evidențele electronice se păstrează în condiții de siguranță, pentru a garanta confidențialitatea datelor pe care le conțin;

toate persoanele care au acces la date au obligația să păstreze confidențialitatea lor.

Operatorul responsabil cu prelucrarea datelor este oficiul, reprezentat de al său președinte, care poate delega funcția operatorului de date. Persoanele vizate sunt informate cu privire la operatorul de date delegat prin notificări privind protecția datelor sau evidențe publicate pe site-ul și/sau pe intranetul oficiului.

Perioada de păstrare a datelor cu caracter personal menționate la articolul 1 alineatul (3) nu poate fi mai lungă decât perioada specificată în anunțurile privind protecția datelor, în declarațiile de confidențialitate sau în evidențele menționate la articolul 3 alineatul (1). La sfârșitul perioadei de păstrare, informațiile legate de caz, inclusiv datele cu caracter personal, sunt eliminate, anonimizate sau transferate în arhivele istorice.

În cazul în care are în vedere aplicarea unei restricții, oficiul apreciază riscul pentru drepturile și libertățile persoanei vizate, în special în raport cu riscul pentru drepturile și libertățile altor persoane vizate și cu riscul de a împiedica scopul operațiunii de prelucrare. Riscurile la adresa drepturilor și libertăților persoanei vizate se referă în primul rând la riscurile reputaționale și la riscurile la adresa dreptului la apărare și a dreptului de a fi ascultat, fără a se limita însă la acestea.

Oficiul publică pe site-ul și/sau pe intranetul său notificările privind protecția datelor, declarații de confidențialitate și/sau evidențe în temeiul articolului 31 din Regulamentul (UE) 2018/1725, prin care furnizează informații tuturor persoanelor vizate cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal și a drepturilor lor în cadrul unei proceduri date, inclusiv informații referitoare la eventuala restricționare a acestor drepturi. Informațiile acoperă drepturile care pot fi restricționate, motivele restricționării și posibila durată a acesteia.

Fără a afecta dispozițiile de la alineatul (3), dacă este relevant, oficiul se asigură că persoanele vizate sunt informate individual folosind un format adecvat. De asemenea, Oficiul poate informa persoanele vizate în mod individual cu privire la drepturile pe care le au în ceea ce privește restricțiile prezente sau viitoare.

Orice restricție impusă de oficiu se aplică numai pentru a proteja scopurile enumerate la articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725:

securitatea națională, securitatea publică sau apărarea statelor membre;

prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor sau executarea sancțiunilor penale, inclusiv protejarea împotriva amenințărilor la adresa securității publice și prevenirea acestora;

alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele politicii externe și de securitate comune ale Uniunii sau un interes economic sau financiar important al Uniunii sau al unui stat membru, inclusiv în domeniile monetar, bugetar și fiscal și în domeniul sănătății publice și al securității sociale;

securitatea internă a instituțiilor și organelor Uniunii, inclusiv a rețelelor lor de comunicații electronice;

protecția independenței judiciare și a procedurii jurisdicționale;

prevenirea, investigarea, depistarea și urmărirea penală a încălcării etice în cazul profesiilor reglementate;

o funcție de monitorizare, de inspecție sau de reglementare asociată, chiar și ocazional, cu exercitarea autorității oficiale în cazurile menționate la literele (a)-(c);

protecția persoanei vizate sau a drepturilor și libertăților altor persoane;

executarea hotărârilor pronunțate în acțiuni în pretenții formulate în temeiul dreptului civil.

În special, în cazul în care oficiul impune restricții în contextul:

anchetelor administrative și al procedurilor disciplinare, restricțiile pot fi impuse în temeiul articolului 25 alineatul (1) literele (c), (e), (g) și (h) din Regulamentul (UE) 2018/1725;

procedurilor de avertizare în interes public, restricțiile pot fi impuse în temeiul articolului 25 alineatul (1) litera (h) din Regulamentul (UE) 2018/1725;

procedurilor (oficiale și neoficiale) pentru soluționarea cazurilor de hărțuire, restricțiile pot fi impuse în temeiul articolului 25 alineatul (1) litera (h) din Regulamentul (UE) 2018/1725;

tratării plângerilor, restricțiile pot fi impuse în temeiul articolului 25 alineatul (1) literele (c), (e), (g) și (h) din Regulamentul (UE) 2018/1725;

prelucrării datelor medicale, restricțiile pot fi impuse în temeiul articolului 25 alineatul (1) litera (h) din Regulamentul (UE) 2018/1725;

auditurilor interne, restricțiile pot fi impuse în temeiul articolului 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725;

investigațiilor efectuate de responsabilul cu protecția datelor, în conformitate cu articolul 45 alineatul (2) din Regulamentul (UE) 2018/1725, restricțiile pot fi impuse în temeiul articolului 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725;

investigațiilor de securitate IT desfășurate intern sau cu implicare externă (de exemplu, CERT-UE), restricțiile pot fi impuse în temeiul articolului 25 alineatul (1) literele (c), (d), (g) și (h) din Regulamentul (UE) 2018/1725.

Toate restricțiile trebuie să fie necesare și proporționale, ținând cont, în special, de riscurile pentru drepturile și libertățile persoanelor vizate și de respectarea esenței drepturilor și libertăților fundamentale într-o societate democratică.

În plus, oficiului i se poate solicita să facă schimb de date cu caracter personal cu serviciile Comisiei sau cu alte instituții, organe, agenții și oficii ale Uniunii, cu autorități competente ale statelor membre sau cu alte autorități competente din țări terțe sau cu organizații internaționale, inclusiv:

în cazul în care serviciile Comisiei sau alte instituții, organe, agenții și oficii ale Uniunii restricționează obligațiile și exercitarea drepturilor acestor persoane vizate, în temeiul altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul menționat sau cu actele de instituire a altor instituții, organe, agenții și oficii ale Uniunii;

în cazul în care autoritățile competente ale statelor membre își restricționează obligațiile și exercitarea drepturilor acestor persoane vizate în temeiul unor acte menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului sau în conformitate cu alte măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului.

Evidențele privind restricțiile și, după caz, documentele care conțin aspecte fundamentale de fapt și de drept sunt puse la dispoziția Autorității Europene pentru Protecția Datelor, la cerere.

Oficiul informează, fără întârzieri nejustificate, responsabilul cu protecția datelor (RPD) al Oficiului ori de câte ori operatorul restricționează aplicarea drepturilor persoanelor vizate, ridică restricția sau revizuiește perioada de restricție, în conformitate cu prezenta decizie. Operatorul asigură accesul RPD la evidențele care conțin evaluarea necesității și proporționalității restricției și consemnează data de informare a responsabilului cu protecția datelor.

RPD poate solicita operatorului, în scris, reexaminarea aplicării restricțiilor. Operatorul informează RPD, în scris, cu privire la rezultatul reexaminării solicitate.

Participarea RPD la procedura privind restricțiile, inclusiv la schimburile de informații, este documentată într-o formă corespunzătoare.

În cazuri justificate în mod corespunzător și în condițiile stabilite în prezenta decizie, furnizarea informațiilor poate fi restricționată de operator în contextul operațiunilor de prelucrare prevăzute la articolul 1 alineatul (2), dacă este necesar și proporțional. În special, furnizarea informațiilor poate fi amânată, omisă sau refuzată, dacă ar anula efectul operațiunii de prelucrare.

În cazurile în care oficiul restricționează, integral sau parțial, furnizarea de informații menționate la alineatul (1), acesta consemnează într-o notă de evaluare internă motivele restricționării, inclusiv o evaluare a necesității și proporționalității restricției, și durata ei.

Restricția menționată la alineatul (1) continuă să se aplice atâta timp cât motivele care o justifică rămân aplicabile.

Oficiul reexaminează aplicarea restricției cel puțin o dată pe an și la încheierea procedurii relevante. Ulterior, operatorul monitorizează o dată pe an necesitatea de a menține orice restricție.

În cazuri justificate și în condițiile stabilite în prezenta decizie, dreptul de acces, dreptul de a rectifica, dreptul de a șterge datele și dreptul de a restricționa prelucrarea lor pot fi restricționate de operator în contextul următoarelor operațiuni de prelucrare prevăzute la articolul 1 alineatul (2) din prezenta decizie. Dispozițiile prevăzute la prezentul articol 6 nu se aplică dreptului de acces la date și/sau dosare medicale, pentru care sunt prevăzute în mod explicit norme specifice la articolul 7 menționat mai jos.

În cazul în care persoanele vizate solicită să își exercite dreptul de acces, de rectificare, de ștergere și de restricționare a prelucrării care vizează datele lor personale prelucrate în contextul unui caz sau al mai multor cazuri specifice sau referitoare la o operațiune de prelucrare specifică, oficiul evaluează cererea limitându-se strict la aceste date cu caracter personal.

În cazul în care oficiul restricționează, integral sau parțial, dreptul de acces, de rectificare, de ștergere și de restricționare a prelucrării, acesta ia următoarele măsuri:

informează persoana vizată, în răspunsul său la cererea acesteia, cu privire la restricția aplicată și la principalele motive ale acesteia, precum și cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene;

documentează într-o notă de evaluare internă motivele restricționării, inclusiv o evaluare a necesității și proporționalității restricției și a duratei sale.

Oficiul reexaminează aplicarea restricționării drepturilor persoanelor vizate cel puțin o dată pe an și la încheierea procedurii relevante. Ulterior, la cererea persoanelor vizate, operatorul reexaminează necesitatea de a menține restricția.

Restricționarea dreptului de acces al persoanelor vizate la datele și/sau dosarele lor medicale necesită aplicarea de dispoziții specifice, prevăzute la prezentul articol.

În conformitate cu alineatele de mai jos de la prezentul articol, oficiul poate restricționa dreptul persoanei vizate de a accesa direct date și/sau dosare medicale personale referitoare la afecțiuni psihologice sau psihiatrice ale persoanelor vizate, care sunt prelucrate de oficiu, în cazul în care accesul la astfel de date poate reprezenta un risc pentru sănătatea persoanei vizate. Această restricție este proporțională cu ceea ce este strict necesar pentru a proteja persoana vizată.

Accesul la informațiile menționate la alineatul (2) se acordă unui medic ales de persoana vizată

În astfel de cazuri, persoanei vizate i se rambursează de către Serviciul medical, la cerere, partea nerambursată de Sistemul comun de asigurări de sănătate (SCAS), aferentă costului consultației cu medicul care a avut acces la datele și/sau dosarele medicale. Cuantumul rambursat nu poate să depășească diferența dintre plafonul prevăzut în Dispozițiile generale de punere în aplicare privind rambursarea cheltuielilor medicale și cuantumul rambursat persoanei vizate de Sistemul comun de asigurări de sănătate (SCAS) în temeiul normelor respective.

O astfel de rambursare din partea Serviciului medical este supusă condiției ca accesul să nu fi fost încă acordat pentru aceleași date și/sau dosare.

În conformitate cu alineatele de mai jos de la prezentul articol, oficiul poate restricționa, de la caz la caz, dreptul persoanei vizate de a-și accesa datele și/sau dosarele medicale personale aflate în posesia sa, în special în cazul în care accesul la astfel de date poate submina drepturile și libertățile persoanei vizate sau ale altor persoane vizate.

În cazul în care persoanele vizate solicită să își exercite dreptul de acces la datele lor personale prelucrate în contextul unuia sau al mai multor cazuri specifice sau în cadrul unei anumite operațiuni de prelucrare, oficiul evaluează cererea limitându-se strict la aceste date cu caracter personal.

În cazul în care oficiul restricționează, integral sau parțial, dreptul de acces al persoanelor vizate la datele și/sau dosarele medicale personale, acesta ia următoarele măsuri:

informează persoana vizată, în răspunsul său la cererea acesteia, cu privire la restricția aplicată și la principalele motive ale acesteia, precum și cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene;

consemnează într-o notă de evaluare internă motivele restricționării, inclusiv o evaluare a necesității și proporționalității restricției și a duratei sale, în special prin descrierea modului în care exercitarea dreptului ar prezenta un risc pentru sănătatea persoanei vizate sau ar avea un impact negativ asupra drepturilor și libertăților persoanelor vizate sau ale altor persoane vizate.

Restricțiile menționate la alineatele (2) și (6) menționate mai sus continuă să se aplice cât timp motivele care le justifică rămân aplicabile. După ce motivele unei restricții încetează să se mai aplice, la cererea persoanelor vizate, operatorul reexaminează necesitatea de a menține restricția.

În cazuri justificate în mod corespunzător și în condițiile prevăzute în prezenta decizie, dreptul la comunicarea unei încălcări a securității datelor cu caracter personal poate fi restricționat de operator, dacă este necesar și adecvat în contextul operațiunilor de prelucrare prevăzute la articolul 1 alineatul (2) din prezenta decizie. Acest drept nu este însă restricționat in contextul procedurilor de soluționare a cazurilor de hărțuire.

În cazuri justificate în mod corespunzător și în condițiile prevăzute în prezenta decizie, dreptul la confidențialitatea comunicațiilor electronice poate fi restricționat de operator, dacă este necesar și adecvat, în contextul operațiunilor de prelucrare prevăzute la articolul 1 alineatul (2) din prezenta decizie.

Articolul 5 alineatele (2), (3) și (4) din prezenta decizie se aplică în cazul în care Oficiul restricționează informarea unei persoane vizate cu privire la încălcarea securității datelor cu caracter personal sau a confidențialității comunicațiilor electronice, astfel cum se prevede la articolele 35 și 36 din Regulamentul (UE) 2018/1725.

Prezenta decizie intră în vigoare în a treia zi de la data publicării sale în Jurnalul Oficial al Uniunii Europene.

Adoptat la Angers, 1 aprilie 2020.Pentru Oficiul Comunitar pentru Soiuri de PlanteBistra PavlovskaPreședintele Consiliului de administrație