title: Rozhodnutí správní rady Evropského podpůrného úřadu pro otázky azylu č. 64 ze dne 6. července 2020 o přijetí vnitřních předpisů týkajících se omezení určitých práv subjektů údajů v souvislosti se zpracováním osobních údajů v rámci fungování nadace EASO

text:
                  27.8.2020

                  CS

                  Úřední věstník Evropské unie

                  L 279/15

         ROZHODNUTÍ SPRÁVNÍ RADY EVROPSKÉHO PODPŮRNÉHO ÚŘADU PRO OTÁZKY AZYLU č. 64
         ze dne 6. července 2020
         o přijetí vnitřních předpisů týkajících se omezení určitých práv subjektů údajů v souvislosti se zpracováním osobních údajů v rámci fungování nadace EASO
         SPRÁVNÍ RADA EVROPSKÉHO PODPŮRNÉHO ÚŘADU PRO OTÁZKY AZYLU, dále jen EASO,
         s ohledem na Smlouvu o fungování Evropské unie,
         s ohledem na nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (1), a zejména na článek 25 tohoto nařízení,
         s ohledem na nařízení Evropského parlamentu a Rady (EU) č. 439/2010 ze dne 19. května 2010 o zřízení Evropského podpůrného úřadu pro otázky azylu (2), a zejména na článek 29 tohoto nařízení,
         s ohledem na stanovisko evropského inspektora ochrany údajů ze dne 20. května 2020 a na pokyny evropského inspektora ochrany údajů k článku 25 nového nařízení a k vnitřním předpisům,
         po projednání s výborem zaměstnanců,
         vzhledem k těmto důvodům:

                     (1)

                     EASO vykonává svou činnost v souladu s nařízením (EU) č. 439/10.

                     (2)

                     V souladu s čl. 25 odst. 1 nařízení (EU) 2018/1725 by omezení použití článků 14 až 21, 35 a 36, jakož i článku 4 uvedeného nařízení v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 21, měla vycházet z vnitřních předpisů přijatých nadací EASO, pokud nevycházejí z právních aktů přijatých na základě Smluv.

                     (3)

                     Tyto vnitřní předpisy, včetně ustanovení o posouzení nezbytnosti a přiměřenosti daného omezení, by se neměly použít v případě, kdy omezení práv subjektů údajů stanoví právní akt přijatý na základě Smluv.

                     (4)

                     V případech, kdy EASO vykonává své povinnosti s ohledem na práva subjektu údajů podle nařízení (EU) 2018/1725, zváží, zda se neuplatní některá z výjimek stanovených v uvedeném nařízení.

                     (5)

                     V rámci svého správního fungování může EASO provádět správní šetření, kárná řízení, vykonávat předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF, zpracovávat případy oznámení podezření z protiprávního jednání (whistleblowingu), vyřizovat (formální a neformální) řízení v případě obtěžování, vyřizovat interní a externí stížnosti, provádět interní audity, provádět vyšetřování ze strany pověřence pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725 a vyšetřování interní bezpečnosti (IT) a vyřizovat žádosti zaměstnanců o přístup k jejich zdravotní dokumentaci.
                     EASO zpracovává několik kategorií osobních údajů, včetně „tvrdých“ údajů („objektivní“ údaje, jako jsou údaje o totožnosti, kontaktní údaje, profesní údaje, správní podrobnosti, údaje získané ze zvláštních zdrojů, elektronická komunikace a provozní údaje) nebo „měkkých“ údajů („subjektivní“ údaje týkající se daného případu, např. odůvodnění, údaje o chování, hodnocení, údaje o výkonu a jednání a údaje související nebo předložené v souvislosti s předmětem řízení nebo činnosti).

                     (6)

                     Nadace EASO, zastoupená svým výkonným ředitelem, vystupuje jako správce údajů bez ohledu na další přenesení pravomocí spojených s úlohou správce v rámci nadace s cílem zohlednit provozní odpovědnost za konkrétní operace zpracování osobních údajů.

                     (7)

                     Osobní údaje jsou bezpečně uloženy v elektronickém prostředí nebo v papírové podobě, která brání zneužití údajů nebo protiprávnímu přístupu k údajům ze strany osob, které je nepotřebují znát, nebo předání údajů těmto osobám. Zpracovávané osobní údaje jsou uchovávány jen po dobu nezbytnou a vhodnou pro účely, pro které se zpracovávají během období uvedeného v oznámeních o ochraně údajů nebo v záznamech nadace EASO.

                     (8)

                     Tyto vnitřní předpisy by měly platit pro všechny operace zpracování provedené nadací EASO v rámci správních šetření, kárných řízení, předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF, řízení v případě whistleblowingu, (formálních a neformálních) řízení v případech obtěžování, vyřizování interních a externích stížností, interních auditů, vyšetřování ze strany pověřence pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725, vyšetřování bezpečnosti (IT) prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU) a vyřizování žádostí zaměstnanců o přístup k jejich zdravotní dokumentaci.

                     (9)

                     Tyto vnitřní předpisy by měly platit pro operace zpracování provedené před zahájením výše uvedených řízení, během těchto řízení a během sledování navazujícího postupu v reakci na výstupy těchto řízení. Součástí by rovněž měla být pomoc a spolupráce, kterou nadace EASO nabídne vnitrostátním orgánům a mezinárodním organizacím nad rámec svých správních vyšetřování.

                     (10)

                     V případech, kdy se použijí tyto vnitřní předpisy, by měla nadace EASO uvést odůvodnění vysvětlující, proč jsou omezení přísně vzato nezbytná a přiměřená v demokratické společnosti, a dodržovat podstatu základních práv a svobod.

                     (11)

                     V této souvislosti je nadace EASO během výše uvedených řízení povinna dodržovat v maximální možné míře základní práva subjektů údajů, zejména ta, která se týkají práva subjektu údajů na informace, práva na přístup k údajům a jejich opravu, práva na výmaz, omezení zpracování, práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů a na důvěrnost elektronické komunikace, jak je zakotveno v nařízení (EU) 2018/1725.

                     (12)

                     Je však možné, že nadace EASO bude muset omezit právo subjektu údajů na informace a jiná práva subjektu údajů, a to zejména s cílem chránit vlastní vyšetřování, vyšetřování a řízení jiných veřejných orgánů, jakož i práva jiných osob související s vyšetřováními a jinými řízeními nadace EASO.

                     (13)

                     Nadace EASO by měla pravidelně sledovat, zda platí podmínky odůvodňující dané omezení, a omezení zrušit, pokud podmínky již neplatí.

                     (14)

                     Správce by měl informovat pověřence pro ochranu osobních údajů v okamžiku, kdy se omezení použije, a během následných přezkumů a zapojit ho během celého řízení až do zrušení omezení,

               PŘIJALA TOTO ROZHODNUTÍ:

            Článek 1
            Předmět a oblast působnosti

               1.   Toto rozhodnutí stanoví předpisy týkající se podmínek, za nichž může EASO v rámci řízení uvedených v odstavci 2 omezit uplatňování práv zakotvených v článcích 14 až 21, 35 a 36, jakož i v článku 4 nařízení (EU) 2018/1725, a to v souladu s článkem 25 uvedeného nařízení.

               2.   V rámci správního fungování nadace EASO platí toto rozhodnutí pro operace zpracování osobních údajů provedené nadací EASO pro účely provádění správních šetření, kárných řízení, předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF, projednávání případů whistleblowingu, (formálních a neformálních) řízení v případech obtěžování, vyřizování interních a externích stížností, provádění interních auditů, vyšetřování ze strany pověřence pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725, vyšetřování (IT) bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU) a vyřizování žádostí zaměstnanců o přístup k jejich zdravotní dokumentaci.

               3.   Dotčenými kategoriemi údajů jsou „tvrdé“ údaje („objektivní“ údaje, jako jsou údaje o totožnosti, kontaktní údaje, profesní údaje, správní podrobnosti, údaje získané ze zvláštních zdrojů, elektronická komunikace a provozní údaje) a/nebo „měkké“ údaje („subjektivní“ údaje týkající se daného případu, např. odůvodnění, údaje o chování, hodnocení, údaje o výkonu a jednání a údaje související nebo předložené v souvislosti s předmětem řízení nebo činnosti).

               4.   V případech, kdy EASO vykonává své povinnosti s ohledem na práva subjektu údajů podle nařízení (EU) 2018/1725, zváží, zda se neuplatní některá z výjimek stanovených v uvedeném nařízení.

               5.   S výhradou podmínek stanovených v tomto rozhodnutí se mohou omezení vztahovat na tato práva: právo subjektu údajů na informace, právo subjektu údajů na přístup k osobním údajům, jejich opravu, výmaz a omezení zpracování, práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů a na důvěrnost elektronických komunikací.

            Článek 2
            Specifikace správce a záruky

               1.   S cílem předejít zneužití, nezákonnému přístupu nebo předání údajů zavede nadace EASO tyto záruky:

                           a)

                           papírové dokumenty se uchovávají v zabezpečených skříních a přístup k nim mají pouze oprávnění zaměstnanci;

                           b)

                           veškeré elektronické údaje se uchovávají v zabezpečené aplikaci IT podle bezpečnostních norem nadace EASO, jakož i ve zvláštních elektronických adresářích, k nimž mají přístup pouze oprávnění zaměstnanci. Vhodné úrovně přístupu se udělují individuálně;

                           c)

                           IT prostředí nadace EASO je přístupné prostřednictvím systému jediného přihlášení a propojeno automaticky s uživatelským jménem a heslem daného uživatele. Elektronické záznamy jsou uchovávány zabezpečeným způsobem, aby se zajistila důvěrnost a soukromí údajů v nich obsažených;

                           d)

                           všechny osoby, které mají přístup k údajům, jsou vázány povinností zachovávat důvěrnost;

               2.   Správcem operací zpracování je nadace EASO, zastoupená svým výkonným ředitelem, který může delegovat funkci správce. V případech, kdy výkonný ředitel podléhá správnímu vyšetřování, disciplinárnímu řízení nebo vnitřnímu vyšetřování, zastupuje úřad EASO jako správce údajů správní rada (jako orgán oprávněný ke jmenování výkonného ředitele). Subjekty údajů jsou informovány delegovaným správcem formou oznámení o ochraně údajů nebo prostřednictvím záznamů zveřejněných na internetových stránkách a na intranetu nadace EASO.

               3.   Období uchovávání osobních údajů uvedených v čl. 1 odst. 3 tohoto rozhodnutí nesmí být delší, než je nezbytné a vhodné pro účely, pro něž se údaje zpracovávají. Každopádně však nesmí být delší než období uchovávání uvedené v oznámeních o ochraně údajů nebo v záznamech podle čl. 3 odst. 3 tohoto rozhodnutí.

               4.   Pokud nadace EASO zvažuje použití omezení, zváží riziko pro práva a svobody subjektu údajů především ve srovnání s rizikem hrozícím právům a svobodám jiných subjektů údajů a rizikem maření účinku vyšetřování nebo řízení vedených nadací EASO, například formou ničení důkazů. Rizika pro práva a svobody subjektu údajů se týkají především, ale nikoliv výlučně rizik ohrožení dobrého jména a rizik spojených s právem na obhajobu a právem být vyslechnut.

            Článek 3
            Omezení

               1.   Nadace EASO uplatňuje omezení pouze na základě jednoho nebo více z důvodů uvedených v čl. 25 odst. 1 písm. a) až i) nařízení (EU) 2018/1725. Zejména v souvislosti s účely zpracování osobních údajů uvedenými v čl. 1 odst. 2 tohoto rozhodnutí mohou omezení vycházet z těchto důvodů:

                           a)

                           při provádění správních šetření a kárných řízení mohou omezení vycházet z čl. 25 odst. 1 písm. b), c), g) a h) nařízení (EU) 2018/1725;

                           b)

                           u předběžných činností souvisejících s případy možných nesrovnalostí oznámených úřadu OLAF mohou omezení vycházet z čl. 25 odst. 1 písm. b), c), f), g) a h) nařízení (EU) 2018/1725;

                           c)

                           v rámci řízení v případě whistleblowingu mohou omezení vycházet z čl. 25 odst. 1 písm. b), c), f), g) a h) nařízení (EU) 2018/1725;

                           d)

                           u (formálních a neformálních) řízení v případech obtěžování mohou omezení vycházet z čl. 25 odst. 1 písm. b), f), h) a i) nařízení (EU) 2018/1725;

                           e)

                           při vyřizování interních a externích stížností mohou omezení vycházet z čl. 25 odst. 1 písm. c), e), g) a h) nařízení (EU) 2018/1725;

                           f)

                           u interních auditů mohou omezení vycházet z čl. 25 odst. 1 písm. c), g) a h) nařízení (EU) 2018/1725;

                           g)

                           u vyšetřování prováděných pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725 mohou omezení vycházet z čl. 25 odst. 1 písm. c), a h) uvedeného nařízení;

                           h)

                           u vyšetřování IT bezpečnosti prováděných interně nebo se zapojením externích subjektů (např. skupiny CERT-EU) mohou omezení vycházet z čl. 25 odst. 1 písm. c), d), g) a nařízení (EU) 2018/1725;

                           i)

                           při vyřizování žádostí zaměstnanců o přístup k jejich zdravotní dokumentaci mohou omezení vycházet z čl. 25 odst. 1 písm. h) nařízení (EU) 2018/1725.

               2.   Na základě zvláštního uplatnění účelů popsaných výše v odstavci 1 může nadace EASO omezení práv uvedených v čl. 1 odst. 5 tohoto rozhodnutí použít za těchto okolností:

                           a)

                           pokud je jiný orgán, instituce nebo jiný subjekt Unie oprávněn omezit výkon těchto práv na základě jiných aktů podle článku 25 nařízení (EU) 2018/1725 nebo v souladu s kapitolou IX uvedeného nařízení nebo se svými zakládajícími akty a účel takového omezení příslušným jiným orgánem, institucí nebo jiným subjektem Unie by byl ohrožen, jestliže by nadace EASO u stejných osobních údajů neuplatnila obdobné omezení;

                           b)

                           pokud je příslušný orgán členského státu oprávněn omezit výkon těchto práv na základě aktů uvedených v článku 23 nařízení Evropského parlamentu a Rady (EU) 2016/679 (3) nebo na základě vnitrostátních opatření provádějících čl. 13 odst. 3, čl. 15 odst. 3 nebo čl. 16 odst. 3 směrnice Evropského parlamentu a Rady (EU) 2016/680 (4) a účel takového omezení příslušným orgánem členského státu by byl ohrožen, jestliže by nadace EASO u stejných osobních údajů neuplatnila obdobné omezení;

                           c)

                           pokud by výkon těchto práv ohrozil spolupráci nadace EASO s třetími zeměmi nebo mezinárodními organizacemi při provádění jejích úkolů.

                     Před použitím omezení za okolností uvedených v písm. a) a b) prvního pododstavce konzultuje nadace EASO příslušné orgány, instituce a jiné subjekty Unie nebo příslušné orgány členských států, pokud jí není zjevné, že použití omezení je stanoveno jedním z aktů uvedených v těchto písmenech.

               3.   Nadace EASO v oznámeních o ochraně údajů nebo v záznamech ve smyslu článku 31 nařízení (EU) 2018/1725 zveřejněných na internetových stránkách a na intranetu nadace, kde informuje subjekty údajů o jejich právech v rámci daného řízení, uvede informace související s možným omezením práv, včetně toho, která práva mohou být omezena, důvodů a případné délky trvání.
               Aniž jsou dotčena ustanovení čl. 5 odst. 2, informuje nadace EASO, je-li to přiměřené, rovněž jednotlivě všechny subjekty údajů, o nichž se domnívá, že jsou dotčenými osobami v rámci konkrétní operace zpracování, neprodleně a písemně o jejich právech v souvislosti se současnými a budoucími omezeními.

               4.   Všechna omezení musí být nezbytná a přiměřená vzhledem k rizikům pro práva a svobody subjektů údajů a musí respektovat podstatu základních práv a svobod v demokratické společnosti.

               5.   Zvažuje-li se použití omezení, provede se test nezbytnosti a přiměřenosti na základě těchto předpisů. Test se v každém jednotlivém případě zdokumentuje prostřednictvím oznámení o interním posouzení za účelem vyvození odpovědnosti.

               6.   Omezení se zruší, jakmile pominou okolnosti, které je odůvodňují, zejména pak v případě, že se má za to, že výkon omezeného práva by již nemařil účinek uloženého omezení nebo nepříznivě neovlivňoval práva či svobody jiných subjektů údajů.

            Článek 4
            Přezkum pověřencem pro ochranu osobních údajů

               1.   Pověřenec pro ochranu osobních údajů nadace EASO (dále jen „pověřenec pro ochranu osobních údajů“) je neprodleně informován, pokud správce omezí uplatňování práv subjektů údajů nebo prodlouží platnost omezení, a to v souladu s tímto rozhodnutím. Správce poskytne pověřenci pro ochranu osobních údajů přístup k záznamům obsahujícím posouzení nezbytnosti a přiměřenosti omezení a zdokumentuje do záznamu datum informování pověřence pro ochranu osobních údajů. Pověřenec pro ochranu osobních údajů je zapojen během celého řízení až do zrušení omezení.

               2.   Pověřenec pro ochranu osobních údajů může správce písemně požádat, aby přezkoumal použití omezení. Správce písemně informuje pověřence pro ochranu osobních údajů o výsledku vyžádaného přezkumu.

               3.   Správce informuje pověřence pro ochranu osobních údajů, pokud bylo omezení zrušeno.

            Článek 5
            Omezení práva subjektu údajů na informace

               1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo subjektu údajů na informace v souvislosti s těmito operacemi zpracování:

                           a)

                           provádění správních šetření a kárných řízení;

                           b)

                           předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;

                           c)

                           řízení v případě whistleblowingu;

                           d)

                           (formální a neformální) řízení v případech obtěžování;

                           e)

                           vyřizování interních a externích stížností;

                           f)

                           interní audity;

                           g)

                           vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;

                           h)

                           vyšetřování (IT) bezpečnosti prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

               2.   Pokud nadace EASO zcela nebo částečně omezí právo subjektů údajů na informace poskytované podle článků 14 až 16 nařízení (EU) 2018/1725, zaznamená důvody omezení a právní základ v souladu s článkem 3 tohoto rozhodnutí, včetně posouzení nezbytnosti a přiměřenosti omezení.
               Je třeba vložit do rejstříku záznam a případně dokumenty obsahující věcné a právní prvky, z nichž omezení vychází. Ty jsou pak na požádání přístupné evropskému inspektorovi ochrany údajů.

               3.   Omezení uvedené v odstavci 2 platí, dokud budou platit důvody, které jeho platnost odůvodňují.
               Pokud důvody omezení již neplatí, EASO poskytne subjektu údajů informace o hlavních důvodech, na nichž je použití omezení založeno. Současně EASO informuje subjekt údajů o právu kdykoli podat stížnost u evropského inspektora ochrany údajů nebo žádat o soudní ochranu u Soudního dvora Evropské unie (dále jen „Soudní dvůr“).
               EASO přezkoumá použití omezení každých šest měsíců ode dne přijetí omezení a při uzavření příslušného šetření, řízení nebo vyšetřování. Následně správce každých šest měsíců posoudí nutnost nadále uplatňovat omezení. Test nezbytnosti a přiměřenosti uvedený v čl. 3 odst. 5 se provádí také v souvislosti s každým pravidelným přezkumem po posouzení toho, zda věcné a právní důvody stále platí.

            Článek 6
            Omezení práva subjektu údajů na přístup k osobním údajům

               1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo subjektu údajů na přístup k osobním údajům, pokud je to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:

                           a)

                           provádění správních šetření a kárných řízení;

                           b)

                           předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;

                           c)

                           řízení v případě whistleblowingu;

                           d)

                           (formální a neformální) řízení v případech obtěžování;

                           e)

                           vyřizování interních a externích stížností;

                           f)

                           interní audity;

                           g)

                           vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;

                           h)

                           vyšetřování bezpečnosti (IT) prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU);

                           i)

                           vyřizování žádostí zaměstnanců o přístup k jejich zdravotní dokumentaci.

                     Pokud subjekty údajů požádají o přístup ke svým osobním údajům zpracovávaným v souvislosti s jedním nebo více konkrétními případy nebo ke konkrétní operaci zpracování v souladu s článkem 17 nařízení (EU) 2018/1725, omezí EASO posouzení žádosti pouze na tyto osobní údaje.

               2.   Pokud EASO zcela nebo částečně omezí právo na přístup uvedené v článku 17 nařízení (EU) 2018/1725, podnikne tyto kroky:

                           a)

                           ve své odpovědi na žádost informuje dotčený subjekt údajů o platném omezení a o hlavních důvodech tohoto omezení a také o možnosti podat stížnost u evropského inspektora ochrany údajů nebo žádat o soudní ochranu u Soudního dvora;

                           b)

                           v oznámení o interním posouzení zdokumentuje důvody omezení, včetně posouzení nezbytnosti a přiměřenosti omezení a délky jeho trvání.

                     Uložená omezení práva zaměstnanců na přístup k jejich zdravotní dokumentaci se týkají pouze žádostí zaměstnanců o přímý přístup ke zdravotním údajům psychologického nebo psychiatrického charakteru, pokud se na základě individuálního posouzení zjistí, že nepřímý přístup je nezbytný k ochraně subjektu údajů. Přístup k těmto údajům bude poskytnut prostřednictvím lékaře jmenovaného dotčeným subjektem údajů. Lékař zvolený subjektem údajů získá přístup ke všem informacím a pravomoc podle vlastního uvážení rozhodnout jak a jaký přístup subjektu údajů poskytnout.
               Poskytnutí informací uvedených v písmenu a) lze odložit, neprovést nebo odepřít, pokud by mařilo účinek omezení uloženého podle čl. 25 odst. 8 nařízení (EU) 2018/1725.
               EASO přezkoumá použití omezení každých šest měsíců ode dne přijetí omezení a při uzavření příslušného šetření, řízení nebo vyšetřování. Následně správce každých šest měsíců posoudí nutnost nadále uplatňovat omezení.
               Test nezbytnosti a přiměřenosti uvedený v čl. 3 odst. 5 se provádí také v souvislosti s každým pravidelným přezkumem po posouzení toho, zda věcné a právní důvody stále platí.

               3.   Je třeba vložit do rejstříku záznam a případně dokumenty obsahující věcné a právní prvky, z nichž omezení vychází. Ty jsou pak na požádání přístupné evropskému inspektorovi ochrany údajů.

            Článek 7
            Omezení práva subjektu údajů na opravu, výmaz a omezení zpracování

               1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo subjektu údajů na opravu, výmaz a omezení zpracování, pokud je to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:

                           a)

                           provádění správních šetření a kárných řízení;

                           b)

                           předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;

                           c)

                           řízení v případě whistleblowingu;

                           d)

                           (formální a neformální) řízení v případech obtěžování;

                           e)

                           vyřizování interních a externích stížností;

                           f)

                           interní audity;

                           g)

                           vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;

                           h)

                           vyšetřování bezpečnosti (IT) prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

               2.   Pokud EASO zcela nebo částečně omezí uplatňování práva subjektu údajů na opravu, výmaz a omezení zpracování uvedeného v článku 18, čl. 19 odst. 1 a čl. 20 odst. 1 nařízení (EU) 2018/1725, podnikne kroky stanovené v čl. 6 odst. 2 tohoto rozhodnutí a vloží do rejstříku záznam v souladu s čl. 6 odst. 3 tohoto rozhodnutí.

            Článek 8
            Omezení práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů a práva na důvěrnost elektronických komunikací

               1.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo na oznamování případů porušení zabezpečení osobních údajů subjektu údajů, pokud jde to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:

                           a)

                           provádění správních šetření a kárných řízení;

                           b)

                           předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;

                           c)

                           řízení v případě whistleblowingu;

                           d)

                           vyřizování interních a externích stížností;

                           e)

                           interní audity;

                           f)

                           vyšetřování prováděná pověřencem pro ochranu osobních údajů v souladu s čl. 45 odst. 2 nařízení (EU) 2018/1725;

                           g)

                           vyšetřování bezpečnosti (IT) prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

               2.   V řádně odůvodněných případech a za podmínek stanovených v tomto rozhodnutí může správce omezit právo na důvěrnost elektronických komunikací, pokud je to nezbytné a přiměřené, v souvislosti s těmito operacemi zpracování:

                           a)

                           provádění správních šetření a kárných řízení;

                           b)

                           předběžné činnosti související s případy možných nesrovnalostí oznámených úřadu OLAF;

                           c)

                           řízení v případě whistleblowingu;

                           d)

                           formální řízení v případech obtěžování;

                           e)

                           vyřizování interních a externích stížností;

                           f)

                           vyšetřování bezpečnosti (IT) prováděná interně nebo se zapojením externích subjektů (např. skupiny CERT-EU).

               3.   Pokud EASO omezí oznamování případů porušení zabezpečení osobních údajů subjektu údajů nebo důvěrnost elektronických komunikací uvedené v článcích 35 a 36 nařízení (EU) 2018/1725, zaznamená a vloží do rejstříku důvody omezení v souladu s čl. 5 odst. 2 tohoto rozhodnutí. Použije se rovněž čl. 5 odst. 3 tohoto rozhodnutí.

            Článek 9
            Vstup v platnost
            Toto rozhodnutí vstupuje v platnost prvním dnem po vyhlášení v Úředním věstníku Evropské unie.

            V Valletta Harbour dne 6. července 2020.

                  Za Evropský podpůrný úřad pro otázky azylu

               David COSTELLO

                  předsedkyně správní rady

            (1)  Úř. věst. L 295, 21.11.2018, s. 39.

            (2)  Úř. věst. L 132, 29.5.2010, s. 11.

            (3)  Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).

            (4)  Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. L 119, 4.5.2016, s. 89).