ROZHODNUTIE KOMISIE
z 3. júna 2008
o prijatí vykonávacích pravidiel, ktoré sa týkajú úradníka pre ochranu údajov v zmysle článku 24 ods. 8 nariadenia (ES) č. 45/2001 o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi Spoločenstva a o voľnom pohybe takýchto údajov
(2008/597/ES)
KOMISIA EURÓPSKYCH SPOLOČENSTIEV,
so zreteľom na nariadenie Európskeho parlamentu a Rady (ES) č. 45/2001 z 18. decembra 2000 o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi Spoločenstva a o voľnom pohybe takýchto údajov (1), a najmä na jeho článok 24 ods. 8,
keďže:
(1)
V nariadení (ES) č. 45/2001 (ďalej len „nariadenie“) sa stanovujú zásady a pravidlá, ktoré sa vzťahujú na všetky inštitúcie a orgány Spoločenstva, a zároveň sa v ňom ustanovuje, že všetky inštitúcie a orgány Spoločenstva vymenujú úradníka pre ochranu údajov.
(2)
V zmysle článku 24 ods. 8 nariadenia je každá inštitúcia alebo orgán Spoločenstva povinná prijať v súlade s ustanoveniami prílohy dodatočné vykonávacie pravidlá, ktoré sa týkajú úradníka pre ochranu údajov. Tieto vykonávacie pravidlá sa týkajú najmä úloh, služobných povinností a právomocí úradníka pre ochranu údajov.
(3)
Rozhodnutím Komisie K(2002) 510 (2) z 18. februára 2002 sa vytvoril post úradníka pre ochranu údajov v rámci Komisie, a zároveň ním bol úradník pre ochranu údajov poverený, aby predložil návrh dodatočných vykonávacích pravidiel, a to na základe rokovania s generálnymi riaditeľstvami a pri zohľadnení ich potrieb a skúseností,
ROZHODLA TAKTO:
ODDIEL 1
VŠEOBECNÉ USTANOVENIA
Článok 1
Vymedzenie pojmov
Na účely tohto rozhodnutia a bez toho, aby bolo dotknuté vymedzenie pojmov stanovené v nariadení:
-
„koordinátor pre ochranu údajov“ je pracovník generálneho riaditeľstva alebo útvaru vymenovaný generálnym riaditeľom, aby koordinoval všetky aspekty ochrany osobných údajov v rámci generálneho riaditeľstva,
-
„prevádzkovateľ“ v zmysle vymedzenia uvedeného v článku 2 písm. d) nariadenia a ustanovenia článku 25 ods. 2 písm. a) nariadenia je úradník, ktorý je zodpovedný za organizačnú jednotku, ktorá určila účely a prostriedky spracovania osobných údajov.
Článok 2
Pôsobnosť
Týmto rozhodnutím sa v súlade s článkom 24 ods. 8 nariadenia vymedzujú pravidlá a postupy pre vykonávanie funkcie úradníka pre ochranu údajov v rámci Komisie. Nevzťahuje sa na činnosti Komisie pri stanovovaní politík týkajúcich sa ochrany jednotlivcov so zreteľom na spracovanie osobných údajov.
ODDIEL 2
ÚRADNÍK PRE OCHRANU ÚDAJOV
Článok 3
Vymenovanie a status
1. Komisia vymenuje úradníka pre ochranu údajov (3) a zaregistruje ho u Európskeho dozorného úradníka pre ochranu údajov.
2. Funkčné obdobie úradníka pre ochranu údajov je päťročné a môže sa jedenkrát obnoviť.
3. Úradník pre ochranu údajov koná, pokiaľ ide o vnútorné uplatňovanie ustanovení nariadenia, nezávisle, a v súvislosti s plnením svojich služobných povinností nesmie prijímať žiadne pokyny.
4. Úradník pre ochranu údajov sa vyberie spomedzi pracovníkov Komisie, a to v súlade s príslušnými postupmi. Úradník pre ochranu údajov musí spĺňať požiadavky stanovené v článku 24 ods. 2 nariadenia a okrem toho by mal mať dôkladné vedomosti o útvaroch Komisie, ich štruktúre a o administratívnych pravidlách a postupoch. Mal by mať dobré vedomosti o systémoch, zásadách a metodike v oblasti ochrany údajov a informačných technológií. Musí byť schopný preukázať, že má dobrý úsudok a že v súlade so služobným poriadkom dokáže obhájiť nestranný a nezávislý postoj.
5. V súlade s nariadením môže Komisia úradníka pre ochranu údajov, ak už nespĺňa podmienky požadované na výkon služobných povinností, odvolať z jeho postu len so súhlasom Európskeho dozorného úradníka pre ochranu údajov. O tom, že úradník pre ochranu údajov už nespĺňa podmienky požadované na výkon služobných povinností, rozhodne Komisia na návrh generálneho tajomníka a po dohode s generálnym riaditeľom pre personál a administratívu.
6. Bez toho, aby boli dotknuté príslušné ustanovenia nariadenia, platí, že na úradníka pre ochranu údajov a jeho spolupracovníkov sa vzťahujú pravidlá a nariadenia uplatniteľné na úradníkov Európskych spoločenstiev.
Článok 4
Úlohy
1. Bez toho, aby boli dotknuté úlohy uvedené v článku 24 nariadenia a v jeho prílohe, platí, že úradník pre ochranu údajov vytvára v rámci Komisie podmienky pre ochranu osobných údajov tým, že zvyšuje všeobecné povedomie o otázkach týkajúcich sa ochrany údajov, pričom zachováva správnu rovnováhu medzi zásadou ochrany osobných údajov a zásadou transparentnosti.
2. Úradník pre ochranu údajov vedie súpis všetkých Komisiou uskutočňovaných operácií, pri ktorých dochádza ku spracovaniu osobných údajov, do ktorého koordinátori pre ochranu údajov vložia za svoje generálne riaditeľstvá operácie spracovania, ktoré sa majú oznamovať. Koordinátori pre ochranu údajov takisto poskytnú údaje o prevádzkovateľovi, ktorý je za tieto operácie spracovania zodpovedný. Úradník pre ochranu údajov poskytne prevádzkovateľovi pomoc pri hodnotení rizík spojených s operáciami spracovania, za ktoré je prevádzkovateľ zodpovedný, a pri monitorovaní vykonávania nariadenia na Komisii, a to predovšetkým prostredníctvom výročnej správy o stave ochrany údajov.
3. Úradník pre ochranu údajov pripravuje pravidelné zasadnutia siete koordinátorov pre ochranu údajov a predsedá im.
4. Úradník pre ochranu údajov zostavuje register operácií spracovania uvedený v článku 26 nariadenia, ktorý je prístupný na interných aj externých internetových stránkach Komisie.
5. Úradník pre ochranu údajov môže vo veciach týkajúcich sa uplatňovania ustanovení o ochrane údajov vypracovať pre Komisiu a prevádzkovateľov odporúčania a radiť im, môže na požiadanie alebo zo svojho vlastného podnetu vyšetrovať v súlade s článkom 13 veci a udalosti priamo sa týkajúce jeho úloh a odpovedať osobe, ktorá o vyšetrovanie požiadala. Ak je žiadateľom fyzická osoba alebo ak žiadateľ koná v mene fyzickej osoby, úradník pre ochranu údajov musí v rámci možnosti zabezpečiť ochranu dôverného charakteru žiadosti, pokiaľ mu príslušná dotknutá osoba nedá jednoznačný súhlas, že sa s jej žiadosťou môže nakladať inak.
6. Spracovanie osobných údajov, ktoré uskutočňuje výbor zamestnancov, patrí do rozsahu pôsobnosti úradníka Komisie pre ochranu údajov. Na účely článku 6 poskytne úradník pre ochranu údajov informácie nie generálnemu tajomníkovi, ale príslušnému predsedovi výboru zamestnancov, ak vznikne otázka v súvislosti s operáciami spracovania, ktoré daný výbor zamestnancov uskutočnil.
7. Bez toho, aby bola dotknutá nezávislosť úradníka pre ochranu údajov, platí, že generálny tajomník ho v mene Komisie môže požiadať, aby zastupoval inštitúciu vo všetkých otázkach týkajúcich sa ochrany údajov, a to okrem iného aj prostredníctvom účasti na práci príslušných výborov a subjektov na medzinárodnej úrovni.
Článok 5
Služobné povinnosti
1. Okrem všeobecných úloh, ktoré musí splniť, úradník pre ochranu údajov:
a)
každoročne za Komisiu predkladá generálnemu tajomníkovi a generálnemu riaditeľovi pre personál a administratívu správu o stave ochrany údajov, ktorá sa prerokuje na príslušnej úrovni, napríklad na pravidelnej schôdzi generálnych riaditeľov; správa sa sprístupní pracovníkom Komisie;
b)
spolupracuje pri výkone svojich služobných povinností s úradníkmi pre ochranu údajov z iných inštitúcií a orgánov, najmä prostredníctvom výmeny skúseností a najlepšej praxe.
2. Úradník pre ochranu údajov pôsobí v súvislosti s operáciami spracovania, za ktoré je zodpovedný, ako prevádzkovateľ.
Článok 6
Právomoci
Bez toho, aby boli dotknuté právomoci, ktoré mu vyplývajú z nariadenia, úradník pre ochranu údajov pri výkone svojich úloh a plnení svojich služobných povinností:
a)
môže požiadať právny servis Komisie o právne stanoviská;
b)
môže v prípade existencie rozdielov vo výklade nariadenia a jeho uplatňovaní upovedomiť pred postúpením danej veci Európskemu dozornému úradníkovi pre ochranu údajov príslušný článok riadenia a generálneho tajomníka;
c)
môže generálneho tajomníka upovedomiť o tom, že:
-
určitý pracovník porušil povinnosti vyplývajúce z nariadenia,
-
prevádzkovatelia porušili normy Komisie v oblasti vnútornej kontroly, ktoré užšie súvisia s povinnosťami vyplývajúcimi z nariadenia,
a navrhnúť začatie administratívneho vyšetrovania na účely prípadného uplatnenia článku 49 nariadenia;
d)
môže vyšetrovať veci a udalosti priamo sa týkajúce jeho úloh, pričom uplatní príslušné zásady týkajúce sa uskutočňovania vyšetrovaní a auditov v rámci Komisie a postup stanovený v článku 13 tohto rozhodnutia;
e)
má kedykoľvek prístup k údajom, ktoré sú predmetom operácií spracovania osobných údajov, a prístup do všetkých kancelárií, zariadení na spracovanie údajov a ku všetkým dátovým nosičom.
Článok 7
Zdroje
Komisia poskytne úradníkovi pre ochranu údajov zdroje potrebné na vykonávanie jeho služobných povinností.
ODDIEL 3
PRAVIDLÁ A POSTUPY
Článok 8
Informácie
1. Ak útvary Komisie prerokúvajú záležitosť, ktorá má dosah na ochranu osobných údajov, útvar, ktorý v predmetnej záležitosti plní funkciu útvaru s vedúcim postavením, poskytne úradníkovi pre ochranu údajov informácie bezodkladne, najneskôr však ešte pred prijatím rozhodnutia.
2. Úradník pre ochranu údajov sa upovedomí v prípade, že Komisia podľa príslušných článkov nariadenia, predovšetkým podľa článku 28 ods. 1 a článku 28 ods. 2, konzultuje s Európskym dozorným úradníkom pre ochranu údajov alebo ho informuje. Takisto sa musí upovedomiť o priamych stykoch, ku ktorým dochádza medzi prevádzkovateľmi Komisie a Európskym dozorným úradníkom pre ochranu údajov podľa príslušných článkov nariadenia.
3. Útvar plniaci vedúcu funkciu alebo právny servis upovedomí úradníka pre ochranu údajov o stanoviskách a pozičných dokumentoch právneho servisu, ktoré priamo súvisia s vnútorným uplatňovaním ustanovení nariadenia, ako aj o stanoviskách, ktoré sa týkajú výkladu alebo uplatňovania ďalších právnych aktov, ktoré súvisia s ochranou osobných údajov a ich spracovaním, a to predovšetkým v rámci uskutočňovania konzultácií medzi útvarmi a prístupu k informáciám.
Článok 9
Prevádzkovatelia
1. Bez toho, aby boli dotknuté povinnosti, ktoré im vyplývajú z nariadenia, sú prevádzkovatelia povinní:
a)
bezodkladne oznámiť úradníkovi pre ochranu údajov všetky existujúce operácie spracovania, ktoré ešte neboli oznámené;
b)
v prípade potreby prekonzultovať s úradníkom pre ochranu údajov súlad operácií spracovania s nariadením, a to najmä ak majú pochybnosti o ich súlade;
c)
spolupracovať s úradníkom pre ochranu údajov s cieľom vytvoriť súpis operácií spracovania osobných údajov za príslušné generálne riaditeľstvo.
2. Prevádzkovateľ môže delegovať niektoré časti svojich úloh na iné osoby, ktoré konajú ako delegovaní prevádzkovatelia pod jeho vedením a na jeho zodpovednosť.
Článok 10
Spracovatelia
Spracovatelia v rámci Komisie, ktorí sú povinní v mene prevádzkovateľov spracovávať osobné údaje, konajú len na základe prevádzkovateľmi udelených a písomne dohodnutých pokynov a pri spracovávaní týchto osobných údajov sa prísne riadia nariadením a ďalšími uplatniteľnými právnymi predpismi o ochrane údajov. Písomná dohoda medzi organizačnými jednotkami Komisie sa považuje za rovnocennú právne záväznému aktu v zmysle článku 23 ods. 2 nariadenia.
S externými spracovateľmi sa uzatvárajú zmluvy formálneho charakteru, pričom tieto musia obsahovať osobitné požiadavky uvedené v článku 23 ods. 2 nariadenia.
Článok 11
Oznámenia
Prevádzkovatelia používajú na podávanie oznámení určených úradníkovi pre ochranu údajov online notifikačný systém Komisie, ktorý je prístupný na internetovej stránke úradníka pre ochranu údajov, ktorá je súčasťou intranetových stránok Komisie.
Na účely oznamovania jednoduchých operácií spracovania osobných údajov, ktoré nemajú citlivý charakter, systém umožní zjednodušené oznamovanie.
Článok 12
Register
V článku 4 ods. 4 uvedený elektronický register operácií spracovania uskutočňovaných Komisiou je pre všetkých pracovníkov inštitúcií a orgánov Spoločenstva prístupný prostredníctvom internetovej stránky úradníka pre ochranu údajov, ktorá je súčasťou intranetových stránok Komisie, a pre všetky osoby s prístupom na internet prostredníctvom internetového portálu EUROPA. Osoby bez prístupu na internet môžu písomne požiadať o poskytnutie výňatkov z registra úradníka pre ochranu údajov, ktorý je povinný odpovedať do 10 pracovných dní.
Článok 13
Postup pri vyšetrovaní
1. Žiadosti o začatie vyšetrovania uvedené v článku 4 ods. 5 sa úradníkovi pre ochranu údajov podávajú písomne. Úradník pre ochranu údajov pošle osobe, ktorá o vyšetrovanie požiadala, potvrdenie o prijatí do 15 dní od doručenia žiadosti a overí, či sa má so žiadosťou nakladať ako s dôvernou. V prípade, že ide o zjavné zneužitie práva požiadať o začatie vyšetrovania, úradník pre ochranu údajov nie je povinný žiadateľovi odpovedať.
2. Úradník pre ochranu údajov požiada prevádzkovateľa, ktorý je zodpovedný za príslušnú operáciu spracovania údajov, o písomné vyjadrenie k tejto záležitosti. Prevádzkovateľ odpovie úradníkovi pre ochranu údajov do 15 pracovných dní. Úradník pre ochranu údajov od neho a/alebo iných strán môže požadovať, aby mu do 15 dní poskytli doplňujúce informácie. V prípade potreby môže požiadať o stanovisko k tejto záležitosti právny servis. Stanovisko sa úradníkovi pre ochranu údajov poskytne do 30 pracovných dní.
3. Úradník pre ochranu údajov odpovie osobe, ktorá o vyšetrovanie požiadala, najneskôr do troch mesiacov od doručenia žiadosti. Plynutie tejto lehoty sa môže pozastaviť, a to až do času, kým úradník pre ochranu údajov nezíska ďalšie informácie, o ktoré požiadal.
4. Nikto nesmie utrpieť ujmu v dôsledku toho, že úradníka pre ochranu údajov upozornil na záležitosť, o ktorej sa domnieval, že predstavuje porušenie ustanovení nariadenia.
Článok 14
Koordinátori pre ochranu údajov
1. Na každom generálnom riaditeľstve alebo útvare vymenuje generálny riaditeľ alebo vedúci útvaru koordinátora pre ochranu údajov. Na základe písomnej dohody sa viacero generálnych riaditeľstiev alebo úradov môže v záujme koherencie alebo efektívnosti dohodnúť na tom, že vymenujú spoločného koordinátora pre ochranu údajov alebo že budú spoločne využívať služby už vymenovaného koordinátora pre ochranu údajov.
2. Funkciu koordinátora pre ochranu údajov je prípadne možné kombinovať s inými funkciami. Na účely získania potrebnej odbornej kvalifikácie pre výkon funkcie musí koordinátor pre ochranu údajov do šiestich mesiacov od vymenovania absolvovať povinné odborné vzdelávanie pre koordinátorov pre ochranu údajov.
3. Funkčné obdobie koordinátora pre ochranu údajov je časovo neobmedzené. Zvolí sa na príslušnej hierarchickej úrovni na základe svojej vysokej profesijnej etiky, vedomostí a skúseností týkajúcich sa fungovania generálneho riaditeľstva, na ktorom pracuje, a na základe motivácie pre výkon tejto funkcie. Musí rozumieť princípom, na ktorých sú založené informačné systémy.
4. Bez toho, aby boli dotknuté povinnosti úradníka pre ochranu údajov, koordinátor pre ochranu údajov:
a)
zostavuje súpis operácií spracovania, ktoré sa uskutočňujú na generálnom riaditeľstve, priebežne ho aktualizuje a napomáha pri určovaní primeranej miery rizika pre každú z operácií spracovania; využíva online systém pre riadenie súpisov, ktorý na tento účel zriadil úradník pre ochranu údajov pre koordinátorov pre ochranu údajov na svojej internetovej stránke, ktorá je súčasťou intranetových stránok Komisie;
b)
poskytuje generálnemu riaditeľovi a vedúcemu útvaru pomoc pri určovaní prevádzkovateľov;
c)
má právo dostať od prevádzkovateľov potrebné a postačujúce informácie; to však nezahŕňa právo na prístup k osobným údajom spracovávaným na zodpovednosť prevádzkovateľa.
5. Bez toho, aby boli dotknuté povinnosti prevádzkovateľa, koordinátor pre ochranu údajov:
a)
pomáha prevádzkovateľom pri plnení ich povinností;
b)
pomáha prevádzkovateľom pripraviť oznámenia;
c)
vkladá zjednodušené oznámenia do online systému úradníka pre ochranu údajov, ktorý slúži na oznamovanie.
6. Koordinátor pre ochranu údajov sa zúčastňuje na pravidelných zasadnutiach siete koordinátorov pre ochranu údajov, ktorým predsedá úradník pre ochranu údajov, aby zabezpečil koherentné uplatňovanie a výklad nariadenia v rámci Komisie a preskúmal otázky spoločného záujmu.
7. Koordinátor pre ochranu údajov môže na účely plnenia svojich úloh požiadať úradníka pre ochranu údajov o odporúčanie, radu alebo stanovisko.
Článok 15
Správa a riadenie
1. Úradník pre ochranu údajov sa administratívne pričleňuje ku Generálnemu sekretariátu a jeho činnosti sa v rámci zostavovania a riadenia rozpočtu na základe činností zaraďujú do činnosti 7 Generálneho sekretariátu - vzťahy s občianskou spoločnosťou, otvorenosť a informovanosť. Toto predstavuje rámec, v ktorom sa úradník pre ochranu údajov zúčastňuje na tvorbe ročného plánu riadenia a predbežného návrhu rozpočtu Generálneho sekretariátu.
2. Úradník pre ochranu údajov je hodnotiacim úradníkom pre pracovníkov jeho sekretariátu a zástupcu úradníka pre ochranu údajov. Spolupodpisujúcim úradníkom je zástupca generálneho tajomníka.
3. Úradník pre ochranu údajov sa podľa potreby zúčastňuje na koordinácii riadenia Generálneho sekretariátu.
ODDIEL 4
ZÁVEREČNÉ USTANOVENIA
Článok 16
Nadobudnutie účinnosti
Toto rozhodnutie nadobúda účinnosť 3. júna 2008.
V Bruseli 3. júna 2008