Operacja przetwarzania danych osobowych: Kampania informacyjna EIO
Administrator danych: Komisja Europejska, Sekretariat Generalny, Dział SG.A.1 „Priorytety Polityczne i Program Prac”
Numer w rejestrze: DPR-EC-09286
1. Wprowadzenie
Komisja Europejska jest zobowiązana do ochrony danych osobowych i do poszanowania prywatności osób, których dane dotyczą. Komisja gromadzi i przetwarza dane osobowe zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1725 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych.
W tym oświadczeniu o ochronie prywatności wyjaśniamy, dlaczego przetwarzamy dane osobowe, w jaki sposób je gromadzimy i przetwarzamy oraz jak zapewniamy ich ochronę, a także w jaki sposób wykorzystywane są pozyskiwane informacje oraz jakie prawa przysługują osobom, których dotyczą dane, w odniesieniu do tych danych. Podajemy w nim również dane kontaktowe odpowiedniego administratora danych, u którego można dochodzić swoich praw, inspektora ochrony danych i Europejskiego Inspektora Ochrony Danych.
Poniżej przedstawiono informacje dotyczące operacji przetwarzania danych osobowych w ramach kampanii informacyjnej na temat europejskiej inicjatywy obywatelskiej (EIO) prowadzonych przez dział A.1 w Sekretariacie Generalnym Komisji Europejskiej (dział SG.A.1).
2. Dlaczego i jak przetwarzamy dane osobowe?
Kampania informacyjna EIO jest prowadzona przez Komisję Europejską zgodnie z art. 18 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/788 z dnia 17 kwietnia 2019 r. w sprawie europejskiej inicjatywy obywatelskiej. Jej celem jest „zwiększenie publicznej świadomości na temat istnienia, celów i funkcjonowania europejskiej inicjatywy obywatelskiej poprzez działania komunikacyjne i kampanie informacyjne, przyczyniając się tym samym do promowania aktywnego uczestnictwa obywateli w życiu politycznym Unii”.
Dział SG.A.1 gromadzi i przetwarza dane kontaktowe zainteresowanych stron związanych z EIO lub innych zainteresowanych obywateli (w tym osób niepełnoletnich), aby umożliwić im udział we wszelkich działaniach w ramach kampanii informacyjnej EIO, takich jak ukierunkowane konsultacje, konkursy wideo lub inne działania partycypacyjne, udział w wydarzeniach w charakterze prelegentów, figurowanie w materiałach promocyjnych i treściach audiowizualnych itp. W tym celu dział SG.A.1 przetwarza dane kontaktowe odpowiednich zainteresowanych stron związanych z EIO i zainteresowanych obywateli.
W większości przypadków dane kontaktowe są przetwarzane, w następstwie wcześniejszego przetwarzania lub w ramach wcześniejszego przetwarzania, w kontekście jednej z innych operacji przetwarzania istotnych w odniesieniu do kampanii informacyjnej EIO, w szczególności:
- dane organizatorów EIO lub urzędników organów krajowych zaangażowanych we wdrażanie rozporządzenia w sprawie europejskiej inicjatywy obywatelskiej są przetwarzane w kontekście prowadzonego przez Komisję rejestru czynności przetwarzania danych DPR-EC-00068,
- dane ambasadorów EIO lub osób, które podzieliły się swoim doświadczeniem związanym z EIO lub dostarczyły treści audiowizualnych w ramach konkursów wideo lub innych działań partycypacyjnych, są przetwarzane w kontekście prowadzonego przez Komisję rejestru czynności przetwarzania danych DPR-EC-09286 oraz zgodnie z oświadczeniem o ochronie prywatności dotyczącym danego działania partycypacyjnego,
- dane osób, które uczestniczyły w wydarzeniu komunikacyjnym dotyczącym europejskiej inicjatywy obywatelskiej w charakterze prelegenta, są przetwarzane w kontekście prowadzonego przez Komisję rejestru czynności przetwarzania danych DPR-EC-01063 oraz oświadczeń o ochronie prywatności dotyczących danego wydarzenia,
- dane osób, które uczestniczyły w ukierunkowanych konsultacjach dotyczących europejskiej inicjatywy obywatelskiej, są przetwarzane w kontekście prowadzonego przez Komisję rejestru czynności przetwarzania danych DPR-EC-01011 oraz oświadczeń o ochronie prywatności dotyczących danej konsultacji,
- dane osób, które aktywnie kontaktowały się z Komisją w sprawie związanej z europejską inicjatywą obywatelską, są przetwarzane w kontekście prowadzonego przez Komisję rejestru czynności przetwarzania danych DPR-EC-01386.
Wszelkie tego rodzaju przetwarzanie danych do wspomnianych powyżej celów zawsze wymaga odpowiedniego oświadczenia o ochronie prywatności oraz, w stosownych przypadkach, konkretnej zgody.
Dział SG.A.1 lub jego podwykonawcy mogą również określić osoby jako potencjalne zainteresowane strony związane z EIO na podstawie informacji pochodzących z odpowiednich oficjalnych baz danych lub baz danych Komisji, istniejących lokalnych partnerów Komisji lub agencji oraz publicznie dostępnych źródeł.
Dane osobowe nie będą wykorzystywane do zautomatyzowanego podejmowania decyzji ani do profilowania.
3. Na jakiej podstawie prawnej przetwarzamy dane osobowe?
Zgodnie z art. 18 ust. 1 rozporządzenia w sprawie europejskiej inicjatywy obywatelskiej „Komisja zwiększa publiczną świadomość na temat istnienia, celów i funkcjonowania europejskiej inicjatywy obywatelskiej poprzez działania komunikacyjne i kampanie informacyjne, przyczyniając się tym samym do promowania aktywnego uczestnictwa obywateli w życiu politycznym Unii”.
W tym kontekście podstawą prawną gromadzenia i przetwarzania danych kontaktowych odpowiednich i zainteresowanych stron związanych z EIO jest art. 5 ust. 1 lit. a) rozporządzenia (UE) 2018/1725, ponieważ uznaje się je za niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej instytucji lub organowi Unii.
Niektóre operacje przetwarzania istotne w kontekście kampanii informacyjnej EIO mogą jednak wymagać specjalnej zgody osoby, której dane dotyczą, zgodnie z art. 5 ust. 1 lit. d) rozporządzenia (UE) 2018/1725, takie jak gromadzenie doświadczeń, treści audiowizualnych oraz tworzenie materiałów promocyjnych i szkoleniowych na temat europejskiej inicjatywy obywatelskiej zawierających takie doświadczenia lub treści, a także zaangażowanie ambasadorów EIO do pomocy w promowaniu wartości EIO i rozprzestrzenianiu informacji w państwach członkowskich UE lub na szczeblu UE.
4. Jakie dane osobowe gromadzimy i przetwarzamy?
Aby zaprosić zainteresowaną stronę EIO do udziału w wydarzeniu komunikacyjnym dotyczącym EIO, konkursie wideo lub innym działaniu partycypacyjnym lub w ukierunkowanych konsultacjach, możemy przetwarzać następujące dane: dane kontaktowe otrzymane od zainteresowanych stron lub pochodzące z odpowiednich oficjalnych baz danych lub baz danych Komisji, od lokalnych partnerów Komisji lub agencji oraz publicznie dostępnych źródeł, w szczególności imię, nazwisko, stanowisko/funkcja, nazwa organizacji/inicjatywy (w przypadku organizatorów EIO), zainteresowania, obywatelstwo/preferencje językowe, numer telefonu, adres e-mail, głos i wizerunek zapisane w formacie audio i wideo oraz zdjęcia/materiały wizualne.
W przypadku ambasadorów EIO oprócz wymienionych powyżej danych będziemy przetwarzać również następujące dane: oceny Komisji i wykonawców, na podstawie których wybrano ambasadorów EIO, podpisane Karty ambasadora EIO, krótkie notki biograficzne i zdjęcia opublikowane na stronie EIO, poglądy i opinie wyrażone w wymianie informacji z Komisją i podwykonawcami, nazwy użytkownika kont w mediach społecznościowych, sprawozdania z działań w mediach społecznościowych i innych działań promocyjnych przygotowane przez wykonawcę w oparciu o publicznie dostępne informacje lub informacje dostarczone bezpośrednio przez ambasadora.
Jeżeli ambasador EIO wyrazi zgodę na dzielenie się swoim doświadczeniem związanym z EIO w ramach kampanii informacyjnej, przetwarzamy również krótkie notki biograficzne, głos i wizerunek zapisane w formacie audio i wideo oraz zdjęcia/materiały wizualne, informacje dotyczące wieku, płci, zainteresowań, narodowości/preferencji językowych, numer telefonu, adres e-mail, nazwy użytkownika konta w mediach społecznościowych, poglądy i opinie wyrażone w wymianie informacji z Komisją i podwykonawcami.
5. Jak długo przechowujemy dane osobowe?
Dział SG.A.1 przechowuje dane kontaktowe przez okres niezbędny do realizacji celu gromadzenia lub dalszego przetwarzania danych, tj. przez okres maksymalnie 5 lat od daty zgromadzenia danych lub od ostatniego kontaktu nawiązanego z Komisją w kontekście europejskiej inicjatywy obywatelskiej, w zależności od tego, co nastąpi później. Dane usuniemy wcześniej, jeżeli otrzymamy informacje, że osoba przestała być odpowiednim kontaktem w kontekście EIO (np. w przypadku zmiany miejsca pracy).
Nagrania poszczególnych doświadczeń przechowuje się przez okres maksymalnie 3 lat od daty ich zgromadzenia. Dokumenty (sprawozdania, korespondencja, informacje finansowe itp.) zawierające dane osobowe zgromadzone lub sporządzone w kontekście rejestrowania doświadczeń przechowuje się przez okres 10 lat. Publikowane treści promocyjne, audiowizualne i szkoleniowe są przechowywane długoterminowo.
Proszę pamiętać, że do przetwarzania danych osobowych zgromadzonych na potrzeby innych operacji przetwarzania w ramach kampanii informacyjnej EIO mają zastosowanie inne okresy przechowywania danych osobowych zgodnie z odpowiednimi oświadczeniami o ochronie prywatności.
6. Jak chronimy i zabezpieczamy dane osobowe?
Wszystkie dane osobowe w formacie elektronicznym (wiadomości e-mail, dokumenty, bazy danych, przesłane zbiory danych, treści audiowizualne itp.) są przechowywane na serwerach Komisji Europejskiej lub jej podwykonawców. Wszystkie operacje przetwarzania danych prowadzone są zgodnie z decyzją Komisji (UE, Euratom) 2017/46 z dnia 10 stycznia 2017 r. w sprawie bezpieczeństwa systemów teleinformatycznych w Komisji Europejskiej.
Podczas przetwarzania danych w imieniu Komisji podwykonawcy Komisji muszą przestrzegać specjalnej klauzuli umownej, a także obowiązków w zakresie poufności danych wynikających z ogólnego rozporządzenia o ochronie danych – rozporządzenia (UE) 2016/679 i odpowiednich krajowych środków wykonawczych obowiązujących w państwach członkowskich. Serwery hostingowe, na których Netcompany – Intrasoft S.A. przetwarza i przechowuje swoje bazy danych, znajdują się wyłącznie na terytorium Unii Europejskiej.
Komisja wprowadziła szereg środków technicznych i organizacyjnych służących ochronie danych osobowych. Środki techniczne obejmują m.in. odpowiednie działania w zakresie bezpieczeństwa online, ryzyka utraty danych, zmiany danych lub nieuprawnionego dostępu, z uwzględnieniem ryzyka związanego z przetwarzaniem danych oraz charakteru przetwarzanych danych. Środki organizacyjne obejmują ograniczenie dostępu do danych osobowych do upoważnionych osób z zastosowaniem uzasadnionej zasady ograniczonego dostępu do celów tej operacji przetwarzania.
7. Kto ma dostęp do danych osobowych i komu są one ujawniane?
Dostęp do danych osobowych mają pracownicy Komisji odpowiedzialni za prowadzenie danej operacji przetwarzania danych, upoważnieni pracownicy zgodnie z zasadą ograniczonego dostępu oraz upoważnieni pracownicy podwykonawcy (Netcompany – Intrasoft S.A.). Pracownicy ci muszą przestrzegać zobowiązań regulaminowych, a także – w razie potrzeby – dodatkowych zasad zachowania poufności.
Publicznie dostępne dane kontaktowe możemy przekazać innym zainteresowanym stronom EIO.
8. Jakie prawa przysługują osobom, których dane dotyczą, i jak można ich dochodzić?
„Osoby, których dane dotyczą” mają określone prawa na podstawie rozdziału III (art. 14–25) rozporządzenia (UE) 2018/1725, w szczególności prawo dostępu do swoich danych osobowych, prawo do ich sprostowania lub w stosownych przypadkach usunięcia, prawo do przenoszenia danych oraz prawo do ograniczenia ich przetwarzania.
Osoby, których dane dotyczą, mają prawo wnieść sprzeciw wobec przetwarzania ich danych osobowych, które odbywa się zgodnie z prawem na podstawie art. 5 ust. 1 lit. a).
W zakresie, w jakim osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie jej danych osobowych przez administratora danych w związku z niniejszą operacją przetwarzania, może ona w każdej chwili wycofać swoją zgodę, powiadamiając administratora danych. Wycofanie zgody nie będzie miało wpływu na zgodność z prawem przetwarzania danych, które nastąpiło przed wycofaniem zgody.
Osoby, których dane dotyczą, mogą dochodzić swoich praw, kontaktując się z administratorem danych lub, w przypadku konfliktu, z inspektorem ochrony danych. W razie potrzeby mogą również zwrócić się do Europejskiego Inspektora Ochrony Danych. Odpowiednie dane kontaktowe podano poniżej w pkt 9.
W przypadku gdy osoby, których dane dotyczą, chcą dochodzić swoich praw w odniesieniu do jednej lub kilku konkretnych operacji przetwarzania, powinny podać we wniosku ich opis (tj. ich numer w rejestrze zgodnie z pkt 10 poniżej).
9. Dane kontaktowe
- Administrator danych
Aby skorzystać z praw na podstawie rozporządzenia (UE) 2018/1725 lub przesłać uwagi, pytania lub zastrzeżenia, ewentualnie aby złożyć skargę w związku z gromadzeniem i wykorzystywaniem danych osobowych, należy skontaktować się z administratorem danych – działem SG.A.1. „Priorytety Polityczne i Program Prac” w Komisji Europejskiej: SG-ECI-mailing@ec.europa.eu
- Inspektor ochrony danych Komisji Europejskiej
W odniesieniu do kwestii związanych z przetwarzaniem danych osobowych na podstawie rozporządzenia (UE) 2018/1725 można kontaktować się z inspektorem ochrony danych Komisji Europejskiej (DATA-PROTECTION-OFFICER@ec.europa.eu).
- Europejski Inspektor Ochrony Danych (EIOD)
Osoby, których dane dotyczą, mają również prawo do odwołania się (tj. do wniesienia skargi) do Europejskiego Inspektora Ochrony Danych pod adresem edps@edps.europa.eu, jeżeli uważają, że ich prawa wynikające z rozporządzenia (UE) 2018/1725 zostały naruszone w wyniku przetwarzania danych przez administratora danych.
10. Gdzie można znaleźć więcej informacji?
Inspektor ochrony danych w Komisji publikuje rejestr wszystkich udokumentowanych i zgłoszonych mu operacji przetwarzania danych osobowych przez Komisję. Rejestr ten jest dostępny pod adresem: http://ec.europa.eu/dpo-register.
Ta operacja przetwarzania została ujęta w rejestrze publicznym inspektora ochrony danych pod numerem: DPR-EC-09286.
