DiscoverEU – Oświadczenie o ochronie danych
Europejska Agencja Wykonawcza ds. Edukacji i Kultury (EACEA) jest zobowiązana do ochrony prywatności użytkowników. Wszystkie dane osobowe są przetwarzane zgodnie z rozporządzeniem (UE) 2018/1725 w sprawie ochrony danych osobowych przez instytucje, organy i jednostki organizacyjne Unii (1) („rozporządzenie o ochronie danych”).
W tym oświadczeniu o ochronie danych opisano politykę, zgodnie z którą EACEA gromadzi dane osobowe, zarządza nimi i je wykorzystuje w ramach programu DiscoverEU.
1. Kto jest odpowiedzialny za przetwarzanie danych osobowych (administrator danych)?
Administratorem danych jest Europejska Agencja Wykonawcza ds. Edukacji i Kultury, BE-1049 Bruksela. Osobą odpowiedzialną za operację przetwarzania danych jest kierownik działu A5: Młodzież, Korpus Solidarności UE i Wolontariusze Pomocy.
E-mail: eacea-a5@ec.europa.eu.
DG EAC i EACEA działają jako współadministratorzy w odniesieniu do programu DiscoverEU, ponieważ wspólnie przetwarzają dane osobowe osób zgłaszających się w Europejskim Portalu Młodzieżowym w celu otrzymania biletów DiscoverEU.
2. Które dane osobowe są przetwarzane?
Następujące dane osobowe są przetwarzane i wszystkie z nich są obowiązkowe, z wyjątkiem przypadków, w których określono, że są one nieobowiązkowe:
• w formie osobistych numerów identyfikacyjnych (numer dowodu osobistego, paszportu lub dokumentu pobytowego)
• dotyczące cech fizycznych osób, a także obrazu, głosu lub odcisków palców (zdjęcie w dowodzie osobistym, paszporcie lub dokumencie pobytowym)
• dotyczące sfery prywatnej osoby, której dane dotyczą (obywatelstwo, miejsce zamieszkania, data urodzenia, adres e-mail, imię, nazwisko, płeć (nieobowiązkowo), region zamieszkania (nieobowiązkowo), numer telefonu, zajęcie (np. nauka w szkole, praca itp.), niepełnosprawność lub problem zdrowotny (nieobowiązkowo i w przypadku wniosku o specjalne wsparcie), państwo wydające krajowy dowód tożsamości, paszport lub dokument pobytowy)
• dotyczące wynagrodzeń, świadczeń i rachunków bankowych (źródło finansowania kosztów niepokrytych)
• dotyczące rodziny osoby, której dane dotyczą (poziom wykształcenia rodziców / opiekunów prawnych (nieobowiązkowo))
• dotyczące kariery osoby, której dane dotyczą (poprzednie zajęcie (np. nauka w szkole, praca), (poprzednie) zaangażowanie w organizacji młodzieżowej (nieobowiązkowo), planowane zajęcie w przyszłości (np. studia, praca))
• dotyczące numerów telefonu i komunikacji (numer telefonu, adres e-mail)
• dotyczące nazwisk i adresów (w tym adresów e-mail) (imię, nazwisko, adres e-mail, krajowy dowód tożsamości / paszport / dokument pobytowy, region zamieszkania (nieobowiązkowo)).
• dotyczące stanu zdrowia (nieobowiązkowo, w przypadku gdy uczestnik ubiega się o specjalne wsparcie ze względu na stan zdrowia).
3. Do jakich celów przetwarzane są dane?
• Organizowanie procesu selekcji i przydziału biletów na podróż w programie DiscoverEU oraz usługi pokrewne: organizacja rund konkursowych na Europejskim Portalu Młodzieżowym, w których zaprasza się kandydatów do wypełnienia kwestionariusza. W tym celu zgłaszający się kandydaci muszą podać określone dane osobowe, aby umożliwić współadministratorom ocenę tego, czy spełniają oni warunki udziału w konkursie. Uczestnicy są wybierani, jeżeli spełniają warunki, jeżeli odpowiedzą prawidłowo na pytania w kwizie i jeśli odpowiedzą w najbardziej prawidłowy sposób na dodatkowe pytanie rozstrzygające.
• Po tym jak kandydaci zostaną wybrani, wykonawca sprawdza, czy faktycznie spełniają oni warunki, sprawdzając ważność dokumentów (dokument potwierdzający obywatelstwo, dokument potwierdzający legalny pobyt).
• Następnie wykonawca przekazuje uczestnikom bilety i kartę rabatową. Uczestnicy korzystający z biletów kontaktują się z wykonawcą w celu przygotowania podróży oraz w przypadku, gdy potrzebują wsparcia w korzystaniu z biletów.
• Rezerwacja biletów kolejowych, autokarowych lub lotniczych dla osób, którym przyznano bilety DiscoverEU.
• Monitorowanie i sprawozdawczość: EACEA może również przetwarzać dane osobowe uczestników do celów monitorowania i sprawozdawczości.
Dane osobowe osób zgłaszających się, które nie zostały wybrane, mogą być przekazane przez DG EAC (współadministratora) wykonawcy w celu wydania karty zniżkowej Europejskiego Stowarzyszenia Kart Młodzieżowych.
4. Kto ma dostęp do danych osobowych i komu są one ujawniane?
Dostęp do danych osobowych może być udzielany na zasadzie ograniczonego dostępu następującym osobom:
• Upoważnieni pracownicy EACEA (z siedzibą w UE)
• Upoważnieni pracownicy Komisji Europejskiej
• Upoważnieni pracownicy wykonawcy i jego podwykonawców (z siedzibą w krajach UE/EOG)
• Wykonawca obsługuje swój program DiscoverEU, korzystając z usług i narzędzi następujących osób trzecich:
o Adobe Campaign & Mandrill (e-mail z potwierdzeniem)
o AWS Cognito & CommerceTools (zarządzanie kontem i zamówieniem)
o AWS Dynamo DB (bilet na urządzenia przenośne)
o Chatlayer (chatbot)
o Dune (baza danych)
o Flexmail (system e-mail)
o Insided (społeczności)
o Mailchimp & IRIS/Intersystems (rezerwacje)
o MessageBird (system SMS)
o Netigate (ankieta po podróży)
o Shufti Pro (weryfikacja dowodu tożsamości)
o SQL Datawarehouse (archiwizacja i sprawozdawczość)
o Zendesk (obsługa pytań)
W bardzo ograniczonej liczbie przypadków (bilety kolejowe na konkretny termin, wyjątkowe podróże autobusem lub samolotem) ograniczone dane osobowe (nazwisko, imię, data urodzenia) są przekazywane do biura podróży z siedzibą w Belgii, z którym wykonawca DiscoverEU zawarł umowę o ochronie danych. W zależności od trasy podróży zamówionej przez uczestnika biuro podróży może rezerwować bilety u przewoźników w krajach z UE/EOG lub spoza UE/EOG, które biorą udział w programie DiscoverEU (Macedonia Północna, Serbia, Turcja).
Podróże są zawsze rezerwowane na wniosek uczestnika. Takie przekazanie danych osobowych będzie opierać się na art. 50 ust. 1 lit. c) (przekazywanie niezbędne do zawarcia lub wykonania umowy w interesie osób, których dane dotyczą).
W przypadku kontroli lub sporu dostęp do danych osobowych może zostać przyznany na zasadzie ograniczonego dostępu organom, którym powierzono zadanie monitorowania lub inspekcji zgodnie z prawem Unii (np. Służba Audytu Wewnętrznego, Komisja Europejska, OLAF, sądy UE itp.).
5. Jak długo przechowujemy dane osobowe?
Dane osobowe kandydatów, którzy nie zostali wybrani do udziału w programie DiscoverEU, zostaną usunięte dwa lata po przesłaniu przez nich formularza zgłoszeniowego, chyba że wyrażą oni zainteresowanie otrzymywaniem informacji o innych usługach Europejskiego Portalu Młodzieżowego lub zaangażowaniem się w inne usługi Europejskiego Portalu Młodzieżowego, w którym to przypadku dane są przechowywane przez co najwyżej 5 lat. Po upływie tego czasu ich dane osobowe zostaną zanonimizowane i będą przechowywane wyłącznie do celów statystycznych.
Dane osobowe zawarte w zgłoszeniach wybranych uczestników programu DiscoverEU zostaną usunięte 5 lat od daty ostatniej rezerwacji podróży zgodnie ze wspólnym wykazem zatrzymywanych danych, chyba że użytkownik wyraził zainteresowanie wycofaniem statusu „wybranego użytkownika” i nie skorzystał z finansowania unijnego w ramach inicjatywy, w którym to przypadku dane są przechowywane przez co najwyżej 2 lata.
Możemy jednak przechowywać dane pozwalające zidentyfikować daną osobę przez dłuższy czas w celach archiwizacyjnych, statystycznych lub naukowych, stosując przy tym odpowiednie zabezpieczenia.
6. Jakie prawa przysługują osobom, których dane osobowe dotyczą, i jak można ich dochodzić?
Zgodnie z przepisami rozporządzenia o ochronie danych osobowych użytkownicy mają prawo zwrócić się o:
• dostęp do swoich danych osobowych, którymi dysponuje EACEA
• w razie potrzeby skorygowanie swoich danych osobowych
• usunięcie swoich danych osobowych
• ograniczenie przetwarzania swoich danych osobowych
• przekazanie im samym lub innej organizacji swoich danych w powszechnie używanym standardowym formacie nadającym się do odczytu maszynowego (przenoszenie danych).
UWAGA: Biorąc pod uwagę konkurencyjny charakter wyboru laureatów, prawo do skorygowania informacji może obejmować wyłącznie dane faktyczne przetwarzane w ramach procedury przyznawania nagrody. Z prawa tego można skorzystać jedynie przed upływem terminu składania zgłoszeń.
Nieprawidłowe dane faktyczne dotyczące tożsamości można jednak skorygować w dowolnym momencie w trakcie procedury i po jej zakończeniu.
Ponieważ przetwarzanie danych osobowych odbywa się w interesie publicznym na podstawie art. 5 ust. 1 lit. a) rozporządzenia o ochronie danych, należy pamiętać, że zgodnie z przepisami art. 23 rozporządzenia o ochronie danych użytkownicy mają prawo sprzeciwić się przetwarzaniu swoich danych osobowych z przyczyn związanych z ich szczególną sytuacją.
Art. 25 rozporządzenia (UE) 2018/1725 stanowi, że w sprawach związanych z funkcjonowaniem instytucji i organów UE te ostatnie mogą ograniczyć niektóre prawa osób fizycznych w wyjątkowych okolicznościach i przy zachowaniu zabezpieczeń określonych w tym rozporządzeniu. Ograniczenia takie są przewidziane w przepisach wewnętrznych przyjętych przez EACEA i opublikowanych w Dzienniku Urzędowym Unii Europejskiej. (https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32021Q0317%2801%29)
Każde takie ograniczenie będzie ważne przez określony czas, proporcjonalne i nie będzie naruszać istoty wyżej wymienionych praw. Zostanie zniesione, gdy tylko przestaną zachodzić okoliczności uzasadniające takie ograniczenie. Po upływie tego terminu uczestnicy otrzymają bardziej szczegółowe zawiadomienie o ochronie danych.
Co do zasady użytkownicy są informowani o najważniejszych przyczynach ograniczenia, chyba że informacja ta zniosłaby skutek ograniczenia jako takiego.
Użytkownicy mają prawo złożyć skargę do EIOD dotyczącą zakresu ograniczenia.
7. Prawo do odwołania się w przypadku konfliktu w odniesieniu do wszelkich kwestii dotyczących danych osobowych
W przypadku konfliktu dotyczącego jakichkolwiek kwestii związanych z ochroną danych osobowych można zwrócić się do administratora danych na wyżej wymieniony adres i funkcyjną skrzynkę pocztową.
Można również skontaktować się z inspektorem ochrony danych w EACEA pod następującym adresem e-mail: eacea-data protection@ec.europa.eu.
W każdej chwili można złożyć skargę do Europejskiego Inspektora Ochrony Danych: http://www.edps.europa.eu.
8. Na jakiej podstawie prawnej przetwarzamy dane osobowe?
Przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej instytucji lub organowi Unii (określonego w prawie Unii):
– decyzja wykonawcza Komisji 2021/173 ustanawiająca EACEA;
– decyzja Komisji C(2021)951 wraz z załącznikami przekazująca EACEA uprawnienia do zarządzania programami WRF na lata 2021–2027
– rozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/817 z dnia 20 maja 2021 r. ustanawiające program Erasmus+: unijny program na rzecz kształcenia i szkolenia, młodzieży i sportu oraz uchylające rozporządzenie (UE) nr 1288/2013 (Dz.U. L 189 z 28.5.2021, s. 1) (Tekst mający znaczenie dla EOG).
(1) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE, Tekst mający znaczenie dla EOG, Dz.U. L 295 z 21.11.2018, s. 39.