sou · H8B374 · 2020-12-15 00:00:00 — Europeiska unionens officiella tidning L 283/49 2.Europeiska åklagarmyndigheten ska radera operativa personuppgifter utan onödigt dröjsmål och den registrerade ska ha rätt att utan onödigt dröjsmål få operativa personuppgifter som rör honom eller henne raderade av Europeiska åklagarmyndigheten, när behandlingen strider mot artikel 47, 49 eller 55 eller om de operativa personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse som åvilar Europeiska åklagarmyndigheten. 3.I stället för radering ska Europeiska åklagarmyndigheten begränsa behandling om a)den registrerade bestrider de operativa personuppgifternas korrekthet och korrektheten eller felaktigheten inte kan fastställas, eller b)de operativa personuppgifterna måste sparas som bevisning. Om behandlingen begränsas enligt första stycket led a, ska Europeiska åklagarmyndigheten underrätta den registrerade innan begränsningen av behandlingen upphävs. 4.Om behandlingen begränsas enligt punkt 3, ska sådana operativa personuppgifter, med undantag för lagring, endast behandlas för att skydda rättigheterna för den registrerade eller för någon annan fysisk eller juridisk person som är part i Europeiska åklagarmyndighetens förfaranden eller för de ändamål som anges i punkt 3 b. 5.Europeiska åklagarmyndigheten ska skriftligen underrätta den registrerade om eventuell vägran att rätta eller radera operativa personuppgifter eller begränsa behandlingen och om skälen till vägran. Europeiska åklagarmyndigheten får helt eller delvis begränsa skyldigheten att tillhandahålla sådan information i den utsträckning som en sådan begränsning utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle med hänsyn tagen till den berörda fysiska personens grundläggande rättigheter och berättigade intressen, i syfte att a)undvika att hindra offentliga eller rättsliga undersökningar, utredningar eller förfaranden, b)undvika menlig inverkan på förebyggande, upptäckt, utredning eller lagföring av brott eller verkställighet av straff rättsliga påföljder, c)skydda den allmänna säkerheten i medlemsstaterna i Europeiska unionen, d)skydda den nationella säkerheten i medlemsstaterna i Europeiska unionen, e)skydda andra personers rättigheter och friheter. Europeiska åklagarmyndigheten ska underrätta den registrerade om möjligheten att lämna in ett klagomål till Europeiska datatillsynsmannen mot Europeiska åklagarmyndighetens beslut eller begära rättslig prövning av detta vid Europeiska unionens domstol. 6.Europeiska åklagarmyndigheten ska meddela varje rättelse av felaktiga operativa personuppgifter till den behöriga myndighet från vilken de felaktiga operativa personuppgifterna kommer. 7.Europeiska åklagarmyndigheten ska, när operativa personuppgifter har rättats eller raderats eller deras behandling har begränsats i enlighet med punkterna 1, 2 och 3, underrätta mottagarna och informera dem om att de måste rätta eller radera de operativa personuppgifterna eller begränsa behandlingen av de operativa personuppgifterna som utförs under deras ansvar. Den registrerades utövande av rättigheter och kontroll genom Europeiska datatillsynsmannen 1.I de fall som avses i artiklarna 58.3, 60.2 och 61.5 får den registrerades rättigheter också utövas genom Europeiska datatillsynsmannen. 2.Europeiska åklagarmyndigheten ska underrätta den registrerade om möjligheten att utöva sina rättigheter genom Europeiska datatillsynsmannen i enlighet med punkt 1. 3.Om den rättighet som avses i punkt 1 utövas, ska Europeiska datatillsynsmannen åtminstone underrätta den registrerade om att alla nödvändiga kontroller eller en översyn genom Europeiska datatillsynsmannen har ägt rum. Europeiska datatillsynsmannen ska också underrätta den registrerade om rätten att begära rättslig prövning av Europeiska datatillsynsmannens beslut vid Europeiska unionens domstol. L 283/50 Europeiska unionens officiella tidning 1.Med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt de vad gäller sannolikhetsgrad och allvar varierande riskerna för fysiska personers rättigheter och friheter, ska Europeiska åklagarmyndigheten genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med denna förordning. Dessa åtgärder ska ses över och uppdateras vid behov. 2.Om det står i proportion till behandlingen, ska de åtgärder som avses i punkt 1 omfatta Europeiska åklagarmyn dighetens genomförande av lämpliga strategier för dataskydd. 1.Om Europeiska åklagarmyndigheten tillsammans med en eller flera personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen, ska de vara gemensamt personuppgiftsansvariga. De ska på ett transparent sätt fastställa sitt respektive ansvar för efterlevnaden av sina dataskyddsskyldigheter, särskilt vad gäller utövandet av den registrerades rättigheter och deras respektive skyldigheter att tillhandahålla informationen, genom ett inbördes arrange mang, såvida inte, och i den mån som, de personuppgiftsansvarigas respektive skyldigheter fastställs i unionsrätten eller i en av Europeiska unionens medlemsstaters nationella lagstiftning som de personuppgiftsansvariga omfattas av. Inom ramen för arrangemanget får en gemensam kontaktpunkt för de registrerade utses. 2.Det arrangemang som avses i punkt 1 ska på lämpligt sätt återspegla de gemensamt personuppgiftsansvarigas respektive roller och förhållanden gentemot registrerade. Det väsentliga innehållet i arrangemanget ska göras tillgängligt för den registrerade. 3.Oavsett formerna för det arrangemang som avses i punkt 1, får den registrerade utöva sina rättigheter enligt denna förordning med avseende på och emot var och en av de personuppgiftsansvariga. 1.Om en behandling ska genomföras på Europeiska åklagarmyndighetens vägnar, ska Europeiska åklagarmyndigheten endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att de kommer att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i denna förordning och säkerställer att den registrerades rättigheter skyddas. 2.Personuppgiftsbiträdet får inte anlita ett annat personuppgiftsbiträde utan att ett särskilt eller allmänt skriftligt förhandstillstånd har erhållits av Europeiska åklagarmyndigheten. Om ett allmänt skriftligt tillstånd har erhållits, ska personuppgiftsbiträdet alltid informera Europeiska åklagarmyndigheten om eventuella planer på att anlita nya person uppgiftsbiträden eller ersätta personuppgiftsbiträden, så att den personuppgiftsansvarige har möjlighet att göra invänd ningar mot sådana förändringar. 3.När uppgifter behandlas av ett personuppgiftsbiträde, ska hanteringen regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt en av Europeiska unionens medlemsstaters nationella lagstiftning som är bindande för personuppgiftsbiträdet med avseende på Europeiska åklagarmyndigheten och i vilken föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av operativa personuppgifter och kategorier av registrerade samt Europeiska åklagarmyndighetens skyldigheter och rättigheter anges. Avtalet eller den andra rättsakten ska särskilt före skriva att personuppgiftsbiträdet a)endast ska handla enligt instruktioner från den personuppgiftsansvarige, b)ska säkerställa att personer med behörighet att behandla de operativa personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt, c)på lämpligt sätt ska bistå den personuppgiftsansvarige att säkerställa efterlevnad av bestämmelserna om den registre rades rättigheter, d)beroende på vad Europeiska åklagarmyndigheten väljer, ska radera eller återlämna alla operativa personuppgifter till Europeiska åklagarmyndigheten efter det att tillhandahållandet av behandlingstjänsterna har avslutats och radera befintliga kopior, såvida inte lagring av de operativa personuppgifterna krävs enligt unionsrätten eller en av Europeiska unionens medlemsstaters nationella lagstiftning, Europeiska unionens officiella tidning L 283/51 e)ska ge Europeiska åklagarmyndigheten tillgång till all information som krävs för att visa att de skyldigheter som fastställs i denna artikel har fullgjorts, f)ska respektera de villkor som avses i punkterna 2 och 3 för anlitande av ett annat personuppgiftsbiträde. 4.Det avtal eller den andra rättsakt som avses i punkt 3 ska vara i skriftlig form, inbegripet i elektronisk form. 5.Om ett personuppgiftsbiträde överträder denna förordning genom att fastställa ändamålen med och medlen för behandlingen, ska personuppgiftsbiträdet anses vara personuppgiftsansvarig med avseende på den behandlingen. Behandling under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende Personuppgiftsbiträdet och alla personer som utför arbete under Europeiska åklagarmyndighetens eller personuppgifts biträdets överinseende och får tillgång till operativa personuppgifter får endast behandla dessa på instruktion från Europeiska åklagarmyndigheten, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller en av Europeiska unionens medlemsstaters nationella lagstiftning. Inbyggt dataskydd och dataskydd som standard 1.Europeiska åklagarmyndigheten ska, med beaktande av den senaste utvecklingen, kostnaden för genomförande, behandlingens art, omfattning, sammanhang och ändamål samt de vad gäller sannolikhetsgrad och allvar varierande riskerna för fysiska personers rättigheter och friheter, både då metoden för behandlingen fastställs och under själva behandlingen, vidta lämpliga tekniska och organisatoriska åtgärder, såsom pseudonymisering, vilka är utformade för genomförande av principer om dataskydd, såsom dataminimering, på ett effektivt sätt och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, för att uppfylla kraven i denna förordning och skydda den registre rades rättigheter. 2.Europeiska åklagarmyndigheten ska vidta lämpliga tekniska och organisatoriska åtgärder som säkerställer att, i standardfallet, endast operativa personuppgifter som är adekvata och relevanta och inte överdrivet omfattande med hänsyn till behandlingens ändamål behandlas. Denna skyldighet gäller mängden insamlade operativa personuppgifter, behandlingens omfattning, lagringstiden och tillgängligheten. Framför allt ska dessa åtgärder säkerställa att operativa personuppgifter i standardfallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer. Register över kategorier av behandling 1.Europeiska åklagarmyndigheten ska föra ett register över alla kategorier av behandling som den ansvarar för. Detta register ska innehålla samtliga följande uppgifter: a)Dess egna kontaktuppgifter samt dataskyddsombudets namn och kontaktuppgifter. b)Ändamålen med behandlingen. c)En beskrivning av kategorierna av registrerade och av kategorierna av operativa personuppgifter. d)De kategorier av mottagare som de operativa personuppgifterna har lämnats eller ska lämnas ut till, inbegripet mottagare i tredjeländer eller internationella organisationer. e)Överföringar av operativa personuppgifter till ett tredjeland eller en internationell organisation, inbegripet identifiering av tredjelandet eller den internationella organisationen. f)Om möjligt, de förutsedda tidsfristerna för radering av de olika kategorierna av uppgifter. g) Om möjligt, en allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärder som avses i artikel 73. 2.Det register som avses i punkt 1 ska upprättas skriftligen, inbegripet i elektronisk form. 3.Europeiska åklagarmyndigheten ska på begäran göra registret tillgängligt för Europeiska datatillsynsmannen. L 283/52 Europeiska unionens officiella tidning Loggning när det gäller automatiserad behandling 1.Europeiska åklagarmyndigheten ska föra logg över samtliga följande typer av behandlingar i automatiserade data behandlingssystem: insamling, ändring, läsning, utlämning, inklusive överföringar, sammanförande och radering av opera tiva personuppgifter som används för operativa ändamål. Loggarna över läsning och utlämning ska göra det möjligt att fastställa motivering, datum och tidpunkt för sådan behandling, vem som har läst eller lämnat ut operativa person uppgifter samt i möjligaste mån vilka som har fått tillgång till de operativa personuppgifterna. 2.Loggarna bör endast användas för att kontrollera om behandlingen är laglig, för egenkontroll, för att säkerställa de operativa personuppgifternas integritet och säkerhet samt inom ramen för straffrättsliga förfaranden. Sådana loggar ska raderas , om de inte krävs för en pågående kontroll. 3.Europeiska åklagarmyndigheten ska på begäran göra loggarna tillgängliga för Europeiska datatillsynsmannen. Samarbete med Europeiska datatillsynsmannen Europeiska åklagarmyndigheten ska på begäran samarbeta med Europeiska datatillsynsmannen vid fullgörandet av sina uppgifter. 1.Om en typ av behandling, särskilt vid användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter, ska Europeiska åklagarmyndigheten före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av operativa personuppgifter. 2.Den bedömning som avses i punkt 1 ska åtminstone innehålla en allmän beskrivning av den planerade behand lingen, en bedömning av riskerna för de registrerades rättigheter och friheter, de åtgärder som planeras för att hantera dessa risker, skyddsåtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av operativa personuppgifter och för att visa att denna förordning efterlevs, med hänsyn till de registrerades och andra berörda personers rättigheter och berättigade intressen. Förhandssamråd med Europeiska datatillsynsmannen 1.Europeiska åklagarmyndigheten ska samråda med Europeiska datatillsynsmannen före behandling som kommer att ingå i ett nytt register som ska inrättas, om a)en konsekvensbedömning avseende dataskydd enligt artikel 71 visar att behandlingen skulle leda till en hög risk, om inte Europeiska åklagarmyndigheten vidtar åtgärder för att minska risken, eller b)typen av behandling, särskilt vid användning av ny teknik eller nya rutiner eller förfaranden, medför en hög risk för de registrerades rättigheter och friheter. 2.Europeiska datatillsynsmannen får upprätta en förteckning över de olika typer av uppgiftsbehandling som omfattas av förhandssamråd enligt punkt 1. 3.Europeiska åklagarmyndigheten ska förse Europeiska datatillsynsmannen med den konsekvensbedömning avseende dataskydd som anges i artikel 71, och på begäran med eventuell övrig information som gör att Europeiska datatillsyns mannen kan göra en bedömning av behandlingens överensstämmelse och särskilt av riskerna för skyddet av den registrerades operativa personuppgifter och av därmed sammanhängande skyddsåtgärder. Europeiska unionens officiella tidning L 283/53 4.Om Europeiska datatillsynsmannen anser att den planerade behandling som avses i punkt 1 i denna artikel skulle stå i strid med denna förordning, särskilt om Europeiska åklagarmyndigheten inte i tillräcklig mån har fastställt eller reducerat risken, ska Europeiska datatillsynsmannen på från det att begäran om samråd har mottagits ge Europeiska åklagarmyndigheten skriftliga råd i enlighet med sina befogenheter enligt artikel 85. får förlängas med en månad med hänsyn till hur komplicerad den planerade behandlingen är. Europeiska datatillsynsmannen ska informera Europeiska åklagarmyndigheten om en sådan förlängning inom en månad från det att begäran om samråd har mottagits, tillsammans med orsakerna till förseningen. Säkerhet i samband med behandling av operativa personuppgifter 1.Europeiska åklagarmyndigheten ska, med beaktande av den senaste utvecklingen och genomförandekostnader och med hänsyn till behandlingens art, omfattning, sammanhang och ändamål samt de vad gäller sannolikhetsgrad och allvar varierande riskerna för fysiska personers rättigheter och friheter, vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i synnerhet när det gäller behandling av de särskilda kategorier av operativa personuppgifter som avses i artikel 55. 2.När det gäller automatiserad behandling, ska Europeiska åklagarmyndigheten efter en utvärdering av riskerna genomföra åtgärder som är avsedda att a)vägra varje obehörig person åtkomst till utrustning för databehandling som används för behandling (åtkomstskydd för utrustning), b)förhindra obehörig läsning, kopiering, ändring eller radering av datamedier (kontroll av datamedier), c)förhindra obehörig registrering av uppgifter och obehörig åtkomst till, ändring av eller radering av lagrade operativa personuppgifter (lagringskontroll), d)förhindra att obehöriga kan använda automatiserade behandlingssystem med hjälp av utrustning för dataöverföring (användarkontroll), e)säkerställa att personer som är behöriga att använda ett automatiserat behandlingssystem endast har tillgång till operativa personuppgifter som omfattas av deras behörighet (åtkomstkontroll), f)säkerställa att det kan kontrolleras och fastställas till vilka organ operativa personuppgifter har överförts eller kan överföras och för vilka organ uppgifterna har gjorts tillgängliga eller kan göras tillgängliga med hjälp av dataöverföring (kommunikationskontroll), g)säkerställa att det är möjligt att i efterhand kontrollera och fastställa vilka operativa personuppgifter som har förts in i ett automatiserat databehandlingssystem samt när och av vem uppgifterna infördes (indatakontroll), h)förhindra obehörig läsning, kopiering, ändring eller radering av operativa personuppgifter i samband med överföring av operativa personuppgifter eller under transport av databärare (transportkontroll), i)säkerställa att de system som används kan återställas vid störningar (återställande), j)säkerställa att systemet fungerar, att funktionsfel rapporteras (driftsäkerhet) och att de lagrade operativa personupp gifterna inte kan förvanskas genom funktionsfel i systemet (dataintegritet). Anmälan av en personuppgiftsincident till Europeiska datatillsynsmannen 1.Vid en personuppgiftsincident ska Europeiska åklagarmyndigheten utan onödigt dröjsmål och om möjligt senast efter att ha fått vetskap om den anmäla personuppgiftsincidenten till Europeiska datatillsynsmannen, såvida det inte är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter. Om anmälan till Europeiska datatillsynsmannen inte görs , ska den åtföljas av en motivering till förseningen. L 283/54 Europeiska unionens officiella tidning 2.Den anmälan som avses i punkt 1 ska åtminstone a)beskriva personuppgiftsincidentens art, om möjligt inbegripet de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs, b)förmedla dataskyddsombudets namn och kontaktuppgifter, c)beskriva de sannolika konsekvenserna av personuppgiftsincidenten, och d)beskriva de åtgärder som Europeiska åklagarmyndigheten har vidtagit eller föreslagit för att åtgärda personuppgiftsin cidenten, om lämpligt inbegripet åtgärder för att mildra dess potentiella negativa effekter. 3.Om och i den utsträckning som det inte är möjligt att tillhandahålla den information som avses i punkt 2 , får informationen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål. 4.Europeiska åklagarmyndigheten ska dokumentera alla personuppgiftsincidenter som avses i punkt 1, inbegripet omständigheterna kring personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits. Dokumenta tionen ska göra det möjligt för Europeiska datatillsynsmannen att kontrollera efterlevnaden av denna artikel. 5.Om personuppgiftsincidenten rör personuppgifter som har överförts av eller till en annan personuppgiftsansvarig, ska Europeiska åklagarmyndigheten utan onödigt dröjsmål förmedla den information som avses i punkt 3 till den personuppgiftsanvarige. Information till den registrerade om en personuppgiftsincident 1.Om personuppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter, ska Europeiska åklagarmyndigheten utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten. 2.Den information till den registrerade som avses i punkt 1 i denna artikel ska innehålla en tydlig och klar beskrivning av personuppgiftsincidentens art och åtminstone de upplysningar och de rekommendationer som anges i artikel 74.2 b, c och d. 3.Information till den registrerade i enlighet med punkt 1 krävs inte om något av följande villkor är uppfyllt: a)Europeiska åklagarmyndigheten har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder och dessa åtgär der har tillämpats på de personuppgifter som påverkades av personuppgiftsincidenten, i synnerhet sådana som ska göra uppgifterna oläsbara för alla personer som inte är behöriga att få tillgång till personuppgifterna, såsom krypte ring. b)Europeiska åklagarmyndigheten har vidtagit ytterligare åtgärder som säkerställer att den höga risk för registrerades rättigheter och friheter som avses i punkt 1 sannolikt inte längre kommer att uppstå. c)Det skulle inbegripa en oproportionell ansträngning. I så fall ska i stället allmänheten informeras eller en liknande åtgärd vidtas, genom vilken de registrerade informeras på ett lika effektivt sätt. 4.Om Europeiska åklagarmyndigheten inte redan har informerat den registrerade om personuppgiftsincidenten, får Europeiska datatillsynsmannen, efter att ha bedömt sannolikheten för att personuppgiftsincidenten medför en hög risk, kräva att Europeiska åklagarmyndigheten gör detta eller besluta att något av de villkor som avses i punkt 3 har uppfyllts. 5.Den information till den registrerade som avses i punkt 1 i denna artikel kan senareläggas, begränsas eller utelämnas på de villkor och av de skäl som avses i artikel 60.3. Tillåten tillgång till operativa personuppgifter inom Europeiska åklagarmyndigheten Endast den europeiska chefsåklagaren, de europeiska åklagarna, de europeiska delegerade åklagarna och bemyndigad personal som bistår dem får, i syfte att fullgöra sina uppgifter och inom de tidsgränser som fastställs i denna förordning, ha tillgång till de operativa personuppgifter som behandlas av Europeiska åklagarmyndigheten. Europeiska unionens officiella tidning L 283/55 1.Kollegiet ska utse ett dataskyddsombud på grundval av ett förslag från den europeiska chefsåklagaren. Dataskydds ombudet ska vara en medlem av personalen som särskilt utnämnts till detta. Vid utförandet av sina uppgifter ska dataskyddsombudet agera oberoende och får inte ta emot några instruktioner. 2.Dataskyddsombudet ska väljas på grundval av sina yrkesmässiga kvalifikationer och i synnerhet sin sakkunskap om lagstiftning och praxis i fråga om dataskydd samt förmågan att fullgöra de uppgifter som avses i denna förordning, särskilt artikel 79. 3.Valet av dataskyddsombudet ska inte kunna leda till en intressekonflikt mellan ombudets uppdrag som dataskydds ombud och andra offentliga uppdrag, särskilt vad avser tillämpningen av denna förordning. 4.Dataskyddsombudet ska utnämnas för en period och kan återutnämnas för totalt högst . Ombudet får endast avsättas från sitt uppdrag som dataskyddsombud av kollegiet med Europeiska datatillsynsmannens samtycke, om ombudet inte längre uppfyller de krav som ställs för att han eller hon ska kunna utföra sina uppgifter. 5.Europeiska åklagarmyndigheten ska offentliggöra dataskyddsombudets kontaktuppgifter och förmedla dem till Europeiska datatillsynsmannen. 1.Europeiska åklagarmyndigheten ska säkerställa att dataskyddsombudet på ett korrekt sätt och deltar i alla frågor som rör skyddet av personuppgifter.