# Den Europæiske Unions L 236/2020

| | ISSN 1977-0634 |
| --- | --- |
| Den Europæiske Unions
  Tidende | L 236 |
| | |
| Dansk udgave | Retsforskrifter | 63. årgang22. juli 2020 |

ISSN 1977-0634

Den Europæiske Unions

Tidende

L 236

Dansk udgave

Retsforskrifter

63. årgang22. juli 2020

---

| Indhold | | II   Ikke-lovgivningsmæssige retsakter | Side |
| --- | --- | --- | --- |
| | | FORRETNINGSORDENER OG PROCESREGLEMENTER |
| | * | Den Europæiske Investeringsfonds afgørelse af 4. juni 2020 vedrørende interne regler for anvendelse af begrænsninger på visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i de aktiviteter, der udføres af Den Europæiske Investeringsfond | 1 |
| | * | Afgørelse nr. 1/2020 fra bestyrelsen for fællesforetagendet Shift2Rail af 26. marts 2020 om interne regler for anvendelse af begrænsninger på visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i fællesforetagendet S2R's virke | 7 |

Indhold

II   Ikke-lovgivningsmæssige retsakter

Side

FORRETNINGSORDENER OG PROCESREGLEMENTER

*

Den Europæiske Investeringsfonds afgørelse af 4. juni 2020 vedrørende interne regler for anvendelse af begrænsninger på visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i de aktiviteter, der udføres af Den Europæiske Investeringsfond

1

*

Afgørelse nr. 1/2020 fra bestyrelsen for fællesforetagendet Shift2Rail af 26. marts 2020 om interne regler for anvendelse af begrænsninger på visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i fællesforetagendet S2R's virke

7

| DA | De akter, hvis titel er trykt med magre typer, er løbende retsakter inden for rammerne af landbrugspolitikken og har normalt en begrænset gyldighedsperiode.
  Titlen på alle øvrige akter er trykt med fede typer efter en asterisk. |
| --- | --- |

DA

De akter, hvis titel er trykt med magre typer, er løbende retsakter inden for rammerne af landbrugspolitikken og har normalt en begrænset gyldighedsperiode.

Titlen på alle øvrige akter er trykt med fede typer efter en asterisk.

---

II Ikke-lovgivningsmæssige retsakter

FORRETNINGSORDENER OG PROCESREGLEMENTER

| 22.7.2020 | DA | Den Europæiske Unions Tidende | L 236/1 |
| --- | --- | --- | --- |

22.7.2020

DA

Den Europæiske Unions Tidende

L 236/1

---

DEN EUROPÆISKE INVESTERINGSFONDS AFGØRELSE

af 4. juni 2020

vedrørende interne regler for anvendelse af begrænsninger på visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i de aktiviteter, der udføres af Den Europæiske Investeringsfond

DEN EUROPÆISKE INVESTERINGSFOND (EIF) HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1) (herefter »forordningen«), særlig artikel 25,

under henvisning til udtalelse (2) fra Den Europæiske Tilsynsførende for Databeskyttelse (EDPS), og

ud fra følgende betragtninger:

| (1) | EIF's complianceafdeling kan inden for rammerne af sin funktion foretage administrative undersøgelser på grundlag af EIB-Gruppens adfærdskodeks for ansatte, hvilket indebærer behandling af oplysninger, herunder personoplysninger. |
| --- | --- |

(1)

EIF's complianceafdeling kan inden for rammerne af sin funktion foretage administrative undersøgelser på grundlag af EIB-Gruppens adfærdskodeks for ansatte, hvilket indebærer behandling af oplysninger, herunder personoplysninger.

| (2) | EIF's databeskyttelsesansvarlige kan på eget initiativ eller efter anmodning fra den dataansvarlige eller en fysisk person undersøge anliggender og forhold, der har direkte tilknytning til vedkommendes opgaver, og som kommer til vedkommendes kendskab, og aflægge rapport til den person, der har anmodet om undersøgelsen, eller til den dataansvarlige, jf. forordningens artikel 45, stk. 2. |
| --- | --- |

(2)

EIF's databeskyttelsesansvarlige kan på eget initiativ eller efter anmodning fra den dataansvarlige eller en fysisk person undersøge anliggender og forhold, der har direkte tilknytning til vedkommendes opgaver, og som kommer til vedkommendes kendskab, og aflægge rapport til den person, der har anmodet om undersøgelsen, eller til den dataansvarlige, jf. forordningens artikel 45, stk. 2.

| (3) | EIF's afdeling for HR og ressourcer (Human and Resources Management) kan i forbindelse med sine funktioner gennemføre disciplinærsager på grundlag af afdeling 6 i EIF's personalevedtægt, afsnit IV i politikken for værdighed på arbejdspladsen og gældende adfærdskodekser for EIF. |
| --- | --- |

(3)

EIF's afdeling for HR og ressourcer (Human and Resources Management) kan i forbindelse med sine funktioner gennemføre disciplinærsager på grundlag af afdeling 6 i EIF's personalevedtægt, afsnit IV i politikken for værdighed på arbejdspladsen og gældende adfærdskodekser for EIF.

| (4) | Medlemmerne af EIF's bestyrelse, den administrerende direktør, den administrerende vicedirektør og ansatte samt parter med relation til finansieringer/transaktioner er forpligtet til at indberette mulig forbudt adfærd, som er til skade for EIF's og Unionens interesser (f.eks. svig eller korruption), til EIB's afdeling for undersøgelser vedrørende svig (IG/IN) eller indberette enhver adfærd i forbindelse med udførelsen af arbejdsopgaver, som kan være en alvorlig tilsidesættelse af gældende forpligtelser, til andre kompetente tjenestegrene. Desuden kan ethvert medlem af offentligheden, enhver fysisk person og enhver enhed indberette påstande om forbudt adfærd til IG/IN. |
| --- | --- |

(4)

Medlemmerne af EIF's bestyrelse, den administrerende direktør, den administrerende vicedirektør og ansatte samt parter med relation til finansieringer/transaktioner er forpligtet til at indberette mulig forbudt adfærd, som er til skade for EIF's og Unionens interesser (f.eks. svig eller korruption), til EIB's afdeling for undersøgelser vedrørende svig (IG/IN) eller indberette enhver adfærd i forbindelse med udførelsen af arbejdsopgaver, som kan være en alvorlig tilsidesættelse af gældende forpligtelser, til andre kompetente tjenestegrene. Desuden kan ethvert medlem af offentligheden, enhver fysisk person og enhver enhed indberette påstande om forbudt adfærd til IG/IN.

| (5) | Undersøgelser vedrørende forbudt adfærd som defineret i EIF's politik for bekæmpelse af svig udføres af IG/IN, som databehandler, på grundlag af rammeaftalen mellem EIF og EIB vedrørende levering af tjenesteydelser. |
| --- | --- |

(5)

Undersøgelser vedrørende forbudt adfærd som defineret i EIF's politik for bekæmpelse af svig udføres af IG/IN, som databehandler, på grundlag af rammeaftalen mellem EIF og EIB vedrørende levering af tjenesteydelser.

| (6) | EIF gennemfører revisioner af sine aktiviteter. Dette sker i øjeblikket gennem EIB's hovedafdeling intern revision på grundlag af rammeaftalen mellem EIF og EIB vedrørende levering af tjenesteydelser. |
| --- | --- |

(6)

EIF gennemfører revisioner af sine aktiviteter. Dette sker i øjeblikket gennem EIB's hovedafdeling intern revision på grundlag af rammeaftalen mellem EIF og EIB vedrørende levering af tjenesteydelser.

| (7) | I forbindelse med de opgaver, der er beskrevet i betragtning 1-6, kan EIF yde bistand til og modtage bistand fra og samarbejde med andre EU-institutioner, -organer, -kontorer og -agenturer som fastsat i relevante serviceleveranceaftaler, aftalememoranda og samarbejdsaftaler. |
| --- | --- |

(7)

I forbindelse med de opgaver, der er beskrevet i betragtning 1-6, kan EIF yde bistand til og modtage bistand fra og samarbejde med andre EU-institutioner, -organer, -kontorer og -agenturer som fastsat i relevante serviceleveranceaftaler, aftalememoranda og samarbejdsaftaler.

| (8) | EIF kan yde bistand til og modtage bistand fra og samarbejde med EU-medlemsstaternes offentlige myndigheder efter deres anmodning eller på eget initiativ. |
| --- | --- |

(8)

EIF kan yde bistand til og modtage bistand fra og samarbejde med EU-medlemsstaternes offentlige myndigheder efter deres anmodning eller på eget initiativ.

| (9) | EIF kan yde bistand til og modtage bistand fra og samarbejde med tredjelandes offentlige myndigheder og internationale organisationer efter deres anmodning eller på eget initiativ. |
| --- | --- |

(9)

EIF kan yde bistand til og modtage bistand fra og samarbejde med tredjelandes offentlige myndigheder og internationale organisationer efter deres anmodning eller på eget initiativ.

| (10) | Inden for rammerne af ovennævnte aktiviteter kan EIF, som dataregisteransvarlig, eller en hvilken som helst af EIF's forretningspartnere, der er nævnt i betragtning 4, herunder EIB's afdeling for undersøgelser vedrørende svig, som databehandler — eller en anden kompetent tjenestegren — indsamle og behandle oplysninger og personoplysninger, herunder information til identifikation af fysiske personer, kontaktoplysninger, information om arbejdsroller og -opgaver, information om indsats og adfærd i jobfunktioner og i privatlivet samt finansielle oplysninger. |
| --- | --- |

(10)

Inden for rammerne af ovennævnte aktiviteter kan EIF, som dataregisteransvarlig, eller en hvilken som helst af EIF's forretningspartnere, der er nævnt i betragtning 4, herunder EIB's afdeling for undersøgelser vedrørende svig, som databehandler — eller en anden kompetent tjenestegren — indsamle og behandle oplysninger og personoplysninger, herunder information til identifikation af fysiske personer, kontaktoplysninger, information om arbejdsroller og -opgaver, information om indsats og adfærd i jobfunktioner og i privatlivet samt finansielle oplysninger.

| (11) | Der er indført tilstrækkelige sikkerhedsforanstaltninger til at beskytte personoplysninger og forhindre utilsigtet eller ulovlig adgang eller videregivelse, både hvis de opbevares i et fysisk og i et elektronisk miljø. Efter behandlingen opbevares dataene i overensstemmelse med EIF's gældende regler om dataopbevaring i fortegnelser over behandlingsaktiviteter, som er baseret på forordningens artikel 31. Ved udløbet af opbevaringsperioden slettes, anonymiseres eller overføres de sagsrelaterede oplysninger, herunder personoplysninger, til de historiske arkiver i overensstemmelse med de europæiske regler for databeskyttelse og relaterede regelfastsættende bestemmelser eller EIF's politikker. |
| --- | --- |

(11)

Der er indført tilstrækkelige sikkerhedsforanstaltninger til at beskytte personoplysninger og forhindre utilsigtet eller ulovlig adgang eller videregivelse, både hvis de opbevares i et fysisk og i et elektronisk miljø. Efter behandlingen opbevares dataene i overensstemmelse med EIF's gældende regler om dataopbevaring i fortegnelser over behandlingsaktiviteter, som er baseret på forordningens artikel 31. Ved udløbet af opbevaringsperioden slettes, anonymiseres eller overføres de sagsrelaterede oplysninger, herunder personoplysninger, til de historiske arkiver i overensstemmelse med de europæiske regler for databeskyttelse og relaterede regelfastsættende bestemmelser eller EIF's politikker.

| (12) | I den forbindelse forpligter EIF sig til at underrette de registrerede om ovennævnte behandlingsaktiviteter og respektere de registreredes rettigheder som fastsat i forordningen. |
| --- | --- |

(12)

I den forbindelse forpligter EIF sig til at underrette de registrerede om ovennævnte behandlingsaktiviteter og respektere de registreredes rettigheder som fastsat i forordningen.

| (13) | Det kan være nødvendigt at forene de registreredes rettigheder i henhold til forordningen med behovene i forbindelse med ovennævnte aktiviteter samt at sikre, at andre registreredes grundlæggende rettigheder og frihedsrettigheder overholdes fuldt ud. I den forbindelse giver forordningens artikel 25 på strenge betingelser mulighed for at begrænse anvendelsen af artikel 14-20, 35 og 36 samt artikel 4, for så vidt som dens bestemmelser svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-20. I så fald er det nødvendigt at vedtage interne regler, i henhold til hvilke EIF kan begrænse de registreredes ovennævnte rettigheder i overensstemmelse med samme artikel i forordningen. |
| --- | --- |

(13)

Det kan være nødvendigt at forene de registreredes rettigheder i henhold til forordningen med behovene i forbindelse med ovennævnte aktiviteter samt at sikre, at andre registreredes grundlæggende rettigheder og frihedsrettigheder overholdes fuldt ud. I den forbindelse giver forordningens artikel 25 på strenge betingelser mulighed for at begrænse anvendelsen af artikel 14-20, 35 og 36 samt artikel 4, for så vidt som dens bestemmelser svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-20. I så fald er det nødvendigt at vedtage interne regler, i henhold til hvilke EIF kan begrænse de registreredes ovennævnte rettigheder i overensstemmelse med samme artikel i forordningen.

| (14) | Dette kan især være tilfældet, når den registrerede underrettes om behandlingen af personoplysninger i den indledende vurderingsfase af en administrativ undersøgelse eller i løbet af selve undersøgelsen forud for en eventuel henlæggelse af sagen eller for en disciplinær fase. Under visse omstændigheder kan det i alvorlig grad berøre EIF's evne til at gennemføre undersøgelsen på en effektiv måde, hvis der f.eks. er risiko for, at den pågældende person tilintetgør bevismateriale eller påvirker potentielle vidner, inden de afhøres. EIF kan desuden blive nødt til at beskytte andre involverede personers rettigheder og friheder. Det kan navnlig være nødvendigt at beskytte fortroligheden i forhold til et vidne eller en whistleblower, der har anmodet om ikke at blive identificeret. I så fald kan EIF beslutte at begrænse adgangen til whistleblowerens og/eller andre involverede personers identitet, erklæringer og andre oplysninger vedrørende de pågældende for at beskytte deres rettigheder og friheder. |
| --- | --- |

(14)

Dette kan især være tilfældet, når den registrerede underrettes om behandlingen af personoplysninger i den indledende vurderingsfase af en administrativ undersøgelse eller i løbet af selve undersøgelsen forud for en eventuel henlæggelse af sagen eller for en disciplinær fase. Under visse omstændigheder kan det i alvorlig grad berøre EIF's evne til at gennemføre undersøgelsen på en effektiv måde, hvis der f.eks. er risiko for, at den pågældende person tilintetgør bevismateriale eller påvirker potentielle vidner, inden de afhøres. EIF kan desuden blive nødt til at beskytte andre involverede personers rettigheder og friheder. Det kan navnlig være nødvendigt at beskytte fortroligheden i forhold til et vidne eller en whistleblower, der har anmodet om ikke at blive identificeret. I så fald kan EIF beslutte at begrænse adgangen til whistleblowerens og/eller andre involverede personers identitet, erklæringer og andre oplysninger vedrørende de pågældende for at beskytte deres rettigheder og friheder.

| (15) | Når EIF yder bistand til eller modtager bistand fra og samarbejder med andre EU-institutioner, -organer, -kontorer og -agenturer, EU-medlemsstaternes offentlige myndigheder, myndigheder i tredjelande og internationale organisationer i forbindelse med ovennævnte aktiviteter, kan EIF under visse omstændigheder, med forbehold af opretholdelsen af det minimumsniveau for databeskyttelse, som kræves af Den Europæiske Tilsynsførende for Databeskyttelse, være nødt til at tage hensyn til effektiviteten af sine undersøgelser eller de undersøgelser, der udføres af den enhed, der samarbejdes med, og om nødvendigt at beskytte de involverede personer og deres rettigheder og friheder. |
| --- | --- |

(15)

Når EIF yder bistand til eller modtager bistand fra og samarbejder med andre EU-institutioner, -organer, -kontorer og -agenturer, EU-medlemsstaternes offentlige myndigheder, myndigheder i tredjelande og internationale organisationer i forbindelse med ovennævnte aktiviteter, kan EIF under visse omstændigheder, med forbehold af opretholdelsen af det minimumsniveau for databeskyttelse, som kræves af Den Europæiske Tilsynsførende for Databeskyttelse, være nødt til at tage hensyn til effektiviteten af sine undersøgelser eller de undersøgelser, der udføres af den enhed, der samarbejdes med, og om nødvendigt at beskytte de involverede personer og deres rettigheder og friheder.

| (16) | EIF anvender kun begrænsninger, når de respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en strengt nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund. EIF fremlægger en begrundelse, der forklarer årsagerne til disse begrænsninger. |
| --- | --- |

(16)

EIF anvender kun begrænsninger, når de respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en strengt nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund. EIF fremlægger en begrundelse, der forklarer årsagerne til disse begrænsninger.

| (17) | Ud fra princippet om ansvarlighed fører EIF en fortegnelse over anvendelsen af begrænsningerne. |
| --- | --- |

(17)

Ud fra princippet om ansvarlighed fører EIF en fortegnelse over anvendelsen af begrænsningerne.

| (18) | Når EIF under udførelsen af sit hverv behandler personoplysninger, der udveksles med andre organisationer, hører EIF disse organisationer og høres selv af dem om de mulige relevante begrundelser for at indføre begrænsninger og om nødvendigheden og forholdsmæssigheden af begrænsningerne, medmindre dette vil bringe EIF's aktiviteter i fare. |
| --- | --- |

(18)

Når EIF under udførelsen af sit hverv behandler personoplysninger, der udveksles med andre organisationer, hører EIF disse organisationer og høres selv af dem om de mulige relevante begrundelser for at indføre begrænsninger og om nødvendigheden og forholdsmæssigheden af begrænsningerne, medmindre dette vil bringe EIF's aktiviteter i fare.

| (19) | I henhold til forordningens artikel 25, stk. 6, skal den registeransvarlige underrette de registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om deres ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse. |
| --- | --- |

(19)

I henhold til forordningens artikel 25, stk. 6, skal den registeransvarlige underrette de registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om deres ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse.

| (20) | I henhold til forordningens artikel 25, stk. 8, kan EIF udsætte, undlade eller afvise at underrette den registrerede om de bevæggrunde, der ligger til grund for anvendelsen af en begrænsning, hvis underretningen på nogen måde ville ophæve virkningen af begrænsningen. EIF vurderer i hvert enkelt tilfælde, om det ville ophæve virkningen af begrænsningen at underrette om den. |
| --- | --- |

(20)

I henhold til forordningens artikel 25, stk. 8, kan EIF udsætte, undlade eller afvise at underrette den registrerede om de bevæggrunde, der ligger til grund for anvendelsen af en begrænsning, hvis underretningen på nogen måde ville ophæve virkningen af begrænsningen. EIF vurderer i hvert enkelt tilfælde, om det ville ophæve virkningen af begrænsningen at underrette om den.

| (21) | Den databeskyttelsesansvarlige kan foretage en uafhængig revurdering af anvendelsen af begrænsningerne med henblik på at sikre, at denne forretningsorden overholdes — |
| --- | --- |

(21)

Den databeskyttelsesansvarlige kan foretage en uafhængig revurdering af anvendelsen af begrænsningerne med henblik på at sikre, at denne forretningsorden overholdes —

VEDTAGET DENNE AFGØRELSE:

Artikel 1

Genstand og anvendelsesområde

Denne forretningsorden indeholder bestemmelser om de betingelser, hvorunder EIF kan begrænse anvendelsen af artikel 14-20, 35 og 36 samt artikel 4 i henhold til forordningens artikel 25.

Artikel 2

Begrænsninger

1.   I overensstemmelse med forordningens artikel 25, stk. 1, kan EIF, udelukkende efter en vurdering fra sag til sag, begrænse anvendelsen af artikel 14-20, 35 og 36 samt artikel 4, for så vidt dens bestemmelser svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-20, når EIF

| a) | gennemfører administrative undersøgelser på grundlag af EIB-Gruppens adfærdskodeks for ansatte og andre gældende adfærdskodekser |
| --- | --- |

a)

gennemfører administrative undersøgelser på grundlag af EIB-Gruppens adfærdskodeks for ansatte og andre gældende adfærdskodekser

| b) | gennemfører undersøgelser vedrørende anliggender og forhold, der har direkte tilknytning til den databeskyttelsesansvarliges opgaver, jf. forordningens artikel 45, stk. 2 |
| --- | --- |

b)

gennemfører undersøgelser vedrørende anliggender og forhold, der har direkte tilknytning til den databeskyttelsesansvarliges opgaver, jf. forordningens artikel 45, stk. 2

| c) | gennemfører disciplinærsager på grundlag af afdeling 6 i EIF's personalevedtægt, afsnit IV i politikken for værdighed på arbejdspladsen, EIB-Gruppens adfærdskodeks for ansatte og andre gældende EIF-adfærdskodekser |
| --- | --- |

c)

gennemfører disciplinærsager på grundlag af afdeling 6 i EIF's personalevedtægt, afsnit IV i politikken for værdighed på arbejdspladsen, EIB-Gruppens adfærdskodeks for ansatte og andre gældende EIF-adfærdskodekser

| d) | sikrer, at EIF's ansatte på fortrolig vis kan indberette faktiske forhold, når de mener, at der foreligger alvorlige uregelmæssigheder som fastlagt i EIB-Gruppens whistleblowingpolitik |
| --- | --- |

d)

sikrer, at EIF's ansatte på fortrolig vis kan indberette faktiske forhold, når de mener, at der foreligger alvorlige uregelmæssigheder som fastlagt i EIB-Gruppens whistleblowingpolitik

| e) | sikrer, at EIF's ansatte på fortrolig vis kan indberette faktiske forhold, når de mener, at der foreligger mistanke om forbudt adfærd, herunder svig eller korruption, som er til skade for Unionens interesser, eller om adfærd under udførelse af arbejdsopgaver, som kan være en alvorlig tilsidesættelse af EIF's ansattes forpligtelser som fastlagt i EIB-Gruppens whistleblowingpolitik, EIF's politik for bekæmpelse af svig og de relevante EIF-adfærdskodekser |
| --- | --- |

e)

sikrer, at EIF's ansatte på fortrolig vis kan indberette faktiske forhold, når de mener, at der foreligger mistanke om forbudt adfærd, herunder svig eller korruption, som er til skade for Unionens interesser, eller om adfærd under udførelse af arbejdsopgaver, som kan være en alvorlig tilsidesættelse af EIF's ansattes forpligtelser som fastlagt i EIB-Gruppens whistleblowingpolitik, EIF's politik for bekæmpelse af svig og de relevante EIF-adfærdskodekser

| f) | udfører undersøgelser af forbudt adfærd, jf. EIF's politik for bekæmpelse af svig |
| --- | --- |

f)

udfører undersøgelser af forbudt adfærd, jf. EIF's politik for bekæmpelse af svig

| g) | gennemfører interne revisioner i forbindelse med alle sine aktiviteter og tjenestegrene |
| --- | --- |

g)

gennemfører interne revisioner i forbindelse med alle sine aktiviteter og tjenestegrene

| h) | yder bistand til og modtager bistand fra og samarbejder med andre EU-institutioner, -organer, -kontorer og -agenturer i forbindelse med ovennævnte aktiviteter som fastsat i relevante serviceleveranceaftaler, aftalememoranda og samarbejdsaftaler |
| --- | --- |

h)

yder bistand til og modtager bistand fra og samarbejder med andre EU-institutioner, -organer, -kontorer og -agenturer i forbindelse med ovennævnte aktiviteter som fastsat i relevante serviceleveranceaftaler, aftalememoranda og samarbejdsaftaler

| i) | yder bistand til og modtager bistand fra og samarbejder med EU-medlemsstaternes offentlige myndigheder efter deres anmodning eller på eget initiativ |
| --- | --- |

i)

yder bistand til og modtager bistand fra og samarbejder med EU-medlemsstaternes offentlige myndigheder efter deres anmodning eller på eget initiativ

| j) | yder bistand til og modtager bistand fra og samarbejder med tredjelandes offentlige myndigheder og internationale organisationer efter deres anmodning eller på eget initiativ. |
| --- | --- |

j)

yder bistand til og modtager bistand fra og samarbejder med tredjelandes offentlige myndigheder og internationale organisationer efter deres anmodning eller på eget initiativ.

2.   Kategorierne af data kan omfatte information til identifikation af fysiske personer, kontaktoplysninger, information om arbejdsroller og -opgaver, information om indsats og adfærd i jobfunktioner og i privatlivet, information om sagstilhørsforhold samt finansielle oplysninger.

3.   Anvendelsen af ovennævnte begrænsninger berører ikke en eventuel anvendelse af bestemmelserne i forordningens artikel 16, stk. 5, og artikel 17, stk. 4, som vedrører henholdsvis retten til information, når der ikke er indhentet data fra den registrerede, og den registreredes ret til aktindsigt.

4.   En begrænsning skal respektere det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og være en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund som omhandlet i forordningen, tilsvarende regelfastsættende bestemmelser eller EIF's eller EIB-Gruppens interne politikker.

5.   En begrænsning skal være baseret på en udtrykkelig tilladelse i en gældende intern EIF-politik eller -procedure og skal påvirke den/de pågældende registreredes rettigheder mindst muligt, som bekræftet af den databeskyttelsesansvarlige.

6.   I hvert enkelt tilfælde skal der gennemføres nødvendigheds- og proportionalitetstest, til den databeskyttelsesansvarliges tilfredshed, inden der anvendes begrænsninger. Begrænsningerne anvendes kun, når det er strengt nødvendigt for at nå de fastsatte mål. Begrænsningerne indføres kun, så længe en relevant grund i henhold til stk. 1, der er anført som begrundelse for begrænsningen, kræver dette, idet dette er påvist til den databeskyttelsesansvarliges tilfredshed.

7.   Såfremt IG/IN, helt eller delvis, begrænser underretningen af de registrerede, der er relevante for en undersøgelse (den berørte person, et vidne eller en kilde), skal den registrere bevæggrundene for begrænsningen, herunder en vurdering af begrænsningens nødvendighed og proportionalitet. I den forbindelse skal det fremgå, hvordan underretningen ville bringe formålet med IG/IN's undersøgelsesaktiviteter eller de anvendte begrænsninger i henhold til denne afgørelses artikel 2, stk. 1, litra f), g) og h), i fare eller ville krænke andre registreredes rettigheder og frihedsrettigheder. Disse oplysninger og, hvis det er relevant, de dokumenter, der indeholder underliggende faktiske eller retlige elementer, registreres. De skal efter anmodning stilles til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.

8.   EIF fører af ansvarlighedshensyn en fortegnelse, hvori der redegøres for de bevæggrunde, der ligger til grund for de anvendte begrænsninger, de relevante begrundelser anført i stk. 1, der finder anvendelse, og resultatet af nødvendigheds- og proportionalitetstesten. Disse fortegnelser skal indgå i et ad hoc-register, som efter anmodning stilles til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.

9.   Når EIF under udførelsen af sit hverv behandler personoplysninger, der udveksles med andre organisationer, hører EIF disse organisationer og høres selv af dem om de mulige relevante begrundelser for at indføre begrænsninger og om begrænsningernes nødvendighed og proportionalitet, medmindre dette ville bringe EIF's aktiviteter i fare.

Artikel 3

Risici i forbindelse med de registreredes rettigheder og frihedsrettigheder

Vurderingen af risiciene for de rettigheder og friheder, der tilkommer de registrerede, hvis personoplysninger kan være omfattet af begrænsninger, samt opbevaringsperioden omhandles i fortegnelsen over de relevante behandlingsaktiviteter i overensstemmelse med forordningens artikel 31 og i givet fald i relevante konsekvensanalyser vedrørende databeskyttelse på grundlag af forordningens artikel 39.

Artikel 4

Opbevaringsperioder og garantier

EIF skal gennemføre garantier for at undgå misbrug af eller ulovlig adgang til eller overførsel af personoplysninger, der kan være underlagt begrænsninger. Disse garantier skal omfatte tekniske og organisatoriske foranstaltninger og præciseres, når det er nødvendigt, i EIF's interne afgørelser, procedurer og gennemførelsesbestemmelser. Garantierne skal omfatte:

| 1. | en passende definition af roller, ansvarsområder og proceduremæssige skridt |
| --- | --- |

1.

en passende definition af roller, ansvarsområder og proceduremæssige skridt

| 2. | hvis det er relevant, et sikkert elektronisk miljø, der forhindrer ulovlig eller utilsigtet adgang til eller overførsel af elektroniske data til uautoriserede personer |
| --- | --- |

2.

hvis det er relevant, et sikkert elektronisk miljø, der forhindrer ulovlig eller utilsigtet adgang til eller overførsel af elektroniske data til uautoriserede personer

| 3. | hvis det er relevant, sikker opbevaring og behandling af papirbaserede dokumenter |
| --- | --- |

3.

hvis det er relevant, sikker opbevaring og behandling af papirbaserede dokumenter

| 4. | behørig overvågning af begrænsninger og en periodisk gennemgang mindst hver sjette måned foretaget af den databeskyttelsesansvarlige. Der skal også foretages en gennemgang, når væsentlige elementer i den foreliggende sag ændres. Begrænsningerne skal ophæves, så snart de omstændigheder, der begrunder dem, ikke længere er til stede. |
| --- | --- |

4.

behørig overvågning af begrænsninger og en periodisk gennemgang mindst hver sjette måned foretaget af den databeskyttelsesansvarlige. Der skal også foretages en gennemgang, når væsentlige elementer i den foreliggende sag ændres. Begrænsningerne skal ophæves, så snart de omstændigheder, der begrunder dem, ikke længere er til stede.

Artikel 5

Oplysninger til og revurdering foretaget af den databeskyttelsesansvarlige

1.   Den databeskyttelsesansvarlige underrettes uden unødig forsinkelse, hvis en registrerets rettigheder begrænses i overensstemmelse med denne forretningsorden, og gives fuld og ubegrænset adgang til alle registrerede oplysninger og alle dokumenter, der indeholder underliggende faktiske eller retlige elementer, som er relevante for afgørelsen om begrænsningen og overvågningen af begrænsningen.

2.   Den databeskyttelsesansvarlige kan anmode om, at anvendelsen af begrænsningen revurderes.

3.   Såfremt den databeskyttelsesansvarlige anvender begrænsninger i forbindelse med sine egne undersøgelser, vil vedkommende underrette den registeransvarlige uden unødig forsinkelse.

4.   Inddragelsen af den databeskyttelsesansvarlige i begrænsningsprocessen, herunder udveksling af oplysninger, skal dokumenteres på en hensigtsmæssig måde og indgå i de relevante fortegnelser og registre.

5.   I forbindelse med undersøgelser vedrørende forbudt adfærd vil EIB's afdeling for undersøgelser vedrørende svig høre den databeskyttelsesansvarlige forud for anvendelsen af visse begrundelser for begrænsninger, jf. forordningens artikel 25, i forbindelse med databehandlingsaktiviteter, der udføres inden for rammerne af dens opgaver som fastlagt i EIF's politik for bekæmpelse af svig, chartret for afdelingen for undersøgelser vedrørende svig og denne afdelings undersøgelsesprocedurer.

Artikel 6

Oplysninger til registrerede om begrænsninger i deres rettigheder

1.   De databeskyttelsesmeddelelser, som EIF offentliggør på sit websted, skal omfatte generelle informationer til de registrerede om de potentielle begrænsninger af alle registreredes rettigheder, som er beskrevet i artikel 2, stk. 1. Det skal fremgå af oplysningerne, hvilke rettigheder der kan begrænses.

2.   EIF underretter desuden de registrerede individuelt om nuværende eller fremtidige begrænsninger af deres rettigheder uden unødig forsinkelse og i skriftlig form, som yderligere præciseret i artikel 7, 8 og 9.

Artikel 7

Ret til oplysninger, der skal gives til registrerede, og meddelelser om brud på datasikkerheden

1.   Hvis EIF i forbindelse med de aktiviteter, der er nævnt i denne afgørelse, helt eller delvis begrænser de registreredes rettigheder som omhandlet i forordningens artikel 14-16 og 35, skal de registrerede underrettes om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om deres ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse og til at indbringe sagen for Den Europæiske Unions Domstol. Begrænsningen skal følge de regler, der er opstillet, og den proces, der er beskrevet i denne afgørelse.

2.   EIF kan udsætte, udelade eller afvise at underrette den registrerede om de bevæggrunde, der ligger til grund for anvendelsen af den begrænsning, der er nævnt i stk. 1, for så vidt som og så længe underretningen ville bringe formålet med begrænsningen i fare. Dette vurderes i hvert enkelt tilfælde. En sådan udsættelse eller afvisning skal være tilstrækkeligt begrundet til den databeskyttelsesansvarliges tilfredshed og vil indgå i de relevante fortegnelser og registre. For at undgå tvivl skal de registrerede underrettes om deres ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse og til at indbringe en sag for Den Europæiske Unions Domstol til prøvelse af afgørelsen om at udsætte eller afvise at give dem den underretning, der er nævnt i stk. 1 ovenfor.

Artikel 8

Registreredes ret til aktindsigt, berigtigelse, sletning og begrænsning af behandling

1.   Hvis EIF i forbindelse med de aktiviteter, der er nævnt i denne afgørelse, helt eller delvis begrænser retten til indsigt i personoplysninger, retten til berigtigelse, sletning og begrænsning af behandling, jf. forordningens artikel 17-20, underretter EIF de registrerede i sit svar på deres anmodning om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller indbringe sagen for Den Europæiske Unions Domstol.

2.   Når retten til aktindsigt er helt eller delvis begrænset, underretter EIF i forbindelse med behandlingen af anmodningen kun den registrerede om, hvorvidt oplysningerne er blevet behandlet korrekt, og hvis det ikke er tilfældet, om der er foretaget de nødvendige rettelser i overensstemmelse med forordningens artikel 25, stk. 7.

3.   EIF kan udsætte, udelade eller afvise at underrette den registrerede om de bevæggrunde, der ligger til grund for anvendelsen af den begrænsning, der er nævnt i stk. 1 og 2, for så vidt som og så længe underretningen ville bringe formålet med begrænsningen i fare. Dette vurderes i hvert enkelt tilfælde, idet vurderingen følger de regler, der er opstillet, og den proces, der er beskrevet i denne afgørelse.

Artikel 9

Fortrolighed i forbindelse med elektronisk kommunikation

1.   EIF kan under særlige omstændigheder og i overensstemmelse med bestemmelserne og formålet med Europa-Parlamentets og Rådets direktiv 2002/58/EF (3) begrænse retten til fortrolighed i forbindelse med elektronisk kommunikation, jf. forordningens artikel 36. EIF skal i så fald redegøre for de pågældende omstændigheder, begrundelser, relevante risici og tilknyttede garantier i specifikke interne regler.

2.   Hvis EIF begrænser retten til fortrolighed i forbindelse med elektronisk kommunikation, skal EIF i sit svar på anmodningen underrette den pågældende registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller indbringe sagen for Den Europæiske Unions Domstol.

3.   EIF kan udsætte, udelade eller afvise at underrette den registrerede om de bevæggrunde, der ligger til grund for anvendelsen af den begrænsning, der er nævnt i stk. 1 og 2, så længe underretningen ville ophæve virkningen af begrænsningen. Dette vurderes i hvert enkelt tilfælde.

Artikel 10

Ikrafttrædelse

Denne afgørelse og eventuelle ændringer heraf godkendes af EIF's bestyrelse og træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Den Europæiske Unions Tidende

Udfærdiget i Luxembourg, 4. juni 2020.

---

(1)  
  EUT L 295 af 21.11.2018, s. 39.

1

(2)  EDPS' bemærkninger og henstillinger af 20. februar 2020 (DH/CCP/ALS/D(2020) 0372 C2019-1114).

2

(3)  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201 af 31.7.2002, s. 37).

3

---

| 22.7.2020 | DA | Den Europæiske Unions Tidende | L 236/7 |
| --- | --- | --- | --- |

22.7.2020

DA

Den Europæiske Unions Tidende

L 236/7

---

AFGØRELSE nr. 1/2020 FRA BESTYRELSEN FOR FÆLLESFORETAGENDET SHIFT2RAIL

af 26. marts 2020

om interne regler for anvendelse af begrænsninger på visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i fællesforetagendet S2R's virke

BESTYRELSEN FOR FÆLLESFORETAGENDET SHIFT2RAIL (i det følgende benævnt »fællesforetagendet S2R«) HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde (1),

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (2), særlig artikel 25,

under henvisning til Rådets forordning (EU) nr. 642/2014 af 16. juni 2014 om oprettelse af fællesforetagendet Shift2Rail (3), særligt artikel 8 i vedtægterne, der er fastlagt i bilag til nævnte forordning,

under henvisning til Den Europæiske Tilsynsførende for Databeskyttelses vejledning om artikel 25 i den nye forordning og interne regler,

efter høring af EDPS den 12. november 2019 i overensstemmelse med artikel 41, stk. 2, i forordning (EU) 2018/1725,

under henvisning til udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse (»EDPS«) af 18. december 2019,

efter høring af fællesforetagendet S2R's personaleudvalg

og ud fra følgende betragtninger:

| (1) | Kun retsakter, der er vedtaget i medfør af traktaterne, giver hjemmel til en begrænsning af registreredes rettigheder. I fald disse begrænsninger ikke kan baseres på retsakter, der er vedtaget i medfør af traktaterne, fastslår forordning (EU) 2018/1725, at begrænsninger i forbindelse med forhold vedrørende fællesforetagendet S2R's operationer kan baseres på interne regler, herunder bestemmelserne om vurderingen af behovet for og proportionaliteten af en begrænsning. |
| --- | --- |

(1)

Kun retsakter, der er vedtaget i medfør af traktaterne, giver hjemmel til en begrænsning af registreredes rettigheder. I fald disse begrænsninger ikke kan baseres på retsakter, der er vedtaget i medfør af traktaterne, fastslår forordning (EU) 2018/1725, at begrænsninger i forbindelse med forhold vedrørende fællesforetagendet S2R's operationer kan baseres på interne regler, herunder bestemmelserne om vurderingen af behovet for og proportionaliteten af en begrænsning.

| (2) | I overensstemmelse med artikel 25, stk. 1, i forordning (EU) 2018/1725 bør begrænsninger for at anvende artikel 14-22, 35 og 36 samt artikel 4 i nævnte forordning, for så vidt bestemmelserne heri svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-22, baseres på interne regler, der vedtages af fællesforetagendet S2R. |
| --- | --- |

(2)

I overensstemmelse med artikel 25, stk. 1, i forordning (EU) 2018/1725 bør begrænsninger for at anvende artikel 14-22, 35 og 36 samt artikel 4 i nævnte forordning, for så vidt bestemmelserne heri svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-22, baseres på interne regler, der vedtages af fællesforetagendet S2R.

| (3) | Inden for rammerne af sin administrative drift kan fællesforetagendet S2R foretage administrative undersøgelser, gennemføre disciplinærsager, udføre indledende aktiviteter vedrørende tilfælde af potentielle uregelmæssigheder indberettet til OLAF, behandle whistleblowingsager, iværksætte (formelle og uformelle) procedurer til at forebygge chikane, behandle interne og eksterne klager, gennemføre interne revisioner, udføre undersøgelser på foranledning af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, og interne (IT-relaterede) sikkerhedsefterforskninger. |
| --- | --- |

(3)

Inden for rammerne af sin administrative drift kan fællesforetagendet S2R foretage administrative undersøgelser, gennemføre disciplinærsager, udføre indledende aktiviteter vedrørende tilfælde af potentielle uregelmæssigheder indberettet til OLAF, behandle whistleblowingsager, iværksætte (formelle og uformelle) procedurer til at forebygge chikane, behandle interne og eksterne klager, gennemføre interne revisioner, udføre undersøgelser på foranledning af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, og interne (IT-relaterede) sikkerhedsefterforskninger.

| (4) | Fællesforetagendet S2R behandler flere kategorier af personoplysninger, såsom identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, oplysninger modtaget fra specifikke kilder, elektronisk kommunikation og trafikoplysninger og oplysninger i forbindelse med sagen (f.eks. ræsonnementer, adfærdsmæssige oplysninger, vurderinger, ydeevne og adfærdsoplysninger samt oplysninger relateret til eller fremkommet i forbindelse med genstanden for den pågældende procedure eller aktivitet) (4). |
| --- | --- |

(4)

Fællesforetagendet S2R behandler flere kategorier af personoplysninger, såsom identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, oplysninger modtaget fra specifikke kilder, elektronisk kommunikation og trafikoplysninger og oplysninger i forbindelse med sagen (f.eks. ræsonnementer, adfærdsmæssige oplysninger, vurderinger, ydeevne og adfærdsoplysninger samt oplysninger relateret til eller fremkommet i forbindelse med genstanden for den pågældende procedure eller aktivitet) (4).

| (5) | Fællesforetagendet S2R, der er repræsenteret ved sin administrerende direktør, fungerer som dataansvarlig. |
| --- | --- |

(5)

Fællesforetagendet S2R, der er repræsenteret ved sin administrerende direktør, fungerer som dataansvarlig.

| (6) | Personoplysningerne opbevares sikkert i et elektronisk miljø eller på papir, hvilket forhindrer ulovlig adgang eller overførsel af data til personer, der ikke har behov for denne viden. De behandlede personoplysninger opbevares ikke længere, end det er nødvendigt og passende for de formål, hvortil oplysningerne behandles, i den periode, der er angivet i fællesforetagendet S2R's databeskyttelsesmeddelelser, privatlivserklæringer eller fortegnelser. |
| --- | --- |

(6)

Personoplysningerne opbevares sikkert i et elektronisk miljø eller på papir, hvilket forhindrer ulovlig adgang eller overførsel af data til personer, der ikke har behov for denne viden. De behandlede personoplysninger opbevares ikke længere, end det er nødvendigt og passende for de formål, hvortil oplysningerne behandles, i den periode, der er angivet i fællesforetagendet S2R's databeskyttelsesmeddelelser, privatlivserklæringer eller fortegnelser.

| (7) | De interne regler bør finde anvendelse på alle de behandlingsaktiviteter, som fællesforetagendet S2R udfører i forbindelse med administrative undersøgelser, disciplinærsager, indledende aktiviteter vedrørende tilfælde af potentielle uregelmæssigheder indberettet til OLAF, whistleblowingprocedurer, (formelle og uformelle) procedurer i sager om chikane, behandling af interne og eksterne klager, interne revisioner, undersøgelser udført af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, (IT-relaterede) sikkerhedsefterforskninger, der gennemføres internt eller med ekstern deltagelse (f.eks. af CERT-EU). |
| --- | --- |

(7)

De interne regler bør finde anvendelse på alle de behandlingsaktiviteter, som fællesforetagendet S2R udfører i forbindelse med administrative undersøgelser, disciplinærsager, indledende aktiviteter vedrørende tilfælde af potentielle uregelmæssigheder indberettet til OLAF, whistleblowingprocedurer, (formelle og uformelle) procedurer i sager om chikane, behandling af interne og eksterne klager, interne revisioner, undersøgelser udført af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, (IT-relaterede) sikkerhedsefterforskninger, der gennemføres internt eller med ekstern deltagelse (f.eks. af CERT-EU).

| (8) | De bør gælde for behandlingsaktiviteter, der udføres, før ovennævnte procedurer indledes, under disse procedurer og i forbindelse med, at opfølgningen på udfaldet af disse procedurer overvåges. Herunder bør også omfattes fællesforetagendet S2R's bistand til og samarbejde med nationale myndigheder og internationale organisationer ud over fællesforetagendet S2R's administrative undersøgelser. |
| --- | --- |

(8)

De bør gælde for behandlingsaktiviteter, der udføres, før ovennævnte procedurer indledes, under disse procedurer og i forbindelse med, at opfølgningen på udfaldet af disse procedurer overvåges. Herunder bør også omfattes fællesforetagendet S2R's bistand til og samarbejde med nationale myndigheder og internationale organisationer ud over fællesforetagendet S2R's administrative undersøgelser.

| (9) | I de tilfælde, hvor disse interne regler gælder, skal fællesforetagendet S2R give begrundelser, der forklarer, hvorfor begrænsningerne er strengt nødvendige og forholdsmæssige i et demokratisk samfund og respekterer det væsentlige indhold af de grundlæggende rettigheder og friheder. |
| --- | --- |

(9)

I de tilfælde, hvor disse interne regler gælder, skal fællesforetagendet S2R give begrundelser, der forklarer, hvorfor begrænsningerne er strengt nødvendige og forholdsmæssige i et demokratisk samfund og respekterer det væsentlige indhold af de grundlæggende rettigheder og friheder.

| (10) | Inden for disse rammer er fællesforetagendet S2R forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder under ovennævnte procedurer, navnlig de, der vedrører retten til formidling af oplysninger, indsigt og berigtigelse, retten til sletning, begrænsning af behandling, retten til underretning om et brud på persondatasikkerheden til den registrerede eller kommunikationsfortrolighed som fastsat i forordning (EU) 2018/1725. |
| --- | --- |

(10)

Inden for disse rammer er fællesforetagendet S2R forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder under ovennævnte procedurer, navnlig de, der vedrører retten til formidling af oplysninger, indsigt og berigtigelse, retten til sletning, begrænsning af behandling, retten til underretning om et brud på persondatasikkerheden til den registrerede eller kommunikationsfortrolighed som fastsat i forordning (EU) 2018/1725.

| (11) | Fællesforetagendet S2R kan dog være forpligtet til at begrænse oplysningerne til den registreredes og andre registreredes rettigheder for at beskytte især sine egne undersøgelser, andre offentlige myndigheders undersøgelser og sager samt andre personers rettigheder vedrørende agenturets undersøgelser eller andre procedurer. |
| --- | --- |

(11)

Fællesforetagendet S2R kan dog være forpligtet til at begrænse oplysningerne til den registreredes og andre registreredes rettigheder for at beskytte især sine egne undersøgelser, andre offentlige myndigheders undersøgelser og sager samt andre personers rettigheder vedrørende agenturets undersøgelser eller andre procedurer.

| (12) | Hvor fællesforetagendet S2R påtænker at gøre en begrænsning gældende, vægtes risikoen for den registreredes grundlæggende rettigheder og frihedsrettigheder, især i forhold til risikoen for andre registreredes grundlæggende rettigheder og frihedsrettigheder og risikoen for at undergrave fællesforetagendet S2R's undersøgelser eller procedurer, f.eks. ved at ødelægge beviser. Risiciene for den registreredes grundlæggende rettigheder og frihedsrettigheder vedrører primært, men er ikke begrænset til, omdømmemæssige risici og risici for retten til forsvar og retten til at blive hørt. |
| --- | --- |

(12)

Hvor fællesforetagendet S2R påtænker at gøre en begrænsning gældende, vægtes risikoen for den registreredes grundlæggende rettigheder og frihedsrettigheder, især i forhold til risikoen for andre registreredes grundlæggende rettigheder og frihedsrettigheder og risikoen for at undergrave fællesforetagendet S2R's undersøgelser eller procedurer, f.eks. ved at ødelægge beviser. Risiciene for den registreredes grundlæggende rettigheder og frihedsrettigheder vedrører primært, men er ikke begrænset til, omdømmemæssige risici og risici for retten til forsvar og retten til at blive hørt.

| (13) | Fællesforetagendet S2R kan således begrænse informationen med det formål at beskytte undersøgelsen og andre registreredes grundlæggende rettigheder og frihedsrettigheder. |
| --- | --- |

(13)

Fællesforetagendet S2R kan således begrænse informationen med det formål at beskytte undersøgelsen og andre registreredes grundlæggende rettigheder og frihedsrettigheder.

| (14) | Fællesforetagendet S2R bør lejlighedsvis overvåge, at de betingelser, der ligger til grund for begrænsningen, gælder, og ophæve begrænsningen, hvis de ikke længere gælder. |
| --- | --- |

(14)

Fællesforetagendet S2R bør lejlighedsvis overvåge, at de betingelser, der ligger til grund for begrænsningen, gælder, og ophæve begrænsningen, hvis de ikke længere gælder.

| 15) | Den dataansvarlige bør informere den databeskyttelsesansvarlige på tidspunktet for udsættelse og under revisionerne — |
| --- | --- |

15)

Den dataansvarlige bør informere den databeskyttelsesansvarlige på tidspunktet for udsættelse og under revisionerne —

VEDTAGET DENNE AFGØRELSE:

Artikel 1

Genstand og anvendelsesområde

1.   Med denne afgørelse fastlægges regler vedrørende betingelserne for, hvornår fællesforetagendet S2R inden for rammerne af de procedurer, der er fastsat i stk. 2, må begrænse anvendelsen af de rettigheder, der er fastsat i artikel 14-21, 35 og 36 samt artikel 4, efter artikel 25 i forordning (EU) 2018/1725.

2.   Inden for rammerne af fællesforetagendet S2R's administrative funktionsmåde finder denne afgørelse anvendelse på programkontorets behandlingsaktiviteter vedrørende personoplysninger i forbindelse med administrative undersøgelser, disciplinærsager, indledende aktiviteter vedrørende tilfælde af potentielle uregelmæssigheder indberettet til OLAF, behandling af whistleblowingsager, (formelle og uformelle) procedurer for forebyggelse af chikane, behandling af interne og eksterne klager, udførelse af interne revisioner, de undersøgelser, der udføres af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, og (IT-relaterede) sikkerhedsundersøgelser, der gennemføres internt eller med ekstern deltagelse (f.eks. af CERT-EU).

3.   De berørte kategorier af personoplysninger omfatter identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, oplysninger modtaget fra specifikke kilder, elektronisk kommunikation og trafikoplysninger og oplysninger i forbindelse med sagen, f.eks. ræsonnementer, adfærdsmæssige oplysninger, vurderinger, ydeevne og adfærdsoplysninger samt oplysninger relateret til eller fremkommet i forbindelse med genstanden for den pågældende procedure eller aktivitet.

4.   Når fællesforetagendet S2R udfører sit hverv med hensyn til registreredes rettigheder i henhold til forordning (EU) 2018/1725, overvejer det, om nogen af de undtagelser, der er fastsat i denne forordning, finder anvendelse.

Artikel 2

Den dataansvarliges ansvar

Den dataansvarlige for behandlingsaktiviteter er fællesforetagendet S2R, der er repræsenteret ved den administrerende direktør.

Artikel 3

Specifikation af sikkerhedsforanstaltninger

1.   Fællesforetagendet S2R indfører følgende sikkerhedsforanstaltninger, der har til formål at forhindre misbrug, ulovlig adgang eller overførsel af personoplysninger:

| a) | Papirdokumenter opbevares i sikrede skabe, som kun er tilgængelige for autoriseret personale. |
| --- | --- |

a)

Papirdokumenter opbevares i sikrede skabe, som kun er tilgængelige for autoriseret personale.

| b) | Alle elektroniske oplysninger opbevares i en sikker IT-anordning i henhold til fællesforetagendet S2R's sikkerhedsstandarder såvel som i specifikke elektroniske mapper, som kun er tilgængelige for autoriseret personale. Passende adgangsniveauer tildeles enkeltvis. |
| --- | --- |

b)

Alle elektroniske oplysninger opbevares i en sikker IT-anordning i henhold til fællesforetagendet S2R's sikkerhedsstandarder såvel som i specifikke elektroniske mapper, som kun er tilgængelige for autoriseret personale. Passende adgangsniveauer tildeles enkeltvis.

| c) | Databasen er beskyttet af en adgangskode med et fælles indlogningssystem og tilsluttes automatisk brugerens id og adgangskode, der, når det er relevant, omfatter »pseudonymisering« og/eller »kryptering«. Det er strengt forbudt at udskifte brugere. E-registre føres forsvarligt for at sikre fortroligheden og privatlivsbeskyttelsen af de indsamlede oplysninger. |
| --- | --- |

c)

Databasen er beskyttet af en adgangskode med et fælles indlogningssystem og tilsluttes automatisk brugerens id og adgangskode, der, når det er relevant, omfatter »pseudonymisering« og/eller »kryptering«. Det er strengt forbudt at udskifte brugere. E-registre føres forsvarligt for at sikre fortroligheden og privatlivsbeskyttelsen af de indsamlede oplysninger.

| d) | Alle personer, der har adgang til oplysningerne, er bundet af tavshedspligt. |
| --- | --- |

d)

Alle personer, der har adgang til oplysningerne, er bundet af tavshedspligt.

2.   I overensstemmelse med artikel 6, stk. 3, bør de i stk. 1 omtalte sikkerhedsforanstaltninger underlægges periodisk revision.

3.   Opbevaringsperioden for personoplysninger, som omtalt i artikel 1, stk. 3, er anført i de respektive databeskyttelsesmeddelelser, privatlivserklæringer eller fortegnelser, der er omtalt i artikel 7, stk. 1. Opbevaringsperioden er under alle omstændigheder ikke længere end det, der er nødvendigt og passende for de formål, hvortil oplysningerne behandles (5).

Artikel 4

Grunde til begrænsning

1.   Begrænsninger anvendes kun af fællesforetagendet S2R for at sikre:

| a) | medlemsstaternes nationale sikkerhed, offentlige sikkerhed og forsvar |
| --- | --- |

a)

medlemsstaternes nationale sikkerhed, offentlige sikkerhed og forsvar

| b) | forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed |
| --- | --- |

b)

forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed

| c) | andre vigtige målsætninger i forbindelse med beskyttelse af Unionens eller en medlemsstats generelle samfundsinteresser, navnlig målene med Unionens fælles udenrigs- og sikkerhedspolitik eller Unionens eller en medlemsstats væsentlige økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed |
| --- | --- |

c)

andre vigtige målsætninger i forbindelse med beskyttelse af Unionens eller en medlemsstats generelle samfundsinteresser, navnlig målene med Unionens fælles udenrigs- og sikkerhedspolitik eller Unionens eller en medlemsstats væsentlige økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed

| d) | EU-institutioners og -organers interne sikkerhed, herunder deres elektroniske kommunikationsnetværk |
| --- | --- |

d)

EU-institutioners og -organers interne sikkerhed, herunder deres elektroniske kommunikationsnetværk

| e) | forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv |
| --- | --- |

e)

forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv

| f) | kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a)-c) |
| --- | --- |

f)

kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a)-c)

| g) | beskyttelse af den registreredes eller andres rettigheder og frihedsrettigheder |
| --- | --- |

g)

beskyttelse af den registreredes eller andres rettigheder og frihedsrettigheder

| h) | håndhævelse af civilretlige krav. |
| --- | --- |

h)

håndhævelse af civilretlige krav.

2.   Som en særlig anvendelse af de formål, der er beskrevet i stk. 1 ovenfor, kan fællesforetagendet S2R anvende begrænsninger under følgende omstændigheder:

| a) | i forbindelse med personoplysninger, der udveksles med Kommissionens tjenestegrene eller andre af EU's institutioner, organer, kontorer eller agenturer






  — | når en sådan af Kommissionens tjenestegrene, EU's institutioner, organer, agenturer eller kontorer er berettiget til at begrænse udøvelsen af de anførte rettigheder på grundlag af andre retsakter, der er omhandlet i artikel 25 i forordning (EU) 2018/1725, eller i overensstemmelse med forordningens kapitel IX eller med de grundlæggende retsakter for andre EU-institutioner, -organer, -agenturer og -kontorer |
| --- | --- | --- |

a)

i forbindelse med personoplysninger, der udveksles med Kommissionens tjenestegrene eller andre af EU's institutioner, organer, kontorer eller agenturer

—

når en sådan af Kommissionens tjenestegrene, EU's institutioner, organer, agenturer eller kontorer er berettiget til at begrænse udøvelsen af de anførte rettigheder på grundlag af andre retsakter, der er omhandlet i artikel 25 i forordning (EU) 2018/1725, eller i overensstemmelse med forordningens kapitel IX eller med de grundlæggende retsakter for andre EU-institutioner, -organer, -agenturer og -kontorer

| — | når formålet med en sådan begrænsning fra Kommissionens tjenestegren, EU-institutionen, -organet eller -kontoret ville blive bragt i fare, hvis fællesforetagendet S2R ikke anvender en tilsvarende begrænsning for så vidt angår de samme personoplysninger |
| --- | --- |

—

når formålet med en sådan begrænsning fra Kommissionens tjenestegren, EU-institutionen, -organet eller -kontoret ville blive bragt i fare, hvis fællesforetagendet S2R ikke anvender en tilsvarende begrænsning for så vidt angår de samme personoplysninger

| b) | i forbindelse med personoplysninger, der udveksles med kompetente myndigheder i medlemsstaterne






  — | når sådanne kompetente myndigheder i medlemsstaterne er berettiget til at begrænse udøvelsen af de anførte rettigheder på grundlag af de retsakter, der er omhandlet i artikel 23 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (6), eller i henhold til nationale foranstaltninger til gennemførelse af artikel 13, stk. 3, artikel 15, stk. 3, eller artikel 16, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (7) |
| --- | --- | --- |

b)

i forbindelse med personoplysninger, der udveksles med kompetente myndigheder i medlemsstaterne

—

når sådanne kompetente myndigheder i medlemsstaterne er berettiget til at begrænse udøvelsen af de anførte rettigheder på grundlag af de retsakter, der er omhandlet i artikel 23 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (6), eller i henhold til nationale foranstaltninger til gennemførelse af artikel 13, stk. 3, artikel 15, stk. 3, eller artikel 16, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (7)

| — | når formålet med en sådan begrænsning af den kompetente myndighed ville blive bragt i fare, hvis fællesforetagendet S2R ikke anvender en tilsvarende begrænsning for så vidt angår de samme personoplysninger |
| --- | --- |

—

når formålet med en sådan begrænsning af den kompetente myndighed ville blive bragt i fare, hvis fællesforetagendet S2R ikke anvender en tilsvarende begrænsning for så vidt angår de samme personoplysninger

| c) | organisationer, når der er tydelig dokumentation for, at udøvelsen af disse rettigheder og pligter sandsynligvis vil bringe fællesforetagendet S2R's samarbejde med tredjelande eller internationale organisationer i fare under udøvelsen af dets opgaver. |
| --- | --- |

c)

organisationer, når der er tydelig dokumentation for, at udøvelsen af disse rettigheder og pligter sandsynligvis vil bringe fællesforetagendet S2R's samarbejde med tredjelande eller internationale organisationer i fare under udøvelsen af dets opgaver.

Inden der anvendes begrænsninger i de tilfælde, som er nævnt i første afsnit, litra a) og b), hører fællesforetagendet S2R de relevante tjenestegrene i Kommissionen, EU’s institutioner, organer, agenturer, kontorer eller de kompetente myndigheder i medlemsstaterne, medmindre det står klart for fællesforetagendet S2R, at anvendelsen af en begrænsning er fastsat i en af de retsakter, der er nævnt i disse litraer.

Artikel 5

Begrænsninger og registreredes rettigheder

1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan følgende rettigheder begrænses af den dataansvarlige i forbindelse med de behandlingsaktiviteter, der er anført i artikel 1, stk. 2, samt stk. 2 herunder, når det er nødvendigt og forholdsmæssigt:

| a) | retten til information |
| --- | --- |

a)

retten til information

| b) | retten til indsigt |
| --- | --- |

b)

retten til indsigt

| c) | retten til berigtigelse, sletning og begrænsning af behandlingen |
| --- | --- |

c)

retten til berigtigelse, sletning og begrænsning af behandlingen

| d) | retten til underretning om brud på persondatasikkerheden til den registrerede |
| --- | --- |

d)

retten til underretning om brud på persondatasikkerheden til den registrerede

| e) | retten til fortrolighed i elektronisk kommunikation. |
| --- | --- |

e)

retten til fortrolighed i elektronisk kommunikation.

2.   I behørigt begrundede tilfælde og for at beskytte de i artikel 4, stk. 1, nævnte formål kan den dataansvarlige indføre begrænsninger i forbindelse med følgende behandlingsaktiviteter, der er omtalt i artikel 1, stk. 2:

| a) | udførelse af administrative undersøgelser og disciplinærsager |
| --- | --- |

a)

udførelse af administrative undersøgelser og disciplinærsager

| b) | indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF |
| --- | --- |

b)

indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF

| c) | whistleblowingprocedurer |
| --- | --- |

c)

whistleblowingprocedurer

| d) | (formelle og uformelle) procedurer i sager om chikane |
| --- | --- |

d)

(formelle og uformelle) procedurer i sager om chikane

| e) | behandling af interne og eksterne klager |
| --- | --- |

e)

behandling af interne og eksterne klager

| f) | interne revisioner |
| --- | --- |

f)

interne revisioner

| g) | de undersøgelser, der udføres af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 |
| --- | --- |

g)

de undersøgelser, der udføres af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725

| h) | (IT-relaterede) sikkerhedsefterforskninger gennemført internt eller med ekstern deltagelse (f.eks. af CERT-EU) |
| --- | --- |

h)

(IT-relaterede) sikkerhedsefterforskninger gennemført internt eller med ekstern deltagelse (f.eks. af CERT-EU)

| i) | i forbindelse med forvaltning af tilskud eller offentlige indkøb efter fristen for indsendelse af indkaldelser af forslag eller tilbud. |
| --- | --- |

i)

i forbindelse med forvaltning af tilskud eller offentlige indkøb efter fristen for indsendelse af indkaldelser af forslag eller tilbud.

3.   I forbindelse med sager om chikane kan de i stk. 1 omtalte rettigheder begrænses under samme betingelser, med undtagelse af retten til underretning om brud på persondatasikkerheden til den registrerede, der er omtalt i stk. 1, litra d).

4.   I forbindelse med forvaltning af tilskud eller offentlige indkøb kan de i stk. 1 omtalte rettigheder begrænses under samme betingelser, med undtagelse af retten til berigtigelse, sletning og begrænsning af behandlingen, der er omtalt i stk. 1, litra c).

5.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til berigtigelse, sletning og begrænsning af behandlingen begrænses af den dataansvarlige, med de i stk. 3 og 4 omtalte undtagelser.

6.   Når fællesforetagendet S2R helt eller delvist begrænser de i stk. 1, 3, 4 og 5, omtalte rettigheder, træffer det de foranstaltninger, der er fastsat i artikel 6 og 7 i denne afgørelse.

7.   Hvis de registrerede anmoder om indsigt i deres personoplysninger i forbindelse med en eller flere specifikke sager eller en bestemt behandling i overensstemmelse med artikel 17 i forordning (EU) 2018/1725, begrænser fællesforetagendet S2R sin vurdering af anmodningen til kun at omfatte sådanne personoplysninger.

Artikel 6

Nødvendighed og forholdsmæssighed af begrænsninger

1.   Enhver begrænsning, der er baseret på artikel 4, er nødvendig og forholdsmæssig under hensyntagen til de risici, den medfører for de registreredes rettigheder og frihedsrettigheder, og respekterer det væsentlige indhold af de grundlæggende rettigheder og frihedsrettigheder i et demokratisk samfund.

2.   Hvis det overvejes at pålægge begrænsninger, foretages der en vurdering af nødvendigheden og forholdsmæssigheden på baggrund af de gældende regler. Vurderingen foretages desuden inden for rammerne af den periodiske revision i henhold til en vurdering af, om de faktiske og juridiske begrundelser for en begrænsning fortsat finder anvendelse. Af hensyn til ansvarlighed dokumenteres vurderingen gennem et internt notat i hvert enkelt tilfælde.

3.   Begrænsninger er midlertidige. De finder anvendelse, så længe begrundelserne derfor gælder. Især når det vurderes, at udøvelsen af den begrænsede ret ikke længere vil ophæve virkningen af den pålagte begrænsning eller forringe andre registreredes rettigheder eller frihedsrettigheder.

Fællesforetagendet S2R foretager en fornyet gennemgang af anvendelsen af begrænsningen hvert halve år fra dens vedtagelse og ved afslutningen af den relevante bevisoptagelse, procedure eller efterforskning. Derefter overvåger den dataansvarlige hvert halve år behovet for at opretholde begrænsningerne.

4.   Hvis fællesforetagendet S2R helt eller delvist anvender begrænsningerne baseret på artikel 4 i denne afgørelse, registrerer det årsagerne til begrænsningen, retsgrundlaget i overensstemmelse med artikel 1 herover, herunder en vurdering af, om begrænsningen er nødvendig og forholdsmæssig.

Fortegnelsen og i givet fald de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres. De stilles efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.

Artikel 7

Pligt til underretning

1.   De i artikel 31 i forordning (EU) 2018/1725 omhandlede databeskyttelsesmeddelelser, privatlivserklæringer eller fortegnelser, som fællesforetagendet S2R offentliggør på sit websted og/eller intranet for at informere de registrerede om deres rettigheder inden for rammerne af en given procedure, indeholder information om den potentielle begrænsning af disse rettigheder. Informationen redegør for, hvilke rettigheder der kan begrænses, årsagerne hertil og den potentielle varighed.

Med forbehold af bestemmelserne i artikel 6, stk. 4, underretter fællesforetagendet S2R, hvor det er forholdsmæssigt, også enkeltvis alle registrerede, der anses for at være berørt af den konkrete behandlingsaktivitet, uden unødigt ophold og skriftligt om deres rettigheder vedrørende nuværende eller fremtidige begrænsninger.

2.   Hvis fællesforetagendet S2R helt eller delvist begrænser retten til indsigt, der er fastsat i artikel 5, underretter det i sit svar på anmodningen den pågældende registrerede om den pålagte begrænsning og om de vigtigste bevæggrunde dertil og om muligheden for at klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe sagen for Den Europæiske Unions Domstol.

Den bestemmelse om underretning, der er omhandlet i stk. 2 herover, kan udsættes, udelades eller afvises, hvis den ville ophæve virkningen af begrænsningen, jf. artikel 25, stk. 8, i forordning (EU) 2018/1725.

Artikel 8

Den databeskyttelsesansvarliges evaluering

1.   Fællesforetagendet S2R underretter uden unødig forsinkelse fællesforetagendet S2R's databeskyttelsesansvarlige (»den databeskyttelsesansvarlige«), når den dataansvarlige begrænser anvendelsen af de registreredes rettigheder eller forlænger begrænsningen i overensstemmelse med denne afgørelse. Den dataansvarlige giver den databeskyttelsesansvarlige adgang til den fortegnelse, som indeholder en vurdering af nødvendigheden og forholdsmæssigheden af begrænsningen og dokumenterer datoen for underretningen af den databeskyttelsesansvarlige i fortegnelsen.

2.   Databeskyttelsesrådgiveren kan skriftligt anmode den dataansvarlige om at vurdere anvendelsen af begrænsningerne. Den dataansvarlige underretter databeskyttelsesrådgiveren skriftligt om resultatet af den ønskede gennemgang.

3.   Databeskyttelsesrådgiveren inddrages i hele proceduren. Den dataansvarlige underretter den databeskyttelsesansvarlige, når begrænsningen er blevet ophævet.

Artikel 9

Ikrafttræden

Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Den Europæiske Unions Tidende.

Udfærdiget i Bruxelles, den 26. marts 2020.

På vegne af bestyrelsen for fællesforetagendet S2R

Henrik HOLOLEI

Formand

---

(1)  
  EUT C 202 af 7.6.2016, s. 47.

1

(2)  
  EUT L 295 af 21.11.2018, s. 39.

2

(3)  
  EUT L 177 af 17.6.2014, s. 9.

3

(4)  I tilfælde af fælles kontrol behandles data i overensstemmelse med de metoder og formål, der er fastlagt i den pågældende aftale mellem de fælles dataansvarlige som defineret i artikel 28 i forordning (EU) 2018/1725.

4

(5)  Fællesforetagendet S2R's opbevaringspolitik er baseret på Kommissionens opbevaring af sagsakter ved hjælp af den fælles opbevaringsliste, som er et retligt dokument (den seneste version er SEC(2019) 900) i form af en opbevaringsplan, hvori der fastsættes opbevaringsperioder for Kommissionens forskellige typer sagsakter.

5

(6)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).

6

(7)  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89).

7

---