# Europeiska unionens L 236/2020

| | ISSN 1977-0820 |
| --- | --- |
| Europeiska unionens
  officiella tidning | L 236 |
| | |
| Svensk utgåva | Lagstiftning | 63 årgången22 juli 2020 |

ISSN 1977-0820

Europeiska unionens

officiella tidning

L 236

Svensk utgåva

Lagstiftning

63 årgången22 juli 2020

---

| Innehållsförteckning | | II   Icke-lagstiftningsakter | Sida |
| --- | --- | --- | --- |
| | | ARBETSORDNINGAR OCH RÄTTEGÅNGSREGLER |
| | * | Europeiska investeringsfondens beslut av den 4 juni 2020 om interna bestämmelser avseende begränsningar av vissa av de rättigheter som registrerade har i samband med behandling av personuppgifter inom ramen för åtgärder som vidtas av Europeiska investeringsfonden | 1 |
| | * | Beslut nr 1/2020 av styrelsen för det gemensamma företaget Shift2Rail av den 26 mars 2020 om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för det gemensamma företaget Shift2Rails funktion | 7 |

Innehållsförteckning

II   Icke-lagstiftningsakter

Sida

ARBETSORDNINGAR OCH RÄTTEGÅNGSREGLER

*

Europeiska investeringsfondens beslut av den 4 juni 2020 om interna bestämmelser avseende begränsningar av vissa av de rättigheter som registrerade har i samband med behandling av personuppgifter inom ramen för åtgärder som vidtas av Europeiska investeringsfonden

1

*

Beslut nr 1/2020 av styrelsen för det gemensamma företaget Shift2Rail av den 26 mars 2020 om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för det gemensamma företaget Shift2Rails funktion

7

| SV | De rättsakter vilkas titlar är tryckta med fin stil är sådana rättsakter som har avseende på den löpande handläggningen av jordbrukspolitiska frågor. De har normalt en begränsad giltighetstid.
  Beträffande alla övriga rättsakter gäller att titlarna är tryckta med fetstil och föregås av en asterisk. |
| --- | --- |

SV

De rättsakter vilkas titlar är tryckta med fin stil är sådana rättsakter som har avseende på den löpande handläggningen av jordbrukspolitiska frågor. De har normalt en begränsad giltighetstid.

Beträffande alla övriga rättsakter gäller att titlarna är tryckta med fetstil och föregås av en asterisk.

---

II Icke-lagstiftningsakter

ARBETSORDNINGAR OCH RÄTTEGÅNGSREGLER

| 22.7.2020 | SV | Europeiska unionens officiella tidning | L 236/1 |
| --- | --- | --- | --- |

22.7.2020

SV

Europeiska unionens officiella tidning

L 236/1

---

EUROPEISKA INVESTERINGSFONDENS BESLUT

av den 4 juni 2020

om interna bestämmelser avseende begränsningar av vissa av de rättigheter som registrerade har i samband med behandling av personuppgifter inom ramen för åtgärder som vidtas av Europeiska investeringsfonden

EUROPEISKA INVESTERINGSFONDEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (1) (nedan kallad förordningen), och särskilt artikel 25,

med beaktande av Europeiska datatillsynsmannens (EDPS) yttrande (2), och

av följande skäl:

| (1) | Europeiska investeringsfondens (EIF) avdelning för efterlevnad får, inom ramen för sin verksamhet, genomföra administrativa utredningar, i enlighet med uppförandekoden för EIB-gruppens anställda, vilket innebär behandling av uppgifter, inbegripet personuppgifter. |
| --- | --- |

(1)

Europeiska investeringsfondens (EIF) avdelning för efterlevnad får, inom ramen för sin verksamhet, genomföra administrativa utredningar, i enlighet med uppförandekoden för EIB-gruppens anställda, vilket innebär behandling av uppgifter, inbegripet personuppgifter.

| (2) | EIF:s dataskyddsombud får på eget initiativ eller på begäran av den personuppgiftsansvarige eller varje enskild person, utreda frågor och händelser som har direkt samband med hans eller hennes uppgifter och som kommer till hans eller hennes kännedom och rapportera tillbaka till den person som beställde utredningen eller till den personuppgiftsansvarige, i enlighet med artikel 45.2 i förordningen. |
| --- | --- |

(2)

EIF:s dataskyddsombud får på eget initiativ eller på begäran av den personuppgiftsansvarige eller varje enskild person, utreda frågor och händelser som har direkt samband med hans eller hennes uppgifter och som kommer till hans eller hennes kännedom och rapportera tillbaka till den person som beställde utredningen eller till den personuppgiftsansvarige, i enlighet med artikel 45.2 i förordningen.

| (3) | EIF:s personal- och resursavdelning får, inom ramen för sin verksamhet, genomföra disciplinära förfaranden, i enlighet med avsnitt 6 i EIF:s tjänsteföreskrifter, avdelning IV i policyn om värdighet på arbetsplatsen och EIF:s tillämpliga uppförandekoder. |
| --- | --- |

(3)

EIF:s personal- och resursavdelning får, inom ramen för sin verksamhet, genomföra disciplinära förfaranden, i enlighet med avsnitt 6 i EIF:s tjänsteföreskrifter, avdelning IV i policyn om värdighet på arbetsplatsen och EIF:s tillämpliga uppförandekoder.

| (4) | EIF:s styrelseledamöter, verkställande direktör, vice VD och anställda samt parter till åtgärder/transaktioner är skyldiga att rapportera varje eventuellt förbjudet beteende till Europeiska investeringsbankens (nedan kallad EIB) utredningstjänst för bedrägerier (IG/IN), (t.ex. bedrägeri eller korruption), som kan skada EIF:s eller unionens intressen, eller rapportera till andra behöriga avdelningar vad gäller ett uppträdande i tjänsten som kan innebära ett allvarligt avsteg från tillämpliga förpliktelser. Dessutom kan varje enskild person och enhet rapportera anklagelser om förbjudet beteende till IG/IN. |
| --- | --- |

(4)

EIF:s styrelseledamöter, verkställande direktör, vice VD och anställda samt parter till åtgärder/transaktioner är skyldiga att rapportera varje eventuellt förbjudet beteende till Europeiska investeringsbankens (nedan kallad EIB) utredningstjänst för bedrägerier (IG/IN), (t.ex. bedrägeri eller korruption), som kan skada EIF:s eller unionens intressen, eller rapportera till andra behöriga avdelningar vad gäller ett uppträdande i tjänsten som kan innebära ett allvarligt avsteg från tillämpliga förpliktelser. Dessutom kan varje enskild person och enhet rapportera anklagelser om förbjudet beteende till IG/IN.

| (5) | Utredningar av förbjudet beteende, enligt definitionen i EIF:s bedrägeribekämpningspolitik, utförs av IG/IN, i egenskap av personuppgiftsbiträde, baserat på ramavtalet mellan EIF och EIB om tillhandahållande av tjänster. |
| --- | --- |

(5)

Utredningar av förbjudet beteende, enligt definitionen i EIF:s bedrägeribekämpningspolitik, utförs av IG/IN, i egenskap av personuppgiftsbiträde, baserat på ramavtalet mellan EIF och EIB om tillhandahållande av tjänster.

| (6) | EIF genomför granskning av sin egen verksamhet. Detta utförs för närvarande av EIB:s division för internrevision, baserat på ramavtalet mellan EIF och EIB om tillhandahållande av tjänster. |
| --- | --- |

(6)

EIF genomför granskning av sin egen verksamhet. Detta utförs för närvarande av EIB:s division för internrevision, baserat på ramavtalet mellan EIF och EIB om tillhandahållande av tjänster.

| (7) | Mot bakgrund av de uppgifter som beskrivs i skälen 1–6 får EIF tillhandahålla och ta emot bistånd samt samarbeta med andra av unionens institutioner, organ och byråer såsom föreskrivs i relevanta servicenivåavtal, samförståndsavtal och samarbetsavtal. |
| --- | --- |

(7)

Mot bakgrund av de uppgifter som beskrivs i skälen 1–6 får EIF tillhandahålla och ta emot bistånd samt samarbeta med andra av unionens institutioner, organ och byråer såsom föreskrivs i relevanta servicenivåavtal, samförståndsavtal och samarbetsavtal.

| (8) | EIF får tillhandahålla och ta emot bistånd samt samarbeta med medlemsstaternas offentliga myndigheter, på deras begäran eller på eget initiativ. |
| --- | --- |

(8)

EIF får tillhandahålla och ta emot bistånd samt samarbeta med medlemsstaternas offentliga myndigheter, på deras begäran eller på eget initiativ.

| (9) | EIF får tillhandahålla och ta emot bistånd samt samarbeta med tredjeländers nationella myndigheter och internationella organisationer, på deras begäran eller på eget initiativ. |
| --- | --- |

(9)

EIF får tillhandahålla och ta emot bistånd samt samarbeta med tredjeländers nationella myndigheter och internationella organisationer, på deras begäran eller på eget initiativ.

| (10) | Inom ramen för ovanstående åtgärder, får EIF, som personuppgiftsansvarig, eller någon av EIF:s affärspartner som avses i skäl 4 ovan, inbegripet EIB:s utredningstjänst för bedrägerier, som personuppgiftsbiträde, eller annan behörig avdelning, samla in och behandla information och personuppgifter, inbegripet fysiska personers identifieringsuppgifter, kontaktuppgifter, yrkesroller och -uppgifter, information om privat och yrkesmässig etik och prestation samt finansiella uppgifter. |
| --- | --- |

(10)

Inom ramen för ovanstående åtgärder, får EIF, som personuppgiftsansvarig, eller någon av EIF:s affärspartner som avses i skäl 4 ovan, inbegripet EIB:s utredningstjänst för bedrägerier, som personuppgiftsbiträde, eller annan behörig avdelning, samla in och behandla information och personuppgifter, inbegripet fysiska personers identifieringsuppgifter, kontaktuppgifter, yrkesroller och -uppgifter, information om privat och yrkesmässig etik och prestation samt finansiella uppgifter.

| (11) | Lämpliga skyddsåtgärder har införts för att skydda personuppgifter och förhindra oavsiktlig eller olaglig åtkomst eller överföring, oavsett om de lagras i en fysisk eller elektronisk miljö. Efter behandlingen bevaras uppgifterna i enlighet med de lagringsbestämmelser som är tillämpliga för EIF, såsom de definieras i dataskyddsregister på grundval av artikel 31 i förordningen. I slutet av lagringsperioden raderas, anonymiseras eller överförs ärenderelaterad information inbegripet personuppgifter till de historiska arkiven, i överensstämmelse med principerna i EU:s dataskyddsförordning och relaterade rättsakter samt EIF:s politik. |
| --- | --- |

(11)

Lämpliga skyddsåtgärder har införts för att skydda personuppgifter och förhindra oavsiktlig eller olaglig åtkomst eller överföring, oavsett om de lagras i en fysisk eller elektronisk miljö. Efter behandlingen bevaras uppgifterna i enlighet med de lagringsbestämmelser som är tillämpliga för EIF, såsom de definieras i dataskyddsregister på grundval av artikel 31 i förordningen. I slutet av lagringsperioden raderas, anonymiseras eller överförs ärenderelaterad information inbegripet personuppgifter till de historiska arkiven, i överensstämmelse med principerna i EU:s dataskyddsförordning och relaterade rättsakter samt EIF:s politik.

| (12) | I detta sammanhang har EIF en skyldighet att tillhandahålla information till de registrerade i samband med ovannämnda behandling och respektera de registrerades rättigheter såsom föreskrivs i förordningen. |
| --- | --- |

(12)

I detta sammanhang har EIF en skyldighet att tillhandahålla information till de registrerade i samband med ovannämnda behandling och respektera de registrerades rättigheter såsom föreskrivs i förordningen.

| (13) | Det kan vara nödvändigt att förena de registrerades rättigheter enligt förordningen med behovet av ovannämnda åtgärder, samtidigt som grundläggande rättigheter och friheter för andra registrerade respekteras fullt ut. I detta syfte föreskrivs i artikel 25 i förordningen en möjlighet att, under stränga villkor, begränsa tillämpningen av artiklarna 14–20, 35 och 36 samt artikel 4, i den mån som bestämmelserna motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–20. I ett sådant fall är det nödvändigt att anta interna bestämmelser enligt vilka EIF får begränsa dessa rättigheter för registrerade i överensstämmelse med samma artikel i förordningen. |
| --- | --- |

(13)

Det kan vara nödvändigt att förena de registrerades rättigheter enligt förordningen med behovet av ovannämnda åtgärder, samtidigt som grundläggande rättigheter och friheter för andra registrerade respekteras fullt ut. I detta syfte föreskrivs i artikel 25 i förordningen en möjlighet att, under stränga villkor, begränsa tillämpningen av artiklarna 14–20, 35 och 36 samt artikel 4, i den mån som bestämmelserna motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–20. I ett sådant fall är det nödvändigt att anta interna bestämmelser enligt vilka EIF får begränsa dessa rättigheter för registrerade i överensstämmelse med samma artikel i förordningen.

| (14) | Detta kan särskilt vara fallet vid tillhandahållande av information om behandling av personuppgifter till den registrerade vid den preliminära bedömningsfasen i en administrativ utredning eller under själva utredningen, före en eventuell avvisning av ärendet eller i ett skede som föregår ett disciplinärt förfarande. Under vissa omständigheter kan ett tillhandahållande av sådan information allvarligt påverka EIF:s förmåga att genomföra utredningen på ett effektivt sätt, till exempel när det finns en risk att den berörda personen förstör bevisning eller påverkar eventuella vittnen innan de kan höras. Vidare kan EIF behöva skydda andra berörda personers rättigheter och friheter. Det kan särskilt vara nödvändigt att garantera integritetsskyddet för ett vittne eller en uppgiftslämnare som har bett om att inte bli identifierad. I ett sådant fall kan EIF besluta att begränsa åtkomsten vad gäller identiteten, uttalanden och andra uppgifter från uppgiftslämnaren och/eller andra berörda personer för att skydda deras rättigheter och friheter. |
| --- | --- |

(14)

Detta kan särskilt vara fallet vid tillhandahållande av information om behandling av personuppgifter till den registrerade vid den preliminära bedömningsfasen i en administrativ utredning eller under själva utredningen, före en eventuell avvisning av ärendet eller i ett skede som föregår ett disciplinärt förfarande. Under vissa omständigheter kan ett tillhandahållande av sådan information allvarligt påverka EIF:s förmåga att genomföra utredningen på ett effektivt sätt, till exempel när det finns en risk att den berörda personen förstör bevisning eller påverkar eventuella vittnen innan de kan höras. Vidare kan EIF behöva skydda andra berörda personers rättigheter och friheter. Det kan särskilt vara nödvändigt att garantera integritetsskyddet för ett vittne eller en uppgiftslämnare som har bett om att inte bli identifierad. I ett sådant fall kan EIF besluta att begränsa åtkomsten vad gäller identiteten, uttalanden och andra uppgifter från uppgiftslämnaren och/eller andra berörda personer för att skydda deras rättigheter och friheter.

| (15) | När EIF tillhandahåller och tar emot bistånd samt samarbetar med andra EU- institutioner, organ och byråer, medlemsstaternas offentliga myndigheter, tredjeländers nationella myndigheter och internationella organisationer i samband med ovannämnda åtgärder, kan EIF, under särskilda omständigheter, och där en miniminivå av dataskydd upprätthålls som krävs av Europeiska datatillsynsmannen, behöva säkerställa att dess utredningar eller utredningar som genomförs av en enhet som den samarbetar med är effektiva, och om nödvändigt skydda berörda personer och deras rättigheter och friheter. |
| --- | --- |

(15)

När EIF tillhandahåller och tar emot bistånd samt samarbetar med andra EU- institutioner, organ och byråer, medlemsstaternas offentliga myndigheter, tredjeländers nationella myndigheter och internationella organisationer i samband med ovannämnda åtgärder, kan EIF, under särskilda omständigheter, och där en miniminivå av dataskydd upprätthålls som krävs av Europeiska datatillsynsmannen, behöva säkerställa att dess utredningar eller utredningar som genomförs av en enhet som den samarbetar med är effektiva, och om nödvändigt skydda berörda personer och deras rättigheter och friheter.

| (16) | EIF ska endast tillämpa begränsningar om de respekterar andemeningen i de grundläggande rättigheterna och friheterna och utgör en absolut nödvändig och proportionell åtgärd i ett demokratiskt samhälle. EIF ska motivera skälen för dessa begränsningar. |
| --- | --- |

(16)

EIF ska endast tillämpa begränsningar om de respekterar andemeningen i de grundläggande rättigheterna och friheterna och utgör en absolut nödvändig och proportionell åtgärd i ett demokratiskt samhälle. EIF ska motivera skälen för dessa begränsningar.

| (17) | På grundval av principen om ansvarsskyldighet måste EIF föra ett register över tillämpningen av dessa begränsningar. |
| --- | --- |

(17)

På grundval av principen om ansvarsskyldighet måste EIF föra ett register över tillämpningen av dessa begränsningar.

| (18) | När EIF behandlar personuppgifter som utbyts med andra organisationer i samband med dess uppgifter, ska EIF samråda med dessa organisationer om eventuella relevanta grunder för att införa begränsningar och om begränsningarna är nödvändiga och proportionella, såvida detta inte skulle äventyra EIF:s verksamhet. |
| --- | --- |

(18)

När EIF behandlar personuppgifter som utbyts med andra organisationer i samband med dess uppgifter, ska EIF samråda med dessa organisationer om eventuella relevanta grunder för att införa begränsningar och om begränsningarna är nödvändiga och proportionella, såvida detta inte skulle äventyra EIF:s verksamhet.

| (19) | Enligt artikel 25.6 i förordningen ska den personuppgiftsansvarige informera de registrerade om de huvudsakliga skälen till begränsningen och om deras rätt att ge in ett klagomål till Europeiska datatillsynsmannen. |
| --- | --- |

(19)

Enligt artikel 25.6 i förordningen ska den personuppgiftsansvarige informera de registrerade om de huvudsakliga skälen till begränsningen och om deras rätt att ge in ett klagomål till Europeiska datatillsynsmannen.

| (20) | Enligt artikel 25.8 i förordningen får EIF skjuta upp, utelämna eller neka tillhandahållande av information till den registrerade om skälen till begränsningen, om det på något sätt skulle upphäva verkan av begränsningen. EIF ska i varje enskilt fall bedöma huruvida meddelandet av begränsningen skulle upphäva dess verkan. |
| --- | --- |

(20)

Enligt artikel 25.8 i förordningen får EIF skjuta upp, utelämna eller neka tillhandahållande av information till den registrerade om skälen till begränsningen, om det på något sätt skulle upphäva verkan av begränsningen. EIF ska i varje enskilt fall bedöma huruvida meddelandet av begränsningen skulle upphäva dess verkan.

| (21) | Dataskyddsombudet får utföra en oberoende granskning av tillämpningen av begränsningarna, för att säkerställa att detta beslut efterlevs. |
| --- | --- |

(21)

Dataskyddsombudet får utföra en oberoende granskning av tillämpningen av begränsningarna, för att säkerställa att detta beslut efterlevs.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Syfte och tillämpningsområde

I detta beslut fastställs bestämmelser om de villkor på vilka EIF får begränsa tillämpningen av artiklarna 14–20, 35 och 36, samt artikel 4, på grundval av artikel 25 i förordningen.

Artikel 2

Begränsningar

1.   I enlighet med artikel 25.1 i förordningen får EIF, endast från fall till fall, begränsa tillämpningen av artiklarna 14–20, 35 och 36, samt artikel 4, i den mån som bestämmelserna motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–20, när EIF:

| a) | genomför administrativa utredningar, i enlighet med EIB-gruppens uppförandekod och andra tillämpliga uppförandekoder, |
| --- | --- |

a)

genomför administrativa utredningar, i enlighet med EIB-gruppens uppförandekod och andra tillämpliga uppförandekoder,

| b) | genomför utredningar avseende frågor och händelser som har direkt samband med dataskyddsombudets uppgifter, enligt artikel 45.2 i förordningen, |
| --- | --- |

b)

genomför utredningar avseende frågor och händelser som har direkt samband med dataskyddsombudets uppgifter, enligt artikel 45.2 i förordningen,

| c) | genomför disciplinära förfaranden, i enlighet med avsnitt 6 i EIF:s tjänsteföreskrifter, avdelning IV i policyn om värdighet på arbetsplatsen, EIB-gruppens uppförandekod och EIF:s andra tillämpliga uppförandekoder, |
| --- | --- |

c)

genomför disciplinära förfaranden, i enlighet med avsnitt 6 i EIF:s tjänsteföreskrifter, avdelning IV i policyn om värdighet på arbetsplatsen, EIB-gruppens uppförandekod och EIF:s andra tillämpliga uppförandekoder,

| d) | säkerställer att EIF:s personal konfidentiellt får rapportera uppgifter när de anser att det föreligger betydande oegentligheter såsom regleras i EIB-gruppens politik för anmälningar av oegentligheter, |
| --- | --- |

d)

säkerställer att EIF:s personal konfidentiellt får rapportera uppgifter när de anser att det föreligger betydande oegentligheter såsom regleras i EIB-gruppens politik för anmälningar av oegentligheter,

| e) | säkerställer att EIF:s personal konfidentiellt får rapportera uppgifter när de anser att det finns misstankar om förbjudet beteende, inbegripet bedrägeri eller korruption, som kan skada unionens intressen eller ett uppträdande i tjänsten som kan innebära ett allvarligt avsteg från förpliktelserna för EIF:s personal, såsom det regleras i EIB-gruppens politik för anmälningar av oegentligheter, EIF:s bedrägeribekämpningspolitik och EIF:s relevanta uppförandekoder, |
| --- | --- |

e)

säkerställer att EIF:s personal konfidentiellt får rapportera uppgifter när de anser att det finns misstankar om förbjudet beteende, inbegripet bedrägeri eller korruption, som kan skada unionens intressen eller ett uppträdande i tjänsten som kan innebära ett allvarligt avsteg från förpliktelserna för EIF:s personal, såsom det regleras i EIB-gruppens politik för anmälningar av oegentligheter, EIF:s bedrägeribekämpningspolitik och EIF:s relevanta uppförandekoder,

| f) | genomför utredningar av förbjudet beteende, i enlighet med EIF:s bedrägeribekämpningspolitik, |
| --- | --- |

f)

genomför utredningar av förbjudet beteende, i enlighet med EIF:s bedrägeribekämpningspolitik,

| g) | genomför interna granskningar med avseende på EIF:s samtliga åtgärder och avdelningar, |
| --- | --- |

g)

genomför interna granskningar med avseende på EIF:s samtliga åtgärder och avdelningar,

| h) | tillhandahåller och tar emot bistånd samt samarbetar med andra av unionens institutioner, organ och byråer, i samband med ovannämnda uppgifter, såsom föreskrivs i relevanta servicenivåavtal, samförståndsavtal och samarbetsavtal, |
| --- | --- |

h)

tillhandahåller och tar emot bistånd samt samarbetar med andra av unionens institutioner, organ och byråer, i samband med ovannämnda uppgifter, såsom föreskrivs i relevanta servicenivåavtal, samförståndsavtal och samarbetsavtal,

| i) | tillhandahåller och tar emot bistånd samt samarbetar med medlemsstaternas offentliga myndigheter, på deras begäran eller på eget initiativ, |
| --- | --- |

i)

tillhandahåller och tar emot bistånd samt samarbetar med medlemsstaternas offentliga myndigheter, på deras begäran eller på eget initiativ,

| j) | tillhandahåller och tar emot bistånd samt samarbetar med tredjeländers nationella myndigheter och internationella organisationer, på deras begäran eller på eget initiativ. |
| --- | --- |

j)

tillhandahåller och tar emot bistånd samt samarbetar med tredjeländers nationella myndigheter och internationella organisationer, på deras begäran eller på eget initiativ.

2.   Kategorier av personuppgifter kan innefatta fysiska personers identifieringsuppgifter, kontaktuppgifter, yrkesroller och -uppgifter, information om privat och yrkesmässig etik och prestation, uppgifter relaterade till ärendet samt finansiella uppgifter.

3.   Tillämpningen av ovannämnda begränsningar påverkar inte en eventuell tillämpning av artiklarna 16.5 och 17.4 i förordningen, som hänför sig till rätten till information om uppgifterna inte har samlats in från den registrerade och den registrerades rätt till tillgång.

4.   Eventuella begränsningar ska respektera andemeningen i de grundläggande rättigheterna och friheterna och vara nödvändiga och proportionella i ett demokratiskt samhälle, i enlighet med förordningen, motsvarande rättsakter eller EIF:s och EIB-gruppens interna politik.

5.   Eventuella begränsningar ska baseras på ett uttryckligt godkännande i en gällande intern EIF-policy eller förfarande och ska påverka de(n) berörda registrerades rättigheter så lite som möjligt, som bekräftats av dataskyddsombudet.

6.   En bedömning av behovet och proportionaliteten ska genomföras i varje enskilt fall och på ett sätt som tillfredsställer dataskyddsombudet innan begränsningar tillämpas. De ska begränsas till vad som är absolut nödvändigt för att uppnå de fastställda målen. Begränsningar ska endast gälla för den tidsperiod som krävs för varje relevant grund i punkt 1, som åberopas som motivering till begränsningen, vilka ska visas inför dataskyddsombudet.

7.   När IG/IN, helt eller delvis, begränsar tillhandahållandet av information till registrerade av relevans för en utredning (berörd person, vittne eller uppgiftslämnare), ska IG/IN registrera skälen till begränsningen, inklusive en behovs- och proportionalitetsbedömning av begränsningen. För detta ändamål ska det anges i registret hur tillhandahållandet av informationen kan äventyra syftet med IG/IN:s utredningsverksamhet och begränsningar som tillämpas i enlighet med artikel 2.1 f, g och h i detta beslut eller skulle inverka menligt på andra registrerades rättigheter och friheter. Registret och, i tillämpliga fall, handlingarna med de sakliga och rättsliga grunderna ska registreras. De ska på begäran göras tillgängliga för Europeiska datatillsynsmannen.

8.   EIF ska i redovisningssyfte registrera skälen till de tillämpade begränsningarna, vilka grunder av de som anges i punkt 1 som är tillämpliga och resultatet av bedömningen av behovet och proportionaliteten. Dessa uppgifter ska utgöra del av ett ad hoc-register som på begäran ska göras tillgängligt för Europeiska datatillsynsmannen.

9.   Vid behandling av personuppgifter som utbyts med andra organisationer i samband med EIF:s uppgifter ska EIF samråda med dessa organisationer om eventuella relevanta grunder för att införa begränsningar och om begränsningarna är nödvändiga och proportionella, såvida detta inte skulle äventyra EIF:s verksamhet.

Artikel 3

Risker för de registrerades rättigheter och friheter

Bedömningen av riskerna för rättigheter och friheter för registrerade vars personuppgifter kan vara föremål för begränsningar samt deras lagringsperiod ska anges i registret över den relevanta behandlingen i enlighet med artikel 31 i förordningen och i förekommande fall i relevanta konsekvensbedömningar avseende uppgiftsskydd på grundval av artikel 39 i förordningen.

Artikel 4

Lagringsperioder och skyddsåtgärder

EIF ska genomföra skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring av personuppgifter som kan vara föremål för begränsningar. Dessa skyddsåtgärder ska omfatta tekniska och organisatoriska åtgärder och ska, om så behövs, specificeras i EIF:s interna beslut, förfaranden och genomförandebestämmelser. Skyddsåtgärderna ska omfatta följande:

| 1. | En lämplig definition av funktioner, ansvar och olika steg i förfarandet. |
| --- | --- |

1.

En lämplig definition av funktioner, ansvar och olika steg i förfarandet.

| 2. | I förekommande fall en säker elektronisk miljö som förebygger olaglig eller oavsiktlig tillgång till eller överföring av elektroniska uppgifter till obehöriga personer. |
| --- | --- |

2.

I förekommande fall en säker elektronisk miljö som förebygger olaglig eller oavsiktlig tillgång till eller överföring av elektroniska uppgifter till obehöriga personer.

| 3. | I förekommande fall säker lagring och behandling av dokument i pappersform. |
| --- | --- |

3.

I förekommande fall säker lagring och behandling av dokument i pappersform.

| 4. | Vederbörlig kontroll av begränsningar och regelbunden översyn av dataskyddsombudet, vilken ska ske minst var sjätte månad. En översyn ska även genomföras när centrala delar ändrar sig i det aktuella ärendet. Begränsningarna ska upphävas så snart som de omständigheter som motiverar dem inte längre är tillämpliga. |
| --- | --- |

4.

Vederbörlig kontroll av begränsningar och regelbunden översyn av dataskyddsombudet, vilken ska ske minst var sjätte månad. En översyn ska även genomföras när centrala delar ändrar sig i det aktuella ärendet. Begränsningarna ska upphävas så snart som de omständigheter som motiverar dem inte längre är tillämpliga.

Artikel 5

Information till och översyn genom dataskyddsombudet

1.   Dataskyddsombudet ska informeras utan onödigt dröjsmål när registrerades rättigheter begränsas i enlighet med detta beslut och ska få fullständig och obegränsad tillgång till alla register och eventuella dokument som ligger till grund för faktiska och rättsliga delar, som är relevanta för beslutet om begränsningen och upprätthållandet av begränsningen och kontrollen av att begränsningen upprätthålls.

2.   Dataskyddsombudet får begära en översyn av tillämpningen av begränsningen.

3.   Om dataskyddsombudet tillämpar begränsningar, vid genomförandet av sina egna undersökningar, kommer han eller hon informera den personuppgiftsansvarige utan onödigt dröjsmål.

4.   Dataskyddsombudets deltagande i begränsningsförfarandet, inbegripet i informationsutbyten, ska dokumenteras på lämpligt sätt och tas med i de relevanta registren.

5.   Vad gäller utredningar av förbjudet beteende, ska EIB:s utredningstjänst för bedrägerier samråda med dataskyddsombudet innan vissa begränsningsskäl, som avses i artikel 25 i förordningen tillämpas på behandling av personuppgifter som utförs inom ramen för dess uppdrag som anges i EIF:s bedrägeribekämpningspolitik samt regler och utredningsförfaranden för utredningstjänsten för bedrägerier.

Artikel 6

Information till registrerade om begränsningar av deras rättigheter

1.   EIF ska i meddelanden om uppgiftsskydd som offentliggörs på EIF:s webbplats ange allmän information till de registrerade som berörs av eventuella begränsningar av alla registrerades rättigheter som beskrivs i artikel 2.1. Informationen ska omfatta vilka rättigheter som kan komma att begränsas.

2.   EIF ska informera de registrerade individuellt om nuvarande eller framtida begränsningar av deras rättigheter utan onödigt dröjsmål och i skriftlig form, såsom närmare anges i artiklarna 7, 8 och 9.

Artikel 7

Registrerades rätt till information och meddelande om personuppgiftsincidenter

1.   När EIF, i samband med de åtgärder som anges i detta beslut, helt eller delvis begränsar rättigheter för registrerade som anges i artiklarna 14–16 och 35 i förordningen har de rätt att informeras om de huvudsakliga skälen till begränsningen och om deras rätt att lämna in ett klagomål till Europeiska datatillsynsmannen samt att begära rättslig prövning vid Europeiska unionens domstol. En sådan begränsning ska följa de bestämmelser som fastställts och det förfarande som beskrivs i detta beslut.

2.   EIF får skjuta upp, utelämna eller neka tillhandahållande av information om skälen till den begränsning som avses i punkt 1, i den mån och så länge som det skulle upphäva verkan av begränsningen. Denna bedömning ska göras i varje enskilt fall. Varje sådant uppskjutande eller nekande måste motiveras på lämpligt och tillfredsställande sätt för dataskyddsombudet och ska tas med i de relevanta registren. För att undvika eventuella tvivel ska de berörda registrerade informeras om deras rätt att lämna in ett klagomål till Europeiska datatillsynsmannen samt att begära rättslig prövning vid Europeiska unionens domstol av beslutet att skjuta upp eller neka dem tillhandahållandet av den information som avses i punkt 1 ovan.

Artikel 8

Registrerades rätt till tillgång, rättelse, radering och begränsning av behandlingen

1.   När EIF i samband med de åtgärder som anges i detta beslut helt eller delvis begränsar rätten till tillgång till personuppgifter och rätten till rättelse, radering och begränsning av behandling, såsom anges i artiklarna 17–20 i förordningen, ska den i sitt svar på begäran informera den berörda registrerade om de huvudsakliga skälen till begränsningen och om möjligheten att lämna in ett klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.

2.   Om rätten till tillgång helt eller delvis är begränsad ska EIF vid utredning av begäran endast informera den registrerade om huruvida uppgifterna har behandlats korrekt och, om så inte är fallet, huruvida alla nödvändiga korrigeringar har gjorts i enlighet med artikel 25.7 i förordningen.

3.   EIF får skjuta upp, utelämna eller neka tillhandahållande av information om skälen till den begränsning som avses i punkterna 1 och 2, i den mån och så länge som det skulle kunna äventyra syftet med begränsningen. Denna bedömning ska göras i varje enskilt fall och ska följa de bestämmelser som fastställts och det förfarande som beskrivs i detta beslut.

Artikel 9

Konfidentialitet för elektronisk kommunikation

1.   EIF får under exceptionella omständigheter och i enlighet med bestämmelserna i och den logiska grunden för Europaparlamentets och rådets direktiv 2002/58/EG (3) begränsa rätten till konfidentialitet för elektronisk kommunikation, i enlighet med artikel 36 i förordningen. I detta fall ska EIF specificera omständigheter, skäl, relevanta risker och därmed sammanhängande skyddsåtgärder i särskilda interna bestämmelser.

2.   Om EIF begränsar rätten till konfidentialitet vid elektronisk kommunikation, ska EIF i sitt svar på begäran informera den berörda registrerade om de huvudsakliga skälen till begränsningen och om möjligheten att lämna in ett klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.

3.   EIF får skjuta upp, utelämna eller neka tillhandahållande av information om skälen till den begränsning som avses i punkterna 1 och 2, så länge som det skulle upphäva verkan av begränsningen. Denna bedömning ska göras i varje enskilt fall.

Artikel 10

Ikraftträdande

Detta beslut och eventuella ändringar av den ska godkännas av EIF:s styrelse och träder i kraft den tjugonde dagen efter att den har offentliggjorts i Europeiska unionens officiella tidning.

Europeiska unionens officiella tidning

Utfärdat i Luxemburg den 4 juni 2020.

---

(1)  
  1
  EUT L 295, 21.11.2018, s. 39.

1

1

(2)  2Europeiska datatillsynsmannens kommentarer och rekommendationer daterade den 20 februari 2020 (DH/CCP/ALS/D(2020) 0372 C2019-1114).

2

(3)  Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37).

3

---

| 22.7.2020 | SV | Europeiska unionens officiella tidning | L 236/7 |
| --- | --- | --- | --- |

22.7.2020

SV

Europeiska unionens officiella tidning

L 236/7

---

BESLUT nr 1/2020 AV STYRELSEN FÖR DET GEMENSAMMA FÖRETAGET SHIFT2RAIL

av den 26 mars 2020

om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för det gemensamma företaget Shift2Rails funktion

STYRELSEN FÖR DET GEMENSAMMA FÖRETAGET SHIFT2RAIL (nedan kallat Shift2Rail) HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt (1),

med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (2), särskilt artikel 25,

med beaktande av rådets förordning (EU) nr 642/2014 av den 16 juni 2014 om bildande av det gemensamma företaget Shift2Rail (3), särskilt artikel 8 i de bifogade stadgarna till den förordningen,

med beaktande av Europeiska datatillsynsmannens riktlinjer för den nya förordningens artikel 25 och interna regler,

efter att ha samrått med Europeiska datatillsynsmannen den 12 november 2019, i enlighet med artikel 41.2 i förordning (EU) 2018/1725,

med beaktande av Europeiska datatillsynsmannens rekommendationer av den 18 december 2019,

efter att ha samrått med Shift2Rails personalkommitté, och

av följande skäl:

| (1) | Endast rättsakter som antagits på grundval av fördragen får föreskriva begränsningar av registrerades rättigheter. Om begränsningarna inte kan genomföras med stöd av sådana rättsakter kan de enligt förordning (EU) 2018/1725, när det gäller frågor rörande Shift2Rails funktion, införas genom interna regler, inbegripet bestämmelser om bedömningen av en begränsnings nödvändighet och proportionalitet. |
| --- | --- |

(1)

Endast rättsakter som antagits på grundval av fördragen får föreskriva begränsningar av registrerades rättigheter. Om begränsningarna inte kan genomföras med stöd av sådana rättsakter kan de enligt förordning (EU) 2018/1725, när det gäller frågor rörande Shift2Rails funktion, införas genom interna regler, inbegripet bestämmelser om bedömningen av en begränsnings nödvändighet och proportionalitet.

| (2) | I enlighet med artikel 25.1 i förordning (EU) 2018/1725 bör begränsningar i tillämpningen av artiklarna 14–22, 35 och 36, samt artikel 4 i samma förordning, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22, grunda sig på interna regler som ska antas av Shift2Rail. |
| --- | --- |

(2)

I enlighet med artikel 25.1 i förordning (EU) 2018/1725 bör begränsningar i tillämpningen av artiklarna 14–22, 35 och 36, samt artikel 4 i samma förordning, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22, grunda sig på interna regler som ska antas av Shift2Rail.

| (3) | Inom ramen för sin verksamhet får Shift2Rail genomföra administrativa utredningar och disciplinära förfaranden, vidta förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, handlägga visselblåsarärenden, genomföra (formella och informella) förfaranden mot trakasserier, handlägga interna och externa klagomål, genomföra internrevisioner, låta dataskyddsombudet genomföra utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt genomföra interna utredningar om it-säkerhet. |
| --- | --- |

(3)

Inom ramen för sin verksamhet får Shift2Rail genomföra administrativa utredningar och disciplinära förfaranden, vidta förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, handlägga visselblåsarärenden, genomföra (formella och informella) förfaranden mot trakasserier, handlägga interna och externa klagomål, genomföra internrevisioner, låta dataskyddsombudet genomföra utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt genomföra interna utredningar om it-säkerhet.

| (4) | Shift2Rail behandlar flera olika kategorier av personuppgifter, däribland identifikationsuppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter samt uppgifter som rör ärendet (såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten) (4). |
| --- | --- |

(4)

Shift2Rail behandlar flera olika kategorier av personuppgifter, däribland identifikationsuppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter samt uppgifter som rör ärendet (såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten) (4).

| (5) | Shift2Rail, företrätt av sin verkställande direktör, fungerar som personuppgiftsansvarig. |
| --- | --- |

(5)

Shift2Rail, företrätt av sin verkställande direktör, fungerar som personuppgiftsansvarig.

| (6) | Personuppgifterna lagras i en säker elektronisk miljö eller i pappersform, vilket förhindrar olaglig åtkomst eller överföring av uppgifter till personer som inte har behov av att ta del av dem. De behandlade personuppgifterna lagras inte längre än vad som är nödvändigt och lämpligt för det syfte som uppgifterna behandlas under den tidsperiod som anges i Shift2Rails dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller register. |
| --- | --- |

(6)

Personuppgifterna lagras i en säker elektronisk miljö eller i pappersform, vilket förhindrar olaglig åtkomst eller överföring av uppgifter till personer som inte har behov av att ta del av dem. De behandlade personuppgifterna lagras inte längre än vad som är nödvändigt och lämpligt för det syfte som uppgifterna behandlas under den tidsperiod som anges i Shift2Rails dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller register.

| (7) | De interna reglerna ska gälla för all personuppgiftsbehandling som Shift2Rail utför inom ramen för administrativa utredningar, disciplinära förfaranden, förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, förfaranden i visselblåsarärenden, (formella och informella) förfaranden för att hantera trakasserier, handläggning av interna och externa klagomål, internrevisioner, dataskyddsombudets utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (till exempel av CERT-EU). |
| --- | --- |

(7)

De interna reglerna ska gälla för all personuppgiftsbehandling som Shift2Rail utför inom ramen för administrativa utredningar, disciplinära förfaranden, förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, förfaranden i visselblåsarärenden, (formella och informella) förfaranden för att hantera trakasserier, handläggning av interna och externa klagomål, internrevisioner, dataskyddsombudets utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (till exempel av CERT-EU).

| (8) | De interna reglerna ska gälla för uppgiftsbehandling som utförs innan ovannämnda förfaranden inleds, under dessa förfaranden och under kontrollen av hur resultaten från dessa förfaranden följs upp. Detta bör även omfatta stöd och samarbete som Shift2Rail bistår nationella myndigheter och internationella organisationer med vid sidan av sina administrativa utredningar. |
| --- | --- |

(8)

De interna reglerna ska gälla för uppgiftsbehandling som utförs innan ovannämnda förfaranden inleds, under dessa förfaranden och under kontrollen av hur resultaten från dessa förfaranden följs upp. Detta bör även omfatta stöd och samarbete som Shift2Rail bistår nationella myndigheter och internationella organisationer med vid sidan av sina administrativa utredningar.

| (9) | När dessa interna regler tillämpas måste Shift2Rail motivera varför begränsningarna är absolut nödvändiga och proportionella i ett demokratiskt samhälle och förenliga med andemeningen i de grundläggande fri- och rättigheterna. |
| --- | --- |

(9)

När dessa interna regler tillämpas måste Shift2Rail motivera varför begränsningarna är absolut nödvändiga och proportionella i ett demokratiskt samhälle och förenliga med andemeningen i de grundläggande fri- och rättigheterna.

| (10) | Vid de ovannämnda förfarandena måste Shift2Rail i största möjliga mån respektera de registrerades grundläggande rättigheter, särskilt de rättigheter som gäller rätten att få ta del av information, rätten till tillgång, rättelse eller radering av personuppgifter, rätten till begränsning av behandlingen, rätten att bli underrättad om personuppgiftsincidenter och rätten till konfidentiell behandling av kommunikation i enlighet med förordning (EU) 2018/1725. |
| --- | --- |

(10)

Vid de ovannämnda förfarandena måste Shift2Rail i största möjliga mån respektera de registrerades grundläggande rättigheter, särskilt de rättigheter som gäller rätten att få ta del av information, rätten till tillgång, rättelse eller radering av personuppgifter, rätten till begränsning av behandlingen, rätten att bli underrättad om personuppgiftsincidenter och rätten till konfidentiell behandling av kommunikation i enlighet med förordning (EU) 2018/1725.

| (11) | Shift2Rail kan dock tvingas begränsa registrerades tillgång till information samt andra rättigheter som tillkommer den registrerade för att särskilt skydda sina egna utredningar, andra myndigheters utredningar och förfaranden och rättigheterna för andra personer med koppling till Shift2Rails utredningar eller andra förfaranden. |
| --- | --- |

(11)

Shift2Rail kan dock tvingas begränsa registrerades tillgång till information samt andra rättigheter som tillkommer den registrerade för att särskilt skydda sina egna utredningar, andra myndigheters utredningar och förfaranden och rättigheterna för andra personer med koppling till Shift2Rails utredningar eller andra förfaranden.

| (12) | Om Shift2Rail överväger att tillämpa en begränsning ska risken för den registrerades fri- och rättigheter vägas mot i synnerhet risken för andra registrerades fri- och rättigheter samt mot risken att verkningarna av Shift2Rails utredningar eller förfaranden upphävs, till exempel genom att bevis förstörs. Riskerna för den registrerades fri- och rättigheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras. |
| --- | --- |

(12)

Om Shift2Rail överväger att tillämpa en begränsning ska risken för den registrerades fri- och rättigheter vägas mot i synnerhet risken för andra registrerades fri- och rättigheter samt mot risken att verkningarna av Shift2Rails utredningar eller förfaranden upphävs, till exempel genom att bevis förstörs. Riskerna för den registrerades fri- och rättigheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras.

| (13) | Shift2Rail får alltså begränsa informationen i syfte att skydda utredningar och andra registrerades grundläggande fri- och rättigheter. |
| --- | --- |

(13)

Shift2Rail får alltså begränsa informationen i syfte att skydda utredningar och andra registrerades grundläggande fri- och rättigheter.

| (14) | Shift2Rail bör regelbundet kontrollera att förhållandena som motiverar en begränsning fortfarande är tillämpliga och upphäva begränsningen om de inte längre är det. |
| --- | --- |

(14)

Shift2Rail bör regelbundet kontrollera att förhållandena som motiverar en begränsning fortfarande är tillämpliga och upphäva begränsningen om de inte längre är det.

| (15) | Den personuppgiftsansvarige ska informera dataskyddsombudet vid uppskjutande och i samband med kontrollerna. |
| --- | --- |

(15)

Den personuppgiftsansvarige ska informera dataskyddsombudet vid uppskjutande och i samband med kontrollerna.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Syfte och tillämpningsområde

1.   Detta beslut innehåller regler om de villkor som måste vara uppfyllda för att Shift2Rail inom ramen för de förfaranden som anges i punkt 2 ska få begränsa rättigheterna som avses i artiklarna 14–21, 35 och 36, samt artikel 4 i förordning (EU) 2018/1725, i enlighet med artikel 25 i den förordningen.

2.   Inom ramen för Shift2Rails administrativa verksamhet är detta beslut tillämpligt på programkontorets behandling av personuppgifter för följande ändamål: administrativa utredningar, disciplinära förfaranden, förberedande åtgärder vid fall av eventuella oegentligheter som anmälts till Olaf, hantering av visselblåsarärenden, (formella och informella) förfaranden för att hantera trakasserier, handläggning av interna och externa klagomål, internrevisioner, utredningar som dataskyddsombudet genomför i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (till exempel av CERT-EU).

3.   De kategorier av uppgifter som omfattas är bl.a. identifikationsuppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter samt uppgifter som rör ärendet såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten.

4.   Shift2Rail ska, vid fullgörandet av sina skyldigheter med avseende på den registrerades rättigheter enligt förordning (EU) 2018/1725, överväga om några av de undantag som anges i den förordningen är tillämpliga.

Artikel 2

Specificering av den personuppgiftsansvarige

Shift2Rail fungerar, företrätt av den verkställande direktören, som personuppgiftsansvarig vid behandlingen.

Artikel 3

Specificering av skyddsåtgärder

1.   Shift2Rail ska införa följande skyddsåtgärder för att förhindra missbruk eller olaglig åtkomst eller överföring av personuppgifter:

| a) | Pappersdokument ska förvaras i låsbara skåp och endast vara åtkomliga för behörig personal. |
| --- | --- |

a)

Pappersdokument ska förvaras i låsbara skåp och endast vara åtkomliga för behörig personal.

| b) | Alla elektroniska uppgifter ska lagras i en säker it-applikation i enlighet med Shift2Rails säkerhetsnormer samt i särskilda digitala mappar som endast är åtkomliga för behörig personal. Olika nivåer för tillgång ska beviljas individuellt beroende på användare. |
| --- | --- |

b)

Alla elektroniska uppgifter ska lagras i en säker it-applikation i enlighet med Shift2Rails säkerhetsnormer samt i särskilda digitala mappar som endast är åtkomliga för behörig personal. Olika nivåer för tillgång ska beviljas individuellt beroende på användare.

| c) | Databasen ska vara lösenordsskyddad i ett system med samlad inloggning och automatiskt kopplad till användarens användarnamn och lösenord. Pseudonymisering och/eller kryptering kan också användas vid behov. Det är absolut förbjudet att byta ut användare. E-register ska förvaras säkert för att säkerställa sekretesskydd för de uppgifter som finns i dessa. |
| --- | --- |

c)

Databasen ska vara lösenordsskyddad i ett system med samlad inloggning och automatiskt kopplad till användarens användarnamn och lösenord. Pseudonymisering och/eller kryptering kan också användas vid behov. Det är absolut förbjudet att byta ut användare. E-register ska förvaras säkert för att säkerställa sekretesskydd för de uppgifter som finns i dessa.

| d) | Alla som har tillgång till uppgifterna är bundna av tystnadsplikt. |
| --- | --- |

d)

Alla som har tillgång till uppgifterna är bundna av tystnadsplikt.

2.   Skyddsåtgärderna i punkt 1 ska regelbundet ses över i enlighet med artikel 6.3.

3.   Lagringstiden för de personuppgifter som avses i artikel 1.3 anges i Shift2Rails dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller register som avses i artikel 7.1. Personuppgifterna får under inga omständigheter lagras längre än vad som är nödvändigt och rimligt för de ändamål som uppgifterna behandlas för (5).

Artikel 4

Grunder för begränsningar

1.   Shift2Rail ska enbart tillämpa begränsningar i syfte att säkerställa

| a) | den nationella säkerheten, den allmänna säkerheten eller försvaret i medlemsstaterna, |
| --- | --- |

a)

den nationella säkerheten, den allmänna säkerheten eller försvaret i medlemsstaterna,

| b) | förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten, |
| --- | --- |

b)

förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten,

| c) | andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt målen för unionens gemensamma utrikes- och säkerhetspolitik eller ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet, |
| --- | --- |

c)

andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt målen för unionens gemensamma utrikes- och säkerhetspolitik eller ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet,

| d) | den inre säkerheten i unionsinstitutioner och unionsorgan, inbegripet deras elektroniska kommunikationsnät, |
| --- | --- |

d)

den inre säkerheten i unionsinstitutioner och unionsorgan, inbegripet deras elektroniska kommunikationsnät,

| e) | förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken, |
| --- | --- |

e)

förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken,

| f) | en tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som avses i leden a–c, |
| --- | --- |

f)

en tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som avses i leden a–c,

| g) | skydd av den registrerade eller andras rättigheter och friheter, |
| --- | --- |

g)

skydd av den registrerade eller andras rättigheter och friheter,

| h) | verkställighet av civilrättsliga krav. |
| --- | --- |

h)

verkställighet av civilrättsliga krav.

2.   Inom ramen för de ändamål som anges i punkt 1 ovan får Shift2Rail tillämpa begränsningar i följande fall:

| a) | Vid utbyte av personuppgifter med kommissionens avdelningar eller unionens övriga institutioner, organ och byråer






  — | när kommissionsavdelningen, EU-institutionen, EU-organet eller EU-byrån har rätt att begränsa utövandet av de angivna rättigheterna på grundval av andra rättsakter som föreskrivs i artikel 25 i förordning (EU) 2018/1725 eller i enlighet med kapitel IX i den förordningen eller med grundläggande rättsakter för andra av unionens institutioner, organ och byråer, och |
| --- | --- | --- |

a)

Vid utbyte av personuppgifter med kommissionens avdelningar eller unionens övriga institutioner, organ och byråer

—

när kommissionsavdelningen, EU-institutionen, EU-organet eller EU-byrån har rätt att begränsa utövandet av de angivna rättigheterna på grundval av andra rättsakter som föreskrivs i artikel 25 i förordning (EU) 2018/1725 eller i enlighet med kapitel IX i den förordningen eller med grundläggande rättsakter för andra av unionens institutioner, organ och byråer, och

| — | när syftet med en sådan begränsning som görs av avdelningen, institutionen, organet eller byrån skulle äventyras om Shift2Rail inte skulle tillämpa en motsvarande begränsning i fråga om samma personuppgifter. |
| --- | --- |

—

när syftet med en sådan begränsning som görs av avdelningen, institutionen, organet eller byrån skulle äventyras om Shift2Rail inte skulle tillämpa en motsvarande begränsning i fråga om samma personuppgifter.

| b) | Vid utbyte av personuppgifter med behöriga myndigheter i medlemsstaterna






  — | när dessa behöriga myndigheter har rätt att begränsa utövandet av de angivna rättigheterna på grundval av rättsakter som avses i artikel 23 i Europaparlamentets och rådets förordning (EU) 2016/679 (6) eller enligt nationella bestämmelser som införlivar artikel 13.3, 15.3 eller 16.3 i Europaparlamentets och rådets direktiv (EU) 2016/680 (7), och |
| --- | --- | --- |

b)

Vid utbyte av personuppgifter med behöriga myndigheter i medlemsstaterna

—

när dessa behöriga myndigheter har rätt att begränsa utövandet av de angivna rättigheterna på grundval av rättsakter som avses i artikel 23 i Europaparlamentets och rådets förordning (EU) 2016/679 (6) eller enligt nationella bestämmelser som införlivar artikel 13.3, 15.3 eller 16.3 i Europaparlamentets och rådets direktiv (EU) 2016/680 (7), och

| — | när syftet med en sådan begränsning som görs av den behöriga myndigheten skulle äventyras om Shift2Rail inte skulle tillämpa en motsvarande begränsning i fråga om samma personuppgifter. |
| --- | --- |

—

när syftet med en sådan begränsning som görs av den behöriga myndigheten skulle äventyras om Shift2Rail inte skulle tillämpa en motsvarande begränsning i fråga om samma personuppgifter.

| c) | Vid utbyte av personuppgifter med tredjeländer eller internationella organisationer, om det finns tydliga bevis för att utövandet av dessa rättigheter och skyldigheter sannolikt kommer att äventyra Shift2Rails samarbete med tredjeländer eller internationella organisationer i utförandet av myndighetens arbetsuppgifter. |
| --- | --- |

c)

Vid utbyte av personuppgifter med tredjeländer eller internationella organisationer, om det finns tydliga bevis för att utövandet av dessa rättigheter och skyldigheter sannolikt kommer att äventyra Shift2Rails samarbete med tredjeländer eller internationella organisationer i utförandet av myndighetens arbetsuppgifter.

Före tillämpningen av begränsningar i fall som avses i första stycket leden a och b ska Shift2Rail samråda med kommissionens berörda avdelningar, unionens institutioner, organ och byråer eller medlemsstaternas behöriga myndigheter, såvida det inte är uppenbart för Shift2Rail att tillämpningen av en begränsning föreskrivs genom någon av de rättsakter som det hänvisas till i dessa led.

Artikel 5

Registrerades rättigheter och begränsningar av dessa rättigheter

1.   I vederbörligen motiverade fall och enligt villkoren i detta beslut kan följande rättigheter begränsas av den personuppgiftsansvarige inom ramen för den uppgiftsbehandling som anges i artikel 1.2 och punkt 2 nedan när så är nödvändigt och proportionerligt:

| a) | Rätten till information. |
| --- | --- |

a)

Rätten till information.

| b) | Rätten till tillgång. |
| --- | --- |

b)

Rätten till tillgång.

| c) | Rätten till rättelse, radering och begränsning av behandling. |
| --- | --- |

c)

Rätten till rättelse, radering och begränsning av behandling.

| d) | Den registrerades rätt att bli underrättad om en personuppgiftsincident. |
| --- | --- |

d)

Den registrerades rätt att bli underrättad om en personuppgiftsincident.

| e) | Rätten till konfidentiell behandling av elektronisk kommunikation. |
| --- | --- |

e)

Rätten till konfidentiell behandling av elektronisk kommunikation.

2.   I vederbörligen motiverade fall och för att säkerställa de syften som anges i artikel 4.1 kan den personuppgiftsansvarige tillämpa begränsningar inom ramen för följande uppgiftsbehandling som anges i artikel 1.2:

| a) | Genomförande av administrativa utredningar och disciplinära förfaranden. |
| --- | --- |

a)

Genomförande av administrativa utredningar och disciplinära förfaranden.

| b) | Förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf. |
| --- | --- |

b)

Förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf.

| c) | Förfaranden i visselblåsarärenden. |
| --- | --- |

c)

Förfaranden i visselblåsarärenden.

| d) | (Formella och informella) förfaranden vid fall av trakasserier. |
| --- | --- |

d)

(Formella och informella) förfaranden vid fall av trakasserier.

| e) | Behandling av interna och externa klagomål. |
| --- | --- |

e)

Behandling av interna och externa klagomål.

| f) | Internrevisioner. |
| --- | --- |

f)

Internrevisioner.

| g) | Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725. |
| --- | --- |

g)

Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.

| h) | Utredningar om (it-)säkerhet som hanteras internt eller med extern hjälp (t.ex. av CERT-EU). |
| --- | --- |

h)

Utredningar om (it-)säkerhet som hanteras internt eller med extern hjälp (t.ex. av CERT-EU).

| i) | Vid bidragsförvaltning eller upphandlingsförfaranden, efter utgången av tidsfristen för att lämna in förslag eller anbud. |
| --- | --- |

i)

Vid bidragsförvaltning eller upphandlingsförfaranden, efter utgången av tidsfristen för att lämna in förslag eller anbud.

3.   Inom ramen för förfaranden som rör trakasserier kan de rättigheter som anges i punkt 1 begränsas enligt samma villkor, med undantag av den registrerades rätt att bli underrättad om en personuppgiftsincident i enlighet med punkt 1 d.

4.   Inom ramen för bidragsförvaltning eller upphandlingsförfaranden kan de rättigheter som anges i punkt 1 begränsas enligt samma villkor, med undantag av rätten till rättelse, radering och begränsning av behandling i enlighet med punkt 1 c.

5.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut får den personuppgiftsansvarige begränsa rätten till rättelse, radering och begränsning av behandling, utom i de fall som avses i punkterna 3 och 4.

6.   Om Shift2Rail helt eller delvis begränsar de rättigheter som avses i punkterna 1, 3, 4 och 5 ska de åtgärder som anges i artiklarna 6 och 7 i detta beslut vidtas.

7.   Om registrerade, i enlighet med artikel 17 i förordning (EU) 2018/1725, begär tillgång till egna personuppgifter som behandlas i samband med ett eller flera specifika fall eller ärenden som inbegriper uppgiftsbehandling, ska Shift2Rail begränsa sin bedömning av denna begäran till att endast avse dessa personuppgifter.

Artikel 6

Begränsningarnas nödvändighet och proportionalitet

1.   Eventuella begränsningar som grundar sig på artikel 4 ska vara nödvändiga och proportionella med beaktande av riskerna för de registrerades fri- och rättigheter och förenliga med andemeningen i de grundläggande rättigheterna och friheterna i ett demokratiskt samhälle.

2.   Om Shift2Rail överväger att tillämpa en begränsning ska en bedömning av nödvändigheten och proportionaliteten göras på grundval av dessa regler. Bedömningen ska göras i samband med den regelbundna översynen, efter en utvärdering av huruvida de rättsliga och sakliga skäl som motiverar begränsningen fortfarande föreligger. Den ska dokumenteras i redovisningssyfte genom en intern bedömningsnotering i varje enskilt fall.

3.   Begränsningar ska vara tillfälliga och bara tillämpas så länge som skälen som motiverar dem föreligger. Detta gäller i synnerhet om Shift2Rail inte längre anser att utövandet av den begränsade rättigheten skulle upphäva verkan av en införd begränsning eller inverka menligt på andra registrerades rättigheter och friheter.

Shift2Rail ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när undersökningen, utredningen eller förfarandet avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar.

4.   Om Shift2Rail helt eller delvis tillämpar en begränsning på grundval av artikel 4 i detta beslut ska skälen till begränsningen och den rättsliga grunden noteras i enlighet med punkt 1 ovan. Detta innefattar en bedömning av begränsningens nödvändighet och proportionalitet.

Dokumentationen och, i tillämpliga fall, handlingarna som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.

Artikel 7

Informationsskyldighet

1.   Shift2Rail ska informera de registrerade om att deras rättigheter kan komma att begränsas i dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller register som avses i artikel 31 i förordning (EU) 2018/1725. Dessa offentliggörs på Shift2Rails webbplats och/eller intranät och innehåller information till registrerade om deras rättigheter inom ramen för ett visst förfarande. Informationen ska omfatta vilka rättigheter som kan komma att begränsas, skälen till detta och möjlig varaktighet.

Utan att det påverkar tillämpningen av bestämmelserna i artikel 6.4 ska Shift2Rail även, där så är proportionellt, informera alla de registrerade som anses vara berörda i den specifika behandlingen om deras rättigheter vad gäller aktuella eller framtida begränsningar. Informationen ska ges utan onödigt dröjsmål, skriftligen och individuellt.

2.   När Shift2Rail helt eller delvis begränsar de rättigheter som anges i artikel 5 ska den registrerade i fråga informeras om begränsningen och de huvudsakliga skälen till denna samt om möjligheten att inge klagomål till Europeiska datatillsynsmannen eller att begära rättslig prövning vid Europeiska unionens domstol.

Tillhandahållandet av den information som avses i punkt 2 ovan får skjutas upp, utelämnas eller nekas om det skulle upphäva verkan av en begränsning som införts i enlighet med artikel 25.8 i förordning (EU) 2018/1725.

Artikel 8

Dataskyddsombudets översyn

1.   Shift2Rail ska utan onödigt dröjsmål underrätta sitt dataskyddsombud när den personuppgiftsansvarige begränsar tillämpningen av de registrerades rättigheter eller utvidgar begränsningen med stöd i detta beslut. Den personuppgiftsansvarige ska ge dataskyddsombudet tillgång till den dokumentation som innehåller bedömningen av begränsningens nödvändighet och proportionalitet och ange i densamma det datum när dataskyddsombudet underrättades.

2.   Dataskyddsombudet kan skriftligen begära att den personuppgiftsansvarige ska se över tillämpningen av begränsningarna. Den personuppgiftsansvarige ska skriftligen informera dataskyddsombudet om resultatet från den begärda översynen.

3.   Dataskyddsombudet ska involveras under hela förfarandet. Den personuppgiftsansvarige ska också informera dataskyddsombudet när en begränsning har upphört.

Artikel 9

Ikraftträdande

Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Europeiska unionens officiella tidning

Utfärdat i Bryssel den 26 mars 2020.

För det gemensamma företaget Shift2Rails styrelse

Henrik HOLOLEI

Ordförande

---

(1)  
  EUT C 202, 7.6.2016, s. 47.

1

(2)  
  EUT L 295, 21.11.2018, s. 39.

2

(3)  
  EUT L 177, 17.6.2014, s. 9.

3

(4)  Vid gemensamt personuppgiftsansvar ska uppgifter behandlas i enlighet med de ändamål och medel som fastställts i det relevanta avtalet mellan de gemensamt personuppgiftsansvariga i enlighet med artikel 28 i förordning (EU) 2018/1725.

4

(5)  Shift2Rails policy för datalagring grundar sig på lagring av ärendehandlingar vid kommissionen i enlighet med den gemensamma bevarandeförteckningen, en rättslig handling (den senaste versionen är SEC(2019) 900) i form av en tidsplan som fastställer lagringsperioder för olika typer av kommissionsakter.

5

(6)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

6

(7)  Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89).

7

---