# Publicatieblad L 236/2020

| | ISSN 1977-0758 |
| --- | --- |
| Publicatieblad
  van de Europese Unie | L 236 |
| | |
| Uitgave in de Nederlandse taal | Wetgeving | 63e jaargang22 juli 2020 |

ISSN 1977-0758

Publicatieblad

van de Europese Unie

L 236

Uitgave in de Nederlandse taal

Wetgeving

63e jaargang22 juli 2020

---

| Inhoud | | II   Niet-wetgevingshandelingen | Bladzijde |
| --- | --- | --- | --- |
| | | REGLEMENTEN VAN ORDE EN REGLEMENTEN VOOR DE PROCESVOERING |
| | * | Besluit van het Europees Investeringsfonds van 4 juni 2020 inzake interne voorschriften betreffende beperkingen van bepaalde rechten van betrokkenen met betrekking tot de verwerking van persoonsgegevens in het kader van activiteiten van het Europees Investeringsfonds | 1 |
| | * | Besluit Nr. 1/2020 van de raad van bestuur van de Gemeenschappelijke Onderneming Shift2Rail van 26 maart 2020 tot vaststelling van interne voorschriften betreffende de beperking van bepaalde rechten van betrokkenen in verband met de verwerking van hun persoonsgegevens in het kader van het functioneren van de Gemeenschappelijke Onderneming Shift2Rail | 7 |

Inhoud

II   Niet-wetgevingshandelingen

Bladzijde

REGLEMENTEN VAN ORDE EN REGLEMENTEN VOOR DE PROCESVOERING

*

Besluit van het Europees Investeringsfonds van 4 juni 2020 inzake interne voorschriften betreffende beperkingen van bepaalde rechten van betrokkenen met betrekking tot de verwerking van persoonsgegevens in het kader van activiteiten van het Europees Investeringsfonds

1

*

Besluit Nr. 1/2020 van de raad van bestuur van de Gemeenschappelijke Onderneming Shift2Rail van 26 maart 2020 tot vaststelling van interne voorschriften betreffende de beperking van bepaalde rechten van betrokkenen in verband met de verwerking van hun persoonsgegevens in het kader van het functioneren van de Gemeenschappelijke Onderneming Shift2Rail

7

| NL | Besluiten waarvan de titels mager zijn gedrukt, zijn besluiten van dagelijks beheer die in het kader van het landbouwbeleid zijn genomen en die in het algemeen een beperkte geldigheidsduur hebben.
  Besluiten waarvan de titels vet zijn gedrukt en die worden voorafgegaan door een sterretje, zijn alle andere besluiten. |
| --- | --- |

NL

Besluiten waarvan de titels mager zijn gedrukt, zijn besluiten van dagelijks beheer die in het kader van het landbouwbeleid zijn genomen en die in het algemeen een beperkte geldigheidsduur hebben.

Besluiten waarvan de titels vet zijn gedrukt en die worden voorafgegaan door een sterretje, zijn alle andere besluiten.

---

II Niet-wetgevingshandelingen

REGLEMENTEN VAN ORDE EN REGLEMENTEN VOOR DE PROCESVOERING

| 22.7.2020 | NL | Publicatieblad van de Europese Unie | L 236/1 |
| --- | --- | --- | --- |

22.7.2020

NL

Publicatieblad van de Europese Unie

L 236/1

---

BESLUIT VAN HET EUROPEES INVESTERINGSFONDS

van 4 juni 2020

inzake interne voorschriften betreffende beperkingen van bepaalde rechten van betrokkenen met betrekking tot de verwerking van persoonsgegevens in het kader van activiteiten van het Europees Investeringsfonds

HET EUROPEES INVESTERINGSFONDS (EIF),

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1) (hierna: “de verordening”), en met name artikel 25,

Gezien het advies (2) van de Europese Toezichthouder voor gegevensbescherming (EDPS),

Overwegende hetgeen volgt:

| (1) | De afdeling Compliance van het EIF kan in het kader van haar functioneren administratief onderzoek verrichten op grond van de gedragscode voor medewerkers van de EIB-Groep, hetgeen inhoudt dat informatie, met inbegrip van persoonsgegevens, wordt verwerkt. |
| --- | --- |

(1)

De afdeling Compliance van het EIF kan in het kader van haar functioneren administratief onderzoek verrichten op grond van de gedragscode voor medewerkers van de EIB-Groep, hetgeen inhoudt dat informatie, met inbegrip van persoonsgegevens, wordt verwerkt.

| (2) | De functionaris voor gegevensbescherming van het EIF (Data Protection Officer, hierna: DPO) mag, op eigen initiatief of op verzoek van de verwerkingsverantwoordelijke of iedere andere persoon, zaken en gebeurtenissen onderzoeken die rechtstreeks verband houden met zijn of haar taken waar hij of zij kennis van neemt, en verslag hiervan uitbrengen aan de persoon die het onderzoek aanvroeg of de verwerkingsverantwoordelijke, overeenkomstig het in artikel 45, lid 2, van de verordening bepaalde. |
| --- | --- |

(2)

De functionaris voor gegevensbescherming van het EIF (Data Protection Officer, hierna: DPO) mag, op eigen initiatief of op verzoek van de verwerkingsverantwoordelijke of iedere andere persoon, zaken en gebeurtenissen onderzoeken die rechtstreeks verband houden met zijn of haar taken waar hij of zij kennis van neemt, en verslag hiervan uitbrengen aan de persoon die het onderzoek aanvroeg of de verwerkingsverantwoordelijke, overeenkomstig het in artikel 45, lid 2, van de verordening bepaalde.

| (3) | De afdeling Human and Resources Management van het EIF mag in het kader van haar functioneren disciplinaire maatregelen opleggen op grond van artikel 6 van de gedragscode voor medewerkers van het EIF, hoofdstuk IV van het beleid inzake waardigheid op het werk, en de geldende gedragsregels van het EIF. |
| --- | --- |

(3)

De afdeling Human and Resources Management van het EIF mag in het kader van haar functioneren disciplinaire maatregelen opleggen op grond van artikel 6 van de gedragscode voor medewerkers van het EIF, hoofdstuk IV van het beleid inzake waardigheid op het werk, en de geldende gedragsregels van het EIF.

| (4) | De leden van de raad van bestuur van het EIF, de algemeen directeur, de adjunct algemeen directeur en de medewerkers alsook de bij de operaties/transacties betrokken partijen hebben de plicht mogelijk verboden gedrag (zoals fraude of corruptie) dat de belangen van het EIF en van de Unie schaadt aan de afdeling Fraudeonderzoek van de EIB (“IG/IN”) te melden. Voor zover het gaat om gedragingen die verband houden met de vervulling van beroepstaken en die een aanwijzing kunnen vormen voor ernstig ambtelijk plichtsverzuim, hebben zij de plicht hiervan melding te maken bij de daartoe bevoegde diensten. Daarnaast mag iedere natuurlijke persoon of rechtspersoon een vermoeden van verboden gedrag melden aan IG/IN. |
| --- | --- |

(4)

De leden van de raad van bestuur van het EIF, de algemeen directeur, de adjunct algemeen directeur en de medewerkers alsook de bij de operaties/transacties betrokken partijen hebben de plicht mogelijk verboden gedrag (zoals fraude of corruptie) dat de belangen van het EIF en van de Unie schaadt aan de afdeling Fraudeonderzoek van de EIB (“IG/IN”) te melden. Voor zover het gaat om gedragingen die verband houden met de vervulling van beroepstaken en die een aanwijzing kunnen vormen voor ernstig ambtelijk plichtsverzuim, hebben zij de plicht hiervan melding te maken bij de daartoe bevoegde diensten. Daarnaast mag iedere natuurlijke persoon of rechtspersoon een vermoeden van verboden gedrag melden aan IG/IN.

| (5) | Onderzoeken naar verboden gedrag als bedoeld in het antifraudebeleid van het EIF worden uitgevoerd door IG/IN als gegevensverwerker, op grond van de tussen het EIF en de EIB bestaande raamovereenkomst voor de verlening van diensten. |
| --- | --- |

(5)

Onderzoeken naar verboden gedrag als bedoeld in het antifraudebeleid van het EIF worden uitgevoerd door IG/IN als gegevensverwerker, op grond van de tussen het EIF en de EIB bestaande raamovereenkomst voor de verlening van diensten.

| (6) | Het EIF voert controles uit van de eigen activiteiten. Deze worden momenteel uitgevoerd door de afdeling Interne Audit van de EIB op grond van de tussen het EIF en de EIB bestaande raamovereenkomst voor de verlening van diensten. |
| --- | --- |

(6)

Het EIF voert controles uit van de eigen activiteiten. Deze worden momenteel uitgevoerd door de afdeling Interne Audit van de EIB op grond van de tussen het EIF en de EIB bestaande raamovereenkomst voor de verlening van diensten.

| (7) | In het kader van de taken die werden beschreven in bovenstaande overwegingen 1 tot en met 6 kan het EIF bijstand bieden en ontvangen van, en samenwerken met andere instellingen, organen, bureaus en agentschappen van de Unie, zoals vastgelegd in dienstenniveauovereenkomsten, memoranda van overeenstemming en samenwerkingsovereenkomsten. |
| --- | --- |

(7)

In het kader van de taken die werden beschreven in bovenstaande overwegingen 1 tot en met 6 kan het EIF bijstand bieden en ontvangen van, en samenwerken met andere instellingen, organen, bureaus en agentschappen van de Unie, zoals vastgelegd in dienstenniveauovereenkomsten, memoranda van overeenstemming en samenwerkingsovereenkomsten.

| (8) | Het EIF kan bijstand bieden en ontvangen van, en samenwerken met overheidsinstanties van de EU-lidstaten, op hun verzoek of op eigen initiatief. |
| --- | --- |

(8)

Het EIF kan bijstand bieden en ontvangen van, en samenwerken met overheidsinstanties van de EU-lidstaten, op hun verzoek of op eigen initiatief.

| (9) | Het EIF kan bijstand bieden en ontvangen van, en samenwerken met nationale autoriteiten van derde landen en internationale organisaties, op hun verzoek of op eigen initiatief. |
| --- | --- |

(9)

Het EIF kan bijstand bieden en ontvangen van, en samenwerken met nationale autoriteiten van derde landen en internationale organisaties, op hun verzoek of op eigen initiatief.

| (10) | In het kader van bovengenoemde activiteiten kan het EIF, in zijn rol als verwerkingsverantwoordelijke, of een van de zakelijke relaties van het EIF als bedoeld in overweging 4 hierboven, waaronder IG/IN als gegevensverwerker, of enige andere hiertoe bevoegde dienst, informatie en persoonsgegevens, waaronder identificatiegegevens van een natuurlijke persoon, contactinformatie, informatie over beroep en taken, informatie over gedragingen en prestaties in functie en in de persoonlijke levenssfeer, en financiële gegevens verzamelen en verwerken. |
| --- | --- |

(10)

In het kader van bovengenoemde activiteiten kan het EIF, in zijn rol als verwerkingsverantwoordelijke, of een van de zakelijke relaties van het EIF als bedoeld in overweging 4 hierboven, waaronder IG/IN als gegevensverwerker, of enige andere hiertoe bevoegde dienst, informatie en persoonsgegevens, waaronder identificatiegegevens van een natuurlijke persoon, contactinformatie, informatie over beroep en taken, informatie over gedragingen en prestaties in functie en in de persoonlijke levenssfeer, en financiële gegevens verzamelen en verwerken.

| (11) | Er zijn toereikende waarborgen ingevoerd om persoonsgegevens te beschermen en te voorkomen dat onbedoeld of op onrechtmatige wijze toegang wordt verkregen tot persoonsgegevens of dat persoonsgegevens onbedoeld of op onrechtmatige wijze worden doorgegeven. Dit geldt zowel voor persoonsgegevens die fysiek zijn opgeslagen, als voor persoonsgegevens die elektronisch zijn opgeslagen. Na verwerking worden de gegevens overeenkomstig de toepasselijke voorschriften van het EIF bewaard in het register van verwerkingsactiviteiten op grond van artikel 31 van de verordening. Na afloop van de bewaartermijn wordt de informatie over de zaak, met inbegrip van de persoonsgegevens, gewist, volledig geanonimiseerd of overgebracht naar de historische archieven, overeenkomstig de beginselen van de Europese verordeningen inzake gegevensbescherming en de desbetreffende regelgeving of beleidslijnen van het EIF. |
| --- | --- |

(11)

Er zijn toereikende waarborgen ingevoerd om persoonsgegevens te beschermen en te voorkomen dat onbedoeld of op onrechtmatige wijze toegang wordt verkregen tot persoonsgegevens of dat persoonsgegevens onbedoeld of op onrechtmatige wijze worden doorgegeven. Dit geldt zowel voor persoonsgegevens die fysiek zijn opgeslagen, als voor persoonsgegevens die elektronisch zijn opgeslagen. Na verwerking worden de gegevens overeenkomstig de toepasselijke voorschriften van het EIF bewaard in het register van verwerkingsactiviteiten op grond van artikel 31 van de verordening. Na afloop van de bewaartermijn wordt de informatie over de zaak, met inbegrip van de persoonsgegevens, gewist, volledig geanonimiseerd of overgebracht naar de historische archieven, overeenkomstig de beginselen van de Europese verordeningen inzake gegevensbescherming en de desbetreffende regelgeving of beleidslijnen van het EIF.

| (12) | In dit verband is het EIF verplicht de betrokkenen informatie te verstrekken over bovengenoemde verwerkingsactiviteiten en hun rechten, zoals vastgelegd in de verordening, te eerbiedigen. |
| --- | --- |

(12)

In dit verband is het EIF verplicht de betrokkenen informatie te verstrekken over bovengenoemde verwerkingsactiviteiten en hun rechten, zoals vastgelegd in de verordening, te eerbiedigen.

| (13) | Het kan noodzakelijk zijn de rechten van betrokkenen uit hoofde van de verordening af te stemmen op de behoeften van de bovengenoemde activiteiten onder volledige inachtneming van de grondrechten en fundamentele vrijheden van andere betrokkenen. Daartoe voorziet artikel 25 van de verordening onder strikte voorwaarden in de mogelijkheid de toepassing te beperken van de artikelen 14 tot en met 20, 35 en 36, alsook artikel 4, voor zover de bepalingen daarvan overeenkomen met de rechten en verplichtingen in de artikelen 14 tot en met 20. Daarom is het noodzakelijk interne voorschriften vast te stellen voor de gevallen waarin het EIF bovengenoemde rechten van betrokkenen kan beperken in lijn met hetzelfde artikel van de verordening. |
| --- | --- |

(13)

Het kan noodzakelijk zijn de rechten van betrokkenen uit hoofde van de verordening af te stemmen op de behoeften van de bovengenoemde activiteiten onder volledige inachtneming van de grondrechten en fundamentele vrijheden van andere betrokkenen. Daartoe voorziet artikel 25 van de verordening onder strikte voorwaarden in de mogelijkheid de toepassing te beperken van de artikelen 14 tot en met 20, 35 en 36, alsook artikel 4, voor zover de bepalingen daarvan overeenkomen met de rechten en verplichtingen in de artikelen 14 tot en met 20. Daarom is het noodzakelijk interne voorschriften vast te stellen voor de gevallen waarin het EIF bovengenoemde rechten van betrokkenen kan beperken in lijn met hetzelfde artikel van de verordening.

| (14) | Dit kan in het bijzonder het geval zijn bij het verstrekken van informatie over de verwerking van persoonsgegevens aan de betrokkene in de inleidende beoordelingsfase van een administratief onderzoek of tijdens het onderzoek zelf, voorafgaand aan een mogelijke afwijzing van de zaak of een predisciplinaire fase. In bepaalde omstandigheden kan het verstrekken van dergelijke informatie het EIF ernstig belemmeren om een doeltreffend onderzoek te verrichten, wanneer er bijvoorbeeld een risico bestaat dat de betreffende persoon bewijsmateriaal vernietigt of mogelijke getuigen beïnvloedt voordat hij of zij wordt gehoord. Voorts zou het EIF de rechten en vrijheden van andere betrokken personen moeten kunnen beschermen. Het kan in het bijzonder noodzakelijk zijn de vertrouwelijkheid te beschermen van een getuige of klokkenluider die om anonimiteit heeft gevraagd. In dat geval kan het EIF besluiten een beperking op te leggen voor de toegang tot de identiteit, verklaringen en andere gegevens betreffende de klokkenluider en/of andere betrokken personen, teneinde hun rechten en vrijheden te beschermen. |
| --- | --- |

(14)

Dit kan in het bijzonder het geval zijn bij het verstrekken van informatie over de verwerking van persoonsgegevens aan de betrokkene in de inleidende beoordelingsfase van een administratief onderzoek of tijdens het onderzoek zelf, voorafgaand aan een mogelijke afwijzing van de zaak of een predisciplinaire fase. In bepaalde omstandigheden kan het verstrekken van dergelijke informatie het EIF ernstig belemmeren om een doeltreffend onderzoek te verrichten, wanneer er bijvoorbeeld een risico bestaat dat de betreffende persoon bewijsmateriaal vernietigt of mogelijke getuigen beïnvloedt voordat hij of zij wordt gehoord. Voorts zou het EIF de rechten en vrijheden van andere betrokken personen moeten kunnen beschermen. Het kan in het bijzonder noodzakelijk zijn de vertrouwelijkheid te beschermen van een getuige of klokkenluider die om anonimiteit heeft gevraagd. In dat geval kan het EIF besluiten een beperking op te leggen voor de toegang tot de identiteit, verklaringen en andere gegevens betreffende de klokkenluider en/of andere betrokken personen, teneinde hun rechten en vrijheden te beschermen.

| (15) | Bij het bieden van bijstand aan, het ontvangen van bijstand van, en het samenwerken met andere instellingen, organen, bureaus en agentschappen van de Unie, overheidsinstanties van de EU-lidstaten, nationale autoriteiten van derde landen en internationale organisaties in het kader van bovengenoemde activiteiten, kan het zijn dat het EIF in bepaalde omstandigheden en met inachtneming van de door de EDPS gestelde minimumeisen voor de bescherming van gegevens, ten behoeve van de doeltreffendheid van zijn onderzoeken of van de onderzoeken die door de entiteit met wie het samenwerkt worden verricht, betrokken personen en hun rechten en vrijheden moet beschermen. |
| --- | --- |

(15)

Bij het bieden van bijstand aan, het ontvangen van bijstand van, en het samenwerken met andere instellingen, organen, bureaus en agentschappen van de Unie, overheidsinstanties van de EU-lidstaten, nationale autoriteiten van derde landen en internationale organisaties in het kader van bovengenoemde activiteiten, kan het zijn dat het EIF in bepaalde omstandigheden en met inachtneming van de door de EDPS gestelde minimumeisen voor de bescherming van gegevens, ten behoeve van de doeltreffendheid van zijn onderzoeken of van de onderzoeken die door de entiteit met wie het samenwerkt worden verricht, betrokken personen en hun rechten en vrijheden moet beschermen.

| (16) | Het EIF mag enkel beperkingen opleggen wanneer deze de essentie van de grondrechten en fundamentele vrijheden eerbiedigen, strikt noodzakelijk zijn en een evenredige maatregel vormen in een democratische samenleving. Het EIF dient de redenen voor deze beperkingen te rechtvaardigen. |
| --- | --- |

(16)

Het EIF mag enkel beperkingen opleggen wanneer deze de essentie van de grondrechten en fundamentele vrijheden eerbiedigen, strikt noodzakelijk zijn en een evenredige maatregel vormen in een democratische samenleving. Het EIF dient de redenen voor deze beperkingen te rechtvaardigen.

| (17) | Op grond van het verantwoordingsbeginsel dient het EIF een register van de toegepaste beperkingen bij te houden. |
| --- | --- |

(17)

Op grond van het verantwoordingsbeginsel dient het EIF een register van de toegepaste beperkingen bij te houden.

| (18) | Bij de verwerking van persoonsgegevens die het EIF in het kader van zijn taken met andere organisaties uitwisselt, dienen het EIF en deze organisaties elkaar te raadplegen over mogelijke relevante redenen voor het opleggen van beperkingen en de noodzakelijkheid en evenredigheid daarvan, tenzij dit de activiteiten van het EIF in gevaar zouden brengen. |
| --- | --- |

(18)

Bij de verwerking van persoonsgegevens die het EIF in het kader van zijn taken met andere organisaties uitwisselt, dienen het EIF en deze organisaties elkaar te raadplegen over mogelijke relevante redenen voor het opleggen van beperkingen en de noodzakelijkheid en evenredigheid daarvan, tenzij dit de activiteiten van het EIF in gevaar zouden brengen.

| (19) | Artikel 25, lid 6, van de verordening verplicht de verwerkingsverantwoordelijke ertoe betrokkenen in kennis te stellen van de voornaamste redenen voor de toepassing van de beperking en van hun recht om een klacht in te dienen bij de EDPS. |
| --- | --- |

(19)

Artikel 25, lid 6, van de verordening verplicht de verwerkingsverantwoordelijke ertoe betrokkenen in kennis te stellen van de voornaamste redenen voor de toepassing van de beperking en van hun recht om een klacht in te dienen bij de EDPS.

| (20) | Ingevolge artikel 25, lid 8, van de verordening kan het EIF het verstrekken van informatie aan de betrokkene over de redenen voor de toepassing van een beperking uitstellen, achterwege laten of weigeren, indien dit het effect van de beperking op enigerlei wijze teniet zou doen. Het EIF dient per geval te beoordelen of een mededeling van de beperking het effect ervan tenietdoet. |
| --- | --- |

(20)

Ingevolge artikel 25, lid 8, van de verordening kan het EIF het verstrekken van informatie aan de betrokkene over de redenen voor de toepassing van een beperking uitstellen, achterwege laten of weigeren, indien dit het effect van de beperking op enigerlei wijze teniet zou doen. Het EIF dient per geval te beoordelen of een mededeling van de beperking het effect ervan tenietdoet.

| (21) | De DPO mag een onafhankelijke evaluatie uitvoeren van de toepassing van de beperkingen, om te waarborgen dat hierbij de bepalingen van het onderhavige besluit worden nageleefd, |
| --- | --- |

(21)

De DPO mag een onafhankelijke evaluatie uitvoeren van de toepassing van de beperkingen, om te waarborgen dat hierbij de bepalingen van het onderhavige besluit worden nageleefd,

HEEFT VOLGENDE BESLUIT VASTGESTELD:

Artikel 1

Onderwerp en reikwijdte

In het onderhavige besluit zijn de voorschriften vastgelegd inzake de voorwaarden waaronder het EIF op grond van artikel 25 van de verordening de toepassing van de artikelen 14 tot en met 20, 35 en 36, alsook artikel 4 kan beperken.

Artikel 2

Beperkingen

1.   In overeenstemming met artikel 25, lid 1, van de verordening kan het EIF de toepassing van de artikelen 14 tot en met 20, 35 en 36, en artikel 4, voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 20 voorzien, alleen voor individuele gevallen beperken wanneer het:

| a) | administratief onderzoek verricht op grond van de gedragscode voor medewerkers van de EIB-Groep en andere geldende gedragsregels; |
| --- | --- |

a)

administratief onderzoek verricht op grond van de gedragscode voor medewerkers van de EIB-Groep en andere geldende gedragsregels;

| b) | zaken en gebeurtenissen onderzoekt die rechtstreeks verband houden met de taken van de DPO, als bedoeld in artikel 45, lid 2, van de verordening; |
| --- | --- |

b)

zaken en gebeurtenissen onderzoekt die rechtstreeks verband houden met de taken van de DPO, als bedoeld in artikel 45, lid 2, van de verordening;

| c) | disciplinaire maatregelen oplegt op grond van artikel 6 van de gedragscode voor medewerkers van het EIF, hoofdstuk IV van het beleid inzake waardigheid op het werk, de gedragscode voor medewerkers van de EIB-Groep en overige geldende gedragsregels van het EIF; |
| --- | --- |

c)

disciplinaire maatregelen oplegt op grond van artikel 6 van de gedragscode voor medewerkers van het EIF, hoofdstuk IV van het beleid inzake waardigheid op het werk, de gedragscode voor medewerkers van de EIB-Groep en overige geldende gedragsregels van het EIF;

| d) | waarborgt dat de medewerkers van het EIF op vertrouwelijke wijze melding kunnen maken van vermeende ernstige onregelmatigheden als bedoeld in het klokkenluidersbeleid van de EIB-Groep; |
| --- | --- |

d)

waarborgt dat de medewerkers van het EIF op vertrouwelijke wijze melding kunnen maken van vermeende ernstige onregelmatigheden als bedoeld in het klokkenluidersbeleid van de EIB-Groep;

| e) | waarborgt dat medewerkers van het EIF op vertrouwelijke wijze melding kunnen maken van vermeend verboden gedrag, waaronder fraude of corruptie, dat de belangen van de Unie schaadt, of van gedragingen bij de vervulling van beroepstaken die een aanwijzing kunnen vormen voor ernstig ambtelijk plichtsverzuim, zoals vastgelegd in het klokkenluidersbeleid van de EIB-Groep, het antifraudebeleid van het EIF en de desbetreffende gedragsregels van het EIF; |
| --- | --- |

e)

waarborgt dat medewerkers van het EIF op vertrouwelijke wijze melding kunnen maken van vermeend verboden gedrag, waaronder fraude of corruptie, dat de belangen van de Unie schaadt, of van gedragingen bij de vervulling van beroepstaken die een aanwijzing kunnen vormen voor ernstig ambtelijk plichtsverzuim, zoals vastgelegd in het klokkenluidersbeleid van de EIB-Groep, het antifraudebeleid van het EIF en de desbetreffende gedragsregels van het EIF;

| f) | onderzoek uitvoert naar verboden gedrag als bedoeld in het antifraudebeleid van het EIF; |
| --- | --- |

f)

onderzoek uitvoert naar verboden gedrag als bedoeld in het antifraudebeleid van het EIF;

| g) | interne audits verricht met betrekking tot alle activiteiten en afdelingen van het EIF; |
| --- | --- |

g)

interne audits verricht met betrekking tot alle activiteiten en afdelingen van het EIF;

| h) | bijstand biedt of ontvangt van, en samenwerkt met andere instellingen, organen, bureaus en agentschappen van de Unie in verband met de bovengenoemde activiteiten, zoals vastgelegd in dienstenniveauovereenkomsten, memoranda van overeenstemming en samenwerkingsovereenkomsten; |
| --- | --- |

h)

bijstand biedt of ontvangt van, en samenwerkt met andere instellingen, organen, bureaus en agentschappen van de Unie in verband met de bovengenoemde activiteiten, zoals vastgelegd in dienstenniveauovereenkomsten, memoranda van overeenstemming en samenwerkingsovereenkomsten;

| i) | bijstand biedt of ontvangt van, en samenwerkt met overheidsinstanties van de EU-lidstaten, op hun verzoek of op eigen initiatief; |
| --- | --- |

i)

bijstand biedt of ontvangt van, en samenwerkt met overheidsinstanties van de EU-lidstaten, op hun verzoek of op eigen initiatief;

| j) | bijstand biedt of ontvangt van, en samenwerkt met nationale autoriteiten van derde landen en internationale organisaties, op hun verzoek of op eigen initiatief. |
| --- | --- |

j)

bijstand biedt of ontvangt van, en samenwerkt met nationale autoriteiten van derde landen en internationale organisaties, op hun verzoek of op eigen initiatief.

2.   De categorieën persoonsgegevens kunnen identificatiegegevens omvatten van een natuurlijke persoon, contactinformatie, informatie over beroep en taken, informatie over gedragingen en prestaties in functie en in de persoonlijke levenssfeer, gegevens over betrokkenheid bij een zaak en financiële gegevens.

3.   De toepassing van bovengenoemde beperkingen laat de mogelijke toepassing van de bepalingen van artikel 16, lid 5, en artikel 17, lid 4, van de verordening, die verband houden met het recht van informatie wanneer gegevens niet van de betrokkene zijn verkregen, respectievelijk het recht van inzage van betrokkene, onverlet.

4.   Iedere beperking moet de essentie van de grondrechten en fundamentele vrijheden eerbiedigen en een noodzakelijke en evenredige maatregel vormen in een democratische samenleving, zoals bedoeld in de verordening en de desbetreffende regelgeving of interne beleidslijnen van het EIF of de EIB-Groep.

5.   Iedere beperking dient te berusten op uitdrukkelijke toestemming op grond van een geldend intern beleid of proces van het EIF en zo min mogelijk invloed hebben op de rechten van de betrokkene(n), zoals vastgesteld door de DPO.

6.   Voordat er beperkingen worden opgelegd, wordt een noodzakelijkheids- en evenredigheidstest uitgevoerd, per geval en naar tevredenheid van de DPO. Er worden enkel beperkingen opgelegd die strikt noodzakelijk zijn om de gestelde doelen te bereiken. Beperkingen worden uitsluitend opgelegd voor de periode die naar het oordeel van de DPO nodig is in verband met de desbetreffende reden van lid 1, die als motivering voor de beperking geldt.

7.   Wanneer IG/IN de verstrekking van informatie aan de betrokkenen die relevant is voor een onderzoek (de betrokken persoon, getuige of informant) geheel of gedeeltelijk beperkt, legt zij de redenen voor de beperking vast, en evalueert zij daarbij de noodzaak en de evenredigheid van de beperking. Hiertoe wordt vastgelegd hoe de verstrekking van informatie het doel van de onderzoeksactiviteiten van IG/IN of van de uit hoofde van artikel 2, lid 1, onder f), g) en h), van het onderhavige besluit toegepaste beperkingen in het gedrang zou brengen, of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen. De vastgelegde gegevens, en voor zover van toepassing, de documenten met onderliggende feiten en juridische elementen, worden geregistreerd. Deze worden desgevraagd aan de EDPS verstrekt.

8.   Omwille van zijn verantwoordingsplicht legt het EIF de redenen voor de toegepaste beperkingen, welke van de in lid 1 genoemde gronden van toepassing zijn, alsook het resultaat van de noodzakelijkheids- en evenredigheidstest schriftelijk vast. Deze aantekeningen maken deel uit van een specifiek register, dat op verzoek ter beschikking wordt gesteld aan de EDPS.

9.   Bij de verwerking van persoonsgegevens die het EIF in het kader van zijn taken met andere organisaties uitwisselt, dienen het EIF en deze organisaties elkaar te raadplegen over mogelijke relevante redenen voor het opleggen van beperkingen en de noodzakelijkheid en evenredigheid daarvan, tenzij dit de activiteiten van het EIF in gevaar zouden brengen

Artikel 3

Risico’s voor de rechten en vrijheden van betrokkenen

De beoordeling van de risico’s voor de rechten en vrijheden van betrokkenen op wier persoonsgegevens beperkingen kunnen worden toegepast, evenals de bewaartermijn ervan, worden in het register van de relevante verwerkingsactiviteiten opgenomen in overeenstemming met artikel 31 van de verordening en, indien van toepassing, in relevante gegevensbeschermingseffectbeoordelingen op grond van artikel 39 van de verordening.

Artikel 4

Opslagperioden en waarborgen

Het EIF voert waarborgen in om misbruik of onrechtmatige toegang tot, of onrechtmatige doorgifte van persoonsgegevens die aan beperkingen onderhevig kunnen zijn, te voorkomen. Deze waarborgen omvatten technische en organisatorische maatregelen en worden voor zover noodzakelijk uitvoerig vastgelegd in interne besluiten, procedures en uitvoeringsvoorschriften van het EIF. De waarborgen omvatten:

| 1. | een toereikende definitie van rollen, verantwoordelijkheden en procedurele stappen; |
| --- | --- |

1.

een toereikende definitie van rollen, verantwoordelijkheden en procedurele stappen;

| 2. | indien van toepassing, een veilige elektronische omgeving die onrechtmatige of onbedoelde toegang tot elektronische gegevens door onbevoegden, of onrechtmatige of onbedoelde doorgifte van elektronische gegevens aan onbevoegden verhindert; |
| --- | --- |

2.

indien van toepassing, een veilige elektronische omgeving die onrechtmatige of onbedoelde toegang tot elektronische gegevens door onbevoegden, of onrechtmatige of onbedoelde doorgifte van elektronische gegevens aan onbevoegden verhindert;

| 3. | indien van toepassing, een veilige opslag en verwerking van fysieke documenten; |
| --- | --- |

3.

indien van toepassing, een veilige opslag en verwerking van fysieke documenten;

| 4. | een passende monitoring van de beperkingen en een periodieke herziening door de DPO, die minimaal eenmaal per zes maanden moet plaatsvinden. Er moet ook een herziening plaatsvinden wanneer zich wijzigingen voordoen in essentiële elementen van de zaak. De beperkingen worden opgeheven zodra de omstandigheden die ze rechtvaardigen, niet langer van toepassing zijn. |
| --- | --- |

4.

een passende monitoring van de beperkingen en een periodieke herziening door de DPO, die minimaal eenmaal per zes maanden moet plaatsvinden. Er moet ook een herziening plaatsvinden wanneer zich wijzigingen voordoen in essentiële elementen van de zaak. De beperkingen worden opgeheven zodra de omstandigheden die ze rechtvaardigen, niet langer van toepassing zijn.

Artikel 5

Informatie aan en herziening door de DPO

1.   De DPO van het EIF wordt onverwijld in kennis gesteld wanneer de rechten van een betrokkene in overeenstemming met het onderhavige besluit worden beperkt, en krijgt volledige en onbeperkte toegang tot alle bescheiden en documenten die aan de feitelijke en juridische elementen ten grondslag liggen, die relevant zijn voor het besluit over de beperking en voor het monitoren van de handhaving van de beperking.

2.   De DPO kan vragen de toepassing van de beperking te herzien.

3.   Indien de DPO bij de uitvoering van zijn of haar eigen onderzoek beperkingen oplegt, dan stelt de DPO de verwerkingsverantwoordelijke hiervan onverwijld in kennis.

4.   De betrokkenheid van de DPO in de beperkingsprocedure, met inbegrip van de uitwisseling van informatie, wordt in passende vorm gedocumenteerd en opgenomen in de desbetreffende bescheiden en registers.

5.   In het kader van een onderzoek naar verboden gedrag treedt IG/IN in overleg met de DPO alvorens bepaalde gronden voor beperkingen als bedoeld in artikel 25 van de verordening toe te passen op de verwerking van gegevens uitgevoerd uit hoofde van het antifraudebeleid van het EIF, het handvest van de afdeling Fraudeonderzoek en de onderzoeksprocedures.

Artikel 6

Informatie aan betrokkenen over beperkingen van hun rechten

1.   Het EIF neemt in de berichten over gegevensbescherming die op zijn website worden gepubliceerd, algemene informatie voor de betrokkenen op die verband houdt met mogelijke beperkingen van de rechten van alle betrokkenen, zoals beschreven in artikel 2, lid 1. De informatie beschrijft welke rechten kunnen worden beperkt.

2.   Het EIF informeert betrokkenen persoonlijk, onverwijld en in schriftelijke vorm over huidige of toekomstige beperkingen van hun rechten, zoals nader gespecificeerd in de artikelen 7, 8 en 9.

Artikel 7

Recht op informatie aan betrokkenen en mededeling over gegevensinbreuken

1.   Wanneer het EIF in het kader van de in het onderhavige besluit genoemde activiteiten de rechten van betrokkenen, zoals genoemd in de artikelen 14 tot en met 16 en artikel 35 van de verordening, geheel of gedeeltelijk beperkt, worden zij in kennis gesteld van de voornaamste redenen waarop de toepassing van de beperking berust, en van hun recht om een klacht in te dienen bij de EDPS en/of beroep in te stellen bij het Hof van Justitie van de Europese Unie. Een dergelijke beperking dient in overeenstemming te zijn met de voorschriften en procedures van het onderhavige besluit.

2.   Het EIF kan het verstrekken van informatie over de redenen voor de in lid 1 bedoelde beperking uitstellen, achterwege laten of weigeren, voor zover en zolang dit afbreuk zou doen aan het effect van de beperking. Deze beoordeling vindt per individueel geval plaats. Een dergelijk(e) uitstel of weigering dient naar tevredenheid van de DPO te worden gerechtvaardigd, en wordt opgenomen in de desbetreffende bescheiden en registers. Ter voorkoming van twijfel worden de betrokkenen in kwestie in kennis gesteld van hun recht een klacht in te dienen bij de EDPS en/of beroep in te stellen bij het Hof van Justitie van de Europese Unie tegen het besluit waarin het verstrekken van informatie als bedoeld in lid 1 wordt uitgesteld of geweigerd.

Artikel 8

Het recht van betrokkenen op inzage, rectificatie en wissing van gegevens en op beperking van de verwerking

1.   Wanneer het EIF in het kader van de in het onderhavige besluit genoemde activiteiten het recht van inzage in persoonsgegevens, zoals bedoeld in de artikelen 17 tot en met 20 van de verordening, geheel of gedeeltelijk beperkt, wordt betrokkene in antwoord op diens verzoek in kennis gesteld van de voornaamste redenen waarop de toepassing van de beperking berust, en van het recht een klacht in te dienen bij de EDPS en/of beroep in te stellen bij het Hof van Justitie van de Europese Unie.

2.   Indien het recht van inzage geheel of gedeeltelijk wordt beperkt, deelt het EIF, wanneer het het verzoek bestudeert, betrokkene uitsluitend mee of de gegevens op correcte wijze zijn verwerkt en, indien dat niet het geval is, of de noodzakelijke verbeteringen zijn aangebracht, in overeenstemming met artikel 25, lid 7, van de verordening.

3.   Het EIF kan het verstrekken van informatie over de redenen voor de in de leden 1 en 2 bedoelde beperking uitstellen, achterwege laten of weigeren, voor zover en zolang dit afbreuk zou doen aan het effect van de beperking. Deze beoordeling vindt per individueel geval plaats en dient in overeenstemming te zijn met de voorschriften en procedures van het onderhavige besluit.

Artikel 9

Vertrouwelijkheid van elektronische communicatie

1.   Het EIF kan in uitzonderlijke omstandigheden en in lijn met de bepalingen en de grondslag van Richtlijn 2002/58/EG van het Europees Parlement en de Raad (3) het recht op vertrouwelijkheid van elektronische communicatie, zoals bedoeld in artikel 36 van de verordening, beperken. In dat geval legt het EIF de omstandigheden, redenen, relevante risico’s en daarmee verband houdende waarborgen in specifieke interne voorschriften vast.

2.   Indien het EIF het recht op vertrouwelijkheid van elektronische communicatie beperkt, stelt het de betrokkene in zijn antwoord op diens verzoek in kennis van de voornaamste redenen waarop de toepassing van de beperking berust, en van de mogelijkheid een klacht in te dienen bij de EDPS of beroep in te stellen bij het Hof van Justitie van de Europese Unie.

3.   Het EIF kan het verstrekken van informatie over de redenen voor de in de leden 1 en 2 bedoelde beperking uitstellen, achterwege laten of weigeren, zolang dit het effect van de beperking teniet zou doen. Deze beoordeling vindt per individueel geval plaats.

Artikel 10

Inwerkingtreding

Het onderhavige besluit en wijzigingen daarvan dienen te worden goedgekeurd door de raad van bestuur van het EIF en treden in werking op de twintigste dag na de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Publicatieblad van de Europese Unie

Gedaan te Luxemburg, 4 juni 2020.

---

(1)  
  PB L 295 van 21.11.2018, blz. 39.

1

(2)  Opmerkingen en aanbevelingen van de EDPS van 20 februari 2020 (DH/CCP/ALS/D (2020) 0372 C2019-1114).

2

(3)  Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) (PB L 201 van 31.7.2002, blz. 37).

3

---

| 22.7.2020 | NL | Publicatieblad van de Europese Unie | L 236/7 |
| --- | --- | --- | --- |

22.7.2020

NL

Publicatieblad van de Europese Unie

L 236/7

---

BESLUIT Nr. 1/2020 VAN DE RAAD VAN BESTUUR VAN DE GEMEENSCHAPPELIJKE ONDERNEMING SHIFT2RAIL

van 26 maart 2020

tot vaststelling van interne voorschriften betreffende de beperking van bepaalde rechten van betrokkenen in verband met de verwerking van hun persoonsgegevens in het kader van het functioneren van de Gemeenschappelijke Onderneming Shift2Rail

DE RAAD VAN BESTUUR VAN DE GEMEENSCHAPPELIJKE ONDERNEMING SHIFT2RAIL (hierna “GO S2R”),

Gezien het Verdrag betreffende de werking van de Europese Unie (1),

Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (2), en met name artikel 25,

Gezien Verordening (EU) nr. 642/2014 van de Raad van 16 juni 2014 tot oprichting van de Gemeenschappelijke Onderneming Shift2Rail (3), en met name artikel 8 van de bij deze verordening gevoegde statuten,

Gezien het advies van de Europese Toezichthouder voor gegevensbescherming over artikel 25 van de nieuwe verordening en interne voorschriften,

Na op 12 november 2019 de Europese Toezichthouder voor gegevensbescherming te hebben geraadpleegd in overeenstemming met artikel 41, lid 2, van Verordening (EU) 2018/1725,

Gezien de aanbevelingen van de Europese Toezichthouder voor gegevensbescherming van 18 december 2019,

Na raadpleging van het personeelscomité van de GO S2R,

Overwegende hetgeen volgt:

| (1) | Uitsluitend rechtshandelingen die op basis van de Verdragen zijn vastgesteld, mogen voorzien in een beperking van de rechten van betrokkenen. In Verordening (EU) 2018/1725 is bepaald dat er, wanneer deze beperkingen niet kunnen worden gebaseerd op rechtshandelingen die zijn vastgesteld op basis van de Verdragen, voor wat betreft de activiteiten van de GO S2R, in interne voorschriften mag worden voorzien in beperkingen, waaronder in de bepalingen betreffende de beoordeling van de noodzaak en evenredigheid van een beperking. |
| --- | --- |

(1)

Uitsluitend rechtshandelingen die op basis van de Verdragen zijn vastgesteld, mogen voorzien in een beperking van de rechten van betrokkenen. In Verordening (EU) 2018/1725 is bepaald dat er, wanneer deze beperkingen niet kunnen worden gebaseerd op rechtshandelingen die zijn vastgesteld op basis van de Verdragen, voor wat betreft de activiteiten van de GO S2R, in interne voorschriften mag worden voorzien in beperkingen, waaronder in de bepalingen betreffende de beoordeling van de noodzaak en evenredigheid van een beperking.

| (2) | Overeenkomstig artikel 25, lid 1, van Verordening (EU) 2018/1725 moeten beperkingen op de toepassing van de artikelen 14 tot en met 22, artikel 35 en artikel 36, en artikel 4 van die verordening, voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 22 voorzien, zijn gebaseerd op interne, door GO S2R vast te stellen voorschriften. |
| --- | --- |

(2)

Overeenkomstig artikel 25, lid 1, van Verordening (EU) 2018/1725 moeten beperkingen op de toepassing van de artikelen 14 tot en met 22, artikel 35 en artikel 36, en artikel 4 van die verordening, voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 22 voorzien, zijn gebaseerd op interne, door GO S2R vast te stellen voorschriften.

| (3) | In het kader van haar administratieve werking kan de GO S2R administratieve onderzoeken instellen, tuchtprocedures inleiden, voorbereidende activiteiten verrichten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures verwerken, (formele en informele) procedures in verband met intimidatie verwerken, interne en externe klachten verwerken, interne audits uitvoeren, onderzoeken uitvoeren via de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 en interne (IT-)veiligheidsonderzoeken verrichten. |
| --- | --- |

(3)

In het kader van haar administratieve werking kan de GO S2R administratieve onderzoeken instellen, tuchtprocedures inleiden, voorbereidende activiteiten verrichten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures verwerken, (formele en informele) procedures in verband met intimidatie verwerken, interne en externe klachten verwerken, interne audits uitvoeren, onderzoeken uitvoeren via de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 en interne (IT-)veiligheidsonderzoeken verrichten.

| (4) | De GO S2R verwerkt verschillende categorieën persoonsgegevens, zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, gegevens uit specifieke bronnen, elektronische communicatie- en verkeersgegevens, en gegevens over een specifieke zaak (zoals bewijsvoering, gedragsmatige gegevens, beoordelingen, prestatie- en gedragsgegevens en gegevens met betrekking tot of naar voren gebracht in verband met het onderwerp van de procedure of activiteit) (4). |
| --- | --- |

(4)

De GO S2R verwerkt verschillende categorieën persoonsgegevens, zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, gegevens uit specifieke bronnen, elektronische communicatie- en verkeersgegevens, en gegevens over een specifieke zaak (zoals bewijsvoering, gedragsmatige gegevens, beoordelingen, prestatie- en gedragsgegevens en gegevens met betrekking tot of naar voren gebracht in verband met het onderwerp van de procedure of activiteit) (4).

| (5) | De GO S2R, vertegenwoordigd door haar uitvoerend directeur, treedt op als verwerkingsverantwoordelijke. |
| --- | --- |

(5)

De GO S2R, vertegenwoordigd door haar uitvoerend directeur, treedt op als verwerkingsverantwoordelijke.

| (6) | De persoonsgegevens worden veilig opgeslagen in een elektronische omgeving of op papier waarbij ongeoorloofde toegang of overdracht van gegevens aan personen zonder noodzaak van kennisneming wordt voorkomen. De verwerkte persoonsgegevens worden niet langer bewaard dan noodzakelijk en passend voor de doeleinden waarvoor de gegevens worden verwerkt gedurende de periode die is gespecificeerd in de gegevensbeschermingsmededelingen, de privacyverklaringen of het register van de GO S2R. |
| --- | --- |

(6)

De persoonsgegevens worden veilig opgeslagen in een elektronische omgeving of op papier waarbij ongeoorloofde toegang of overdracht van gegevens aan personen zonder noodzaak van kennisneming wordt voorkomen. De verwerkte persoonsgegevens worden niet langer bewaard dan noodzakelijk en passend voor de doeleinden waarvoor de gegevens worden verwerkt gedurende de periode die is gespecificeerd in de gegevensbeschermingsmededelingen, de privacyverklaringen of het register van de GO S2R.

| (7) | De interne voorschriften zijn van toepassing op alle verwerkingen door de GO S2R in het kader van haar administratieve onderzoeken, tuchtprocedures, voorbereidende activiteiten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures, (formele en informele) procedures voor gevallen van intimidatie, verwerking van interne en externe klachten, interne audits, de onderzoeken die worden uitgevoerd door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld CERT-EU) worden behandeld. |
| --- | --- |

(7)

De interne voorschriften zijn van toepassing op alle verwerkingen door de GO S2R in het kader van haar administratieve onderzoeken, tuchtprocedures, voorbereidende activiteiten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures, (formele en informele) procedures voor gevallen van intimidatie, verwerking van interne en externe klachten, interne audits, de onderzoeken die worden uitgevoerd door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld CERT-EU) worden behandeld.

| (8) | De interne voorschriften zijn van toepassing op verwerkingen die vóór inleiding van voornoemde procedures plaatsvonden, tijdens deze procedures, en tijdens het toezicht op de follow-up van de uitkomst van deze procedures. De interne voorschriften omvatten ook bijstand door de GO S2R aan en haar samenwerking met nationale autoriteiten en internationale organisaties buiten het kader van haar administratieve onderzoeken. |
| --- | --- |

(8)

De interne voorschriften zijn van toepassing op verwerkingen die vóór inleiding van voornoemde procedures plaatsvonden, tijdens deze procedures, en tijdens het toezicht op de follow-up van de uitkomst van deze procedures. De interne voorschriften omvatten ook bijstand door de GO S2R aan en haar samenwerking met nationale autoriteiten en internationale organisaties buiten het kader van haar administratieve onderzoeken.

| (9) | In gevallen waarop deze interne regels van toepassing zijn, moet de GO S2R motiveren waarom de beperkingen strikt noodzakelijk en evenredig zijn in een democratische samenleving en de wezenlijke inhoud van de grondrechten en fundamentele vrijheden eerbiedigen. |
| --- | --- |

(9)

In gevallen waarop deze interne regels van toepassing zijn, moet de GO S2R motiveren waarom de beperkingen strikt noodzakelijk en evenredig zijn in een democratische samenleving en de wezenlijke inhoud van de grondrechten en fundamentele vrijheden eerbiedigen.

| (10) | Binnen dit kader is de GO S2R ertoe gehouden om, voor zover mogelijk, de grondrechten van de betrokkenen te respecteren tijdens de bovengenoemde procedures, in het bijzonder het recht op informatieverstrekking, inzage en rectificatie, het recht op wissing, de beperking van verwerking, het recht van mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of vertrouwelijkheid van communicatie zoals verankerd in Verordening (EU) 2018/1725. |
| --- | --- |

(10)

Binnen dit kader is de GO S2R ertoe gehouden om, voor zover mogelijk, de grondrechten van de betrokkenen te respecteren tijdens de bovengenoemde procedures, in het bijzonder het recht op informatieverstrekking, inzage en rectificatie, het recht op wissing, de beperking van verwerking, het recht van mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of vertrouwelijkheid van communicatie zoals verankerd in Verordening (EU) 2018/1725.

| (11) | De GO S2R kan echter worden verplicht de informatie aan de betrokkene en andere rechten van de betrokkene te beperken om in het bijzonder haar eigen onderzoeken en onderzoeken en procedures van andere overheidsinstanties te beschermen, evenals de rechten van andere personen in verband met haar onderzoeken of andere procedures. |
| --- | --- |

(11)

De GO S2R kan echter worden verplicht de informatie aan de betrokkene en andere rechten van de betrokkene te beperken om in het bijzonder haar eigen onderzoeken en onderzoeken en procedures van andere overheidsinstanties te beschermen, evenals de rechten van andere personen in verband met haar onderzoeken of andere procedures.

| (12) | Wanneer de GO S2R overweegt een beperking in te stellen, wordt het risico voor de rechten en vrijheden van de betrokkene in het bijzonder afgewogen tegen het risico voor de rechten en vrijheden van andere betrokkenen en het risico van teloorgang van het effect van de onderzoeken of procedures van de GO S2R, bijvoorbeeld door het vernietigen van bewijsmateriaal. De risico's voor de rechten en vrijheden van de betrokkene hebben voornamelijk betrekking op, maar zijn niet beperkt tot, reputatieschade en het recht zich te verdedigen en gehoord te worden. |
| --- | --- |

(12)

Wanneer de GO S2R overweegt een beperking in te stellen, wordt het risico voor de rechten en vrijheden van de betrokkene in het bijzonder afgewogen tegen het risico voor de rechten en vrijheden van andere betrokkenen en het risico van teloorgang van het effect van de onderzoeken of procedures van de GO S2R, bijvoorbeeld door het vernietigen van bewijsmateriaal. De risico's voor de rechten en vrijheden van de betrokkene hebben voornamelijk betrekking op, maar zijn niet beperkt tot, reputatieschade en het recht zich te verdedigen en gehoord te worden.

| (13) | De GO S2R kan dus de informatie beperken met het oog op de bescherming van het onderzoek en de grondrechten en fundamentele vrijheden van andere betrokkenen. |
| --- | --- |

(13)

De GO S2R kan dus de informatie beperken met het oog op de bescherming van het onderzoek en de grondrechten en fundamentele vrijheden van andere betrokkenen.

| (14) | De GO S2R controleert periodiek of de voorwaarden die de beperking rechtvaardigen van toepassing zijn en heft de beperking op zodra dit niet langer het geval is. |
| --- | --- |

(14)

De GO S2R controleert periodiek of de voorwaarden die de beperking rechtvaardigen van toepassing zijn en heft de beperking op zodra dit niet langer het geval is.

| (15) | De verwerkingsverantwoordelijke brengt de functionaris voor gegevensbescherming op de hoogte op het moment van uitstel en tijdens de herzieningen, |
| --- | --- |

(15)

De verwerkingsverantwoordelijke brengt de functionaris voor gegevensbescherming op de hoogte op het moment van uitstel en tijdens de herzieningen,

HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

Artikel 1

Onderwerp en toepassingsgebied

1.   In dit besluit worden de voorschriften vastgelegd betreffende de voorwaarden waaronder de GO S2R in het kader van haar in lid 2 beschreven procedures de toepassing kan beperken van de in de artikelen 14 tot en met 21, 35 en 36 vervatte rechten, alsmede van artikel 4 daarvan, in overeenstemming met artikel 25 van Verordening (EU) 2018/1725.

2.   In het kader van de administratieve werking van de GO S2R is dit besluit van toepassing op de verwerking van persoonsgegevens door het programmabureau voor de volgende doeleinden: het instellen van administratieve onderzoeken, het inleiden van tuchtprocedures, het verrichten van voorbereidende activiteiten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, het verwerken van klokkenluidersprocedures, het verwerken van (formele en informele) procedures in verband met intimidatie, het verwerken van interne en externe klachten, het uitvoeren van interne audits en het uitvoeren van onderzoek via de functionaris voor gegevensbescherming in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld CERT‐EU) worden behandeld.

3.   De betreffende gegevenscategorieën zijn onder meer identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, gegevens uit specifieke bronnen, elektronische communicatie- en verkeersgegevens, en gegevens over een specifieke zaak, zoals bewijsvoering, gedragsmatige gegevens, beoordelingen, prestatie- en gedragsgegevens en gegevens met betrekking tot of naar voren gebracht in verband met het onderwerp van de procedure of activiteit.

4.   Waar de GO S2R haar verplichtingen met betrekking tot de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 vervult, onderzoekt zij of een van de in deze verordening vastgestelde uitzonderingen van toepassing is.

Artikel 2

Specificatie van de verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke voor de verwerkingen is de GO S2R, vertegenwoordigd door haar uitvoerend directeur.

Artikel 3

Specificatie van waarborgen

1.   De GO S2R voorziet de volgende waarborgen die zijn gericht op het voorkomen van misbruik of onbevoegde toegang of overdracht van persoonsgegevens:

| a) | papieren documenten worden bewaard in beveiligde kasten en zijn alleen toegankelijk voor bevoegd personeel; |
| --- | --- |

a)

papieren documenten worden bewaard in beveiligde kasten en zijn alleen toegankelijk voor bevoegd personeel;

| b) | alle elektronische gegevens worden opgeslagen in een beveiligde IT-toepassing volgens de beveiligingsnormen van de GO S2R, evenals in specifieke elektronische mappen die alleen toegankelijk zijn voor bevoegd personeel. Passende toegangsniveaus worden individueel toegekend; |
| --- | --- |

b)

alle elektronische gegevens worden opgeslagen in een beveiligde IT-toepassing volgens de beveiligingsnormen van de GO S2R, evenals in specifieke elektronische mappen die alleen toegankelijk zijn voor bevoegd personeel. Passende toegangsniveaus worden individueel toegekend;

| c) | de database wordt beveiligd met een wachtwoord via één enkel aanmeldsysteem en wordt automatisch verbonden met het ID en het wachtwoord van de gebruiker, waaronder indien passend “pseudonimisering” en/of “versleuteling”. Het is strikt verboden om gebruikers te vervangen. E-records worden veilig bewaard om de vertrouwelijkheid en privacy van de gegevens te waarborgen; |
| --- | --- |

c)

de database wordt beveiligd met een wachtwoord via één enkel aanmeldsysteem en wordt automatisch verbonden met het ID en het wachtwoord van de gebruiker, waaronder indien passend “pseudonimisering” en/of “versleuteling”. Het is strikt verboden om gebruikers te vervangen. E-records worden veilig bewaard om de vertrouwelijkheid en privacy van de gegevens te waarborgen;

| d) | alle personen die toegang hebben tot de gegevens, zijn gebonden door geheimhoudingsplicht. |
| --- | --- |

d)

alle personen die toegang hebben tot de gegevens, zijn gebonden door geheimhoudingsplicht.

2.   Overeenkomstig artikel 6, lid 3, worden de in lid 1 bedoelde waarborgen periodiek herzien.

3.   De bewaartermijn van de in artikel 1, lid 3, bedoelde persoonsgegevens wordt vermeld in de betreffende gegevensbeschermingsmededelingen, de privacyverklaringen of het register, zoals bedoeld in artikel 7, lid 1. De bewaartermijn is in geen geval langer dan noodzakelijk en is passend voor de doeleinden waarvoor de gegevens worden verwerkt (5).

Artikel 4

Beperkingsgronden

1.   De GO S2R zal elke beperking uitsluitend toepassen om het volgende te waarborgen:

| a) | de nationale veiligheid, de openbare veiligheid of de defensie van de lidstaten; |
| --- | --- |

a)

de nationale veiligheid, de openbare veiligheid of de defensie van de lidstaten;

| b) | de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid; |
| --- | --- |

b)

de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid;

| c) | andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met name de doelstellingen van het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie of een belangrijk economisch of financieel belang van de Unie of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid; |
| --- | --- |

c)

andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met name de doelstellingen van het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie of een belangrijk economisch of financieel belang van de Unie of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid;

| d) | de interne veiligheid van de instellingen en organen van de Unie, met inbegrip van die van hun elektronische communicatienetwerken; |
| --- | --- |

d)

de interne veiligheid van de instellingen en organen van de Unie, met inbegrip van die van hun elektronische communicatienetwerken;

| e) | de voorkoming, het onderzoek, de opsporing en de vervolging van schendingen van de beroepscodes voor gereglementeerde beroepen; |
| --- | --- |

e)

de voorkoming, het onderzoek, de opsporing en de vervolging van schendingen van de beroepscodes voor gereglementeerde beroepen;

| f) | een taak op het gebied van toezicht, inspectie of regelgeving die permanent of incidenteel verband houdt met de uitoefening van het openbaar gezag in de gevallen als bedoeld onder a) tot en met c); |
| --- | --- |

f)

een taak op het gebied van toezicht, inspectie of regelgeving die permanent of incidenteel verband houdt met de uitoefening van het openbaar gezag in de gevallen als bedoeld onder a) tot en met c);

| g) | de bescherming van de betrokkene of van de rechten en vrijheden van anderen; |
| --- | --- |

g)

de bescherming van de betrokkene of van de rechten en vrijheden van anderen;

| h) | de inning van civielrechtelijke vorderingen. |
| --- | --- |

h)

de inning van civielrechtelijke vorderingen.

2.   Voor de specifieke toepassing van de in lid 1 hiervoor beschreven doelen kan de GO S2R in de volgende omstandigheden beperkingen toepassen:

| a) | in verband met persoonsgegevens die zijn uitgewisseld met de diensten van de Commissie of andere instellingen, organen, bureaus en instanties van de Unie:






  — | wanneer een dergelijke dienst van de Commissie of instelling, orgaan of instantie van de Unie het recht heeft de uitoefening van de vermelde rechten te beperken op grond van andere handelingen als bedoeld in artikel 25 van Verordening (EU) 2018/1725 of overeenkomstig hoofdstuk IX van die verordening of in de oprichtingsakten van andere instellingen, organen, agentschappen en instanties van de Unie; |
| --- | --- | --- |

a)

in verband met persoonsgegevens die zijn uitgewisseld met de diensten van de Commissie of andere instellingen, organen, bureaus en instanties van de Unie:

—

wanneer een dergelijke dienst van de Commissie of instelling, orgaan of instantie van de Unie het recht heeft de uitoefening van de vermelde rechten te beperken op grond van andere handelingen als bedoeld in artikel 25 van Verordening (EU) 2018/1725 of overeenkomstig hoofdstuk IX van die verordening of in de oprichtingsakten van andere instellingen, organen, agentschappen en instanties van de Unie;

| — | wanneer het doeleinde van een dergelijke beperking door die dienst van de Commissie, of die instelling, dat orgaan of dat agentschap van de Unie in gevaar komt als de GO S2R niet een soortgelijke beperking toepast met betrekking tot diezelfde persoonsgegevens; |
| --- | --- |

—

wanneer het doeleinde van een dergelijke beperking door die dienst van de Commissie, of die instelling, dat orgaan of dat agentschap van de Unie in gevaar komt als de GO S2R niet een soortgelijke beperking toepast met betrekking tot diezelfde persoonsgegevens;

| b) | in verband met persoonsgegevens die worden uitgewisseld met bevoegde autoriteiten van de lidstaten:






  — | wanneer de bevoegde autoriteiten van de lidstaten het recht hebben om de uitoefening van de vermelde rechten te beperken op grond van handelingen als bedoeld in artikel 23 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (6), of krachtens nationale maatregelen ter omzetting van artikel 13, lid 3, artikel 15, lid 3, of artikel 16, lid 3, van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (7); |
| --- | --- | --- |

b)

in verband met persoonsgegevens die worden uitgewisseld met bevoegde autoriteiten van de lidstaten:

—

wanneer de bevoegde autoriteiten van de lidstaten het recht hebben om de uitoefening van de vermelde rechten te beperken op grond van handelingen als bedoeld in artikel 23 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (6), of krachtens nationale maatregelen ter omzetting van artikel 13, lid 3, artikel 15, lid 3, of artikel 16, lid 3, van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (7);

| — | wanneer het doeleinde van een dergelijke beperking door die bevoegde autoriteit in gevaar komt als de GO S2R niet een soortgelijke beperking toepast met betrekking tot diezelfde persoonsgegevens; |
| --- | --- |

—

wanneer het doeleinde van een dergelijke beperking door die bevoegde autoriteit in gevaar komt als de GO S2R niet een soortgelijke beperking toepast met betrekking tot diezelfde persoonsgegevens;

| c) | in verband met persoonsgegevens die worden uitgewisseld met derde landen of internationale organisaties, wanneer er duidelijk bewijs is dat de uitoefening van deze rechten en verplichtingen de samenwerking van de GO S2R met derde landen of internationale organisaties bij de uitvoering van haar taken in gevaar brengt. |
| --- | --- |

c)

in verband met persoonsgegevens die worden uitgewisseld met derde landen of internationale organisaties, wanneer er duidelijk bewijs is dat de uitoefening van deze rechten en verplichtingen de samenwerking van de GO S2R met derde landen of internationale organisaties bij de uitvoering van haar taken in gevaar brengt.

Alvorens beperkingen op te leggen in de situaties als bedoeld in de eerste alinea, onder a) en b), raadpleegt de GO S2R de betrokken diensten van de Commissie, instellingen, organen of instanties van de Unie of de bevoegde autoriteiten van de lidstaten, tenzij het voor de GO S2R duidelijk is dat een van de in die punten genoemde handelingen de toepassing van een beperking toelaat.

Artikel 5

Beperkingen voor en rechten van betrokkenen

1.   In naar behoren gemotiveerde gevallen en onder de voorwaarden van dit besluit kunnen de volgende rechten waar noodzakelijk en evenredig door de verwerkingsverantwoordelijke worden beperkt in het kader van de in artikel 1, lid 2, en lid 2 hierna vermelde verwerkingen:

| a) | het recht op informatie; |
| --- | --- |

a)

het recht op informatie;

| b) | het recht op inzage; |
| --- | --- |

b)

het recht op inzage;

| c) | het recht op rectificatie, wissing en beperking van verwerking; |
| --- | --- |

c)

het recht op rectificatie, wissing en beperking van verwerking;

| d) | het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene; |
| --- | --- |

d)

het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene;

| e) | het recht op vertrouwelijkheid van elektronische communicatie. |
| --- | --- |

e)

het recht op vertrouwelijkheid van elektronische communicatie.

2.   In naar behoren gemotiveerde gevallen en ter waarborging van de in artikel 4, lid 1, bedoelde gevallen, mogen door de verwerkingsverantwoordelijke beperkingen worden toegepast in het kader van de volgende in artikel 1, lid 2, vermelde verwerkingen:

| a) | het uitvoeren van administratieve onderzoeken en tuchtprocedures; |
| --- | --- |

a)

het uitvoeren van administratieve onderzoeken en tuchtprocedures;

| b) | voorbereidende activiteiten in verband met mogelijke onregelmatigheden die bij OLAF werden gemeld; |
| --- | --- |

b)

voorbereidende activiteiten in verband met mogelijke onregelmatigheden die bij OLAF werden gemeld;

| c) | klokkenluidersprocedures; |
| --- | --- |

c)

klokkenluidersprocedures;

| d) | (formele en informele) procedures voor gevallen van intimidatie; |
| --- | --- |

d)

(formele en informele) procedures voor gevallen van intimidatie;

| e) | het verwerken van interne en externe klachten; |
| --- | --- |

e)

het verwerken van interne en externe klachten;

| f) | interne audits; |
| --- | --- |

f)

interne audits;

| g) | de door de functionaris verrichte onderzoeken in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725; |
| --- | --- |

g)

de door de functionaris verrichte onderzoeken in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725;

| h) | (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijv. van CERT‐EU) worden behandeld; |
| --- | --- |

h)

(IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijv. van CERT‐EU) worden behandeld;

| i) | in het kader van subsidiebeheer of een aanbestedingsprocedure, na de uiterste termijn voor indiening van de oproepen tot het indienen van voorstellen of de inschrijvingen voor aanbestedingen. |
| --- | --- |

i)

in het kader van subsidiebeheer of een aanbestedingsprocedure, na de uiterste termijn voor indiening van de oproepen tot het indienen van voorstellen of de inschrijvingen voor aanbestedingen.

3.   In het kader van een procedure in gevallen van intimidatie, kunnen de in lid 1 bedoelde rechten onder dezelfde voorwaarden worden beperkt, met uitzondering van het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene zoals bedoeld in lid 1, onder d).

4.   In het kader van subsidiebeheer of een aanbestedingsprocedure kunnen de in lid 1 bedoelde rechten onder dezelfde voorwaarden worden beperkt, met uitzondering van het recht op rectificatie, wissing en beperking van de verwerking zoals bedoeld in lid 1, onder c).

5.   In naar behoren gemotiveerde gevallen en onder de voorwaarden van dit besluit kan de verwerkingsverantwoordelijke het recht op rectificatie, wissing en beperking van de verwerking, onder voorbehoud van de in de leden 3 en 4 bedoelde uitzonderingen.

6.   Wanneer de GO S2R de toepassing van de rechten als bedoeld in de leden 1, 3, 4 en 5 geheel of gedeeltelijk beperkt, neemt zij de stappen die in de artikelen 6 en 7 van dit besluit zijn opgenomen.

7.   Wanneer betrokkenen, in overeenstemming met artikel 17 van Verordening (EU) 2018/1725, verzoeken om inzage in hun verwerkte persoonsgegevens in verband met een of meer specifieke gevallen of in verband met een bepaalde verwerking, beperkt de GO S2R haar beoordeling van het verzoek tot deze persoonsgegevens.

Artikel 6

Noodzaak en evenredigheid van beperkingen

1.   Eventuele op artikel 4 gebaseerde beperkingen zijn noodzakelijk en evenredig, waarbij rekening wordt gehouden met de risico's voor de rechten en vrijheden van betrokkenen, en de essentie van de grondrechten en fundamentele vrijheden in een democratische samenleving in acht wordt genomen.

2.   Als een beperking wordt overwogen, wordt een noodzakelijkheids- en evenredigheidsonderzoek verricht op basis van deze voorschriften. Dit onderzoek wordt ook uitgevoerd in het kader van de periodieke herziening, na de beoordeling of de feitelijke en juridische redenen voor een beperking nog steeds van toepassing zijn. Het onderzoek wordt voor verantwoordingsdoeleinden per geval gedocumenteerd in een interne beoordelingsnota.

3.   Beperkingen zijn tijdelijk. De beperking blijft van toepassing zolang de redenen daarvoor blijven bestaan. Dit geldt in het bijzonder wanneer wordt geoordeeld dat de uitoefening van het beperkte recht het effect van de opgelegde beperking niet langer zou opheffen of de rechten of vrijheden van andere betrokkenen niet langer zou schaden.

De GO S2R herziet de toepassing van de beperking om de zes maanden vanaf de vaststelling ervan en bij de afsluiting van de enquête, de procedure of het onderzoek in kwestie. Daarna controleert de verwerkingsverantwoordelijke iedere zes maanden of het nodig is om de beperkingen te handhaven.

4.   Wanneer de GO S2R de beperkingen op basis van artikel 4 van dit besluit geheel of gedeeltelijk toepast, legt zij de redenen voor de beperking, de rechtsgrond in overeenstemming met lid 1 hierboven, alsook een beoordeling van de noodzaak en evenredigheid van de beperking vast.

Het register en, indien van toepassing, de documenten met onderliggende feitelijke en juridische elementen, worden bijgehouden. Ze worden desgevraagd aan de Europese Toezichthouder voor gegevensbescherming beschikbaar gesteld.

Artikel 7

Informatieplicht

1.   In de op haar website en/of intranet gepubliceerde gegevensbeschermingsmededelingen, privacyverklaringen of het register in de zin van artikel 31 van Verordening (EU) 2018/1725, waarmee betrokkenen worden geïnformeerd over hun rechten in het kader van een gegeven procedure, neemt de GO S2R informatie op over mogelijke beperkingen van deze rechten. Er wordt aangegeven welke rechten kunnen worden beperkt, de redenen daarvoor en de potentiële duur.

Onverminderd het bepaalde in artikel 6, lid 4, stelt de GO S2R, indien dit evenredig is, alle betrokkenen die bij de specifieke verwerking betrokken zijn, onverwijld individueel in kennis van hun rechten met betrekking tot bestaande of toekomstige beperkingen, zonder onnodige vertraging en in schriftelijke vorm.

2.   Wanneer de GO S2R de in artikel 5 vastgelegde rechten geheeld of gedeeltelijk beperkt, stelt zij de betreffende betrokkene op de hoogte van de opgelegde beperking, van de belangrijkste redenen daarvoor, en van de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of om een beroep in te stellen bij het Hof van Justitie van de Europese Unie.

De verstrekking van de in de lid 2 hierboven bedoelde informatie kan worden opgeschort, achterwege gelaten of geweigerd als daardoor het effect van de beperking overeenkomstig artikel 25, lid 8, van Verordening (EU) 2018/1725 verloren zou gaan.

Artikel 8

Evaluatie door de functionaris voor gegevensbescherming

1.   De GO S2R informeert haar functionaris voor gegevensbescherming (Data Protection Officer — “DPO”) onverwijld wanneer de verwerkingsverantwoordelijke de toepassing van rechten van betrokkenen beperkt of de beperking verlengt overeenkomstig dit besluit. De verwerkingsverantwoordelijke geeft de DPO toegang tot het registratiedossier met de beoordeling van de noodzaak en evenredigheid van de beperking en legt daarbij ook de datum vast waarop de functionaris werd geïnformeerd.

2.   De DPO kan de verwerkingsverantwoordelijke schriftelijk verzoeken de toepassing van de beperkingen opnieuw te beoordelen. De verwerkingsverantwoordelijke stelt de DPO schriftelijk in kennis van de uitkomst van de gevraagde herziening.

3.   De DPO wordt betrokken bij de gehele procedure. De verwerkingsverantwoordelijke informeert de DPO wanneer de beperking is opgeheven.

Artikel 9

Inwerkingtreding

Dit besluit treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Publicatieblad van de Europese Unie

Gedaan te Brussel, 26 maart 2020.

Voor de raad van bestuur van de Gemeenschappelijke Onderneming Shift2Rail

Henrik HOLOLEI

De voorzitter

---

(1)  
  PB C 202 van 7.6.2016, blz. 47.

1

(2)  
  PB L 295 van 21.11.2018, blz. 39.

2

(3)  
  PB L 177 van 17.6.2014, blz. 9.

3

(4)  In gevallen van gedeelde verantwoordelijkheid worden gegevens verwerkt overeenkomstig de middelen en doeleinden die zijn vastgesteld in de betreffende regeling tussen de gezamenlijke verwerkingsverantwoordelijken, zoals gedefinieerd in artikel 28 van Verordening (EU) 2018/1725.

4

(5)  Het beleid van de GO S2R met betrekking tot bewaartermijnen is gebaseerd op de bewaring van dossiers bij de Commissie die wordt geregeld bij de gezamenlijke bewaarlijst, een regelgevend document (waarvan de laatste versie SEC(2019) 900 is) in de vorm van een tijdschema waarin de bewaartermijnen voor de verschillende soorten dossiers van de Commissie zijn vastgesteld.

5

(6)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).

6

(7)  Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89).

7

---