# Europeiska unionens L 221/2019

| | ISSN 1977-0820 |
| --- | --- |
| Europeiska unionens
  officiella tidning | L 221 |
| | |
| Svensk utgåva | Lagstiftning | 62 årgången26 augusti 2019 |

ISSN 1977-0820

Europeiska unionens

officiella tidning

L 221

Svensk utgåva

Lagstiftning

62 årgången26 augusti 2019

---

| Innehållsförteckning | | II   Icke-lagstiftningsakter | Sida |
| --- | --- | --- | --- |
| | | ARBETSORDNINGAR OCH RÄTTEGÅNGSREGLER |
| | * | Beslut av styrelsen för Europeiska försäkrings- och tjänstepensionsmyndigheten av den 23 maj 2019 om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för Eiopas funktion | 1 |

Innehållsförteckning

II   Icke-lagstiftningsakter

Sida

ARBETSORDNINGAR OCH RÄTTEGÅNGSREGLER

*

Beslut av styrelsen för Europeiska försäkrings- och tjänstepensionsmyndigheten av den 23 maj 2019 om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för Eiopas funktion

1

| SV | De rättsakter vilkas titlar är tryckta med fin stil är sådana rättsakter som har avseende på den löpande handläggningen av jordbrukspolitiska frågor. De har normalt en begränsad giltighetstid.
  Beträffande alla övriga rättsakter gäller att titlarna är tryckta med fetstil och föregås av en asterisk. |
| --- | --- |

SV

De rättsakter vilkas titlar är tryckta med fin stil är sådana rättsakter som har avseende på den löpande handläggningen av jordbrukspolitiska frågor. De har normalt en begränsad giltighetstid.

Beträffande alla övriga rättsakter gäller att titlarna är tryckta med fetstil och föregås av en asterisk.

---

II Icke-lagstiftningsakter

ARBETSORDNINGAR OCH RÄTTEGÅNGSREGLER

| 26.8.2019 | SV | Europeiska unionens officiella tidning | L 221/1 |
| --- | --- | --- | --- |

26.8.2019

SV

Europeiska unionens officiella tidning

L 221/1

---

BESLUT AV STYRELSEN FÖR EUROPEISKA FÖRSÄKRINGS- OCH TJÄNSTEPENSIONSMYNDIGHETEN

av den 23 maj 2019

om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för Eiopas funktion

STYRELSEN FÖR EUROPEISKA FÖRSÄKRINGS- OCH TJÄNSTEPENSIONSMYNDIGHETEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (1), särskilt artikel 25,

med beaktande av Europaparlamentets och rådets förordning (EU) nr 1094/2010 av den 24 november 2010 om inrättande av en europeisk tillsynsmyndighet (Europeiska försäkrings- och tjänstepensionsmyndigheten), om ändring av beslut nr 716/2009/EG och om upphävande av kommissionens beslut 2009/79/EG (2) (nedan kallad Eiopa), särskilt artikel 47.1,

med beaktande av Europeiska datatillsynsmannens yttrande av den 14 maj 2019, och

av följande skäl:

| (1) | I enlighet med artikel 25.1 i förordning (EU) 2018/1725 bör begränsningar av tillämpningen av artiklarna 14–22, 35 och 36 samt artikel 4 i samma förordning, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22, grunda sig på interna regler som ska antas av Eiopa, när dessa inte grundar sig på rättsakter som antas på grundval av fördragen. |
| --- | --- |

(1)

I enlighet med artikel 25.1 i förordning (EU) 2018/1725 bör begränsningar av tillämpningen av artiklarna 14–22, 35 och 36 samt artikel 4 i samma förordning, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22, grunda sig på interna regler som ska antas av Eiopa, när dessa inte grundar sig på rättsakter som antas på grundval av fördragen.

| (2) | Dessa interna regler, däribland dess bestämmelser om bedömning av behovet av en begränsning och dess proportionalitet, bör inte gälla när en rättsakt som antagits på grundval av fördragen innefattar en begränsning av registrerades rättigheter. |
| --- | --- |

(2)

Dessa interna regler, däribland dess bestämmelser om bedömning av behovet av en begränsning och dess proportionalitet, bör inte gälla när en rättsakt som antagits på grundval av fördragen innefattar en begränsning av registrerades rättigheter.

| (3) | Eiopa ska, vid fullgörandet av sina skyldigheter med avseende på den registrerades rättigheter enligt förordning (EU) 2018/1725, överväga om några av de undantag som anges i den förordningen är tillämpliga. |
| --- | --- |

(3)

Eiopa ska, vid fullgörandet av sina skyldigheter med avseende på den registrerades rättigheter enligt förordning (EU) 2018/1725, överväga om några av de undantag som anges i den förordningen är tillämpliga.

| (4) | Eiopa får inom ramen för sin administrativa verksamhet genomföra administrativa utredningar och disciplinförfaranden, utföra förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf, handlägga ärenden som rör visselblåsning, handlägga (formella och informella) förfaranden som rör trakasserier, behandla interna och externa klagomål, utföra interna kontroller, genomföra utredningar tillsammans med dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt interna utredningar om it-säkerhet. |
| --- | --- |

(4)

Eiopa får inom ramen för sin administrativa verksamhet genomföra administrativa utredningar och disciplinförfaranden, utföra förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf, handlägga ärenden som rör visselblåsning, handlägga (formella och informella) förfaranden som rör trakasserier, behandla interna och externa klagomål, utföra interna kontroller, genomföra utredningar tillsammans med dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt interna utredningar om it-säkerhet.

| (5) | Eiopa behandlar flera olika kategorier av personuppgifter, däribland hårddata (”objektiva” data såsom identifikationsuppgifter, kontaktuppgifter, uppgifter om yrke, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter) och/eller mjukdata (”subjektiva” data som rör ärendet såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten). |
| --- | --- |

(5)

Eiopa behandlar flera olika kategorier av personuppgifter, däribland hårddata (”objektiva” data såsom identifikationsuppgifter, kontaktuppgifter, uppgifter om yrke, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter) och/eller mjukdata (”subjektiva” data som rör ärendet såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten).

| (6) | Eiopa fungerar, företrädd av sin verkställande direktör, som personuppgiftsansvarig, oberoende av om denna uppgift vidaredelegeras inom Eiopa för att återspegla ett operativt ansvar för en viss specifik behandling av personuppgifter. |
| --- | --- |

(6)

Eiopa fungerar, företrädd av sin verkställande direktör, som personuppgiftsansvarig, oberoende av om denna uppgift vidaredelegeras inom Eiopa för att återspegla ett operativt ansvar för en viss specifik behandling av personuppgifter.

| (7) | Personuppgifterna lagras i en säker elektronisk miljö eller i pappersform, vilket förhindrar olaglig åtkomst eller överföring av uppgifter till personer som inte har behov av att ta del av dem. De behandlade personuppgifterna lagras inte längre än vad som är nödvändigt och lämpligt för de ändamål för vilka uppgifterna behandlas under den tid som anges i dataskyddsmeddelandena, meddelandena om behandling av personuppgifter eller Eiopas register. |
| --- | --- |

(7)

Personuppgifterna lagras i en säker elektronisk miljö eller i pappersform, vilket förhindrar olaglig åtkomst eller överföring av uppgifter till personer som inte har behov av att ta del av dem. De behandlade personuppgifterna lagras inte längre än vad som är nödvändigt och lämpligt för de ändamål för vilka uppgifterna behandlas under den tid som anges i dataskyddsmeddelandena, meddelandena om behandling av personuppgifter eller Eiopas register.

| (8) | Dessa interna regler bör gälla för all behandling som Eiopa utför vid genomförandet av administrativa utredningar, disciplinförfaranden, förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf, förfaranden rörande visselblåsning, (formella och informella) förfaranden vid fall av trakasserier, behandling av interna och externa klagomål, internrevision, utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer). |
| --- | --- |

(8)

Dessa interna regler bör gälla för all behandling som Eiopa utför vid genomförandet av administrativa utredningar, disciplinförfaranden, förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf, förfaranden rörande visselblåsning, (formella och informella) förfaranden vid fall av trakasserier, behandling av interna och externa klagomål, internrevision, utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).

| (9) | Dessa interna regler bör gälla för uppgiftsbehandling som utförs innan ovannämnda förfaranden inleds, under dessa förfaranden samt under kontrollen av uppföljningen av resultatet av förfarandena. Även bistånd och samarbete som Eiopa tillhandahåller nationella myndigheter och internationella organisationer vid sidan av sina administrativa utredningar bör omfattas. |
| --- | --- |

(9)

Dessa interna regler bör gälla för uppgiftsbehandling som utförs innan ovannämnda förfaranden inleds, under dessa förfaranden samt under kontrollen av uppföljningen av resultatet av förfarandena. Även bistånd och samarbete som Eiopa tillhandahåller nationella myndigheter och internationella organisationer vid sidan av sina administrativa utredningar bör omfattas.

| (10) | När dessa interna regler tillämpas måste Eiopa ge motiveringar som förklarar varför begränsningarna är absolut nödvändiga och proportionella i ett demokratiskt samhälle och förenliga med andemeningen i de grundläggande rättigheterna och friheterna. |
| --- | --- |

(10)

När dessa interna regler tillämpas måste Eiopa ge motiveringar som förklarar varför begränsningarna är absolut nödvändiga och proportionella i ett demokratiskt samhälle och förenliga med andemeningen i de grundläggande rättigheterna och friheterna.

| (11) | Eiopa måste inom denna ram så långt som möjligt respektera de registrerades grundläggande rättigheter vid ovannämnda förfaranden, särskilt dem som rör rätten till information, rätten att få tillgång till och erhålla rättelse eller radering av personuppgifter, begränsning av behandling, underrättelse om personuppgiftsincident till den registrerade eller konfidentiell behandling av kommunikation i enlighet med förordning (EU) 2018/1725. |
| --- | --- |

(11)

Eiopa måste inom denna ram så långt som möjligt respektera de registrerades grundläggande rättigheter vid ovannämnda förfaranden, särskilt dem som rör rätten till information, rätten att få tillgång till och erhålla rättelse eller radering av personuppgifter, begränsning av behandling, underrättelse om personuppgiftsincident till den registrerade eller konfidentiell behandling av kommunikation i enlighet med förordning (EU) 2018/1725.

| (12) | Eiopa kan dock tvingas begränsa registrerades tillgång till information samt andra rättigheter som tillkommer den registrerade för att särskilt skydda sina egna utredningar, andra myndigheters utredningar och förfaranden och rättigheterna för andra personer som är anknutna till Eiopas utredningar eller andra förfaranden. |
| --- | --- |

(12)

Eiopa kan dock tvingas begränsa registrerades tillgång till information samt andra rättigheter som tillkommer den registrerade för att särskilt skydda sina egna utredningar, andra myndigheters utredningar och förfaranden och rättigheterna för andra personer som är anknutna till Eiopas utredningar eller andra förfaranden.

| (13) | Eiopa kan alltså begränsa utlämnandet av information i syfte att skydda utredningen och andra registrerades grundläggande rättigheter och friheter. |
| --- | --- |

(13)

Eiopa kan alltså begränsa utlämnandet av information i syfte att skydda utredningen och andra registrerades grundläggande rättigheter och friheter.

| (14) | Eiopa bör med regelbundna mellanrum kontrollera att de omständigheter som motiverar begränsningen fortfarande gäller och, i den mån de inte längre gäller, upphäva begränsningen. |
| --- | --- |

(14)

Eiopa bör med regelbundna mellanrum kontrollera att de omständigheter som motiverar begränsningen fortfarande gäller och, i den mån de inte längre gäller, upphäva begränsningen.

| (15) | Den personuppgiftsansvarige bör informera dataskyddsombudet vid uppskjutande och i samband med kontrollerna. |
| --- | --- |

(15)

Den personuppgiftsansvarige bör informera dataskyddsombudet vid uppskjutande och i samband med kontrollerna.

HÄRIGENOM FÖRESKRIVS.

Artikel 1

Syfte och tillämpningsområde

1.   Genom detta beslut fastställs regler gällande villkoren för hur Eiopa inom ramen för de förfaranden som anges i punkt 2 får begränsa tillämpningen av de rättigheter som fastställs i artiklarna 14–21, 35 och 36, samt artikel 4, i överensstämmelse med artikel 25 i förordning (EU) 2018/1725.

2.   Beslutet är inom ramen för Eiopas administrativa verksamhet tillämpligt på myndighetens behandling av personuppgifter för följande ändamål: genomförande av administrativa utredningar, disciplinförfaranden, förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf, handläggning av ärenden som rör visselblåsning, (formella och informella) förfaranden vid fall av trakasserier, behandling av interna och externa klagomål, genomförande av internrevision, utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).

3.   De kategorier av uppgifter som omfattas är hårddata (”objektiva” data såsom identifikationsuppgifter, kontaktuppgifter, uppgifter om yrke, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter) och/eller mjukdata (”subjektiva” data som rör ärendet såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten).

4.   Eiopa ska, vid fullgörandet av sina skyldigheter med avseende på den registrerades rättigheter enligt förordning (EU) 2018/1725, överväga om några av de undantag som anges i den förordningen är tillämpliga.

5.   Begränsningarna kan på de villkor som anges i detta beslut gälla för följande rättigheter: tillhandahållande av information till registrerade, rätten att få tillgång till och erhålla rättelse eller radering av personuppgifter, begränsning av behandling, information till den registrerade om en personuppgiftsincident eller konfidentiell behandling av kommunikation.

Artikel 2

Specificering av den personuppgiftsansvarige och skyddsåtgärder

1.   Följande skyddsåtgärder har vidtagits för att förhindra personuppgiftsincidenter, dataläckor och obehörigt röjande:

| a) | Pappersdokument ska förvaras i låsbara skåp och endast vara åtkomliga för behörig personal. |
| --- | --- |

a)

Pappersdokument ska förvaras i låsbara skåp och endast vara åtkomliga för behörig personal.

| b) | Alla elektroniska uppgifter ska lagras i en säker it-applikation i enlighet med Eiopas säkerhetsnormer samt i särskilda digitala mappar som endast är åtkomliga för behörig personal. Olika nivåer för tillgång ska beviljas individuellt beroende på användare. |
| --- | --- |

b)

Alla elektroniska uppgifter ska lagras i en säker it-applikation i enlighet med Eiopas säkerhetsnormer samt i särskilda digitala mappar som endast är åtkomliga för behörig personal. Olika nivåer för tillgång ska beviljas individuellt beroende på användare.

| c) | Databasen ska vara lösenordsskyddad i ett system med samlad inloggning och ska vara automatiskt kopplad till användarens användarnamn och lösenord. Det är absolut förbjudet att byta ut användare. Elektroniska handlingar ska lagras på ett säkert sätt för att säkerställa sekretesskydd för de uppgifter som finns i dessa. |
| --- | --- |

c)

Databasen ska vara lösenordsskyddad i ett system med samlad inloggning och ska vara automatiskt kopplad till användarens användarnamn och lösenord. Det är absolut förbjudet att byta ut användare. Elektroniska handlingar ska lagras på ett säkert sätt för att säkerställa sekretesskydd för de uppgifter som finns i dessa.

| d) | Alla som har tillgång till uppgifterna är bundna av tystnadsplikt. |
| --- | --- |

d)

Alla som har tillgång till uppgifterna är bundna av tystnadsplikt.

2.   Eiopa fungerar, företrädd av sin verkställande direktör, som personuppgiftsansvarig vid behandlingen och får vidaredelegera denna uppgift. Registrerade ska underrättas om delegeringen via dataskyddsmeddelanden eller dokumentation som publiceras på Eiopas webbplats och/eller intranät.

3.   Lagringsperioden för de personuppgifter som anges i artikel 1.3 får inte vara längre än vad som är nödvändigt och rimligt med tanke på de ändamål för vilka uppgifterna behandlas. Den får i alla händelser inte överstiga den lagringsperiod som anges i de dataskyddsmeddelanden, meddelanden om behandling av personuppgifter eller register som nämns i artikel 5.1.

4.   När Eiopa överväger att tillämpa en begränsning ska risken för den registrerades rättigheter och friheter vägas mot i synnerhet risken för andra registrerades rättigheter och friheter samt risken för att upphäva verkningarna av Eiopas utredningar eller förfaranden genom t.ex. förstörandet av bevismaterial. Riskerna för den registrerades rättigheter och friheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras.

Artikel 3

Begränsningar

1.   Eventuella begränsningar ska endast tillämpas av Eiopa i syfte att säkerställa

| a) | förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten, |
| --- | --- |

a)

förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten,

| b) | andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt målen för unionens gemensamma utrikes- och säkerhetspolitik eller ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet, |
| --- | --- |

b)

andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt målen för unionens gemensamma utrikes- och säkerhetspolitik eller ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet,

| c) | den inre säkerheten i unionsinstitutioner och unionsorgan, inbegripet deras elektroniska kommunikationsnät, |
| --- | --- |

c)

den inre säkerheten i unionsinstitutioner och unionsorgan, inbegripet deras elektroniska kommunikationsnät,

| d) | förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken, |
| --- | --- |

d)

förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken,

| e) | en tillsyns-, inspektions- eller regleringsfunktion som även i enstaka fall har samband med myndighetsutövning i fall som avses i leden a–c, |
| --- | --- |

e)

en tillsyns-, inspektions- eller regleringsfunktion som även i enstaka fall har samband med myndighetsutövning i fall som avses i leden a–c,

| f) | skydd av den registrerade eller andras rättigheter och friheter. |
| --- | --- |

f)

skydd av den registrerade eller andras rättigheter och friheter.

2.   Eiopa får, i specifika fall inom ramen för de ändamål som anges i punkt 1 ovan, begränsa rättigheter och skyldigheter vad gäller personuppgifter som utbyts med kommissionens avdelningar eller unionens övriga institutioner, organ och byråer, behöriga myndigheter i medlemsstaterna eller tredjeländer, eller med internationella organisationer, om

| a) | utövandet av dessa rättigheter och skyldigheter skulle kunna begränsas av kommissionens avdelningar eller unionens övriga institutioner, organ och byråer på grundval av andra rättsakter som föreskrivs i artikel 25 i förordning (EU) 2018/1725 eller i enlighet med kapitel IX i den förordningen eller med grundläggande rättsakter för andra av unionens institutioner, organ och byråer, |
| --- | --- |

a)

utövandet av dessa rättigheter och skyldigheter skulle kunna begränsas av kommissionens avdelningar eller unionens övriga institutioner, organ och byråer på grundval av andra rättsakter som föreskrivs i artikel 25 i förordning (EU) 2018/1725 eller i enlighet med kapitel IX i den förordningen eller med grundläggande rättsakter för andra av unionens institutioner, organ och byråer,

| b) | utövandet av dessa rättigheter och skyldigheter skulle kunna begränsas av medlemsstaternas behöriga myndigheter på grundval av rättsakter som avses i artikel 23 i Europaparlamentets och rådets förordning (EU) 2016/679 (3), eller enligt nationella bestämmelser som införlivar artiklarna 13.3, 15.3 eller 16.3 i Europaparlamentets och rådets direktiv (EU) 2016/680 (4), |
| --- | --- |

b)

utövandet av dessa rättigheter och skyldigheter skulle kunna begränsas av medlemsstaternas behöriga myndigheter på grundval av rättsakter som avses i artikel 23 i Europaparlamentets och rådets förordning (EU) 2016/679 (3), eller enligt nationella bestämmelser som införlivar artiklarna 13.3, 15.3 eller 16.3 i Europaparlamentets och rådets direktiv (EU) 2016/680 (4),

| c) | utövandet av dessa rättigheter och skyldigheter skulle kunna äventyra Eiopas samarbete med tredjeländer eller internationella organisationer vid utförandet av dess arbetsuppgifter. |
| --- | --- |

c)

utövandet av dessa rättigheter och skyldigheter skulle kunna äventyra Eiopas samarbete med tredjeländer eller internationella organisationer vid utförandet av dess arbetsuppgifter.

Före tillämpningen av begränsningar i fall som avses i första stycket leden a och b ska Eiopa samråda med kommissionens berörda avdelningar, unionens institutioner, organ och byråer eller medlemsstaternas behöriga myndigheter, såvida det inte är uppenbart för Eiopa att tillämpningen av en begränsning föreskrivs genom någon av de rättsakter som det hänvisas till i dessa led.

3.   Eventuella begränsningar ska vara nödvändiga och proportionella med beaktande av riskerna för de registrerades rättigheter och friheter och förenliga med andemeningen i de grundläggande rättigheterna och friheterna i ett demokratiskt samhälle.

4.   Om myndigheten överväger att tillämpa begränsningar ska ett behovs- och proportionalitetstest genomföras på grundval av gällande bestämmelser. Detta ska dokumenteras genom en intern bedömningsnotering, i redovisningssyfte, och genomföras i varje enskilt fall.

5.   Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre gäller. Detta gäller i synnerhet om myndigheten inte längre anser att utövandet av den begränsade rättigheten skulle upphäva verkan av en införd begränsning eller inverka menligt på andra registrerades rättigheter och friheter.

Artikel 4

Omprövning av dataskyddsombudet

1.   Eiopa ska utan onödigt dröjsmål underrätta sitt dataskyddsombud när den personuppgiftsansvarige begränsar tillämpningen av de registrerades rättigheter eller utvidgar begränsningen med stöd i detta beslut. Den personuppgiftsansvarige ska ge dataskyddsombudet tillgång till den dokumentation som innehåller bedömningen av begränsningens nödvändighet och proportionalitet och ange i densamma det datum när dataskyddsombudet underrättades.

2.   Dataskyddsombudet kan skriftligen begära att den personuppgiftsansvarige omprövar tillämpningen av begränsningarna. Den personuppgiftsansvarige ska skriftligen underrätta dataskyddsombudet om resultatet av omprövningen.

3.   Den personuppgiftsansvarige ska även underrätta dataskyddsombudet när begränsningen har upphävts.

Artikel 5

Tillhandahållande av information till registrerade

1.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får den personuppgiftsansvarige begränsa rätten till information i samband med följande typ av uppgiftsbehandling:

| a) | Genomförande av administrativa utredningar och disciplinförfaranden. |
| --- | --- |

a)

Genomförande av administrativa utredningar och disciplinförfaranden.

| b) | Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf. |
| --- | --- |

b)

Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.

| c) | Förfaranden rörande visselblåsning. |
| --- | --- |

c)

Förfaranden rörande visselblåsning.

| d) | (Formella och informella) förfaranden vid fall av trakasserier. |
| --- | --- |

d)

(Formella och informella) förfaranden vid fall av trakasserier.

| e) | Behandling av interna och externa klagomål. |
| --- | --- |

e)

Behandling av interna och externa klagomål.

| f) | Internrevision. |
| --- | --- |

f)

Internrevision.

| g) | Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725. |
| --- | --- |

g)

Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.

| h) | Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer). |
| --- | --- |

h)

Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).

I dataskyddsmeddelandena, meddelandena om behandling av personuppgifter eller de register som avses i artikel 31 i förordning (EU) 2018/1725, som offentliggörs på Eiopas webbplats och/eller intranät och innehåller information till registrerade om deras rättigheter inom ramen för ett visst förfarande, ska myndigheten inkludera information om en eventuell begränsning av dessa rättigheter. Informationen ska omfatta vilka rättigheter som kan komma att begränsas, skälen och möjlig varaktighet.

2.   Utan att det påverkar tillämpningen av bestämmelserna i punkt 3 och om rimligt, ska Eiopa även utan onödigt dröjsmål och skriftligen, enskilt informera alla registrerade, som betraktas som berörda personer vid den specifika behandlingen, om deras rättigheter avseende gällande eller framtida begränsningar.

3.   Om Eiopa helt eller delvis begränsar tillhandahållandet av information till registrerade som avses i punkt 2 ska myndigheten notera skälen till begränsningen och den rättsliga grunden i enlighet med artikel 3 i detta beslut, däribland en bedömning av begränsningens nödvändighet och proportionalitet.

4.   Dokumentationen och, i tillämpliga fall, handlingar som innehåller de bakomliggande faktiska och rättsliga omständigheterna, ska registreras. Denna information ska på begäran göras tillgänglig för Europeiska datatillsynsmannen.

5.   Den begränsning som avses i punkt 3 ska fortsätta vara tillämplig så länge som skälen som motiverar den föreligger.

6.   När skälen till begränsningen inte längre föreligger ska Eiopa informera den registrerade om de huvudsakliga skäl som ligger till grund för tillämpningen av en begränsning. Samtidigt ska Eiopa informera den registrerade om rätten att när som helst inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.

7.   Eiopa ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när utredningen eller förfarandet avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar.

Artikel 6

Registrerades rätt till tillgång

1.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får den personuppgiftsansvarige begränsa rätten till tillgång vid följande typ av uppgiftsbehandling, om det är nödvändigt och proportionellt:

| a) | Genomförande av administrativa utredningar och disciplinförfaranden. |
| --- | --- |

a)

Genomförande av administrativa utredningar och disciplinförfaranden.

| b) | Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf. |
| --- | --- |

b)

Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.

| c) | Förfaranden rörande visselblåsning. |
| --- | --- |

c)

Förfaranden rörande visselblåsning.

| d) | (Formella och informella) förfaranden vid fall av trakasserier. |
| --- | --- |

d)

(Formella och informella) förfaranden vid fall av trakasserier.

| e) | Behandling av interna och externa klagomål. |
| --- | --- |

e)

Behandling av interna och externa klagomål.

| f) | Internrevision. |
| --- | --- |

f)

Internrevision.

| g) | Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725. |
| --- | --- |

g)

Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.

| h) | Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer). |
| --- | --- |

h)

Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).

Om registrerade, i överensstämmelse med artikel 17 i förordning (EU) 2018/1725, begär tillgång till egna personuppgifter som behandlats i samband med ett eller flera specifika fall eller till en specifik uppgiftsbehandling, ska Eiopa begränsa sin bedömning av denna begäran till att endast avse dessa personuppgifter.

2.   Om Eiopa helt eller delvis begränsar rätten till tillgång, som avses i artikel 17 i förordning (EU) 2018/1725, ska följande åtgärder vidtas:

| a) | Eiopa ska informera berörd registrerad, i sitt svar på dennes begäran, om den begränsning som tillämpas och de huvudsakliga skälen till denna, samt om möjligheten att inge klagomål till Europeiska datatillsynsmannen eller att begära rättslig prövning vid Europeiska unionens domstol. |
| --- | --- |

a)

Eiopa ska informera berörd registrerad, i sitt svar på dennes begäran, om den begränsning som tillämpas och de huvudsakliga skälen till denna, samt om möjligheten att inge klagomål till Europeiska datatillsynsmannen eller att begära rättslig prövning vid Europeiska unionens domstol.

| b) | Eiopa ska genom en intern bedömningsnotering dokumentera skälen till begränsningen, däribland en bedömning av begränsningens nödvändighet och proportionalitet samt dess varaktighet. |
| --- | --- |

b)

Eiopa ska genom en intern bedömningsnotering dokumentera skälen till begränsningen, däribland en bedömning av begränsningens nödvändighet och proportionalitet samt dess varaktighet.

Tillhandahållandet av information som avses i led a får skjutas upp, utelämnas eller nekas om det skulle upphäva verkan av en begränsning i enlighet med artikel 25.8 i förordning (EU) 2018/1725.

3.   Eiopa ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när utredningen avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar. Dataskyddsombudet ska vederbörligen informeras.

4.   Dokumentationen och, i tillämpliga fall, handlingar som innehåller de bakomliggande faktiska och rättsliga omständigheterna, ska registreras. Denna information ska på begäran göras tillgänglig för Europeiska datatillsynsmannen.

Artikel 7

Rätt till rättelse, radering och begränsning av behandling

1.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får den personuppgiftsansvarige begränsa rätten till rättelse, radering och begränsning av behandling vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:

| a) | Genomförande av administrativa utredningar och disciplinförfaranden. |
| --- | --- |

a)

Genomförande av administrativa utredningar och disciplinförfaranden.

| b) | Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf. |
| --- | --- |

b)

Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.

| c) | Förfaranden rörande visselblåsning. |
| --- | --- |

c)

Förfaranden rörande visselblåsning.

| d) | (Formella och informella) förfaranden vid fall av trakasserier. |
| --- | --- |

d)

(Formella och informella) förfaranden vid fall av trakasserier.

| e) | Behandling av interna och externa klagomål. |
| --- | --- |

e)

Behandling av interna och externa klagomål.

| f) | Internrevision. |
| --- | --- |

f)

Internrevision.

| g) | Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725. |
| --- | --- |

g)

Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.

| h) | Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer). |
| --- | --- |

h)

Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).

2.   Om Eiopa helt eller delvis begränsar tillämpningen av den rätt till rättelse, radering eller begränsning av behandling som avses i artiklarna 18, 19.1 och 20.1 i förordning (EU) 2018/1725, ska myndigheten vidta de åtgärder som anges i artikel 6.2 i detta beslut och registrera dokumenteringen i enlighet med artikel 6.3.

Artikel 8

Information till den registrerade om en personuppgiftsincident och konfidentialitet för elektronisk kommunikation

1.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får den personuppgiftsansvarige begränsa rätten till information om en personuppgiftsincident vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:

| a) | Genomförande av administrativa utredningar och disciplinförfaranden. |
| --- | --- |

a)

Genomförande av administrativa utredningar och disciplinförfaranden.

| b) | Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf. |
| --- | --- |

b)

Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.

| c) | Förfaranden rörande visselblåsning. |
| --- | --- |

c)

Förfaranden rörande visselblåsning.

| d) | (Formella och informella) förfaranden vid fall av trakasserier. |
| --- | --- |

d)

(Formella och informella) förfaranden vid fall av trakasserier.

| e) | Behandling av interna och externa klagomål. |
| --- | --- |

e)

Behandling av interna och externa klagomål.

| f) | Internrevision. |
| --- | --- |

f)

Internrevision.

| g) | Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725. |
| --- | --- |

g)

Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.

| h) | Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer). |
| --- | --- |

h)

Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).

2.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får den personuppgiftsansvarige begränsa rätten till konfidentiell behandling av elektronisk kommunikation vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:

| a) | Genomförande av administrativa utredningar och disciplinförfaranden. |
| --- | --- |

a)

Genomförande av administrativa utredningar och disciplinförfaranden.

| b) | Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf. |
| --- | --- |

b)

Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.

| c) | Förfaranden rörande visselblåsning. |
| --- | --- |

c)

Förfaranden rörande visselblåsning.

| d) | Formella förfaranden vid fall av trakasserier. |
| --- | --- |

d)

Formella förfaranden vid fall av trakasserier.

| e) | Behandling av interna och externa klagomål. |
| --- | --- |

e)

Behandling av interna och externa klagomål.

| f) | Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer). |
| --- | --- |

f)

Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).

3.   Om Eiopa begränsar informationen om en personuppgiftsincident till den registrerade eller konfidentialiteten för elektronisk kommunikation, som avses i artiklarna 35 och 36 i förordning (EU) 2018/1725, ska myndigheten dokumentera och registrera skälen till begränsningen i överensstämmelse med artikel 5.3 i detta beslut. Artikel 5.4 i detta beslut ska tillämpas.

Artikel 9

Ikraftträdande

Detta beslut träder i kraft dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Europeiska unionens officiella tidning

Utfärdat i Frankfurt am Main den 23 maj 2019.

På Eiopas vägnar

Gabriel BERNARDINO

Styrelsens ordförande

---

(1)  
  EUT L 295, 21.11.2018, s. 39.

1

(2)  
  EUT L 331, 15.12.2010, s. 48.

2

(3)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

3

(4)  Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89).

4

---