# Den Europæiske Unions L 221/2019

| | ISSN 1977-0634 |
| --- | --- |
| Den Europæiske Unions
  Tidende | L 221 |
| | |
| Dansk udgave | Retsforskrifter | 62. årgang26. august 2019 |

ISSN 1977-0634

Den Europæiske Unions

Tidende

L 221

Dansk udgave

Retsforskrifter

62. årgang26. august 2019

---

| Indhold | | II   Ikke-lovgivningsmæssige retsakter | Side |
| --- | --- | --- | --- |
| | | FORRETNINGSORDENER OG PROCESREGLEMENTER |
| | * | Afgørelse vedtaget af Bestyrelsen for Den Europæiske Tilsynsmyndighed for Forsikrings- og Arbejdsmarkedspensionsordninger den 23. maj 2019 om interne regler om begrænsninger af visse registreredes rettigheder i forbindelse med behandling af personoplysninger i forbindelse med driften af EIOPA | 1 |

Indhold

II   Ikke-lovgivningsmæssige retsakter

Side

FORRETNINGSORDENER OG PROCESREGLEMENTER

*

Afgørelse vedtaget af Bestyrelsen for Den Europæiske Tilsynsmyndighed for Forsikrings- og Arbejdsmarkedspensionsordninger den 23. maj 2019 om interne regler om begrænsninger af visse registreredes rettigheder i forbindelse med behandling af personoplysninger i forbindelse med driften af EIOPA

1

| DA | De akter, hvis titel er trykt med magre typer, er løbende retsakter inden for rammerne af landbrugspolitikken og har normalt en begrænset gyldighedsperiode.
  Titlen på alle øvrige akter er trykt med fede typer efter en asterisk. |
| --- | --- |

DA

De akter, hvis titel er trykt med magre typer, er løbende retsakter inden for rammerne af landbrugspolitikken og har normalt en begrænset gyldighedsperiode.

Titlen på alle øvrige akter er trykt med fede typer efter en asterisk.

---

II Ikke-lovgivningsmæssige retsakter

FORRETNINGSORDENER OG PROCESREGLEMENTER

| 26.8.2019 | DA | Den Europæiske Unions Tidende | L 221/1 |
| --- | --- | --- | --- |

26.8.2019

DA

Den Europæiske Unions Tidende

L 221/1

---

AFGØRELSE VEDTAGET AF BESTYRELSEN FOR DEN EUROPÆISKE TILSYNSMYNDIGHED FOR FORSIKRINGS- OG ARBEJDSMARKEDSPENSIONSORDNINGER

den 23. maj 2019

om interne regler om begrænsninger af visse registreredes rettigheder i forbindelse med behandling af personoplysninger i forbindelse med driften af EIOPA

BESTYRELSEN FOR DEN EUROPÆISKE TILSYNSMYNDIGHED FOR FORSIKRINGS- OG ARBEJDSMARKEDSPENSIONSORDNINGER HAR

under henvisning til traktaten om Den Europæiske Unions funktionsmåde,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1), særlig artikel 25,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) nr. 1094/2010 af 24. november 2010 om oprettelse af en europæisk tilsynsmyndighed (Den Europæiske Tilsynsmyndighed for Forsikrings- og Arbejdsmarkedspensionsordninger) om ændring af afgørelse nr. 716/2009/EF og om ophævelse af Kommissionens afgørelse 2009/79/EF (2) (»EIOPA«), særlig artikel 47, stk. 1,

under henvisning til udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse (»EDPS«) af 14. maj 2019,

og ud fra følgende betragtninger:

| (1) | I henhold til artikel 25, stk. 1, i forordning (EU) 2018/1725 bør begrænsninger i anvendelsen af artikel 14-22, 35 og 36, samt artikel 4 i nævnte forordning, for så vidt bestemmelserne deri svarer til rettighederne og forpligtelserne i artikel 14-22, baseres på interne regler, som fastsættes af EIOPA, når disse ikke har hjemmel i en retsakt vedtaget på grundlag af traktaterne. |
| --- | --- |

(1)

I henhold til artikel 25, stk. 1, i forordning (EU) 2018/1725 bør begrænsninger i anvendelsen af artikel 14-22, 35 og 36, samt artikel 4 i nævnte forordning, for så vidt bestemmelserne deri svarer til rettighederne og forpligtelserne i artikel 14-22, baseres på interne regler, som fastsættes af EIOPA, når disse ikke har hjemmel i en retsakt vedtaget på grundlag af traktaterne.

| (2) | Disse interne regler, herunder deres bestemmelser om vurderingen af, om en begrænsning er nødvendig og står i rimeligt forhold til formålene, bør ikke finde anvendelse, når en retsakt vedtaget på grundlag af traktaterne foreskriver en begrænsning af registreredes rettigheder. |
| --- | --- |

(2)

Disse interne regler, herunder deres bestemmelser om vurderingen af, om en begrænsning er nødvendig og står i rimeligt forhold til formålene, bør ikke finde anvendelse, når en retsakt vedtaget på grundlag af traktaterne foreskriver en begrænsning af registreredes rettigheder.

| (3) | Hvor EIOPA udfører sit hverv med hensyn til registreredes rettigheder i henhold til forordning (EU) 2018/1725, skal den overveje, om nogen af de undtagelser, der er fastsat i denne forordning, finder anvendelse. |
| --- | --- |

(3)

Hvor EIOPA udfører sit hverv med hensyn til registreredes rettigheder i henhold til forordning (EU) 2018/1725, skal den overveje, om nogen af de undtagelser, der er fastsat i denne forordning, finder anvendelse.

| (4) | Inden for rammerne af tilsynsmyndighedens administrative funktion kan EIOPA foretage administrative forespørgsler, føre disciplinærsager, gennemføre indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF, behandle sager om whistleblowing, behandle (formelle og uformelle) procedurer vedrørende chikane, behandle interne og eksterne klager, foretage interne revisioner, foretage undersøgelser af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 og interne (IT-)sikkerhedsundersøgelser. |
| --- | --- |

(4)

Inden for rammerne af tilsynsmyndighedens administrative funktion kan EIOPA foretage administrative forespørgsler, føre disciplinærsager, gennemføre indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF, behandle sager om whistleblowing, behandle (formelle og uformelle) procedurer vedrørende chikane, behandle interne og eksterne klager, foretage interne revisioner, foretage undersøgelser af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 og interne (IT-)sikkerhedsundersøgelser.

| (5) | EIOPA behandler flere kategorier af personoplysninger, herunder hårde oplysninger (»objektive« oplysninger såsom identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, oplysninger modtaget fra specifikke kilder, elektronisk kommunikation og trafikoplysninger) og/eller bløde oplysninger (»subjektive« oplysninger i forbindelse med f.eks. ræsonnementer, adfærdsmæssige oplysninger, vurderinger, ydeevne og adfærdsoplysninger samt oplysninger relateret til eller fremkommet i forbindelse med genstanden for den pågældende procedure eller aktivitet). |
| --- | --- |

(5)

EIOPA behandler flere kategorier af personoplysninger, herunder hårde oplysninger (»objektive« oplysninger såsom identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, oplysninger modtaget fra specifikke kilder, elektronisk kommunikation og trafikoplysninger) og/eller bløde oplysninger (»subjektive« oplysninger i forbindelse med f.eks. ræsonnementer, adfærdsmæssige oplysninger, vurderinger, ydeevne og adfærdsoplysninger samt oplysninger relateret til eller fremkommet i forbindelse med genstanden for den pågældende procedure eller aktivitet).

| (6) | EIOPA, som repræsenteres af den administrerende direktør, fungerer som dataansvarlig uanset yderligere delegering af rollen som dataansvarlig i EIOPA for at afspejle det operationelle ansvar for specifikke behandlingsaktiviteter vedrørende personoplysninger. |
| --- | --- |

(6)

EIOPA, som repræsenteres af den administrerende direktør, fungerer som dataansvarlig uanset yderligere delegering af rollen som dataansvarlig i EIOPA for at afspejle det operationelle ansvar for specifikke behandlingsaktiviteter vedrørende personoplysninger.

| (7) | Personoplysningerne opbevares sikkert i et elektronisk miljø eller på papir, hvilket forhindrer ulovlig adgang eller overførsel af data til personer, der ikke har behov for denne viden. De personoplysninger, der behandles, opbevares ikke i længere tid, end det er nødvendigt og passende for de formål, hvortil oplysningerne behandles i den angivne periode i EIOPA's bekendtgørelser om databeskyttelse, udtalelser om privatlivets fred eller registreringer. |
| --- | --- |

(7)

Personoplysningerne opbevares sikkert i et elektronisk miljø eller på papir, hvilket forhindrer ulovlig adgang eller overførsel af data til personer, der ikke har behov for denne viden. De personoplysninger, der behandles, opbevares ikke i længere tid, end det er nødvendigt og passende for de formål, hvortil oplysningerne behandles i den angivne periode i EIOPA's bekendtgørelser om databeskyttelse, udtalelser om privatlivets fred eller registreringer.

| (8) | Disse interne regler bør gælde for alle behandlingsaktiviteter, der udføres af EIOPA i forbindelse med udførelsen af administrative undersøgelser, disciplinærsager, foreløbige aktiviteter i forbindelse med sager om potentielle uregelmæssigheder, der indberettes til OLAF, sager om whistleblowing, (formelle og uformelle) procedurer for sager om chikane, behandling af interne og eksterne klager, interne revisioner, de undersøgelser, der udføres af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU). |
| --- | --- |

(8)

Disse interne regler bør gælde for alle behandlingsaktiviteter, der udføres af EIOPA i forbindelse med udførelsen af administrative undersøgelser, disciplinærsager, foreløbige aktiviteter i forbindelse med sager om potentielle uregelmæssigheder, der indberettes til OLAF, sager om whistleblowing, (formelle og uformelle) procedurer for sager om chikane, behandling af interne og eksterne klager, interne revisioner, de undersøgelser, der udføres af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).

| (9) | Disse interne regler bør gælde for behandlingsaktiviteter, der gennemføres forud for indledningen af ovennævnte procedurer, i løbet af disse procedurer og under overvågning af opfølgningen på resultatet af disse procedurer. De bør også omfatte bistand og samarbejde, som ydes af EIOPA til de nationale myndigheder og internationale organisationer uden for myndighedens administrative undersøgelser. |
| --- | --- |

(9)

Disse interne regler bør gælde for behandlingsaktiviteter, der gennemføres forud for indledningen af ovennævnte procedurer, i løbet af disse procedurer og under overvågning af opfølgningen på resultatet af disse procedurer. De bør også omfatte bistand og samarbejde, som ydes af EIOPA til de nationale myndigheder og internationale organisationer uden for myndighedens administrative undersøgelser.

| (10) | I de tilfælde, hvor disse interne regler gælder, skal EIOPA give begrundelser, der forklarer, hvorfor begrænsningerne er strengt nødvendige og forholdsmæssige i et demokratisk samfund og respekterer det væsentlige indhold af de grundlæggende rettigheder og friheder. |
| --- | --- |

(10)

I de tilfælde, hvor disse interne regler gælder, skal EIOPA give begrundelser, der forklarer, hvorfor begrænsningerne er strengt nødvendige og forholdsmæssige i et demokratisk samfund og respekterer det væsentlige indhold af de grundlæggende rettigheder og friheder.

| (11) | Inden for disse rammer er EIOPA forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder i løbet af de ovennævnte procedurer, især dem, der vedrører retten til oplysninger, indsigt og berigtigelse, retten til sletning, begrænsning af behandling, retten til underretning om et brud på persondatasikkerheden til en registreret eller fortroligheden af kommunikation som nedfældet i forordning (EU) 2018/1725. |
| --- | --- |

(11)

Inden for disse rammer er EIOPA forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder i løbet af de ovennævnte procedurer, især dem, der vedrører retten til oplysninger, indsigt og berigtigelse, retten til sletning, begrænsning af behandling, retten til underretning om et brud på persondatasikkerheden til en registreret eller fortroligheden af kommunikation som nedfældet i forordning (EU) 2018/1725.

| (12) | EIOPA kan dog være forpligtet til at begrænse oplysningerne til den registreredes og andre registreredes rettigheder for at beskytte især sine egne undersøgelser, andre offentlige myndigheders undersøgelser og sager samt andre personers rettigheder vedrørende EIOPA's undersøgelser eller andre procedurer. |
| --- | --- |

(12)

EIOPA kan dog være forpligtet til at begrænse oplysningerne til den registreredes og andre registreredes rettigheder for at beskytte især sine egne undersøgelser, andre offentlige myndigheders undersøgelser og sager samt andre personers rettigheder vedrørende EIOPA's undersøgelser eller andre procedurer.

| (13) | EIOPA kan således begrænse oplysningerne med det formål at beskytte undersøgelsen og andre registreredes grundlæggende rettigheder og frihedsrettigheder. |
| --- | --- |

(13)

EIOPA kan således begrænse oplysningerne med det formål at beskytte undersøgelsen og andre registreredes grundlæggende rettigheder og frihedsrettigheder.

| (14) | EIOPA bør periodisk overvåge, at de betingelser, der berettiger begrænsningen, er gældende, og ophæve begrænsningen, hvis de ikke længere er gældende. |
| --- | --- |

(14)

EIOPA bør periodisk overvåge, at de betingelser, der berettiger begrænsningen, er gældende, og ophæve begrænsningen, hvis de ikke længere er gældende.

| (15) | Den dataansvarlige bør informere den databeskyttelsesansvarlige på tidspunktet for udsættelse og under revisionerne. |
| --- | --- |

(15)

Den dataansvarlige bør informere den databeskyttelsesansvarlige på tidspunktet for udsættelse og under revisionerne.

VEDTAGET DENNE AFGØRELSE:

Artikel 1

Genstand og anvendelsesområde

1.   I denne afgørelse fastlægges regler vedrørende betingelserne for, hvornår EIOPA inden for rammerne af de procedurer, der er fastsat i stk. 2, kan begrænse anvendelsen af de rettigheder, der er nedfældet i artikel 14-21, 35 og 36, samt artikel 4, efter artikel 25 i forordning (EU) 2018/1725.

2.   Inden for rammerne af EIOPA's administrative funktion gælder denne afgørelse behandlingsaktiviteter, der udføres af EIOPA i forbindelse med: udførelsen af administrative undersøgelser, disciplinærsager, foreløbige aktiviteter i forbindelse med sager om potentielle uregelmæssigheder, der indberettes til OLAF, sager om whistleblowing, (formelle og uformelle) procedurer vedrørende chikane, behandling af interne og eksterne klager, gennemførelse af interne revisioner, de undersøgelser, der udføres af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).

3.   De relevante kategorier af personoplysninger er hårde oplysninger (»objektive« oplysninger såsom identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, oplysninger modtaget fra specifikke kilder, elektronisk kommunikation og trafikoplysninger) og/eller bløde oplysninger (»subjektive« oplysninger i forbindelse med f.eks. ræsonnementer, adfærdsmæssige oplysninger, vurderinger, resultat- og adfærdsoplysninger samt oplysninger relateret til eller fremkommet i forbindelse med genstanden for den pågældende procedure eller aktivitet).

4.   Hvor EIOPA udfører sit hverv med hensyn til registreredes rettigheder i henhold til forordning (EU) 2018/1725, skal den overveje, om nogen af de undtagelser, der er fastsat i denne forordning, finder anvendelse.

5.   På de betingelser, der er fastsat i denne afgørelse, kan begrænsningerne gælde følgende rettigheder: oplysninger til de registrerede, ret til indsigt, berigtigelse, sletning, begrænsning af behandling, underretning om et brud på persondatasikkerheden til en registreret eller fortroligheden af kommunikation.

Artikel 2

Specifikation af den dataansvarlige og sikkerhedsforanstaltninger

1.   De indførte sikkerhedsforanstaltninger med henblik på at undgå brud på datasikkerheden, lækager eller uautoriseret videregivelse er følgende:

| a) | Papirdokumenter opbevares i sikrede skabe, som kun er tilgængelige for autoriseret personale. |
| --- | --- |

a)

Papirdokumenter opbevares i sikrede skabe, som kun er tilgængelige for autoriseret personale.

| b) | Alle elektroniske oplysninger opbevares i en sikker IT-anordning i henhold til EIOPA's sikkerhedsstandarder såvel som i specifikke elektroniske mapper, som kun er tilgængelige for autoriseret personale. Passende adgangsniveauer tildeles enkeltvis. |
| --- | --- |

b)

Alle elektroniske oplysninger opbevares i en sikker IT-anordning i henhold til EIOPA's sikkerhedsstandarder såvel som i specifikke elektroniske mapper, som kun er tilgængelige for autoriseret personale. Passende adgangsniveauer tildeles enkeltvis.

| c) | Databasen er beskyttet af en adgangskode med et fælles indlogningssystem og tilsluttes automatisk brugerens id og adgangskode. Det er strengt forbudt at udskifte brugere. E-registre skal føres forsvarligt for at sikre fortroligheden og privatlivsbeskyttelsen af de indsamlede oplysninger. |
| --- | --- |

c)

Databasen er beskyttet af en adgangskode med et fælles indlogningssystem og tilsluttes automatisk brugerens id og adgangskode. Det er strengt forbudt at udskifte brugere. E-registre skal føres forsvarligt for at sikre fortroligheden og privatlivsbeskyttelsen af de indsamlede oplysninger.

| d) | Alle personer, der har adgang til oplysningerne, er bundet af tavshedspligt. |
| --- | --- |

d)

Alle personer, der har adgang til oplysningerne, er bundet af tavshedspligt.

2.   Den dataansvarlige for behandlingsaktiviteterne er EIOPA, repræsenteret ved den administrerende direktør, som kan uddelegere den dataansvarliges funktion. Registrerede skal underrettes om den delegerede dataansvarlige via bekendtgørelser eller optegnelser om databeskyttelse, der offentliggøres på EIOPA's websted og/eller intranet.

3.   Den opbevaringsperiode for personoplysninger, der er omhandlet i artikel 1, stk. 3, må ikke være længere end det, der er nødvendigt og passende for de formål, hvortil oplysningerne behandles. Den skal under ingen omstændigheder være længere end den opbevaringsperiode, der fremgår af de bekendtgørelser om databeskyttelse, udtalelser om privatlivets fred eller optegnelser, der er omhandlet i artikel 5, stk. 1.

4.   Hvor EIOPA overvejer at anvende en begrænsning, vægtes risikoen for den registreredes rettigheder og frihedsrettigheder, især i forhold til risikoen for andre registreredes rettigheder og frihedsrettigheder og risikoen for at miste effekten af EIOPA's undersøgelser eller procedurer, eksempelvis ved at ødelægge beviser. Risici for den registreredes rettigheder og frihedsrettigheder vedrører fortrinsvist, men er ikke begrænset til, omdømmemæssige risici og risici for retten til forsvar og retten til at blive hørt.

Artikel 3

Begrænsninger

1.   Enhver begrænsning må kun anvendes af EIOPA med det formål at beskytte:

| a) | forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed |
| --- | --- |

a)

forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed

| b) | andre vigtige målsætninger i forbindelse med beskyttelse af Unionens eller en medlemsstats generelle samfundsinteresser, navnlig målene med Unionens fælles udenrigs- og sikkerhedspolitik eller Unionens eller en medlemsstats væsentlige økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed |
| --- | --- |

b)

andre vigtige målsætninger i forbindelse med beskyttelse af Unionens eller en medlemsstats generelle samfundsinteresser, navnlig målene med Unionens fælles udenrigs- og sikkerhedspolitik eller Unionens eller en medlemsstats væsentlige økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed

| c) | Unionens institutioners og organers interne sikkerhed, herunder deres elektroniske kommunikationsnetværk |
| --- | --- |

c)

Unionens institutioners og organers interne sikkerhed, herunder deres elektroniske kommunikationsnetværk

| d) | forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv |
| --- | --- |

d)

forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv

| e) | kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a)-c) |
| --- | --- |

e)

kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a)-c)

| f) | beskyttelse af den registreredes eller andres rettigheder og frihedsrettigheder. |
| --- | --- |

f)

beskyttelse af den registreredes eller andres rettigheder og frihedsrettigheder.

2.   Som en konkret anvendelse af de i stk. 1 beskrevne formål kan EIOPA anvende begrænsninger vedrørende personoplysninger, der udveksles med Kommissionens tjenestegrene eller andre EU-institutioner, organer, agenturer og kontorer, de kompetente myndigheder i medlemsstaterne eller tredjelande eller internationale organisationer, under følgende omstændigheder:

| a) | Hvor udøvelsen af disse rettigheder og forpligtelser kan være begrænset af Kommissionens tjenestegrene eller andre EU-institutioner, organer, agenturer og kontorer på grundlag af andre retsakter, der er omhandlet i artikel 25 i forordning (EU) 2018/1725, eller i overensstemmelse med forordningens kapitel IX eller med de grundlæggende retsakter for andre EU-institutioner, organer, agenturer og kontorer. |
| --- | --- |

a)

Hvor udøvelsen af disse rettigheder og forpligtelser kan være begrænset af Kommissionens tjenestegrene eller andre EU-institutioner, organer, agenturer og kontorer på grundlag af andre retsakter, der er omhandlet i artikel 25 i forordning (EU) 2018/1725, eller i overensstemmelse med forordningens kapitel IX eller med de grundlæggende retsakter for andre EU-institutioner, organer, agenturer og kontorer.

| b) | Hvor udøvelsen af disse rettigheder og forpligtelser kan være begrænset af de kompetente myndigheder i medlemsstaterne på grundlag af retsakter, der er omhandlet i artikel 23 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (3), eller i henhold til nationale foranstaltninger til gennemførelse af artikel 13, stk. 3, 15, stk. 3, eller 16, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (4). |
| --- | --- |

b)

Hvor udøvelsen af disse rettigheder og forpligtelser kan være begrænset af de kompetente myndigheder i medlemsstaterne på grundlag af retsakter, der er omhandlet i artikel 23 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (3), eller i henhold til nationale foranstaltninger til gennemførelse af artikel 13, stk. 3, 15, stk. 3, eller 16, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (4).

| c) | Hvor udøvelsen af disse rettigheder og forpligtelser kan true EIOPA's samarbejde med tredjelande eller internationale organisationer i forbindelse med udførelsen af dens opgaver. |
| --- | --- |

c)

Hvor udøvelsen af disse rettigheder og forpligtelser kan true EIOPA's samarbejde med tredjelande eller internationale organisationer i forbindelse med udførelsen af dens opgaver.

Inden der pålægges begrænsninger i de tilfælde, som er omtalt i første afsnit, litra a) og b), skal EIOPA høre de relevante tjenestegrene i Kommissionen, Unionens institutioner, organer, agenturer, kontorer eller de kompetente myndigheder i medlemsstaterne, medmindre det står klart for EIOPA, at anvendelsen af en begrænsning er fastsat i en af de retsakter, der er nævnt i disse bestemmelser.

3.   Enhver begrænsning skal være nødvendig og forholdsmæssig under hensyntagen til de risici, den medfører for de registreredes rettigheder og frihedsrettigheder, og respektere det væsentlige indhold af de grundlæggende rettigheder og frihedsrettigheder i et demokratisk samfund.

4.   Hvis det overvejes at pålægge begrænsninger, foretages der en vurdering af nødvendigheden, og om de står i et rimeligt forhold til formålene. Af hensyn til ansvarlighed dokumenteres vurderingen gennem et internt notat i hvert enkelt tilfælde.

5.   Begrænsningerne ophæves, så snart de omstændigheder, der berettiger dem, ikke længere gælder. Især når det vurderes, at udøvelsen af den begrænsede ret ikke længere vil annullere effekten af den pålagte begrænsning eller forringe andre registreredes rettigheder eller frihedsrettigheder.

Artikel 4

Gennemgang af den databeskyttelsesansvarlige

1.   EIOPA underretter uden ugrundet ophold sin databeskyttelsesansvarlige, når den dataansvarlige begrænser anvendelsen af de registreredes rettigheder eller udvider begrænsningen i overensstemmelse med denne afgørelse. Den dataansvarlige giver den databeskyttelsesansvarlige adgang til den fortegnelse, som indeholder en vurdering af nødvendigheden og forholdsmæssigheden af begrænsningen og dokumenterer datoen for underretningen af den databeskyttelsesansvarlige i fortegnelsen.

2.   Den databeskyttelsesansvarlige kan anmode den dataansvarlige skriftligt om at gennemgå anvendelsen af begrænsningerne. Den dataansvarlige underretter den databeskyttelsesansvarlige skriftligt om resultatet af den ønskede gennemgang.

3.   Den dataansvarlige underretter den databeskyttelsesansvarlige, når begrænsningen er blevet ophævet.

Artikel 5

Formidling af oplysninger til registrerede

1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til oplysninger begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter:

| a) | udførelse af administrative undersøgelser og disciplinærsager |
| --- | --- |

a)

udførelse af administrative undersøgelser og disciplinærsager

| b) | indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF |
| --- | --- |

b)

indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF

| c) | procedurer vedrørende whistleblowing |
| --- | --- |

c)

procedurer vedrørende whistleblowing

| d) | (formelle og uformelle) procedurer vedrørende chikane |
| --- | --- |

d)

(formelle og uformelle) procedurer vedrørende chikane

| e) | behandling af interne og eksterne klager |
| --- | --- |

e)

behandling af interne og eksterne klager

| f) | intern revision |
| --- | --- |

f)

intern revision

| g) | de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 |
| --- | --- |

g)

de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725

| h) | (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU). |
| --- | --- |

h)

(IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).

EIOPA indarbejder i bekendtgørelserne om databeskyttelse, udtalelser om privatlivets fred eller fortegnelser i henhold til artikel 31 i forordning (EU) 2018/1725, som er offentliggjort på dens websted og/eller på intranettet, hvor de registrerede underrettes om deres rettigheder inden for rammerne af en given procedure, oplysninger om den potentielle begrænsning af disse rettigheder. Oplysningerne omfatter, hvilke rettigheder der kan begrænses, bevæggrundene og den potentielle varighed.

2.   Med forbehold af bestemmelserne i stk. 3 underretter EIOPA, hvor det er forholdsmæssigt, også enkeltvis alle registrerede, der anses for at være berørt af den konkrete behandlingsaktivitet, uden unødigt ophold og skriftligt om deres rettigheder vedrørende nuværende eller fremtidige begrænsninger.

3.   Hvor EIOPA helt eller delvist begrænser formidling af oplysninger til de registrerede, der er omhandlet i stk. 2, registrerer den bevæggrundene til begrænsningen og retsgrundlaget i overensstemmelse med artikel 3 i denne afgørelse, herunder en vurdering af nødvendigheden og forholdsmæssigheden af begrænsningen.

4.   Fortegnelsen og i givet fald de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres. De stilles til rådighed for EDPS på dennes anmodning.

5.   Begrænsningen i stk. 3 finder fortsat anvendelse, så længe bevæggrundene derfor finder anvendelse.

6.   Hvor begrundelsen for begrænsningen ikke længere finder anvendelse, underretter EIOPA den registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen. Samtidig underretter EIOPA den registrerede om retten til til enhver tid at indgive en klage til EDPS eller søge domstolsprøvelse i Den Europæiske Unions Domstol.

7.   EIOPA gennemgår anvendelsen af begrænsningen hvert halve år fra dens vedtagelse og ved afslutningen af den pågældende undersøgelse, procedure eller efterforskning. Derefter overvåger den dataansvarlige hvert halve år behovet for at opretholde enhver begrænsning.

Artikel 6

Den registreredes ret til indsigt

1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til indsigt begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og forholdsmæssigt:

| a) | udførelse af administrative undersøgelser og disciplinærsager |
| --- | --- |

a)

udførelse af administrative undersøgelser og disciplinærsager

| b) | indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF |
| --- | --- |

b)

indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF

| c) | procedurer vedrørende whistleblowing |
| --- | --- |

c)

procedurer vedrørende whistleblowing

| d) | (formelle og uformelle) procedurer vedrørende chikane |
| --- | --- |

d)

(formelle og uformelle) procedurer vedrørende chikane

| e) | behandling af interne og eksterne klager |
| --- | --- |

e)

behandling af interne og eksterne klager

| f) | intern revision |
| --- | --- |

f)

intern revision

| g) | de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 |
| --- | --- |

g)

de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725

| (h) | (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU). |
| --- | --- |

(h)

(IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).

Hvor registrerede anmoder om indsigt i deres personoplysninger, der behandles i forbindelse med en eller flere bestemte sager eller behandlingsaktiviteter, begrænser EIOPA i henhold til artikel 17 i forordning (EU) 2018/1725 sin vurdering af anmodningen udelukkende til sådanne personoplysninger.

2.   Hvor EIOPA helt eller delvist begrænser retten til indsigt, der er omhandlet i artikel 17 i forordning (EU) 2018/1725, tager den følgende skridt:

| a) | underretter i sit svar på anmodningen den pågældende registrerede om den pålagte begrænsning og om de vigtigste bevæggrunde dertil og om muligheden for at klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe sagen for EU-Domstolen |
| --- | --- |

a)

underretter i sit svar på anmodningen den pågældende registrerede om den pålagte begrænsning og om de vigtigste bevæggrunde dertil og om muligheden for at klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe sagen for EU-Domstolen

| b) | dokumenterer i en intern vurdering bevæggrundene til begrænsningen, herunder en vurdering af nødvendigheden og forholdsmæssigheden af begrænsningen og dens varighed. |
| --- | --- |

b)

dokumenterer i en intern vurdering bevæggrundene til begrænsningen, herunder en vurdering af nødvendigheden og forholdsmæssigheden af begrænsningen og dens varighed.

Den bestemmelse om underretning, der er omhandlet i litra a), kan udsættes, udelades eller afvises, hvis den ville ophæve virkningen af den pålagte begrænsning i henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725.

3.   EIOPA gennemgår anvendelsen af begrænsningen hvert halve år fra dens vedtagelse og ved afslutningen af den pågældende undersøgelse. Derefter overvåger den dataansvarlige hvert halve år behovet for at opretholde enhver begrænsning. Den datasikkerhedsansvarlige underrettes herom.

4.   Fortegnelsen og i givet fald de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres. De stilles til rådighed for EDPS på dennes anmodning.

Artikel 7

Ret til berigtigelse, sletning og begrænsning af behandlingen

1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til berigtigelse, sletning og begrænsning begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:

| a) | udførelse af administrative undersøgelser og disciplinærsager |
| --- | --- |

a)

udførelse af administrative undersøgelser og disciplinærsager

| b) | indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF |
| --- | --- |

b)

indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF

| c) | procedurer om whistleblowing |
| --- | --- |

c)

procedurer om whistleblowing

| d) | (formelle og uformelle) procedurer vedrørende chikane |
| --- | --- |

d)

(formelle og uformelle) procedurer vedrørende chikane

| e) | behandling af interne og eksterne klager |
| --- | --- |

e)

behandling af interne og eksterne klager

| f) | intern revision |
| --- | --- |

f)

intern revision

| g) | de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 undersøgelserne |
| --- | --- |

g)

de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 undersøgelserne

| h) | (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU). |
| --- | --- |

h)

(IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).

2.   Hvor EIOPA helt eller delvist begrænser anvendelsen af retten til berigtigelse, sletning og begrænsning af den behandling, der er omhandlet i artikel 18, artikel 19, stk. 1, og artikel 20, stk. 1, i forordning (EU) 2018/1725, skal den tage de skridt, som er fastsat i artikel 6, stk. 2, i denne afgørelse, og registrere dette i overensstemmelse med artikel 6, stk. 3.

Artikel 8

Underretning om et brud på persondatabeskyttelsen til den registrerede og fortrolighed af elektronisk kommunikation

1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til underretning om et brud på persondatasikkerheden begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:

| a) | udførelse af administrative undersøgelser og disciplinærsager |
| --- | --- |

a)

udførelse af administrative undersøgelser og disciplinærsager

| b) | indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF |
| --- | --- |

b)

indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF

| c) | procedurer vedrørende whistleblowing |
| --- | --- |

c)

procedurer vedrørende whistleblowing

| d) | (formelle og uformelle) procedurer vedrørende chikane |
| --- | --- |

d)

(formelle og uformelle) procedurer vedrørende chikane

| e) | behandling af interne og eksterne klager |
| --- | --- |

e)

behandling af interne og eksterne klager

| f) | intern revision |
| --- | --- |

f)

intern revision

| g) | de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 |
| --- | --- |

g)

de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725

| h) | (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU). |
| --- | --- |

h)

(IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).

2.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til fortrolighed af elektronisk kommunikation begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:

| a) | udførelse af administrative undersøgelser og disciplinærsager |
| --- | --- |

a)

udførelse af administrative undersøgelser og disciplinærsager

| b) | indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF |
| --- | --- |

b)

indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF

| c) | procedurer vedrørende whistleblowing |
| --- | --- |

c)

procedurer vedrørende whistleblowing

| d) | formelle procedurer vedrørende chikane |
| --- | --- |

d)

formelle procedurer vedrørende chikane

| e) | behandling af interne og eksterne klager |
| --- | --- |

e)

behandling af interne og eksterne klager

| f) | (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU). |
| --- | --- |

f)

(IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).

3.   Hvor EIOPA begrænser underretning om et brud på persondatasikkerheden til den registrerede eller fortrolighed af elektronisk kommunikation som omhandlet i artikel 35 og 36 i forordning (EU) 2018/1725, registrerer den bevæggrundene til begrænsningen i overensstemmelse med artikel 5, stk. 3, i denne afgørelse. Artikel 5, stk. 4, i denne afgørelse finder anvendelse.

Artikel 9

Ikrafttræden

Denne afgørelse træder i kraft på dagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Den Europæiske Unions Tidende

Udfærdiget i Frankfurt am Main, den 23. maj 2019.

For EIOPA

Gabriel BERNARDINO

Bestyrelsens formandskab

---

(1)  
  EUT L 295 af 21.11.2018, s. 39.

1

(2)  
  EUT L 331 af 15.12.2010, s. 48.

2

(3)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).

3

(4)  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89).

4

---