AFGØRELSE TRUFFET AF STYRELSESKOMITÉEN FOR DET EUROPÆISKE FORVALTNINGSORGAN FOR SUNDHED OG DET DIGITALE OMRÅDE

om interne regler for begrænsninger af visse rettigheder for registrerede i forbindelse med behandlingen af personoplysninger inden for rammerne af de aktiviteter, der udføres af forvaltningsorganet

STYRELSESKOMITÉEN HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 249, stk. 1,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1) (»forordningen«), særlig artikel 25,

under henvisning til Kommissionens gennemførelsesafgørelse (EU) 2021/173 af 12. februar 2021 om oprettelse af Det Europæiske Forvaltningsorgan for Klima, Infrastruktur og Miljø, Det Europæiske Forvaltningsorgan for Sundhed og Det Digitale Område, Det Europæiske Forvaltningsorgan for Forskning, Forvaltningsorganet for Det Europæiske Innovationsråd og SMV'er, Forvaltningsorganet for Det Europæiske Forskningsråd og Det Europæiske Forvaltningsorgan for Uddannelse og Kultur og om ophævelse af gennemførelsesafgørelse 2013/801/EU, 2013/771/EU, 2013/778/EU, 2013/779/EU, 2013/776/EU og 2013/770/EU (2),

efter at have hørt Den Europæiske Tilsynsførende for Databeskyttelse,

ud fra følgende betragtninger:

(1) Det Europæiske Forvaltningsorgan for Sundhed og Det Digitale Område (HADEA) (»forvaltningsorganet«) blev oprettet ved gennemførelsesafgørelse (EU) 2021/173 med henblik på udførelse af opgaver i forbindelse med gennemførelsen af EU-programmer relateret til EU4Health-programmet, det indre marked, forskning og innovation, programmet for et digitalt Europa, Connecting Europe-facilitetens digitale område (3).

(2) Forvaltningsorganet kan inden for rammerne af dets administrative og driftsmæssige funktion foretage administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer i overensstemmelse med vedtægten for tjenestemænd i Den Europæiske Union og ansættelsesvilkårene for de øvrige ansatte i Den Europæiske Union, som er fastlagt i Rådets forordning (EØS, Euratom, EKSF) nr. 259/68 (»personalevedtægten«) (4), og med gennemførelsesbestemmelser vedrørende administrative undersøgelser og disciplinær forfølgning. Forvaltningsorganet kan om nødvendigt udføre indledende aktiviteter i forbindelse med tilfælde af potentielt svig og uregelmæssigheder og kan indberette sager til OLAF.

(3) Forvaltningsorganets ansatte er forpligtet til at indberette eventuelle ulovlige aktiviteter, herunder svig og korruption, som er til skade for Unionens interesser. De ansatte er også forpligtet til at indberette adfærd under udførelse af arbejdsopgaver, som kan være en alvorlig tilsidesættelse af de forpligtelser, der påhviler Unionens ansatte. Dette reguleres af de interne regler eller politikker vedrørende whistleblowing.

(4) Forvaltningsorganet har indført en politik, der skal forebygge og effektivt håndtere konkrete eller potentielle tilfælde af psykisk eller seksuel chikane på arbejdspladsen som fastsat i gennemførelsesforanstaltninger i henhold til personalevedtægten om indførelse af en uformel procedure, hvorved det formodede offer for chikane kan kontakte forvaltningsorganets »fortrolige« rådgivere.

(5) Forvaltningsorganet kan også foretage interne (IT-) sikkerhedsefterforskninger og efterforskninger af potentielle brud på sikkerhedsreglerne for EU's klassificerede informationer (»EUCI«).

(6) Forvaltningsorganet er omfattet af både intern og ekstern revision af sine aktiviteter, herunder foretaget af Europa-Kommissionens Interne Revisionstjeneste og Den Europæiske Revisionsret.

(7) Forvaltningsorganet kan behandle anmodninger fra Den Europæiske Anklagemyndighed (EPPO) og anmodninger om adgang til forvaltningsorganets medarbejderes lægejournaler samt gennemføre efterforskninger på foranledning af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordningen.

(8) I forbindelse med sådanne administrative undersøgelser, revisioner, efterforskninger eller anmodninger samarbejder forvaltningsorganet med andre EU-institutioner, -organer, -kontorer og -agenturer.

(9) Forvaltningsorganet kan samarbejde med tredjelandes nationale myndigheder og internationale organisationer, enten efter anmodning eller på eget initiativ.

(10) Forvaltningsorganet kan også samarbejde med EU-medlemsstaternes offentlige myndigheder, enten efter anmodning eller på eget initiativ.

(11) Forvaltningsorganet kan blive genstand for klager, procedurer eller efterforskninger via whistleblowere eller Den Europæiske Ombudsmand.

(12) Forvaltningsorganet kan blive inddraget i sager ved Den Europæiske Unions Domstol, enten ved at indbringe sager for Domstolen eller forsvare en afgørelse, som det har truffet, og som er blevet anfægtet ved Domstolen, eller ved at indtræde i retstvister, der er relevante for dets egne opgaver. I denne forbindelse kan det være nødvendigt for forvaltningsorganet at sikre, at de personoplysninger, der indgår i dokumenter, som er indhentet af parterne eller intervenienterne, behandles fortroligt.

(13) Forvaltningsorganet behandler i forbindelse med sine aktiviteter flere kategorier af personoplysninger, herunder identifikationsoplysninger om fysiske personer, kontaktoplysninger, professionelle roller og opgaver, information om privat og faglig hæderlighed og resultater, og finansielle data samt i visse specifikke tilfælde følsomme oplysninger (f.eks. sundhedsdata). Personoplysninger omfatter faktuelle »hårde« data og »bløde« vurderingsdata. »Hårde data« er objektive faktuelle data, såsom identifikationsdata, kontaktoplysninger, faglige data, administrative oplysninger, metadata vedrørende elektronisk kommunikation og trafikdata. »Bløde data« er subjektive data og omfatter navnlig beskrivelse og vurdering af situationer og omstændigheder, udtalelser, observationer vedrørende registrerede, evaluering af registreredes adfærd og resultater og begrundelser, der ligger til grund for individuelle afgørelser vedrørende eller fremsat i forbindelse med genstanden for den procedure eller aktivitet, som forvaltningsorganet har gennemført i overensstemmelse med de gældende retlige rammer. Vurderinger, observationer og udtalelser betragtes som personoplysninger, som omhandlet i artikel 3, stk. 1, i forordningen.

(14) I henhold til forordningen er forvaltningsorganet derfor forpligtet til at informere de registrerede om disse behandlingsaktiviteter og respektere deres rettigheder som registrerede.

(15) Forvaltningsorganet er forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder, navnlig retten til information, indsigt og berigtigelse, retten til sletning, begrænsning af behandling, retten til underretning af den registrerede om et brud på persondatasikkerheden eller fortroligheden af kommunikation, som forankret i forordningen. Forvaltningsorganet kan dog også pålægges at begrænse den registreredes rettigheder og forpligtelser med henblik på at beskytte dets aktiviteter og andres grundlæggende rettigheder og frihedsrettigheder.

(16) Artikel 25, stk. 1 og 5, i forordningen giver derfor forvaltningsorganet mulighed for på visse betingelser at begrænse anvendelsen af artikel 14-22, 35 og 36 samt artikel 4 i forordningen, for så vidt bestemmelserne heri svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-20. Begrænsningen baseres på interne regler, der vedtages af forvaltningsorganet på højeste ledelsesniveau og med forbehold af offentliggørelse i Den Europæiske Unions Tidende, når disse ikke er baseret på retsakter, der er vedtaget på grundlag af traktaterne.

(17) Der kan gælde begrænsninger for registreredes forskellige rettigheder, herunder meddelelse af information til registrerede, ret til indsigt, berigtigelse, sletning, begrænsning af behandling, underretning af den registrerede om et brud på persondatasikkerheden eller fortrolighed i forbindelse med kommunikation som fastsat i forordningen.

(18) Det kan være nødvendigt for forvaltningsorganet at forene disse rettigheder med formålene med administrative undersøgelser, revisioner, efterforskninger og retssager. Det kan også være nødvendigt at afveje en registrerets rettigheder mod andre registreredes grundlæggende rettigheder og frihedsrettigheder.

(19) Forvaltningsorganet kan eksempelvis blive nødt til at begrænse den information, som det giver en registreret om behandlingen af vedkommendes personoplysninger i den indledende vurderingsfase af en administrativ undersøgelse eller i løbet af selve undersøgelsen, forud for en eventuel henlæggelse af sagen eller under den disciplinære fase. Under visse omstændigheder kan sådan information i alvorlig grad berøre forvaltningsorganets evne til at gennemføre undersøgelsen på en effektiv måde, hvis der f.eks. er risiko for, at den pågældende person tilintetgør bevismateriale eller påvirker potentielle vidner, inden de afhøres. Forvaltningsorganet kan også blive nødt til at beskytte vidners samt andre involverede personers rettigheder og frihedsrettigheder.

(20) Forvaltningsorganet kan være nødt til at beskytte anonymiteten af et vidne eller en whistleblower, der har anmodet om ikke at blive identificeret. I så fald kan forvaltningsorganet beslutte at begrænse adgangen til sådanne personers eller den mistænktes identitet, erklæringer og andre personoplysninger for at beskytte deres rettigheder og frihedsrettigheder.

(21) Forvaltningsorganet kan være nødt til at beskytte fortrolig information vedrørende en ansat, der har kontaktet forvaltningsorganets fortrolige rådgivere i forbindelse med en procedure vedrørende chikane. I sådanne tilfælde kan forvaltningsorganet blive nødt til at begrænse adgangen til det formodede offers, den formodede chikanørs og andre involverede personers identitet, erklæringer og andre personoplysninger for at beskytte alle berørtes rettigheder og frihedsrettigheder.

(22) I forbindelse med udvælgelses- og ansættelsesprocedurer, personaleevaluering og offentlige udbudsprocedurer kan retten til indsigt, berigtigelse, sletning og begrænsning kun udøves på visse tidspunkter og på de betingelser, der er fastsat i de relevante procedurer, for at beskytte andre registreredes rettigheder og for at overholde principperne om ligebehandling og tavshedspligt i forbindelse med rådslagninger.

(23) Forvaltningsorganet kan også begrænse fysiske personers adgang til deres medicinske data, f.eks. af psykologisk eller psykiatrisk art, på grund af disse datas potentielle følsomhed, og Kommissionens lægetjeneste ønsker måske kun at give de registrerede indirekte adgang gennem deres egen praktiserende læge. Den registrerede kan udøve retten til berigtigelse af vurderinger eller udtalelser fra Kommissionens lægetjeneste ved at fremsætte bemærkninger eller fremlægge en erklæring fra en læge efter eget valg.

(24) Forvaltningsorganet, som repræsenteres af dets direktør, fungerer som dataansvarlig uanset yderligere delegering af rollen som dataansvarlig internt i forvaltningsorganet til kompetente »delegerede dataansvarlige« for at afspejle det operationelle ansvar for specifikke aktiviteter i forbindelse med behandling af personoplysninger.

(25) Personoplysningerne opbevares sikkert i et elektronisk miljø, der er i overensstemmelse med Kommissionens afgørelse (EU, Euratom) 2017/46 (5) om kommunikations- og informationssystemernes sikkerhed i Europa-Kommissionen, eller på papir for at forhindre ulovlig adgang til eller overførsel af oplysninger til personer, der ikke har behov for at vide. De personoplysninger, der behandles, opbevares ikke i længere tid, end det er nødvendigt og passende for de formål, hvortil oplysningerne behandles, i den periode, som er angivet i forvaltningsorganets bekendtgørelser om databeskyttelse eller registreringer.

(26) Forvaltningsorganet anvender kun begrænsninger, når de respekterer det væsentligste indhold af grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund. Forvaltningsorganet begrunder retfærdiggørelsen af disse begrænsninger og underretter i overensstemmelse hermed de registrerede herom og om deres ret til at indgive en klage til EDPS, jf. artikel 25, stk. 6, i forordningen.

(27) På grundlag af princippet om ansvarlighed fører forvaltningsorganet en fortegnelse over sin anvendelse af begrænsninger.

(28) Når forvaltningsorganet under udførelsen af sit hverv behandler personoplysninger, der udveksles med andre organisationer, hører forvaltningsorganet og disse organisationer hinanden om de potentielle begrundelser for at indføre begrænsninger og om nødvendigheden og forholdsmæssigheden af disse begrænsninger, medmindre dette vil bringe Eurojusts aktiviteter i fare.

(29) Disse interne regler finder således anvendelse på alle behandlingsaktiviteter, der udføres af forvaltningsorganet, og som involverer personoplysninger i forbindelse med administrative undersøgelser, disciplinærsager, indledende aktiviteter i forbindelse med tilfælde af potentielle uregelmæssigheder, der indberettes til OLAF, efterforskninger foretaget af Den Europæiske Anklagemyndighed (EPPO), whistleblowingprocedurer, (formelle og uformelle) procedurer i sager om chikane, behandling af interne og eksterne klager, anmodninger om indsigt i eller berigtigelse af egne lægejournaler, efterforskninger foretaget af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordningen, IT-sikkerhedsefterforskninger, der behandles internt eller med ekstern inddragelse (f.eks. CERT-EU), revisioner, sager ved Den Europæiske Unions Domstol eller nationale offentlige myndigheder, udvælgelses- og rekrutteringsprocedurer, personaleevaluering og offentlige indkøb, som anført ovenfor.

(30) Disse interne regler gælder for behandlingsaktiviteter, der gennemføres forud for indledningen af ovennævnte procedurer, i løbet af disse procedurer og under overvågning af opfølgningen på resultatet af disse procedurer. De bør også omfatte bistand og samarbejde, som ydes af forvaltningsorganet til andre EU-institutioner, nationale myndigheder og internationale organisationer uden for myndighedens administrative efterforskninger.

(31) I henhold til artikel 25, stk. 8, i forordningen har forvaltningsorganet ret til at udsætte, udelade eller afvise at underrette den registrerede om årsagerne til anvendelsen af en begrænsning, hvis dette på nogen måde ville ophæve virkningen af begrænsningen. Forvaltningsorganet vurderer i hvert enkelt tilfælde, om underretningen om begrænsningen ville ophæve dens virkning.

(32) Forvaltningsorganet ophæver begrænsningen, så snart de omstændigheder, der ligger til grund for begrænsningen, ikke længere er til stede, og vurderer disse omstændigheder regelmæssigt.

(33) For at sikre den størst mulige beskyttelse af de registreredes rettigheder og frihedsrettigheder og i overensstemmelse med artikel 44, stk. 1, i forordningen høres databeskyttelsesrådgiveren i god tid om eventuelle begrænsninger, der måtte blive anvendt eller revideret, og kontrollere overensstemmelsen heraf med denne afgørelse.

(34) I artikel 16, stk. 5, og artikel 17, stk. 4, i forordningen fastsættes undtagelser for registreredes ret til information og indsigt. Hvis disse undtagelser finder anvendelse, behøver forvaltningsorganet ikke at anvende en begrænsning i henhold til denne afgørelse —

TRUFFET DENNE AFGØRELSE:

Artikel 1 Genstand og anvendelsesområde 1. Denne afgørelse fastsætter regler for, på hvilke betingelser Det Europæiske Forvaltningsorgan for Sundhed og Det Digitale Område (HADEA) og dets retlige efterfølger (»forvaltningsorganet«) kan begrænse anvendelsen af artikel 4, 14-22, 35 og 36, jf. artikel 25 i forordningen. 2. Forvaltningsorganet er som dataansvarlig repræsenteret ved forvaltningsorganets direktør, som kan uddelegere den dataansvarliges opgaver yderligere.

Artikel 2 Gældende begrænsninger 1. Forvaltningsorganet kan begrænse anvendelsen af artikel 14-22, 35 og 36 samt artikel 4 i forordningen, for så vidt dens bestemmelser svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-20. 2. Denne afgørelse finder anvendelse på forvaltningsorganets behandling af personoplysninger inden for rammerne af dets administrative og operationelle drift: a) i henhold til artikel 25, stk. 1, litra b), c), f), g) og h), i forordningen, ved gennemførelse af interne efterforskninger, herunder på grundlag af eksterne klager, administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinærsager eller suspensionsprocedurer i henhold til artikel 86 i personalevedtægten og bilag IX og gennemførelsesbestemmelserne hertil, sikkerhedsefterforskninger eller OLAF-efterforskninger b) i henhold til artikel 25, stk. 1, litra h), i forordningen ved sikring af, at forvaltningsorganets ansatte på fortrolig vis kan indberette faktiske forhold, når de mener, at der foreligger alvorlige uregelmæssigheder som fastlagt i de interne regler eller procedurer for whistleblowing c) i henhold til artikel 25, stk. 1, litra h), i forordningen ved sikring af, at forvaltningsorganets ansatte er i stand til at rapportere til fortrolige rådgivere i forbindelse med en procedure for chikane som defineret i interne regler d) i henhold til artikel 25, stk. 1, litra c), g) og h), i forordningen ved gennemførelsen af interne revisioner i forbindelse med forvaltningsorganets aktiviteter eller funktion e) i henhold til artikel 25, stk. 1, litra d) og h), i forordningen ved sikring af sikkerhedsanalyser, herunder cybersikkerheds- og IT-systemmisbrug, der håndteres internt eller med ekstern deltagelse (f.eks. CERT-EU), ved sikring af den indre sikkerhed gennem videoovervågning, adgangskontrol og efterforskningsformål, ved sikring af kommunikations- og informationssystemer og gennemførelse af tekniske sikkerhedsforanstaltninger f) i henhold til artikel 25, stk. 1, litra g) og h), i forordningen, når forvaltningsorganets databeskyttelsesrådgiver efterforsker sager, der har direkte tilknytning til vedkommendes opgaver g) i henhold til artikel 25, stk. 1, litra b), g) og h), i forordningen, i forbindelse med efterforskninger fra Den Europæiske Anklagemyndighed (EPPO) h) i henhold til artikel 25, stk. 1, litra h), i forordningen, når fysiske personer anmoder om adgang til eller berigtigelse af deres medicinske data, herunder hvis de er i Kommissionens lægetjenestes besiddelse i) i henhold til artikel 25, stk. 1, litra c), d), g) og h), i forordningen ved ydelse af bistand til eller modtagelse af bistand fra andre EU-institutioner, -organer, -kontorer og -agenturer eller ved samarbejde med dem i forbindelse med aktiviteter under litra a)-d) i dette stykke og i henhold til relevante serviceaftaler, aftalememoranda og samarbejdsaftaler j) i henhold til artikel 25, stk. 1, litra c), g) og h), i forordningen ved ydelse af bistand til eller modtagelse af bistand fra tredjelandes nationale myndigheder og internationale organisationer eller ved samarbejde med sådanne myndigheder og organisationer, enten efter anmodning eller på eget initiativ k) i henhold til artikel 25, stk. 1, litra c), g) og h), i forordningen ved ydelse af bistand til eller modtagelse af bistand fra og samarbejde med EU-medlemsstaternes offentlige myndigheder, enten efter anmodning eller på eget initiativ l) i henhold til artikel 25, stk. 1, litra e), i forordningen ved behandling af personoplysninger i dokumenter, som er indhentet af parterne eller intervenienterne i forbindelse med sager ved Den Europæiske Unions Domstol I forbindelse med denne afgørelse omfatter ovennævnte aktiviteter forberedende og opfølgende foranstaltninger med direkte tilknytning til samme aktivitet. 3. Forvaltningsorganet kan også fra sag til sag begrænse registreredes rettigheder som omhandlet i denne afgørelse i følgende tilfælde: a) hvis Kommissionens tjenestegrene eller andre EU-institutioner, -organer, -agenturer og -kontorer har ret til at begrænse udøvelsen af de anførte rettigheder, og formålet med en sådan begrænsning vil blive bragt i fare af den pågældende tjenestegren, EU-institution, EU-organ eller -agentur, hvis forvaltningsorganet ikke anvender en tilsvarende begrænsning med hensyn til de samme personoplysninger b) hvis medlemsstaternes kompetente myndigheder har ret til at begrænse denne medlemsstats udøvelse af de anførte rettigheder, og hvis formålet med en sådan begrænsning ville blive bragt i fare, dersom forvaltningsorganet ikke pålægger en tilsvarende begrænsning med hensyn til de samme personoplysninger c) hvis udøvelsen af disse rettigheder og forpligtelser ville bringe forvaltningsorganets samarbejde med tredjelande eller internationale organisationer i forbindelse med udførelsen af dets opgaver i fare, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder går forud herfor. d) Inden forvaltningsorganet pålægger begrænsninger i henhold til dette stykke, hører det om nødvendigt Kommissionens relevante tjenestegrene, andre EU-institutioner, -organer, -agenturer, -kontorer, internationale organisationer eller medlemsstaternes kompetente myndigheder, medmindre det er klart, at begrænsningen er fastlagt i en af ovennævnte retsakter, eller en sådan høring vil bringe forvaltningsorganets aktiviteter i fare. 4. De kategorier af personoplysninger, der behandles i forbindelse med ovennævnte aktiviteter, kan indeholde faktuelle »hårde« data og »bløde« vurderingsdata. 5. Enhver begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund.

Artikel 3 Indføring og registrering af begrænsninger 1. Den dataansvarlige udarbejder en fortegnelse over begrænsningen med en beskrivelse af: a) årsagerne til enhver begrænsning, der anvendes i henhold til denne afgørelse b) hvilke af i artikel 2 anførte grunde der finder anvendelse c) hvordan udøvelsen af retten vil udgøre en risiko for den registrerede eller bringe formålet med forvaltningsorganets opgaver i fare, eller vil påvirke andre registreredes rettigheder og frihedsrettigheder negativt d) resultatet af vurderingen af begrænsningens nødvendighed og proportionalitet under hensyntagen til de relevante elementer i artikel 25, stk. 2, i forordningen. 2. I hvert enkelt tilfælde gennemføres der nødvendigheds- og proportionalitetstest af en begrænsning, inden der anvendes begrænsninger. Den dataansvarlige tager hensyn til de potentielle risici for den registreredes rettigheder og frihedsrettigheder. Begrænsningerne anvendes kun, når det er strengt nødvendigt for at nå deres fastsatte mål. 3. Fortegnelsen over begrænsningen og i givet fald de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres. De stilles efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.

Artikel 4 Risiciene for de registreredes rettigheder og frihedsrettigheder 1. Vurderinger af risiciene for de registreredes rettigheder og frihedsrettigheder ved at indføre begrænsninger og oplysninger om den periode, hvor disse begrænsninger finder anvendelse, registreres i den fortegnelse over behandlingsaktiviteter, der føres af den dataansvarlige i henhold til artikel 31 i forordningen. De registreres ligeledes i konsekvensanalyser vedrørende databeskyttelse i forbindelse med disse begrænsninger, der i givet fald foretages i henhold til artikel 39 i forordningen. 2. Hvis den dataansvarlige påtænker at anvende en begrænsning, afvejes risikoen for den registreredes rettigheder og frihedsrettigheder i særdeleshed mod risikoen for andre registreredes rettigheder og frihedsrettigheder og risikoen for at påvirke efterforskninger eller procedurer negativt, f.eks. ved at ødelægge beviser. Risiciene for den registreredes grundlæggende rettigheder og frihedsrettigheder vedrører primært, men er ikke begrænset til, omdømmemæssige risici og risici for retten til forsvar og retten til at blive hørt.

Artikel 5 Garantier og opbevaringsperioder 1. Forvaltningsorganet indfører specifikke sikkerhedsforanstaltninger for at undgå misbrug af eller ulovlig adgang til eller overførsel af personoplysninger, der kan være eller kunne blive omfattet af begrænsninger. Sådanne sikkerhedsforanstaltninger omfatter tekniske og organisatoriske tiltag og præciseres, når det er nødvendigt, i forvaltningsorganets interne afgørelser, procedurer og gennemførelsesbestemmelser. Disse sikkerhedsforanstaltninger omfatter: a) en klar definition af roller, ansvarsområder og proceduremæssige skridt b) hvis det er relevant, et sikkert elektronisk miljø, der forhindrer ulovlig og utilsigtet adgang til eller overførsel af elektroniske data til uautoriserede personer c) sikker opbevaring og behandling af papirbaserede dokumenter, hvis det er relevant d) sikre overholdelse af fortrolighedsforpligtelserne for alle personer, der har adgang til personoplysningerne. 2. Perioden for opbevaring af personoplysninger, der er omfattet af en begrænsning, defineres i den tilknyttede fortegnelse i henhold til artikel 31 i forordningen under hensyntagen til formålet med behandlingen og omfatter den tidsramme, der er nødvendig for administrativ og retslig prøvelse. Ved udløbet af opbevaringsperioden slettes, anonymiseres eller overføres personoplysningerne til arkiver i overensstemmelse med artikel 13 i forordningen.

Artikel 6 Begrænsningers varighed 1. Begrænsningerne i artikel 2 finder fortsat anvendelse, så længe bevæggrundene derfor finder anvendelse. 2. Hvis begrundelsen for en begrænsning ikke længere er gældende, ophæver den dataansvarlige begrænsningen, hvis udøvelsen af den begrænsede rettighed ikke længere vil have en negativ indvirkning på den relevante gældende procedure eller have en negativ indvirkning på andre registreredes rettigheder eller frihedsrettigheder. 3. Hvis den registrerede på ny har anmodet om adgang til de pågældende personoplysninger, giver den dataansvarlige den registrerede de vigtigste grunde til begrænsningen. Samtidig underretter forvaltningsorganet den registrerede om, at denne til enhver tid har mulighed for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller indbringe sagen for Den Europæiske Unions Domstol. 4. Forvaltningsorganet tager anvendelsen af de begrænsninger, der er omhandlet i artikel 2, op til revision hver sjette måned.

Artikel 7 Inddragelse af databeskyttelsesrådgiveren 1. Forvaltningsorganets dataansvarlige underretter forvaltningsorganets databeskyttelsesrådgiver uden unødig forsinkelse og forud for enhver afgørelse om at begrænse registreredes rettigheder i overensstemmelse med denne afgørelse eller om at forlænge anvendelsen af begrænsningen. Den dataansvarlige giver databeskyttelsesrådgiveren adgang til de tilhørende fortegnelser og alle dokumenter vedrørende den faktuelle eller retlige sammenhæng. 2. Databeskyttelsesrådgiveren kan anmode den dataansvarlige om at gennemgå anvendelsen af begrænsningerne. Den dataansvarlige underretter databeskyttelsesrådgiveren skriftligt om resultatet af den ønskede gennemgang. 3. Den dataansvarlige dokumenterer, at databeskyttelsesrådgiveren er involveret i anvendelsen af begrænsningen, herunder hvilken information der udveksles. Dokumenterne i henhold til denne artikel skal indgå i fortegnelsen vedrørende begrænsningen og stilles efter anmodning til rådighed for EDPS.

Artikel 8 Underretning af den registrerede om begrænsninger i dennes rettigheder 1. Den dataansvarlige medtager i de databeskyttelsesmeddelelser og -fortegnelser, der er omhandlet i artikel 31 i forordningen, og som offentliggøres på dennes websted og på intranettet, generel information om de potentielle begrænsninger af registreredes rettigheder i henhold til artikel 2, stk. 2, i denne afgørelse. Informationen omfatter, hvilke rettigheder og forpligtelser der kan begrænses, grundlaget for at anvende begrænsninger og den mulige varighed af disse. 2. Den dataansvarlige underretter skriftligt og uden unødig forsinkelse de registrerede individuelt om nuværende eller fremtidige begrænsninger af deres rettigheder. Den dataansvarlige underretter den registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, om vedkommendes ret til at rette henvendelse til databeskyttelsesrådgiveren med henblik på at anfægte begrænsningen og om vedkommendes ret til at indgive en klage til EDPS. 3. Den dataansvarlige kan udsætte, udelade eller afvise at underrette om årsagerne til anvendelsen af en begrænsning og retten til at indgive en klage til EDPS, så længe det ville ophæve virkningen af begrænsningen. Vurderingen af denne begrundelse skal foretages fra sag til sag, og den dataansvarlige giver informationen til den registrerede, så snart dette ikke længere vil ophæve virkningen af begrænsningen.

Artikel 9 Den registreredes ret til indsigt 1. I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til indsigt i henhold til artikel 17 i forordningen begrænses af den dataansvarlige, hvis det er nødvendigt og står i rimeligt forhold til aktiviteterne i henhold til denne afgørelse. 2. Hvis registrerede anmoder om adgang til deres personoplysninger, der behandles i forbindelse med en specifik behandlingsaktivitet som omhandlet i artikel 2, stk. 2, i denne afgørelse, begrænser forvaltningsorganet sit svar til de personoplysninger, der behandles i forbindelse med den pågældende aktivitet. 3. De registreredes ret til direkte adgang til dokumenter af psykologisk eller psykiatrisk karakter kan begrænses. Hverken indirekte adgang eller retten til berigtigelse og meddelelse af et brud på persondatasikkerheden begrænses af disse interne regler. Derfor bør en læge, der optræder som mellemled, efter anmodning fra den pågældende person gives adgang til al relateret information og skønsbeføjelser med hensyn til, hvilken type adgang den registrerede skal gives, og hvordan. 4. Hvis den dataansvarlige helt eller delvist begrænser retten til indsigt i personoplysninger, jf. artikel 17 i forordningen, underretter vedkommende i sit svar på anmodningen om indsigt skriftligt den registrerede om den anvendte begrænsning og om hovedårsagerne hertil og om muligheden for at indgive en klage til EDPS eller for at indbringe sagen for Den Europæiske Unions Domstol. 5. Informationen om begrænsningen i indsigt kan udsættes, udelades eller afvises, hvis den ville ophæve virkningen af den pålagte begrænsning i henhold til artikel 25, stk. 8, i forordningen. 6. En begrænsning i henhold til denne artikel anvendes i overensstemmelse med denne afgørelse.

Artikel 10 Ret til berigtigelse, sletning og begrænsning af behandlingen 1. I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til berigtigelse, sletning og begrænsning af behandling i henhold til artikel 18, artikel 19, stk. 1, og artikel 20, stk. 1, i forordningen begrænses af den dataansvarlige, hvis det er nødvendigt og står i rimeligt forhold til aktiviteterne i henhold til artikel 2, stk. 2, i denne afgørelse. 2. Med hensyn til medicinske data kan den registrerede udøve retten til berigtigelse af vurderingen eller udtalelsen fra Kommissionens lægetjeneste ved at fremsætte bemærkninger eller en erklæring fra en læge efter eget valg. 3. En begrænsning i henhold til denne artikel anvendes i overensstemmelse med denne afgørelse.

Artikel 11 Underretning om brud på persondatasikkerheden til den registrerede 1. Hvis den dataansvarlige er forpligtet til at underrette om brud på datasikkerheden i henhold til artikel 35, stk. 1, i forordningen kan den pågældende under særlige omstændigheder begrænse en sådan underretning helt eller delvis. Den pågældende dokumenterer i et notat årsagerne til begrænsningen, retsgrundlaget herfor i henhold til artikel 2 og en vurdering af nødvendigheden og proportionaliteten heraf. Notatet meddeles til EDPS på tidspunktet for anmeldelsen af bruddet på persondatasikkerheden. 2. Hvis årsagerne til begrænsningen ikke længere er til stede, underretter forvaltningsorganet den pågældende registrerede om bruddet på persondatasikkerheden og om de vigtigste årsager til begrænsningen samt om vedkommendes ret til at indgive en klage til EDPS.

Artikel 12 Fortrolighed af elektronisk kommunikation 1. Under særlige omstændigheder kan forvaltningsorganet begrænse retten til fortrolighed i forbindelse med elektronisk kommunikation i henhold til artikel 36 i forordningen. Sådanne begrænsninger er i overensstemmelse med Europa-Parlamentets og Rådets direktiv 2002/58/EF. 2. Uanset artikel 8, stk. 3, hvis forvaltningsorganet begrænser retten til fortrolighed i forbindelse med elektronisk kommunikation, underretter det i sit svar på en eventuel anmodning fra den registrerede den pågældende registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om vedkommendes ret til at indgive en klage til EDPS.

Artikel 13 Ikrafttrædelse Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Udfærdiget i Bruxelles, den 8. juli 2021. For HADEA's styrelseskomité Pierre DELSAUX Formand

(1) EUT L 295 af 21.11.2018, s. 39.

(2) EUT L 50 af 15.2.2021, s. 9.

(3) Kommissionens afgørelse C(2021)948 af 12. februar 2021 om uddelegering af beføjelser til Det Europæiske Forvaltningsorgan for Sundhed og Det Digitale Område med henblik på udførelse af opgaver i forbindelse med gennemførelsen af EU-programmer relateret til EU4Health-programmet, det indre marked, forskning og innovation, programmet for et digitalt Europa og Connecting Europe-facilitetens digitale område, herunder navnlig anvendelsen af bevillinger, der er opført på Den Europæiske Unions almindelige budget og bilagene hertil.

(4) Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 af 29. februar 1968 om vedtægten for tjenestemænd i De europæiske Fællesskaber og om ansættelsesvilkårene for de øvrige ansatte i disse Fællesskaber samt om særlige midlertidige foranstaltninger for tjenestemænd i Kommissionen (EFT L 56 af 4.3.1968, s. 1).

(5) Kommissionens afgørelse (EU, Euratom) 2017/46 af 10. januar 2017 om kommunikations- og informationssystemernes sikkerhed i Europa-Kommissionen (EUT L 6 af 11.1.2017, s. 40).