KOMMISSIONENS AFGØRELSE (EU) 2022/121

af 27. januar 2022

om interne regler vedrørende underretning af registrerede og begrænsning af visse af deres rettigheder i forbindelse med behandling af personoplysninger med henblik på behandling af ansøgninger og klager i henhold til personalevedtægten

EUROPA-KOMMISSIONEN HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 249, stk. 1, og

ud fra følgende betragtninger:

(1) Ifølge vedtægten for tjenestemænd og om ansættelsesvilkårene for de øvrige ansatte i Den Europæiske Union som fastlagt i Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 (1) (»personalevedtægten«) skal Kommissionen reagere på visse ansøgninger og klager. Disse opgaver udføres hovedsageligt af kontoret »Klager og opfølgning af retssager« i Generaldirektorat for Menneskelige Ressourcer og Sikkerhed (»GD HR«), som fastlægger de relevante faktiske omstændigheder og vurderer dem ud fra et juridisk synspunkt med henblik på at bistå ansættelsesmyndigheden eller den myndighed, der er ansvarlig for at indgå ansættelseskontrakter (»myndigheden«) med at træffe en afgørelse.

(2) I henhold til personalevedtægtens artikel 22c skal Kommissionen i overensstemmelse med vedtægtens artikel 24 og 90 indføre en procedure for behandling af klager indgivet af tjenestemænd over den måde, hvorpå de er blevet behandlet, efter eller som følge af at have indberettet en alvorlig uregelmæssighed i henhold til personalevedtægtens artikel 22a og 22b (2).

(3) I henhold til personalevedtægtens artikel 24 skal Kommissionen yde tjenestemænd bistand ved retsforfølgning mod personer, der har fremsat trusler, krænkelser, injurier, ærerørige beskyldninger eller foretaget angreb på person eller formue, rettet mod tjenestemanden eller dennes familie på baggrund af hans stilling eller hverv.

(4) Enhver person, der er omfattet af denne vedtægt, kan forelægge en ansøgning for ansættelsesmyndigheden om at træffe en beslutning for sit vedkommende eller indbringe en klage over en akt, der går ham imod, jf. personalevedtægtens artikel 90, stk. 1 og 2.

(5) I forbindelse med disse aktiviteter indsamler og behandler Kommissionen relevante oplysninger. Disse oplysninger omfatter personoplysninger, navnlig identifikations-, kontakt- og adfærdsoplysninger. De kompetente tjenestegrene i Kommissionen videregiver personoplysninger til andre af Kommissionens tjenestegrene, i det omfang det er nødvendigt.

(6) Personoplysningerne lagres i et sikret fysisk og elektronisk miljø for at forhindre ulovlig adgang til eller videregivelse af oplysninger til personer, der ikke behøver at kende dem. Når behandlingen er afsluttet, gemmes oplysningerne i overensstemmelse med Kommissionens gældende regler (3).

(7) Under udførelsen af sine opgaver i henhold til personalevedtægten er Kommissionen forpligtet til at overholde fysiske personers rettigheder med hensyn til behandling af personoplysninger, jf. artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder og traktatens artikel 16, stk. 1, samt de rettigheder, der er fastsat i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (4). Samtidig er Kommissionen forpligtet til at overholde strenge regler om fortrolighed og tavshedspligt.

(8) I visse tilfælde er det nødvendigt at afveje hensynet til de registreredes rettigheder i henhold til forordning (EU) 2018/1725 mod behovet for at garantere forebyggelse, undersøgelse, afsløring og retsforfølgning af strafbare handlinger samt at sikre, at Kommissionen kan reagere effektivt på påstande om chikane og anden upassende adfærd eller angreb, og at andre registreredes grundlæggende rettigheder og frihedsrettigheder også overholdes til fulde. Med henblik herpå fastsættes det i artikel 25, stk. 1, litra b), c), g) og h), i forordning (EU) 2018/1725, at Kommissionen kan begrænse anvendelsen af artikel 14-17, artikel 19, 20 og 35 samt gennemsigtighedsprincippet i artikel 4, stk. 1, litra a), for så vidt bestemmelserne heri svarer til de rettigheder og forpligtelser, der er fastsat i nævnte forordnings artikel 14-17, 19 og 20.

(9) Dette kan især være tilfældet, for så vidt angår meddelelse af oplysninger om behandling af personoplysninger til den person, som er genstand for en ansøgning eller en klage (»den berørte person«), især hvis proceduren udspringer af en ansøgning om bistand i henhold til personalevedtægtens artikel 24 med påstand om chikane. Kommissionen kan beslutte at begrænse meddelelsen af sådanne oplysninger til den berørte person for at beskytte ansøgerens, klagerens eller vidnets rettigheder og frihedsrettigheder i henhold til artikel 25, stk. 1, litra h) i forordning (EU) 2018/1725. Kommissionen kan navnlig beslutte at gøre dette for at beskytte personer mod eventuelle repressalier fra de berørte personer, mod hvilke der i god tro er rettet beskyldninger, som dog ikke har ført til foranstaltninger fra administrationens side. I visse situationer kan det være nødvendigt at begrænse meddelelsen af sådanne oplysninger for at forhindre chikane eller anden upassende adfærd eller angreb i Kommissionen (især i den organisatoriske enhed, hvor den berørte person arbejder sammen med ansøgeren, klageren og/eller vidnet).

(10) Det kan også være nødvendigt at begrænse andre af den berørte persons rettigheder, hvis udøvelsen af disse rettigheder vil afsløre oplysninger om ansøgeren, klageren eller et vidne, som har anmodet om, at vedkommendes identitet ikke oplyses. I et sådant tilfælde kan Kommissionen af de årsager, der er anført i betragtning 9, beslutte at begrænse den berørte persons ret til indsigt i erklæringen eller vedkommendes øvrige rettigheder for at beskytte ansøgerens, klagerens eller vidnets rettigheder og frihedsrettigheder. Kommissionen kan beslutte at gøre dette i henhold til artikel 25, stk. 1, litra h), i forordning (EU) 2018/1725.

(11) Det kan også være nødvendigt at begrænse den berørte persons rettigheder for at sikre en overvågnings-, tilsyns- eller reguleringsfunktion, som er forbundet med udøvelsen af offentlig myndighed i en sag, hvor et vigtigt mål i Unionens almene interesse er på spil, nemlig at sikre, at Kommissionen kan reagere effektivt på påstande om chikane og enhver anden form for upassende adfærd eller angreb. Bekæmpelse af chikane og enhver anden form for upassende adfærd eller angreb er et vigtigt mål af almen interesse for Unionen, herunder for Kommissionen. Dertil kommer, at Kommissionen har pligt til at bistå ansatte i henhold til personalevedtægtens artikel 24. For ikke af afholde ansatte fra at indberette formodede tilfælde af chikane og anden upassende adfærd eller angreb og fra at ansøge om bistand i denne forbindelse, hvilket er i Unionens almene interesse, skal det sikres, at de berørte personer ikke får kendskab til den ansøgning om hjælp, som vedrører dem. Dette kan være særlig vigtigt i sager, hvor myndigheden finder, at der ikke har fundet chikane sted i henhold til personalevedtægten. I en sådan situation kræver hensynet til Unionens almene interesse, at den berørte person ikke får kendskab til ansøgningen om bistand, således at ansatte fortsat kan benytte proceduren i personalevedtægtens artikel 24, og nye konflikter forhindres. Kommissionen kan beslutte at begrænse den berørte persons rettigheder i henhold til artikel 25, stk. 1, litra c) og g) i forordning (EU) 2018/1725.

(12) Det kan også være nødvendigt at begrænse den berørte persons rettigheder for at garantere forebyggelsen, undersøgelsen, opdagelsen og retsforfølgningen af strafbare handlinger, som ansøgere, klagere eller vidner indberetter til Kommissionen vedrørende den berørte person. Ansøgere, klagere og vidner kan f.eks. indberette upassende adfærd og psykisk og seksuel chikane. Kommissionen kan i så tilfælde beslutte at begrænse den berørte persons rettigheder i henhold til artikel 25, stk. 1, litra b), i forordning (EU) 2018/1725.

(13) Ifølge personalevedtægten skal Kommissionen sikre, at ansøgninger og klager, der indgives i henhold til denne, behandles fortroligt. For at sikre fortrolighed og samtidig overholde kravene til beskyttelse af personoplysninger i henhold til forordning (EU) 2018/1725 er det nødvendigt at vedtage interne regler, hvorefter Kommissionen kan begrænse de registreredes rettigheder i overensstemmelse med artikel 25, stk. 1, litra b), c), g) og h), i forordning (EU) 2018/1725.

(14) De interne regler bør finde anvendelse på al behandling, som Kommissionen foretager i forbindelse med sine opgaver vedrørende behandlingen af ansøgninger og klager i henhold til personalevedtægten.

(15) For at efterleve artikel 14, 15 og 16 i forordning (EU) 2018/1725 bør Kommissionen oplyse alle fysiske personer om de af dens aktiviteter, der indebærer behandling af deres personoplysninger, og om deres rettigheder på en gennemsigtig og sammenhængende måde via en databeskyttelsesmeddelelse, der offentliggøres på Kommissionens websted. Hvis det er relevant, bør Kommissionen derudover på passende vis underrette de registrerede, der er involverede i en ansøgning eller en klage, dvs. ansøgere og klagere, berørte personer og vidner.

(16) Kommissionen bør behandle alle begrænsninger på en gennemsigtig måde og registrere enhver anvendelse af begrænsninger i det tilhørende registreringssystem.

(17) Hvad angår begrænsninger i anvendelsen af artikel 16 i forordning (EU) 2018/1725, hvori det fastsættes, at såfremt der ikke er indsamlet personoplysninger hos den registrerede, skal den registrerede oplyses herom senest inden for en måned, bør Kommissionen inden for en måned føre en fortegnelse med beskrivelse af årsagerne til, at eventuelle begrænsninger er blevet anvendt. Fortegnelsen bør omfatte en vurdering fra sag til sag af, at begrænsningen er nødvendig og står i rimeligt forhold til formålet.

(18) I henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725 kan den dataansvarlige udsætte, udelade eller afvise at underrette den registrerede om årsagerne til anvendelsen af en begrænsning, hvis underretningen ville ophæve virkningen af begrænsningen. Dette er navnlig tilfældet med hensyn til begrænsninger i anvendelsen af nævnte forordnings artikel 16 og 35.

(19) Kommissionen bør jævnligt foretage en fornyet vurdering af de anvendte begrænsninger for at sikre, at de registreredes ret til at blive underrettet, jf. artikel 16 og 35 i forordning (EU) 2018/1725, kun begrænses, så længe begrænsningerne er nødvendige af de årsager, der er anført i betragtning 8.

(20) Der bør foretages en fornyet vurdering af anvendelsen af begrænsninger, når der gives svar på ansøgninger, der er indgivet i henhold til personalevedtægtens artikel 22c og 24 og artikel 90, stk. 1, og på klager, der er indgivet i henhold til personalevedtægtens artikel 22c og artikel 90, stk. 2, eller når sådanne ansøgninger og klager afsluttes, alt efter hvad der indtræffer først. Derefter bør Kommissionen årligt overvåge behovet for at opretholde enhver begrænsning.

(21) I visse tilfælde kan det vise sig nødvendigt at opretholde anvendelsen af en begrænsning, navnlig en begrænsning af anvendelsen af artikel 16 i forordning (EU) 2018/1725, indtil de pågældende personoplysninger ikke længere opbevares af Kommissionen. I sådanne tilfælde bør den registrerede ikke underrettes om, at vedkommendes personoplysninger behandles. En sådan situation kan navnlig opstå, hvis der er en høj risiko for, at andres rettigheder og frihedsrettigheder lider skade som følge af, at den berørte person underrettes om behandlingen af personoplysningerne. Dette kan være tilfældet, hvis en myndighed afviser en ansøgning om bistand, som er fremsat i god tro som følge af påstået upassende adfærd fra den berørte persons side, og hvor den berørte person og ansøgeren arbejder sammen i samme organisatoriske enhed. I en sådan situation risikerer ansøgeren at blive genstand for gengældelse, og arbejdsklimaet i den organisatoriske enhed risikerer at lide skade. I sådanne tilfælde må den berørte persons personoplysninger kun opbevares, så længe oplysningerne er relevante for behandlingen af ansøgningen og/eller klagen, og så længe sidstnævnte kan være genstand for en retssag.

(22) Europa-Kommissionens databeskyttelsesrådgiver bør foretage en uafhængig fornyet vurdering af anvendelsen af begrænsninger med henblik på at sikre overholdelsen af denne afgørelse.

(23) Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt og afgav udtalelse den 23. september 2021 —

VEDTAGET DENNE AFGØRELSE:

Artikel 1 Genstand og anvendelsesområde 1. I denne afgørelse fastsættes de regler, der gælder for Kommissionens underretning af registrerede om behandlingen af deres personoplysninger i overensstemmelse med artikel 14, 15 og 16 i forordning (EU) 2018/1725 i forbindelse med behandlingen af ansøgninger og klager i henhold til personalevedtægten. Der fastsættes også betingelser for, hvornår Kommissionen kan begrænse anvendelsen af artikel 4, 14-17 og 19, 20 og 35 i forordning (EU) 2018/1725 i overensstemmelse med nævnte forordnings artikel 25, stk. 1, litra b), c), g) og h). 2. Denne afgørelse finder anvendelse på Kommissionens behandling af personoplysninger med henblik på behandling af ansøgninger og klager i henhold til personalevedtægtens artikel 22c og 24 samt artikel 90, stk. 1 og 2. 3. De kategorier af personoplysninger, der er omfattet af denne afgørelse, omfatter identifikations-, kontakt- og adfærdsoplysninger samt særlige kategorier af personoplysninger, jf. artikel 10, stk. 1, i forordning (EU) 2018/1725.

Artikel 2 Gældende undtagelser og begrænsninger 1. Når Kommissionen opfylder sine pligter med hensyn til registreredes rettigheder i henhold til forordning (EU) 2018/1725, overvejer den, om en eller flere af undtagelserne i nævnte forordning gælder. 2. Hvis udøvelsen af de rettigheder og forpligtelser, der er omhandlet i artikel 14-17, 19, 20 og 35 i forordning (EU) 2018/1725, i forbindelse med Kommissionens behandling af personoplysninger ville skade de grunde, der er opført i artikel 25, stk. 1, litra b), c), g) eller h), i nævnte forordning, kan Kommissionen på betingelserne i artikel 3-7 begrænse anvendelsen af: a) artikel 14-17, 19, 20 og 35 i forordning (EU) 2018/1725 samt b) gennemsigtighedsprincippet i artikel 4, stk. 1, litra a), i forordning (EU) 2018/1725, for så vidt som bestemmelserne deri svarer til de rettigheder og forpligtelser, der er fastsat i artikel 14-17, 19 og 20 i samme forordning, for at beskytte forebyggelsen, efterforskningen, afsløringen og retsforfølgningen af strafbare handlinger, som ansøgere, klagere elle vidner indberetter til de kompetente tjenestegrene i Kommissionen, vedrørende den person, der er berørt af påstande om chikane eller anden upassende adfærd eller angreb. 3. Stk. 1 og 2 berører ikke anvendelsen af andre kommissionsafgørelser vedrørende interne regler om underretning af registrerede og begrænsning af visse rettigheder i henhold til artikel 25 i forordning (EU) 2018/1725. 4. Enhver begrænsning af rettighederne og forpligtelserne, jf. stk. 2, skal være nødvendig og stå i et rimeligt forhold til formålet under hensyntagen til risiciene for registreredes rettigheder og frihedsrettigheder. 5. Inden begrænsningerne anvendes, foretager Kommissionen en vurdering fra sag til sag af, hvorvidt de er nødvendige og står i rimeligt forhold til formålet. Begrænsningerne skal begrænses til, hvad der er strengt nødvendigt for at opfylde deres formål.

Artikel 3 Underretning af registrerede 1. Kommissionen offentliggør databeskyttelsesmeddelelser på sit websted, hvorved alle registrerede underrettes om de af dens aktiviteter, der indebærer behandling af personoplysninger med henblik på behandling af ansøgninger og klager i henhold til personalevedtægten. 2. Kommissionen underretter individuelt og på passende vis ansøgere, klagere, den berørte person samt vidner, der anmodes om at fremlægge oplysninger i forbindelse med de pågældende ansøgninger eller klager, om behandlingen af deres personoplysninger. 3. Når Kommissionen i henhold til artikel 2 helt eller delvist begrænser den i stk. 2 omhandlede underretning af den berørte person, hvis personoplysninger behandles med henblik på behandling af ansøgninger og klager i henhold til personalevedtægten, fører den en fortegnelse herover med angivelse af årsagerne til begrænsningen i overensstemmelse med artikel 6.

Artikel 4 De registreredes indsigtsret, ret til sletning og ret til begrænsning af behandling 1. Hvis Kommissionen helt eller delvis begrænser registreredes ret til indsigt i personoplysninger, ret til sletning eller ret til begrænsning af behandling, jf. henholdsvis artikel 17, 19 og 20 i forordning (EU) 2018/1725, underretter den i sit svar på anmodningen om indsigt, sletning eller begrænsning af behandlingen den pågældende registrerede: a) om den anvendte begrænsning og om hovedårsagerne hertil b) om muligheden for når som helst at klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe en sag for Den Europæiske Unions Domstol. 2. Underretningen om årsagerne til den begrænsning, der er omhandlet i stk. 1, kan udsættes, udelades eller afvises, så længe den ville ophæve virkningen af begrænsningen. 3. Kommissionen fører fortegnelse over årsagerne til begrænsningen i overensstemmelse med artikel 6. 4. Hvis retten til indsigt helt eller delvist begrænses, kan den registrerede udøve sin ret til indsigt gennem Den Europæiske Tilsynsførende for Databeskyttelse i henhold til artikel 25, stk. 6, 7 og 8, i forordning (EU) 2018/1725.

Artikel 5 Underretning af registrerede om brud på persondatasikkerheden Hvis Kommissionen begrænser underretningen af den registrerede om et brud på persondatasikkerheden, jf. artikel 35 i forordning (EU) 2018/1725, fører den fortegnelse over og registrerer årsagerne til begrænsningen i henhold til denne afgørelses artikel 6. Kommissionen meddeler Den Europæiske Tilsynsførende for Databeskyttelse fortegnelsen på det tidspunkt, hvor der underrettes om brud på persondatasikkerheden.

Artikel 6 Fortegnelse over og registrering af begrænsninger 1. Kommissionen fører fortegnelse over årsagerne til enhver begrænsning, der anvendes i henhold til denne afgørelse, bl.a. med en vurdering af, at begrænsningen er nødvendig og står i rimeligt forhold til formålet, under hensyntagen til de relevante elementer i artikel 25, stk. 2, i forordning (EU) 2018/1725. 2. Det skal fremgå af fortegnelsen, hvordan den relevante registreredes udøvelse af rettigheden ville være til skade for en eller flere af de relevante grunde i artikel 25, stk. 1, litra b), c), g) og h), i forordning (EU) 2018/1725. 3. Fortegnelsen og i givet fald de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres. De stilles efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.

Artikel 7 Begrænsningers varighed 1. De begrænsninger, der er omhandlet i artikel 3, 4 og 5, finder fortsat anvendelse, så længe årsagerne hertil gælder. 2. Når årsagerne til en begrænsning som omhandlet i artikel 3, 4 eller 5 ikke længere gælder, ophæver Kommissionen begrænsningen. 3. Den underretter også den registrerede om de vigtigste årsager til at anvende begrænsningen og om muligheden for når som helst at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe sagen for Den Europæiske Unions Domstol. 4. Kommissionen foretager en fornyet vurdering af anvendelsen af de begrænsninger, der er omhandlet i artikel 3, 4 og 5, når der gives svar på ansøgninger, der er indgivet i henhold til personalevedtægtens artikel 22c og 24 og artikel 90, stk. 1, og på klager, der er indgivet i henhold til personalevedtægtens artikel 22c og artikel 90, stk. 2, eller når sådanne ansøgninger og klager afsluttes, alt efter hvad der indtræffer først. Derefter overvåger Kommissionen årligt behovet for at opretholde enhver begrænsning. Den fornyede vurdering skal omfatte en vurdering af, at begrænsningen er nødvendig og står i rimeligt forhold til formålet, under hensyntagen til de relevante elementer i artikel 25, stk. 2, i forordning (EU) 2018/1725.

Artikel 8 Garantier og opbevaringsperioder 1. Kommissionen henholdsvis kontoret for klagesager og opfølgning af retssager i DG HR, indfører garantier for at forhindre misbrug og ulovlig adgang til eller videregivelse af personoplysninger, over for hvilke der anvendes eller kan anvendes begrænsninger. Sådanne garantier skal omfatte tekniske og organisatoriske foranstaltninger såsom: a) en klar afgrænsning af roller, ansvarsopgaver, adgangsrettigheder og proceduremæssige skridt b) et sikkert elektronisk miljø, der forhindrer ulovlig og utilsigtet adgang til eller overførsel af elektroniske data til uautoriserede personer c) en sikker opbevaring og behandling af papirdokumenter, der er begrænset til, hvad der er strengt nødvendigt til behandlingsformålet d) behørig overvågning af begrænsninger og en periodisk fornyet vurdering af deres anvendelse. De i litra d) omhandlede fornyede vurderinger foretages mindst hver sjette måned. 2. Begrænsningerne ophæves, så snart de omstændigheder, der begrunder dem, ikke længere er til stede. 3. Personoplysningerne opbevares i overensstemmelse med Kommissionens gældende opbevaringsregler, som skal defineres i de fortegnelser, der føres i henhold til artikel 31 i forordning (EU) 2018/1725. Ved udløbet af opbevaringsperioden slettes, anonymiseres eller overføres personoplysningerne til arkiverne i overensstemmelse med artikel 13 i forordning (EU) 2018/1725.

Artikel 9 Fornyet vurdering på anmodning af Kommissionens databeskyttelsesrådgiver 1. Kommissionens databeskyttelsesrådgiver underrettes uden unødigt ophold, når registreredes rettigheder begrænses i henhold til denne afgørelse. På anmodning gives databeskyttelsesrådgiveren adgang til fortegnelsen og alle dokumenter, der indeholder underliggende faktiske og retlige elementer. 2. Databeskyttelsesrådgiveren kan anmode om en fornyet vurdering af begrænsningen. Databeskyttelsesrådgiveren underrettes skriftligt om resultaterne af en sådan fornyet vurdering. 3. Kommissionen dokumenterer databeskyttelsesrådgiverens inddragelse i hvert enkelt tilfælde, hvor de rettigheder og forpligtelser, der er omhandlet i artikel 2, stk. 2, er begrænset.

Artikel 10 Ikrafttræden Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Udfærdiget i Bruxelles, den 27. januar 2022. På Kommissionens vegne Ursula VON DER LEYEN Formand

(1) EFT L 56 af 4.3.1968, s. 1.

(2) Administrativ meddelelse nr. 79-2013 of 19. december 2013: »Update of the arrangements for submitting requests and complaints (Article 90(1) and (2) of the Staff Regulations) and requests for assistance (Article 24 of the Staff Regulations)«.

(3) I Kommissionen styres opbevaring af sagsakter ved hjælp af den fælles opbevaringsliste på kommissionsniveau, som er et retligt dokument i form af en opbevaringsplan, hvori der fastsættes opbevaringsperioder for Kommissionens forskellige typer sagsakter (SEC(2019) 900). Opbevaringsperioderne for personoplysninger er angivet i databeskyttelseserklæringen vedrørende behandling af ansøgninger og klager i henhold til personalevedtægten.

(4) Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).