DEN EUROPÆISKE INVESTERINGSBANKS AFGØRELSE

af 26. februar 2019

om interne regler for behandling af personoplysninger af Den Europæiske Investeringsbanks personaledirektorat i forbindelse med underretning af de registrerede og begrænsning af visse af deres rettigheder

DEN EUROPÆISKE INVESTERINGSBANK (»EIB«) HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 309,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF, og

ud fra følgende betragtninger:

I henhold til artikel 38 i EIB's personalevedtægt I og II kan der fastsættes disciplinære foranstaltninger over for ansatte, som ikke opfylder deres forpligtelser over for EIB, ifølge den i denne vedtægts artikel 40 fastsatte procedure. I henhold til artikel 41 i EIB's personalevedtægt I og II kan andre tvister end tvister, som opstår i forbindelse med de i denne vedtægts artikel 38 omhandlede disciplinære foranstaltninger forelægges en mæglingsinstans. Ifølge EIB's politik for værdighed på arbejdspladsen og EIB's retningslinjer om proceduren for appel af personalebedømmelser skal EIB håndtere klager over chikane og appeller af personalebedømmelser med respekt.

EIB's personaledirektorat har det primære ansvar for tilrettelæggelsen og forvaltningen af de procedurer, der er fastsat i artikel 40 og 41 i EIB's personalevedtægt I og II samt i EIB's politik for værdighed på arbejdspladsen og EIB's retningslinjer om proceduren for appel af personalebedømmelser. Personaledirektoratet yder navnlig støtte til og fungerer som juridisk sekretariat for de organer, som er ansvarlige for ovennævnte procedurer.

Under udførelsen af personaledirektoratets opgaver er dette forpligtet til at respektere fysiske personers rettigheder i forbindelse med behandling af personoplysninger, jf. artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde samt retsakter baseret på disse bestemmelser. Samtidig er personaledirektoratet forpligtet til at overholde strenge regler om fortrolighed og tavshedspligt i henhold til EIB's personalevedtægt og adfærdskodeksen for EIB's ansatte og sikre overholdelsen af de proceduremæssige rettigheder for berørte personer og vidner, navnlig de berørte personers ret til en retfærdig proces, ret til forsvar og til uskyldsformodning.

I visse tilfælde er det nødvendigt at forene de registreredes rettigheder i henhold til forordning (EU) 2018/1725 (1) med formålene og behovene knyttet til personaledirektoratets opgaver samt at sikre, at andre registreredes grundlæggende rettigheder og frihedsrettigheder overholdes fuldt ud. I den forbindelse giver denne forordnings artikel 25 personaledirektoratet mulighed for at begrænse anvendelsen af artikel 14-22 og 35 samt artikel 4, for så vidt dens bestemmelser svarer til de rettigheder og forpligtelser, som er omhandlet i artikel 14-22.

For at sikre, at de procedurer, der udføres af den disciplinærkomité og den mæglingsinstans, som er oprettet i henhold til henholdsvis artikel 40 og 41 i personalevedtægt I og II, samt af det udvalg for værdighed på arbejdspladsen og det bedømmelsesudvalg, der er oprettet i henhold til henholdsvis EIB's politik for værdighed på arbejdspladsen og EIB's procedure for appel af personalebedømmelser, er effektive, samtidig med at standarderne for beskyttelse af personoplysninger i henhold til forordning (EU) 2018/1725 overholdes, er det nødvendigt at vedtage interne regler, som giver personaledirektoratet mulighed for at begrænse registreredes rettigheder i overensstemmelse med artikel 25, stk. 1, litra c), g) og h), i forordning (EU) 2018/1725.

De interne regler bør finde anvendelse på alle behandlingsaktiviteter, der udføres af personaledirektoratet under opfyldelsen af dets mandat i henhold til artikel 40 og 41 i EIB's personalevedtægt I og II og i henhold til EIB's politik for værdighed på arbejdspladsen og EIB's retningslinjer om proceduren for appel af personalebedømmelser. Reglerne bør finde anvendelse på behandlingsaktiviteter, der udføres før indledningen af de procedurer, som udføres af disciplinærkomitéen, mæglingsinstansen, udvalget for værdighed på arbejdspladsen og bedømmelsesudvalget, mens disse procedurer finder sted og under opfølgningen på resultatet af disse procedurer.

Med henblik på at efterkomme kravene i artikel 14, 15 og 16 i forordning (EU) 2018/1725 bør den dataansvarlige underrette alle berørte personer om de aktiviteter, der omfatter behandling af deres personoplysninger, og om deres rettigheder på en gennemsigtig og sammenhængende måde i form af databeskyttelsesmeddelelser offentliggjort på EIB's intranet samt individuelt underrette registrerede, som undersøgelsen berører, dvs. berørte personer, parter og vidner.

Med henblik på at bevare et effektivt samarbejde kan det desuden være nødvendigt for personaledirektoratet at anvende begrænsninger af registreredes rettigheder for at beskytte oplysninger, der indeholder personoplysninger, og som stammer fra andre EIB-tjenestegrene, Den Europæiske Unions institutioner, organer, kontorer og agenturer, kompetente myndigheder i medlemsstaterne og tredjelande samt fra internationale organisationer. I den forbindelse bør personaledirektoratet høre disse andre EIB-tjenestegrene, institutioner, organer, kontorer, agenturer, myndigheder og internationale organisationer om de relevante begrundelser for og nødvendigheden og proportionaliteten af begrænsningerne.

Personaledirektoratet bør behandle alle begrænsninger på gennemsigtig vis og registrere hver enkelt anvendelse af begrænsninger i det tilsvarende registreringssystem.

I henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725 kan de dataansvarlige udsætte, undlade eller nægte at give underretning om begrundelserne for at anvende en begrænsning på den registrerede, hvis dette på nogen måde ville kompromittere formålet med begrænsningen. Dette er især tilfældet ved begrænsninger af de i artikel 16 og 35 i forordning (EU) 2018/1725 omhandlede rettigheder. For at sikre, at den registreredes ret til at blive underrettet, jf. artikel 16 og 35 i forordning (EU) 2018/1725, kun begrænses, så længe udskydelsen er begrundet, bør personaledirektoratet jævnligt tage sin holdning op til overvejelse.

Hvis der anvendes en begrænsning af andre registreredes rettigheder, bør personaledirektoratet fra sag til sag vurdere, om det ville kompromittere formålet at informere om begrænsningen.

EIB's databeskyttelsesesansvarlige kan foretage en uafhængig revurdering af anvendelsen af begrænsningerne med henblik på at sikre, at denne afgørelse overholdes –

VEDTAGET DENNE AFGØRELSE:

Artikel 1 Genstand og anvendelsesområde 1. I denne afgørelse fastsættes de regler, der skal følges af den dataansvarlige, som defineret i artikel 2, stk. 1, med henblik på at underrette registrerede om behandlingen af deres oplysninger i overensstemmelse med artikel 14, 15 og 16 i forordning (EU) 2018/1725. Der fastsættes desuden betingelser for, hvornår den relevante dataansvarlige kan begrænse anvendelsen af forordningens artikel 14-22 og 35 samt artikel 4, jf. nævnte forordnings artikel 25, stk. 1, litra c), g) og h). 2. Denne afgørelse finder anvendelse på personaledirektoratets behandling af personoplysninger med henblik på eller i forbindelse med de aktiviteter, det udfører for at opfylde de opgaver, der er omhandlet i artikel 40 og 41 i EIB's personalevedtægt I og II samt i EIB's politik for værdighed på arbejdspladsen og EIB's retningslinjer om proceduren for appel af personalebedømmelser, med senere ændringer. 3. Personaledirektoratet behandler inden for sit mandat flere kategorier af personoplysninger, navnlig identifikationsoplysninger, kontaktoplysninger, erhvervsmæssige oplysninger og oplysninger om sagstilhørsforhold.

Artikel 2 Specificering af den dataansvarlige og sikkerhedsforanstaltninger 1. Den dataansvarlige i forbindelse med databehandlingsaktiviteterne er direktøren for personaledirektoratet. 2. Personoplysninger lagres i et sikret elektronisk og fysisk miljø, som hindrer ulovlig adgang eller overførsel af oplysninger til personer, der ikke har behov for at kende til disse. 3. Personoplysningerne opbevares i mindst seks måneder og op til ti år. Nærmere oplysninger om opbevaringsperiodernes nøjagtige længde for hver procedure kan findes i personaledirektoratets opbevaringsplan. 4. I særlige behørigt begrundede tilfælde opbevares oplysningerne i længere perioder end den ovenfor anførte periode, idet dette dog kræver den databeskyttelsesansvarliges godkendelse.

Artikel 3 Gældende undtagelser og begrænsninger 1. Personaledirektoratet skal ved opfyldelsen af sine forpligtelser for så vidt angår de registreredes rettigheder i henhold til forordning (EU) 2018/1725 undersøge, om nogle af undtagelserne i denne forordning finder anvendelse. 2. Med forbehold af denne afgørelses artikel 4-7 kan personaledirektoratet begrænse anvendelsen af artikel 14-22 og artikel 35 i forordning (EU) 2018/1725 samt artikel 4, for så vidt dens bestemmelser svarer til de rettigheder og forpligtelser, som er omhandlet i denne forordnings artikel 14-22, såfremt udøvelsen af disse rettigheder og forpligtelser ville bringe formålet med de procedurer, der er fastsat i artikel 40 og 41 i EIB's personalevedtægt I og II samt i EIB's politik for værdighed på arbejdspladsen og EIB's retningslinjer om proceduren for appel af personalebedømmelser, i fare eller ville krænke andre registreredes rettigheder og frihedsrettigheder. 3. Med forbehold af denne afgørelses artikel 4-7 kan personaledirektoratet begrænse de rettigheder og forpligtelser, der er omhandlet i denne artikels stk. 2, i forbindelse med personoplysninger fra andre EIB-tjenestegrene eller Den Europæiske Unions institutioner, organer, agenturer og kontorer, kompetente myndigheder i medlemsstaterne eller fra internationale organisationer i følgende situationer: a) hvis udøvelsen af disse rettigheder og forpligtelser kan begrænses af andre EIB-tjenestegrene eller Den Europæiske Unions institutioner, organer, agenturer og kontorer på grundlag af andre retsakter, der er omhandlet i forordningens artikel 25, eller i overensstemmelse med forordningens kapitel IX b) hvis udøvelsen af disse rettigheder og forpligtelser kan begrænses af medlemsstaternes kompetente myndigheder på grundlag af retsakter, der er omhandlet i artikel 23 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (2), eller i henhold til nationale foranstaltninger til gennemførelse af artikel 13, stk. 3, artikel 15, stk. 3, eller artikel 16, stk. 3, i Europa-Parlamentets og Rådet direktiv (EU) 2016/680 (3) c) hvis udøvelsen af disse rettigheder og forpligtelser kan bringe personaledirektoratets samarbejde med tredjelande og internationale organisationer i fare ved udførelsen af dets opgaver. Inden der anvendes begrænsninger i de tilfælde, der er nævnt i første afsnit, litra a) og b), skal personaledirektoratet høre de relevante EIB-tjenestegrene, Den Europæiske Unions institutioner, organer, agenturer, kontorer eller de kompetente myndigheder i medlemsstaterne, medmindre det er klart for personaledirektoratet, at anvendelsen af en begrænsning er fastsat ved en af de retsakter, der er nævnt i disse litraer. Første afsnit, litra c), finder ikke anvendelse, hvis de registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder går forud for Den Europæiske Unions interesse i at samarbejde med tredjelande eller internationale organisationer. 4. Stk. 1, 2 og 3 berører ikke anvendelsen af andre EIB-afgørelser, hvorved der fastlægges interne regler om underretning af registrerede og begrænsning af visse rettigheder i henhold til artikel 25 i forordning (EU) 2018/1725.

Artikel 4 Underretning af de registrerede 1. Personaledirektoratet skal på EIB's intranet offentliggøre databeskyttelsesmeddelelser, der underretter alle registrerede om aktiviteter, der omfatter behandling af deres personoplysninger. 2. Personaledirektoratet skal individuelt underrette registrerede, som er parter i en procedure, personer, der er berørt af en procedure, eller vidner. 3. Såfremt personaledirektoratet, helt eller delvist, begrænser underretningen af de registrerede som omhandlet i stk. 2, skal det registrere begrundelserne for begrænsningen, heriblandt en vurdering af begrænsningens nødvendighed og proportionalitet. I den forbindelse skal det fremgå, hvordan underretningen ville bringe formålet med den pågældende procedure eller de anvendte begrænsninger i henhold til artikel 3, stk. 3, i fare eller ville krænke andre registreredes rettigheder og frihedsrettigheder. De registrerede oplysninger og, hvis det er relevant, de dokumenter, der indeholder underliggende faktiske eller retlige elementer, registreres. Disse skal efter anmodning stilles til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse (EDPS). 4. Den i stk. 3 nævnte begrænsning finder anvendelse, så længe begrundelserne herfor er gældende. Såfremt begrundelserne for begrænsningen ikke længere er gældende, skal personaledirektoratet videregive de pågældende oplysninger til og underrette den registrerede om begrundelserne for begrænsningen. Samtidig underretter personaledirektoratet den registrerede om muligheden for til hver en tid at indgive en klage til EDPS eller indbringe sagen for Den Europæiske Unions Domstol. Personaledirektoratet revurderer anvendelsen af begrænsningen mindst hver sjette måned fra dens vedtagelse og ved den pågældende procedures afslutning. Derefter overvåger den dataansvarlige på årsbasis, om det er nødvendigt at opretholde begrænsningerne.

Artikel 5 Den registreredes ret til indsigt 1. Hvis den registrerede anmoder om adgang til sine egne personoplysninger, som behandles i forbindelse med et eller flere specifikke tilfælde eller en særlig behandlingsaktivitet, jf. artikel 17 i forordning (EU) 2018/1725, skal personaledirektoratets vurdering af anmodningen udelukkende være begrænset til sådanne personoplysninger. 2. Såfremt personaledirektoratet helt eller delvist begrænser indsigtsretten som omhandlet i denne forordnings artikel 17, træffer det følgende foranstaltninger: a) Det underretter i sit svar på anmodningen den pågældende registrerede om den anvendte begrænsning og om de vigtigste begrundelser herfor og om muligheden for at indgive en klage til EDPS eller indbringe sagen for Den Europæiske Unions Domstol. b) Det registrerer begrundelserne for begrænsningen, herunder en vurdering af begrænsningens nødvendighed og proportionalitet. I den forbindelse skal det af registreringen fremgå, hvordan underretningen ville bringe formålet med den respektive procedure eller de anvendte begrænsninger i henhold til artikel 3, stk. 3, i fare eller ville krænke andre registreredes rettigheder og frihedsrettigheder. Den i litra a) omhandlede underretning kan udsættes, udelades eller afvises i overensstemmelse med artikel 25, stk. 8, i forordning (EU) 2018/1725. 3. Den i stk. 2, første afsnit, litra b), nævnte registrering og, hvis det er relevant, de dokumenter, der indeholder underliggende faktiske eller retlige elementer, registreres. Disse skal efter anmodning stilles til rådighed for EDPS. Artikel 25, stk. 7, i forordning (EU) 2018/1725 finder anvendelse.

Artikel 6 Ret til berigtigelse, sletning og begrænsning af behandling Hvis personaledirektoratet, helt eller delvist, begrænser anvendelsen af retten til berigtigelse, sletning eller retten til begrænsning af behandling som omhandlet i artikel 18, artikel 19, stk. 1, og artikel 20, stk. 1, i forordning (EU) 2018/1725, træffer det de foranstaltninger, der er beskrevet i artikel 5, stk. 2, i denne afgørelse, og foretager den pågældende registrering i overensstemmelse med artikel 5, stk. 3.

Artikel 7 Underretning om brud på persondatasikkerheden til den registrerede Hvis personaledirektoratet begrænser underretningen om brud på persondatasikkerheden til den registrerede som omhandlet i artikel 35 i forordning (EU) 2018/1725, registrerer det begrundelserne for begrænsningen i overensstemmelse med artikel 4, stk. 3, i denne afgørelse. Denne afgørelses artikel 4, stk. 4, finder anvendelse.

Artikel 8 Den databeskyttelsesansvarliges revurdering Personaledirektoratet underretter uden unødig forsinkelse den databeskyttelsesansvarlige, såfremt det begrænser registreredes rettigheder i overensstemmelse med denne afgørelse, og giver adgang til registret og vurderingen af begrænsningens nødvendighed og proportionalitet. Den databeskyttelsesansvarlige kan skriftligt anmode personaledirektoratet om en revurdering af anvendelsen af begrænsningerne. Personaledirektoratet underretter skriftligt den databeskyttelsesansvarlige om resultatet af den revurdering, der er anmodet om.

Artikel 9 Ikrafttrædelse Denne afgørelse blev vedtaget af EIB's bestyrelse den 26. februar 2019 og træder i kraft på dagen for dens offentliggørelse på EIB's websted.

Udfærdiget i Luxembourg, den 26. februar 2019.

(1) Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).

(2) Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).

(3) Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89).