AFGØRELSE TRUFFET AF DEN EUROPÆISKE UNIONS DOMSTOL

af 1. oktober 2019

om interne regler vedrørende begrænsningen af visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger under udførelsen af Den Europæiske Unions Domstols opgaver, som ikke henhører under de judicielle opgaver

DEN EUROPÆISKE UNIONS DOMSTOL HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1) (herefter »forordningen«), særlig artikel 25,

under henvisning til udtalelsen fra Den Europæiske Tilsynsførende for Databeskyttelse (herefter »EDPS«) af 26. juli 2019, som er blevet hørt i overensstemmelse med forordningens artikel 41, stk. 2,

under henvisning til Det Administrative Udvalgs udtalelse af 16. september 2019,

under henvisning til, at forordningen for så vidt angår behandlingen af personoplysninger finder anvendelse på Den Europæiske Unions Domstol på tilsvarende måde som på alle EU-institutioner, når denne udfører opgaver, som ikke henhører under de judicielle opgaver,

og under henvisning til, at det derfor er nødvendigt med hensyn til en sådan behandling at gennemføre forordningens artikel 25 ved vedtagelsen af interne regler i henhold til denne artikel —

VEDTAGET DENNE AFGØRELSE:

Artikel 1 Genstand og anvendelsesområde Med denne afgørelse fastlægges reglerne vedrørende de betingelser, hvorunder Den Europæiske Unions Domstol inden for rammerne af udførelsen af sine opgaver, som ikke henhører under de judicielle opgaver, i medfør af forordningens artikel 25 kan begrænse anvendelsen af forordningens artikel 14-21, 35 og 36 samt af forordningens artikel 4.

Artikel 2 Begrænsninger 1. I overensstemmelse med forordningens artikel 25, stk. 1, kan anvendelsen af forordningens artikel 14-21, 35 og 36 samt af forordningens artikel 4, for så vidt som bestemmelserne heri svarer til rettighederne og forpligtelserne i artikel 14-21, begrænses i forbindelse med: a) administrative undersøgelser gennemført i overensstemmelse med de interne regler på området; procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer gennemført i medfør af artikel 86 i vedtægten for tjenestemænd i Den Europæiske Union (herefter »vedtægten«) og bestemmelserne i vedtægtens bilag IX; behandling af whistleblowing i overensstemmelse med de interne regler på området; sikkerhedsundersøgelser gennemført i overensstemmelse med de interne regler på området; undersøgelser foretaget af databeskyttelsesrådgiveren i overensstemmelse med forordningens artikel 45, stk. 2, sidste punktum, og de interne regler på området; anmeldelse af en sag til Det Europæiske Kontor for Bekæmpelse af Svig (OLAF). De relevante begrænsninger kan være støttet på forordningens artikel 25, stk. 1, litra b), c), d), g) og h) b) at en ansat ved Den Europæiske Unions Domstols tager kontakt til rådgiveren i forbindelse med en uformel procedure på området for chikane. De relevante begrænsninger kan være støttet på forordningens artikel 25, stk. 1, litra h) c) behandlingen af en ansøgning eller en klage som omhandlet i vedtægtens artikel 90. De relevante begrænsninger kan være støttet på forordningens artikel 25, stk. 1, litra h) d) gennemførelsen af en intern revision. De relevante begrænsninger kan være støttet på forordningens artikel 25, stk. 1, litra c), g) og h) e) samarbejde med Unionens andre institutioner, organer, kontorer og agenturer. De relevante begrænsninger kan være støttet på forordningens artikel 25, stk. 1, litra b), c), d), g) og h) f) samarbejde med medlemsstaternes og tredjelandes myndigheder samt med internationale organisationer. De relevante begrænsninger kan være støttet på forordningens artikel 25, stk. 1, litra b), c), g) og h) g) behandling af personoplysninger, der er indeholdt i dokumenter, som er fremlagt eller fremkommet inden for rammerne af retssager, som Den Europæiske Unions Domstol er part i. De relevante begrænsninger kan være støttet på forordningens artikel 25, stk. 1, litra e) og h). 2. Kategorierne af oplysninger omfatter oplysninger til identifikation af fysiske personer, kontaktoplysninger, erhvervsmæssige funktioner og opgaver, informationer om adfærd og professionelle og private præstationer samt finansielle oplysninger. 3. Enhver begrænsning skal respektere kernen i frihedsrettighederne og de grundlæggende rettigheder og være nødvendige og forholdsmæssige i et demokratisk samfund. 4. I hvert enkelt tilfælde foretages en vurdering af nødvendigheden og forholdsmæssigheden, navnlig med hensyn til risikoen for krænkelse af registreredes rettigheder og friheder, inden anvendelsen af begrænsninger. Begrænsningerne indskrænkes til det, der er strengt nødvendigt for at nå de fastsatte målsætninger. 5. De anvendte begrænsninger og resultatet af efterprøvelsen af nødvendigheden og forholdsmæssigheden, navnlig med hensyn til risikoen for krænkelse af de registreredes rettigheder og friheder, anføres i en note udarbejdet af den ansvarlige for behandlingen. De således udarbejdede noter udgør en del af et ad hoc-register, der føres af databeskyttelsesrådgiveren, og som efter anmodning stilles til rådighed for EDPS. Databeskyttelsesrådgiveren har adgang til samtlige dokumenter, der ligger til grund for de nævnte noter. 6. Såfremt personoplysninger udveksles med andre organisationer, foretages en konsultation med hensyn til de relevante grunde for anvendelsen af begrænsninger og begrænsningernes nødvendighed og forholdsmæssighed. Denne konsultation er ikke til hinder for anvendelsen af begrænsninger i overensstemmelse med nærværende afgørelse.

Artikel 3 Risikovurdering, opbevaringsperiode og garantier 1. Risikovurderingen med hensyn til rettigheder og friheder for de registrerede, hvis rettigheder på området for beskyttelse af personoplysninger kan være genstand for begrænsninger som omhandlet i forordningens artikel 25, og opbevaringsperioden for disse oplysninger er nævnt i fortegnelsen over de relevante behandlingsaktiviteter i overensstemmelse med forordningens artikel 31 og i givet fald konsekvensanalyserne vedrørende databeskyttelse i overensstemmelse med forordningens artikel 39. 2. Der opstilles garantier for at forhindre misbrug eller uretmæssig adgang eller overførsel af personoplysninger, der kan være genstand for begrænsninger som omhandlet i forordningens artikel 25. Disse garantier omfatter bl.a.: a) tekniske og organisatoriske foranstaltninger, der for hver omhandlet behandling er beskrevet i fortegnelsen over behandlingsaktiviteter b) en behørig overvågning af begrænsningerne og periodisk revision, der skal foretages mindst en gang hver sjette måned. Der skal endvidere foretages revision, såfremt væsentlige elementer ændrer sig i det enkelte tilfælde. Begrænsningerne ophæves, så snart de omstændigheder, der begrunder dem, ikke længere er til stede.

Artikel 4 Fortrolighed af elektronisk kommunikation Ud over de tilfælde, der er omhandlet i artikel 2, stk. 1, og navnlig i artikel 2, stk. 1, litra a), kan retten til fortrolighed af elektronisk kommunikation som omhandlet i forordningens artikel 36 i undtagelsestilfælde begrænses på grundlag af specifikke interne regler, der præciserer grundene, den procedure, der skal følges, og de garantier, der skal overholdes.

Artikel 5 Information af de registrerede om begrænsningerne af deres rettigheder 1. På Den Europæiske Unions Domstols websted offentliggøres generelle informationer til de registrerede om de rettigheder, der i overensstemmelse med nærværende afgørelse kan begrænses, og grundene til og varigheden af sådanne begrænsninger. 2. Såfremt de rettigheder, der er omhandlet i artikel 14-21, 35 og 36 samt i forordningens artikel 4, for så vidt som bestemmelserne heri svarer til rettighederne og forpligtelserne i artikel 14-21, begrænses helt eller delvist, informeres den registrerede om de væsentligste grunde til, at begrænsningen er blevet anvendt, og om dennes ret til at indbringe sagen for EDPS. 3. Meddelelsen af informationerne om grundene til begrænsningen i henhold til stk. 2 udsættes, undlades eller afslås, såfremt begrænsningen derved mister sin virkning. Vurderingen heraf foretages i hvert enkelt tilfælde.

Artikel 6 Ikrafttræden Denne afgørelse træder i kraft på dagen for offentliggørelsen i Den Europæiske Unions Tidende.

Udfærdiget i Luxembourg, den 8. oktober 2019. A. CALOT ESCOBAR Justitssekretær K. LENAERTS Præsident

(1) EUT L 295 af 21.11.2018, s. 39.