REVISIONSRETTENS AFGØRELSE nr. 42-2021

af 20. maj 2021

om vedtagelse af interne regler om begrænsninger af visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger inden for rammerne af Den Europæiske Revisionsrets aktiviteter

DEN EUROPÆISKE REVISIONSRET HAR —

Under henvisning til traktaten om Den Europæiske Unions funktionsmåde (»TEUF«),

Under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (»forordningen«), særlig artikel 25 og kapitel VI,

Under henvisning til Revisionsrettens drøftelser på dens møde den 20. maj 2021,

Efter høring af Den Europæiske Tilsynsførende for Databeskyttelse, som i henhold til forordningens artikel 41, stk. 2, afgav udtalelse om denne afgørelse den 23. september 2019, og

I betragtning af at Den Europæiske Revisionsret inden for rammerne af sine aktiviteter behandler flere kategorier af personoplysninger og er forpligtet til at respektere fysiske personers rettigheder i forbindelse med behandling af personoplysninger, jf. artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 16, stk. 1, i TEUF,

I betragtning af at det under visse omstændigheder er nødvendigt at forene de registreredes rettigheder i henhold til forordningen, med behovene i forbindelse med Revisionsrettens opgaver og aktiviteter. Med henblik herpå giver forordningens artikel 25 mulighed for på strenge betingelser at begrænse anvendelsen af artikel 14-20, 35 og 36 samt artikel 4,

I betragtning af at Revisionsretten kun bør anvende begrænsninger, hvis de respekterer kernen i de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund. Revisionsretten bør behandle alle begrænsninger på en gennemsigtig måde og underrette den registrerede om årsagerne til anvendelsen af en begrænsning,

I betragtning af at Revisionsretten bør ophæve begrænsningen, så snart de omstændigheder, der ligger til grund for den, ikke længere er til stede, og regelmæssigt vurdere disse omstændigheder,

I betragtning af at Revisionsrettens databeskyttelsesrådgiver bør underrettes i god tid om eventuelle begrænsninger, der anvendes, og foretage en uafhængig gennemgang af anvendelsen af begrænsninger med henblik på at sikre, at denne afgørelse overholdes —

VEDTAGET FØLGENDE AFGØRELSE:

Artikel 1 Genstand og anvendelsesområde Denne afgørelse indeholder bestemmelser om de betingelser, under hvilke Revisionsretten på grundlag af forordningens artikel 25 kan begrænse anvendelsen af artikel 14-20, 35 og 36 samt artikel 4.

Artikel 2 Begrænsninger 1. I overensstemmelse med forordningens artikel 25, stk. 1, kan Revisionsretten i hvert enkelt tilfælde begrænse anvendelsen af artikel 14-20, 35 og 36 samt artikel 4 i forordningen, for så vidt som dens bestemmelser svarer til rettighederne og forpligtelserne fastsat i artikel 14-20, når den: a) udfører revisioner på grundlag af artikel 287 i TEUF. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra c), g) og h) b) gennemfører administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer på grundlag af artikel 86 i vedtægten for tjenestemænd i Den Europæiske Union (1) (»personalevedtægten«) og i overensstemmelse med bilag IX hertil. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra b), c), d), f), g) og h) c) behandler interne og eksterne klager over en ansat i eller et medlem af Revisionsretten. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra h) d) gennemfører indledende aktiviteter i forbindelse med tilfælde af potentielle uregelmæssigheder, der indberettes til OLAF. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra b), c) og h) e) sikrer, at Revisionsrettens ansatte fortroligt kan videregive oplysninger om alvorlige uregelmæssigheder, som de får kendskab til under udøvelsen af deres hverv, i overensstemmelse med Revisionsrettens forretningsorden for så vidt angår videregivelse af oplysninger i tilfælde af alvorlige uregelmæssigheder (whistleblowing). De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra f) og h) f) sikrer, at ansatte ved Revisionsretten, som mener at have været udsat for chikane, i fortrolighed kan søge rådgivning og støtte fra en leder, en kontaktperson, en rådgivende læge eller en mægler i overensstemmelse med Revisionsrettens afgørelse nr. 26-2017 om politikken for sikring af et tilfredsstillende arbejdsklima og bekæmpelse af psykisk og seksuel chikane. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra f) og h) g) foretager interne revisioner i overensstemmelse med Revisionsrettens afgørelse nr. 38-2016 om gennemførelsesbestemmelser til Revisionsrettens forretningsorden. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra c), g) og h) h) i henhold til personalevedtægtens artikel 26a og artikel 16 og 91 i ansættelsesvilkårene for de øvrige ansatte, sikrer registreredes adgang til medicinske data af psykologisk eller psykiatrisk art, der vedrører dem, hvis direkte adgang til sådanne data sandsynligvis vil udgøre en risiko for den registreredes sundhed, eller til medicinske data, hvis udøvelsen af denne ret vil påvirke den registreredes eller andre registreredes rettigheder og frihedsrettigheder negativt. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra h) i) sikrer intern sikkerhed ved Revisionsretten, dvs. sikkerhed for personer, aktiver og oplysninger, herunder gennemførelse af undersøgelser vedrørende intern sikkerhed, eventuelt med ekstern deltagelse (CERT-EU, nationale politimyndigheder osv.). De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra a), b), c), d), g) og h) j) sikrer, at databeskyttelsesrådgiveren kan foretage undersøgelser i overensstemmelse med forordningens artikel 45, stk. 2. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra d), g) og h) k) yder bistand til og indgår i samarbejde med eller modtager bistand og samarbejde fra andre EU-institutioner, -organer, -kontorer og -agenturer. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra c), d), g) og h) l) yder bistand til og indgår i samarbejde med eller modtager bistand og samarbejde fra EU-medlemsstaternes offentlige myndigheder, tredjelande og internationale organisationer efter anmodning eller på eget initiativ. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra c), g) og h) m) behandler personoplysninger i dokumenter, som indhentes af parter eller intervenienter i retssager ved Den Europæiske Unions Domstol. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra e). 2. Oplysningskategorierne omfatter identifikationsoplysninger om en fysisk person, kontaktoplysninger, arbejdsroller og -opgaver, oplysninger om indsats og adfærd i jobfunktioner og i privatlivet samt økonomiske oplysninger. 3. Eventuelle begrænsninger skal respektere kernen i de grundlæggende rettigheder og frihedsrettigheder i et demokratisk samfund og være nødvendige og forholdsmæssige. 4. Den dataansvarlige og databeskyttelsesrådgiveren gennemfører nødvendigheds- og proportionalitetstest i hvert enkelt tilfælde, inden der anvendes begrænsninger. Begrænsningerne indskrænkes til det strengt nødvendige for at nå de fastsatte mål. 5. Revisionsretten fører en fortegnelse over årsagerne til de anvendte begrænsninger, retsgrundlaget, vurderingen af risiciene for de rettigheder og frihedsrettigheder, der tilkommer de registrerede, hvis personoplysninger kan være omfattet af begrænsninger, og vurderingen af begrænsningens nødvendighed og proportionalitet. Fortegnelsen og i givet fald de dokumenter, der indeholder de underliggende faktuelle og retlige elementer, indgår i et ad hoc-register, der efter anmodning stilles til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse. Dokumentation, der vedrører begrænsninger med relation til lægejournaler, registreres kun i den relevante lægejournal. 6. Når Revisionsretten under udførelsen af sit hverv behandler personoplysninger, der udveksles med andre organisationer, hører den og høres den selv af disse organisationer om de mulige relevante begrundelser for at indføre begrænsninger og om begrænsningernes nødvendighed og proportionalitet, medmindre dette vil bringe Revisionsrettens aktiviteter i fare.

Artikel 3 Overvågning af begrænsninger og fornyet gennemgang 1. De begrænsninger, der er omhandlet i artikel 2, fortsætter med at finde anvendelse, så længe de omstændigheder, der ligger til grund for dem, fortsat er til stede. 2. Revisionsretten foretager en fornyet gennemgang af anvendelsen af begrænsningen hvert halve år fra dens vedtagelse. Der skal også foretages en fornyet gennemgang, hvis de væsentlige elementer i en sag ændrer sig.

Artikel 4 Sikkerhedsforanstaltninger 1. Revisionsretten træffer sikkerhedsforanstaltninger for at forhindre misbrug af eller ulovlig adgang til eller overførsel af personoplysninger, der kan være omfattet af begrænsninger. Disse sikkerhedsforanstaltninger omfatter tekniske og organisatoriske tiltag og præciseres, når det er nødvendigt, i Revisionsrettens interne afgørelser, procedurer og gennemførelsesbestemmelser. Sikkerhedsforanstaltningerne omfatter: a) en passende definition af roller, ansvarsområder og proceduremæssige skridt b) hvis det er relevant, et sikkert elektronisk miljø, der forhindrer ulovlig eller utilsigtet adgang til eller overførsel af elektroniske data til uautoriserede personer c) hvis det er relevant, sikker opbevaring og behandling af papirbaserede dokumenter.

Artikel 5 Oplysninger, der skal meddeles til databeskyttelsesrådgiveren, og databeskyttelsesrådgiverens fornyede gennemgang 1. Databeskyttelsesrådgiveren underrettes uden unødig forsinkelse, såfremt den registreredes rettigheder begrænses i overensstemmelse med denne afgørelse, og gives adgang til fortegnelsen og eventuelle dokumenter, der indeholder underliggende faktuelle eller retlige elementer. 2. Databeskyttelsesrådgiveren kan indgive en anmodning om at foretage en fornyet gennemgang af anvendelsen af en begrænsning. Revisionsretten underretter databeskyttelsesrådgiveren skriftligt om resultatet af anmodningen. 3. Databeskyttelsesrådgiverens inddragelse i begrænsningsproceduren, herunder udveksling af oplysninger, dokumenteres på en hensigtsmæssig måde.

Artikel 6 Underretning af de registrerede om begrænsninger af deres rettigheder 1. Revisionsretten offentliggør på sit websted generelle oplysninger om begrænsninger af de registreredes rettigheder, som omhandlet i artikel 2. Der redegøres for begrænsningens omfang, de underliggende årsager og den mulige varighed. 2. Hvis Revisionsretten anvender denne afgørelses artikel 2, underretter den uden unødig forsinkelse de registrerede skriftligt om de væsentligste årsager, der ligger til grund for anvendelsen af begrænsningen, og om de registreredes ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse og indbringe sagen for Den Europæiske Unions Domstol. 3. Revisionsretten kan udsætte, undlade eller afvise at underrette om årsagerne til den i stk. 2 omhandlede begrænsning, hvis dette vil ophæve begrænsningens virkning. Dette vurderes i hvert enkelt tilfælde.

Artikel 7 Underretning om brud på persondatasikkerheden til registrerede Hvis Revisionsretten begrænser underretningen om et brud på persondatasikkerheden til den registrerede, jf. forordningens artikel 35, dokumenter og registrerer den årsagerne til begrænsningen i overensstemmelse med artikel 2, stk. 5, i denne afgørelse.

Artikel 8 Fortrolighed af elektronisk kommunikation 1. Revisionsretten kan under særlige omstændigheder og i overensstemmelse med bestemmelserne i direktiv 2002/58/EF om databeskyttelse inden for elektronisk kommunikation begrænse retten til fortrolighed af elektronisk kommunikation, jf. forordningens artikel 36. Revisionsretten skal i så fald redegøre for de pågældende omstændigheder, begrundelser, relevante risici og tilknyttede sikkerhedsforanstaltninger i specifikke interne regler. 2. Hvis Revisionsretten begrænser retten til fortrolighed af elektronisk kommunikation, underretter den i sit svar på en anmodning fra den registrerede uden unødig forsinkelse den pågældende registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller indbringe sagen for Den Europæiske Unions Domstol. 3. Revisionsretten kan udsætte, undlade eller afvise at underrette om årsagerne til den i stk. 1 og 2 omhandlede begrænsning, hvis dette vil ophæve virkningen af begrænsningen. Dette vurderes i hvert enkelt tilfælde.

Artikel 9 Ikrafttræden Denne afgørelse træder i kraft på dagen for offentliggørelsen i Den Europæiske Unions Tidende.

Udfærdiget i Luxembourg, den 20. maj 2021. På Revisionsrettens vegne Klaus-Heiner LEHNE Formand

(1) Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 af 29. februar 1968 om vedtægten for tjenestemænd i De europæiske Fællesskaber og om ansættelsesvilkårene for de øvrige ansatte i disse Fællesskaber samt om særlige midlertidige foranstaltninger for tjenestemænd i Kommissionen (EFT L 56 af 4.3.1968, s. 1).