EUROJUSTS FORRETNINGSORDEN FOR BEHANDLING OG BESKYTTELSE AF PERSONOPLYSNINGER

EUROJUSTS KOLLEGIUM HAR —

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1727 af 14. november 2018 om Den Europæiske Unions Agentur for Strafferetligt Samarbejde (Eurojust), og om erstatning og ophævelse af Rådets afgørelse 2002/187/RIA, i det følgende benævnt »Eurojustforordningen«, navnlig artikel 5, stk. 5,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF, i det følgende benævnt »forordning 2018/1725«,

under henvisning til Eurojusts forretningsordenen godkendt af Rådet ved gennemførelsesafgørelse (EU) 2019/2250 af 19. december 2019 og vedtaget af kollegiet den 20. december 2019, særlig artikel 17,

under henvisning til udtalelser fra Den Fælles Kontrolinstans afgivet den 28. oktober 2019 og den 11. december 2019, og

under henvisning til udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse afgivet den 13. december 2019 —

i betragtning af Rådets godkendelse af denne forretningsorden ved hjælp af gennemførelsesafgørelse (EU) 2019/2250 af 19. december 2019,

VEDTAGET EUROJUSTS FORRETNINGSORDEN FOR BEHANDLING OG BESKYTTELSE AF PERSONOPLYSNINGER DEN 20. DECEMBER 2019.

AFSNIT I

ANVENDELSESOMRÅDE, STRUKTUR OG DEFINITIONER

AFSNIT II

REGLER FOR OPERATIONELLE PROCEDURER FOR BEHANDLING AF PERSONOPLYSNINGER

KAPITEL I

Almindelige principper for behandling af operationelle personoplysninger

Med hensyn til behandlingen af operationelle personoplysninger handler Eurojust som dataansvarlig gennem de nationale medlemmer, der i overensstemmelse med Eurojustforordningens artikel 24, stk. 1, er ansvarlige for forvaltningen af de sager, som de har oprettet under udførelsen af deres opgaver som defineret i Eurojustforordningen, eller som de har indledt, hvis Eurojust handler som et kollegium i overensstemmelse med Eurojustforordningens artikel 5, stk. 2, litra a).

Nationale medlemmer, der modtager operationelle personoplysninger fra kompetente nationale myndigheder, skal overholde de særlige betingelser for behandling, der er fastsat i henhold til artikel 9, stk. 3 og 4, i direktiv (EU) 2016/680, og skal også underrette de nationale myndigheder om eventuelle særlige betingelser, som de er underlagt i henhold til gældende EU-ret, og som finder anvendelse på alle operationelle personoplysninger, som de nationale medlemmer stiller til rådighed for de nationale myndigheder, hvor det er relevant.

Hvis Eurojust konstaterer en unøjagtighed, der påvirker de data, der er modtaget fra en medlemsstat i forbindelse med en efterforskning eller retsforfølgning eller fra en EU-institution eller et EU-organ, -kontor eller -agentur, giver det nationale medlem efter samråd med de nationale myndigheder instrukser om at rette oplysningerne hurtigst muligt og underrette den respektive medlemsstat eller en EU-institution eller et EU-organ, -kontor eller -agentur, hvorfra oplysningerne blev modtaget.

KAPITEL II

De registreredes rettigheder

5. Den databeskyttelsesansvarlige underretter den registrerede om den afgørelse, som det eller de berørte nationale medlemmer har truffet på Europols vegne, og underretter den registrerede om muligheden for at påklage afgørelsen til EDPS, hvis den registrerede ikke er tilfreds med den afgørelse, Eurojust har truffet, og om vedkommendes ret til at indbringe sagen for EU-Domstolen.

4. De retlige og faktuelle grunde til, at afgørelsen træffes af det eller de nationale medlemmer, skal dokumenteres i den midlertidige analysedatabase vedrørende anmodningen i sagsforvaltningssystemet og stilles til rådighed for EDPS efter anmodning.

Eurojust træffer passende tekniske foranstaltninger for at sikre, at der, hvis Eurojust retter, blokerer eller sletter personoplysninger efter en anmodning, automatisk udarbejdes en fortegnelse over leverandører og modtagere af oplysningerne.

KAPITEL III

Sagsforvaltningssystemet

6. Det/de berørte nationale medlemmer skal sikre, at oplysningerne i fortegnelsen er tilstrækkelige til at opfylde Eurojusts opgaver som defineret i Eurojustforordningens artikel 2.

5. Når de nationale medlemmer i overensstemmelse med Eurojustforordningens artikel 23, stk. 6, ønsker midlertidigt at opbevare og analysere personoplysninger med henblik på at vurdere, om sådanne oplysninger er relevante for Eurojusts opgaver, udarbejder de et udkast til en analysedatabase, som kun de selv og organer, de har bemyndiget, har adgang til inden for rammerne af deres kontors profil. Efter tre måneder bør udkastet til midlertidig analysedatabase enten konverteres til en midlertidig analysedatabase i sagsforvaltningssystemet eller automatisk slettes af systemet. Systemet skal underrette det berørte nationale medlem, inden denne tid er udløbet, for at minde vedkommende om, at det er nødvendigt at træffe afgørelse om udkastet til database.

2. Når et nationalt medlem, der er ansvarligt for forvaltningen af en midlertidig analysedatabase som defineret i Eurojustforordningens artikel 24, stk. 1, giver adgang til en midlertidig analysedatabase eller en del heraf til et eller flere involverede nationale medlemmer, skal sagsforvaltningssystemet sikre, at de autoriserede brugere inden for rammerne af det nationale kontors profil på det nationale medlems ansvar har adgang til de relevante dele af analysedatabasen, men at de ikke kan ændre de oplysninger, som den oprindelige ophavsmand har indført. De autoriserede brugere kan dog tilføje relevante oplysninger til de nye dele af de midlertidige analysedatabaser. På samme måde kan oplysningerne i fortegnelsen læses af alle autoriserede brugere af systemet, men kan kun ændres af ophavspersonen.

1. Eurojust træffer passende tekniske foranstaltninger for at sikre, at den databeskyttelsesansvarlige automatisk underrettes om de særlige tilfælde, hvor der gøres brug af Eurojustforordningens artikel 27, stk. 4. Sagsforvaltningssystemet skal sikre, at fortegnelsen, der er omhandlet i Eurojustforordningens artikel 23, stk. 1 og 4, ikke indeholder sådanne oplysninger.

1. Eurojust træffer passende tekniske foranstaltninger for at sikre, at den databeskyttelsesansvarlige automatisk underrettes om de særlige tilfælde, hvor der i et begrænset tidsrum gøres brug af Eurojustforordningens artikel 27, stk. 3. Sagsforvaltningssystemet skal mærke sådanne oplysninger på en måde, der minder personen, der har indført oplysningerne i systemet, om forpligtelsen til at opbevare disse oplysninger i et begrænset tidsrum.

4. I overensstemmelse med Eurojustforordningens artikel 34 kan kollegiet tillade, at andre medlemmer af Eurojusts personale har adgang til operationelle personoplysninger, hvis det er nødvendigt for udførelsen af Eurojusts opgaver.

3. De nationale medlemmer sørger for, at der fastsættes og overholdes passende organisatoriske forholdsregler i deres kontorer, og at der gøres korrekt brug af de tekniske og organisatoriske foranstaltninger, herunder deltagelse i den nødvendige uddannelse, som Eurojust stiller til rådighed for dem.

2. De nationale medlemmer kan fra sag til sag beslutte at give specifik autoriseret adgang til en midlertidig analysedatabase eller dele af den til en person, der ikke er medlem af Eurojusts personale, men som arbejder på Eurojusts vegne og tilhører en specifik personalekategori, som på forhånd er godkendt af Eurojusts administrerende direktør i overensstemmelse med Eurojustforordningens artikel 24, stk. 2, til at få adgang til sagsforvaltningssystemet.

1. Hvert nationalt medlem af Eurojust dokumenterer og underretter den databeskyttelsesansvarlige om de regler for adgang, som vedkommende har autoriseret i overensstemmelse med Eurojustforordningens artikel 34 inden for rammerne af vedkommendes nationale kontor vedrørende operationelle personoplysninger.

2. Eurojusts sagsforvaltningssystem skal indeholde en fuldstændig fortegnelse over videregivelse og modtagelse af operationelle personoplysninger, der gør det muligt at fastslå enhver videregivelse af operationelle personoplysninger og identiteten af den nationale myndighed, den organisation eller det tredjeland eller den internationale organisation, der har videregivet eller modtaget de pågældende oplysninger til eller fra Eurojust.

1. Eurojusts sagsforvaltningssystem som defineret i Eurojustforordningens artikel 23 fungerer for operationelle personoplysninger som fortegnelse over alle de behandlingsaktiviteter, der er omhandlet i Eurojustforordningens artikel 35.

KAPITEL IV

Videregivelser af oplysninger til tredjelande eller til internationale organisationer

2. Den databeskyttelsesansvarlige forelægger den i stk. 1 omhandlede vurdering inden for ti arbejdsdage. Når det er nødvendigt af hensyn til sagens hastende karakter, hvilket det eller de berørte nationale medlemmer anfører, forelægges vurderingen snarest muligt. I særligt komplekse sager kan den databeskyttelsesansvarlige aftale en længere frist med det eller de berørte nationale medlemmer til at afslutte vurderingen.

KAPITEL V

Frister

Artikel 16

Frister for opbevaring af operationelle personoplysninger

1. Eurojust træffer passende tekniske foranstaltninger til at sikre, at fristerne for opbevaring af operationelle personoplysninger i Eurojustforordningens artikel 29 overholdes, og at disse oplysninger slettes automatisk, når der ikke på tidspunktet for vurderingen træffes en berettiget beslutning om fortsat at opbevare de operationelle personoplysninger.

2. Sagsforvaltningssystemet skal navnlig sikre, at det hvert tredje år efter indlæsningen vurderes, om det er nødvendigt at opbevare oplysninger i en midlertidig analysedatabase. Den pågældende vurdering dokumenteres behørigt i systemet, herunder begrundelsen for en beslutning om fortsat at opbevare operationelle personoplysninger, og den databeskyttelsesansvarlige underrettes automatisk herom. Resultatet af en sådan beslutning eller mangel herpå gælder for sagen som helhed som defineret i Eurojustforordningens artikel 29, stk. 2.

3. Sagsforvaltningssystemet skal navnlig mærke de oplysninger, der er registreret i et begrænset tidsrum i overensstemmelse med artikel 27, stk. 3, samt de oplysninger, der er nævnt i Eurojustforordningens artikel 27, stk. 4. Hvis de operationelle personoplysninger, der er omhandlet i artikel 27, stk. 4, opbevares i mere end fem år, vil sagsforvaltningssystemet generere en advarsel for at sikre, at de pågældende oplysninger automatisk gives til EDPS.