Retsakt udstedt af europols styrelsesråd

den 27. september 1999

om fastsættelse af bestemmelser om personlige sagsakter i Europol

(2001/C 65/01)

STYRELSESRÅDET FOR EUROPOL HAR -

under henvisning til Rådets retsakt af 3. december 1998 om vedtagelse af vedtægten for Europols personale(1), særlig artikel 23,

under hensyn til de principper, der er fastsat i Europarådets konvention af 28. januar 1981 og Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger(2),

på grundlag af direktørens forslag forelagt efter høring af Personaleudvalget i overensstemmelse med artikel 23 -

VEDTAGET FØLGENDE BESTEMMELSER:

Artikel 1

Definitioner

I disse bestemmelser forstås ved:

a) "personoplysninger": enhver form for information om en identificeret eller identificerbar fysisk person; ved identificerbar person forstås en person, der direkte eller indirekte kan identificeres, navnlig ved et identifikationsnummer eller et eller flere elementer, der er særlige for denne persons fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet

b) "behandling af personoplysninger" ("behandling"): enhver operation eller række af operationer - med eller uden brug af elektronisk databehandling - som personoplysninger gøres til genstand for, f.eks. indsamling, registrering, systematisering, opbevaring, tilpasning eller ændring, selektion, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring samt blokering, slettelse eller tilintetgørelse

c) "register med personoplysninger" ("register"): enhver struktureret samling af personoplysninger, der er tilgængelige efter bestemte kriterier, hvad enten denne samling er placeret centralt, decentralt eller er fordelt på et funktionsbestemt eller geografisk grundlag

d) "den registeransvarlige": den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger

e) "registerfører": den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der behandler personoplysninger på den registeransvarliges vegne

f) "tredjemand": enhver anden fysisk eller juridisk person, offentlig myndighed, institution eller ethvert andet organ end den registrerede, den registeransvarlige, registerføreren og de personer under den registeransvarliges eller registerførerens direkte myndighed, der er beføjet til at behandle oplysningerne

g) "modtager": den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, hvortil oplysningerne meddeles, uanset om der er tale om en tredjemand; myndigheder, som vil kunne få meddelt oplysninger som led i en isoleret forespørgsel, betragtes ikke som modtagere

h) "den registreredes samtykke": enhver frivillig, specifik og informeret viljetilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling.

Artikel 2

Registrets navn og formål, anvendelse af oplysninger

1. Registret kaldes Europol personnel administration system (Europols personaleforvaltningssystem).

2. Formålet med registret er at varetage personaleforvaltningen af ansat eller udstationeret personale i Europol, i det omfang det er nødvendigt for udøvelsen af personalets funktion i organisationen. Registret ajourføres dels i edb-baseret form, dels i papirform.

3. Oplysningerne i registret kan kun anvendes, hvis anvendelsen falder ind under registrets formål, kræves på grundlag af en lovregel, eller hvis den pågældende person har givet sin tilladelse hertil.

Artikel 3

Ansvarsfordeling

1. Europols direktør er registeransvarlig. Han er ansvarlig for, at alle under hans myndighed betjener registret og behandler de data, det indeholder, i overensstemmelse med disse bestemmelser.

2. Personalechefen, der er registerfører i forhold til registret, har det daglige ansvar. Han udnævner den eller de personer, der får ansvaret for behandlingen af registrets data og sikrer, at de er fuldstændige, nøjagtige og ajourførte.

Artikel 4

Personkategorier

1. Registret kan indeholde oplysninger om følgende personkategorier:

a) Europols personale, herunder lokalt ansatte

b) forbindelsesofficerer

c) eksperter eller andre konsulenter, der er udstationeret i Europol på medlemsstaternes ansvar

d) personale ansat gennem eksterne organer til midlertidigt arbejde

e) ansøgere i forbindelse med ledige stillinger

f) ansøgere, der ansøger uopfordret

g) praktikanter.

2. Det kan også indeholde oplysninger om:

a) ægtefæller eller tidligere ægtefæller til de i stk. 1, litra a), omtalte personer

b) børn af personer omtalt i stk. 1, litra a), over for hvem der består forsørgerpligt, jf. artikel 2, stk. 2, i personalevedtægtens bilag 5

c) andre slægtninge til personer omtalt i stk. 1, litra a), for så vidt de betragtes som børn, over for hvem der består forsørgerpligt i henhold til artikel 2, stk. 4, i bilag 5 til personalevedtægten

d) andre personer, der har fået forældremyndighed over omhandlede personers barn eller børn, som er født inden for eller uden for ægteskab eller er adopteret af personer omtalt i stk. 1, litra a)

i det omfang disse data er relevante for udregningen af eller retten til tillæg, eller som kontaktperson i nødstilfælde.

3. Registret kan ligeledes indeholde oplysninger om personer, der kan kontaktes i nødstilfælde, i forbindelse med alle andre i stk. 1 omhandlede personkategorier.

Artikel 5

Kategorier af oplysninger

1. Med undtagelse af forbindelsesofficererne kan der for de personkategorier, der er nævnt i artikel 4, stk. 1, opbevares følgende oplysninger:

a) oplysninger om personens identitet, herunder navn, pigenavn, fødselsdag og -sted, hjemland og hjemsted, nationalitet, civilstand, adresse, privat telefonnummer, "Sofinummer" (socialnummer i Nederlandene), bank- eller girokontonummer, navn, adresse og telefonnummer på en kontaktperson i nødstilfælde

b) de i artikel 4 nævnte personers curriculum vitæ med oplysning om uddannelse, eksaminer, tidligere beskæftigelse, ekspertviden, faglig og arbejdsrelateret uddannelse, den kompetente myndighed i hjemlandet samt ansættelsesdato i Europol/EDU

c) beskrivelse af karriereforløb og ansættelsesprocedure, skriftlige prøver og resultatet heraf, resultatet af undersøgelsesproceduren, kontrakter, forfremmelser, uddannelse, bedømmelse, disciplinære og lignende procedurer, efterprøvning af jobbeskrivelse og anbefalinger

d) oplysninger om fravær fra arbejdspladsen, ferie-, sygdoms- og orlovsperioder

e) lægelige oplysninger af relevans for stillingen, som den pågældende person selv fremkommer med

f) oplysninger om lægeundersøgelsen inden kontraktudstedelsen eller de oplysninger, der er nødvendige for forberedelsen af en ansats tilbagevenden i sin funktion, udarbejdet af Arbo Management Group eller ethvert andet selskab eller person ansat af Europol med relation til de i artikel 4, stk. 1, litra a), nævnte personers helbredstilstand

g) oplysninger om den ansattes registreringsdato i Nederlandene og faste bopæl i de sidste fem et halvt år inden ansættelse i Europol/EDU, hvis disse oplysninger er nødvendige for at beregne udlandstillægget

h) oplysninger om huslejeniveau og personer, der deler den ansattes bolig, hvis disse oplysninger er nødvendige for at beregne huslejetillægget

i) oplysninger om forældremyndighed over børn af personer omtalt i artikel 4, stk. 1, litra a), over for hvem der består forsørgerpligt, jf. artikel 2, stk. 2, i personalevedtægtens bilag 5, herunder oplysninger om ydelser til disse børn, der modtages fra anden side, i det omfang disse oplysninger er relevante for beregningen af husstandstillægget eller børnetilskuddet

j) oplysninger vedrørende vederlag og tillæg, hvis forvaltningen af disse personers vederlag foretages af Europol.

2. For forbindelsesofficerernes vedkommende opbevares kun oplysninger, der tjener til at fastslå personens identitet, som nævnt under litra a). De under litra b) og d) nævnte oplysninger kan opbevares, hvis de forelægges af den pågældende person eller den udsendende medlemsstat.

3. Hvad angår de personer, der er nævnt i artikel 4, stk. 2, kan kun de oplysninger, der nævnes under litra a) opbevares, herunder oplysninger om vederlag samt supplerende oplysninger, som er relevante for beregningen af tillæg.

Artikel 6

Datakilder

De oplysninger, der er omtalt i artikel 5, indsamles fra følgende kilder:

a) de personer, der er nævnt i artikel 4

b) tidligere arbejdsgivere, hvis den pågældende har givet tilladelse hertil

c) selve organisationen

d) de myndigheder, der foretager sikkerhedsundersøgelsen, for så vidt angår resultatet af undersøgelsesproceduren

e) Arbo Management Group eller ethvert andet selskab eller person, der ansættes af Europol i forbindelse med de i artikel 4, stk. 1, litra a), nævnte personers helbredstilstand.

Artikel 7

Gennemgang og frister for opbevarelse af data

1. Oplysningerne i registret gennemgås hvert år for at sikre, at de stadig er nødvendige i forhold til registrets formål, og at de er nøjagtige og ajourførte.

2. Data, der ikke længere er nødvendige, slettes. Hvis det fastslås, at data er ukorrekte eller ikke er ajourført, skal de om fornødent ændres.

3. Den samlede opbevaringstid for data må ikke overstige seks måneder, når det drejer sig om uopfordrede ansøgninger og et år for ansøgere, der ikke er blevet taget i betragtning. Med hensyn til de øvrige kategorier er fristen fem år, efter at den ansatte sidst har modtaget vederlag, tillæg eller pension fra Europol.

Artikel 8

Datamodtagere

1. Oplysninger fra registret kan forelægges:

a) medlemmer af Europols direktion i deres egenskab af foresatte for den pågældende person

b) medlemsstaternes udsendende myndigheder, hvis oplysningerne er nødvendige for planlægningen af den pågældende persons karriere

c) Europols finansafdeling, hvis oplysningerne er nødvendige for forvaltningen af vederlag, tillæg eller pensioner

d) selskaber, der har indgået en kontrakt med Europol med det formål at forvalte de sociale sikringsydelser, som foreskrevet i vedtægten for Europols personale (syge- og ulykkesforsikring, invalide- og livsforsikring, alderspension), hvis disse oplysninger er nødvendige for forvaltningen af disse ydelser.

2. Registeroplysninger kan videregives til tredjemand, hvis dette falder ind under registrets formål, kræves på grundlag af en lovregel, eller hvis den pågældende person har givet sin tilladelse dertil. Der udarbejdes en fortegnelse over alle sådanne videregivelser.

Artikel 9

Direkte adgang

1. De personer, der er nævnt i artikel 3, stk. 2, har direkte adgang til registret.

2. Det registreres, hver gang de personer, der er omtalt i stk. 1, kobler sig til den edb-baserede del af registret. Disse data vil kun blive brugt til kontrolformål og slettes efter et år.

Artikel 10

Direkte dataoverførsel

1. Registret muliggør direkte dataoverførsel til og fra Europols finanssystem til brug ved den finansielle forvaltning. Direkte dataoverførsel kan kun finde sted, hvor det er nødvendigt i forbindelse med forvaltningen af vederlag, tillæg og pensioner.

2. Registret muliggør ikke direkte dataoverførsel til andre registre.

Artikel 11

Datasikkerhed

Registerføreren er ansvarlig for at træffe de fornødne sikkerhedsforanstaltninger til beskyttelse af de personoplysninger, der findes i Europol personnel administration system mod uautoriseret eller hændelig ødelæggelse af data, hændelige tab samt uautoriseret adgang, ændring eller spredning af data.

Artikel 12

Oplysninger om indsamling af data

De i artikel 4 nævnte personer informeres om de datakategorier, der behandles, formålet med behandlingen, modtagerne af dataene samt den registreredes særlige rettigheder i henhold til artikel 13 til 15.

Artikel 13

Ret til indsigt

1. Enhver person, der ønsker at benytte sin ret til at få indsigt i de data, der vedrører den pågældende, eller til at kontrollere disse data, kan udforme en skriftlig anmodning herom til registerføreren. Der skal foreligge et skriftligt svar på anmodningen senest fire uger efter, at anmodningen er modtaget.

2. Der kan kun nægtes indsigt i disse data, hvis dette er strengt nødvendigt for at sikre Europols interesser eller tredjemands rettigheder.

3. Er svaret negativt, eller foreligger der ikke noget svar ved udløbet af den i stk. 1 angivne tidsfrist, kan den person, der anmoder om indsigt, forelægge sagen for den registeransvarlige. Den registeransvarlige skal tage endelig bestemmelse i sagen senest fire uger efter, at den er blevet ham forelagt, og skal give skriftlig meddelelse om den beslutning, der er truffet.

Artikel 14

Rettelse og sletning

1. En person, som i henhold til artikel 13 får indsigt i data, der vedrører den pågældende, kan skriftligt anmode registerføreren om at rette, tilføje eller slette data, hvis de faktuelt er ukorrekte, ufuldstændige eller irrelevante i forhold til registrets formål eller er blevet tilføjet i modstrid med nærværende bestemmelser.

2. Senest fire uger efter modtagelsen af anmodningen skal registerføreren skriftligt meddele den person, som ønsker data rettet eller slettet, om, og i givet fald i hvilket omfang, anmodningen er blevet efterkommet.

3. Nægtes en sådan ændring, tilføjelse eller sletning, eller er der ikke modtaget noget svar ved udløbet af den i stk. 1 angivne frist, kan den person, der anmoder om rettelse eller sletning af data, forelægge sagen for den registeransvarlige. Den registeransvarlige skal tage endelig bestemmelse i sagen senest fire uger efter, at den er blevet ham forelagt, og skal give skriftlig meddelelse om den beslutning, der er truffet.

Artikel 15

Ret til oplysning om data, der er videregivet til tredjemand

1. Den pågældende person skal af registerføreren underrettes om alle personoplysninger, der videregives til tredjemand i henhold til artikel 8, stk. 2. Alle har endvidere ret til skriftligt at anmode registerføreren om at meddele, hvilke oplysninger vedrørende den pågældende der er blevet videregivet til tredjemand i henhold til artikel 8, stk. 2. Der skal foreligge et skriftligt svar senest fire uger efter modtagelsen af anmodningen.

2. Oplysninger om videregivelser til tredjemand kan kun nægtes, hvis det er strengt nødvendigt for at sikre Europols interesser eller tredjemands rettigheder.

3. Nægtes der adgang til de oplysninger, der anmodes om, eller er der ikke modtaget noget svar ved udløbet af den i stk. 1 fastsatte tidsfrist, kan den person, der anmoder om ret til oplysning om data, der er videregivet til tredjemand, forelægge sagen for den registeransvarlige. Den registeransvarlige skal tage endelig bestemmelse i sagen senest fire uger efter, at den er blevet ham forelagt, og skal give skriftlig meddelelse om den beslutning, der er truffet.

Artikel 16

Klageadgang

Beslutninger taget i henhold til disse bestemmelser kan danne grundlag for indgivelse af en klage til direktøren, jf. artikel 92 i personalevedtægten, og en klage til De Europæiske Fællesskabers Domstol i henhold til bestemmelserne i artikel 93 i personalevedtægten.

Artikel 17

Gældende ret

I henhold til artikel 4 i hjemstedsaftalen mellem Kongeriget Nederlandene og Den Europæiske Politienhed (Europol) er databeskyttelseslovgivningen i værtslandet ikke gældende for de personoplysninger, der findes i Europol i administrativt øjemed.

Artikel 18

Offentliggørelse og ikrafttræden

1. Disse bestemmelser offentliggøres elektronisk for alle de i artikel 4 nævnte personer via Europols netværk. En papirkopi kan fås ved henvendelse til afdelingen for menneskelige ressourcer.

2. Disse bestemmelser træder i kraft dagen efter vedtagelsen.

Udfærdiget i Haag, den 27. september 1999.

For Styrelsesrådet

K. Rantama

Formand

(1) EFT C 26 af 30.1.1999, s. 23.

(2) EFT L 281 af 23.11.1995, s. 31.