AFGØRELSE TRUFFET AF STYRELSESKOMITÉEN FOR DET EUROPÆISKE FORVALTNINGSORGAN FOR FORSKNING(REA)

om interne regler for begrænsninger af visse registreredes rettigheder i forbindelse med behandlingen af personoplysninger inden for rammerne af de aktiviteter, der udføres af agenturet

STYRELSESKOMITÉEN HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 249, stk. 1,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1) (»forordningen«), særlig artikel 25,

under henvisning til Rådets forordning (EF) nr. 58/2003 af 19. december 2002 om vedtægterne for de forvaltningsorganer, der skal administrere opgaver i forbindelse med EF-programmer (2),

under henvisning til Kommissionens gennemførelsesafgørelse 2013/778/EU af 13. december 2013 om oprettelse af Forvaltningsorganet for Forskning og om ophævelse af afgørelse 2008/46/EF (3),

under henvisning til Kommissionens afgørelse af 20. december 2013 om delegation af beføjelser til Forvaltningsorganet for Forskning med henblik på udførelse af opgaver i forbindelse med gennemførelsen af EU-programmer vedrørende forskning og innovation, herunder navnlig anvendelsen af bevillinger, der er opført på Unionens almindelige budget, som ændret ved Kommissionens afgørelse af 30. april 2019 (4),

efter at have hørt Den Europæiske Tilsynsførende for Databeskyttelse, og

ud fra følgende betragtninger:

(1) Det Europæiske Forvaltningsorgan for Forskning (»agenturet«) blev oprettet ved Kommissionens gennemførelsesafgørelse 2013/778/EU af 13. december 2013 med henblik på udførelse af opgaver i forbindelse med gennemførelsen af EU-programmer på områderne forskning og innovation.

(2) Agenturet kan inden for rammerne af dets administrative og driftsmæssige funktion foretage administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer i overensstemmelse med vedtægten for tjenestemænd i Den Europæiske Union og ansættelsesvilkårene for de øvrige ansatte i Den Europæiske Union, som er fastlagt i Rådets forordning (EØS, Euratom, EKSF) nr. 259/68 (»personalevedtægten«) (5), og med gennemførelsesbestemmelser vedrørende administrative undersøgelser og disciplinær forfølgning. Agenturet kan om nødvendigt udføre indledende aktiviteter i forbindelse med tilfælde af potentielt svig og uregelmæssigheder og kan indberette sager til OLAF.

(3) Agenturets ansatte er forpligtet til at indberette eventuelle ulovlige aktiviteter, herunder svig og korruption, som er til skade for Unionens interesser. De ansatte er også forpligtet til at indberette adfærd under udførelse af arbejdsopgaver, som kan være en alvorlig tilsidesættelse af de forpligtelser, der påhviler Unionens ansatte. Dette reguleres af de interne regler eller politikker vedrørende whistleblowing.

(4) Agenturet har indført en politik, der skal forebygge og effektivt håndtere konkrete eller potentielle tilfælde af psykisk eller seksuel chikane på arbejdspladsen som fastsat i gennemførelsesforanstaltninger i henhold til personalevedtægten, og hvorved der indføres en uformel procedure, hvorved det formodede offer for chikane kan kontakte agenturets »fortrolige« rådgivere.

(5) Agenturet kan også foretage interne (IT-) sikkerhedsundersøgelser og undersøgelser af potentielle brud på sikkerhedsreglerne for EU's klassificerede informationer (»EUCI«).

(6) Agenturet er omfattet af både intern og ekstern revision af sine aktiviteter, herunder foretaget af Europa-Kommissionens Interne Revisionstjeneste og Den Europæiske Revisionsret.

(7) Agenturet kan behandle anmodninger fra Den Europæiske Anklagemyndighed (EPPO), anmodninger om adgang til agenturets medarbejderes lægejournaler og foretage undersøgelser foretaget af den databeskyttelsesansvarlige i overensstemmelse med forordningens artikel 45, stk. 2.

(8) I forbindelse med sådanne administrative undersøgelser, revisioner, efterforskninger eller anmodninger samarbejder agenturet med andre EU-institutioner, -organer, -kontorer og -agenturer.

(9) Agenturet kan samarbejde med tredjelandes nationale myndigheder og internationale organisationer, enten efter anmodning eller på eget initiativ.

(10) Agenturet kan også samarbejde med EU-medlemsstaternes offentlige myndigheder, enten efter anmodning eller på eget initiativ.

(11) Agenturet kan blive genstand for klager, procedurer eller efterforskninger via whistleblowere eller Den Europæiske Ombudsmand.

(12) Agenturet kan blive inddraget i sager ved Den Europæiske Unions Domstol, enten ved at indbringe sager for Domstolen eller forsvare en afgørelse, som det har truffet, og som er blevet anfægtet ved Domstolen, eller ved at indtræde i retstvister, der er relevante for dets egne opgaver. I denne forbindelse kan det være nødvendigt for agenturet at sikre, at de personoplysninger, der indgår i dokumenter, som er indhentet af parterne eller intervenienterne, behandles fortroligt.

(13) Agenturet behandler i forbindelse med sine aktiviteter flere kategorier af personoplysninger, herunder identifikationsoplysninger om fysiske personer, kontaktoplysninger, professionelle roller og opgaver, oplysninger om privat og faglig hæderlighed og resultater, og finansielle data samt i visse specifikke tilfælde følsomme oplysninger (f.eks. helbredsoplysninger). Personoplysninger omfatter faktuelle »hårde« data og »bløde« vurderingsdata. »Hårde data« er objektive faktuelle data, såsom identifikationsdata, kontaktoplysninger, faglige data, administrative oplysninger, metadata vedrørende elektronisk kommunikation og trafikdata. »Bløde data« er subjektive data og omfatter navnlig beskrivelse og vurdering af situationer og omstændigheder, udtalelser, observationer vedrørende registrerede, evaluering af registreredes adfærd og resultater og begrundelser, der ligger til grund for individuelle afgørelser vedrørende eller fremsat i forbindelse med genstanden for den procedure eller aktivitet, som agenturet har gennemført i overensstemmelse med de gældende retlige rammer. Vurderinger, observationer og udtalelser betragtes som personoplysninger, som omhandlet i forordningens artikel 3, stk. 1.

(14) I henhold til forordningen er agenturet derfor forpligtet til at give de registrerede oplysninger om disse behandlingsaktiviteter og respektere deres rettigheder som registrerede.

(15) Agenturet er forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder, navnlig retten til information, indsigt og berigtigelse, retten til sletning, begrænsning af behandling, retten til underretning af den registrerede om et brud på persondatasikkerheden eller fortroligheden af kommunikation, som forankret i forordningen. Agenturet kan dog også pålægges at begrænse den registreredes rettigheder og forpligtelser med henblik på at beskytte dets aktiviteter og andres grundlæggende rettigheder og frihedsrettigheder.

(16) Forordningens artikel 25, stk. 1 og stk. 5, giver derfor agenturet mulighed for på visse betingelser at begrænse anvendelsen af forordningens artikel 14-22, 35 og 36, samt artikel 4, for så vidt bestemmelserne heri svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-20, baseres på interne regler, der vedtages af agenturet på højeste ledelsesniveau og med forbehold af offentliggørelse i Den Europæiske Unions Officielle Tidende, når disse ikke er baseret på retsakter, der er vedtaget på grundlag af traktaterne.

(17) Der kan gælde begrænsninger for registreredes forskellige rettigheder, herunder meddelelse af oplysninger til registrerede, ret til indsigt, berigtigelse, sletning, begrænsning af behandling, underretning af den registrerede om et brud på persondatasikkerheden eller fortrolighed i forbindelse med kommunikation som fastsat i forordningen.

(18) Det kan være nødvendigt for agenturet at forene disse rettigheder med formålene med administrative undersøgelser, revisioner, efterforskninger og retssager. Det kan også være nødvendigt at afveje en registrerets rettigheder over for andre registreredes grundlæggende rettigheder og frihedsrettigheder.

(19) Agenturet kan eksempelvis blive nødt til at begrænse de oplysninger, som det giver en registreret om behandlingen af vedkommendes personoplysninger i den indledende vurderingsfase af en administrativ undersøgelse eller i løbet af selve undersøgelsen, forud for en eventuel henlæggelse af sagen eller under den disciplinære fase. Under visse omstændigheder kan det i alvorlig grad berøre agenturets evne til at gennemføre undersøgelsen på en effektiv måde, hvis der f.eks. er risiko for, at den pågældende person kunne tilintetgøre bevismateriale eller påvirke potentielle vidner, inden de afhøres. Agenturet kan også blive nødt til at beskytte vidners samt andre involverede personers rettigheder og frihedsrettigheder.

(20) Agenturet kan være nødt til at beskytte anonymiteten af et vidne eller en whistleblower, der har anmodet om ikke at blive identificeret. I så fald kan agenturet beslutte at begrænse adgangen til sådanne personers eller den mistænktes identitet, erklæringer og andre personoplysninger for at beskytte deres rettigheder og frihedsrettigheder.

(21) Agenturet kan være nødt til at beskytte fortrolige oplysninger vedrørende en ansat, der har kontaktet agenturets fortrolige rådgivere i forbindelse med en procedure vedrørende chikane. I sådanne tilfælde kan agenturet blive nødt til at begrænse adgangen til det formodede offers, den formodede chikanørs og andre involverede personers identitet, erklæringer og andre personoplysninger for at beskytte alle berørtes rettigheder og frihedsrettigheder.

(22) I forbindelse med udvælgelses- og ansættelsesprocedurer, personaleevaluering og offentlige udbudsprocedurer kan retten til indsigt, berigtigelse, sletning og begrænsning kun udøves på visse tidspunkter og på de betingelser, der er fastsat i de relevante procedurer, for at beskytte andre registreredes rettigheder og for at overholde principperne om ligebehandling og tavshedspligt i forbindelse med rådslagninger.

(23) Agenturet kan også begrænse fysiske personers adgang til deres medicinske data, f.eks. af psykologisk eller psykiatrisk art, på grund af disse datas potentielle følsomhed, og Kommissionens lægetjeneste ønsker måske kun at give de registrerede indirekte adgang gennem deres egen praktiserende læge. Den registrerede kan udøve retten til berigtigelse af vurderinger eller udtalelser fra Kommissionens lægetjeneste ved at fremsætte bemærkninger eller fremlægge en erklæring fra en læge efter eget valg.

(24) Agenturet, som repræsenteres af dets direktør, fungerer som dataansvarlig uanset yderligere delegering af rollen som dataansvarlig internt i agenturet for at afspejle det operationelle ansvar for specifikke aktiviteter i forbindelse med behandling af personoplysninger til kompetente »delegerede dataansvarlige«.

(25) Personoplysningerne opbevares sikkert i et elektronisk miljø, der er i overensstemmelse med Kommissionens afgørelse (EU, Euratom) 2017/46 (6) om kommunikations- og informationssystemernes sikkerhed i Europa-Kommissionen, eller på papir for at forhindre ulovlig adgang til eller overførsel af oplysninger til personer, der ikke har behov for at vide. De personoplysninger, der behandles, opbevares ikke i længere tid, end det er nødvendigt og passende for de formål, hvortil oplysningerne behandles, i den periode, som er angivet i agenturets bekendtgørelser om databeskyttelse eller registreringer.

(26) Agenturet anvender kun begrænsninger, når de respekterer det væsentligste indhold af grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund. Agenturet begrunder retfærdiggørelsen af disse begrænsninger og underretter i overensstemmelse hermed de registrerede herom og om deres ret til at indgive en klage til EDPS, jf. artikel 25, stk. 6, i forordningen.

(27) På grundlag af princippet om ansvarlighed fører agenturet en fortegnelse over sin anvendelse af begrænsninger.

(28) Når agenturet under udførelsen af sit hverv behandler personoplysninger, der udveksles med andre organisationer, hører agenturet og disse organisationer hinanden om de potentielle begrundelser for at indføre begrænsninger og om nødvendigheden og forholdsmæssigheden af disse begrænsninger, medmindre dette vil bringe Eurojusts aktiviteter i fare.

(29) Disse interne regler finder således anvendelse på alle behandlingsaktiviteter, der udføres af agenturet, og som involverer personoplysninger i forbindelse med administrative undersøgelser, disciplinærsager, indledende aktiviteter i forbindelse med tilfælde af potentielle uregelmæssigheder, der indberettes til OLAF, efterforskninger foretaget af Den Europæiske Anklagemyndighed (EPPO), whistleblowingprocedurer, (formelle og uformelle) procedurer i sager om chikane, behandling af interne og eksterne klager, anmodninger om indsigt i eller berigtigelse af egne lægejournaler, efterforskninger foretaget af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordningen, IT-sikkerhedsefterforskninger, der behandles internt eller med ekstern inddragelse (f.eks. CERT-EU), revisioner, sager ved Den Europæiske Unions Domstol eller nationale offentlige myndigheder, udvælgelses- og rekrutteringsprocedurer, personaleevaluering og offentlige indkøb, som anført ovenfor.

(30) Disse interne regler gælder for behandlingsaktiviteter, der gennemføres forud for indledningen af ovennævnte procedurer, i løbet af disse procedurer og under overvågning af opfølgningen på resultatet af disse procedurer. De bør også omfatte bistand og samarbejde, som ydes af agenturet til andre EU-institutioner, nationale myndigheder og internationale organisationer uden for myndighedens administrative undersøgelser.

(31) I henhold til artikel 25, stk. 8, i forordningen har agenturet ret til at udsætte, udelade eller afvise at underrette den registrerede om årsagerne til anvendelsen af en begrænsning, hvis dette på nogen måde ville ophæve virkningen af begrænsningen. Agenturet vurderer i hvert enkelt tilfælde, om underretningen om begrænsningen ville ophæve dens virkning.

(32) Agenturet ophæver begrænsningen, så snart de omstændigheder, der ligger til grund for begrænsningen, ikke længere er til stede, og vurderer disse omstændigheder regelmæssigt.

(33) For at sikre den størst mulige beskyttelse af de registreredes rettigheder og frihedsrettigheder og i overensstemmelse med artikel 44, stk. 1, i forordningen høres den databeskyttelsesansvarlige i god tid om eventuelle begrænsninger, der måtte blive anvendt eller revideret, og kontrollere overensstemmelsen heraf med denne afgørelse.

(34) I artikel 16, stk. 5, og artikel 17, stk. 4, i forordningen fastsættes undtagelser for registreredes ret til oplysninger og indsigtsret. Hvis disse undtagelser finder anvendelse, behøver agenturet ikke at anvende en begrænsning i henhold til denne afgørelse —

VEDTAGET DENNE AFGØRELSE:

Artikel 1 Genstand og anvendelsesområde 1. Denne afgørelse fastsætter regler for, på hvilke betingelser Det Europæiske Forvaltningsorgan for Forskning kan begrænse anvendelsen artikel 4, 14-22, 35 og 36, jf. artikel 25 i forordningen. 2. Agenturet er som dataansvarlig repræsenteret ved agenturets direktør, som kan uddelegere den dataansvarliges opgaver yderligere.

Artikel 2 Gældende begrænsninger 1. Agenturet kan begrænse anvendelsen af artikel 14-22, 35 og 36 samt artikel 4, i forordningen, for så vidt dens bestemmelser svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-20. 2. Denne afgørelse finder anvendelse på agenturets behandling af personoplysninger inden for rammerne af dets administrative og operationelle drift: a) i henhold til artikel 25, stk. 1, litra b), c), f), g) og h), i forordningen ved gennemførelse af interne undersøgelser, herunder på grundlag af eksterne klager, administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinærsager eller suspensionsprocedurer i henhold til artikel 86 og bilag IX til personalevedtægten og gennemførelsesbestemmelserne hertil, sikkerhedsefterforskninger eller OLAF-efterforskninger b) i henhold til artikel 25, stk. 1, litra h), i forordningen ved sikring af, at agenturets ansatte på fortrolig vis kan indberette faktiske forhold, når de mener, at der foreligger alvorlige uregelmæssigheder som fastlagt i de interne regler eller procedurer for whistleblowing c) i henhold til artikel 25, stk. 1, litra h), i forordningen ved sikring af, at agenturets ansatte er i stand til at rapportere til fortrolige rådgivere i forbindelse med en procedure for chikane som defineret i interne regler d) i henhold til artikel 25, stk. 1, litra c), g) og h), i forordningen ved gennemførelsen af interne revisioner i forbindelse med agenturets aktiviteter eller funktion e) i henhold til artikel 25, stk. 1, litra d) og h), i forordning ved sikring af sikkerhedsanalyser, herunder cybersikkerheds- og IT-systemmisbrug, der håndteres internt eller med ekstern deltagelse (f.eks. CERT-EU), ved sikring af den indre sikkerhed gennem videoovervågning, adgangskontrol og efterforskningsformål, ved sikring af kommunikations- og informationssystemer og gennemførelse af tekniske sikkerhedsforanstaltninger f) i henhold til artikel 25, stk. 1, litra g) og h), i forordningen, når agenturets databeskyttelsesansvarlige undersøger spørgsmål, der har direkte tilknytning til vedkommendes opgaver g) i henhold til forordningens artikel 25, stk. 1, litra b), g) og h), i forbindelse med efterforskninger fra Den Europæiske Anklagemyndighed (EPPO) h) i henhold til forordningens artikel 25, stk. 1, litra h), når fysiske personer anmoder om adgang til eller berigtigelse af deres helbredsoplysninger, herunder hvis de er i Kommissionens lægetjenestes besiddelse. i) i henhold til artikel 25, stk. 1, litra c), d), g) og h), i forordningen ved ydelse af bistand til eller modtagelse af bistand fra andre EU-institutioner, -organer, -kontorer og -agenturer eller ved samarbejde med dem i forbindelse med aktiviteter under litra a)-d) i dette stykke og i henhold til relevante serviceaftaler, aftalememoranda og samarbejdsaftaler j) i henhold til artikel 25, stk. 1, litra c), g) og h), i forordningen ved ydelse af bistand til eller modtagelse af bistand fra tredjelandes nationale myndigheder og internationale organisationer eller ved samarbejde med sådanne myndigheder og organisationer, enten efter anmodning eller på eget initiativ k) i henhold til artikel 25, stk. 1, litra c), g) og h), i forordningen ved ydelse af bistand til eller modtagelse af bistand fra og samarbejde med EU-medlemsstaternes offentlige myndigheder, enten efter anmodning eller på eget initiativ l) i henhold til artikel 25, stk. 1, litra e), i forordningen ved behandling af personoplysninger i dokumenter, som er indhentet af parterne eller intervenienterne i forbindelse med sager ved Den Europæiske Unions Domstol I forbindelse med denne afgørelse omfatter ovennævnte aktiviteter forberedende og opfølgende foranstaltninger med direkte tilknytning til samme aktivitet. 3. Agenturet kan også fra sag til sag begrænse registreredes rettigheder som omhandlet i denne afgørelse i følgende tilfælde: a) Hvis Kommissionens tjenestegrene eller andre EU-institutioner, -organer, -agenturer og -kontorer har ret til at begrænse udøvelsen af de anførte rettigheder, og formålet med en sådan begrænsning vil blive bragt i fare af den pågældende tjenestegren, EU-institution, EU-organ eller -agentur, hvis agenturet ikke anvender en tilsvarende begrænsning med hensyn til de samme personoplysninger. b) Hvis medlemsstaternes kompetente myndigheder har ret til at begrænse denne medlemsstats udøvelse af de anførte rettigheder, og hvis formålet med en sådan begrænsning af Kommissionens tjenestegren, EU-institutionen, -kontoret eller -agenturet ville blive bragt i fare, dersom agenturet ikke skulle pålægge en tilsvarende begrænsning med hensyn til de samme personoplysninger. c) Hvis udøvelsen af disse rettigheder og forpligtelser ville bringe agenturets samarbejde med tredjelande eller internationale organisationer i forbindelse med udførelsen af dets opgaver i fare, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder går forud herfor. d) Inden agenturet pålægger begrænsninger i henhold til dette stykke, hører det om nødvendigt Kommissionens relevante tjenestegrene, andre EU-institutioner, -organer, -agenturer, -kontorer, internationale organisationer eller medlemsstaternes kompetente myndigheder, medmindre det er klart, at begrænsningen er fastlagt i en af ovennævnte retsakter, eller en sådan høring vil bringe agenturets aktiviteter i fare. 4. De kategorier af personoplysninger, der behandles i forbindelse med ovennævnte aktiviteter, kan indeholde faktuelle »hårde« data og »bløde« vurderingsdata. 5. Enhver begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund.

Artikel 3 Dokumentation og registrering af begrænsninger 1. Den dataansvarlige udarbejder en fortegnelse over begrænsningen med en beskrivelse af: a) årsagerne til enhver begrænsning, der anvendes i henhold til denne afgørelse b) hvilke af i artikel 2 anførte grunde der finder anvendelse c) hvordan udøvelsen af retten vil udgøre en risiko for den registrerede eller bringe formålet med agenturets opgaver i fare, eller vil påvirke andre registreredes rettigheder og frihedsrettigheder negativt. d) resultatet af vurderingen af begrænsningens nødvendighed og proportionalitet under hensyntagen til de relevante elementer i artikel 25, stk. 2, i forordningen. 2. I hvert enkelt tilfælde gennemføres der nødvendigheds- og proportionalitetstest af en begrænsning, inden der anvendes begrænsninger. Den dataansvarlige tager hensyn til de potentielle risici for den registreredes rettigheder og frihedsrettigheder. Begrænsningerne anvendes kun, når det er strengt nødvendigt for at nå deres fastsatte mål. 3. Fortegnelsen over begrænsningen og i givet fald de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres. De stilles til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse på dennes anmodning.

Artikel 4 Risiciene for de registreredes rettigheder og frihedsrettigheder 1. Vurderinger af risiciene for de registreredes rettigheder og frihedsrettigheder ved at indføre begrænsninger og oplysninger om den periode, hvor disse begrænsninger finder anvendelse, registreres i den fortegnelse over behandlingsaktiviteter, der føres af den dataansvarlige i henhold til artikel 31 i forordningen. De registreres ligeledes i konsekvensanalyser vedrørende databeskyttelse i forbindelse med disse begrænsninger, der i givet fald foretages i henhold til artikel 39 i forordningen. 2. Hvis den dataansvarlige påtænker at anvende en begrænsning, afvejes risikoen for den registreredes rettigheder og frihedsrettigheder i særdeleshed mod risikoen for andre registreredes rettigheder og frihedsrettigheder og risikoen for at påvirke undersøgelser eller procedurer negativt, f.eks. ved at ødelægge beviser. Risiciene for den registreredes rettigheder og frihedsrettigheder vedrører fortrinsvist, men er ikke begrænset til, omdømmemæssige risici og risici for retten til forsvar og retten til at blive hørt.

Artikel 5 Garantier og opbevaringsperioder 1. Agenturet indfører specifikke sikkerhedsforanstaltninger for at undgå misbrug af eller ulovlig adgang til eller overførsel af personoplysninger, der kan være eller kunne blive omfattet af begrænsninger. Sådanne sikkerhedsforanstaltninger omfatter tekniske og organisatoriske tiltag og præciseres, når det er nødvendigt, i agenturets interne afgørelser, procedurer og gennemførelsesbestemmelser. Disse sikkerhedsforanstaltninger omfatter: a) en klar definition af roller, ansvarsområder og proceduremæssige skridt b) hvis det er relevant, et sikkert elektronisk miljø, der forhindrer ulovlig og utilsigtet adgang til eller overførsel af elektroniske data til uautoriserede personer c) sikker opbevaring og behandling af papirbaserede dokumenter, hvis det er relevant d) sikre overholdelse af fortrolighedsforpligtelserne for alle personer, der har adgang til personoplysningerne. 2. Perioden for opbevaring af personoplysninger, der er omfattet af en begrænsning, defineres i den tilknyttede fortegnelse i henhold til artikel 31 i forordningen under hensyntagen til formålet med behandlingen og omfatter den tidsramme, der er nødvendig for administrativ og retslig prøvelse. Ved udløbet af opbevaringsperioden slettes, anonymiseres eller overføres personoplysningerne til arkiver i overensstemmelse med artikel 13 i forordningen.

Artikel 6 Begrænsningernes varighed 1. Begrænsningerne i artikel 2 finder fortsat anvendelse, så længe bevæggrundene derfor finder anvendelse. 2. Hvis begrundelsen for en begrænsning ikke længere er gældende, ophæver den dataansvarlige begrænsningen, hvis udøvelsen af den begrænsede rettighed ikke længere vil have en negativ indvirkning på den relevante gældende procedure eller have en negativ indvirkning på andre registreredes rettigheder eller frihedsrettigheder. 3. Hvis den registrerede på ny har anmodet om adgang til de pågældende personoplysninger, giver den dataansvarlige den registrerede de vigtigste grunde til begrænsningen. Samtidig underretter agenturet den registrerede om, at denne til enhver tid har mulighed for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller indbringe sagen for Den Europæiske Unions Domstol. 4. Agenturet tager anvendelsen af de begrænsninger, der er omhandlet i artikel 2, op til revision hver sjette måned.

Artikel 7 Inddragelse af databeskyttelsesrådgiveren 1. Agenturets dataansvarlige underretter agenturets databeskyttelsesrådgiver uden unødig forsinkelse og forud for enhver afgørelse om at begrænse registreredes rettigheder i overensstemmelse med denne afgørelse eller om at forlænge anvendelsen af begrænsningen. Den dataansvarlige giver databeskyttelsesrådgiveren adgang til de tilhørende fortegnelser og alle dokumenter vedrørende den faktuelle eller retlige sammenhæng. 2. Databeskyttelsesrådgiveren kan anmode den dataansvarlige om at gennemgå anvendelsen af begrænsningerne. Den dataansvarlige underretter databeskyttelsesrådgiveren skriftligt om resultatet af den ønskede gennemgang. 3. Den dataansvarlige dokumenterer, at databeskyttelsesrådgiveren er involveret i anvendelsen af begrænsningen, herunder hvilke oplysninger der udveksles. Dokumenterne i henhold til denne artikel skal indgå i fortegnelsen vedrørende begrænsningen og stilles efter anmodning til rådighed for EDPS.

Artikel 8 Oplysninger til den registrerede om begrænsninger i dennes rettigheder 1. Den dataansvarlige medtager i de databeskyttelsesmeddelelser og -fortegnelser, der er omhandlet i forordningens artikel 31, og som offentliggøres på sit websted og på intranettet, generelle oplysninger om de potentielle begrænsninger af registreredes rettigheder i henhold til artikel 2, stk. 2, i denne afgørelse. Informationen omfatter, hvilke rettigheder og forpligtelser der kan begrænses, grundlaget for at anvende begrænsninger og den mulige varighed af disse. 2. Den dataansvarlige underretter skriftligt og uden unødig forsinkelse de registrerede individuelt om nuværende eller fremtidige begrænsninger af deres rettigheder. Den dataansvarlige underretter den registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, om vedkommendes ret til at rette henvendelse til den databeskyttelsesansvarlige med henblik på at anfægte begrænsningen og om vedkommendes ret til at indgive en klage til EDPS. 3. Den dataansvarlige kan udsætte, udelade eller afvise at underrette om årsagerne til anvendelsen af en begrænsning og retten til at indgive en klage til EDPS, så længe det ville ophæve virkningen af begrænsningen. Vurderingen af denne begrundelse skal foretages fra sag til sag, og den dataansvarlige giver oplysningerne til den registrerede, så snart dette ikke længere vil ophæve virkningen af begrænsningen.

Artikel 9 Den registreredes ret til aktindsigt 1. I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til indsigt i henhold til artikel 17 i forordningen begrænses af den dataansvarlige, hvis det er nødvendigt og står i rimeligt forhold til aktiviteterne i henhold til denne afgørelse. 2. Hvis registrerede anmoder om adgang til deres personoplysninger, der behandles i forbindelse med en specifik behandlingsaktivitet som omhandlet i artikel 2, stk. 2, i denne afgørelse, begrænser agenturet sit svar til de personoplysninger, der behandles i forbindelse med den pågældende aktivitet. 3. De registreredes ret til direkte adgang til dokumenter af psykologisk eller psykiatrisk karakter kan begrænses. Hverken indirekte adgang eller retten til berigtigelse og meddelelse af et brud på persondatasikkerheden begrænses af disse interne regler. Derfor bør en læge, der optræder som mellemled, efter anmodning fra den pågældende person gives adgang til alle relaterede oplysninger og skønsbeføjelser med hensyn til, hvilken type adgang den registrerede skal gives, og hvordan. 4. Hvis den dataansvarlige helt eller delvist begrænser retten til indsigt i personoplysninger, jf. artikel 17 i forordningen, underretter vedkommende i sit svar på anmodningen om indsigt skriftligt den registrerede om den anvendte begrænsning og om hovedårsagerne hertil og om muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller for at indbringe sagen for Den Europæiske Unions Domstol. 5. Informationen om begrænsningen i indsigt kan udsættes, udelades eller afvises, hvis den ville ophæve virkningen af den pålagte begrænsning i henhold til artikel 25, stk. 8, i forordningen. 6. En begrænsning i henhold til denne artikel anvendes i overensstemmelse med denne afgørelse.

Artikel 10 Ret til berigtigelse, sletning og begrænsning af behandlingen 1. I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til berigtigelse, sletning og begrænsning af behandling i henhold til artikel 18, 19, stk. 1, og artikel 20, stk. 1, i forordningen begrænses af den dataansvarlige, hvis det er nødvendigt og står i rimeligt forhold til aktiviteterne i henhold til artikel 2, stk. 2, i denne afgørelse. 2. Med hensyn til medicinske data kan den registrerede udøve retten til berigtigelse af vurderingen eller udtalelsen fra Kommissionens lægetjeneste ved at fremsætte bemærkninger eller en erklæring fra en læge efter eget valg. 3. En begrænsning i henhold til denne artikel anvendes i overensstemmelse med denne afgørelse.

Artikel 11 Underretning om brud på persondatasikkerheden til den registrerede 1. Hvis den dataansvarlige er forpligtet til at underrette om brud på datasikkerheden i henhold til artikel 35, stk. 1, i forordningen kan den pågældende under særlige omstændigheder begrænse en sådan underretning helt eller delvis. Den pågældende dokumenterer i et notat årsagerne til begrænsningen, retsgrundlaget herfor i henhold til artikel 2 og en vurdering af nødvendigheden og proportionaliteten heraf. Notatet meddeles til EDPS på tidspunktet for anmeldelsen af bruddet på persondatasikkerheden. 2. Hvis årsagerne til begrænsningen ikke længere er til stede, underretter agenturet den pågældende registrerede om bruddet på persondatasikkerheden og om de vigtigste årsager til begrænsningen samt om vedkommendes ret til at indgive en klage til EDPS.

Artikel 12 Fortrolighed af elektronisk kommunikation 1. Under særlige omstændigheder kan agenturet begrænse retten til fortrolighed i forbindelse med elektronisk kommunikation i henhold til artikel 36 i forordningen. Sådanne begrænsninger er i overensstemmelse med Europa-Parlamentets og Rådets direktiv 2002/58/EF (7). 2. Uanset artikel 8, stk. 3, hvis agenturet begrænser retten til fortrolighed i forbindelse med elektronisk kommunikation, underretter det i sit svar på en eventuel anmodning fra den registrerede den pågældende registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om vedkommendes ret til at indgive en klage til EDPS.

Artikel 13 Ikrafttræden Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Udfærdiget i Bruxelles, den 18. december 2020. For REA’s styrelseskomité (underskrevet elektronisk) Jean-Eric PAQUET Formand

(1) EUT L 295 af 21.11. 2018, s. 39.

(2) EFT L 11 af 16.1.2003, s. 1.

(3) Kommissionens gennemførelsesafgørelse 2013/778/EU af 13. december 2013 om oprettelse af Forvaltningsorganet for Forskning og om ophævelse af afgørelse 2008/46/EF (EUT L 346 af 20.12.2013, s. 54) er ophævet med virkning fra den 1. april 2021 ved Kommissionens gennemførelsesafgørelse (EU) 2021/173 af 12. februar 2021 om oprettelse af Det Europæiske Forvaltningsorgan for Klima, Infrastruktur og Miljø, Det Europæiske Forvaltningsorgan for Sundhed og Det Digitale Område, Det Europæiske Forvaltningsorgan for Forskning, Forvaltningsorganet for Det Europæiske Innovationsråd og SMV'er, Forvaltningsorganet for Det Europæiske Forskningsråd og Det Europæiske Forvaltningsorgan for Uddannelse og Kultur og om ophævelse af gennemførelsesafgørelse 2013/801/EU, 2013/771/EU, 2013/778/EU, 2013/779/EU, 2013/776/EU og 2013/770/EU (EUT L 50 af 15.2.2021, s. 9). Fra den 1. april 2021 efterfølges og erstattes Forvaltningsorganet for Forskning således af Det Europæiske Forvaltningsorgan for Forskning.

(4) Kommissionens afgørelse C(2013) 9418 af 20. december 2013 om delegation af beføjelser til Forvaltningsorganet for Forskning med henblik på udførelse af opgaver i forbindelse med gennemførelsen af EU-programmer vedrørende forskning og innovation, herunder navnlig anvendelsen af bevillinger, der er opført på Unionens almindelige budget, som ændret ved Kommissionens afgørelse C(2019)3353 af 30. april 2019 er ophævet med virkning fra den 1. april 2021 ved Kommissionens afgørelse C(2021) 952 af 12. februar 2021 om delegation af beføjelser til Det Europæiske Forvaltningsorgan for Forskning med henblik på udførelse af opgaver i forbindelse med gennemførelsen af EU-programmer inden for forskning og innovation, forskning under Kul- og Stålfonden samt oplysningskampagner og salgsfremmende foranstaltninger vedrørende landbrugsprodukter, herunder navnlig anvendelsen af bevillinger, der er opført på Unionens almindelige budget. Fra den 1. april 2021 efterfølges og erstattes Forvaltningsorganet for Forskning således af Det Europæiske Forvaltningsorgan for Forskning.

(5) Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 af 29. februar 1968 om vedtægten for tjenestemænd i Den Europæiske Union og ansættelsesvilkårene for de øvrige ansatte i Den Europæiske Union samt om særlige midlertidige foranstaltninger for tjenestemænd i Kommissionen (EFT L 56 af 4.3.1968, s. 1).

(6) Kommissionens afgørelse (EU, Euratom) 2017/46 af 10. januar 2017 om kommunikations- og informationssystemernes sikkerhed i Europa-Kommissionen (EUT L 6 af 11.1.2017, s. 40).

(7) Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201 af 31.7.2002, s. 37).