AFGØRELSEnr. 2021-096REV 1 AF BESTYRELSEN FOR DEN EUROPÆISKE UNIONS AGENTUR FOR DEN OPERATIONELLE FORVALTNING AF STORE IT-SYSTEMER INDEN FOR OMRÅDET MED FRIHED, SIKKERHED OG RETFÆRDIGHED

af 16. april 2021

om interne regler vedrørende begrænsninger af visse registreredes rettigheder i forbindelse med behandling af personoplysninger inden for rammerne af funktionsmåden for Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed

BESTYRELSEN FOR DEN EUROPÆISKE UNIONS AGENTUR FOR DEN OPERATIONELLE FORVALTNING AF STORE IT-SYSTEMER INDEN FOR OMRÅDET MED FRIHED, SIKKERHED OG RETFÆRDIGHED (EU-LISA) (herefter benævnt »eu-LISA)« har

under henvisning til traktaten om Den Europæiske Unions funktionsmåde,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1), særlig artikel 25, (herefter benævnt »forordning (EU) 2018/1725«),

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1726 af 14. november 2018 om Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA) og om ændring af forordning (EF) nr. 1987/2006 og Rådets afgørelse 2007/533/RIA og om ophævelse af forordning (EU) nr. 1077/2011 (2), særlig artikel 35 (herefter benævnt »forordning (EU) 2018/1726«),

under henvisning til udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) af 11. marts 2021 og til dennes »Vejledning til artikel 25 i forordning (EU) 2018/1725 og interne regler, der begrænser de registreredes rettigheder« (3),

efter høring af Personaleudvalget, og

ud fra følgende betragtninger:

(1) eu-LISA udfører sine aktiviteter i overensstemmelse med forordning (EU) 2018/1726.

(2) eu-LISA har beføjelse til at foretage administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer i overensstemmelse med vedtægten for tjenestemænd ved Den Europæiske Union og ansættelsesvilkårene for de øvrige ansatte i Den Europæiske Union, som er fastlagt i Rådets forordning (EØS, Euratom, EKSF) nr. 259/68 (»personalevedtægten«) (4), og med eu-LISA's afgørelse nr. 2014-080 af 28. januar 2015 fra eu-LISA's bestyrelse om vedtagelse af gennemførelsesbestemmelser om gennemførelse af administrative undersøgelser og disciplinær forfølgning. Om nødvendigt henvises sager også til OLAF.

(3) Ansatte i eu-LISA er forpligtet til at indberette eventuelle ulovlige aktiviteter, herunder svig og korruption, som er til skade for Unionens interesser. De ansatte er også forpligtet til at indberette adfærd under udførelse af arbejdsopgaver, som kan være en alvorlig tilsidesættelse af de forpligtelser, der påhviler Unionens ansatte. Dette fastlægges i eu-LISA's afgørelse om interne regler for whistleblowing af 26. juni 2018.

(4) eu-LISA har fastlagt en politik, der skal forebygge og effektivt behandle faktiske eller potentielle tilfælde af psykisk eller seksuel chikane på arbejdspladsen, jf. bestyrelsens afgørelse nr. 2018-174 af 6. december 2018 om eu-LISA's politik om beskyttelse af menneskers værdighed og forebyggelse af psykisk og seksuel chikane om vedtagelse af gennemførelsesforanstaltninger i medfør af personalevedtægten. I afgørelsen fastsættes en uformel procedure, som giver det formodede offer for chikane mulighed for at kontakte eu-LISA's »fortrolige« rådgivere.

(5) eu-LISA kan også foretage undersøgelser af potentielle overtrædelser af sikkerhedsregler for EU-klassificerede informationer (»EUCI«), baseret på sin afgørelse nr. 2019-273 af 20. november 2019 om ændring af sine sikkerhedsregler for at beskytte EUCI.

(6) eu-LISA er underlagt både interne og eksterne revisioner vedrørende sine aktiviteter.

(7) I forbindelse med sådanne administrative undersøgelser, revisioner og efterforskninger samarbejder eu-LISA med andre EU-institutioner, -organer, -kontorer og -agenturer.

(8) eu-LISA kan samarbejde med tredjelands nationale myndigheder og internationale organisationer i overensstemmelse med bestemmelserne i artikel 43 i forordning (EU) 2018/1726.

(9) eu-LISA kan også samarbejde med EU-medlemsstaternes offentlige myndigheder, enten efter anmodning eller på eget initiativ.

(10) eu-LISA involveres i sager ved Den Europæiske Unions Domstol, enten ved at indbringe sager for Domstolen eller forsvare en afgørelse, som det har truffet, og som er blevet anfægtet ved Domstolen, eller ved at indtræde i retstvister, der er relevante for dets egne opgaver. I denne forbindelse kan det være nødvendigt for eu-LISA at sikre, at de personoplysninger, der indgår i dokumenter, som er indhentet af parterne eller intervenienterne, behandles fortroligt.

(11) For at udføre sine opgaver indsamler og behandler eu-LISA oplysninger og flere kategorier af personoplysninger, herunder information til identifikation af fysiske personer, kontaktoplysninger, information om arbejdsroller og -opgaver, information om indsats og adfærd i jobfunktioner og i privatlivet samt finansielle oplysninger. eu-LISA optræder som dataansvarlig.

(12) I henhold til forordning (EU) 2018/1725 er eu-LISA derfor forpligtet til at give de registrerede oplysninger om disse behandlingsaktiviteter og respektere deres rettigheder som registrerede.

(13) Det kan være nødvendigt for eu-LISA at afstemme disse rettigheder med formålene med administrative undersøgelser, revisioner, efterforskninger og retssager. Det kan også være nødvendigt at afveje en registrerets rettigheder over for andre registreredes grundlæggende rettigheder og frihedsrettigheder. I den forbindelse indeholder artikel 25 i forordning (EU) 2018/1725 en mulighed for, at eu-LISA under strenge betingelser kan begrænse anvendelsen af artikel 14-22, 35 og 36 i forordning (EU) 2018/1725 samt artikel 4, for så vidt som dens bestemmelser svarer til rettighederne og forpligtelserne i artikel 14-20. Medmindre der er fastsat begrænsninger i en retsakt, der er vedtaget på grundlag af traktaterne, er det nødvendigt at vedtage interne regler, der giver eu-LISA ret til at begrænse disse rettigheder.

(14) eu-LISA kan eksempelvis blive nødt til at begrænse de oplysninger, som det giver en registreret om behandlingen af vedkommendes personoplysninger i den indledende vurderingsfase af en administrativ undersøgelse eller i løbet af selve undersøgelsen, forud for en eventuel henlæggelse af sagen eller under den disciplinære fase. Under visse omstændigheder kan det i alvorlig grad påvirke eu-LISA's evne til at gennemføre undersøgelsen på en effektiv måde, hvis der f.eks. er risiko for, at den pågældende person kunne tilintetgøre bevismateriale eller påvirke potentielle vidner, inden de afhøres. eu-LISA kan også blive nødt til at beskytte vidners samt andre involverede personers rettigheder og frihedsrettigheder.

(15) Det kan være nødvendigt at beskytte anonymiteten af et vidne eller en whistleblower, der har anmodet om ikke at blive identificeret. I så fald kan eu-LISA beslutte at begrænse adgangen til sådanne personers identitet, erklæringer og andre personoplysninger for at beskytte deres rettigheder og frihedsrettigheder.

(16) Det kan være nødvendigt at beskytte fortrolige oplysninger om en ansat, der har kontaktet eu-LISA's fortrolige rådgivere i forbindelse med en procedure vedrørende chikane. I sådanne tilfælde kan eu-LISA blive nødt til at begrænse adgangen til det formodede offers, den formodede chikanørs og andre involverede personers identitet, erklæringer og andre personoplysninger for at beskytte alle berørtes rettigheder og frihedsrettigheder.

(17) eu-LISA bør kun anvende begrænsninger, når de respekterer det væsentligste indhold i grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund. eu-LISA bør oplyse årsagerne til, at disse begrænsninger er berettigede.

(18) I overensstemmelse med princippet om ansvarlighed fører eu-LISA et register over anvendelsen af begrænsninger.

(19) Når eu-LISA under udførelsen af sit hverv behandler personoplysninger, der udveksles med andre organisationer, hører eu-LISA og disse organisationer hinanden om de potentielle begrundelser for at indføre begrænsninger og om nødvendigheden og forholdsmæssigheden af disse begrænsninger, medmindre dette vil bringe eu-LISA's aktiviteter i fare.

(20) I henhold til artikel 25, stk. 6, i forordning (EU) 2018/1725 skal den registeransvarlige informere de registrerede om de vigtigste grunde til, at begrænsningen finder anvendelse, og om deres ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse (EDPS).

(21) I henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725 er eu-LISA berettiget til at udsætte, udelade eller afvise tilvejebringelse af oplysninger om årsagerne til anvendelsen af en begrænsning for den registrerede, hvis dette på nogen måde ophæver virkningen af begrænsningen. eu-LISA bør vurdere fra sag til sag, om meddelelsen af begrænsningen vil kunne ophæve dens virkning.

(22) eu-LISA bør ophæve begrænsningen, så snart de omstændigheder, der ligger til grund for begrænsningen, ikke længere er til stede, og vurdere disse omstændigheder regelmæssigt.

(23) For at sikre den størst mulige beskyttelse af de registreredes rettigheder og frihedsrettigheder og i overensstemmelse med artikel 44, stk. 1, i forordning (EU) 2018/1725 bør den databeskyttelsesansvarlige høres i god tid om eventuelle begrænsninger, der måtte blive anvendt, og kontrollere deres overensstemmelse med denne afgørelse.

(24) I artikel 16, stk. 5, og artikel 17, stk. 4, i forordning (EU) 2018/1725 fastsættes undtagelser for registreredes ret til oplysninger og indsigtsret. Hvis disse undtagelser finder anvendelse, behøver eu-LISA ikke at anvende en begrænsning i henhold til denne afgørelse.

(25) I henhold til artikel 35, stk. 2, i forordning (EU) 2018/1726 vedtager bestyrelsen foranstaltninger til agenturets anvendelse af forordning (EU) 2018/1725, herunder interne regler, der er omhandlet i artikel 25, stk. 1, 3 og 4, i forordning (EU) 2018/1725 efter høring af den tilsynsførende —

TRUFFET FØLGENDE AFGØRELSE:

Artikel 1 Genstand og anvendelsesområde 1. Denne afgørelse fastlægger regler for de vilkår, under hvilke eu-LISA kan begrænse anvendelsen af artikel 4, 14-22, 35 og 36 i henhold til artikel 25 i forordning (EU) 2018/1725 inden for rammerne af de procedurer, som er angivet i stk. 2 i overensstemmelse med denne forordnings artikel 25. 2. eu-LISA er som dataansvarlig repræsenteret ved den administrerende direktør.

Artikel 2 Begrænsninger 1. eu-LISA kan begrænse anvendelsen af artikel 14-22, 35 og 36 samt artikel 4, for så vidt dens bestemmelser svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-20: a) i henhold til artikel 25, stk. 1, litra b), c), f), g) og h), i forordning (EU) 2018/1725 i forbindelse gennemførelse af administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer i henhold til artikel 86 og bilag IX til personalevedtægten og eu-LISA's afgørelse nr. 2014-080 af 28. januar 2015 samt ved indberetning af sager til OLAF b) i henhold til artikel 25, stk. 1, litra h), i forordning (EU) 2018/1725 ved sikring af, at eu-LISA's ansatte på fortrolig vis kan indberette faktiske forhold, når de mener, at der foreligger alvorlige uregelmæssigheder, jf. eu-LISA's afgørelse 2018-122 af 26. juni 2018 om interne regler for whistleblowing c) i henhold til artikel 25, stk. 1, litra h), i forordning (EU) 2018/1725 ved sikring af, at eu-LISA's ansatte er i stand til at rapportere til fortrolige rådgivere i forbindelse med en procedure vedrørende chikane som defineret i eu-LISA's afgørelse nr. 2018-174 fra december 2018 d) i henhold til artikel 25, stk. 1, litra c), g) og h), i forordning (EU) 2018/1725 ved gennemførelsen af interne revisioner i forbindelse med aktiviteter eller tjenestegrene i eu-LISA e) i henhold til artikel 25, stk. 1, litra c), d), g) og h), i forordning (EU) 2018/1725 ved ydelse af bistand til eller modtagelse af bistand fra andre EU-institutioner, -organer, -kontorer og -agenturer eller ved samarbejde med dem i forbindelse med aktiviteter i litra a)-d) i dette stykke og i henhold til relevante serviceniveauaftaler, aftalememoranda og samarbejdsaftaler f) i henhold til artikel 25, stk. 1, litra c), g) og h), i forordning (EU) 2018/1725 ved ydelse af bistand til eller modtagelse af bistand fra tredjelandes nationale myndigheder og internationale organisationer eller ved samarbejde med sådanne myndigheder og organisationer, uden at det berører bestemmelserne i artikel 43 i forordning (EU) 2018/1726 g) i henhold til artikel 25, stk. 1, litra c), g) og h), i forordning (EU) 2018/1725 ved ydelse af bistand til eller modtagelse af bistand fra og samarbejde med EU-medlemsstaternes offentlige myndigheder, enten efter anmodning eller på eget initiativ h) i henhold til artikel 25, stk. 1, litra e), i forordning (EU) 2018/1725 ved behandling af personoplysninger i dokumenter, som er indhentet af parterne eller intervenienterne i forbindelse med sager ved Den Europæiske Unions Domstol. 2. Enhver begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund. 3. I hvert enkelt tilfælde gennemføres der nødvendigheds- og proportionalitetstest, inden der anvendes begrænsninger. Begrænsningerne anvendes kun, når det er strengt nødvendigt for at nå deres fastsatte mål. 4. Af ansvarlighedshensyn fører eu-LISA en fortegnelse, hvori der redegøres for årsagerne til de begrænsninger, der finder anvendelse, det relevante grundlag i stk. 1, der finder anvendelse, og resultatet af nødvendigheds- og proportionalitetstesten. Disse fortegnelser indgår i et register, som efter anmodning stilles til rådighed for EDPS. eu-LISA udarbejder periodiske rapporter om anvendelsen af artikel 25 i forordning (EU) 2018/1725. 5. Når eu-LISA under udførelsen af sit hverv behandler personoplysninger, der er modtaget fra andre organisationer, hører eu-LISA disse organisationer om de potentielle begrundelser for at indføre begrænsninger og om nødvendigheden og forholdsmæssigheden af de pågældende begrænsninger, medmindre dette vil bringe eu-LISA's aktiviteter i fare.

Artikel 3 Risiciene for de registreredes rettigheder og frihedsrettigheder 1. Vurderinger af risiciene for de registreredes rettigheder og frihedsrettigheder ved at indføre begrænsninger og oplysninger om den periode, hvor disse begrænsninger finder anvendelse, registreres i den fortegnelse over behandlingsaktiviteter, der føres af eu-LISA i henhold til artikel 31 i forordningen. De registreres ligeledes i konsekvensanalyser vedrørende databeskyttelse i forbindelse med disse begrænsninger, der foretages i henhold til artikel 39 i forordning (EU) 2018/1725. 2. Når eu-LISA vurderer nødvendigheden og forholdsmæssigheden af en begrænsning, tager det de potentielle risici for den registreredes rettigheder og frihedsrettigheder i betragtning.

Artikel 4 Garantier og opbevaringsperioder 1. eu-LISA træffer beskyttelsesforanstaltninger for at undgå misbrug af eller ulovlig adgang til eller overførsel af personoplysninger, der kan være eller kunne blive omfattet af begrænsninger. Sådanne beskyttelsesforanstaltninger omfatter tekniske og organisatoriske tiltag og præciseres, når det er nødvendigt, i eu-LISA's interne afgørelser, procedurer og gennemførelsesbestemmelser. Beskyttelsesforanstaltningerne omfatter: a) en klar definition af roller, ansvarsområder og proceduremæssige skridt b) hvis det er relevant, et sikkert elektronisk miljø, der forhindrer ulovlig og utilsigtet adgang til eller overførsel af elektroniske data til uautoriserede personer c) sikker opbevaring og behandling af papirbaserede dokumenter, hvis det er relevant d) behørig overvågning af begrænsninger og en periodisk vurdering af deres anvendelse. De i litra d) omhandlede vurderinger foretages mindst hver sjette måned. 2. Begrænsningerne ophæves, så snart de omstændigheder, der begrunder dem, ikke længere gør sig gældende. 3. Personoplysningerne opbevares i overensstemmelse med eu-LISA's gældende regler om dataopbevaring, som skal defineres i de databeskyttelsesfortegnelser, der føres i henhold til artikel 31 i forordning (EU) 2018/1725. Ved udløbet af opbevaringsperioden slettes, anonymiseres eller overføres personoplysningerne til arkiver i overensstemmelse med artikel 13 i forordning (EU) 2018/1725.

Artikel 5 Inddragelse af den databeskyttelsesansvarlige 1. eu-LISA's databeskyttelsesansvarlige underrettes uden unødig forsinkelse, såfremt den registreredes rettigheder begrænses i overensstemmelse med denne afgørelse. Vedkommende tilstedes adgang til de tilhørende fortegnelser og alle dokumenter vedrørende den faktuelle eller retlige sammenhæng. 2. eu-LISA's databeskyttelsesansvarlige kan anmode om en gennemgang af anvendelsen af en begrænsning. eu-LISA underretter sin databeskyttelsesansvarlige skriftligt om resultatet af gennemgangen. 3. eu-LISA dokumenterer den databeskyttelsesansvarliges involvering i anvendelsen af begrænsninger, herunder hvilke oplysninger der er delt med vedkommende. 4. I praksis underretter den person, der er ansvarlig på vegne af den dataansvarlige (»den faktisk dataansvarlige«) (5)eu-LISA's databeskyttelsesansvarlige, når begrænsningen er ophævet.

Artikel 6 Oplysninger til registrerede om begrænsninger i deres rettigheder 1. De meddelelser om databeskyttelse, der offentliggøres på eu-LISA's websted/intranet, omfatter et afsnit med generel information til registrerede om muligheden for begrænsning af registrerede rettigheder i henhold til artikel 2, stk. 1. Informationen omfatter, hvilke rettigheder der kan begrænses, grundlaget for at anvende begrænsninger og den mulige varighed af disse. 2. eu-LISA underretter skriftligt og uden unødig forsinkelse de registrerede individuelt om nuværende eller fremtidige begrænsninger af deres rettigheder. eu-LISA oplyser den registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, om vedkommendes ret til at rette henvendelse til den databeskyttelsesansvarlige med henblik på at anfægte begrænsningen og om vedkommendes ret til at indgive en klage til EDPS. 3. eu-LISA kan udsætte, udelade eller afvise at underrette om årsagerne til anvendelsen af en begrænsning og retten til at indgive en klage til EDPS, så længe det ville ophæve virkningen af begrænsningen. Vurderingen af, om dette ville være begrundet, foretages i hvert enkelt tilfælde. Så snart det ikke længere ville ophæve virkningen af begrænsningen, giver eu-LISA den registrerede informationen.

Artikel 7 Underretning om brud på persondatasikkerheden til den registrerede 1. Hvis eu-LISA er forpligtet til at underrette om brud på datasikkerheden i henhold til artikel 35, stk. 1, i forordning (EU) 2018/1725 kan det under særlige omstændigheder begrænse en sådan underretning helt eller delvis. eu-LISA dokumenterer i et notat årsagerne til begrænsningen, retsgrundlaget herfor i henhold til artikel 2 og en vurdering af nødvendigheden og proportionaliteten heraf. Notatet meddeles til EDPS på tidspunktet for anmeldelsen af bruddet på persondatasikkerheden. 2. Hvis årsagerne til begrænsningen ikke længere er til stede, underretter eu-LISA den pågældende registrerede om bruddet på persondatasikkerheden og om de vigtigste årsager til begrænsningen samt om vedkommendes ret til at indgive en klage til EDPS.

Artikel 8 Fortrolighed af elektronisk kommunikation 1. Under særlige omstændigheder kan eu-LISA begrænse retten til fortrolighed i forbindelse med elektronisk kommunikation i henhold til artikel 36 i forordning (EU) 2018/1725. Sådanne begrænsninger er i overensstemmelse med Europa-Parlamentets og Rådets direktiv 2002/58/EF (6). 2. Hvis eu-LISA begrænser retten til fortrolighed af elektronisk kommunikation, underretter det i sit svar på en eventuel anmodning fra den registrerede den pågældende registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen, og om vedkommendes ret til at indgive en klage til EDPS. 3. eu-LISA kan udsætte, udelade eller afvise at underrette om årsagerne til anvendelsen af en begrænsning og retten til at indgive en klage til EDPS, så længe det ville ophæve virkningen af begrænsningen. Vurderingen af, om dette ville være begrundet, foretages i hvert enkelt tilfælde.

Artikel 9 Ikrafttrædelse Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Udfærdiget i Tallinn, den 16. april 2021. For bestyrelsen Zsolt SZOLNOKI Formand for bestyrelsen

(1) EUT L 295 af 21.11.2018, s. 39.

(2) EUT L 295 af 21.11.2018, s. 99.

(3) EDPS, vejledning til artikel 25 i forordning (EU) 2018/1725 og interne regler, der begrænser de registreredes rettigheder (opdatering 24. juni 2020) — https://edps.europa.eu/data-protection/our-work/publications/guidelines/guidance-art-25-regulation-20181725_en

(4) Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 af 29. februar 1968 om vedtægten for tjenestemænd i De europæiske Fællesskaber og om ansættelsesvilkårene for de øvrige ansatte i disse Fællesskaber samt om særlige midlertidige foranstaltninger for tjenestemænd i Kommissionen (EFT L 56 af 4.3.1968, s. 1).

(5) EDPS, Vejledning om dokumentation af behandlingsaktiviteter for EU-institutioner, -organer og -agenturer — Ansvarlighed i praksis Del I — »Den øverste ledelse er ansvarlig for overholdelse af reglerne, men ansvaret påtages normalt på et lavere niveau (»person ansvarlig på vegne af den dataansvarlige«/»den faktisk dataansvarlige«)«.

(6) Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201 af 31.7.2002, s. 37).