·EUDPR's kapitel, der finder anvendelse på Unionens organer og agenturer inden for retshåndhævelse på det strafferetlige område, er funktionelt ækvivalent med direktivet om databeskyttelse på retshåndhævelsesområdet for disse organer og agenturer. Som en forordning, der finder direkte anvendelse, er den imidlertid formuleret anderledes. Den indeholder generelle regler, der skal suppleres med specifikke bestemmelser i retsakterne om oprettelse af organer og agenturer, der handler på dette område, hvor det er nødvendigt. Den indeholder en skræddersyet ordning for behandling af operationelle personoplysninger under hensyntagen til denne sektors særlige karakter, f.eks. reglerne om underretning af registrerede, som sikrer, at efterforskningen beskyttes.

·Flere beføjelser for Kommissionen til at vedtage gennemførelsesretsakter eller delegerede retsakter gentages ikke som sådan, men i stedet henviser EUDPR til GDPR eller direktivet om databeskyttelse på retshåndhævelsesområdet. F.eks. indeholder EUDPR ikke en mekanisme til vedtagelse af afgørelser om tilstrækkeligheden af beskyttelsesniveauet for internationale overførsler, men afgørelser om tilstrækkeligheden af beskyttelsesniveauet, der er vedtaget i henhold til GDPR eller direktivet om databeskyttelse på retshåndhævelsesområdet, kan også anvendes af Unionens institutioner og organer.

·Da dens anvendelsesområde udelukkende er Unionens institutioner og organer som offentlige organer, er flere bestemmelser i GDPR, som kun er relevante for den private sektor, blevet udeladt. For eksempel findes muligheden for behandling baseret på retsgrundlaget for den dataansvarliges "legitime interesser" ikke i EUDPR.

For at sikre en konsekvent tilgang til beskyttelse af personoplysninger og deres frie bevægelighed i EU er EUDPR så vidt muligt tilpasset de databeskyttelsesregler, der er vedtaget for den offentlige sektor, og som er fastsat i GDPR og direktivet om databeskyttelse på retshåndhævelsesområdet. Når EUDPR følger de samme principper som GDPR, bør den fortolkes på samme måde, som den bør forstås som svarende til GDPR. Det samme kan antages at være i overensstemmelse med reglerne i direktivet om databeskyttelse på retshåndhævelsesområdet.

Denne rapport placerer EUDPR inden for rammerne af EU's databeskyttelseslovgivning, præsenterer dens anvendelse i Unionens institutioner og organer og EDPS' aktiviteter og analyserer anvendelsen af det kapitel, der gælder for Unionens institutioner og organer, der udfører aktiviteter inden for rammerne af politisamarbejde og retligt samarbejde i straffesager. Rapporten slutter med at skitsere vejen frem.

Kommissionen har indsamlet oplysninger om anvendelsen af EUDPR gennem en undersøgelse, der blev iværksat i oktober 2021, hvor Unionens institutioner og organer blev opfordret til at dele deres erfaringer med anvendelsen af EUDPR. I alt 56 af Unionens institutioner og organer svarede, og de statistikker over Unionens institutioner og organer, der blev fremlagt i rapporten, er baseret på disse svar. En særskilt anmodning om bidrag blev sendt til Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) i dennes egenskab af tilsynsmyndighed. Endelig offentliggjorde Kommissionen også en opfordring til indsendelse af dokumentation, som også gav offentligheden mulighed for at fremsætte bemærkninger. De spørgsmål, der rejses i de meget få indlæg, der er modtaget som svar på opfordringen til indsendelse af dokumentation, behandles i denne rapport.

Databeskyttelsesforordningen for Den Europæiske Unions institutioner, organer, kontorer og agenturer ("EUDPR") er den vigtigste databeskyttelsesramme for Unionens institutioner, organer, kontorer og agenturer ("Unionens institutioner og organer"), når de behandler personoplysninger som dataansvarlige eller databehandlere. Forordningen udgør en søjle for god forvaltning og god forvaltningsskik på EU-plan. Den har fundet anvendelse siden den 11. december 2018, hvor den ophævede og erstattede den tidligere forordning (EF) nr. 45/2001.

3.1Unionens institutioner og organers rolle som dataansvarlige

Den generelle feedback fra Unionens institutioner og organer viser, at de første år med anvendelse af EUDPR har bidraget til at styrke deres generelle databeskyttelseskultur. I den forbindelse anførte 94 % af Unionens institutioner og organer, at ikrafttrædelsen af EUDPR i et vist omfang eller i vid udstrækning havde øget deres organisations kendskab til databeskyttelsesreglerne. Generelt anførte Unionens institutioner og organer, at EUDPR har haft en positiv indvirkning på deres databeskyttelsespolitikker, og personalet i Unionens institutioner og organer er mere bevidste om deres organisations ansvarlighed som dataansvarlige og om kravene til behandling af personoplysninger.

Unionens institutioner og organer nævnte konsekvensanalyser vedrørende databeskyttelse, identifikation og håndtering af brud på datasikkerheden og databeskyttelse gennem design og standardindstillinger som de vigtigste virkninger af EUDPR sammenlignet med den ophævede forordning (EF) nr. 45/2001. EUDPR gør muligheden for fælles dataansvarlige — flere organisationer, der tilsammen definerer formålene med og midlerne til behandling af personoplysninger — mere synlig på samme måde som GDPR. EDPS har udarbejdet retningslinjer om dette emne, og Kommissionen har udviklet interne modeller for fælles dataansvarsordninger.

Selv om de yderligere ansvarlighedskrav, der er nødvendige for at påvise overholdelse af EUDPR for Unionens institutioner og organer, generelt blev hilst velkommen, bemærkede nogle af dem, at EUDPR's regler har ført til en øget arbejdsbyrde. De påpegede også, at EUDPR fastsætter relativt komplekse regler, hvilket betyder, at der er behov for mere ekspertise i Unionens institutioner og organer, herunder blandt deres databeskyttelsesrådgivere, samt i netværkene af databeskyttelseskoordinatorer i de af Unionens institutioner og organer, der har sådanne netværk.

Alle Unionens institutioner og organer med undtagelse af to fører deres fortegnelser over behandlingsaktiviteter i et centralt register. Selv om dette ikke er et specifikt krav i henhold til EUDPR, er det en god praksis, som også anbefales af EDPS. Desuden har 72 % af Unionens institutioner og organer konverteret alle deres anmeldelser til databeskyttelsesrådgiveren i henhold til den tidligere forordning til fortegnelser. De, der endnu ikke har afsluttet denne opgave, bør gennemgå og ajourføre dokumentationen for deres behandlingsaktiviteter for at sikre, at den er fuldstændig og ajourført.

3.2De registreredes udøvelse af deres rettigheder

EUDPR giver registrerede en bred vifte af rettigheder i forbindelse med behandling af deres personoplysninger i overensstemmelse med GDPR. Unionens institutioner og organer har som dataansvarlige en specifik forpligtelse til at gøre det let at udøve disse rettigheder. Som følge heraf oplyste 96 % af Unionens institutioner og organer, at de havde gennemført oplysningsaktiviteter såsom ajourføring af offentligt tilgængelige oplysninger om deres behandlingsaktiviteter, informationsmeddelelser eller vejledninger for registrerede.

En række af Unionens institutioner og organer, såsom Kommissionen, Den Europæiske Centralbank og Tjenesten for EU's Optræden Udadtil, rapporterede om en klar stigning i antallet af anmodninger fra enkeltpersoner mellem 2018 og 2021. For andre, såsom Den Europæiske Unions Domstol, Det Europæiske Økonomiske og Sociale Udvalg og Den Europæiske Unions Asylagentur, var tallene imidlertid stabile eller svingede uden en klar tendens. Det er endnu ikke muligt at se en klar tendens i antallet af anmodninger fra registrerede efter EUDPR's ikrafttræden, da registreringen af forskellige typer anmodninger varierer mellem forskellige af Unionens institutioner og organer.

3.3Begrænsning af registreredes rettigheder gennem interne regler

I lighed med GDPR giver EUDPR mulighed for at begrænse visse registreredes rettigheder. Dette kan gøres ved hjælp af retsakter og interne regler. Der gælder strenge kriterier for sådanne interne regler. De skal være klare og præcise, og deres anvendelse skal være forudsigelig for personer, der er omfattet af dem. Reglerne skal offentliggøres i EU-Tidende og opfylde kravene i chartret om grundlæggende rettigheder og den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder.

De begrænsninger, der er baseret på interne regler, kan kun vedrøre driften af Unionens institutioner og organer. De skal respektere de grundlæggende rettigheder, udgøre nødvendige og forholdsmæssige foranstaltninger i et demokratisk samfund og sigte mod at beskytte et af de mål, der specifikt er anført i EUDPR. Enhver registreret, hvis rettigheder er blevet begrænset, har ret til at indgive en klage til EDPS.

Et stort flertal (84 %) af Unionens institutioner og organer har vedtaget interne regler. Der er f.eks. indført sådanne regler for at gøre det muligt at udsætte videregivelsen af oplysninger til en berørt person i forbindelse med en intern administrativ undersøgelse. I andre har formålet med sådanne regler været at sikre et fortsat effektivt samarbejde med medlemsstaterne på de områder, hvor aktiviteterne i Unionens institutioner og organer er baseret på oplysninger fra medlemsstaternes kompetente myndigheder. For eksempel omfatter de interne regler, som Kommissionen har vedtaget for behandling af personoplysninger i forbindelse med dens aktiviteter inden for konkurrence, bekæmpelse af svig og intern revision, muligheden for at indføre begrænsninger i de registreredes rettigheder, når personoplysninger indhentes fra medlemsstaternes kompetente myndigheder. Disse regler fastsætter muligheden for at indføre lignende begrænsninger, når de nationale myndigheder har indført begrænsninger baseret på en lovgivningsmæssig foranstaltning, der er mulig i henhold til GDPR eller direktivet om databeskyttelse på retshåndhævelsesområdet.

Når Unionens institutioner og organer har vedtaget interne regler, der gør det muligt at begrænse registreredes rettigheder, anvendes de normalt fra sag til sag som krævet i deres respektive interne regler. 69 % af Unionens institutioner og organer, der har indført regler i henhold til artikel 25, oplyser imidlertid, at de endnu ikke har anvendt dem. De, der har anvendt dem, har indberettet mindre end ti tilfælde af begrænsninger, undtagen for Europa-Parlamentet og Kommissionen. Der er oftere opstået behov for begrænsninger i OLAF's aktiviteter, navnlig for at udsætte oplysninger til registrerede om behandlingen af deres personoplysninger, når en efterforskning stadig befinder sig på et tidligt stadium, for ikke at skade indsamlingen af bevismateriale. OLAF anvendte også flere begrænsninger med hensyn til registreredes anmodninger om indsigt i deres egne personoplysninger, som kun var blevet afvist for at beskytte andres rettigheder og frihedsrettigheder, f.eks. hvis videregivelse af oplysningerne ville bringe en informant i fare for repressalier.

Unionens institutioner og organers regler kræver normalt, at de underretter deres databeskyttelsesrådgiver om eventuelle begrænsninger, der anvendes, og giver databeskyttelsesrådgiverne adgang til registret og alle dokumenter om disse begrænsninger.

3.4Databeskyttelsesrådgivere

Forpligtelsen til at have en databeskyttelsesrådgiver i alle Unionens institutioner og organer var allerede fastsat i den tidligere forordning (EF) nr. 45/2001. EUDPR har gjort denne rolle mere synlig ved at indføre ansvarlighedsprincippet. Det betyder, at den dataansvarlige er ansvarlig for og skal kunne påvise, at databeskyttelsesreglerne overholdes.

I 46 % af Unionens institutioner og organer støttes deres databeskyttelsesrådgiver af netværk af databeskyttelseskoordinatorer eller lignende strukturer. Der er større sandsynlighed for, at de største af Unionens institutioner og organer har sådanne netværk (f.eks. Europa-Parlamentet, Generalsekretariatet for Rådet, Kommissionen og Tjenesten for EU's Optræden Udadtil [EU-Udenrigstjenesten]). EU-Udenrigstjenesten tilrettelægger og vedligeholder også et netværk af databeskyttelseskontakter i EU-delegationerne.

En række af Unionens institutioner og organer bemærkede, at deres databeskyttelsesrådgiveres (og dermed også databeskyttelseskoordinatorers) ansvar og arbejdsbyrde var blevet større. De anerkendte behovet for at give databeskyttelsesrådgivere (og databeskyttelseskoordinatorer) flere ressourcer til at sikre, at de effektivt kan gennemføre deres databeskyttelsespolitikker. Behovet for at sikre databeskyttelsesrådgiveres uafhængighed blev også nævnt.

Der er to tendenser, der gør sig gældende i denne sammenhæng: På den ene side lægger EUDPR større vægt på den dataansvarliges ansvarlighed, f.eks. ved at fjerne den procedure for forudgående kontrol, der fandtes under den tidligere forordning (EF) nr. 45/2001, og dermed mindske den administrative byrde. På den anden side anmoder de dataansvarlige om mere vejledning fra databeskyttelsesrådgivere/-koordinatorer om, hvordan man bedst overholder EUDPR. I den forbindelse blev det bemærket, at netværket af databeskyttelsesrådgivere for Unionens institutioner og organer har været et vigtigt forum for drøftelse og afklaring af visse retlige og tekniske aspekter, der er specifikke for deres databehandling. Dette netværk udgør en platform for udveksling mellem databeskyttelsesrådgiverne og EDPS og mellem databeskyttelsesrådgiverne selv. Det samarbejder løbende og mødes normalt to gange om året.

Mere end halvdelen (54 %) af Unionens institutioner og organer har givet flere ressourcer til deres databeskyttelsesrådgivere og databeskyttelsesfunktioner mere generelt. De fleste (84 %) af Unionens institutioner og organer har tilpasset deres interne processer for at sikre, at deres personale informerer og hører databeskyttelsesrådgivere om nye behandlinger af personoplysninger. Dette sker normalt ved at inddrage databeskyttelsesrådgivere, f.eks. i ændringsstyringsprocesser eller i projektstyringsråd.