Besluit van het dagelijks bestuur houdende interne voorschriften betreffende de beperking van bepaalde rechten van betrokkenen in verband met de verwerking van persoonsgegevens in het kader van het functioneren van het Bureau van de Europese Unie voor de grondrechten

(2019/C 371/06)

HET DAGELIJK BESTUUR VAN HET BUREAU VAN DE EUROPESE UNIE VOOR DE GRONDRECHTEN,

Gezien:

Het Verdrag betreffende de werking van de Europese Unie,

Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1) (“Verordening (EU) 2018/1725”), en in het bijzonder artikel 25,

Verordening (EG) nr. 168/2007 van de Raad tot oprichting van een Bureau van de Europese Unie voor de grondrechten (FRA) en in met name artikel 13,

Het advies van de Europese Toezichthouder voor gegevensbescherming (EDPS) van 19 mei 2019 en de EDPS-richtsnoeren inzake artikel 25 van de nieuwe verordening en interne voorschriften,

OVERWEGENDE HETGEEN VOLGT:

(1) Het Bureau van de Europese Unie voor de grondrechten (hierna “FRA” genoemd) voert zijn activiteiten uit overeenkomstig Verordening (EG) nr. 168/2007.

(2) Overeenkomstig artikel 25, lid 1, van Verordening (EU) 2018/1725 moet beperking van de toepassing van de artikelen 14 tot en met 22, 35 en 36, en artikel 4 van die verordening, voor zover de bepalingen daarvan overeenkomen met de rechten en verplichtingen waarin de artikelen 14 tot en met 22 voorzien, gebaseerd zijn op door FRA vast te stellen interne voorschriften voor zover deze niet zijn gebaseerd op rechtshandelingen die op basis van de Verdragen zijn vastgesteld.

(3) Deze interne voorschriften, met inbegrip van de bepalingen betreffende de beoordeling van de noodzaak en de evenredigheid van een beperking, zijn niet van toepassing wanneer een op grond van de Verdragen vastgestelde rechtshandeling voorziet in een beperking van de rechten van de betrokkene.

(4) Wanneer FRA zijn verplichtingen met betrekking tot de rechten van de betrokkenen uit hoofde van Verordening (EU) 2018/1725 nakomt, gaat het na of een van de in die verordening vastgestelde vrijstellingen van toepassing is.

(5) In het kader van zijn administratieve werking kan FRA administratieve onderzoeken instellen, tuchtprocedures inleiden, activiteiten verrichten in verband met gevallen van mogelijke onregelmatigheden die aan OLAF zijn gemeld, klokkenluiderszaken in behandeling nemen, (formele en informele) procedures in verband met intimidatie behandelen, interne en externe klachten behandelen, interne/externe audits uitvoeren, onderzoeken uitvoeren door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 en interne (IT-)veiligheidsonderzoeken.

(6) FRA verwerkt verschillende categorieën persoonsgegevens, inclusief harde gegevens (“objectieve” gegevens zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, van specifieke bronnen ontvangen gegevens, elektronische communicatie- en verkeersgegevens) en/of zachte gegevens (“subjectieve” gegevens met betrekking tot de zaak, zoals redeneringen, gegevens over gedrag, beoordelingen, prestaties en gegevens die verband houden met het voorwerp van de procedure of activiteit).

(7) FRA, vertegenwoordigd door zijn directeur, treedt op als de verwerkingsverantwoordelijke, ongeacht een verder delegeren van deze rol binnen FRA, voor de operationele specifieke verwerking van persoonsgegevens.

(8) De persoonsgegevens worden veilig opgeslagen in een elektronische omgeving of op papier waarmee onrechtmatige toegang tot of doorgifte van gegevens aan personen die niet voldoen aan het “need-to-know’-criterium, wordt voorkomen. De verwerkte persoonsgegevens worden niet langer bewaard dan noodzakelijk, en passend voor de doeleinden van de gegevensverwerking, gedurende de periode die in de kennisgevingen inzake gegevensbescherming, de privacyverklaringen of het register van FRA is gespecificeerd.

(9) De interne voorschriften zijn van toepassing op alle verwerkingen door FRA in het kader van zijn administratieve onderzoeken, tuchtprocedures, activiteiten in verband met eventuele, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures, (formele en informele) procedures in gevallen van intimidatie, verwerking van interne en externe klachten, interne/externe audits, de onderzoeken die worden uitgevoerd door de functionaris voor gegevensbescherming in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU).

(10) Ze moeten van toepassing zijn op verwerkingen die vóór inleiding van voornoemde procedures plaatsvonden, tijdens deze procedures, en tijdens het toezicht op de follow-up van de uitkomst van deze procedures. Ze moeten ook bijstand en samenwerking bestrijken die FRA buiten zijn administratieve onderzoeken biedt aan nationale autoriteiten en internationale organisaties.

(11) In de gevallen waarin deze interne voorschriften van toepassing zijn, moet FRA motiveren waarom de beperkingen strikt noodzakelijk en evenredig zijn in een democratische samenleving en de wezenlijke inhoud van de grondrechten en fundamentele vrijheden eerbiedigen.

(12) Binnen dit kader is FRA gehouden de grondrechten van de betrokkenen tijdens voornoemde procedures zo veel mogelijk te respecteren, met name die welke betrekking hebben op het recht op informatieverstrekking, de toegang tot en rectificatie van gegevens, het recht op wissing, beperking van de verwerking, het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of de vertrouwelijkheid van de communicatie zoals vastgelegd in Verordening (EU) 2018/1725.

(13) FRA kan er echter toe worden verplicht de informatie aan de betrokkene en de rechten van andere betrokkenen te beperken, in het bijzonder om zijn eigen onderzoeken, de onderzoeken en procedures van andere overheidsinstanties en de rechten van andere personen die met zijn onderzoeken of andere procedures verband houden, te beschermen.

(14) FRA kan dus de informatie beperken met het oog op de bescherming van het onderzoek en de grondrechten en fundamentele vrijheden van andere betrokkenen.

(15) FRA moet regelmatig controleren of de voorwaarden die de beperking rechtvaardigen nog van toepassing zijn en de beperking opheffen zodra dit niet langer het geval is.

(16) De verwerkingsverantwoordelijke dient de functionaris voor gegevensbescherming op het moment van de opschorting en tijdens de herzieningen op de hoogte te stellen,

BESLUIT:

Artikel 1 Onderwerp en toepassingsgebied Dit besluit stelt voorschriften vast met betrekking tot de voorwaarden waaronder FRA in het kader van zijn procedures als bedoeld in lid 2, de toepassing van de rechten die zijn neergelegd in de artikelen 14 tot en met 21, 35 en 36, en artikel 4 daarvan, kan beperken overeenkomstig artikel 25 van Verordening (EU) 2018/1725. In het kader van het administratieve functioneren van FRA is dit besluit van toepassing op de verwerking van persoonsgegevens door het Bureau met het oog op het verrichten van administratieve onderzoeken, tuchtprocedures, daaraan voorafgaande procedures en opschortingen in het kader van de in bijlage IX bij het Statuut van de ambtenaren bedoelde activiteiten in verband met eventuele onregelmatigheden die bij OLAF werden aangemeld, het behandelen van meldingen van klokkenluiders, (formele en informele) procedures in verband met intimidatie en van interne en externe klachten, het uitvoeren van interne/externe audits, en het laten verrichten van onderzoek door de functionaris voor gegevensbescherming in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU). De betreffende gegevenscategorieën zijn harde gegevens (“objectieve” gegevens zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, van specifieke bronnen ontvangen gegevens, elektronische communicatie- en verkeersgegevens) en/of zachte gegevens (“subjectieve” gegevens met betrekking tot de zaak zoals redeneringen, gegevens over gedrag, beoordelingen, prestaties en gegevens die verband houden met het voorwerp van de procedure of activiteit). Wanneer FRA zijn verplichtingen met betrekking tot de rechten van de betrokkenen uit hoofde van Verordening (EU) 2018/1725 nakomt, gaat het na of één van de in die verordening vastgestelde vrijstellingen van toepassing is. Onder voorbehoud van de voorwaarden van dit besluit kunnen de beperkingen van toepassing zijn op de volgende rechten: informatieverstrekking aan betrokkenen, recht van toegang, rectificatie, uitwissing, beperking van de verwerking, mededeling van een inbreuk in verband met de persoonsgegevens aan de betrokkene of vertrouwelijkheid van communicatie.

Artikel 2 Specificatie van de verwerkingsverantwoordelijke en veiligheidsmaatregelen De waarborgen die zijn ingebouwd om inbreuken, lekken of ongeoorloofde bekendmaking van gegevens te voorkomen, zijn de volgende: a) Papieren documenten worden bewaard in beveiligde kasten en zijn uitsluitend toegankelijk voor bevoegd personeel; b) Alle elektronische gegevens worden opgeslagen in een beveiligde IT-toepassing volgens de beveiligingsnormen van FRA, evenals in specifieke elektronische mappen die alleen toegankelijk zijn voor geautoriseerd personeel. Passende niveaus van toegang worden individueel toegekend; c) De database wordt beveiligd met een wachtwoord via één enkel aanmeldsysteem en wordt automatisch verbonden met de ID en het wachtwoord van de gebruiker. Het is strikt verboden om gebruikers te vervangen. E-registratiedossiers worden veilig opgeslagen teneinde de vertrouwelijkheid en privacy van de gegevens te waarborgen; d) Alle personen die toegang hebben tot de gegevens zijn gebonden aan de geheimhoudingsplicht. De verantwoordelijke voor de verwerking is FRA, vertegenwoordigd door zijn directeur, die de functie van de verwerkingsverantwoordelijke kan delegeren. Betrokkenen worden geïnformeerd over de gedelegeerde verantwoordelijke door middel van mededelingen of aantekeningen die op de website en/of het intranet van FRA worden gepubliceerd. De bewaringstermijn van de in artikel 1, lid 3, bedoelde persoonsgegevens is niet langer dan noodzakelijk, en passend voor de doeleinden waarvoor de gegevens worden verwerkt. Deze mag in geen geval langer zijn dan de bewaringstermijn die in de in artikel 5, lid 1, bedoelde mededelingen voor gegevensbescherming, privacyverklaringen of het register is vastgesteld. Wanneer het Bureau overweegt een beperking toe te passen, wordt het risico voor de rechten en vrijheden van de betrokkene afgewogen, in het bijzonder tegen het risico voor de rechten en vrijheden van andere betrokkenen en het risico dat de effecten van de onderzoeken of procedures van FRA teniet worden gedaan, bijvoorbeeld door bewijsmateriaal te vernietigen. De risico’s voor de rechten en vrijheden van de betrokkene betreffen in de eerste plaats, maar zijn niet beperkt tot, reputatierisico’s en risico’s voor het recht op verdediging en het recht om te worden gehoord.

Artikel 3 Beperkingen Beperkingen mogen door FRA alleen worden toegepast ter waarborging van: a) de nationale veiligheid, de openbare veiligheid en de defensie van de lidstaten; b) de preventie, het onderzoek, de opsporing en vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van het beschermen tegen en het voorkomen van bedreigingen van de openbare veiligheid; c) andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met name de doelstellingen van het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie of een belangrijk economisch of financieel belang van de Unie of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid; d) de interne veiligheid van de instellingen en organen van de Unie, met inbegrip van hun elektronische-communicatienetwerken; e) de bescherming van de onafhankelijkheid van de rechter en gerechtelijke procedures; f) de preventie, het onderzoek, de opsporing en vervolging van schendingen van de beroepscodes voor gereglementeerde beroepen; g) een taak op het gebied van toezicht, inspectie of regelgeving die permanent of incidenteel verband houdt met de uitoefening van het openbaar gezag in de gevallen als bedoeld onder a) tot en met c); h) de bescherming van de betrokkene of van de rechten en vrijheden van anderen; i) de inning van civielrechtelijke vorderingen. Als specifieke toepassing van de in punt 1 beschreven doeleinden kan FRA in de volgende gevallen beperkingen opleggen met betrekking tot persoonsgegevens die worden uitgewisseld met diensten van de Commissie of andere instellingen, organen, agentschappen en bureaus van de Unie, bevoegde autoriteiten van lidstaten of derde landen of internationale organisaties: a) wanneer de uitoefening van deze rechten en verplichtingen door de diensten van de Commissie of andere instellingen, organen, agentschappen en bureaus van de Unie kan worden beperkt op basis van andere handelingen als bedoeld in artikel 25 van Verordening (EU) 2018/1725 of overeenkomstig hoofdstuk IX van die verordening of de oprichtingshandelingen van andere instellingen, organen, agentschappen en bureaus van de Unie; b) wanneer de bevoegde autoriteiten van de lidstaten de uitoefening van deze rechten en verplichtingen kunnen beperken op basis van de in artikel 23 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad bedoelde handelingen, of op grond van nationale maatregelen ter omzetting van artikel 13, lid 3, artikel 15, lid 3, of artikel 16, lid 3, van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad; c) wanneer de uitoefening van die rechten en verplichtingen de samenwerking van FRA met derde landen of internationale organisaties bij de uitvoering van zijn taken in gevaar kan brengen. Alvorens beperkingen te stellen in de omstandigheden als bedoeld in de eerste alinea, onder a) en b), raadpleegt FRA de betrokken diensten van de Commissie, de instellingen, organen, agentschappen en bureaus van de Unie of de bevoegde autoriteiten van de lidstaten, tenzij het voor FRA duidelijk is dat de toepassing van een beperking voorziet in een van de in die punten genoemde handelingen. Elke beperking is noodzakelijk en evenredig, rekening houdend met de risico’s voor de rechten en vrijheden van de betrokkenen en de eerbiediging van de wezenlijke inhoud van de grondrechten en fundamentele vrijheden in een democratische samenleving. Indien de toepassing van een beperking wordt overwogen, moet op basis van de huidige voorschriften een noodzakelijkheids- en evenredigheidstoets worden uitgevoerd. Het wordt per geval gedocumenteerd door middel van een interne beoordelingsnota met het oog op het afleggen van verantwoording. De beperkingen worden opgeheven zodra de omstandigheden die deze rechtvaardigen niet meer van toepassing zijn. In het bijzonder wanneer wordt aangenomen dat de uitoefening van het beperkte recht het effect van de opgelegde beperking of de rechten of vrijheden van andere betrokkenen niet langer tenietdoet.

Artikel 4 Evaluatie door de functionaris voor gegevensbescherming FRA stelt de functionaris voor gegevensbescherming van FRA (de “DPO”) onverwijld op de hoogte van het feit dat de verwerkingsverantwoordelijke de toepassing van de rechten van de betrokkenen beperkt, of de beperking verlengt in overeenstemming met dit besluit. De verwerkingsverantwoordelijke geeft de DPO toegang tot het registratiedossier met de beoordeling van de noodzaak en evenredigheid van de beperking en legt in het registratiedossier de datum vast waarop de DPO is geïnformeerd. De DPO kan de verwerkingsverantwoordelijke schriftelijk verzoeken de toepassing van de beperkingen te evalueren. De verwerkingsverantwoordelijke stelt de DPO schriftelijk in kennis van de uitkomst van de gevraagde evaluatie. De verwerkingsverantwoordelijke stelt de DPO in kennis van de opheffing van de beperking.

Artikel 5 Verstrekking van informatie aan de betrokkene In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op informatie beperken in het kader van de volgende verwerkingen: a) de uitvoering van administratieve onderzoeken en tuchtprocedures; b) activiteiten in verband met gevallen van mogelijke onregelmatigheden die bij OLAF werden gemeld; c) klokkenluidersprocedures; d) (formele en informele) procedures voor gevallen van intimidatie; e) interne en externe behandeling van klachten; f) interne en externe audits; g) de door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 verrichte onderzoeken; h) (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU). In de op zijn website of intranet gepubliceerde gegevensbeschermingsmededelingen, privacyverklaringen of -aantekeningen in de zin van artikel 31 van Verordening (EU) 2018/1725, waarin betrokkenen worden geïnformeerd over hun rechten in het kader van een gegeven procedure, neemt FRA informatie op over mogelijke beperkingen van deze rechten. De informatie heeft betrekking op de rechten die kunnen worden beperkt, de redenen hiervoor en de mogelijke duur ervan. Onverminderd het bepaalde in lid 3 stelt FRA, indien dit evenredig is, alle betrokkenen die bij de specifieke verwerking betrokken zijn, onverwijld individueel in kennis van hun rechten met betrekking tot bestaande of toekomstige beperkingen, zonder onnodige vertraging en in schriftelijke vorm. Indien FRA de verstrekking van informatie aan de in lid 2 bedoelde betrokkenen geheel of gedeeltelijk beperkt, registreert het de redenen voor de beperking, de rechtsgrond overeenkomstig artikel 3 van dit besluit, met inbegrip van een beoordeling van de noodzaak en de evenredigheid van de beperking. Het registratiedossier en, in voorkomend geval, de documenten met de onderliggende feitelijke en juridische elementen worden geregistreerd. Ze worden op verzoek aan de Europese Toezichthouder voor gegevensbescherming ter beschikking gesteld. De in lid 3 bedoelde beperking blijft van toepassing zolang de redenen ter rechtvaardiging ervan van toepassing blijven. Wanneer de redenen voor de beperking niet langer van toepassing zijn, verstrekt FRA de betrokkene informatie over de voornaamste redenen waarop de toepassing van een beperking is gebaseerd. Tegelijkertijd stelt FRA de betrokkene in kennis van het recht om te allen tijde een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of om beroep in te stellen bij het Hof van Justitie van de Europese Unie. FRA evalueert de toepassing van de beperking om de zes maanden, na de vaststelling ervan en bij de afsluiting van de desbetreffende enquête, de desbetreffende procedure of het desbetreffende onderzoek. Daarna houdt de verwerkingsverantwoordelijke op jaarlijkse basis toezicht op de noodzaak om een beperking te handhaven.

Artikel 6 Recht op toegang door de betrokkene In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op toegang waar nodig en redelijk in het kader van de volgende verwerkingsactiviteiten beperken: a) de uitvoering van administratieve onderzoeken en tuchtprocedures; b) activiteiten in verband met gevallen van mogelijke onregelmatigheden die bij OLAF werden gemeld; c) klokkenluidersprocedures; d) (formele en informele) procedures voor gevallen van intimidatie; e) interne en externe behandeling van klachten; f) interne en externe audits; g) de door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 verrichte onderzoeken; h) (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU). Wanneer betrokkenen overeenkomstig artikel 17 van Verordening (EU) 2018/1725 verzoeken om toegang tot hun persoonsgegevens die in het kader van een of meer specifieke gevallen of een specifieke behandeling worden verwerkt, beperkt FRA zijn beoordeling van het verzoek tot die persoonsgegevens. Indien FRA het in artikel 17 van Verordening (EU) 2018/1725 bedoelde recht van toegang geheel of gedeeltelijk beperkt, onderneemt het de volgende stappen: a) het stelt de betrokkene, in zijn antwoord op het verzoek, op de hoogte van de opgelegde beperking en de voornaamste redenen daarvoor, alsmede de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of beroep in te stellen bij het Hof van Justitie van de Europese Unie; b) het vermeldt in een interne beoordeling de redenen voor de beperking, met inbegrip van een beoordeling van de noodzaak, de evenredigheid van de beperking en de duur ervan. De onder a) bedoelde informatieverstrekking kan worden uitgesteld, achterwege gelaten of geweigerd als daardoor het effect van de beperking overeenkomstig artikel 25, lid 8, van Verordening (EU) 2018/1725 verloren zou gaan. FRA evalueert de toepassing van de beperking om de zes maanden vanaf de vaststelling ervan en ook bij de afsluiting van het betrokken onderzoek. Daarna houdt de verwerkingsverantwoordelijke op jaarlijkse basis toezicht op de noodzaak om een beperking te handhaven. Het registratiedossier en, in voorkomend geval, de documenten met de onderliggende feitelijke en juridische elementen worden geregistreerd. Ze worden op verzoek aan de Europese Toezichthouder voor gegevensbescherming ter beschikking gesteld.

Artikel 7 Recht op rectificatie, wissing en beperking van verwerking In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op rectificatie, wissing en beperking indien nodig en passend beperken in het kader van de volgende verwerkingen: a) de uitvoering van administratieve onderzoeken en tuchtprocedures; b) activiteiten in verband met gevallen van mogelijke onregelmatigheden die bij OLAF werden gemeld; c) klokkenluidersprocedures; d) (formele en informele) procedures voor gevallen van intimidatie; e) interne en externe behandeling van klachten; f) interne en externe audits; g) de door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 verrichte onderzoeken; h) (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU). Wanneer FRA de toepassing van het recht op rectificatie, wissing en beperking van verwerking als bedoeld in de artikelen 18, 19, lid 1, en 20, lid 1, van Verordening (EU) 2018/1725 geheel of gedeeltelijk beperkt, neemt het de in artikel 6, lid 2, van dit besluit genoemde maatregelen om het dossier te registreren overeenkomstig artikel 6, lid 3, van die verordening.

Artikel 8 Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene en vertrouwelijkheid van elektronische communicatie In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op mededeling van een inbreuk in verband met persoonsgegevens waar nodig en passend beperken in het kader van de volgende verwerkingen: a) de uitvoering van administratieve onderzoeken en tuchtprocedures; b) activiteiten in verband met gevallen van mogelijke onregelmatigheden die bij OLAF werden gemeld; c) klokkenluidersprocedures; d) (formele en informele) procedures voor gevallen van intimidatie; e) interne en externe behandeling van klachten; f) interne en externe audits; g) de door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 verrichte onderzoeken; h) (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU). In naar behoren gemotiveerde gevallen en onder de voorwaarden die in besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op vertrouwelijkheid van elektronische communicatie waar nodig en passend beperken in het kader van de volgende verwerkingen: a) de uitvoering van administratieve onderzoeken en tuchtprocedures; b) activiteiten in verband met gevallen van mogelijke onregelmatigheden die bij OLAF werden gemeld; c) klokkenluidersprocedures; d) formele procedures voor gevallen van intimidatie; e) interne en externe behandeling van klachten; f) (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU). Wanneer FRA de mededeling van een inbreuk in verband met persoonsgegevens of de vertrouwelijkheid van elektronische communicatie als bedoeld in de artikelen 35 en 36 van Verordening (EU) 2018/1725 beperkt, legt het de redenen voor die beperking vast en registreert het die overeenkomstig artikel 5, lid 3, van dit besluit. Artikel 5, lid 4, van dit besluit is van toepassing.

Artikel 9 Slotbepaling Besluit 2019/01 van het dagelijks bestuur van FRA tot vaststelling van interne voorschriften betreffende de verstrekking van informatie aan betrokkenen en de beperking van sommige van hun gegevensbeschermingsrechten door FRA in het kader van administratieve onderzoeken, tuchtprocedures, daaraan voorafgaande procedures en schorsingsprocedures (2019/C 108/04) wordt ingetrokken.

Artikel 10 Inwerkingtreding Dit besluit treedt in werking op de derde dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Gedaan te Wenen, 27 september 2019. Voor het Bureau van de Europese Unie voor de grondrechten Sirpa RAUTIO Voorzitter van het dagelijks bestuur

(1) PB L 295 van 21.11.2018, blz. 39.