BESLUIT VAN DE RAAD VAN BESTUUR VAN DE EUROPESE AUTORITEIT VOOR VERZEKERINGEN EN BEDRIJFSPENSIOENEN

van 23 mei 2019

houdende interne voorschriften betreffende de beperking van bepaalde rechten van betrokkenen in verband met de verwerking van hun persoonsgegevens in het kader van het functioneren van Eiopa

DE RAAD VAN BESTUUR VAN DE EUROPESE AUTORITEIT VOOR VERZEKERINGEN EN BEDRIJFSPENSIOENEN,

Gezien het Verdrag betreffende de werking van de Europese Unie,

Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1), en met name artikel 25,

Gezien Verordening (EU) nr. 1094/2010 van het Europees Parlement en de Raad van 24 november 2010 tot oprichting van een Europese toezichthoudende autoriteit (Europese Autoriteit voor verzekeringen en bedrijfspensioenen), tot wijziging van Besluit nr. 716/2009/EG en tot intrekking van Besluit 2009/79/EG van de Commissie (2) (hierna te noemen “Eiopa”), en met name artikel 47, lid 1,

Gezien het advies van de Europese Toezichthouder voor gegevensbescherming (“EDPS”) van 14 mei 2019,

Overwegende hetgeen volgt:

De interne voorschriften, met inbegrip van bepalingen over de beoordeling van de noodzaak en evenredigheid van een beperking, mogen niet van toepassing zijn wanneer een op grond van de Verdragen aangenomen rechtshandeling in een beperking van rechten van betrokkenen voorziet.

Waar Eiopa haar verplichtingen met betrekking tot de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 vervult, onderzoekt zij of een van de in deze verordening vastgestelde uitzonderingen van toepassing is.

In het kader van haar administratieve functioneren kan Eiopa administratieve onderzoeken, tuchtprocedures en voorbereidende activiteiten verrichten in verband met eventuele, bij OLAF aangemelde onregelmatigheden, meldingen van klokkenluiders in behandeling nemen, (formele en informele) procedures in verband met intimidatie, en interne en externe klachten behandelen, interne audits uitvoeren, en onderzoek laten verrichten door de functionaris voor gegevensbescherming (Data Protection Officer —“DPO”) overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 alsook interne (IT) veiligheidsonderzoeken.

Eiopa verwerkt verschillende categorieën van persoonsgegevens, waaronder harde gegevens (“objectieve” gegevens zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, gegevens uit specifieke bronnen, elektronische communicatie en verkeersgegevens) en/of zachte gegevens (“subjectieve” gegevens over een specifieke zaak, zoals bewijsvoering, gedragsgegevens, beoordelingen, prestatie- en gedragsgegevens en gegevens met betrekking tot of naar voren gebracht in verband met het onderwerp van de procedure of activiteit).

De persoonsgegevens worden veilig opgeslagen in een elektronische omgeving of op papier waarmee ongeoorloofde toegang of overdracht van gegevens aan personen zonder noodzaak van kennisneming wordt voorkomen. De verwerkte persoonsgegevens worden niet langer bewaard dan noodzakelijk en passend voor de doeleinden waarvoor de gegevens worden verwerkt gedurende de periode die is gespecificeerd in de mededelingen over gegevensbescherming, privacyverklaringen of aantekeningen van Eiopa.

Deze interne voorschriften zijn van toepassing op alle verwerkingen door Eiopa in het kader van haar administratieve onderzoeken, tuchtprocedures, voorbereidende activiteiten in verband met eventuele, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures, (formele en informele) procedures in gevallen van intimidatie, verwerking van interne en externe klachten, interne audits, de onderzoeken die worden uitgevoerd door de DPO in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT) veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU).

In de gevallen waarop deze interne regels van toepassing zijn, moet Eiopa motiveren waarom de beperkingen strikt noodzakelijk zijn en een evenredige maatregel zijn in een democratische samenleving en de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laten.

Binnen dit kader is Eiopa gehouden om, voor zover mogelijk, de grondrechten van de betrokkenen te respecteren tijdens de bovengenoemde procedures, in het bijzonder het recht op informatieverstrekking, toegang en rectificatie, het recht om te wissen, de beperking van verwerking, het recht van mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of vertrouwelijkheid van communicatie zoals verankerd in Verordening (EU) 2018/1725.

Eiopa kan echter worden verplicht de informatie aan betrokkene en andere rechten van betrokkene te beperken om, in het bijzonder, haar eigen onderzoeken en onderzoeken en procedures van andere overheidsinstanties te beschermen, evenals de rechten van andere personen in verband met haar onderzoeken of andere procedures.

Eiopa controleert periodiek of de voorwaarden die de beperking rechtvaardigen van toepassing zijn en heft de beperkingen op zodra dit niet langer het geval is.

HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

5. Onder voorbehoud van de voorwaarden van dit besluit kunnen de beperkingen van toepassing zijn op de volgende rechten: informatieverstrekking aan betrokkenen, recht van toegang, rectificatie, uitwissing, beperking van de verwerking, mededeling van een inbreuk in verband met de persoonsgegevens aan de betrokkene of vertrouwelijkheid van communicatie.

4. Waar Eiopa haar verplichtingen met betrekking tot de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 vervult, onderzoekt zij of een van de in deze verordening vastgestelde uitzonderingen van toepassing is.

3. De betreffende gegevenscategorieën zijn harde gegevens (“objectieve” gegevens zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, gegevens uit specifieke bronnen, elektronische communicatie en verkeersgegevens) en/of zachte gegevens (“subjectieve” gegevens over een specifieke zaak zoals bewijsvoering, gedragsgegevens, beoordelingen, prestatie- en gedragsgegevens en gegevens met betrekking tot of naar voren gebracht in verband met het onderwerp van de procedure of activiteit).

2. In het kader van het administratieve functioneren van Eiopa is dit besluit van toepassing op de verwerking van persoonsgegevens door de autoriteit met als doel: het verrichten van administratieve onderzoeken, tuchtprocedures en voorbereidende activiteiten in verband met eventuele onregelmatigheden die bij OLAF werden aangemeld, het behandelen van meldingen van klokkenluiders, (formele en informele) procedures in verband met intimidatie en van interne en externe klachten, het uitvoeren van interne audits, en het laten verrichten van onderzoek door de DPO in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725 alsook (IT) veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU).

1. Dit besluit bevat voorschriften betreffende de voorwaarden waaronder Eiopa in het kader van haar in lid 2 beschreven procedures de toepassing kan beperken van de in de artikelen 14 tot en met 21, 35 en 36 vervatte rechten, alsmede van artikel 4, in overeenstemming met artikel 25 van Verordening (EU) 2018/1725.

4. Wanneer Eiopa overweegt een beperking in te stellen, wordt het risico voor de rechten en vrijheden van de betrokkene in het bijzonder afgewogen tegen het risico voor de rechten en vrijheden van andere betrokkenen en het risico van teloorgang van het effect van de onderzoeken of procedures van Eiopa, bijvoorbeeld door het vernietigen van bewijsmateriaal. De risico's voor de rechten en vrijheden van de betrokkene hebben voornamelijk betrekking op, maar zijn niet beperkt tot, reputatieschade en het recht zich te verdedigen en gehoord te worden.

3. De in artikel 1, lid 3, bedoelde persoonsgegevens worden niet langer bewaard dan noodzakelijk en passend is voor de doeleinden waarvoor de gegevens worden verwerkt. In geen geval worden zij langer bewaard dan de retentieperiode die is aangegeven in de mededelingen, privacyverklaringen of aantekeningen over gegevensbescherming in artikel 5, lid 1.

2. De verantwoordelijke voor de verwerkingsactiviteiten is Eiopa, vertegenwoordigd door haar uitvoerend directeur, die deze verantwoordelijkheid kan delegeren. Betrokkenen worden geïnformeerd over de gedelegeerde verantwoordelijke door middel van mededelingen of aantekeningen die op de website en/of het intranet van Eiopa worden gepubliceerd.

de database wordt beveiligd met een wachtwoord via één enkel aanmeldsysteem en wordt automatisch verbonden met het ID en het wachtwoord van de gebruiker. Vervanging van gebruikers is strikt verboden. E-records worden veilig bewaard om de vertrouwelijkheid en privacy van de gegevens te waarborgen;

alle elektronische gegevens worden opgeslagen in een beveiligde IT-toepassing volgens de beveiligingsnormen van Eiopa, evenals in specifieke elektronische mappen die alleen toegankelijk zijn voor geautoriseerd personeel. Passende toegangsniveaus worden individueel toegekend;

5. Beperkingen worden opgeheven zodra de omstandigheden die deze rechtvaardigen niet meer van toepassing zijn. Dit geldt in het bijzonder wanneer wordt geoordeeld dat de uitoefening van het beperkte recht niet langer het effect van de opgelegde beperking zou opheffen of de rechten of vrijheden van andere betrokkenen zou schaden.

3. Elke beperking is noodzakelijk en evenredig, waarbij rekening wordt gehouden met de risico's voor de rechten en vrijheden van betrokkenen, en de essentie van de fundamentele rechten en vrijheden in een democratische samenleving in acht wordt genomen.

Alvorens beperkingen op te leggen in de omstandigheden als bedoeld in de eerste alinea, onder a) en b), raadpleegt Eiopa de desbetreffende diensten van de Commissie, instellingen, organen of instanties van de Unie of de bevoegde autoriteiten van de lidstaten, tenzij het haar duidelijk is dat de toepassing van een beperking is geboden door een van de in die punten genoemde handelingen.

wanneer de uitoefening van die rechten en plichten de samenwerking van Eiopa met derde landen of internationale organisaties bij de uitvoering van haar taken in gevaar zou kunnen brengen.

waar de uitoefening van die rechten en verplichtingen kan worden beperkt door de bevoegde autoriteiten van de lidstaten op basis van handelingen als bedoeld in artikel 23 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (3) , of krachtens nationale maatregelen ter omzetting van artikel 13, lid 3, artikel 15, lid 3, of artikel 16, lid 3, van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (4) ;

wanneer de uitoefening van deze rechten en verplichtingen kan worden beperkt door diensten van de Commissie of andere instellingen, organen en instanties van de Unie op grond van andere handelingen als bedoeld in artikel 25 van Verordening (EU) 2018/1725 of overeenkomstig hoofdstuk IX van deze verordening of in de oprichtingsakten van andere instellingen, organen en instanties van de Unie;

2. Als een specifieke toepassing van de in lid 1 beschreven doeleinden kan Eiopa beperkingen opleggen met betrekking tot persoonsgegevens die worden uitgewisseld met de diensten van de Commissie of andere instellingen, organen en instanties van de Unie, bevoegde autoriteiten van lidstaten of derde landen of internationale organisaties, in de volgende situaties:

een taak op het gebied van toezicht, inspectie of regelgeving die permanent of incidenteel verband houdt met de uitoefening van het openbaar gezag in de gevallen als bedoeld onder a) tot en met c);

andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met name de doelstellingen van het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie of een belangrijk economisch of financieel belang van de Unie of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid;

Artikel 5

Verstrekking van informatie aan betrokkene

1. In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op informatie beperken in het kader van de volgende verwerkingen: a) het uitvoeren van administratieve onderzoeken en tuchtprocedures; b) voorbereidende activiteiten in verband met mogelijke onregelmatigheden die bij OLAF werden gemeld; c) klokkenluidersprocedures; d) (formele en informele) procedures voor gevallen van intimidatie; e) het verwerken van interne en externe klachten; f) interne audits; g) de door de DPO verrichte onderzoeken in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725; h) (IT) veiligheidsonderzoeken die intern of met externe betrokkenheid worden afgehandeld (bijv. CERT-EU). In de op haar website of intranet gepubliceerde gegevensbeschermingsmededelingen, privacyverklaringen of -aantekeningen in de zin van artikel 31 van Verordening (EU) 2018/1725, waarin betrokkenen worden geïnformeerd over hun rechten in het kader van een gegeven procedure, neemt Eiopa informatie op over mogelijke beperkingen van deze rechten. Aangegeven wordt welke rechten kunnen worden beperkt, de redenen daarvan en de potentiële duur.

2. Onverminderd het bepaalde in lid 3 informeert Eiopa, voor zover dit redelijkerwijs mogelijk is, zonder onnodige vertraging en in schriftelijke vorm alle personen die als betrokkenen bij een specifieke verwerkingshandeling worden beschouwd, individueel over hun rechten met betrekking tot huidige of toekomstige beperkingen.

3. Wanneer Eiopa het verstrekken van informatie aan de in lid 2 bedoelde betrokkenen geheel of gedeeltelijk beperkt, legt zij de redenen voor de beperking, de rechtsgrond in overeenstemming met artikel 3 van dit besluit, alsook een beoordeling van de noodzaak en evenredigheid van de beperking vast.

4. De aantekening en, indien van toepassing, de documenten met onderliggende feitelijke en juridische elementen worden geregistreerd. Deze worden de EDPS op diens verzoek ter beschikking gesteld.

5. De in lid 3 bedoelde beperking blijft van toepassing zolang de redenen die deze rechtvaardigen geldig zijn.

6. Wanneer de redenen voor de beperking niet langer gelden, verstrekt Eiopa de betrokkene informatie over de voornaamste redenen waarop de toepassing van een beperking is gebaseerd. Tegelijkertijd informeert Eiopa de betrokkene over het recht om op elk moment een klacht bij de EDPS in te dienen of om een beroep in rechte bij het Hof van Justitie van de Europese Unie te doen.