BESLUIT VAN DE RAAD VAN BESTUUR

houdende interne voorschriften betreffende de beperking van bepaalde rechten van betrokkenen in verband met de verwerking van persoonsgegevens in het kader van het functioneren van het Bureau van de Europese Unie voor de grondrechten en tot intrekking van Besluit 2019/05 van het dagelijks bestuur van 27 september 2019

DE RAAD VAN BESTUUR VAN HET BUREAU VAN DE EUROPESE UNIE VOOR DE GRONDRECHTEN

Gezien:

het Verdrag betreffende de werking van de Europese Unie,

Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1), en in het bijzonder artikel 25,

Verordening (EG) nr. 168/2007 van de Raad van 15 februari 2007 tot oprichting van een Bureau van de Europese Unie voor de grondrechten (2) en met name artikel 13,

het advies van de Europese Toezichthouder voor gegevensbescherming (EDPS) van 19 mei 2019 en de EDPS-richtsnoeren inzake artikel 25 van de nieuwe verordening en interne voorschriften,

OVERWEGENDE HETGEEN VOLGT:

Wanneer FRA zijn verplichtingen met betrekking tot de rechten van de betrokkenen uit hoofde van Verordening (EU) 2018/1725 nakomt, gaat het na of één van de in die verordening vastgestelde vrijstellingen van toepassing is.

In het kader van zijn administratieve werking kan FRA administratieve onderzoeken instellen, tuchtprocedures inleiden, activiteiten verrichten in verband met gevallen van mogelijke onregelmatigheden die aan OLAF zijn gemeld, klokkenluiderszaken in behandeling nemen, (formele en informele) procedures in verband met intimidatie behandelen, interne en externe klachten behandelen, interne/externe audits uitvoeren, onderzoeken uitvoeren door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 en interne (IT-)veiligheidsonderzoeken.

FRA kan betrokken zijn bij zaken die aanhangig zijn bij het Hof van Justitie van de Europese Unie wanneer het een zaak aan het Hof voorlegt, een beslissing verdedigt die het heeft genomen en waartegen bij het Hof is opgekomen, of wanneer het intervenieert in voor zijn taken relevante gevallen. In dit verband kan FRA verplicht zijn de vertrouwelijkheid van de persoonsgegevens in door de partijen of interveniënten verstrekte documenten te bewaren.

FRA verwerkt verschillende categorieën persoonsgegevens, inclusief harde gegevens (“objectieve” gegevens zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, van specifieke bronnen ontvangen gegevens, elektronische communicatie- en verkeersgegevens) en/of zachte gegevens (“subjectieve” gegevens met betrekking tot de zaak, zoals redeneringen, gegevens over gedrag, beoordelingen, prestaties en gegevens die verband houden met het voorwerp van de procedure of activiteit).

De persoonsgegevens worden veilig opgeslagen in een elektronische omgeving of op papier waarmee onrechtmatige toegang tot of doorgifte van gegevens aan personen die niet voldoen aan het “need-to-know”-criterium, wordt voorkomen. De verwerkte persoonsgegevens worden niet langer bewaard dan noodzakelijk, en passend voor de doeleinden van de gegevensverwerking, gedurende de periode die in de kennisgevingen inzake gegevensbescherming, de privacyverklaringen of het register van FRA is gespecificeerd.

De interne voorschriften zijn van toepassing op alle verwerkingen door FRA in het kader van zijn administratieve onderzoeken, tuchtprocedures, activiteiten in verband met eventuele, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures, (formele en informele) procedures in gevallen van intimidatie, verwerking van interne en externe klachten, interne/externe audits, de onderzoeken die worden uitgevoerd door de functionaris voor gegevensbescherming in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU).

In de gevallen waarin deze interne voorschriften van toepassing zijn, moet FRA motiveren waarom de beperkingen strikt noodzakelijk en evenredig zijn in een democratische samenleving en de wezenlijke inhoud van de grondrechten en fundamentele vrijheden eerbiedigen.

Binnen dit kader is FRA gehouden de grondrechten van de betrokkenen tijdens voornoemde procedures zo veel mogelijk te respecteren, met name die welke betrekking hebben op het recht op informatieverstrekking, de toegang tot en rectificatie van gegevens, het recht op wissing, beperking van de verwerking, het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of de vertrouwelijkheid van de communicatie zoals vastgelegd in Verordening (EU) 2018/1725.

FRA kan er echter toe worden verplicht de informatie aan de betrokkene en de rechten van andere betrokkenen te beperken, in het bijzonder om zijn eigen onderzoeken, de onderzoeken en procedures van andere overheidsinstanties en de rechten van andere personen die met zijn onderzoeken of andere procedures verband houden, te beschermen.

FRA moet regelmatig controleren of de voorwaarden die de beperking rechtvaardigen nog van toepassing zijn en de beperking opheffen zodra dit niet langer het geval is.

Teneinde de maximale bescherming van de rechten en vrijheden van betrokkenen te waarborgen dient de functionaris voor gegevensbescherming in overeenstemming met artikel 44, lid 1, van Verordening (EU) 2018/1725 tijdig te worden geraadpleegd over enigerlei beperkingen die eventueel worden toegepast en dient deze te controleren of die beperkingen in overeenstemming zijn met dit besluit,

BESLUIT:

Artikel 1

Onderwerp en toepassingsgebied

1. Dit besluit stelt voorschriften vast met betrekking tot de voorwaarden waaronder FRA in het kader van zijn procedures als bedoeld in lid 2, de toepassing van de rechten die zijn neergelegd in de artikelen 14 tot en met 21, 35 en 36, en artikel 4 daarvan, kan beperken overeenkomstig artikel 25 van Verordening (EU) 2018/1725.

2. In het kader van het administratieve functioneren van FRA is dit besluit van toepassing op de verwerking van persoonsgegevens door FRA met het oog op het verrichten van administratieve onderzoeken, tuchtprocedures, daaraan voorafgaande procedures en schorsingen in het kader van de in bijlage IX bij het Statuut van de ambtenaren bedoelde activiteiten in verband met eventuele onregelmatigheden die bij OLAF zijn aangemeld, het behandelen van meldingen van klokkenluiders, (formele en informele) procedures in verband met intimidatie en van interne en externe klachten, het uitvoeren van interne/externe audits, en het laten verrichten van onderzoek door de functionaris voor gegevensbescherming in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU).

3. Dit besluit is ook van toepassing op de verwerking van persoonsgegevens in geval van betrokkenheid van FRA bij zaken die aanhangig zijn bij het Hof van Justitie van de Europese Unie wanneer het een zaak aan het Hof voorlegt, een beslissing verdedigt die het heeft genomen en waartegen bij het Hof is opgekomen, of wanneer het intervenieert in voor zijn taken relevante gevallen. In dit verband kan FRA verplicht zijn de vertrouwelijkheid van de persoonsgegevens in door de partijen of interveniënten verstrekte documenten te bewaren.

4. De betreffende gegevenscategorieën zijn harde gegevens (“objectieve” gegevens zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, van specifieke bronnen ontvangen gegevens elektronische communicatie- en verkeersgegevens) en/of zachte gegevens (“subjectieve” gegevens met betrekking tot de zaak zoals redeneringen, gegevens over gedrag, beoordelingen, prestaties en gegevens die verband houden met het voorwerp van de procedure of activiteit).

5. Wanneer FRA zijn verplichtingen met betrekking tot de rechten van de betrokkenen uit hoofde van Verordening (EU) 2018/1725 nakomt, gaat het na of één van de in die verordening vastgestelde vrijstellingen van toepassing is.