REGLEMENT BETREFFENDE DE VERWERKING EN BESCHERMING VAN PERSOONSGEGEVENS BIJ EUROJUST

HET COLLEGE VAN EUROJUST,

Gezien Verordening (EU) 2018/1727 van het Europees Parlement en de Raad van 14 november 2018 betreffende het Agentschap van de Europese Unie voor justitiële samenwerking in strafzaken (Eurojust), en tot vervanging en intrekking van Besluit 2002/187/JBZ van de Raad, hierna “de Eurojust-verordening”,

Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG, hierna “Verordening (EU) 2018/1725”,

Gezien het reglement van orde van Eurojust, door de Raad goedgekeurd middels Uitvoeringsbesluit (EU) 2019/2250 van 19 december 2019 en vaststelling door het College op 20 december 2019, en met name gezien artikel 17 van dit reglement,

Gezien het advies van het gemeenschappelijk controleorgaan van 28 oktober 2019 en 11 december 2019,

Gezien het advies van 13 december 2019 van de Europese Toezichthouder voor gegevensbescherming,

Gezien de goedkeuring van de Raad middels Uitvoeringsbesluit (EU) 2019/2250 van 19 december 2019,

HEEFT HET VOLGENDE REGLEMENT BETREFFENDE DE VERWERKING EN BESCHERMING VAN PERSOONSGEGEVENS BIJ EUROJUST VASTGESTELD OP 20 DECEMBER 2019:

TITEL I

WERKINGSSFEER, STRUCTUUR EN DEFINITIES

3. Het reglement is van toepassing op alle persoonsgegevens die door Eurojust worden verwerkt, met inbegrip van de persoonsgegevens die zijn opgenomen in de informatie die door Eurojust is opgesteld of ontvangen en in zijn bezit is, in verband met beleidsmaatregelen, activiteiten en besluiten die onder zijn bevoegdheid vallen.

2. Het is van toepassing op de geheel of gedeeltelijk geautomatiseerde, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of bedoeld zijn om daarin te worden opgenomen.

TITEL II

REGELS VOOR DE VERWERKING VAN OPERATIONELE PERSOONSGEGEVENS

HOOFDSTUK I

Algemene beginselen voor de verwerking van operationele persoonsgegevens

Met betrekking tot de verwerking van operationele persoonsgegevens handelt Eurojust, als verwerkingsverantwoordelijke, via de nationale leden die, overeenkomstig artikel 24, lid 1, van de Eurojust-verordening, verantwoordelijk zijn voor het beheer van de zaken die zij hebben geopend bij de uitvoering van hun taken als omschreven in de Eurojust-verordening, of die door hen zijn geopend voor het geval dat Eurojust als college handelt overeenkomstig artikel 5, lid 2, onder a), van de Eurojust-verordening.

De nationale leden die operationele persoonsgegevens van de bevoegde nationale autoriteiten ontvangen, leven de specifieke verwerkingsvoorwaarden na die overeenkomstig artikel 9, leden 3 en 4, van Richtlijn (EU) 2016/680 door de bevoegde nationale autoriteiten worden opgelegd, en stellen die nationale autoriteiten tevens in kennis van de specifieke voorwaarden die op grond van het toepasselijke EU-recht op hen van toepassing zijn en die gelden voor operationele persoonsgegevens die de nationale leden in voorkomend geval aan de nationale autoriteiten verstrekken.

Indien Eurojust een onnauwkeurigheid vaststelt in de gegevens die het heeft ontvangen van een lidstaat in het kader van een onderzoek of vervolging, dan wel van een instelling, orgaan, of instantie van de Unie, geeft het nationale lid, na overleg met de nationale autoriteiten, instructies om de informatie onverwijld te corrigeren, en stelt het de respectieve lidstaat of de instelling, het orgaan of de instantie van de Unie waarvan het de informatie heeft ontvangen, daarvan op de hoogte.

HOOFDSTUK II

Rechten van de betrokkenen

6. In de gevallen waarin het verzoek via een nationale toezichthoudende autoriteit is ontvangen, stelt Eurojust deze autoriteit in kennis van het besluit dat door de functionaris voor gegevensbescherming aan de betrokkene is meegedeeld.

5. De functionaris voor gegevensbescherming deelt het besluit van het betrokken nationale lid of de betrokken nationale leden namens Eurojust mee aan de betrokkene, en informeert hem over de mogelijkheid een klacht in te dienen bij de EDPS indien hij niet tevreden is met het besluit, of een rechtsmiddel in te stellen bij het Hof van Justitie.

4. De juridische en feitelijke redenen waarom het nationale lid of de nationale leden het besluit nemen, worden in het tijdelijke werkbestand betreffende het verzoek in het casemanagementsysteem gedocumenteerd en op verzoek aan de EDPS ter beschikking gesteld.

3. De functionaris voor gegevensbescherming verricht zo nodig aanvullende controles in het casemanagementsysteem en brengt het betrokken nationale lid of de betrokken nationale leden op de hoogte van eventuele aanvullende informatie die bij deze controles wordt gevonden. Het betrokken nationale lid of de betrokken nationale leden houden rekening met de door de functionaris voor gegevensbescherming verstrekte informatie en heroverwegen in voorkomend geval het oorspronkelijke besluit.

2. Het betrokken nationale lid of de betrokken nationale leden raadplegen de bevoegde autoriteiten van de lidstaten over het op het verzoek te nemen besluit.

1. Verzoeken met het oog op de uitoefening van de rechten van de betrokkenen worden behandeld door het nationale lid of de nationale leden waaraan het verzoek is gericht. Zij sturen de functionaris voor gegevensbescherming een afschrift van het verzoek ter registratie toe.

Eurojust neemt passende technische maatregelen om te waarborgen dat in gevallen waarin Eurojust naar aanleiding van een verzoek persoonsgegevens rectificeert, beperkt of wist, automatisch een lijst wordt gegenereerd met de verstrekkers en ontvangers van die gegevens.

HOOFDSTUK III

Het casemanagementsysteem

6. Het betrokken nationale lid of de betrokken nationale leden zorgen ervoor dat de informatie in het register volstaat voor de uitoefening van de taken van Eurojust als omschreven in artikel 2 van de Eurojust-verordening.

5. Wanneer nationale leden overeenkomstig artikel 23, lid 6, van de Eurojust-verordening persoonsgegevens tijdelijk wensen op te slaan en te analyseren om te bepalen of die gegevens relevant zijn voor de taken van Eurojust, stellen zij een ontwerp van tijdelijk werkbestand op dat alleen toegankelijk is voor hen en voor degenen die zij hebben gemachtigd binnen het profiel van hun bureau. Na drie maanden moet het ontwerp van tijdelijk werkbestand worden omgezet in een tijdelijk werkbestand in het casemanagementsysteem of automatisch door het systeem worden gewist. Het systeem moet het betrokken nationaal lid waarschuwen voordat deze tijd is verstreken om het te wijzen op de noodzaak een besluit te nemen over het ontwerpbestand.

2. Wanneer een nationaal lid dat verantwoordelijk is voor het beheer van een tijdelijk werkbestand zoals omschreven in artikel 24, lid 1, van de Eurojust-verordening, aan een of meer betrokken nationale leden toegang geeft tot een tijdelijk werkbestand of een deel daarvan, zorgt het casemanagementsysteem ervoor dat de gemachtigde gebruikers onder het profiel van het nationaal bureau dat onder de verantwoordelijkheid van het nationaal lid valt, toegang hebben tot de relevante delen van het bestand, maar de door de oorspronkelijke auteur ingevoerde gegevens niet kunnen wijzigen. De gemachtigde gebruikers kunnen evenwel relevante informatie toevoegen aan de nieuwe gedeelten van tijdelijke werkbestanden. Evenzo kan informatie in het register door alle gemachtigde gebruikers worden ingezien, maar uitsluitend door de oorspronkelijke auteur worden gewijzigd.

2. Wanneer deze gegevens betrekking hebben op getuigen of slachtoffers in de zin van artikel 27, lid 2, van de Eurojust-verordening, wordt deze informatie niet in het casemanagementsysteem opgeslagen, tenzij de betrokken nationale leden anders besluiten. Het besluit deze gegevens te verwerken wordt gedocumenteerd.

1. Eurojust treft passende technische maatregelen om ervoor te zorgen dat de functionaris voor gegevensbescherming automatisch in kennis wordt gesteld van de uitzonderlijke gevallen waarin artikel 27, lid 4, van de Eurojust-verordening wordt toegepast. Het casemanagementsysteem zorgt ervoor dat deze gegevens niet kunnen worden opgenomen in het in artikel 23, leden 1 en 4, van de Eurojust-verordening genoemde register.

2. Wanneer deze gegevens betrekking hebben op getuigen of slachtoffers in de zin van artikel 27, lid 2, van de Eurojust-verordening, wordt deze informatie niet in het casemanagementsysteem opgeslagen, tenzij de betrokken nationale leden anders besluiten. Het besluit deze gegevens te verwerken wordt gedocumenteerd.

1. Eurojust treft passende technische maatregelen om ervoor te zorgen dat de functionaris voor gegevensbescherming automatisch in kennis wordt gesteld van de uitzonderlijke gevallen waarin, voor een bepaalde periode, artikel 27, lid 3, van de Eurojust-verordening wordt toegepast. Het casemanagementsysteem markeert deze gegevens op zodanige wijze dat de persoon die de gegevens in het systeem heeft ingevoerd, wordt herinnerd aan de voorwaarde dat deze gegevens slechts gedurende een bepaalde periode mogen worden bewaard.

4. Overeenkomstig artikel 34 van de Eurojust-verordening kan het college andere personeelsleden van Eurojust machtigen om, indien nodig, toegang te krijgen tot operationele persoonsgegevens als dat nodig is voor de uitvoering van de taken van Eurojust.

2. De nationale leden kunnen per geval besluiten om een specifieke machtiging te verlenen voor toegang tot een tijdelijk werkbestand of delen ervan aan een persoon die geen personeelslid van Eurojust is, maar namens Eurojust werkt en tot een specifieke categorie functionarissen behoort die, overeenkomstig artikel 24, lid 2, van de Eurojust-verordening, vooraf door de administratief directeur van Eurojust is gemachtigd om toegang te krijgen tot het casemanagementsysteem.

2. Het casemanagementsysteem van Eurojust omvat een volledig register van de doorgifte en ontvangst van operationele persoonsgegevens aan de hand waarvan de doorgifte van operationele persoonsgegevens kan worden vastgesteld en kan worden achterhaald welke nationale autoriteit of organisatie, derde land of internationale organisatie deze informatie aan Eurojust heeft verstrekt/van Eurojust heeft ontvangen.

1. Het casemanagementsysteem van Eurojust als omschreven in artikel 23 van de Eurojust-verordening, dient als register van alle in artikel 35 van de Eurojust-verordening vermelde verwerkingsactiviteiten, voor zover het operationele persoonsgegevens betreft.

HOOFDSTUK IV

Doorgifte van gegevens aan derde landen of internationale organisaties

3. Bij de beoordeling door de functionaris voor gegevensbescherming wordt met name ingegaan op de in de overwegingen 51 en 52 van de Eurojust-verordening genoemde kwesties. Indien de functionaris voor gegevensbescherming bij de beoordeling van de geschiktheid van de waarborgen in het specifieke geval een voorbehoud maakt, kan hij de EDPS raadplegen voordat hij een beoordeling van een specifieke doorgifte afgeeft.

2. De functionaris voor gegevensbescherming verstrekt de in lid 1 bedoelde beoordeling binnen tien werkdagen. Indien dit vanwege de urgentie noodzakelijk is, zoals aangegeven door het betrokken nationale lid of de betrokken nationale leden, wordt de beoordeling zo spoedig mogelijk verstrekt. In bijzonder complexe gevallen kan de functionaris voor gegevens-bescherming met het betrokken nationale lid of de betrokken nationale leden een langere termijn voor het voltooien van de beoordeling overeenkomen.

1. Het college van Eurojust neemt op verzoek van het betrokken nationale lid of de betrokken nationale leden een besluit over de doorgifte van persoonsgegevens aan derde landen of internationale organisaties overeenkomstig artikel 58, lid 1, van de Eurojust-verordening, na een beoordeling door de functionaris voor gegevensbescherming.

Registratie van internationale doorgiften aan derde landen of internationale organisaties in het casemanagementsysteem

HOOFDSTUK V

Termijnen

Artikel 16

Bewaartermijn van operationele persoonsgegevens

1. Eurojust neemt passende technische maatregelen om ervoor te zorgen dat de in artikel 29 van de Eurojust-verordening omschreven bewaartermijnen van operationele persoonsgegevens in acht worden genomen en dat operationele persoonsgegevens automatisch worden gewist indien er bij de controle geen gemotiveerd besluit wordt genomen over de verdere bewaring ervan.

2. Het casemanagementsysteem waarborgt in het bijzonder dat na de invoering van de gegevens in een tijdelijk werkbestand om de drie jaar wordt gecontroleerd of de bewaring noodzakelijk is. De controle moet goed worden gedocumenteerd in het systeem, met inbegrip van de motivering voor ieder genomen besluit over de verdere bewaring van operationele persoonsgegevens, en zij wordt automatisch ter kennis van de functionaris voor gegevens-bescherming gebracht. De resultaten van een dergelijk besluit, of van het ontbreken ervan, gelden voor de gehele zaak, zoals vastgesteld in artikel 29, lid 2, van de Eurojust-verordening.

3. Het casemanagementsysteem markeert in het bijzonder de gegevens die overeenkomstig artikel 27, lid 3, van de Eurojust-verordening voor een bepaalde periode worden bewaard, alsmede de in artikel 27, lid 4, van de Eurojust-verordening genoemde gegevens. Indien de in artikel 27, lid 4, van de Eurojust-verordening bedoelde operationele persoonsgegevens worden opgeslagen voor een periode van meer dan vijf jaar, genereert het casemanagement-systeem een bericht om ervoor te zorgen dat die informatie automatisch aan de EDPS wordt verstrekt.