NL Publicatieblad van de Europese Unie C 68/1

BESCHIKKINGEN VAN HET INTERNE REGLEMENT BETREFFENDE DE VERWERKING EN BESCHERMING VAN PERSOONSGEGEVENS BIJ EUROJUST

(Door het College van Eurojust tijdens de bijeenkomst van 21 oktober 2004 bij éénparigheid van stemmen aangenomen en door de Raad op 24 februari 2005 goedgekeurde tekst)

(2005/C 68/01)

TITEL I

DEFINITIES

Artikel 1

Definities

In deze regels en iedere tekst tot uitvoering daarvan wordt verstaan onder:

a) „Eurojust-besluit”: het besluit van de Raad van 28 februari 2002 betreffende de oprichting van Eurojust teneinde de strijd tegen ernstige vormen van criminaliteit te versterken, als gewijzigd bij het besluit van de Raad van 18 juni 2003;

b) „het College”: het College van Eurojust, als bedoeld in artikel 10 van het Eurojust-besluit;

c) „Nationaal lid”: het nationaal lid dat door elke lidstaat bij Eurojust is gedetacheerd, als bedoeld in artikel 2, lid 1, van het Eurojust-besluit;

d) „Assistent”: persoon die elk nationaal lid bijstand kan verlenen, als bedoeld in artikel 2, lid 2, van het Eurojust-besluit;

e) „Eurojust-personeel”: administratief directeur, als bedoeld in artikel 29 van het Eurojust-besluit, en het personeel bedoeld in artikel 30 van het Eurojust-besluit;

f) „functionaris voor gegevensbescherming”: de persoon die is aangesteld overeenkomstig artikel 17 van het Eurojust-besluit;

g) „het gemeenschappelijk controleorgaan”: het onafhankelijke orgaan dat is ingesteld overeenkomstig artikel 23 van het Eurojust-besluit;

h) „persoonsgegevens”: informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon; („betrokkene”); als „identificeerbaar” wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit;

i) „verwerking van gegevens” („verwerking”): elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procédés, zoals het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op enigerlei andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, alsmede het blokkeren, wissen of vernietigen van gegevens;

j) „bestand van persoonsgegevens” („bestand”): elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd dan wel gedecentraliseerd is of verspreid op een functioneel of geografisch bepaalde wijze;

k) „verantwoordelijke voor de verwerking”: de persoon, die, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer het doel van en de middelen voor de verwerking bij een nationale of Europese wet- of regelgeving worden vastgesteld, kan bij die Europese wet- of regelgeving de verantwoordelijke voor de verwerking worden aangewezen of de specifieke criteria voor diens benoeming worden vastgesteld;

l) „verwerker”: de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enige andere instelling die persoonsgegevens verwerkt voor rekening van de verantwoordelijke voor de verwerking;

m) „derde”: een natuurlijke of rechtspersoon, een overheidsinstantie, een dienst of enige andere instelling, niet zijnde de betrokkene, noch de verantwoordelijke voor de verwerking, noch de verwerker, noch de personen die onder rechtstreeks gezag van de verantwoordelijke voor de verwerking of de verwerker gemachtigd zijn om de gegevens te verwerken; en

n) „ontvanger”: de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam aan wie, respectievelijk waaraan de gegevens worden meegedeeld, ongeacht of het al dan niet een derde betreft.

TITEL II

TOEPASSINGSGEBIED EN STRUCTUUR

Artikel 2

Toepassingsgebied

1. Dit reglement is van toepassing op de geheel, gedeeltelijk of niet-geautomatiseerde verwerking door Eurojust van persoonsgegevens die in een bestand zijn opgenomen of die zijn bestemd daarin te worden opgenomen.

2. Deze voorschriften zijn van toepassing op alle gegevens die zijn verzameld en verder verwerkt door Eurojust, dat wil zeggen, gegevens die Eurojust heeft opgesteld of ontvangen en die zij in haar bezit heeft, betreffende een materie die verband houdt met de beleidsmaatregelen, acties en besluiten welke tot de bevoegdheid van Eurojust behoren.

3. Deze voorschriften zijn niet van toepassing op gegevens die uitsluitend in het kader van zijn of haar rechterlijke bevoegdheden, als omschreven in artikel 9 van het Eurojust-besluit, aan een nationaal lid van Eurojust zijn toegezonden.

Artikel 3

Structuur

1. Alle persoonsgegevens worden als met een zaak verband houdende of niet met een zaak verband houdende gegevens beschouwd. Persoonsgegevens worden als met een zaak verband houdend beschouwd wanneer zij te maken hebben met de operationele taken van Eurojust, als omschreven in de artikelen 5, 6 en 7 van het Eurojust-besluit.

2. Met een zaak verband houdende gegevens worden verwerkt overeenkomstig de titels III en IV. Niet met een zaak verband houdende gegevens worden verwerkt overeenkomstig de titels III en V.

TITEL III

BEGINSELEN DIE IN HET ALGEMEEN VAN TOEPASSING ZIJN OP EUROJUST

Artikel 4

Recht op bescherming van de persoonlijke levenssfeer en gegevensbescherming

Eurojust handelt met volledige eerbiediging van de mensenrechten en de fundamentele vrijheden, met name het recht op bescherming van de persoonlijke levenssfeer ten aanzien van de verwerking van hun persoonsgegevens, ongeacht hun nationaliteit of verblijfplaats.

Artikel 5

Beginsel van rechtmatigheid en billijkheid, evenredigheid en noodzaak van verwerking

1. Persoonsgegevens moeten billijk en rechtmatig worden verwerkt.

2. Eurojust verwerkt alleen persoonsgegevens die noodzakelijk, aangepast en relevant zijn en evenredig zijn aan de doeleinden waarvoor zij verzameld of vervolgens verwerkt worden.

3. Eurojust bepaalt haar verwerkingssystemen of -verrichtingen conform het doel van verzameling en verdere verwerking van uitsluitend noodzakelijke persoonsgegevens, als omschreven in lid 2. Met name moet gebruik worden gemaakt van de mogelijkheid een alias te gebruiken of de gegevens anoniem te maken, voorzover mogelijk, rekening houdend met het doel van de verwerking en het feit dat de benodigde inspanning redelijk moet zijn.

Artikel 6

Kwaliteit van de gegevens

1. Eurojust draagt er zorg voor dat de persoonsgegevens nauwkeurig zijn en zo nodig worden bijgewerkt; alle redelijke maatregelen moeten worden getroffen om onjuiste of onvolledige gegevens, gelet op de doeleinden waarvoor zij verzameld en/of vervolgens verwerkt zijn, te wissen of te corrigeren.

2. Overeenkomstig artikel 5, lid 2, worden persoonsgegevens niet langer bewaard in een vorm die het mogelijk maakt de betrokkenen te identificeren dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt.

Artikel 7

Beveiliging van gegevens

1. Overeenkomstig artikel 22 van het Eurojust-besluit en deze voorschriften, treft Eurojust de technische en organisatorische maatregelen die noodzakelijk zijn om de persoonsgegevens te beschermen tegen toevallige of onrechtmatige vernietiging, toevallig verlies en ongeoorloofde verspreiding, wijziging of toegang, alsmede tegen elke andere vorm van niet-geoorloofde verwerking. Met name moeten maatregelen worden genomen om ervoor te zorgen dat alleen daartoe gemachtigde personen toegang hebben tot persoonsgegevens.

2. Alle maatregelen zijn afgestemd op de risico's van de verwerking en de aard van de te verwerken gegevens.

3. Eurojust ontwikkelt een alomvattend beveiligingsbeleid overeenkomstig artikel 22, lid 2, van het Eurojust-besluit en deze voorschriften. Dit beleid houdt rekening met de gevoelige aard van het werk van het justitieel samenwerkingsteam en omvat voorschriften voor de rubricering van documenten, de screening van personeel van Eurojust en de maatregelen bij inbreuken op de beveiliging. Het gemeenschappelijk controleorgaan wordt geraadpleegd over het beveiligingsbeleid van Eurojust.

4. Alle functionarissen van Eurojust worden voldoende voorgelicht over het beveiligingsbeleid van Eurojust. Van hen wordt verlangd dat zij de hun ter beschikking gestelde technische en organisatorische beveiligingsmaatregelen benutten overeenkomstig de toepasselijke voorschriften inzake gegevensbescherming en -beveiliging.

Artikel 8

Recht op informatie van de betrokkenen

1. Onverminderd de bijzondere bepalingen van titel IV betreffende met een zaak verband houdende gegevens en van titel V betreffende niet met een zaak verband houdende gegevens, moet de betrokkenen informatie worden verstrekt over het doel van de verwerking en de identiteit van de verantwoordelijke voor de verwerking van de gegevens, de ontvangers of categorieën ontvangers, het recht op toegang en het recht op correctie van de hen betreffende gegevens, alsook elke andere informatie, zoals de rechtsgrondslag van de verwerkingshandeling waarvoor de gegevens zijn bedoeld, de bewaartermijn van de gegevens en het recht te allen tijde een beroep te doen op het Gemeenschappelijk Controleorgaan, voorzover bedoelde aanvullende informatie noodzakelijk is om, gelet op het doel en de bijzondere omstandigheden van de gegevensverwerking, ten aanzien van de betrokkene een billijke verwerking te garanderen.

2. Deze informatie moet worden verstrekt uiterlijk op het moment waarop de gegevens bij de betrokkene worden verzameld of, indien de gegevens van een derde worden ontvangen, op het moment waarop tot vastlegging van de persoonsgegevens wordt overgegaan, of, wanneer het de bedoeling is de gegevens aan een derde te verstrekken, niet later dan op het moment waarop de gegevens voor het eerst worden verstrekt, of, in de gevallen bedoeld in titel IV, hoofdstuk II, van deze voorschriften, zodra de doelstellingen van de verwerking, nationale onderzoeken of vervolgingen dan wel de rechten en vrijheden van derden daardoor niet langer in gevaar kunnen worden gebracht.

Artikel 9

Recht van de betrokkenen op toegang tot, correctie, blokkering of verwijdering van gegevens

1. De betrokkene heeft recht op toegang tot, correctie, blokkering of, in voorkomend geval, verwijdering van de gegevens. Eurojust stelt, indien nodig in samenwerking met de respectieve betrokken nationale autoriteiten, procedures vast om de uitoefening van die rechten door de betrokkenen te vergemakkelijken.

2. De functionaris voor de gegevensbescherming zorgt ervoor dat de betrokkenen op hun verzoek in kennis worden gesteld van hun rechten.

Artikel 10

Vertrouwelijkheid van de verwerking

Overeenkomstig artikel 25 van het Eurojust-besluit zijn alle personen die in of met Eurojust moeten werken, tot strikte geheimhouding verplicht. Eurojust treft alle vereiste maatregelen om ervoor te zorgen dat deze verplichtingen worden nageleefd, en dat inbreuken op deze verplichtingen onmiddellijk worden gemeld aan de functionaris voor de gegevensbescherming en het hoofd van de beveiligingsdienst, die erop toezien dat daaraan een passend gevolg wordt gegeven.

Artikel 11

Interne verwerkers

Personen die binnen Eurojust, in de hoedanigheid van verwerker, toegang hebben tot persoonsgegevens, verwerken die gegevens niet dan op instructie van de verantwoordelijke voor de verwerking van de gegevens, tenzij de nationale of communautaire wetgeving in een andere regeling voorziet.

Artikel 12

Onderzoeken, verzoeken om informatie en vorderingen van Eurojust-functionarissen

1. Voor de toepassing van artikel 17, leden 2 en 4, van het Eurojust-besluit, verstrekt de functionaris voor de gegevensbescherming de Eurojust-functionarissen op hun verzoek informatie over de werkzaamheden van Eurojust op het gebied van gegevensverwerking. De functionaris voor de gegevensbescherming verleent zijn medewerking aan onderzoeken en geeft gevolg aan verzoeken om informatie of vorderingen ter zake van een vermeende inbreuk op de bepalingen van het Eurojust-besluit, deze voorschriften of andere voorschriften betreffende de verwerking van persoonsgegevens door Eurojust. Niemand mag nadeel ondervinden van het feit dat hij een zaak die naar hij beweert de voorschriften betreffende de verwerking van persoonsgegevens schendt, onder de aandacht van de functionaris voor de gegevensbescherming heeft gebracht.

2. Alle personeelsleden van Eurojust werken samen met het College, de nationale leden, de functionaris voor de gegevensbescherming en het Gemeenschappelijk Controleorgaan in het kader van verzoeken om informatie, onderzoeken, audits of andere activiteiten met betrekking tot gegevensbescherming.

TITEL IV

VOORSCHRIFTEN VOOR MET EEN ZAAK VERBAND HOUDENDE VERWERKINGSHANDELINGEN

HOOFDSTUK I

Voorwaarden voor een rechtmatige verwerking van persoonsgegevens

Artikel 13

Persoonsgegevens verwerkt in het kader van met een zaak verband houdende activiteiten

1. In het kader van met een zaak verband houdende activiteiten verwerkt Eurojust, voorzover nodig met het oog op de verwezenlijking van zijn doelstellingen, persoonsgegevens langs geautomatiseerde weg of in gestructureerde manuele bestanden, overeenkomstig de artikelen 14, 15 en 16 van het Eurojust-besluit.

2. De nationale leden die persoonsgegevens betreffende individuele zaken verwerken, stellen het doel en de middelen van de persoonsgegevensverwerking vast en worden derhalve als verantwoordelijke dan wel, voorzover van toepassing, als medeverantwoordelijke voor de verwerking van de gegevens beschouwd.

Artikel 14

Rechtmatigheid en billijkheid van de verwerking

Persoonsgegevens mogen verzameld en verder verwerkt worden in het kader van met een zaak verband houdende activiteiten, voorzover de verwerking nodig is voor de uitvoering van de taken van Eurojust in verband met de versterking van de strijd tegen ernstige vormen van criminaliteit.

Artikel 15

Beperking van het doel

Persoonsgegevens die door Eurojust in het kader van onderzoeken en vervolgingen worden verwerkt, worden onder geen beding voor enig ander doel verwerkt.

Artikel 16

Kwaliteit van de gegevens

1. Indien door een lidstaat of een externe partij informatie aan Eurojust wordt verstrekt in het kader van een onderzoek of vervolging, is Eurojust niet verantwoordelijk voor de juistheid van de ontvangen informatie, maar zorgt het ervoor dat, vanaf het moment waarop het deze informatie ontvangt, alle redelijke maatregelen worden getroffen om de informatie actueel te houden.

2. Indien Eurojust een onnauwkeurigheid vaststelt die de betrokken gegevens aanbelangt, stelt het de derde waarvan het de informatie heeft ontvangen, daarvan in kennis en corrigeert het deze informatie.

Artikel 17

Speciale categorieën gegevens

1. Eurojust treft passende technische maatregelen om ervoor te zorgen dat de functionaris voor de gegevensbescherming automatisch in kennis wordt gesteld van de uitzonderlijke gevallen waarin artikel 15, lid 4, van het Eurojust-besluit wordt toegepast. Het case management-systeem zorgt ervoor dat zulke gegevens niet kunnen worden opgenomen in het in artikel 16, lid 1, van het Eurojust-besluit genoemde register.

2. Wanneer die gegevens betrekking hebben op getuigen of slachtoffers in de zin van artikel 15, lid 2, van het Eurojust-besluit, slaat het case management-systeem deze informatie niet op, tenzij een besluit van het College is gedocumenteerd.

Artikel 18

Verwerking van de categorieën persoonsgegevens genoemd in artikel 15, lid 3, van het Eurojust-besluit

1. Eurojust treft passende technische maatregelen om ervoor te zorgen dat de functionaris voor de gegevensbescherming automatisch in kennis wordt gesteld van de uitzonderlijke gevallen waarin, voor een bepaalde periode, artikel 15, lid 3, van het Eurojust-besluit wordt toegepast.

2. Wanneer deze gegevens betrekking hebben op getuigen of slachtoffers in de zin van artikel 15, lid 2, van het Eurojust-besluit, slaat het case management-systeem deze informatie niet op, tenzij een gezamenlijk besluit daartoe van ten minste twee nationale leden is gedocumenteerd.

HOOFDSTUK II

Rechten van de betrokkenen

Artikel 19

Recht op informatie van de betrokkenen

1. In het kader van het operationele werk van Eurojust wordt de betrokkene informatie over de verwerking verstrekt zodra blijkt dat de verstrekking van die informatie aan de betrokkene geen aantasting zou betekenen van:

a) de uitvoering van de taken van Eurojust in verband met de versterking van de strijd tegen ernstige vormen van criminaliteit; of

b) nationale onderzoeken of vervolgingen waaraan Eurojust deelneemt; of

c) een taak op het gebied van toezicht, inspectie of regelgeving, verbonden, zelfs indien incidenteel, met de uitoefening van het openbaar gezag in de gevallen bedoeld in de punten a) en b); of

d) de rechten en vrijheden van derden.

2. De toepassing van de in lid 1 genoemde gevallen wordt vastgelegd in het tijdelijke werkbestand dat verband houdt met de betrokken zaak, met vermelding van de basis voor het besluit dat is genomen door het nationale lid of de nationale leden verantwoordelijk voor dit bestand.

Artikel 20

Recht op toegang van de betrokkenen

Eenieder heeft recht op toegang tot de hem of haar betreffende, door Eurojust verwerkte persoonsgegevens, onder de voorwaarden van artikel 19 van het Eurojust-besluit.

Artikel 21

Procedure voor de uitoefening van de rechten van de betrokkenen

1. Eenieder die zijn rechten als betrokkene wenst uit te oefenen, kan daartoe een aanvraag indienen, rechtstreeks bij Eurojust of bij de door de lidstaat van zijn keuze aangewezen instantie die de aanvraag zal toezenden aan Eurojust.

2. Aanvragen voor de uitoefening van rechten worden behandeld door de betrokken nationale leden, die een afschrift van de aanvraag ter registratie toesturen aan de functionaris voor gegevensbescherming.

3. De betrokken nationale leden verrichten de nodige controles en delen de functionaris voor gegevensbescherming mee welk besluit zij in het specifieke geval hebben genomen. Dit besluit houdt ten volle rekening met de onderhavige voorschriften en met de regelgeving die op de aanvraag van toepassing is overeenkomstig artikel 19, lid 3, van het Eurojust-besluit, met de weigeringsgronden die zijn vermeld in artikel 19, lid 4, van het Eurojust-besluit en met de resultaten van de raadpleging van de bevoegde wetshandhavingsinstanties, die overeenkomstig artikel 19, lid 9, van het Eurojust-besluit moet plaatsvinden voordat een besluit wordt genomen.

4. De functionaris voor gegevensbescherming verricht zo nodig aanvullende controles in het case-management-systeem en brengt de betrokken nationale leden op de hoogte van eventuele aanvullende informatie die bij deze controles wordt gevonden. De betrokken nationale leden kunnen op grond van de door de functionaris voor gegevensbescherming verstrekte informatie besluiten om hun oorspronkelijk besluit te herzien.

5. De functionaris voor gegevensbescherming brengt het definitieve besluit van de betrokken nationale leden overeenkomstig artikel 19, lid 6, van het Eurojust-besluit ter kennis van de betrokkene en wijst de betrokkene erop dat hij beroep kan instellen bij het Gemeenschappelijk Controleorgaan indien hij geen genoegen neemt met het antwoord van Eurojust.

6. De aanvraag moet binnen drie maanden na ontvangst afgehandeld zijn. De betrokkene kan zich tot het Gemeenschappelijk Controleorgaan wenden indien hij binnen voornoemde termijn geen antwoord heeft gekregen.

7. Wanneer de aanvraag door een nationale instantie is toegezonden, zorgen de betrokken nationale leden ervoor dat die instantie op de hoogte wordt gebracht van het feit dat de functionaris voor gegevensbescherming de betrokkene heeft geantwoord.

8. Eurojust stelt procedures in voor samenwerking met de nationale instanties die zijn aangewezen voor de behandeling van de aanvragen van betrokkenen in verband met de uitoefening van hun rechten, teneinde te waarborgen dat die aanvragen naar behoren en tijdig aan Eurojust worden toegezonden.

Artikel 22

Kennisgeving aan derden na correctie, blokkering of verwijdering van met een zaak verband houdende persoonsgegevens

Eurojust neemt passende technische maatregelen om te waarborgen dat in gevallen waarin Eurojust naar aanleiding van een aanvraag persoonsgegevens corrigeert, blokkeert of verwijdert, automatisch een lijst wordt gegenereerd met de verstrekkers en ontvangers van die gegevens. Overeenkomstig artikel 20, lid 5, van het Eurojust-besluit, zorgt de verantwoordelijke voor de verwerking ervoor dat de ontvangers en verstrekkers van de lijst op de hoogte worden gebracht van de wijzigingen van de persoonsgegevens.

HOOFDSTUK III

Gegevensbeveiliging

Artikel 23

Geautomatiseerd case management-systeem

1. Eurojust stelt een geautomatiseerd case-management-systeem met een geïntegreerd bestand in, dat door de nationale leden wordt gebruikt bij de behandeling van met een zaak verband houdende activiteiten en dat de tijdelijke werkbestanden en het register omvat als bedoeld in artikel 16 van het Eurojust-besluit. Dit systeem omvat functies als case management, beschrijving van de workflow, verwijzingen tussen gegevens en beveiliging.

2. Het case management-systeem wordt door het College goedgekeurd na raadpleging van de functionaris voor gegevensbescherming, het Gemeenschappelijk Controleorgaan en de betrokken Eurojust-personeelsleden, en het houdt ten volle rekening met de voorschriften van artikel 22 en eventuele andere relevante bepalingen van het Eurojust-besluit.

3. Het case management-systeem stelt de nationale leden in staat te bepalen met welke doeleinden en specifieke doelstellingen een tijdelijk werkbestand wordt geopend binnen het kader van de taken die worden vermeld in de artikelen 5, 6 en 7 van het Eurojust-besluit.

Artikel 24

Tijdelijke werkbestanden en register

1. Overeenkomstig artikel 14, lid 4, en artikel 16 van het Eurojust-besluit legt Eurojust een register van onderzoeksgegevens en tijdelijke werkbestanden met onder meer persoonsgegevens aan Het register en de tijdelijke werkbestanden maken deel uit van het in artikel 23 bedoelde case management-systeem en nemen de bij artikel 15 van het Eurojust-besluit opgelegde beperkingen inzake de verwerking van persoonsgegevens in acht.

2. De nationale leden zijn verantwoordelijk voor het aanleggen van nieuwe tijdelijke werkbestanden in verband met de zaken die zij behandelen. Het case management-systeem kent automatisch een referentienummer (identificatienummer) toe aan elk nieuw tijdelijk werkbestand.

3. Eurojust voert een geautomatiseerd case management-systeem in dat de nationale leden de mogelijkheid biedt om de toegang tot door hen in een tijdelijk werkbestand verwerkte gegevens, te beperken of om andere nationale leden die betrokken zijn bij de zaak waarop het bestand betrekking heeft, toegang tot de gegevens of tot een gedeelte ervan te verlenen. Het case management-systeem biedt de nationale leden de mogelijkheid om te bepalen welke specifieke persoonsgegevens of niet-persoonsgebonden gegevens toegankelijk zijn voor andere nationale leden, assistenten of bevoegde personeelsleden die bij de behandeling van de zaak betrokken zijn, en om de gegevens te selecteren die zij in het register willen opnemen, overeenkomstig artikel 14 en artikel 15 van het Eurojust-besluit; zij zorgen er daarbij voor dat ten minste de volgende gegevens in het register worden opgenomen: de verwijzing naar het tijdelijke werkbestand; de aard van de strafbare feiten; de betrokken lidstaten, internationale organisaties en instanties en/of autoriteiten van derde landen; de betrokkenheid van de Europese Commissie of EU-instanties en -organen; de doestellingen en de status van de zaak (open/gesloten).

4. Wanneer een nationaal lid aan een of meer betrokken nationale leden toegang verleent tot een tijdelijk werkbestand of tot een gedeelte ervan, zorgt het case management-systeem ervoor dat de gemachtigde gebruikers toegang hebben tot de relevante gedeelten van het bestand, maar dat zij geen wijzigingen kunnen aanbrengen in de gegevens die door de oorspronkelijke auteur zijn ingevoerd. De gemachtigde gebruikers kunnen evenwel relevante informatie toevoegen aan de nieuwe gedeelten van tijdelijke werkbestanden. Evenzo kan informatie van het register door alle gemachtigde gebruikers worden ingezien, maar uitsluitend door de oorspronkelijke auteur worden gewijzigd.

5. Het systeem stelt de functionaris voor gegevensbescherming automatisch in kennis van de creatie van nieuwe werkbestanden die persoonsgegevens bevatten en in het bijzonder van uitzonderlijke gevallen waarin artikel 15, lid 3, van het Eurojust-besluit wordt toegepast. Het case management-systeem markeert deze gegevens op zodanige wijze dat de persoon die de gegevens in het systeem heeft ingevoerd, wordt herinnerd aan de voorwaarde dat deze gegevens slechts gedurende een beperkte periode mogen worden opgeslagen. Wanneer deze gegevens betrekking hebben op getuigen of slachtoffers in de zin van artikel 15, lid 2, van het Eurojust-besluit, slaat het systeem de gegevens niet op, tenzij een gezamenlijk besluit daartoe van ten minste twee nationale leden is gedocumenteerd.

6. Het systeem stelt de functionaris voor gegevensbescherming automatisch in kennis van uit-zonderlijke gevallen waarin artikel 15, lid 4, van het Eurojust-besluit wordt toegepast. Wanneer die gegevens betrekking hebben op getuigen of slachtoffers in de zin van artikel 15, lid 2, van het Eurojust-besluit, houdt het case management-systeem deze informatie alleen bij, indien het besluit van het College is gedocumenteerd.

7. Het case management-systeem zorgt ervoor dat uitsluitend de persoonsgegevens bedoeld in artikel 15, lid 1, onder a) tot en met i) en onder k), en artikel 15, lid 2, van het Eurojust-besluit in het register kunnen worden opgenomen.

8. In het register moeten voldoende gegevens worden opgenomen met het oog op de taken van Eurojust en in het bijzonder de doelstellingen van artikel 16, lid 1.

Artikel 25

Logbestanden en audit trails

1. Eurojust neemt de passende technische maatregelen om te waarborgen dat een register van alle verwerkingen van persoonsgegevens wordt bijgehouden. Het case management-systeem zorgt er in het bijzonder voor dat voor de doeleinden van artikel 19, lid 3, van het Eurojust-besluit een register van de overdracht en de ontvangst van gegevens als bedoeld bij artikel 17, lid 2, onder b), van het Eurojust-besluit wordt bijgehouden. Dat register biedt overeenkomstig artikel 22 van het Eurojust-besluit de mogelijkheid de mogelijkheid te controleren en vast te stellen welke persoonsgegevens in systemen voor geautomatiseerde gegevensverwerking zijn ingevoerd, alsook wanneer en door wie zij zijn ingevoerd.

2. De functionaris voor gegevensbescherming controleert deze registers regelmatig ten einde de nationale leden en het College te kunnen bijstaan in kwesties inzake gegevensbescherming en hij verricht de nodige onderzoeken in geval van onregelmatigheden. Zo nodig brengt de functionaris voor gegevensbescherming volgens de procedure van artikel 17, lid 4, van het Eurojust-besluit het College en het Gemeenschappelijk Controleorgaan op de hoogte van inbreuken op de gegevens-bescherming die aan de hand van bovengenoemde registers kunnen worden aangetoond. De functionaris voor gegevensbescherming zorgt ervoor dat de administratief directeur zo nodig op de hoogte wordt gebracht, zodat deze intern de nodige maatregelen kan nemen.

3. De functionaris voor gegevensbescherming geeft het Gemeenschappelijk Controleorgaan op verzoek volledige toegang tot de in lid 1 bedoelde gegevens.

Artikel 26

Geautoriseerde toegang tot persoonsgegevens

1. Eurojust treft de passende technische maatregelen en organisatorische regelingen om ervoor te zorgen dat uitsluitend nationale leden, hun assistenten en bevoegd Eurojust-personeelsleden met het oog op de verwezenlijking van de doelstellingen van Eurojust toegang hebben tot persoonsgegevens die door Eurojust in het kader van zijn operationele activiteiten worden verwerkt.

2. Voornoemde maatregelen houden rekening met de doeleinden waarvoor de gegevens zijn verzameld en vervolgens worden verwerkt, de stand van de techniek, het vanwege de gevoelige activiteiten van Eurojust vereiste beveiligingsniveau en de voorschriften van artikel 22 van het Eurojust-besluit.

3. Elk nationaal lid van Eurojust verstrekt de functionaris voor gegevensbescherming de nodige documenten en informatie met betrekking tot het in zijn nationaal kantoor gevoerde beleid inzake de toegang tot bestanden in verband met een zaak. De nationale leden zorgen er in het bijzonder voor dat passende organisatorische regelingen worden getroffen en nageleefd en dat naar behoren gebruik wordt gemaakt van de technische en organisatorische middelen die hen door Eurojust ter beschikking worden gesteld.

4. Het College kan andere Eurojust-personeelsleden toegang verlenen tot bestanden in verband met een zaak wanneer dat nodig is voor de vervulling van de taken van Eurojust.

Artikel 27

Audits en controle

1. De functionaris voor gegevensbescherming ziet toe op de rechtmatigheid en de inachtneming van de bepalingen van het Eurojust-besluit, het bestaande reglement van orde en andere voorschriften in verband met de verwerking van persoonsgegevens die op Eurojust van toepassing zijn. Daartoe verleent de functionaris voor gegevensbescherming de nationale leden de nodige bijstand bij gegevensbeschermingsvraagstukken en toetst hij jaarlijks de naleving van voornoemde voorschriften binnen Eurojust. De functionaris voor gegevensbescherming brengt bij het College en het Gemeenschappelijk Controleorgaan verslag uit over de resultaten van deze toetsing, alsmede over andere belangrijke ontwikkelingen binnen Eurojust. De functionaris voor gegevensbescherming zorgt ervoor dat indien nodig de administratief directeur op de hoogte wordt gebracht, zodat deze intern de nodige maatregelen kan nemen.

2. Het Gemeenschappelijk Controleorgaan voert audits en controles uit overeenkomstig artikel 23, lid 7, van het Eurojust-besluit.

HOOFDSTUK IV

Gegevensstromen naar derde partijen of organisaties

Artikel 28

Gegevensstromen naar derde partijen of organisaties

1. Eurojust streeft ernaar om samenwerkingsovereenkomsten met passende bepalingen betreffende de uitwisseling van persoonsgegevens tot stand te brengen met alle partners waarmee regelmatig gegevens worden uitgewisseld.

2. Onverminderd de bestaande samenwerkingsovereenkomsten, geeft Eurojust alleen persoonsgegevens door aan een derde land of aan een van de in artikel 27, lid 1, van het Eurojust-besluit bedoelde instanties indien die gebonden zijn door het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, ondertekend te Straatsburg op 28 januari 1981, of indien er een toereikend beschermingsniveau is gewaarborgd.

3. Het besluit inzake de doorgifte van gegevens aan landen of organisaties die geen partij zijn bij het Verdrag van de Raad van Europa van 28 januari 1981 wordt genomen door de betrokken nationale leden, op basis van een beoordeling inzake de toereikendheid van het beschermingsniveau door de functionaris voor gegevensbescherming. De toereikendheid van het beschermingsniveau wordt beoordeeld in het licht van alle omstandigheden voor elke doorgifte of doorgiftecategorie. De beoordeling berust met name op een onderzoek van de volgende elementen: het type gegevens, het doel en de duur van de verwerking waarvoor de gegevens worden doorgegeven, het land van oorsprong en het land van de uiteindelijke bestemming, de in de betrokken staat of organisatie geldende algemene en sectorale rechtsregels en beroeps- en beveiligingsvoorschriften, evenals het bestaan van voldoende door de ontvanger van de doorgegeven gegevens geboden garanties. Die garanties kunnen in het bijzonder worden ontleend aan schriftelijke overeenkomsten die bindend zijn voor de verantwoordelijke voor de verwerking die de gegevens doorgeeft en de ontvanger die niet onder de rechtsmacht van een partij bij het Verdrag valt. De inhoud van de betrokken overeenkomsten moet de relevante bestanddelen van de gegevensbescherming omvatten. Bij problemen in verband met beoordeling van het beschermingsniveau, raadpleegt de functionaris voor gegevensbescherming het Gemeenschappelijk Controleorgaan voordat hij tot de beoordeling van een specifieke doorgifte overgaat.

4. Zelfs indien niet aan de voorwaarden van de vorige leden is voldaan, kan een nationaal lid evenwel, in de in artikel 27, lid 6, van het Eurojust-besluit genoemde uitzonderlijke omstandigheden, uitsluitend met het oog op dringende maatregelen ter voorkoming van een onmiddellijk en ernstig gevaar voor een persoon of de openbare veiligheid, gegevens doorgeven aan een derde land. Het nationaal lid legt zo'n uitzonderlijke doorgifte vast in het tijdelijk werkbestand betreffende de zaak, met vermelding van de redenen van die mededeling, en stelt de functionaris voor gegevensbescherming in kennis van zo'n mededeling. De functionaris voor gegevensbescherming gaat na of zulke doorgiftes alleen in uitzonderlijke en dringende gevallen plaatsvinden.

HOOFDSTUK V

Bewaartermijn van persoonsgegevens

Artikel 29

Bewaartermijn van persoonsgegevens

1. Eurojust neemt passende technische maatregelen om te waarborgen dat de bewaartermijn van persoonsgegevens als omschreven in artikel 21 van het Eurojust-besluit in acht wordt genomen.

2. Het case management-systeem waarborgt met name dat na de invoering van de gegevens in een tijdelijk werkbestand om de drie jaar wordt nagegaan of de bewaring noodzakelijk is. Die verificatie moet naar behoren in het systeem worden vastgelegd, met inbegrip van de motivering voor ieder genomen besluit, en de resultaten ervan worden automatisch ter kennis van de functionaris voor gegevensbescherming gebracht.

3. Het case management-systeem markeert in het bijzonder de gegevens die voor een bepaalde periode zijn opgeslagen, overeenkomstig artikel 15, lid 3, van het Eurojust-besluit. Voor die categorie gegevens wordt om de drie maanden nagegaan of bewaring noodzakelijk is, en die verificatie wordt op dezelfde wijze vastgelegd als aangegeven in de leden 1 en 2.

4. De verantwoordelijke voor de verwerking raadpleegt zo nodig het college en de functionaris voor gegevensbescherming over ieder na een verificatie te nemen besluit om gegevens langer te bewaren.

TITEL IV

VOORSCHRIFTEN VOOR NIET MET EEN ZAAK VERBAND HOUDENDE VERWERKINGSHANDELINGEN

HOOFDSTUK I

Algemene beginselen

Artikel 30

Rechtmatigheid en billijkheid van de verwerking

Persoonsgegevens moeten billijk en rechtmatig worden verwerkt. Verwerking van persoons-gegevens mag met name slechts geschieden indien:

a) het noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke voor de verwerking is onderworpen, of

b) het noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene, of

c) de betrokkene daarvoor ondubbelzinnig toestemming heeft gegeven, of

d) het noodzakelijk is ter bescherming van een vitaal belang van de betrokkene, of

e) het noodzakelijk is voor door de verantwoordelijke voor de verwerking behartigde legitieme belangen, tenzij de belangen van de grondrechten en de fundamentele vrijheden van de betrokkene die krachtens artikel 4 van dit reglement van orde beschermd moeten worden, prevaleren.

Artikel 31

Beperking van het doel

1. Persoonsgegevens moeten worden verwerkt voor een specifiek en welbepaald rechtmatig en legitiem doel en mogen vervolgens alleen verder worden verwerkt indien dat niet onverenigbaar is met het oorspronkelijke doel van de verwerking.

2. Uitsluitend met het oog op het beveiligen, controleren en beheren van de verwerkingssystemen of -verrichtingen verzamelde persoonsgegevens mogen voor geen enkel ander doel worden gebruikt, behalve voor preventie, onderzoek, opsporing en vervolging van ernstige strafbare feiten.

Artikel 32

Verwerking van bijzondere categorieën van gegevens

1. De verwerking van persoonsgegevens waaruit de raciale of etnische afkomst, de politieke opvattingen, de godsdienstige of levensbeschouwelijke overtuiging, of het lidmaatschap van een vakvereniging blijkt, alsook de verwerking van gegevens betreffende de gezondheid of het seksueel gedrag dan wel strafrechtelijke veroordelingen op niet met de zaak verband houdende gronden, is verboden.

2. Dit verbod is niet van toepassing indien:

a) de betrokkene uitdrukkelijk in een dergelijke verwerking heeft toegestemd, of

b) de verwerking noodzakelijk is met het oog op de uitvoering van de verplichtingen en de specifieke rechten van de verantwoordelijke voor de verwerking, zoals verplichtingen op het gebied van het belasting- of arbeidsrecht die op de verantwoordelijke voor de verwerking van toepassing zijn, of, indien nodig, voorzover de functionaris voor gegevensbescherming daar-mee heeft ingestemd, en adequate garanties worden geboden, of

c) de verwerking noodzakelijk is ter bescherming van de vitale belangen van de betrokkene of van een andere persoon indien de betrokkene lichamelijk of juridisch niet in staat is zijn toestemming te geven, of

d) de verwerking betrekking heeft op duidelijk door de betrokkene openbaar gemaakte gegevens of noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in rechte.

3. De in lid 1 bedoelde gegevens worden alleen verwerkt voor het doel waarvoor zij oorspronke-lijk zijn verzameld.

Artikel 33

Uitzonderingen op het recht op informatie van de betrokkene

1. In het kader van het niet-operationele werk van Eurojust kunnen uitzonderingen op het algemene beginsel van informatie van de betrokkene worden gemaakt wanneer de verstrekking van die informatie aan de betrokkene een aantasting zou betekenen van:

a) een belangrijk economisch of financieel belang van een lidstaat of van de Europese Unie, of

b) de bescherming van de betrokkene of van de rechten en vrijheden van anderen, of

c) de nationale veiligheid, de openbare veiligheid en de defensie van de lidstaten.

2. De functionaris voor gegevensbescherming wordt er onmiddellijk van in kennis gesteld wanneer deze uitzonderingen worden gemaakt.

Artikel 34

Informatie van de functionaris voor gegevensbescherming

1. Alvorens een verwerking of een reeks verwerkingen met een enkel doel of met verscheidene samenhangende doeleinden uit te voeren, stelt iedere verantwoordelijke voor de verwerking vooraf de functionaris voor gegevensbescherming daarvan in kennis.

2. De te verstrekken informatie behelst ten minste:

a) de naam van de verantwoordelijke voor de verwerking en een indicatie van de organisatieonderdelen van een instelling of een orgaan die met de verwerking van persoonsgegevens voor een bepaald doel zijn belast;

b) de doeleinde(n) van de verwerking;

c) een beschrijving van de categorie(ën) betrokkenen en van de gegevens of categorieën gegevens die daarop betrekking hebben;

d) de rechtsgrondslag van de verwerking waarvoor de gegevens bestemd zijn;

e) de ontvangers of categorieën ontvangers aan wie de gegevens bekend kunnen worden gemaakt; en

f) een algemene beschrijving om vooraf te kunnen beoordelen of de beveiligingsmaatregelen adequaat zijn.

3. Eventuele relevante wijzigingen in de in het vorige lid genoemde informatie worden onverwijld aan de functionaris voor gegevensbescherming medegedeeld.

Artikel 35

Register

1. De functionaris voor gegevensbescherming houdt een register van de overeenkomstig de voorgaande bepaling gemelde verwerkingen bij.

2. Het register bevat ten minste de in artikel 34, lid 2, punten a) tot en met g), bedoelde informatie.

3. De functionaris voor gegevensbescherming stelt alle in het register vervatte informatie op verzoek ter beschikking van het Gemeenschappelijk Controleorgaan.

Artikel 36

Verwerking van persoonsgegevens voor rekening van de verantwoordelijke voor de verwerking

1. De verantwoordelijke voor de verwerking kiest, in geval van verwerking voor zijn rekening door een externe verwerker, een verwerker die voldoende waarborgen biedt ten aanzien van de technische en organisatorische beveiligingsmaatregelen als vereist door artikel 22 van het Eurojust-besluit en eventuele andere relevante documenten en hij ziet toe op de naleving van die maat-regelen.

2. De uitvoering van verwerkingen door een externe verwerker wordt geregeld in een overeenkomst of door een rechtshandeling die de verwerker ten opzichte van de verantwoordelijke voor de verwerking bindt en waarin met name wordt bepaald dat:

a) de verwerker slechts op instructies van de verantwoordelijke voor de verwerking handelt, en

b) de in het Eurojust-besluit en dit reglement bedoelde verplichtingen inzake vertrouwelijkheid en beveiliging eveneens rusten op de verwerker, tenzij de verwerker ingevolge artikel 16 of artikel 17, lid 3, tweede streepje, van Richtlijn 95/46/EG van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (1), al onderworpen is aan verplichtingen inzake vertrouwelijkheid en beveiliging uit hoofde van het nationale recht van een lidstaat.

3. Met het oog op de bewaring van bewijsmateriaal worden de op de bescherming van de gegevens betrekking hebbende onderdelen van de overeenkomst of rechtshandeling en de vereiste maatregelen inzake vertrouwelijkheid en beveiliging schriftelijk of in een andere, gelijkwaardige vorm vastgelegd.

Artikel 37

Geautomatiseerde individuele besluiten

De betrokkene heeft het recht niet te worden onderworpen aan een besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem verregaand treft en dat uitsluitend op een geautomatiseerde gegevensverwerking berust die bestemd is om bepaalde aspecten van zijn persoonlijkheid, zoals beroepsprestatie, betrouwbaarheid of gedrag te beoordelen, tenzij het besluit uitdrukkelijk is toegestaan krachtens een nationale of Europese regelgeving of, zo nodig, door de functionaris voor gegevensbescherming. In beide gevallen worden maatregelen genomen om de legitieme belangen van de betrokkene te beschermen, zoals regelingen die de betrokkene in staat stellen zijn standpunt kenbaar te maken, of die hem in staat stellen de logica van de verwerking te begrijpen.

HOOFDSTUK II

Interne voorschriften betreffende de bescherming van persoonsgegevens en van de persoonlijke levenssfeer in het kader van interne telecommunicatienetwerken

Artikel 38

Toepassingsgebied

1. Onverminderd de voorgaande artikelen zijn de in dit hoofdstuk vervatte voorschriften van toepassing op de verwerking van persoonsgegevens in verband met het gebruik en het beheer van telecommunicatienetwerken of eindapparatuur die onder de verantwoordelijkheid van Eurojust worden geëxploiteerd.

2. Voor de doeleinden van de in dit hoofdstuk vervatte voorschriften wordt onder „gebruiker” verstaan, elke natuurlijke persoon die gebruik maakt van een telecommunicatienetwerk of eind-apparatuur waarvan de exploitatie onder de verantwoordelijkheid van Eurojust valt.

Artikel 39

Beveiliging

1. Eurojust neemt passende technische en organisatorische maatregelen om het veilige gebruik van de telecommunicatienetwerken en van eindapparatuur (computers, servers, apparatuur en programmatuur) te waarborgen, indien nodig in samenwerking met de aanbieders van publiek toegankelijke telecommunicatiediensten en/of met die van openbare telecommunicatienetwerken. Die maatregelen waarborgen een beveiligingsniveau dat in verhouding staat tot het betrokken risico, rekening houdend met de stand van de techniek en de kosten van uitvoering ervan.

2. Indien er enig bijzonder risico bestaat dat de beveiliging van het netwerk en van de eind-apparatuur wordt doorbroken, licht Eurojust de gebruikers in over dergelijke risico's, over moge-lijke middelen om die risico's tegen te gaan en over alternatieve communicatiemiddelen.

Artikel 40

Vertrouwelijk karakter van het communicatieverkeer

Eurojust waarborgt het vertrouwelijke karakter van het communicatieverkeer via telecommunicatienetwerken en via eindapparatuur, met inachtneming van het Gemeenschapsrecht.

Artikel 41

Verkeers- en rekeninggegevens

1. Verkeersgegevens met betrekking tot gebruikers, die worden verwerkt om oproepen en andere verbindingen via het telecommunicatiesysteem tot stand te brengen, worden bij beëindiging van de oproep of andere verbinding gewist of anoniem gemaakt.

2. Uitzonderingen op dit algemene beginsel (zoals de noodzaak bepaalde verkeersgegevens te bewaren indien die gekoppeld zijn aan het gegevensoptekeningsproces dat nodig is voor bepaalde dossiers of voor het in rekening brengen van particuliere oproepen) zijn alleen toegestaan indien zij zijn voorzien in de interne voorschriften die Eurojust na overleg met de functionaris voor gegevensbescherming heeft aangenomen. Indien de functionaris voor gegevensbescherming niet overtuigd is van de rechtmatigheid of de passendheid van dergelijke uitzonderingen, wordt het Gemeenschappelijk Controleorgaan geraadpleegd.

3. Verkeers- en rekeninggegevens mogen slechts worden verwerkt door personen die zich met facturering en met verkeers- en begrotingsbeheer bezighouden.

Artikel 42

Gebruikerslijsten

1. Persoonsgegevens die in gedrukte of in elektronische gebruikerslijsten zijn opgenomen en de toegang tot dergelijke lijsten worden beperkt tot hetgeen voor de specifieke doeleinden van de lijst noodzakelijk is.

2. Die lijsten zijn alleen beschikbaar voor Eurojust-gebruikers, voor uitsluitend intern gebruik, of in andere passend geachte interinstitutionele lijsten.

HOOFDSTUK III

Specifieke voorschriften

Artikel 43

Aanvullende voorschriften

Indien nodig ontwikkelt Eurojust verdere voorschriften voor de verwerking van persoonsgegevens in niet met een zaak verband houdende handelingen. Die voorschriften worden ter kennis gebracht van het Gemeenschappelijk Controleorgaan en bekendgemaakt in afzonderlijke interne handboeken.

TITEL VI

OVERIGE BEPALINGEN

Artikel 44

Evaluatie van het reglement

1. Dit reglement wordt regelmatig geëvalueerd om te beoordelen of er wijzigingen in moeten worden aangebracht. Voor eventuele wijzigingen in dit reglement worden de procedures gevolgd die in het Eurojust-besluit zijn vastgesteld voor de goedkeuring van het reglement.

2. Indien de functionaris voor gegevensbescherming van mening is dat er wijzigingen in dit reglement van orde moeten worden aangebracht, stelt hij zowel de voorzitter van het college als het Gemeenschappelijk Controleorgaan daarvan in kennis.

3. Het Gemeenschappelijk Controleorgaan brengt alle voorstellen of aanbevelingen betreffende wijzigingen in het huidige reglement van orde onder de aandacht van het college.

Artikel 45

Inwerkingtreding en toepassing

1. Dit reglement van orde treedt in werking op de dag volgende op zijn definitieve goedkeuring door de Raad.

2. Het wordt bekendgemaakt in het Publicatieblad van de Europese Unie.

(1) PB L 281 van 23.11.1995, blz. 31.