BESLUIT Nr. 42-2021 VAN DE REKENKAMER

van 20 mei 2021

tot vaststelling van interne voorschriften betreffende beperkingen van bepaalde rechten van betrokkenen in verband met de verwerking van persoonsgegevens in het kader van activiteiten van de Europese Rekenkamer

DE EUROPESE REKENKAMER,

Gezien het Verdrag betreffende de werking van de Europese Unie (“VWEU”),

Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (de “verordening”), en met name artikel 25 en hoofdstuk VI,

Gezien de besprekingen binnen de Rekenkamer tijdens haar vergadering van 20 mei 2021,

Na raadpleging van de Europese Toezichthouder voor gegevensbescherming over dit besluit overeenkomstig artikel 41, lid 2, van de verordening, die op 23 september 2019 advies heeft uitgebracht,

Overwegende dat de Europese Rekenkamer (de “Rekenkamer”) in het kader van haar activiteiten verschillende categorieën persoonsgegevens verwerkt en verplicht is de rechten van natuurlijke personen in verband met de verwerking van persoonsgegevens zoals erkend in artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie en artikel 16, lid 1, VWEU te eerbiedigen,

Overwegende dat het in bepaalde omstandigheden noodzakelijk is de rechten van betrokkenen uit hoofde van de verordening te verenigen met de behoeften die voortvloeien uit de taken en activiteiten van de Rekenkamer. Daartoe voorziet artikel 25 van de verordening onder strikte voorwaarden in de mogelijkheid om de toepassing van de artikelen 14 tot en met 20, 35 en 36, alsmede van artikel 4 te beperken,

Overwegende dat de Rekenkamer alleen beperkingen mag toepassen wanneer deze de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laten en in een democratische samenleving een noodzakelijke en evenredige maatregel vormen. De Rekenkamer moet alle beperkingen op transparante wijze behandelen en de betrokkene informatie verstrekken over de redenen voor de toepassing van een beperking,

Overwegende dat de Rekenkamer de beperking moet opheffen zodra de voorwaarden die deze rechtvaardigen, niet langer vervuld worden, en dat zij regelmatig moet beoordelen of dit het geval is,

Overwegende dat de functionaris voor gegevensbescherming van de Rekenkamer (Data Protection Officer, DPO) tijdig op de hoogte moet worden gesteld van eventueel geldende beperkingen en een onafhankelijke toetsing van de toepassing van de beperkingen moet uitvoeren, teneinde de naleving van dit besluit te waarborgen,

BESLUIT:

Artikel 1 Onderwerp en toepassingsgebied Bij dit besluit worden de voorschriften vastgesteld betreffende de voorwaarden waaronder de Rekenkamer op basis van artikel 25 van de verordening de toepassing van de artikelen 14 tot en met 20, 35 en 36, alsmede van artikel 4 van die verordening kan beperken.

Artikel 2 Beperkingen 1. Overeenkomstig artikel 25, lid 1, van de verordening kan de Rekenkamer de toepassing van de artikelen 14 tot en met 20, 35 en 36, alsmede van artikel 4, voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 20 voorzien, per geval beperken bij: a) het uitvoeren van controles op basis van artikel 287 VWEU. Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punten c), g) en h), van de verordening; b) het verrichten van administratieve onderzoeken, inleidende tuchtprocedures, tucht- of schorsingsprocedures op grond van artikel 86 van het Statuut van de ambtenaren van de Europese Unie (1) (het “Statuut”) en overeenkomstig bijlage IX daarbij. Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punten b), c), d), f), g) en h), van de verordening; c) het verwerken van interne en externe klachten tegen een personeelslid of lid van de ERK. Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punt h), van de verordening; d) het verrichten van voorbereidende activiteiten in verband met aan OLAF gemelde mogelijke onregelmatigheden. Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punten b), c) en h), van de verordening; e) het waarborgen dat personeelsleden van de Rekenkamer op vertrouwelijke basis informatie kunnen verstrekken over ernstige onregelmatigheden waarvan zij in de uitoefening van hun functie kennis krijgen, overeenkomstig het reglement van orde van de Rekenkamer inzake het verstrekken van informatie in het geval van ernstige onregelmatigheden (klokkenluiden). Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punten f) en h), van de verordening; f) het waarborgen dat personeelsleden van de Rekenkamer die menen dat zij het slachtoffer zijn geweest van intimidatie, vertrouwelijk advies en ondersteuning kunnen vragen aan een manager, een contactpersoon, de raadgevend arts of een bemiddelaar, overeenkomstig Besluit nr. 26-2017 van de Rekenkamer inzake het beleid voor de instandhouding van een bevredigende werkomgeving en de bestrijding van psychologische en seksuele intimidatie. Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punten f) en h), van de verordening; g) het verrichten van interne controles op grond van Besluit nr. 38-2016 houdende uitvoeringsbepalingen bij het reglement van orde van de Rekenkamer. Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punten c), g) en h), van de verordening; h) het waarborgen, overeenkomstig artikel 26 bis van het Statuut en de artikelen 16 en 91 van de Regeling welke van toepassing is op de andere personeelsleden, van de toegang van betrokkenen tot medische gegevens van psychologische of psychiatrische aard die hen betreffen, indien rechtstreekse toegang tot die gegevens waarschijnlijk een risico vormt voor de gezondheid van de betrokkene, of tot medische gegevens indien de uitoefening van dat recht de rechten en vrijheden van de betrokkene of andere personen zou aantasten. Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punt h), van de verordening; i) het waarborgen van de interne veiligheid bij de Rekenkamer, d.w.z. de veiligheid van personen, goederen en informatie, met inbegrip van het uitvoeren van interneveiligheidsonderzoeken, eventueel met betrokkenheid van externe partijen (CERT-EU, nationale politiediensten enz.). Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punten a), b), c), d), g) en h), van de verordening; j) het waarborgen dat de DPO onderzoeken kan uitvoeren overeenkomstig artikel 45, lid 2, van de verordening. Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punten d), g) en h), van de verordening; k) het verlenen aan of ontvangen van bijstand van andere instellingen, organen en instanties van de Unie en het samenwerken hiermee. Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punten c), d), g) en h), van de verordening; l) het verlenen aan of ontvangen van bijstand van overheidsinstanties van EU-lidstaten, derde landen en internationale organisaties en het samenwerken hiermee, op hun verzoek of op eigen initiatief. Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punten c), g) en h), van de verordening; m) het verwerken van persoonsgegevens in documenten die door partijen of interveniënten zijn verkregen in het kader van een gerechtelijke procedure voor het Hof van Justitie van de Europese Unie. Relevante beperkingen kunnen worden gebaseerd op artikel 25, lid 1, punt e), van de verordening. 2. De categorieën gegevens omvatten de identificatiegegevens van natuurlijke personen, contactgegevens, beroepsmatige functies en taken, informatie over gedragingen en prestaties in functie en in de persoonlijke levenssfeer, en financiële gegevens. 3. Eventuele beperkingen laten de wezenlijke inhoud van de grondrechten en fundamentele vrijheden in een democratische samenleving onverlet en zijn noodzakelijk en evenredig. 4. De verwerkingsverantwoordelijke en de DPO voeren per geval een noodzakelijkheids- en evenredigheidstoets uit voordat er beperkingen worden toegepast. De beperkingen gaan niet verder dan hetgeen strikt noodzakelijk is om de gestelde doelen te bereiken. 5. De Rekenkamer legt de redenen voor de toegepaste beperkingen in een dossier vast, alsmede de rechtsgrondslag, de beoordeling van de risico’s voor de rechten en vrijheden van betrokkenen wier persoonsgegevens aan beperkingen kunnen worden onderworpen, en de beoordeling van de noodzaak en de evenredigheid van de beperking. Het dossier en, in voorkomend geval, de documenten met onderliggende feitelijke en juridische elementen worden opgenomen in een ad-hocregister dat op verzoek ter beschikking van de Europese Toezichthouder voor gegevensbescherming (European Data Protection Supervisor, EDPS) wordt gesteld. De documentatie betreffende beperkingen ten aanzien van het medisch dossier wordt alleen in het desbetreffende medisch dossier geregistreerd. 6. Bij de verwerking van persoonsgegevens die de Rekenkamer in het kader van haar taken met andere organisaties uitwisselt, raadplegen de Rekenkamer en deze organisaties elkaar over mogelijke relevante redenen voor het opleggen van beperkingen en de noodzakelijkheid en evenredigheid daarvan, tenzij dit de activiteiten van de Rekenkamer in gevaar zou brengen.

Artikel 3 Toezicht op beperkingen en evaluatie 1. De in artikel 2 bedoelde beperkingen blijven van toepassing zolang de omstandigheden waardoor zij worden gerechtvaardigd, blijven bestaan. 2. De Rekenkamer evalueert de toepassing van een beperking om de zes maanden na de vaststelling ervan. Een evaluatie moet ook plaatsvinden wanneer de essentiële elementen van een geval veranderen.

Artikel 4 Waarborgen 1. De Rekenkamer voert waarborgen in om misbruik of onrechtmatige toegang tot, of onrechtmatige doorgifte van persoonsgegevens die aan beperkingen onderhevig kunnen zijn, te voorkomen. Deze waarborgen omvatten technische en organisatorische maatregelen en worden voor zover nodig nader uitgewerkt in interne besluiten, procedures en uitvoeringsvoorschriften van de Rekenkamer. De waarborgen omvatten: a) een toereikende definitie van rollen, verantwoordelijkheden en procedurele stappen; b) indien van toepassing, een beveiligde elektronische omgeving die onwettige en toevallige toegang tot of overdracht van elektronische gegevens aan onbevoegden voorkomt; c) indien van toepassing, een veilige opslag en verwerking van fysieke documenten.

Artikel 5 Aan de DPO te verstrekken informatie en toetsing door de DPO 1. De DPO wordt onverwijld in kennis gesteld van elke beperking van rechten van betrokkenen overeenkomstig dit besluit en krijgt toegang tot het dossier en alle documenten met onderliggende feitelijke en juridische elementen. 2. De DPO kan een verzoek tot toetsing van de toepassing van een beperking indienen. De Rekenkamer stelt de DPO schriftelijk in kennis van de uitkomst van het verzoek. 3. De betrokkenheid van de DPO bij de beperkingsprocedure, met inbegrip van de uitwisseling van informatie, wordt in passende vorm gedocumenteerd.

Artikel 6 Aan betrokkenen verstrekte informatie over beperkingen van hun rechten 1. De Rekenkamer publiceert op haar website algemene informatie over de in artikel 2 omschreven beperkingen van rechten van betrokkenen. De reikwijdte van de beperking, de onderliggende redenen en de mogelijke duur worden beschreven. 2. Wanneer de Rekenkamer artikel 2 van dit besluit toepast, stelt zij de betrokkenen onverwijld schriftelijk in kennis van de voornaamste redenen voor de toepassing van de beperking en van het recht van de betrokkenen om een klacht in te dienen bij de EDPS en beroep in te stellen bij het Hof van Justitie van de Europese Unie. 3. De Rekenkamer kan het verstrekken van informatie over de redenen voor de beperking overeenkomstig lid 2 uitstellen, achterwege laten of weigeren, zolang dit het effect van de beperking teniet zou doen. Deze beoordeling vindt per geval plaats.

Artikel 7 Mededeling van inbreuken in verband met persoonsgegevens aan de betrokkenen Wanneer de Rekenkamer de mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene als bedoeld in artikel 35 van de verordening beperkt, legt zij de redenen voor die beperking vast en registreert zij die overeenkomstig artikel 2, lid 5, van dit besluit.

Artikel 8 Vertrouwelijkheid van elektronische communicatie 1. De Rekenkamer kan, in uitzonderlijke omstandigheden en in overeenstemming met de bepalingen van Richtlijn 2002/58/EG betreffende privacy en elektronische communicatie, het recht op vertrouwelijkheid van elektronische communicatie, bedoeld in artikel 36 van de verordening, beperken. In dat geval legt de Rekenkamer de omstandigheden, redenen, relevante risico’s en daarmee verband houdende waarborgen in specifieke interne voorschriften vast. 2. Wanneer de Rekenkamer het recht op vertrouwelijkheid van elektronische communicatie beperkt, stelt zij de betrokkene in haar antwoord op zijn of haar verzoek in kennis van de voornaamste redenen voor de toepassing van de beperking en van de mogelijkheid om een klacht in te dienen bij de EDPS of beroep in te stellen bij het Hof van Justitie van de Europese Unie. 3. De Rekenkamer kan het verstrekken van informatie over de redenen voor de beperking overeenkomstig de leden 1 en 2 uitstellen, achterwege laten of weigeren, zolang dit het effect van de beperking teniet zou doen. Deze beoordeling vindt per geval plaats.

Artikel 9 Inwerkingtreding Dit besluit treedt in werking op de dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.

Gedaan te Luxemburg, 20 mei 2021. Voor de Rekenkamer Klaus-Heiner LEHNE President

(1) Verordening (EEG, Euratom, EGKS) nr. 259/68 van de Raad van 29 februari 1968 tot vaststelling van het Statuut van de ambtenaren van de Europese Gemeenschappen en de Regeling welke van toepassing is op de andere personeelsleden van deze Gemeenschappen, alsmede van bijzondere maatregelen welke tijdelijk op de ambtenaren van de Commissie van toepassing zijn (PB L 56 van 4.3.1968, blz. 1).