STYRELSENS BESLUT 28/2022

av den 4 april 2022

om interna bestämmelser avseende begränsningar av vissa av de rättigheter som registrerade har i samband med behandling av personuppgifter inom ramen för åtgärder som vidtas av Europeiska gräns- och kustbevakningsbyrån

STYRELSEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16,

med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (1) (förordningen), särskilt artikel 25,

med beaktande av Europaparlamentets och rådets förordning (EU) 2019/1896 av den 13 november 2019 om den europeiska gräns- och kustbevakningen och om upphävande av förordningarna (EU) nr 1052/2013 och (EU) 2016/1624 (2) (förordningen om den europeiska gräns- och kustbevakningen), särskilt artikel 86.2,

efter att ha hört Europeiska datatillsynsmannen den 16 november 2021, och

av följande skäl:

(1) Europeiska gräns- och kustbevakningsbyrån (byrån) är bemyndigad att utföra administrativa utredningar, förfaranden som föregår disciplinära förfaranden, disciplinära förfaranden och avstängningsförfaranden i enlighet med tjänsteföreskrifterna för tjänstemän i Europeiska unionen och anställningsvillkoren för övriga anställda i Europeiska unionen, som fastställs i rådets förordning (EEG, Euratom, EKSG) nr 259/68 (3) (tjänsteföreskrifterna), och i enlighet med styrelsens beslut 26/2018 av den 25 oktober 2018 om antagande av allmänna genomförandebestämmelser för utförandet av administrativa utredningar och disciplinära förfaranden. Vid behov anmäler byrån också ärenden till Olaf.

(2) Byråns personal är skyldig att rapportera potentiellt olaglig verksamhet, inbegripet bedrägeri och korruption, som kan skada unionens intressen. Personalen är även skyldig att rapportera uppträdande i tjänsten som kan innebära ett allvarligt avsteg från skyldigheterna för unionens tjänstemän. Detta regleras genom styrelsens beslut 17/2019 av den 18 juli 2019 om antagande av Frontex riktlinjer för visselblåsning.

(3) Byrån har antagit en policy för att förebygga och hantera faktiska eller eventuella fall av mobbning och sexuella trakasserier på arbetsplatsen, såsom föreskrivs i styrelsens beslut 16/2019 av den 18 juli 2019 om antagande av genomförandebestämmelser enligt tjänsteföreskrifterna. I beslutet fastställs ett informellt förfarande där den som påstår sig ha utsatts för trakasserierna kan kontakta byråns konfidentiella rådgivare.

(4) Byrån kan även utreda potentiella överträdelser av säkerhetsbestämmelser för säkerhetsskyddsklassificerade EU-uppgifter, på grundval av dess säkerhetsbestämmelser om skydd av sådana uppgifter.

(5) Byråns verksamhet är föremål för både interna och externa revisioner, som bland annat utförs av Europeiska revisionsrätten. De interna revisionerna utförs av byråns internrevisionsfunktion som inrättats genom styrelsens beslut 43/2020 av den 9 december 2020 om antagande av byråns ändrade organisationsstruktur och relevant beslut av den verkställande direktören i enlighet med artikel 80 i styrelsens beslut 19/2019 av den 23 juli 2019 om antagande av Frontex budgetförordning.

(6) Byrån handlägger externa klagomål, i synnerhet de som mottas inom ramen för det system för klagomål som inrättats i enlighet med artikel 111 i förordningen om den europeiska gräns- och kustbevakningen i syfte att övervaka och säkerställa respekten för de grundläggande rättigheterna inom all verksamhet vid byrån.

(7) Deltagare i Frontex verksamhet är skyldiga att rapportera allvarliga incidenter i enlighet med artikel 38.3 h i förordningen om den europeiska gräns- och kustbevakningen och den verkställande direktörens beslut av den 19 april 2021 om standardrutiner (SOP) – rapportering av allvarliga incidenter (4). Byrån har även inrättat en tillsynsmekanism för att övervaka hur den ordinarie personalen tillämpar bestämmelserna i förordningen om den europeiska gräns- och kustbevakningen om användning av våld, bland annat reglerna om rapportering och särskilda åtgärder, såsom disciplinära åtgärder, med avseende på användning av våld under utplaceringar. Detta regleras genom styrelsens beslut 7/2021 av den 20 januari 2021 om inrättande av en tillsynsmekanism för att övervaka hur den ordinarie personal som utgör den europeiska gräns- och kustbevakningens stående styrka tillämpar bestämmelserna om användning av våld. Byrån övervakar även hur personal som utstationeras från medlemsstaterna till byrån för en längre tid, personal som tillhandahålls av medlemsstaterna för kortvariga utplaceringar och personal som ingår i reserven för snabba gränsinsatser använder våld inom Frontex operativa verksamhet i enlighet med det relevanta beslutet av den verkställande direktören.

(8) I samband med sådana administrativa utredningar, revisioner, utredningar av klagomål, undersökningar, rapportering av allvarliga incidenter och övervakning samarbetar byrån med medlemsstaternas (5) behöriga myndigheter samt andra av unionens institutioner, organ och byråer.

(9) Byrån kan samarbeta med behöriga myndigheter i tredjeländer och internationella organisationer, på deras begäran eller på eget initiativ.

(10) Byrån ingriper i mål vid Europeiska unionens domstol och nationella domstolar när den antingen hänskjuter en fråga till domstolen, försvarar ett beslut som den har fattat och som har överklagats till domstolen eller intervenerar i ärenden som är relevanta för dess arbetsuppgifter. I samband med detta kan byrån behöva säkerställa konfidentialiteten för personuppgifter som finns i dokument från parterna eller intervenienterna.

(11) För att kunna utföra sina arbetsuppgifter samlar byrån in och behandlar information och flera olika kategorier av personuppgifter, inklusive identifieringsuppgifter för fysiska personer, kontaktinformation, yrkesroller och arbetsuppgifter, information angående uppträdande och prestationer privat och professionellt samt finansiella uppgifter. Byrån fungerar därmed som personuppgiftsansvarig.

(12) Enligt förordningen är byrån därför skyldig att förse de registrerade med information om denna behandling och respektera deras rättigheter som registrerade.

(13) Byrån kan behöva förena dessa rättigheter med syftena med administrativa utredningar, revisioner, undersökningar, rapportering av allvarliga incidenter och övervakning av tillämpningen av bestämmelserna i förordningen om den europeiska gräns- och kustbevakningen om användning av våld samt domstolsförfaranden. Byrån kan även behöva ställa de registrerades rättigheter mot andra registrerades grundläggande rättigheter och friheter. I detta syfte föreskrivs i artikel 25 i förordningen och artikel 86.2 i förordningen om den europeiska gräns- och kustbevakningen en möjlighet för byrån att, under stränga villkor, begränsa tillämpningen av artiklarna 14–22, 35 och 36 samt artikel 4 i förordningen, i den mån bestämmelserna motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–20. Om begränsningar inte föreskrivs i en rättsakt som har antagits på grundval av fördragen är det nödvändigt att anta interna regler enligt vilka byrån får begränsa dessa rättigheter.

(14) Byrån kan exempelvis behöva begränsa sitt tillhandahållande av information om behandling av personuppgifter till en registrerad vid den preliminära bedömningsfasen i en administrativ utredning eller under själva utredningen, före en eventuell avvisning av ärendet eller i ett skede som föregår ett disciplinärt förfarande, eller om den registrerade eventuellt kan omfattas av särskilda åtgärder, såsom disciplinära åtgärder, med avseende på användning av våld under utplaceringar. Under vissa omständigheter kan ett tillhandahållande av sådan information väsentligt påverka byråns förmåga att genomföra utredningen eller övervaka användningen av våld på ett effektivt sätt, till exempel när det finns en risk att den berörda personen förstör bevisning eller påverkar eventuella vittnen innan de kan höras.

(15) Byrån kan också behöva skydda rättigheterna och friheterna för såväl vittnen som andra berörda personer. På liknande sätt kan byrån behöva begränsa tillhandahållandet av information om behandlingen av personuppgifter till en registrerad om tillhandahållandet av informationen väsentligt kan påverka bedömningen och valideringen vid rapporteringen av allvarliga incidenter i enlighet med artikel 38.3 h i förordningen om den europeiska gräns- och kustbevakningen.

(16) Det kan bli nödvändigt att garantera anonymiteten för ett vittne eller en uppgiftslämnare som har bett om att inte bli identifierad. I ett sådant fall kan byrån besluta att begränsa tillgången till sådana personers identitet, uttalanden och andra personuppgifter för att skydda deras rättigheter och friheter. Byrån kan framför allt behöva garantera anonymiteten för vittnen eller andra personer som rapporterar incidenter som innebär användning av våld i enlighet med tillsynsmekanismen för att övervaka tillämpningen av bestämmelserna i förordningen om den europeiska gräns- och kustbevakningen om användning av våld. Inom ramen för rapporteringen av allvarliga incidenter i enlighet med artikel 38.3 h i förordningen om den europeiska gräns- och kustbevakningen kan byrån även behöva garantera anonymiteten för deltagare i Frontex verksamhet som rapporterat en sådan incident.

(17) Det kan bli nödvändigt att skydda konfidentiella uppgifter om en anställd som har kontaktat byråns konfidentiella rådgivare. I sådana fall kan byrån behöva begränsa tillgången till identitet, uttalanden och andra personuppgifter från det påstådda offret, den påstådda gärningsmannen och andra berörda personer för att skydda rättigheterna och friheterna för alla parter.

(18) Byrån behandlar sin ordinarie personals personuppgifter med avseende på deras medicinska och psykologiska lämplighet, inklusive vid behov för beviljande av tillstånd att bära och använda vapen i enlighet med artikel 82.7 i förordningen om den europeiska gräns- och kustbevakningen och styrelsens beslut 3/2021 av den 15 januari 2021 (6). Med hänsyn till den känsliga naturen hos medicinska uppgifter och för att skydda den registrerade från direkt åtkomst till handlingar som kan vara skadliga för den registrerades hälsa och psykiska tillstånd ska byrån tillhandahålla indirekt åtkomst till den relevanta medicinska informationen genom byråns medicinska rådgivare eller en extern vårdgivare för relevant medicinsk information och rådgivning.

(19) Byrån bör endast tillämpa begränsningar när de respekterar andemeningen i de grundläggande rättigheterna och friheterna, är absolut nödvändiga och är en proportionell åtgärd i ett demokratiskt samhälle. Byrån bör motivera skälen till dessa begränsningar.

(20) Med tillämpning av principen om ansvarsskyldighet bör byrån registrera tillämpningen av begränsningar.

(21) Under behandlingen av personuppgifter som utbyts med andra organisationer i samband med dess arbetsuppgifter bör byrån samråda med dessa organisationer om potentiella grunder för att införa begränsningar och om frågan huruvida begränsningarna är nödvändiga och proportionella, såvida detta inte kan äventyra byråns verksamhet.

(22) Enligt artikel 25.6 i förordningen ska den personuppgiftsansvarige informera de registrerade om de huvudsakliga skälen till begränsningen och om deras rätt att ge in ett klagomål till Europeiska datatillsynsmannen.

(23) Enligt artikel 25.8 i förordningen får byrån skjuta upp, utelämna eller neka tillhandahållande av information till den registrerade om skälen till begränsningen, om detta på något sätt skulle upphäva verkan av begränsningen. Byrån bör i varje enskilt fall bedöma huruvida meddelandet av begränsningen skulle upphäva dess verkan.

(24) Byrån bör upphäva begränsningen så snart som de förhållanden som motiverar begränsningen inte längre är tillämpliga och bedöma dessa med jämna mellanrum.

(25) För att garantera maximalt skydd för de registrerades rättigheter och friheter och i enlighet med artikel 44.1 i förordningen bör byråns dataskyddsombud rådfrågas i tid om tillämpningen av eventuella begränsningar och kontrollera efterlevnaden av detta beslut.

(26) Byrån har fastställt separata regler för behandlingen av operativa personuppgifter, i enlighet med artikel 90 i förordningen om den europeiska gräns- och kustbevakningen, inklusive särskilda interna regler om lagring av operativa personuppgifter och om begränsningar av de relevanta rättigheterna hos registrerade (7).

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1 Innehåll, tillämpningsområde och personuppgiftsansvar 1. I detta beslut fastställs bestämmelser om de villkor på vilka byrån får begränsa tillämpningen av artiklarna 4, 14–22, 35 och 36 i förordningen, i enlighet med artikel 25 i förordningen och artikel 86.2 i förordningen om den europeiska gräns- och kustbevakningen. Detta beslut gäller för byråns behandling av personuppgifter för administrativa uppgifter i enlighet med artikel 87.1 h i förordningen om den europeiska gräns- och kustbevakningen. 2. I enlighet med punkt 1 och under förutsättning att villkoren i detta beslut uppfylls får begränsningar tillämpas på följande rättigheter: de registrerades rätt till information, de registrerades rätt att få tillgång till information, de registrerades rätt till rättelse eller radering av personuppgifter samt rätt till begränsning av behandling och rätten att bli underrättad om personuppgiftsincidenter och rätten till konfidentiell behandling av elektronisk kommunikation. 3. De kategorier av personuppgifter som omfattas av detta beslut är både objektiva/hårda data (t.ex. personidentifierande uppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från särskilda källor, elektronisk kommunikation och trafikuppgifter) och subjektiva/mjuka data (t.ex. resonemang, uppgifter om beteende, bedömningar, uppgifter om prestationer och uppförande samt uppgifter som rör eller har lagts fram i samband med föremålet för förfarandet eller verksamheten i fråga). 4. Byrån företräds, i dess funktion som personuppgiftsansvarig, av sin verkställande direktör. Byråns regler för genomförande av förordningen i fråga om personuppgiftsansvar ska gälla (8). 5. Registrerade ska underrättas om de utsedda personuppgiftsansvariga via information eller register som offentliggörs på byråns webbplats och/eller intranät.

Artikel 2 Begränsningar 1. Byrån får begränsa tillämpningen av artiklarna 14–22, 35 och 36 i förordningen samt artikel 4 i den mån bestämmelserna i den motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–22 vid personuppgiftsbehandling i sådana syften som anges i artikel 1.1 i detta beslut a) i enlighet med artikel 25.1 b, c, f, g och h i förordningen när byrån utför administrativa utredningar, förfaranden som föregår disciplinära förfaranden, disciplinära förfaranden eller avstängningsförfaranden enligt tjänsteföreskrifternas artikel 86 och bilaga IX och enligt styrelsebeslut 26/2018 av den 25 oktober 2018 om antagande av allmänna genomförandebestämmelser för utförandet av administrativa utredningar och disciplinära förfaranden, när den anmäler ärenden till Olaf och i enlighet med artikel 25.1 c, g och h i förordningen när dataskyddsombudet utreder frågor som har direkt samband med dennes arbetsuppgifter vid utredningar av behandling som utförts vid byrån i enlighet med artikel 5.11 i styrelsens beslut 56/2021 av den 15 oktober 2021 (9); byrån får begränsa vissa av de rättigheter som avses i artikel 1.2 i detta beslut för en personalmedlem, en berörd person eller en tredje part med avseende på all information som väsentligt kan påverka framtida eller pågående utredningar, förfaranden som föregår disciplinära förfaranden, disciplinära förfaranden eller avstängningsförfaranden, inbegripet vittnesmål och andra handlingar, b) i enlighet med artikel 25.1 h i förordningen när byrån säkerställer att dess personal får rapportera uppgifter konfidentiellt om de anser att det föreligger betydande oegentligheter, såsom föreskrivs i styrelsens beslut 17/2019 av den 18 juli 2019 om antagande av Frontex riktlinjer för visselblåsning; byrån får begränsa vissa av de rättigheter som avses i artikel 1.2 i beslutet för registrerade som eventuellt är involverade i de påstådda förseelserna med avseende på all information som kan äventyra anonymiteten för en person som rapporterat en betydande oegentlighet, c) i enlighet med artikel 25.1 h i förordningen när byrån säkerställer att dess personal kan använda sig av stödet från de konfidentiella rådgivarna, såsom fastställs i styrelsens beslut 16/2019 av den 18 juli 2019 om Frontex policy för skydd av enskildas värdighet och förebyggande av mobbning och sexuella trakasserier; byrån får begränsa vissa av de rättigheter som avses i artikel 1.2 i detta beslut för påstådda gärningsmän om det är nödvändigt för att garantera anonymiteten för potentiella offer för trakasserier och vittnen, d) i enlighet med artikel 25.1 c, g och h i förordningen när byrån utför interna och externa revisioner med avseende på verksamheter eller avdelningar vid byrån, i synnerhet när internrevisioner utförs av byråns internrevisionsfunktion; byrån får begränsa vissa av de rättigheter som avses i artikel 1.2 i detta beslut för registrerade med avseende på information som kan äventyra konfidentialiteten för information som insamlats vid revisionen eller som kan störa en pågående revision, e) i enlighet med artikel 25.1 b, e, g och h i förordningen, i samband med Europeiska åklagarmyndighetens utredningar; byrån får begränsa vissa av de rättigheter som avses i artikel 1.2 i detta beslut för registrerade med avseende på information som är nödvändig för att säkerställa det korrekta genomförandet av och konfidentialiteten för Europeiska åklagarmyndighetens utredningar, f) i enlighet med artikel 25.1 c, e, g och h i förordningen när byrån handlägger klagomål, däribland sådana som byrån mottar inom ramen för sitt system för klagomål som inrättats i enlighet med artikel 111 i förordningen om den europeiska gräns- och kustbevakningen i syfte att övervaka och säkerställa respekten för de grundläggande rättigheterna inom all verksamhet vid byrån och det relevanta beslutet av den verkställande direktören; byrån får begränsa vissa av de rättigheter som avses i artikel 1.2 i detta beslut för personal som deltar i byråns verksamhet (10) och som är föremål för ett klagomål med avseende på all information som väsentligt kan påverka bedömningen och handläggningen av klagomålet, g) i enlighet med artikel 25.1 c, e, g och h i förordningen när byrån hanterar rapporter om incidenter i enlighet med artikel 38.3 h i förordningen om den europeiska gräns- och kustbevakningen och den verkställande direktörens beslut av den 19 april 2021 om standardrutiner (SOP) – rapportering av allvarliga incidenter; byrån får begränsa vissa av de rättigheter som avses i artikel 1.2 i detta beslut för registrerade som omfattas av rapporten om allvarliga incidenter med avseende på information som väsentligt kan påverka valideringen och bedömningen av rapporten om allvarliga incidenter samt uppföljningsåtgärder och anonymiteten för vittnen eller andra personer som rapporterat incidenter, däribland migranter och personer som är föremål för ett beslut om återvändande, h) i enlighet med artikel 25.1 b, c, f, g och h i förordningen när byrån övervakar hur den ordinarie personal som utgör den europeiska gräns- och kustbevakningens stående styrka tillämpar bestämmelserna om användning av våld enligt artikel 55.5 a i förordningen om den europeiska gräns- och kustbevakningen och styrelsens beslut 7/2021 av den 20 januari 2021 och när byrån övervakar hur personal som utstationeras från medlemsstaterna till byrån för en längre tid, personal som tillhandahålls av medlemsstaterna för kortvariga utplaceringar och personal som ingår i reserven för snabba gränsinsatser använder våld inom Frontex operativa verksamhet i enlighet med det relevanta beslutet av den verkställande direktören; byrån får begränsa vissa av de rättigheter som avses i artikel 1.2 i detta beslut för registrerade som omfattas av en rapport om användning av våld med avseende på information (inbegripet vittnesmål och andra handlingar) som väsentligt kan påverka kontrollen av rapporten och eventuella framtida eller pågående uppföljningsåtgärder, däribland utredningar, förfaranden som föregår disciplinära förfaranden, disciplinära förfaranden eller avstängningsförfaranden, i) i enlighet med artikel 25.1 b, c, d, g och h i förordningen när byrån tillhandahåller eller tar emot bistånd samt samarbetar med andra av unionens institutioner, organ och byråer, i samband med de arbetsuppgifter som avses i leden a–h i denna punkt och i enlighet med relevanta servicenivåavtal, samförståndsavtal och samarbetsavtal, j) i enlighet med artikel 25.1 b, c, g och h i förordningen när byrån tillhandahåller medlemsstaternas behöriga nationella myndigheter bistånd, tar emot bistånd från dessa myndigheter eller samarbetar med dem, antingen på deras begäran eller på eget initiativ, särskilt i samband med de arbetsuppgifter som avses i leden f–h i denna punkt och i enlighet med bestämmelserna i förordningen om den europeiska gräns- och kustbevakningen och styrelsens beslut, k) i enlighet med artikel 25.1 b, c, g och h i förordningen när byrån tillhandahåller eller tar emot bistånd samt samarbetar med behöriga nationella myndigheter i tredjeländer och internationella organisationer, särskilt i enlighet med relevanta servicenivåavtal, samförståndsavtal och samarbetsavtal, l) i enlighet med artikel 25.1 e i förordningen när byrån behandlar personuppgifter i samband med ett förfarande vid Europeiska unionens domstol eller vid nationella domstolar och tribunaler, m) i enlighet med artikel 25.1 h i förordningen när byrån handlägger begäranden från personalen om att få åtkomst till sina patientjournaler som är kopplade till deras medicinska och psykologiska lämplighet, om direkt åtkomst till dessa handlingar kan vara skadlig för den registrerades hälsa eller psykiska tillstånd; i sådana fall ska byrån tillhandahålla indirekt åtkomst till den relevanta medicinska informationen genom byråns medicinska rådgivare eller en extern vårdgivare, n) i enlighet med artikel 25.1 c, d, g och h i förordningen när byrån utför säkerhetsanalyser som kan leda till interna undersökningar kopplade till cybersäkerhetsincidenter eller it-systemintrång, inklusive med extern hjälp från CERT-EU, när den säkerställer den inre säkerheten genom videoövervakning, för ändamål kopplade till åtkomstkontroll och utredningar samt för skydd av kommunikations- och informationssystem och genomförande av motåtgärder avseende teknisk säkerhet; byrån får begränsa vissa av de rättigheter som avses i artikel 1.2 i detta beslut för registrerade med avseende på information som väsentligt kan påverka de säkerhetsanalyserna, medlen för säkerställande av den inre säkerheten, inklusive åtkomstkontroll, säkerhetsundersökningarna och motåtgärderna avseende teknisk säkerhet. 2. Eventuella begränsningar ska respektera andemeningen i de grundläggande rättigheterna och friheterna och vara nödvändiga och proportionella i ett demokratiskt samhälle. 3. En bedömning av nödvändigheten och proportionaliteten ska göras i varje enskilt fall innan begränsningar börjar tillämpas. Begränsningar ska endast tillämpas där det är absolut nödvändigt för att uppnå målet med dem. 4. Byrån ska i redovisningssyfte registrera skälen till de begränsningar som tillämpas, vilka av de grunder som anges i punkt 1 som är tillämpliga och resultatet av bedömningen av nödvändigheten och proportionaliteten. Dessa uppgifter ska utgöra del av ett register som på begäran ska göras tillgängligt för Europeiska datatillsynsmannen. Byrån ska sammanställa och offentliggöra regelbundna rapporter om tillämpningen av artikel 25 i förordningen. 5. Under sin behandling av personuppgifter som mottagits från andra organisationer i samband med dess arbetsuppgifter ska byrån samråda med dessa organisationer om potentiella grunder för att införa begränsningar och om frågan huruvida begränsningarna är nödvändiga och proportionella, såvida detta inte skulle äventyra byråns verksamhet.

Artikel 3 Risker för de registrerades rättigheter och friheter 1. Bedömningar av riskerna med begränsningar för de registrerades rättigheter och friheter samt uppgifter om tillämpningsperioden för begränsningarna ska anges i det register över behandling som förs av byrån enligt artikel 31 i förordningen. De ska även anges i de konsekvensbedömningar avseende dataskydd som görs för dessa begränsningar enligt artikel 39 i förordningen. 2. Vid bedömning av en begränsnings nödvändighet och proportionalitet ska byrån alltid beakta de potentiella riskerna för den registrerades rättigheter och friheter. 3. Begränsningar får inte tillämpas om utövandet av den begränsade rättigheten skulle undandra begränsningen dess mål eller inverka menligt på andra registrerades rättigheter och friheter.

Artikel 4 Skyddsåtgärder och lagringsperioder 1. Byrån ska genomföra skyddsåtgärder för att förhindra missbruk och olaglig tillgång till eller överföring av personuppgifter som är eller kan vara föremål för begränsningar. Sådana skyddsåtgärder ska omfatta tekniska och organisatoriska åtgärder och ska, om så behövs, specificeras i beslut av byråns styrelse, beslut av den verkställande direktören, operativa planer som upprättats i enlighet med artikel 38 i förordningen om den europeiska gräns- och kustbevakningen, interna beslut, förfaranden och administrativa meddelanden. Skyddsåtgärderna ska omfatta a) en tydlig definition av funktioner, ansvar och olika steg i förfarandet, b) om så är lämpligt, en säker elektronisk miljö som förebygger olaglig eller oavsiktlig tillgång till eller överföring av elektroniska uppgifter till obehöriga personer, c) om så är lämpligt, säker lagring och behandling av pappersbaserade dokument, d) vederbörlig kontroll av begränsningar och regelbunden översyn av deras tillämpning. Den översyn som avses i led d ska utföras minst var sjätte månad och kan leda till att begränsningar upphävs i enlighet med punkt 2. Översynerna ska dokumenteras av den personuppgiftsansvarige i redovisningssyfte. 2. Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre föreligger. 3. Personuppgifterna ska lagras i enlighet med de lagringsbestämmelser som är tillämpliga för byrån, såsom de definieras i de dataskyddsregister som förs enligt artikel 31 i förordningen. I slutet av lagringsperioden ska personuppgifterna raderas, anonymiseras eller överföras till arkiv i enlighet med artikel 13 i förordningen.

Artikel 5 Dataskyddsombudets roll 1. Dataskyddsombudet ska informeras utan onödigt dröjsmål när registrerades rättigheter begränsas i enlighet med detta beslut. Han eller hon ska få tillgång till de tillhörande registren och alla dokument som rör faktiska och rättsliga delar. 2. Dataskyddsombudet får begära en översyn av tillämpningen av en begränsning. Byrån ska skriftligen informera dataskyddsombudet om resultatet av översynen. 3. Byrån ska dokumentera dataskyddsombudets deltagande i tillämpningen av begränsningar, inklusive vilken information som delas med honom eller henne. 4. Den personuppgiftsansvarige ska informera dataskyddsombudet när en begränsning har upphävts.

Artikel 6 Information till registrerade om begränsningar av deras rättigheter 1. Byrån ska i meddelanden om dataskydd som publiceras på dess webbplats och intranät införa ett avsnitt med allmän information till de registrerade om att deras rättigheter kan komma att begränsas i enlighet med artikel 2.1. Informationen ska omfatta vilka rättigheter som kan komma att begränsas, skälen till detta och möjlig varaktighet. 2. Byrån ska skriftligen och utan onödigt dröjsmål informera de registrerade individuellt om nuvarande eller framtida begränsningar av deras rättigheter. Byrån ska informera de registrerade om de huvudsakliga skälen till begränsningen, om deras rätt att rådfråga dataskyddsombudet i syfte att överklaga begränsningen och om deras rätt att ge in klagomål till Europeiska datatillsynsmannen. 3. Byrån får skjuta upp, utelämna eller neka tillhandahållandet av information om skälen till en begränsning och rätten att ge in ett klagomål till Europeiska datatillsynsmannen så länge som det skulle upphäva verkan av begränsningen. En bedömning av huruvida detta är motiverat ska göras i varje enskilt fall. Byrån ska förse de registrerade med denna information så snart detta inte längre skulle upphäva verkan av begränsningen.

Artikel 7 Information till den registrerade om en personuppgiftsincident 1. Om byrån är skyldig att informera om en personuppgiftsincident enligt artikel 35.1 i förordningen får byrån under exceptionella omständigheter begränsa sådan information helt eller delvis. Byrån ska i en not ange skälen till begränsningen, den rättsliga grunden för den enligt artikel 2 och en bedömning av begränsningens nödvändighet och proportionalitet. Noten ska överlämnas till Europeiska datatillsynsmannen vid tidpunkten för anmälan av personuppgiftsincidenten. 2. När skälen till begränsningen inte längre är tillämpliga ska byrån underrätta den registrerade om personuppgiftsincidenten, om de huvudsakliga skälen till begränsningen och om rätten att ge in ett klagomål till Europeiska datatillsynsmannen.

Artikel 8 Konfidentialitet för elektronisk kommunikation 1. Under exceptionella omständigheter får byrån begränsa rätten till konfidentialitet för elektronisk kommunikation enligt artikel 36 i förordningen. Sådana begränsningar ska vara förenliga med Europaparlamentets och rådets direktiv 2002/58/EG (11). 2. Om byrån begränsar rätten till konfidentialitet för elektronisk kommunikation ska den i sitt svar på begäran informera den berörda registrerade om de huvudsakliga skälen till begränsningen och om dennes rätt att ge in ett klagomål till Europeiska datatillsynsmannen. 3. Byrån får skjuta upp, utelämna eller neka tillhandahållandet av information om skälen till en begränsning och rätten att ge in ett klagomål till Europeiska datatillsynsmannen så länge som det skulle upphäva verkan av begränsningen. En bedömning av huruvida detta är motiverat ska göras i varje enskilt fall.

Artikel 9 Ikraftträdande Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Utfärdat genom skriftligt förfarande den 4 april 2022. På styrelsens vägnar Marko GAŠPERLIN Ordförande

(1) EUT L 295, 21.11.2018, s. 39.

(2) EUT L 295, 14.11.2019, s. 1.

(3) Rådets förordning (EEG, Euratom, EKSG) nr 259/68 av den 29 februari 1968 om fastställande av tjänsteföreskrifter för tjänstemännen i Europeiska gemenskaperna och anställningsvillkor för övriga anställda i dessa gemenskaper samt om införande av särskilda tillfälliga åtgärder beträffande kommissionens tjänstemän (EGT L 56, 4.3.1968, s. 1).

(4) Executive Director Decision No R-ED-2021-51 of 19.4.2021 on Standard Operating Procedure (SOP) – Serious Incident Reporting (inte översatt till svenska).

(5) I detta beslut avser begreppet medlemsstater även stater som deltar i den berörda utvecklingen av Schengenregelverket i den mening som avses i fördraget om Europeiska unionens funktionssätt och dess protokoll (nr 19) om Schengenregelverket införlivat inom Europeiska unionens ramar.

(6) Management Board Decision 3/2021 of 15 January 2021 adopting rules for the Executive Director to authorise statutory staff to carry and use weapons, including on mandatory cooperation with the competent national authorities, and ensuring that the conditions for issuing such authorisations continue to be met by statutory staff (inte översatt till svenska).

(7) Management Board Decision 69/2021 of 21 December 2021 adopting rules on processing operational personal data by the Agency (inte översatt till svenska).

(8) Management Board Decision 56/2021 of 15 October 2021 adopting implementing rules on the application of Regulation (EU) 2018/1725 concerning the tasks, duties and powers of the Data Protection Officer as well as rules concerning Designated Controllers in Frontex (inte översatt till svenska).

(9) Management Board Decision 56/2021 of 15 October 2021 adopting implementing rules on the application of Regulation (EU) 2018/1725 concerning the tasks, duties and powers of the Data Protection Officer as well as rules concerning Designated Controllers in Frontex (inte översatt till svenska).

(10) Med personal som deltar i byråns verksamhet avses medlemmar i enheterna såsom byråns egen personal och personalmedlemmar i kategorierna 2, 3 och 4 för den stående styrkan.

(11) Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37).