KOMMISSIONENS BESLUT (EU) 2022/121

av den 27 januari 2022

om interna regler för tillhandahållande av information till registrerade och begränsning av vissa av deras rättigheter i samband med behandling av personuppgifter vid hantering av begäranden och klagomål i enlighet med tjänsteföreskrifterna

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 249.1, och

av följande skäl:

(1) Enligt tjänsteföreskrifterna för tjänstemän i Europeiska unionen och anställningsvillkoren för övriga anställda i unionen som fastställs i rådets förordning (EEG, Euratom, EKSG) nr 259/68 (1) (tjänsteföreskrifterna) ska kommissionen svara på vissa begäranden och klagomål. Dessa uppgifter utförs främst av enheten ”Överklaganden och uppföljning av ärenden” vid generaldirektoratet för personal och säkerhet (GD Personal och säkerhet) som fastställer relevanta fakta och bedömer dem ur rättslig synpunkt för att bistå tillsättningsmyndigheten eller den myndighet som är behörig att sluta anställningsavtal (myndigheten) vid fattandet av ett beslut.

(2) Enligt artikel 22c i tjänsteföreskrifterna ska kommissionen i enlighet med artiklarna 24 och 90 i tjänsteföreskrifterna införa ett förfarande för hantering av klagomål som framförts av tjänstemän beträffande det sätt på vilket de behandlats efter det att eller till följd av att de rapporterat en allvarlig oegentlighet enligt artiklarna 22a och 22b i tjänsteföreskrifterna (2).

(3) Enligt artikel 24 i tjänsteföreskrifterna ska kommissionen bistå sina tjänstemän vid rättsliga förfaranden mot någon som uttalat hotelser, förolämpningar eller varit upphov till ärekränkande handlingar eller yttranden, eller angrepp på person eller egendom som tjänstemannen eller medlemmarna av dennes familj utsätts för på grund av hans eller hennes ställning eller uppgifter.

(4) Enligt artikel 90.1 och 90.2 i tjänsteföreskrifterna kan varje person som omfattas av tjänsteföreskrifterna begära att myndigheten fattar beslut i en fråga som angår honom, eller vända sig till myndigheten med klagomål över en åtgärd som går honom emot.

(5) Inom ramen för denna verksamhet samlar kommissionen in och behandlar information. Informationen omfattar även personuppgifter, i synnerhet uppgifter om identitet, kontakter och beteende. Kommissionens behöriga avdelningar överlämnar personuppgifter till andra avdelningar inom kommissionen enligt principen om behovsenlig behörighet.

(6) Personuppgifterna lagras i en säker fysisk och elektronisk miljö för att förhindra olaglig åtkomst eller överföring av uppgifter till personer som inte har behov av att ta del av dem. När behandlingen avslutats lagras uppgifterna i enlighet med kommissionens tillämpliga bestämmelser (3).

(7) När kommissionen utför sina uppgifter i enlighet med tjänsteföreskrifterna är den skyldig att respektera fysiska personers rättigheter i samband med behandling av personuppgifter som erkänns genom artikel 8.1 i stadgan om de grundläggande rättigheterna och artikel 16.1 i fördraget samt de rättigheter som fastställs i Europaparlamentets och rådets förordning (EU) 2018/1725 (4). Kommissionen är också skyldig att följa strikta regler om konfidentialitet och tystnadsplikt.

(8) Under vissa omständigheter är det nödvändigt att väga de registrerades rättigheter enligt förordning (EU) 2018/1725 mot behovet av att säkerställa förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott och att kommissionen på ett verkningsfullt sätt reagerar på påståenden om trakasserier och annat olämpligt beteende eller angrepp, och att andra registrerades grundläggande rättigheter och friheter respekteras fullt ut. På grundval av artikel 25.1 b, c, g och h i förordning (EU) 2018/1725 får kommissionen därför begränsa tillämpningen av artiklarna 14–17, 19, 20 och 35 och av principen om öppenhet i artikel 4.1 a i den förordningen, i den mån de bestämmelserna motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–17, 19 och 20 i den förordningen.

(9) Detta kan i synnerhet vara fallet när det gäller tillhandahållande av information om behandlingen av personuppgifter till den person som berörs av en begäran eller ett klagomål (den berörda personen), särskilt när förfarandet har sitt ursprung i en begäran om bistånd enligt artikel 24 i tjänsteföreskrifterna som avser påstådda trakasserier. Kommissionen får besluta att begränsa tillhandahållandet av sådan information till den berörda personen för att skydda den begärande personens, klagandens eller vittnets rättigheter och friheter i enlighet med artikel 25.1 h i förordning (EU) 2018/1725. Kommissionen kan besluta att göra detta, särskilt för att skydda dessa personer mot eventuella repressalier från de berörda personer mot vilka påståenden gjorts i god tro, utan att detta har lett till åtgärder från administrationens sida. I vissa situationer kan det vara nödvändigt att begränsa tillhandahållandet av sådan information för att förhindra trakasserier eller andra olämpliga beteenden eller angrepp inom kommissionen (särskilt i den organisatoriska enhet där den berörda personen arbetar tillsammans med den begärande personen, klaganden och/eller vittnet).

(10) Det kan också vara nödvändigt att begränsa andra rättigheter för den berörda personen när utövandet av dessa rättigheter skulle röja information om en begärande person, en klagande eller ett vittne som har bett att få förbli anonym. I ett sådant fall får kommissionen besluta att begränsa rätten till tillgång till det uttalande som avser den berörda personen eller hans eller hennes andra rättigheter, för att skydda den begärande personens, klagandens eller vittnets rättigheter och friheter av de skäl som anges i skäl 9. Kommissionen får besluta att göra detta i enlighet med artikel 25.1 h i förordning (EU) 2018/1725.

(11) Det kan också vara nödvändigt att begränsa den berörda personens rättigheter för att skydda en övervaknings-, inspektions- eller regleringsfunktion i samband med utövandet av offentlig makt i ett fall där ett viktigt mål av allmänt intresse för unionen står på spel, nämligen att säkerställa att kommissionen reagerar på ett verkningsfullt sätt på påståenden om trakasserier och varje annat olämpligt beteende eller angrepp. Bekämpning av trakasserier och andra olämpliga beteenden eller angrepp utgör ett viktigt mål av allmänt intresse för unionen, inbegripet kommissionen. Dessutom är kommissionen skyldig att bistå sina anställda i enlighet med artikel 24 i tjänsteföreskrifterna. För att inte avskräcka anställda från att rapportera upplevda fall av trakasserier och annat olämpligt beteende eller andra olämpliga angrepp och från att begära bistånd i detta sammanhang, vilket ligger i unionens allmänna intresse, måste det säkerställas att de berörda personerna inte får kännedom om den begäran om bistånd som berör dem. Detta kan vara särskilt relevant i fall där myndigheten konstaterar att det inte förekommit trakasserier i den mening som avses i tjänsteföreskrifterna. I en sådan situation skulle unionens allmänna intresse kräva att den berörda personen inte får kännedom om begäran om bistånd för att anställda ska kunna fortsätta att använda sig av förfarandet enligt artikel 24 i tjänsteföreskrifterna och för att förhindra nya konflikter. För det ändamålet får kommissionen besluta att begränsa den berörda personens rättigheter i enlighet med artikel 25.1 c och g i förordning (EU) 2018/1725.

(12) Det kan också vara nödvändigt att begränsa den berörda personens rättigheter för att säkerställa förebyggande, förhindrande, utredning, avslöjande och lagföring av brott som begärande personer, klagande eller vittnen rapporterar till kommissionen med avseende på den berörda personen. Begärande personer, klagande och vittnen kan till exempel rapportera olämpligt beteende, mobbning och sexuella trakasserier. I sådana fall får kommissionen besluta att begränsa den berörda personens rättigheter i enlighet med artikel 25.1 b i förordning (EU) 2018/1725.

(13) Enligt tjänsteföreskrifterna ska kommissionen säkerställa att begäranden och klagomål enligt dessa förordningar behandlas konfidentiellt. För att säkerställa denna konfidentialitet måste interna regler antas enligt vilka kommissionen får begränsa registrerades rättigheter i överensstämmelse med artikel 25.1 b, c, g och h i förordning (EU) 2018/1725 samtidigt som den höga skyddsnivå för personuppgifter som föreskrivs i förordning (EU) 2018/1725 upprätthålls.

(14) De interna reglerna bör tillämpas på all behandling av uppgifter som kommissionen utför i samband med hanteringen av begäranden och klagomål i enlighet med tjänsteföreskrifterna.

(15) Kommissionen bör, för att uppfylla kraven i artiklarna 14, 15 och 16 i förordning (EU) 2018/1725, informera alla enskilda personer som berörs av verksamhet som kommissionen bedriver som innebär behandling av de personernas personuppgifter samt om deras rättigheter, vilket bör göras på ett tydligt och konsekvent sätt i form av dataskyddsmeddelanden som offentliggörs på kommissionens webbplats. I förekommande fall bör kommissionen på lämpligt sätt enskilt informera de registrerade som berörs av en begäran eller ett klagomål, dvs. begärande personer och klaganden, berörda personer och vittnen.

(16) Kommissionen bör hantera alla begränsningar på ett öppet sätt och registrera varje tillämpning av begränsningar i motsvarande register.

(17) När det gäller begränsningar av tillämpningen av artikel 16 i förordning (EU) 2018/1725, där det föreskrivs att om personuppgifterna inte har erhållits från den registrerade, måste den registrerade informeras inom en månad, och kommissionen bör inom en månad upprätta ett register med angivande av skälen till eventuella begränsningar. Detta register bör inbegripa en bedömning från fall till fall av begränsningens nödvändighet och proportionalitet.

(18) Enligt artikel 25.8 i förordning (EU) 2018/1725 får personuppgiftsansvariga skjuta upp, utelämna eller neka tillhandahållandet av information rörande de huvudsakliga skälen till en begränsning av den registrerades rättigheter i de fall då tillhandahållandet av informationen skulle kunna upphäva verkan av begränsningen. Detta är fallet särskilt i fråga om begränsningar av tillämpningen av artiklarna 16 och 35 i den förordningen.

(19) Kommissionen bör regelbundet se över införda begränsningar för att säkerställa att de registrerades rätt att bli informerade i enlighet med artiklarna 16 och 35 i förordning (EU) 2018/1725 endast begränsas så länge som är nödvändigt av de orsaker som anges i skäl 8.

(20) Tillämpningen av begränsningar bör ses över vid besvarandet av begäranden som lämnats in enligt artiklarna 22c, 24 och 90.1 i tjänsteföreskrifterna och klagomål som lämnats in enligt artiklarna 22c och 90.2 i tjänsteföreskrifterna, eller när sådana begäranden och klagomål avslutas, beroende på vilket som inträffar först. Kommissionen bör därefter på årsbasis övervaka behovet av att bibehålla eventuella begränsningar.

(21) I vissa fall kan det visa sig nödvändigt att bibehålla en begränsning, särskilt en begränsning av tillämpningen av artikel 16 i förordning (EU) 2018/1725, till dess att personuppgifterna i fråga inte längre lagras av kommissionen. I sådana fall bör den registrerade inte informeras om behandlingen av hans eller hennes personuppgifter. En sådan situation skulle kunna uppstå särskilt när det finns en hög risk för att tillhandahållandet av information om behandlingen av personuppgifter till den berörda personen skulle undergräva andras rättigheter och friheter. Detta kan vara fallet om myndigheten avslår en begäran om bistånd som gjorts i god tro på grund av påstått olämpligt beteende från den berörda personens sida, och om den berörda personen och den begärande personen arbetar tillsammans inom samma organisatoriska enhet. I en sådan situation riskerar den begärande personen att utsättas för repressalier och den organisatoriska enhetens arbetsmiljö riskerar att påverkas. I ett sådant fall bör den berörda personens personuppgifter endast lagras så länge som uppgifterna är relevanta för hanteringen av begäran och/eller klagomålet och så länge som det senare kan bli föremål för en rättstvist.

(22) Europeiska kommissionens dataskyddsombud bör göra en oberoende översyn av tillämpningen av begränsningar för att säkerställa efterlevnaden av detta beslut.

(23) Europeiska datatillsynsmannen har hörts och avgav ett yttrande den 23 september 2021.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1 Syfte och tillämpningsområde 1. I detta beslut fastställs de regler som kommissionen ska följa för att informera registrerade om behandlingen av deras personuppgifter i enlighet med artiklarna 14, 15 och 16 i förordning (EU) 2018/1725 vid hanteringen av begäranden och klagomål i enlighet med tjänsteföreskrifterna. I detta beslut fastställs även villkoren för hur kommissionen får begränsa tillämpningen av artiklarna 4, 14–17, 19, 20 och 35 i förordning (EU) 2018/1725, i enlighet med artikel 25.1 b, c, g och h i den förordningen. 2. Detta beslut ska tillämpas på kommissionens behandling av personuppgifter vid hanteringen av begäranden och klagomål enligt artiklarna 22c och 24 samt artikel 90.1 och 90.2 i tjänsteföreskrifterna. 3. De kategorier av personuppgifter som omfattas av detta beslut inbegriper uppgifter om identitet, kontakter och beteende samt särskilda kategorier av personuppgifter i den mening som avses i artikel 10.1 i förordning (EU) 2018/1725.

Artikel 2 Tillämpliga undantag och begränsningar 1. Kommissionen ska vid fullgörandet av sina skyldigheter med avseende på de registrerades rättigheter enligt förordning (EU) 2018/1725 överväga om några av de undantag som anges i den förordningen är tillämpliga. 2. Om inte annat följer av artiklarna 3–7 i detta beslut gäller att om utövandet av de rättigheter och skyldigheter som anges i artiklarna 14–17, 19, 20 och 35 i förordning (EU) 2018/1725 vad gäller personuppgifter som behandlas av kommissionen skulle undergräva de grunder som anges i artikel 25.1 b, c, g eller h i den förordningen, får kommissionen begränsa tillämpningen av a) artiklarna 14–17, 19, 20 och 35 i förordning (EU) 2018/1725, och b) den princip om öppenhet som fastställs i artikel 4.1 a i förordning (EU) 2018/1725, i den mån de bestämmelserna motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–17, 19 och 20 i den förordningen, i syfte att säkerställa förebyggande, förhindrande, utredning, avslöjande och lagföring av brott som begärande personer, klagande eller vittnen rapporterar till kommissionens behöriga avdelningar med avseende på den person som berörs av påståenden om trakasserier eller annat olämpligt beteende eller angrepp. 3. Punkterna 1 och 2 ska inte påverka tillämpningen av andra kommissionsbeslut om interna regler för tillhandahållande av information till registrerade och begränsning av vissa rättigheter enligt artikel 25 i förordning (EU) 2018/1725, 4. Varje begränsning av de rättigheter och skyldigheter som avses i punkt 2 ska vara nödvändig och stå i proportion till riskerna för de registrerades rättigheter och friheter. 5. Innan begränsningar tillämpas gör kommissionen en bedömning från fall till fall av deras nödvändighet och proportionalitet. Begränsningar ska endast tillämpas där det är absolut nödvändigt för att uppnå målet med dem.

Artikel 3 Tillhandahållande av information till registrerade 1. Kommissionen ska på sin webbplats offentliggöra ett meddelande om skydd av personuppgifter för att informera alla registrerade om kommissionens verksamhet som innebär att deras personuppgifter behandlas vid hanteringen av begäranden och klagomål i enlighet med tjänsteföreskrifterna. 2. Kommissionen ska på lämpligt sätt enskilt informera begärande personer och klagande samt berörda personer och vittnen som har uppmanats att lämna upplysningar i samband med sådana begäranden eller klagomål om att deras personuppgifter behandlas. 3. Om kommissionen i enlighet med artikel 2 helt eller delvis begränsar tillhandahållandet av den information som avses i punkt 2 till de berörda personer vars personuppgifter behandlas vid hanteringen av begäranden och klagomål i enlighet med tjänsteföreskrifterna, ska kommissionen dokumentera och registrera skälen till begränsningen i enlighet med artikel 6.

Artikel 4 Registrerades rätt till tillgång till, radering av eller begränsning av behandlingen 1. När kommissionen, helt eller delvis, begränsar de registrerades rätt till tillgång till, radering av eller begränsning av behandlingen av deras personuppgifter såsom avses i artiklarna 17, 19 respektive 20 i förordning (EU) 2018/1725 ska kommissionen i sitt svar på begäran om tillgång, radering eller begränsning av behandling informera den berörda registrerade a) om den begränsning som tillämpas och om de huvudsakliga skälen till detta, b) om att den registrerade när som helst kan inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol. 2. Tillhandahållandet av information om skälen till den begränsning som avses i punkt 1 får skjutas upp, utelämnas eller nekas så länge som detta innebär att det finns en risk för att verkan av begränsningen upphävs. 3. Kommissionen ska dokumentera skälen till begränsningen i enlighet med artikel 6. 4. När rätten till tillgång helt eller delvis begränsas, kan den registrerade utöva sin rätt till tillgång via Europeiska datatillsynsmannen, i enlighet med artikel 25.6, 25.7 och 25.8 i förordning (EU) 2018/1725.

Artikel 5 Information till registrerade om personuppgiftsincidenter När kommissionen begränsar den information som tillhandahålls en registrerad om en personuppgiftsincident, såsom avses i artikel 35 i förordning (EU) 2018/1725, ska kommissionen dokumentera och registrera skälen till begränsningen i enlighet med artikel 6. Kommissionen ska översända dokumentationen till Europeiska datatillsynsmannen vid tidpunkten för anmälan av personuppgiftsincidenten.

Artikel 6 Dokumentation och registrering av begränsningar 1. Kommissionen ska dokumentera skälen till varje begränsning som tillämpas enligt detta beslut, inbegripet den bedömning som görs av begränsningens nödvändighet och proportionalitet, med beaktande av relevanta delar av artikel 25.2 i förordning (EU) 2018/1725. 2. I dokumentationen ska det anges hur den registrerades utövande av rättigheten skulle undergräva en eller flera av de tillämpliga grunder som anges i artikel 25.1 b, c, g och h i förordning (EU) 2018/1725. 3. Dokumentationen och, i tillämpliga fall, de handlingar som innehåller de bakomliggande faktiska och rättsliga omständigheterna, ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.

Artikel 7 Begränsningarnas varaktighet 1. De begränsningar som avses i artiklarna 3, 4 och 5 ska fortsätta att tillämpas så länge de skäl som ligger till grund för dem föreligger. 2. När skälen för en sådan begränsning som avses i artikel 3, 4 eller 5 inte längre föreligger ska kommissionen häva begränsningen. 3. Kommissionen ska också informerade den registrerade om de huvudsakliga skälen för tillämpningen av begränsningen och informera honom eller henne om möjligheten att när som helst lämna in ett klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol. 4. Kommissionen ska se över tillämpningen av de begränsningar som avses i artiklarna 3, 4 och 5 när den besvarar begäranden som lämnats in enligt artiklarna 22c, 24 och 90.1 i tjänsteföreskrifterna och klagomål som lämnats in enligt artiklarna 22c och 90.2 i tjänsteföreskrifterna, eller när sådana begäranden eller klagomål avslutas, beroende på vilket som inträffar först. Kommissionen ska därefter på årsbasis övervaka behovet av att bibehålla eventuella begränsningar. I översynen ska ingå en bedömning av huruvida begränsningen var nödvändig och proportionell, med beaktande av relevanta delar av artikel 25.2 i förordning (EU) 2018/1725.

Artikel 8 Skyddsåtgärder och lagringsperioder 1. Kommissionen, närmare bestämt enheten Överklaganden och uppföljning av ärenden vid GD Personal och säkerhet, ska vidta skyddsåtgärder för att förhindra missbruk och olaglig tillgång till eller överföring av personuppgifter som är eller kan vara föremål för begränsningar. Sådana skyddsåtgärder ska omfatta tekniska och organisatoriska åtgärder såsom a) en tydlig definition av funktioner, ansvar, rätt till tillgång och steg i förfarandet, b) en säker elektronisk miljö för att förhindra olaglig eller oavsiktlig tillgång till eller överföring av elektroniska data till obehöriga personer, c) en säker förvaring och behandling av pappersbaserade dokument som begränsas till vad som är absolut nödvändigt för att uppnå syftet med behandlingen, d) vederbörlig kontroll av begränsningar och regelbunden översyn av tillämpningen av dem. De översyner som avses i led d ska genomföras åtminstone var sjätte månad. 2. Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre är tillämpliga. 3. Personuppgifterna ska lagras i enlighet med kommissionens tillämpliga lagringsregler, som ska fastställas i det register som förs i enlighet med artikel 31 i förordning (EU) 2018/1725. I slutet av lagringsperioden ska personuppgifterna raderas, anonymiseras eller överföras till arkivet i enlighet med artikel 13 i förordning (EU) 2018/1725.

Artikel 9 Omprövning via kommissionens dataskyddsombud 1. Kommissionens dataskyddsombud ska utan onödigt dröjsmål underrättas när registrerades rättigheter begränsas i enlighet med detta beslut. Dataskyddsombudet ska på begäran ges tillgång till registret och alla handlingar som innehåller underliggande faktiska och rättsliga omständigheter. 2. Dataskyddsombudet får begära en omprövning av begränsningen. Dataskyddsombudet ska underrättas skriftligen om resultatet av den begärda omprövningen. 3. Kommissionen ska dokumentera dataskyddsombudets deltagande i varje fall där rättigheterna och skyldigheterna enligt artikel 2.2 i detta beslut begränsas.

Artikel 10 Ikraftträdande Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Utfärdat i Bryssel den 27 januari 2022. På kommissionens vägnar Ursula VON DER LEYEN Ordförande

(1) EGT L 56, 4.3.1968, s. 1.

(2) Administrativt meddelande nr 79–2013 av den 19 december 2013, Update of the arrangements for submitting requests and complaints (Article 90(1) and (2) of the Staff Regulations) and requests for assistance (Article 24 of the Staff Regulations)(inte översatt till svenska).

(3) Lagring av ärendehandlingar i kommissionen regleras av den gemensamma bevarandeförteckningen på kommissionsnivå, en rättslig handling i form av en tidsplan som fastställer lagringsperioder för olika typer av kommissionens ärendehandlingar (SEC(2019) 900). Lagringstiderna för personuppgifter anges i det meddelande om skydd av personuppgifter som avser hanteringen av begäranden och klagomål i enlighet med tjänsteföreskrifterna.

(4) Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39).