BESLUT nr 59/2021 AV GENERALSEKRETERAREN FÖR EUROPEISKA UNIONENS RÅD

om genomförandebestämmelser för tillämpningen av Europaparlamentets och rådets förordning (EU) 2018/1725 och begränsningar av registrerade personers rättigheter i samband med administrativa utredningar, disciplinära förfaranden och domstolsförfaranden

(2022/C 25/02)

GENERALSEKRETERAREN FÖR EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artiklarna 235.4 och 240.2,

med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (1), särskilt artikel 25,

med beaktande av yttrandet av den 19 juli 2021 från Europeiska datatillsynsmannen, som har hörts i enlighet med artikel 41.2 i förordning (EU) 2018/1725, och

AV FÖLJANDE SKÄL:

(1) I förordning (EU) 2018/1725 fastställs principer och regler som är tillämpliga på behandling av personuppgifter som utförs av alla unionens institutioner och organ samt på registrerades rättigheter.

(2) I vissa fall kan rådets generalsekretariat (nedan kallad generalsekretariatet) behöva förena dessa rättigheter med syftena med administrativa utredningar, disciplinära förfaranden och domstolsförfaranden. Generalsekretariatet kan även behöva ställa de registrerades rättigheter mot andra registrerades grundläggande rättigheter och friheter. I enlighet med artikel 25.1 i förordning (EU) 2018/1725 har därför varje unionsinstitution eller unionsorgan möjlighet att begränsa tillämpningen av artiklarna 14–21, 35 och 36 i förordning (EU) 2018/1725, samt artikel 4, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–21 i den förordningen. Om begränsningar inte föreskrivs i en rättsakt som har antagits på grundval av fördragen är det nödvändigt att anta interna regler enligt vilka generalsekretariatet får begränsa dessa rättigheter.

(3) I artikel 86 i tjänsteföreskrifterna (2) fastställs att tillsättningsmyndigheten får genomföra utredningar och disciplinära förfaranden om en tjänsteman eller tidigare tjänsteman underlåter att uppfylla någon av sina skyldigheter enligt tjänsteföreskrifterna, och i bilaga IX till tjänsteföreskrifterna fastställs regler, åtgärder och förfaranden för administrativa utredningar och det disciplinära förfarandet.

(4) I enlighet med artikel 13 i beslut nr 1/2018 av rådets generalsekreterare om uppgifterna för direktoratet för skydd och säkerhet vad gäller säkerhet och driftskontinuitet har direktoratet befogenhet att genomföra utredningar av säkerhetsrelaterade frågor, av förlust, obehörigt röjande eller läcka av säkerhetsskyddsklassificerade EU-uppgifter som har inträffat på Europeiska rådets eller rådets arbetsorter, vid rådets generalsekretariat eller via generalsekretariatets kommunikations- och informationssystem samt inom ramen för sina skyldigheter att bekämpa spionage och tillhandahålla skydd mot passiv och aktiv avlyssning som riktar sig mot EU:s intressen i generalsekretariatets lokaler eller på Europeiska rådets och rådets arbetsorter.

(5) I artikel 6 i beslut nr 6/2021 av generalsekreteraren för Europeiska unionens råd om antagande av allmänna genomförandebestämmelser för administrativa utredningar och disciplinära förfaranden föreskrivs att alla personuppgifter som samlas in ska behandlas i enlighet med bestämmelserna i Europaparlamentets och rådets förordning (EU) 2018/1725 och att begränsningar av registrerades rättigheter ska hanteras i enlighet med artikel 25 i förordningen.

(6) I enlighet med artikel 13 i beslut nr 1/2018 av rådets generalsekreterare om uppgifterna för direktoratet för skydd och säkerhet vad gäller säkerhet och driftskontinuitet ska utredningar som genomförs av direktoratet för skydd och säkerhet respektera de interna regler som fastställs i beslut nr 6/2021 av generalsekreteraren för Europeiska unionens råd om antagande av allmänna genomförandebestämmelser för administrativa utredningar och disciplinära förfaranden så snart det framkommer att en tjänsteman kan vara inblandad.

(7) Enligt den administrativa överenskommelsen av den 15 februari 2017 mellan Europeiska byrån för bedrägeribekämpning (Olaf) och rådets generalsekretariat är generalsekretariatet även skyldigt att anmäla ärenden och översända information till Olaf om det får kännedom om misstänkt bedrägeri, korruption eller annan olaglig verksamhet som skadar unionens intressen.

(8) I samband med administrativa utredningar och disciplinära förfaranden samlar de berörda avdelningarna in och behandlar olika typer av personuppgifter, bland annat identifieringsuppgifter, kontaktuppgifter, yrkesroller och arbetsuppgifter, information om privat och yrkesmässig etik och prestation, finansiella uppgifter och kommunikationsuppgifter. Utredarna säkerställer att de personuppgifter som de samlar in är adekvata, relevanta och inte alltför omfattande i förhållande till utredningens syften. Så snart en utredning har inletts ska de personer som berörs av utredningen omgående underrättas skriftligen. De bör även underrättas om vilken typ av uppgifter som samlas in eller kommer att samlas in, hur de kommer att behandlas och vilka rättigheter de har i detta avseende.

(9) I vederbörligen motiverade fall, då det finns en allvarlig risk för att underrättandet av den berörda personen kommer att skada konstaterandet av fakta och bevis, kan det vara nödvändigt att skjuta upp underrättelsen om att en utredning har inletts. I sådana fall måste de registrerades rättigheter enligt förordning (EU) 2018/1725 förenas med tillsättningsmyndighetens behov av att fastställa huruvida tjänstemännen har underlåtit att uppfylla sina skyldigheter enligt tjänsteföreskrifterna. Begränsningar av rättigheterna för registrerade som är föremål för en utredning bör endast tillämpas under begränsade omständigheter och hanteras på ett öppet och proportionerligt sätt i fråga om omfattning och varaktighet.

(10) Det kan vara nödvändigt att skydda anonymiteten för ett vittne eller en källa. I sådana fall kan rätten till tillgång till sådana personers identitet, vittnesmål och andra personuppgifter begränsas inom ramen för rätten till försvar.

(11) Med tillämpning av principen om ansvarsskyldighet bör generalsekretariatets berörda avdelning registrera tillämpningen av eventuella begränsningar.

(12) I enlighet med artikel 25.6 i förordning (EU) 2018/1725 är den personuppgiftsansvarige skyldig att informera registrerade om de huvudsakliga skälen till begränsningen och om deras rätt att ge in ett klagomål till Europeiska datatillsynsmannen.

(13) I enlighet med artikel 25.8 i förordning (EU) 2018/1725 har generalsekretariatet rätt att skjuta upp, utelämna eller neka tillhandahållandet av information till den registrerade om skälen till begränsningen om detta på något sätt skulle upphäva verkan av begränsningen. Generalsekretariatet bör i varje enskilt fall bedöma huruvida meddelandet av begränsningen skulle upphäva dess verkan.

(14) Begränsningar bör upphävas så snart som de villkor som motiverat dem inte längre är tillämpliga eller om det skulle inkräkta på rätten till försvar att behålla dem. Behovet av begränsningar bör bedömas regelbundet.

(15) Dataskyddsombudet bör rådfrågas i god tid, informeras om alla begränsningar som ska tillämpas och ha möjlighet att lämna synpunkter på huruvida begränsningarna är förenliga med detta beslut.

(16) Detta beslut har varit föremål för samråd med personalkommittén.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1 Tillämpningsområde 1. I detta beslut fastställs regler om de villkor på vilka rådets generalsekretariat (nedan kallat generalsekretariatet) i enlighet med artikel 25 i förordning (EU) 2018/1725 får begränsa tillämpningen av artiklarna 14–21, 35 och 36 i den förordningen, samt artikel 4, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14 – 21 i samma förordning. 2. Vid tillämpningen av detta beslut ska generalsekretariatet anses vara den personuppgiftsansvarige i den mening som avses i artikel 3.8 i förordning (EU) 2018/1725. Generalsekretariatet ska företrädas av sin generalsekreterare.

Artikel 2 Begränsningar 1. Generalsekretariatet får i följande fall begränsa tillämpningen av artiklarna 14–21, 35 och 36 i förordning (EU) 2018/1725, samt artikel 4, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–21 i den förordningen: a) I enlighet med artikel 25.1 a, b, c, d, f, g och h i förordning (EU) 2018/1725, vid genomförande av säkerhetsutredningar och administrativa utredningar eller disciplinära förfaranden enligt beslut nr 1/2018 av rådets generalsekreterare om uppgifterna för direktoratet för skydd och säkerhet vad gäller säkerhet och driftskontinuitet samt enligt artikel 86 i och bilaga IX till tjänsteföreskrifterna som genomförs i enlighet med beslut nr 6/2021 av generalsekreteraren för Europeiska unionens råd om antagande av allmänna genomförandebestämmelser för administrativa utredningar och disciplinära förfaranden. b) I enlighet med artikel 25.1 a, b, c, d, f, g och h i förordning (EU) 2018/1725, vid säkerställande av möjligheten för anställda att rapportera uppgifter konfidentiellt när den berörda avdelningen anser att det föreligger allvarliga oriktigheter, såsom fastställs i beslut nr 3/2016 av rådets generalsekreterare om antagande av interna regler för rapportering av allvarliga oriktigheter – Förfaranden för genomförande av artiklarna 22a, 22b och 22c i tjänsteföreskrifterna och artikel 66.8 i budgetförordningen. c) I enlighet med artikel 25.1 b, d och h i förordning (EU) 2018/1725, vid genomförande av utredningar i samband med ansökningar om bistånd som mottagits inom ramen för artikel 24 i tjänsteföreskrifterna. d) I enlighet med artikel 25.1 h i förordning (EU) 2018/1725, vid säkerställande av att anställda kan rapportera till konfidentiella rådgivare inom ramen för ett förfarande beträffande trakasserier, såsom fastställs i beslut nr 23/2021 av generalsekreteraren för Europeiska unionens råd om psykiska och sexuella trakasserier på arbetsplatsen inom rådets generalsekretariat. e) I enlighet med artikel 25.1 a, b, c, d, f, g och h i förordning (EU) 2018/1725, vid tillhandahållande eller mottagande av bistånd till eller från andra av unionens institutioner, organ och byråer eller samarbete med dem i enlighet med relevanta servicenivåavtal, samförståndsavtal och samarbetsavtal. f) I enlighet med artikel 25.1 a, b, c, d, f, g och h i förordning (EU) 2018/1725, vid tillhandahållande eller mottagande av bistånd eller samarbete med medlemsstaternas offentliga myndigheter, på deras begäran eller på eget initiativ. g) I enlighet med artikel 25.1 a, b, c, d, f, g och h i förordning (EU) 2018/1725, vid tillhandahållande eller mottagande av bistånd samt samarbete med tredjeländers nationella myndigheter och internationella organisationer, på deras begäran eller på eget initiativ. h) I enlighet med artikel 25.1 e och h i förordning (EU) 2018/1725, vid behandling av personuppgifter i samband med rättsliga förfaranden.

Artikel 3 Tillämpning av begränsningar 1. Alla begränsningar av rättigheter och skyldigheter som avses i artikel 2 ska vara nödvändiga och proportionella med hänsyn till riskerna för de registrerades rättigheter och friheter. 2. Innan en begränsning som förtecknas i artikel 2 börjar tillämpas, ska generalsekretariatets berörda avdelning i varje enskilt fall göra en bedömning av behovet och proportionaliteten. Begränsningar ska endast tillämpas där det är absolut nödvändigt för att uppnå målet med dem. 3. Generalsekretariatets berörda avdelning ska dokumentera skälen till varje begränsning som tillämpas i enlighet med detta beslut, inbegripet den bedömning som föreskrivs i punkt 2 och de skäl som anges i artikel 25.1 i förordning (EU) 2018/1725. Dokumentationen och, i tillämpliga fall, de handlingar som innehåller underliggande faktiska och rättsliga omständigheter ska utgöra en del av ett register som förs av generalsekretariatets berörda avdelning. De ska på begäran göras tillgängliga för Europeiska datatillsynsmannen. 4. Innan begränsningar börjar tillämpas avseende personuppgifter som erhålls från unionens övriga institutioner, organ och byråer, behöriga myndigheter i medlemsstater eller tredjeländer eller internationella organisationer enligt artikel 2.1 e, f och g, ska generalsekretariatet samråda med dessa organisationer om potentiella grunder för att införa begränsningar och om huruvida de berörda begränsningarna är nödvändiga och proportionella, såvida detta inte skulle äventyra generalsekretariatets verksamhet.

Artikel 4 Varaktighet och översyn av begränsningar 1. De begränsningar som avses i artikel 2 ska fortsätta att tillämpas så länge de skäl som ligger till grund för dem föreligger. 2. Generalsekretariatets berörda avdelning ska regelbundet, dock minst var sjätte månad, se över tillämpningen av de begränsningar som avses i artikel 2. 3. Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre föreligger. 4. Om skälen till en sådan begränsning som avses i artikel 2 inte längre föreligger ska generalsekretariatet upphäva begränsningen och uppge skälen till begränsningen till den registrerade. Generalsekretariatet ska samtidigt informera den registrerade om möjligheten att ge in ett klagomål till Europeiska datatillsynsmannen

Artikel 5 Dataskyddsombudets deltagande 1. Om generalsekretariatets berörda avdelning kommer fram till att en registrerads rättigheter bör begränsas i enlighet med detta beslut, ska den informera dataskyddsombudet. Den ska också ge dataskyddsombudet tillgång till dokumentationen och alla handlingar som innehåller underliggande faktiska och rättsliga omständigheter. Generalsekretariatets berörda avdelning ska i detalj dokumentera dataskyddsombudets deltagande i tillämpningen av begränsningar. 2. Dataskyddsombudet får begära att generalsekretariatets berörda avdelning ser över tillämpningen av begränsningarna. Den berörda avdelningen ska skriftligen underrätta dataskyddsombudet om resultatet av den begärda översynen.

Artikel 6 Tillhandahållande av information till registrerade 1. Generalsekretariatet ska i meddelanden om dataskydd som offentliggörs i dataskyddsombudets register över behandlingar införa ett avsnitt med allmän information till de registrerade om att deras rättigheter kan komma att begränsas i enlighet med artikel 2.1. Informationen ska omfatta vilka rättigheter som kan komma att begränsas, skälen för detta och den möjliga varaktigheten. 2. De berörda avdelningarna ska individuellt och i lämplig form informera de registrerade om nuvarande eller framtida begränsningar av deras rättigheter. De ska informera den registrerade om de huvudsakliga skälen till begränsningen, om hans eller hennes rätt att rådfråga dataskyddsombudet och om hans eller hennes rätt att ge in ett klagomål till Europeiska datatillsynsmannen. 3. De berörda avdelningarna får skjuta upp, utelämna eller neka tillhandahållandet av information till de registrerade, såsom avses i punkt 2 i denna artikel, så länge som det skulle upphäva verkan av begränsningen. En bedömning av huruvida detta är motiverat ska göras i varje enskilt fall. Den registrerade ska tillhandahållas denna information så snart detta inte längre skulle upphäva verkan av begränsningen. 4. Om generalsekretariatets berörda avdelning helt eller delvis begränsar tillhandahållande av information till registrerade, såsom avses i punkt 2 i denna artikel, ska den dokumentera och registrera skälen till begränsningen i enlighet med artikel 3.

Artikel 7 Information till den registrerade om en personuppgiftsincident 1. Om generalsekretariatet är skyldigt att informera om en personuppgiftsincident enligt artikel 35.1 i förordning (EU) 2018/1725 får det under exceptionella omständigheter begränsa sådan information helt eller delvis. Det ska dokumentera det beslutet i enlighet med artikel 3.3 i det här beslutet. 2. När skälen till begränsningen inte längre föreligger ska generalsekretariatet underrätta den berörda registrerade om personuppgiftsincidenten och informera honom eller henne om de huvudsakliga skälen till begränsningen och om rätten att ge in ett klagomål till Europeiska datatillsynsmannen.

Artikel 8 Konfidentialitet för elektronisk kommunikation 1. Generalsekretariatet får under exceptionella omständigheter begränsa rätten till konfidentialitet för elektronisk kommunikation enligt artikel 36 i förordning (EU) 2018/1725. 2. Om generalsekretariatet begränsar rätten till konfidentialitet för elektronisk kommunikation ska det i sitt svar på en begäran från den berörda registrerade informera honom eller henne om de huvudsakliga skälen till begränsningen och om hans eller hennes rätt att ge in ett klagomål till Europeiska datatillsynsmannen. 3. Generalsekretariatet får skjuta upp, utelämna eller neka tillhandahållandet av information om skälen till en begränsning och rätten att ge in ett klagomål till Europeiska datatillsynsmannen så länge som det skulle undergräva verkan av begränsningen. En bedömning av huruvida detta är motiverat ska göras i varje enskilt fall.

Artikel 9 Risker för de registrerades rättigheter och friheter 1. Eventuella begränsningar ska respektera andemeningen i de grundläggande rättigheterna och friheterna och vara nödvändiga och proportionella i ett demokratiskt samhälle. 2. När en utredande avdelning som har i uppdrag att genomföra en utredning bedömer behovet av och proportionaliteten hos en begränsning, ska den beakta de potentiella riskerna för den registrerades rättigheter och friheter. 3. Ingen begränsning får leda till att personer som berörs av en utredning hindras från att utöva sin rätt till försvar, särskilt sin rätt att höras. I de fall då underrättelsen till den berörda personen om inledande av en utredning skjuts upp, får det inte dras några slutsatser utan att den berörda personen har haft möjlighet att höras. I de fall då bevis och vittnesmål har pseudonymiserats i utredningsskedet ska pseudonymiseringen eller andra eventuella begränsningar upphävas vid disciplinära förfaranden.

Artikel 10 Ikraftträdande Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Utfärdat i Bryssel den 20 december 2021. Jeppe TRANHOLM-MIKKELSEN Generalsekreterare

(1) EUT L 295, 21.11.2018, s. 39.

(2) Regulation (EEC, Euratom, ECSC) No 259/68 of the Council of 29 February 1968 laying down the Staff Regulations of Officials and the Conditions of Employment of Other Servants of the European Communities and instituting special measures temporarily applicable to officials of the Commission (Staff Regulations of Officials) (EGT L 56, 4.3.1968, s. 1) (ej på svenska).