BESLUTnr 2021-096REV 1 AV STYRELSEN FÖR EUROPEISKA UNIONENS BYRÅ FÖR DEN OPERATIVA FÖRVALTNINGEN AV STORA IT-SYSTEM INOM OMRÅDET FRIHET, SÄKERHET OCH RÄTTVISA

av den 16 april 2021

om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för verksamheten vid Europeiska unionens byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa

STYRELSEN FÖR EUROPEISKA UNIONENS BYRÅ FÖR DEN OPERATIVA FÖRVALTNINGEN AV STORA IT-SYSTEM INOM OMRÅDET FRIHET, SÄKERHET OCH RÄTTVISA (eu-Lisa) HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (1) (nedan kallad förordning (EU) 2018/1725), särskilt artikel 25,

med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1726 av den 14 november 2018 om Europeiska unionens byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (eu-LISA), om ändring av förordning (EG) nr 1987/2006 och rådets beslut 2007/533/RIF och om upphävande av förordning (EU) nr 1077/2011 (2) (nedan kallad förordning (EU) 2018/1726), särskilt artikel 35,

med beaktande av Europeiska datatillsynsmannens yttrande av den 11 mars 2021 och av Europeiska datatillsynsmannens riktlinjer för artikel 25 i förordning (EU) 2018/1725 och interna regler som begränsar registrerade personers rättigheter (3),

efter samråd med personalkommittén, och

av följande skäl:

(1) eu-Lisa bedriver sin verksamhet i enlighet med förordning (EU) 2018/1726.

(2) eu-Lisa har befogenhet att utföra administrativa utredningar, förfaranden som föregår disciplinära förfaranden, disciplinära förfaranden och avstängningsförfaranden i enlighet med tjänsteföreskrifterna för tjänstemän i Europeiska unionen och anställningsvillkor för övriga anställda i Europeiska unionen, som fastställs i rådets förordning (EEG, Euratom, EKSG) nr 259/68 (4) (nedan kallade tjänsteföreskrifterna), och i enlighet med beslut nr 2014-080 av den 28 januari 2015 av styrelsen för eu-Lisa om antagande av genomförandebestämmelser för tjänsteföreskrifterna för utförandet av administrativa utredningar och disciplinära förfaranden. Vid behov anmäler Europeiska ombudsmannen också ärenden till Olaf.

(3) eu-Lisas personal är skyldig att rapportera potentiellt olaglig verksamhet, inklusive bedrägeri och korruption, som kan skada unionens intressen. Personalen är även skyldig att rapportera uppträdande i tjänsten som kan innebära ett allvarligt avsteg från skyldigheterna för unionens tjänstemän. Detta regleras i eu-Lisas beslut om interna bestämmelser om visselblåsning av den 26 juni 2018.

(4) eu-Lisa har antagit en policy för att förebygga och hantera faktiska eller eventuella fall av mobbning och sexuella trakasserier på arbetsplatsen, såsom föreskrivs i styrelsens beslut nr 2018-174 av den 6 december 2018 om eu-Lisas policy om skydd av enskildas värdighet och förebyggande av mobbning och sexuella trakasserier, genom vilket genomförandebestämmelser antas i enlighet med tjänsteföreskrifterna. I beslutet fastställs ett informellt förfarande där den som påstår sig ha utsatts för trakasserierna kan kontakta eu-Lisas konfidentiella rådgivare.

(5) eu-Lisa kan också utreda potentiella överträdelser av säkerhetsbestämmelserna för skydd av säkerhetsskyddsklassificerade EU-uppgifter på grundval av sitt beslut nr 2019-273 av den 20 november 2019 om ändring av eu-Lisas säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter.

(6) eu-Lisas verksamhet är föremål för både interna och externa revisioner.

(7) I samband med sådana administrativa utredningar, revisioner och undersökningar samarbetar eu-Lisa med unionens andra institutioner, organ och byråer.

(8) eu-Lisa kan samarbeta med tredjeländers nationella myndigheter och internationella organisationer, i enlighet med bestämmelserna i artikel 43 förordning (EU) 2018/1726.

(9) eu-Lisa kan även samarbeta med medlemsstaternas offentliga myndigheter, på deras begäran eller på eget initiativ.

(10) eu-Lisa ingriper i mål vid Europeiska unionens domstol när eu-Lisa antingen hänskjuter en fråga till domstolen, försvarar ett beslut som eu-Lisa har fattat och som har överklagats till domstolen eller intervenerar i ärenden som är relevanta för dess arbetsuppgifter. I samband med detta kan eu-Lisa behöva säkerställa konfidentialiteten för personuppgifter som finns i handlingar från parterna eller intervenienterna.

(11) För att utföra sina arbetsuppgifter samlar eu-Lisa in och behandlar information och flera olika kategorier av personuppgifter, inbegripet personidentifieringsuppgifter från fysiska personer, kontaktuppgifter, yrkesroller och -uppgifter, information om privat och yrkesmässig etik och prestation samt finansiella uppgifter. eu-Lisa fungerar som personuppgiftsansvarig.

(12) Enligt förordning (EU) 2018/1725 ska eu-Lisa därför tillhandahålla de registrerade information om denna behandling och respektera deras rättigheter som registrerade.

(13) eu-Lisa kan behöva förena dessa rättigheter med syftena med administrativa utredningar, revisioner, undersökningar och domstolsförfaranden. eu-Lisa kan även behöva ställa de registrerades rättigheter mot andra registrerades grundläggande rättigheter och friheter. I detta syfte föreskrivs i artikel 25 i förordning (EU) 2018/1725 en möjlighet för eu-Lisa att, under stränga villkor, begränsa tillämpningen av artiklarna 14–22, 35 och 36 samt artikel 4 i förordning (EU) 2018/1725, i den mån som bestämmelserna motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–20. Om begränsningar inte föreskrivs i en rättsakt som har antagits på grundval av fördragen är det nödvändigt att anta interna bestämmelser enligt vilka eu-Lisa får begränsa dessa rättigheter.

(14) eu-Lisa kan exempelvis behöva begränsa sitt tillhandahållande av information om behandling av personuppgifter till en registrerad vid den preliminära bedömningsfasen i en administrativ utredning eller under själva utredningen, före en eventuell avvisning av ärendet eller i ett skede som föregår ett disciplinärt förfarande. Under vissa omständigheter kan ett tillhandahållande av sådan information allvarligt påverka eu-Lisas förmåga att genomföra utredningen på ett effektivt sätt, till exempel när det finns en risk att de berörda personerna förstör bevisning eller påverkar eventuella vittnen innan de kan höras. eu-Lisa kan också behöva skydda vittnens eller andra berörda personers rättigheter och friheter.

(15) Det kan vara nödvändigt att garantera anonymiteten för ett vittne eller en visselblåsare som har bett om att inte bli identifierad. I ett sådant fall kan eu-Lisa besluta att begränsa åtkomsten vad gäller identitet, uttalanden och andra personuppgifter från sådana personer för att skydda deras rättigheter och friheter.

(16) Det kan vara nödvändigt att skydda konfidentiella uppgifter om en anställd som har kontaktat eu-Lisas konfidentiella rådgivare inom ramen för ett förfarande beträffande trakasserier. I sådana fall kan eu-Lisa behöva begränsa åtkomsten vad gäller identiteten, uttalanden och andra personuppgifter från det påstådda offret, den påstådda gärningsmannen och andra berörda personer för att skydda rättigheterna och friheterna för alla parter.

(17) eu-Lisa bör endast tillämpa begränsningar om de respekterar andemeningen i de grundläggande rättigheterna och friheterna och utgör en absolut nödvändig och proportionerlig åtgärd i ett demokratiskt samhälle, och bör förklara de skäl som motiverar begränsningarna.

(18) Med tillämpning av principen om ansvarsskyldighet är eu-Lisa skyldig att registrera tillämpningen av begränsningar.

(19) När eu-Lisa behandlar personuppgifter som utbyts med andra organisationer i samband med dess arbetsuppgifter ska byrån samråda med dessa organisationer om potentiella grunder för att införa begränsningar och om huruvida begränsningarna är nödvändiga och proportionerliga, såvida detta inte skulle äventyra eu-Lisas verksamhet.

(20) Enligt artikel 25.6 i förordning (EU) 2018/1725 ska den personuppgiftsansvarige informera den registrerade om de huvudsakliga skälen till begränsningen och om dennes rätt att lämna in klagomål till Europeiska datatillsynsmannen.

(21) Enligt artikel 25.8 i förordning (EU) 2018/1725 får eu-Lisa skjuta upp, utelämna eller neka tillhandahållande av information till den registrerade om skälen till begränsningen, om det på något sätt skulle upphäva verkan av begränsningen. eu-Lisa bör bedöma från fall till fall huruvida tillhandahållande av information om en begränsning skulle upphäva dess verkan.

(22) eu-Lisa ska upphäva begränsningen så snart som de förhållanden som motiverar begränsningen inte längre är tillämpliga och bedöma detta med jämna mellanrum.

(23) För att garantera maximalt skydd för de registrerades rättigheter och friheter och i enlighet med artikel 44.1 i förordning (EU) 2018/1725, ska eu-Lisas dataskyddsombud rådfrågas i tid om tillämpningen av eventuella begränsningar och kontrollera efterlevnaden av detta beslut.

(24) I artiklarna 16.5 och 17.4 i förordning (EU) 2018/1725 föreskrivs undantag från registrerades rätt till information och rätt till tillgång. Om dessa undantag är tillämpliga behöver eu-Lisa inte tillämpa en begränsning enligt detta beslut.

(25) Enligt artikel 35.2 i förordning (EU) 2018/1726 ska styrelsen anta föreskrifter för byråns tillämpning av förordning (EU) 2018/1725, inbegripet de interna bestämmelser som avses i artikel 25.1, 25.3 och 25.4 i förordning (EU) 2018/1725, efter samråd med Europeiska datatillsynsmannen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1 Syfte och tillämpningsområde 1. I detta beslut fastställs bestämmelser om de villkor enligt vilka eu-Lisa får begränsa tillämpningen av artiklarna 4, 14–22, 35 och 36, i enlighet med artikel 25 i förordning (EU) 2018/1725, i samband med de förfaranden som fastställs i punkt 2 i enlighet med artikel 25 i den förordningen. 2. eu-Lisa företräds, i sin funktion som personuppgiftsansvarig, av sin verkställande direktör.

Artikel 2 Begränsningar 1. eu-Lisa får begränsa tillämpningen av artiklarna 14–22, 35 och 36 samt artikel 4, i den mån bestämmelserna motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–20, när byrån a) i enlighet med artikel 25.1 b, c, f, g och h i förordning (EU) 2018/1725 utför administrativa utredningar, förfaranden som föregår disciplinära förfaranden, disciplinära förfaranden eller avstängningsförfaranden enligt tjänsteföreskrifternas artikel 86 och bilaga IX och enligt eu-Lisas beslut nr 2014-080 av den 28 januari 2015, samt när den anmäler ärenden till Olaf, b) i enlighet med artikel 25.1 h i förordning (EU) 2018/1725 säkerställer att eu-Lisas personal konfidentiellt får rapportera uppgifter när de anser att det föreligger betydande oegentligheter, såsom föreskrivs i eu-Lisas beslut nr 2018-122 om bestämmelser om visselblåsning av den 26 juni 2018, c) i enlighet med artikel 25.1 h i förordning (EU) 2018/1725, vid säkerställande av att eu-Lisas personal kan rapportera till konfidentiella rådgivare inom ramen för ett förfarande som rör trakasserier, såsom fastställs i eu-Lisas beslut nr 2018-174 av december 2018, d) i enlighet med artikel 25.1 c, g och h i förordning (EU) 2018/1725 genomför internrevisioner med avseende på eu-Lisas verksamhet eller avdelningar, e) i enlighet med artikel 25.1 c, d, g och h i förordning (EU) 2018/1725 tillhandahåller eller tar emot bistånd från samt samarbetar med andra av unionens institutioner, organ och byråer, i samband med de arbetsuppgifter som avses i leden a–d i denna punkt och i enlighet med relevanta servicenivåavtal, samförståndsavtal och samarbetsavtal, f) i enlighet med artikel 25.1 c, g och h i förordning (EU) 2018/1725 tillhandahåller eller tar emot bistånd samt samarbetar med tredjeländers nationella myndigheter och internationella organisationer, på deras begäran eller på eget initiativ, utan att det påverkar tillämpningen av de bestämmelser som fastställs i artikel 43 i förordning (EU) 2018/1726, g) i enlighet med artikel 25.1 c, g och h i förordning (EU) 2018/1725 tillhandahåller eller tar emot bistånd från samt samarbetar med medlemsstaternas offentliga myndigheter, på deras begäran eller på eget initiativ, h) samt när byrån i enlighet med artikel 25.1 e i förordning (EU) 2018/1725 behandlar personuppgifter som finns i handlingar från parter eller intervenienter i samband med ett förfarande vid Europeiska unionens domstol. 2. Eventuella begränsningar ska respektera andemeningen i de grundläggande rättigheterna och friheterna och vara nödvändiga och proportionerliga i ett demokratiskt samhälle. 3. En bedömning av behovet och proportionaliteten ska göras i varje enskilt fall innan begränsningar börjar tillämpas. Begränsningar ska endast tillämpas i den utsträckning som är absolut nödvändig för att uppnå målet med begränsningarna. 4. eu-Lisa ska i redovisningssyfte registrera skälen för de begränsningar som tillämpas, vilka av de grunder som anges i punkt 1 som är tillämpliga och resultatet av bedömningen av behovet och proportionaliteten. Dessa uppgifter ska ingå i ett register som på begäran ska göras tillgängligt för Europeiska datatillsynsmannen. eu-LISA ska sammanställa periodiska rapporter om tillämpningen av artikel 25 i förordning (EU) 2018/1725. 5. När eu-Lisa behandlar personuppgifter som mottagits från andra organisationer i samband med dess arbetsuppgifter, ska byrån samråda med dessa organisationer om potentiella grunder för att införa begränsningar och om huruvida begränsningarna är nödvändiga och proportionerliga, såvida detta inte skulle äventyra eu-Lisas verksamhet.

Artikel 3 Risker för de registrerades rättigheter och friheter 1. Bedömningar av riskerna med begränsningar för de registrerades rättigheter och friheter samt uppgifter om tillämpningsperioden för begränsningarna ska anges i det register över behandling som förs av eu-Lisa enligt artikel 31 i förordningen. De ska i förekommande fall även anges i alla konsekvensbedömningar avseende dataskydd för dessa begränsningar som utförs enligt artikel 39 i förordning (EU) 2018/1725. 2. Vid bedömning av en begränsnings nödvändighet och proportionalitet ska eu-Lisa alltid beakta de potentiella riskerna för den registrerades rättigheter och friheter.

Artikel 4 Skyddsåtgärder och lagringsperioder 1. eu-Lisa ska vidta skyddsåtgärder för att förhindra missbruk och olaglig tillgång till eller överföring av personuppgifter som är eller kan vara föremål för begränsningar. Dessa skyddsåtgärder ska omfatta tekniska och organisatoriska åtgärder och ska, om så behövs, specificeras i eu-Lisas interna beslut, förfaranden och genomförandebestämmelser. Skyddsåtgärderna ska omfatta följande: a) En tydlig definition av funktioner, ansvar och olika steg i förfarandet. b) I förekommande fall en säker elektronisk miljö som förebygger olaglig och oavsiktlig tillgång till eller överföring av elektroniska uppgifter till obehöriga personer. c) I förekommande fall säker lagring och behandling av dokument i pappersform. d) Vederbörlig kontroll av begränsningar och regelbunden översyn av tillämpningen av dem. De översyner som avses i led d ska genomföras åtminstone var sjätte månad. 2. Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre gäller. 3. Personuppgifterna ska lagras i enlighet med eu-Lisas lagringsbestämmelser, såsom de definieras i de dataskyddsregister som förs enligt artikel 31 i förordning (EU) 2018/1725. I slutet av lagringsperioden ska personuppgifterna raderas, anonymiseras eller överföras till arkiv i enlighet med artikel 13 i förordning (EU) 2018/1725.

Artikel 5 Dataskyddsombudets roll 1. eu-Lisas dataskyddsombud ska informeras utan onödigt dröjsmål när registrerades rättigheter begränsas eller när det finns en avsikt att begränsa dem i enlighet med detta beslut. Han eller hon ska få tillgång till de tillhörande registren och alla dokument som rör faktiska och rättsliga delar. 2. eu-Lisas dataskyddsombud kan begära att tillämpningen av en begränsning ska granskas. eu-LISA ska skriftligen meddela dataskyddsombudet resultatet av granskningen. 3. eu-Lisa ska dokumentera dataskyddsombudets deltagande i tillämpningen av begränsningar, inklusive vilken information som delas med honom eller henne. 4. I praktiken ska den person som har ansvaret på den personuppgiftsansvariges vägnar (”personuppgiftsansvarig i praktiken”) (5) informera eu-Lisas dataskyddsombud när begränsningen har upphävts.

Artikel 6 Information till registrerade om begränsningar av deras rättigheter 1. eu-Lisa ska i meddelanden om uppgiftsskydd som offentliggörs på dess webbplats/intranät införa ett avsnitt med allmän information till de registrerade om att deras rättigheter kan komma att begränsas i enlighet med artikel 2.1. Informationen ska omfatta vilka rättigheter som kan komma att begränsas, skälen till detta och möjlig varaktighet. 2. eu-Lisa ska skriftligen och utan onödigt dröjsmål informera registrerade personer individuellt om pågående eller framtida begränsningar av deras rättigheter. eu-Lisa ska informera den registrerade om de huvudsakliga skälen till begränsningen, om hans eller hennes rätt att rådfråga dataskyddsombudet i syfte att överklaga begränsningen och om hans eller hennes rätt att lämna in klagomål till Europeiska datatillsynsmannen. 3. eu-Lisa får skjuta upp, utelämna eller neka tillhandahållande av information om skälen till en begränsning och rätten att lämna in klagomål till Europeiska datatillsynsmannen, så länge som det skulle upphäva verkan av begränsningen. En bedömning av huruvida detta är motiverat ska göras i varje enskilt fall. eu-Lisa ska tillhandahålla de registrerade denna information så snart detta inte längre skulle upphäva verkan av begränsningen.

Artikel 7 Information till den registrerade om en personuppgiftsincident 1. Om eu-Lisa är skyldig att informera om en personuppgiftsincident enligt artikel 35.1 i förordning (EU) 2018/1725 får byrån under exceptionella omständigheter begränsa sådan information helt eller delvis. Europeiska ombudsmannen ska i en not ange skälen till begränsningen, den rättsliga grunden för den enligt artikel 2 och en bedömning av begränsningens nödvändighet och proportionalitet. Noten ska överlämnas till Europeiska datatillsynsmannen när personuppgiftsincidenten anmäls. 2. När skälen till begränsningen inte längre är tillämpliga ska eu-Lisa meddela den registrerade i fråga om personuppgiftsincidenten och informera honom eller henne om de huvudsakliga skälen till begränsningen och om rätten att lämna in klagomål till Europeiska datatillsynsmannen.

Artikel 8 Konfidentialitet för elektronisk kommunikation 1. Under exceptionella omständigheter får eu-Lisa begränsa rätten till konfidentialitet för elektronisk kommunikation enligt artikel 36 i förordning (EU) 2018/1725. Sådana begränsningar ska vara förenliga med Europaparlamentets och rådets direktiv 2002/58/EG (6). 2. Om eu-Lisa begränsar rätten till konfidentialitet för elektronisk kommunikation ska eu-Lisa i sitt svar på begäran informera den berörda registrerade om de huvudsakliga skälen till begränsningen och om hans/hennes rätt att lämna in klagomål till Europeiska datatillsynsmannen. 3. eu-Lisa får skjuta upp, utelämna eller neka tillhandahållande av information om skälen till en begränsning och rätten att lämna in klagomål till Europeiska datatillsynsmannen, så länge som det skulle upphäva verkan av begränsningen. En bedömning av huruvida detta är motiverat ska göras i varje enskilt fall.

Artikel 9 Ikraftträdande Detta beslut träder i kraft den tjugonde dagen efter att det har offentliggjorts i Europeiska unionens officiella tidning.

Tallinn den 16 april 2021. På styrelsens vägnar Zsolt SZOLNOKI Styrelsens ordförande

(1) EUT L 295, 21.11.2018, s. 39.

(2) EUT L 295, 21.11.2018, s. 99.

(3) EDPS Guidance on Article 25 of the Regulation (EU) 2018/1725 and internal rules restricting data subjects rights (uppdaterades den 24 juni 2020) – https://edps.europa.eu/data-protection/our-work/publications/guidelines/guidance-art-25-regulation-20181725_en

(4) Rådets förordning (EEG, Euratom, EKSG) nr 259/68 av den 29 februari 1968 om fastställande av tjänsteföreskrifter för tjänstemännen i Europeiska gemenskaperna och anställningsvillkor för övriga anställda i dessa gemenskaper samt om införande av särskilda tillfälliga åtgärder beträffande kommissionens tjänstemän (EGT L 56, 4.3.1968, s. 1).

(5) EDPS Guidance on documenting processing operations for EU institutions, bodies and agencies (EUIs) – Accountability on the ground Part I. Den högsta ledningen ansvarar för att reglerna följs, men ansvaret utövas oftast på en lägre nivå (”person som har ansvaret på den personuppgiftsansvariges vägnar”/”personuppgiftsansvarig i praktiken).

(6) Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37).