Document ID: 32018D1961

Reference:
12.12.2018
NL
Publicatieblad van de Europese Unie
L 315/35
BESLUIT (EU) 2018/1961 VAN DE COMMISSIE
van 11 december 2018
tot vaststelling van interne voorschriften betreffende de verstrekking van informatie aan betrokkenen en de beperking van bepaalde van hun rechten in het kader van de verwerking van persoonsgegevens ten behoeve van interne-auditactiviteiten
DE COMMISSIE,
Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 249, lid 1,
Overwegende hetgeen volgt:
(1)
Op grond van Verordening (EU, Euratom) 2018/1046 van het Europees Parlement en de Raad (1) moet iedere instelling van de Unie een interne-auditfunctie instellen, die moet worden uitgeoefend met inachtneming van de ter zake doende internationale normen. Interne-auditactiviteiten binnen de Commissie worden uitgevoerd door de dienst Interne Audit (hierna „de dienst” genoemd), die op 11 april 2000 is opgericht. De dienst voert ook interne-auditactiviteiten uit in gedecentraliseerde agentschappen van de Unie en andere autonome organen die bijdragen uit de Uniebegroting ontvangen.
(2)
De dienst voert interne-auditactiviteiten uit in overeenstemming met de artikelen 117 tot en met 123 van Verordening (EU, Euratom) 2018/1046 en met haar taakomschrijving (2). In dit verband beschikt de dienst over volledige onafhankelijkheid en volledige en onbeperkte toegang tot alle informatie die nodig is voor het verrichten van zijn interne-auditactiviteiten met betrekking tot alle activiteiten en diensten van de betrokken Unie-instelling.
(3)
De dienst adviseert andere diensten van de Commissie, uitvoerende agentschappen, alsmede gedecentraliseerde agentschappen van de Unie en andere autonome organen die bijdragen uit de Uniebegroting ontvangen, over de vraag hoe om te gaan met risico's (d.w.z. elke mogelijke gebeurtenis of aangelegenheid die nadelige gevolgen kan hebben voor de verwezenlijking van de politieke, strategische en operationele doelen van de Commissie), door adviezen uit te brengen over de kwaliteit van de beheer- en controlesystemen en door aanbevelingen te formuleren ter verbetering van de uitvoeringsvoorwaarden van de verrichtingen en ter bevordering van een goed financieel beheer, in overeenstemming met de artikelen 117 tot en met 123 van Verordening (EU, Euratom) 2018/1046. Daarom zijn de interne-auditactiviteiten van de dienst doorgaans niet specifiek op natuurlijke personen als dusdanig gericht. Niettemin is het onvermijdelijk dat tijdens die activiteiten persoonsgegevens in de zin van artikel 3, lid 1, van Verordening (EU) 2018/1725 (3) worden verwerkt. Bij de interne-auditactiviteiten die de dienst uitvoert, gaat het om het beoordelen van de toereikendheid en doeltreffendheid van interne beheersystemen, en van de prestaties van de diensten bij de uitvoering van de beleidsmaatregelen, programma's en acties, en het beoordelen van de efficiëntie en de doeltreffendheid van de systemen voor interne controle en audit die worden toegepast op elke verrichting tot uitvoering van de begroting. Bijgevolg wordt door deze activiteiten bijgedragen aan het veilig stellen van belangrijke economische en financiële belangen van de Unie en van de lidstaten. De dienst is een verwerkingsverantwoordelijke voor de verwerkingen die hij uitvoert in overeenstemming met artikel 118 en artikel 119, lid 2, van het Financieel Reglement.
(4)
De interne-auditactiviteiten die de dienst bij de Commissie en haar uitvoerende agentschappen en bij de gedecentraliseerde agentschappen van de Unie en andere autonome organen uitvoert, verschillen naar vorm en inhoud, gaande van het geven van zekerheid (met inbegrip van risicobeoordelingen) en adviesopdrachten tot in omvang beperkte evaluaties en follow-upopdrachten.
(5)
Het comité follow-up interne audit (APC) is, in overeenstemming met zijn op 21 november 2018 geactualiseerde taakomschrijving (C(2018) 7707), een adviesorgaan (4) dat de Commissie bijstaat bij het vervullen van haar verplichtingen uit hoofde van de Verdragen en andere wetgevingsinstrumenten [Verordening (EU, Euratom) 2018/1046] door de onafhankelijkheid van de dienst Interne Audit te waarborgen, de kwaliteit van de interne-auditwerkzaamheden te bewaken en ervoor te zorgen dat interne en externe auditaanbevelingen naar behoren in aanmerking worden genomen door de diensten van de Commissie en dat deze een passende follow-up krijgen. Op die wijze draagt het APC bij aan de algehele verdere verbetering van de doeltreffendheid en doelmatigheid van de Commissie bij het behalen van haar doelstellingen en faciliteert zij het toezicht van het College op de governance, het risicobeheer en de interne controlepraktijken van de Commissie. Het APC is een verwerkingsverantwoordelijke voor de verwerking(en) die het uitvoert in overeenstemming met artikel 123 van het Financieel Reglement.
(6)
Ten behoeve van haar activiteiten op grond van artikel 118 en artikel 119, lid 2, van Verordening (EU, Euratom) 2018/1046 verwerkt de Commissie, ongeacht of zij ambtshalve handelt dan wel op basis van ontvangen input, persoonsgegevens die zijn verkregen of ontvangen van rechtspersonen, natuurlijke personen, lidstaten en internationale organen en organisaties. Bij die interne-auditactiviteiten kan de dienst ook persoonsgegevens verwerken die zijn verkregen of ontvangen uit publiek toegankelijke bronnen, uit anonieme bronnen of geïdentificeerde bronnen waarvan de identiteit moet worden beschermd.
(7)
Zelf kan de Commissie persoonsgegevens uitwisselen met de instellingen, organen en instanties van de Unie, met bevoegde autoriteiten van de lidstaten en, in het kader van voor de Commissie relevante internationale overeenkomsten of samenwerkingsovereenkomsten, met derde landen en internationale organisaties.
(8)
Activiteiten voor de verwerking van persoonsgegevens in de zin van artikel 3, lid 3, van Verordening (EU) 2018/1725 kunnen in het kader van een interne-auditactiviteit plaatsvinden nog voordat de Commissie die activiteit formeel heeft aangevat, kunnen worden voortgezet tijdens de uitvoering van de auditactiviteit en zelfs na de formele afsluiting van de auditactiviteit (bijvoorbeeld om toe te zien op de uitvoering van aanbevelingen of om te onderzoeken of nieuwe interne-auditactiviteiten moeten worden opgestart).
(9)
De categorieën door de Commissie verwerkte persoonsgegevens zijn onder meer identificatiegegevens, contactgegevens, professionele gegevens en gegevens die verband houden met of in verband worden gebracht met het voorwerp van de activiteit. Deze categorieën persoonsgegevens worden opgeslagen in een beveiligde elektronische omgeving om onrechtmatige toegang tot of doorgifte van gegevens aan personen die niet beantwoorden aan het „need-to-know”-criterium, te voorkomen. De persoonsgegevens worden maximaal tien jaar bewaard. Aan het eind van de bewaartermijn wordt de informatie met betrekking tot de interne-auditactiviteit, inclusief de persoonsgegevens, overgedragen aan de historische archieven van de Europese Commissie (5) of vernietigd.
(10)
Bij de uitvoering van haar interne-auditactiviteiten is de Commissie verplicht de in artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie en in artikel 16, lid 1, van het Verdrag erkende rechten van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens te eerbiedigen, alsmede de in Verordening (EU) 2018/1725 vastgestelde rechten. Tezelfdertijd moet de Commissie, in overeenstemming met artikel 117 van Verordening (EU, Euratom) 2018/1046, strikte regels van vertrouwelijkheid als bedoeld in de internationale interne auditnormen in acht nemen.
(11)
Onder bepaalde omstandigheden is het nodig dat de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 worden afgestemd op de behoeften van interne-auditactiviteiten en het vertrouwelijke karakter van de uitwisseling van informatie met natuurlijke personen en rechtspersonen, alsmede op de volledige eerbiediging van de grondrechten en fundamentele vrijheden van andere betrokkenen. Daartoe krijgt de dienst in artikel 25, lid 1, onder c), g) en h), van Verordening (EU) 2018/1725 de mogelijkheid verleend om de toepassing van de artikelen 14 tot en met 17, 19, 20 en 35, alsmede het transparantiebeginsel van artikel 4, lid 1, onder a), te beperken voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin wordt voorzien door de artikelen 14 tot en met 17, 19, 20 en 35.
(12)
Teneinde de doeltreffendheid van interne-auditactiviteiten te waarborgen en tezelfdertijd de normen in acht te nemen voor de bescherming van persoonsgegevens op grond van Verordening (EU) 2018/1725, die Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad (6) heeft vervangen, is het noodzakelijk interne voorschriften vast te stellen op grond waarvan de Commissie de rechten van betrokkenen in overeenstemming met artikel 25, lid 1, onder c), g) en h), van Verordening (EU) 2018/1725 kan beperken.
(13)
De interne voorschriften moeten alle verwerkingen bestrijken die de Commissie verricht bij de uitoefening van haar interne-auditactiviteiten, ongeacht of zij ambtshalve handelt dan wel op basis van ontvangen input, telkens als de uitoefening van de rechten van betrokkenen de uitvoering van interne-auditactiviteiten in het gedrang kan brengen. Die voorschriften moeten van toepassing zijn op verwerkingen die vóór de formele aanvang van een opdracht, tijdens de opdracht en tijdens de monitoring van de follow-up van de uitkomsten ervan plaatsvinden.
(14)
Om aan de artikelen 14, 15 en 16 van Verordening (EU) 2018/1725 te voldoen, moet de Commissie alle personen op transparante en coherente wijze over haar activiteiten die de verwerking van hun persoonsgegevens omvatten, en over hun rechten informeren via een op de website van de Commissie gepubliceerde privacyverklaring. In voorkomend geval moet de Commissie in aanvullende waarborgen voorzien zodat dat de betrokkenen persoonlijk en in een passend format op de hoogte worden gesteld.
(15)
Uit hoofde van artikel 25 van Verordening (EU) 2018/1725 kan de Commissie ook de informatieverstrekking aan betrokkenen en de uitoefening van andere rechten van betrokkenen beperken om haar interne-auditactiviteiten, audits van overheidsinstanties van de lidstaten, de auditinstrumenten en -methoden, alsmede de rechten van andere bij haar interne-auditactiviteiten betrokken personen te beschermen.
(16)
Bovendien kan het, om doeltreffende samenwerking te handhaven, voor de Commissie noodzakelijk zijn om de toepassing van rechten van betrokkenen te beperken teneinde verwerkingen van diensten van de Commissie of andere instellingen, organen, bureaus en agentschappen van de Unie of van instanties van de lidstaten en internationale organisaties, alsmede van het comité follow-up interne audit te beschermen. Daartoe moet de Commissie die diensten, instellingen, organen, bureaus, agentschappen, instanties en organisaties, alsmede het comité follow-up interne audit raadplegen over de desbetreffende redenen om beperkingen op te leggen en over de noodzaak en evenredigheid van die beperkingen.
(17)
Het kan ook zijn dat de Commissie de verstrekking van informatie aan betrokkenen en de toepassing van andere rechten van betrokkenen met betrekking tot persoonsgegevens die zijn ontvangen van derde landen of internationale organisaties, moet beperken om met die landen of organisaties samen te werken en zo een belangrijke doelstelling van algemeen openbaar belang van de Unie veilig te stellen. In sommige omstandigheden kunnen het belang of de grondrechten van de betrokkenen evenwel prevaleren boven het belang van internationale samenwerking.
(18)
De Commissie moet alle beperkingen op transparante wijze behandelen en registreren in het desbetreffende registratiesysteem.
(19)
Overeenkomstig artikel 25, lid 8, van Verordening (EU) 2018/1725 kunnen verwerkingsverantwoordelijken het verstrekken van informatie over de redenen van de toepassing van een beperking aan de betrokkene uitstellen, achterwege laten of weigeren indien dit op enigerlei wijze het doel van de beperking in het gedrang zou brengen. Dit geldt met name voor beperkingen van de in de artikelen 16 en 35 van Verordening (EU) 2018/1725 vastgestelde rechten.
(20)
Wanneer andere rechten van betrokkenen worden beperkt, moet de verwerkingsverantwoordelijke van de dienst Interne Audit per geval beoordelen of mededeling van de beperking het doel ervan in gevaar zou brengen.
(21)
De functionaris voor gegevensbescherming van de Europese Commissie moet een onafhankelijke evaluatie van de toepassing van beperkingen verrichten teneinde de inachtneming van dit besluit te garanderen.
(22)
Verordening (EG) nr. 45/2001 wordt, zonder overgangsperiode, vervangen door Verordening (EU) 2018/1725 vanaf de datum waarop deze in werking treedt. De mogelijkheid om beperkingen op bepaalde rechten toe te passen, is vastgesteld in Verordening (EG) nr. 45/2001. Om de rechtmatigheid van interne-auditactiviteiten niet in het gedrang te brengen, moet dit besluit van toepassing zijn vanaf de datum van inwerkingtreding van Verordening (EU) 2018/1725.
(23)
De Europese Toezichthouder voor gegevensbescherming heeft op 27 november 2018 een advies uitgebracht,
HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
Artikel 1
Onderwerp en toepassingsgebied
1.   In dit besluit worden de voorschriften vastgesteld die de Commissie in acht moet nemen om betrokkenen, overeenkomstig de artikelen 14, 15 en 16 van Verordening (EU) 2018/1725, te informeren over de verwerking van hun gegevens wanneer zij haar interne-auditactiviteiten in overeenstemming met de artikelen 117 tot en met 123 van Verordening (EU, Euratom) 2018/1046 verricht.
Voorts worden in dit besluit de voorwaarden vastgesteld waarop de Commissie de toepassing van de artikelen 4, 14 tot en met 17, 19, 20 en 35 van Verordening (EU) 2018/1725 kan beperken in overeenstemming met artikel 25, lid 1, onder c), g) en h), van die verordening.
2.   Dit besluit is van toepassing op de verwerking van persoonsgegevens door de Commissie ten behoeve van of met betrekking tot de activiteiten ter vervulling van haar taken uit hoofde van artikel 118 en artikel 119, lid 2, van Verordening (EU, Euratom) 2018/1046.
3.   Dit besluit is van toepassing op de verwerking van persoonsgegevens binnen de Commissie voor zover de Commissie persoonsgegevens verwerkt die vervat zijn in informatie die zij moet verwerken ten behoeve van of in verband met de in dit artikel bedoelde activiteiten.
Artikel 2
Toepasselijke uitzonderingen en beperkingen
1.   Bij de uitoefening van haar taken met betrekking tot de rechten van betrokkenen overeenkomstig Verordening (EU) 2018/1725 gaat de Commissie na of een van de in die verordening vastgestelde uitzonderingen van toepassing is.
2.   Onverminderd de artikelen 3 tot en met 7 van dit besluit kan de Commissie de toepassing van de artikelen 14 tot en met 17, 19, 20 en 35 van Verordening (EU) 2018/1725, alsmede het in artikel 4, lid 1, onder a), van die verordening neergelegde transparantiebeginsel beperken voor zover de bepalingen ervan overeenkomen met de in de artikelen 14 tot en met 17, 19, 20 en 35 van die verordening vastgestelde rechten en verplichtingen, wanneer de uitoefening van die rechten en verplichtingen de activiteiten van de Commissie op grond van artikel 118 en artikel 119, lid 2, van Verordening (EU, Euratom) 2018/1046 in het gedrang zou brengen, onder meer doordat haar auditinstrumenten en -methode worden onthuld of doordat afbreuk wordt gedaan aan de rechten en vrijheden van andere betrokkenen.
3.   Onverminderd de artikelen 3 tot en met 7 kan de Commissie in de volgende omstandigheden de rechten en verplichtingen als bedoeld in lid 2 van dit artikel beperken met betrekking tot persoonsgegevens die zijn verkregen van andere instellingen, organen, agentschappen en bureaus van de Unie, bevoegde autoriteiten van de lidstaten of derde landen of internationale organisaties:
a)
wanneer de uitoefening van die rechten en verplichtingen door andere instellingen, organen, agentschappen en bureaus van de Unie zou kunnen worden beperkt op grond van andere in artikel 25 van Verordening (EU) 2018/1725 bedoelde handelingen of overeenkomstig hoofdstuk IX van die verordening of overeenkomstig Verordening (EU) 2016/794 van het Europees Parlement en de Raad (7) of Verordening (EU) 2017/1939 van de Raad (8);
b)
wanneer de uitoefening van die rechten en verplichtingen door bevoegde autoriteiten van de lidstaten zou kunnen worden beperkt op grond van in artikel 23 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (9) bedoelde handelingen of uit hoofde van nationale maatregelen tot omzetting van artikel 13, lid 3, artikel 15, lid 3, of artikel 16, lid 3, van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (10);
c)
wanneer de uitoefening van die rechten en verplichtingen de samenwerking van de Commissie met derde landen of internationale organisaties bij het uitvoeren van interne-auditactiviteiten in het gedrang kan brengen.
Voordat beperkingen worden toegepast onder de in de punten a) en b) van de eerste alinea bedoelde omstandigheden raadpleegt de Commissie de betrokken instellingen, organen, agentschappen en bureaus van de Unie of bevoegde autoriteiten van de lidstaten, tenzij het voor de Commissie duidelijk is dat in de toepassing van een beperking is voorzien in een van de in die punten bedoelde handelingen of indien die raadpleging het doel van haar activiteiten op grond van artikel 118 en artikel 119, lid 2, van Verordening (EU, Euratom) 2018/1046 in het gedrang zou brengen.
Punt c) van de eerste alinea is niet van toepassing wanneer de belangen of de fundamentele rechten en vrijheden van de betrokkenen prevaleren boven het belang van de Commissie om samen te werken met derde landen of internationale organisaties.
4.   Door de leden 1, 2 en 3 wordt niet afgedaan aan de toepassing van andere besluiten van de Commissie tot vaststelling van interne voorschriften betreffende het verstrekken van informatie aan betrokkenen, noch aan de beperking van bepaalde rechten uit hoofde van artikel 25 van Verordening (EU) 2018/1725 en artikel 23 van het reglement van orde van de Commissie.
Artikel 3
Informatieverstrekking aan betrokkenen
De Commissie maakt op haar website privacyverklaringen bekend waarmee alle betrokkenen in kennis worden gesteld van haar activiteiten waarbij sprake is van de verwerking van hun persoonsgegevens ten behoeve van haar activiteiten op grond van artikel 118 en artikel 119, lid 2, van Verordening (EU, Euratom) 2018/1046. In voorkomend geval zorgt de Commissie ervoor dat de betrokkenen persoonlijk en in een passend formaat in kennis worden gesteld.
Wanneer de Commissie de informatieverstrekking aan betrokkenen van wie gegevens worden verwerkt ten behoeve van haar activiteiten op grond van artikel 118 en artikel 119, lid 2, van Verordening (EU, Euratom) 2018/1046 — geheel of gedeeltelijk — beperkt, legt zij de redenen voor die beperking vast en registreert zij die overeenkomstig artikel 6.
Artikel 4
Recht van inzage van betrokkenen, recht op wissing en recht op beperking van de verwerking
1.   Wanneer de Commissie het recht van inzage in persoonsgegevens door betrokkenen, het recht op wissing of het recht op beperking van de verwerking als bedoeld in, onderscheidenlijk, de artikelen 17, 19 en 20 van Verordening (EU) 2018/1725 geheel of gedeeltelijk beperkt, stelt zij de betrokkene in haar antwoord op het verzoek om inzage, wissing of beperking van de verwerking in kennis van de toegepaste beperking en van de belangrijkste redenen daarvoor, alsmede van de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of om beroep in te stellen bij het Hof van Justitie van de Europese Unie.
2.   De informatieverstrekking over de redenen voor de in lid 1 van dit artikel bedoelde beperking kan worden uitgesteld, achterwege gelaten of geweigerd zolang de verstrekking daarvan het doel van de beperking zou ondermijnen.
3.   De Commissie registreert de redenen voor de beperking in overeenstemming met artikel 6 van dit besluit.
4.   Wanneer het recht van inzage geheel of gedeeltelijk wordt beperkt, oefent de betrokkene, in overeenstemming met artikel 25, leden 6, 7 en 8, van Verordening (EU) 2018/1725, haar of zijn recht van inzage uit via de Europese Toezichthouder voor gegevensbescherming.
Artikel 5
Mededeling van inbreuken in verband met persoonsgegevens aan betrokkenen
Wanneer de Commissie de in artikel 35 van Verordening (EU) 2018/1725 bedoelde mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene beperkt, legt zij de redenen voor de beperking vast en registreert zij die overeenkomstig artikel 6 van dit besluit.
Artikel 6
Registratie van beperkingen
De Commissie legt de redenen vast voor beperkingen op grond van dit besluit, met inbegrip van een evaluatie van de noodzaak en de evenredigheid van de beperking, met inachtneming van de desbetreffende elementen van artikel 25, lid 2, van Verordening (EU) 2018/1725.
Daartoe wordt in het register aangegeven hoe de uitoefening van het recht het doel van de activiteiten van de Commissie op grond van artikel 118 en artikel 119, lid 2, van Verordening (EU, Euratom) 2018/1046 of van krachtens artikel 2, lid 2 of 3, toegepaste beperkingen in het gedrang zou brengen of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen.
Deze vastlegging en de eventuele documenten met de onderliggende feitelijke en juridische elementen worden geregistreerd. Ze worden desgevraagd aan de Europese Toezichthouder voor gegevensbescherming beschikbaar gesteld.
Artikel 7
Duur van de beperkingen
1.   Beperkingen als bedoeld in de artikelen 3, 4 en 5 van dit besluit blijven van toepassing zolang de redenen daarvoor blijven bestaan.
2.   Wanneer de redenen voor een in artikel 3 of 5 van dit besluit bedoelde beperking niet langer van toepassing zijn, heft de Commissie de beperkingen op en stelt zij de betrokkene in kennis van de belangrijkste redenen voor de beperking. Tegelijkertijd stelt de Commissie de betrokkene in kennis van de mogelijkheid om te allen tijde een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of om beroep in te stellen bij het Hof van Justitie van de Europese Unie.
3.   De Commissie evalueert de toepassing van de in de artikelen 3 en 5 bedoelde beperking om de zes maanden na de vaststelling ervan alsmede vóór en na de afsluiting van de desbetreffende interne-auditactiviteit. Daarna monitort de Commissie jaarlijks de noodzaak om eventuele beperkingen/uitstelperioden te handhaven.
Artikel 8
Evaluatie door de functionaris voor gegevensbescherming van de Europese Commissie
De functionaris voor gegevensbescherming van de Europese Commissie wordt onverwijld in kennis gesteld telkens als rechten van betrokkenen overeenkomstig dit besluit worden beperkt. De Commissie verleent de functionaris voor gegevensbescherming desgevraagd inzage in het register en eventuele documenten met onderliggende feitelijke en juridische elementen.
De functionaris voor gegevensbescherming kan om een evaluatie van de beperkingen verzoeken. De functionaris voor gegevensbescherming wordt schriftelijk in kennis gesteld van de uitkomst van de gevraagde evaluatie.
Artikel 9
Inwerkingtreding
Dit besluit treedt in werking op de dag van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
Het is van toepassing met ingang van 11 december 2018.
Gedaan te Brussel, 11 december 2018.
Voor de Commissie
De voorzitter
Jean-Claude JUNCKER
(1)  Verordening (EU, Euratom) 2018/1046 van het Europees Parlement en de Raad van 18 juli 2018 tot vaststelling van de financiële regels van toepassing op de algemene begroting van de Unie, tot wijziging van Verordeningen (EU) nr. 1296/2013, (EU) nr. 1301/2013, (EU) nr. 1303/2013, (EU) nr. 1304/2013, (EU) nr. 1309/2013, (EU) nr. 1316/2013, (EU) nr. 223/2014, (EU) nr. 283/2014 en Besluit nr. 541/2014/EU en tot intrekking van Verordening (EU, Euratom) nr. 966/2012 (PB L 193 van 30.7.2018, blz. 1).
(2)  C(2017) 4435 final.
(3)  Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39).
(4)  Opgericht in oktober 2000, SEC(2000) 1808/3.
(5)  De bewaring van dossiers bij de Commissie wordt geregeld door de gezamenlijke bewaarlijst, een regelgevend document (waarvan de laatste versie SEC (2012) 713 is) in de vorm van een tijdschema waarin de bewaartermijnen voor de verschillende soorten dossiers van de Commissie zijn vastgesteld.
(6)  Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrĳe verkeer van die gegevens (PB L 8 van 12.1.2001, blz. 1).
(7)  Verordening (EU) 2016/794 van het Europees Parlement en de Raad van 11 mei 2016 betreffende het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol) en tot vervanging en intrekking van de Besluiten 2009/371/JBZ, 2009/934/JBZ, 2009/935/JBZ, 2009/936/JBZ en 2009/968/JBZ van de Raad (PB L 135 van 24.5.2016, blz. 53).
(8)  Verordening (EU) 2017/1939 van de Raad van 12 oktober 2017 betreffende nauwere samenwerking bij de instelling van het Europees Openbaar Ministerie („het EOM”) (PB L 283 van 31.10.2017, blz. 1).
(9)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).
(10)  Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89).

Summary:
Beperkingen van de rechten van betrokkenen — Interne voorschriften van de Commissie
Beperkingen van de rechten van betrokkenen — Interne voorschriften van de Commissie
 
SAMENVATTING VAN:
Besluit (EU) 2018/1927 — Interne voorschriften betreffende de verwerking van persoonsgegevens door de Commissie op mededingingsgebied in verband met de informatieverstrekking aan betrokkenen en de beperking van bepaalde rechten
Besluit (EU) 2018/1961 — Interne voorschriften betreffende de verstrekking van informatie aan betrokkenen en de beperking van bepaalde van hun rechten in het kader van de verwerking van persoonsgegevens ten behoeve van interne-auditactiviteiten
Besluit (EU) 2018/1962 — Interne voorschriften betreffende de verwerking van persoonsgegevens door het Europees Bureau voor fraudebestrijding (OLAF) in verband met de informatieverstrekking aan betrokkenen en de beperking van sommige van hun rechten
Besluit (EU) 2018/1996 — Interne regels voor de verstrekking van informatie aan betrokkenen en de beperking van bepaalde hun toekomende rechten in het kader van de verwerking van persoonsgegevens voor handelsbeschermings- en handelsbeleidsonderzoeken
Besluit (EU) 2019/154 — Interne voorschriften betreffende de beperking van het recht op inzage van betrokkenen in hun medische dossiers
Besluit (EU) 2019/165 — Interne voorschriften betreffende de verstrekking van informatie aan betrokkenen en de beperking van sommige van hun gegevensbeschermingsrechten door de Commissie in het kader van administratieve onderzoeken, tuchtprocedures, daaraan voorafgaande procedures en schorsingsprocedures
Besluit (EU) 2019/236 — Interne voorschriften betreffende de verstrekking van informatie aan betrokkenen en de beperking van sommige van hun rechten in het kader van de verwerking van persoonsgegevens door de Commissie ten behoeve van de interne veiligheid van de instellingen van de EU
WAT IS HET DOEL VAN DEZE BESLUITEN?
In de besluiten worden interne voorschriften vastgesteld op basis waarvan de Europese Commissie de rechten van individuen kan beperken, die ze uitoefenen op grond van Verordening (EU) 2018/1725. De interne voorschriften zijn van toepassing op de verwerking van persoonsgegevens binnen specifieke gebieden en voor specifieke doeleinden.
KERNPUNTEN
Persoonsgegevens omvatten iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon („betrokkene”). Een natuurlijke persoon is identificeerbaar als hij/zij direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatiemiddel (zoals een naam, een identificatienummer, gegevens over de verblijfplaats of een online-identificatiemiddel) of van een of meer specifieke elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, mentale, economische, culturele of sociale identiteit van die natuurlijke persoon.
Het nieuwe EU-wetgevingskader betreffende de bescherming en het vrije verkeer van persoonsgegevens bestaat uit met name:de algemene verordening gegevensbescherming (AVG), waarin de rechten van individuen ten aanzien van hun persoonsgegevens worden beschreven, ze worden beschermd met betrekking tot de verwerking van hun persoonsgegevens binnen de EU-landen en het vrije verkeer van dergelijke gegevens wordt gewaarborgd;  Verordening (EU) 2018/1725, waarin de rechten van individuen ten aanzien van hun persoonsgegevens worden beschreven, ze worden beschermd met betrekking tot de verwerking van hun persoonsgegevens door de instellingen, organen, en instanties van de EU, en het vrije verkeer van dergelijke gegevens wordt gewaarborgd.  Deze verordeningen worden als gelijkwaardig beschouwd en moeten als hetzelfde worden geïnterpreteerd.
Artikel 25 van Verordening (EU) 2018/1725 biedt de instellingen en organen van de EU de mogelijkheid om in bepaalde gevallen de rechten van individuen te beperken, op voorwaarde dat dergelijke beperkingen in de EU-wetgeving zijn vastgesteld. In het verlengde daarvan heeft de Commissie zeven Commissiebesluiten vastgesteld, waarin redenen worden gegeven voor mogelijke beperkingen om belangrijke doelstellingen van algemeen Europees belang te beschermen.
Op basis van deze besluiten en na een beoordeling per geval van de noodzaak en de evenredigheid van de beperkingen bepaalt de Europese Commissie in een individueel geval of de rechten van een individu moeten worden beperkt.
De volgende rechten van individuen kunnen worden beperkt:het recht op informatie overde verwerking van hun persoonsgegevens, enovertredingen in verband met hun persoonsgegevens die kunnen leiden tot een hoog risico voor hun rechten en vrijheden;  het recht op inzage in hun persoonsgegevens, wissing van hun persoonsgegevens of beperking van de verwerking van hun persoonsgegevens.  De zeven Commissiebesluiten zijn op dezelfde wijze opgesteld en bevatten elk een aantal van of al deze elementen:Onderwerp en toepassingsgebied Elk verzoek van een betrokkene moet per geval worden beoordeeld.    Toepasselijke uitzonderingen en/of beperkingen Voordat de Commissie een beperking toepast, moet zij eerst nagaan of een van de in Verordening (EU) 2018/1725 vastgestelde uitzonderingen op de rechten van de betrokkenen van toepassing is.    Informatieverstrekking aan betrokkenen De Commissie moet op haar website privacyverklaringen bekendmaken waarmee alle betrokkenen in kennis worden gesteld van haar activiteiten op dit gebied.  De Commissie moet iedereen die betrokken is bij een onderzoek of die wordt getroffen door een op een van de relevante gebieden uitgevoerde maatregel, persoonlijk en in een passend formaat informeren.    Recht van inzage van betrokkenen, recht op wissing en recht op beperking van de verwerking Indien de Commissie het recht op inzage in persoonsgegevens, het recht op wissing en/of het recht op beperking van de verwerking beperkt, moet zij de betrokkene informeren over de toegepaste beperking en de belangrijkste redenen daarvoor, en over de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of om beroep in te stellen bij het Hof van Justitie van de Europese Unie.    Registratie van beperkingen De Commissie moet de redenen voor toegepaste beperkingen registreren, en daarbij de noodzaak en de evenredigheid van de beperking evalueren.    Duur van de beperkingen Beperkingen blijven van toepassing zolang de redenen daarvoor blijven bestaan.    Evaluatie door de functionaris voor gegevensbescherming (DPO) van de Europese Commissie De DPO moet onverwijld worden geïnformeerd wanneer rechten van betrokkenen worden beperkt.  De DPO moet desgevraagd inzage in het register en eventuele documenten met onderliggende feitelijke en juridische elementen worden verleend.  De DPO kan om een evaluatie van de beperking verzoeken en moet schriftelijk in kennis worden gesteld van de uitkomst van de gevraagde evaluatie.    De zeven Commissiebesluiten hebben betrekking op de beperking van de rechten van betrokkenen op de volgende gebieden:Interne veiligheid van de EU-instellingen Van toepassing op de verwerking van persoonsgegeven om de veiligheid van personen, goederen en informatie te waarborgen binnen de Commissie.  De Commissie moet getuigen en de bij een veiligheidsonderzoek betrokken personen persoonlijk informeren over de verwerking van hun persoonsgegevens.  Voorts moet de Commissie betrokkenen van wie de gegevens worden verwerkt voor antecedentenonderzoek overeenkomstig artikel 7, lid 5, van Besluit (EU, Euratom) 2015/443 van de Commissie, persoonlijk informeren.  Ook moet zij personen van wie de gegevens worden verwerkt in het kader van het doorzoeken van gebouwen, communicatie- en informatiesystemen en uitrusting van de Commissie, persoonlijk daarover informeren.    Administratieve onderzoeken, tuchtprocedures, daaraan voorafgaande procedures en schorsingsprocedures De rechten en verplichtingen krachtens Verordening (EU) 2018/1725 kunnen worden beperkt als deze het doel van administratieve onderzoeken, tuchtprocedures, daaraan voorafgaande procedures en schorsingsprocedures in het gedrang zouden brengen of afbreuk zouden doen aan de rechten en vrijheden van andere betrokkenen.    Medische persoonsgegevens De Commissie kan per geval het recht van betrokkenen op rechtstreekse inzage in medische gegevens van psychologische of psychiatrische aard die op hen betrekking hebben, beperken als de inzage in deze gegevens een risico kan inhouden voor de gezondheid van de betrokkene.  Deze beperking moet in verhouding staan tot hetgeen strikt noodzakelijk is voor de bescherming van de betrokkene.    Handelsbeschermings- en handelsbeleidsonderzoeken De rechten en verplichtingen krachtens Verordening (EU) 2018/1725 kunnen worden beperkt als deze het doel van de handelsbeleids- en handelsbeschermingsactiviteiten van de Commissie in het gedrang zouden brengen of afbreuk zouden doen aan de rechten en vrijheden van andere betrokkenen.    Europees Bureau voor fraudebestrijding (OLAF) Van toepassing op de verwerking van persoonsgegevens door het OLAF (en op de verwerking van persoonsgegevens door diensten en uitvoerende agentschappen van de Commissie die aan het OLAF moeten worden doorgegeven) met het oog op de vervulling van zijn taken.  Onderzoeken door het OLAF zijn volstrekt onafhankelijk van de Commissie.  Het OLAF bepaalt of er uitzonderingen op de rechten van betrokkenen moeten worden toegepast.  Op de website van het OLAF worden privacyverklaringen gepubliceerd waarmee betrokkenen worden geïnformeerd over de activiteiten in verband met de verwerking van hun persoonsgegevens.  De DPO van het OLAF evalueert de beperkingen van de rechten van betrokkenen.    Interne-auditactiviteiten De rechten en verplichtingen krachtens Verordening (EU) 2018/1725 kunnen worden beperkt als onderdeel van de verwerkingen die de Commissie verricht bij de uitoefening van haar interne-auditactiviteiten, telkens als de uitoefening van de rechten van betrokkenen de uitvoering van interne-auditactiviteiten in het gedrang kan brengen, onder meer doordat haar auditinstrumenten en -methode worden onthuld of doordat afbreuk wordt gedaan aan de rechten en vrijheden van andere betrokkenen.  Bovendien kan het voor de Commissie noodzakelijk zijn om de toepassing van rechten van betrokkenen te beperken teneinde verwerkingen van diensten van de Commissie of andere instellingen, organen, bureaus en agentschappen van de Unie of van instanties van de EU-landen en internationale organisaties, alsmede van het comité follow-up interne audit te beschermen.  De Commissie informeert alle personen over haar interne-auditactiviteiten die de verwerking van hun persoonsgegevens omvatten en over hun rechten via een op de website van de Commissie gepubliceerde privacyverklaring. In voorkomend geval zorgt de Commissie ervoor dat de betrokkenen persoonlijk en in een passend formaat op de hoogte worden gesteld.    Mededinging De rechten en verplichtingen krachtens Verordening (EU) 2018/1725 kunnen worden beperkt als deze de onderzoeks- en handhavingsactiviteiten van de Commissie onder meer door de openbaarmaking van haar onderzoeksinstrumenten en -methoden in het gedrang zouden brengen of afbreuk zouden doen aan de rechten en vrijheden van andere betrokkenen.    
VANAF WANNEER ZIJN DE BESLUITEN VAN TOEPASSING?
De Besluiten (EU) 2018/1927, (EU) 2018/1961, (EU) 2018/1962, (EU) 2018/1996 en (EU) 2019/154 zijn van toepassing sinds 11 december 2018.  Besluit (EU) 2019/165 is van toepassing sinds 7 februari 2019.  Besluit (EU) 2019/236 is van toepassing sinds 11 februari 2019.  
ACHTERGROND
Zie voor meer informatie:Hervorming van 2018 van de EU-regels voor gegevensbescherming (Europese Commissie).  
BELANGRIJKSTE DOCUMENTEN
Besluit (EU) 2018/1927 van de Commissie van 5 december 2018 houdende interne voorschriften betreffende de verwerking van persoonsgegevens door de Europese Commissie op mededingingsgebied in verband met de informatieverstrekking aan betrokkenen en de beperking van bepaalde rechten (PB L 313 van 10.12.2018, blz. 39-44)
Besluit (EU) 2018/1961 van de Commissie van 11 december 2018 tot vaststelling van interne voorschriften betreffende de verstrekking van informatie aan betrokkenen en de beperking van bepaalde van hun rechten in het kader van de verwerking van persoonsgegevens ten behoeve van interne-auditactiviteiten (PB L 315 van 12.12.2018, blz. 35-40)
Besluit (EU) 2018/1962 van de Commissie van 11 december 2018 houdende interne voorschriften betreffende de verwerking van persoonsgegevens door het Europees Bureau voor fraudebestrijding (OLAF) in verband met de informatieverstrekking aan betrokkenen en de beperking van sommige van hun rechten overeenkomstig artikel 25 van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (PB L 315 van 12.12.2018, blz. 41-46)
Besluit (EU) 2018/1996 van de Commissie van 14 december 2018 tot vaststelling van interne regels voor de verstrekking van informatie aan betrokkenen en de beperking van bepaalde hun toekomende rechten in het kader van de verwerking van persoonsgegevens voor handelsbeschermings- en handelsbeleidsonderzoeken (PB L 320 van 17.12.2018, blz. 40-44)
Besluit (EU) 2019/154 van de Commissie van 30 januari 2019 tot vaststelling van interne voorschriften betreffende de beperking van het recht op inzage van betrokkenen in hun medische dossiers (PB L 27 van 31.1.2019, blz. 33-35)
Besluit (EU) 2019/165 van de Commissie van 1 februari 2019 tot vaststelling van interne voorschriften betreffende de verstrekking van informatie aan betrokkenen en de beperking van sommige van hun gegevensbeschermingsrechten door de Commissie in het kader van administratieve onderzoeken, tuchtprocedures, daaraan voorafgaande procedures en schorsingsprocedures (PB L 32 van 4.2.2019, blz. 9-13)
Besluit (EU) 2019/236 van de Commissie van 7 februari 2019 tot vaststelling van interne voorschriften betreffende de verstrekking van informatie aan betrokkenen en de beperking van sommige van hun rechten in het kader van de verwerking van persoonsgegevens door de Europese Commissie ten behoeve van de interne veiligheid van de instellingen van de Unie (PB L 37 van 8.2.2019, blz. 144-149)
GERELATEERDE DOCUMENTEN
Van toepassing voor de Europese Commissie:
Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (PB L 295 van 21.11.2018, blz. 39-98)
Besluit (EU, Euratom) 2017/46 van de Commissie van 10 januari 2017 over de beveiliging van communicatie- en informatiesystemen binnen de Europese Commissie (PB L 6 van 11.1.2017, blz. 40-51)
Achtereenvolgende wijzigingen van Besluit (EU, Euratom) 2017/46 zijn verwerkt in de basistekst. Deze geconsolideerde versie heeft slechts documentaire waarde.
Besluit (EU, Euratom) 2015/443 van de Commissie van 13 maart 2015 betreffende veiligheid binnen de Commissie (PB L 72 van 17.3.2015, blz. 41-52)
Van toepassing in de EU-landen:
Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1-88)
Zie de geconsolideerde versie.
Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89-131)
Zie de geconsolideerde versie.
Laatste bijwerking 03.04.2019