CELEX: 32020Q0722(02)
Language: nl
Date: 2020-03-26 00:00:00
Title: Besluit Nr. 1/2020 van de raad van bestuur van de Gemeenschappelijke Onderneming Shift2Rail van 26 maart 2020 tot vaststelling van interne voorschriften betreffende de beperking van bepaalde rechten van betrokkenen in verband met de verwerking van hun persoonsgegevens in het kader van het functioneren van de Gemeenschappelijke Onderneming Shift2Rail

22.7.2020   
               
               
                  NL
               
               
                  Publicatieblad van de Europese Unie
               
               
                  L 236/7
               
            
         BESLUIT Nr. 1/2020 VAN DE RAAD VAN BESTUUR VAN DE GEMEENSCHAPPELIJKE ONDERNEMING SHIFT2RAIL
         van 26 maart 2020
         tot vaststelling van interne voorschriften betreffende de beperking van bepaalde rechten van betrokkenen in verband met de verwerking van hun persoonsgegevens in het kader van het functioneren van de Gemeenschappelijke Onderneming Shift2Rail
         DE RAAD VAN BESTUUR VAN DE GEMEENSCHAPPELIJKE ONDERNEMING SHIFT2RAIL (hierna “GO S2R”),
         Gezien het Verdrag betreffende de werking van de Europese Unie (1),
         Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (2), en met name artikel 25,
         Gezien Verordening (EU) nr. 642/2014 van de Raad van 16 juni 2014 tot oprichting van de Gemeenschappelijke Onderneming Shift2Rail (3), en met name artikel 8 van de bij deze verordening gevoegde statuten,
         Gezien het advies van de Europese Toezichthouder voor gegevensbescherming over artikel 25 van de nieuwe verordening en interne voorschriften,
         Na op 12 november 2019 de Europese Toezichthouder voor gegevensbescherming te hebben geraadpleegd in overeenstemming met artikel 41, lid 2, van Verordening (EU) 2018/1725,
         Gezien de aanbevelingen van de Europese Toezichthouder voor gegevensbescherming van 18 december 2019,
         Na raadpleging van het personeelscomité van de GO S2R,
         Overwegende hetgeen volgt:
         
                     (1)
                  
                  
                     Uitsluitend rechtshandelingen die op basis van de Verdragen zijn vastgesteld, mogen voorzien in een beperking van de rechten van betrokkenen. In Verordening (EU) 2018/1725 is bepaald dat er, wanneer deze beperkingen niet kunnen worden gebaseerd op rechtshandelingen die zijn vastgesteld op basis van de Verdragen, voor wat betreft de activiteiten van de GO S2R, in interne voorschriften mag worden voorzien in beperkingen, waaronder in de bepalingen betreffende de beoordeling van de noodzaak en evenredigheid van een beperking.
                  
               
                     (2)
                  
                  
                     Overeenkomstig artikel 25, lid 1, van Verordening (EU) 2018/1725 moeten beperkingen op de toepassing van de artikelen 14 tot en met 22, artikel 35 en artikel 36, en artikel 4 van die verordening, voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 22 voorzien, zijn gebaseerd op interne, door GO S2R vast te stellen voorschriften.
                  
               
                     (3)
                  
                  
                     In het kader van haar administratieve werking kan de GO S2R administratieve onderzoeken instellen, tuchtprocedures inleiden, voorbereidende activiteiten verrichten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures verwerken, (formele en informele) procedures in verband met intimidatie verwerken, interne en externe klachten verwerken, interne audits uitvoeren, onderzoeken uitvoeren via de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 en interne (IT-)veiligheidsonderzoeken verrichten.
                  
               
                     (4)
                  
                  
                     De GO S2R verwerkt verschillende categorieën persoonsgegevens, zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, gegevens uit specifieke bronnen, elektronische communicatie- en verkeersgegevens, en gegevens over een specifieke zaak (zoals bewijsvoering, gedragsmatige gegevens, beoordelingen, prestatie- en gedragsgegevens en gegevens met betrekking tot of naar voren gebracht in verband met het onderwerp van de procedure of activiteit) (4).
                  
               
                     (5)
                  
                  
                     De GO S2R, vertegenwoordigd door haar uitvoerend directeur, treedt op als verwerkingsverantwoordelijke.
                  
               
                     (6)
                  
                  
                     De persoonsgegevens worden veilig opgeslagen in een elektronische omgeving of op papier waarbij ongeoorloofde toegang of overdracht van gegevens aan personen zonder noodzaak van kennisneming wordt voorkomen. De verwerkte persoonsgegevens worden niet langer bewaard dan noodzakelijk en passend voor de doeleinden waarvoor de gegevens worden verwerkt gedurende de periode die is gespecificeerd in de gegevensbeschermingsmededelingen, de privacyverklaringen of het register van de GO S2R.
                  
               
                     (7)
                  
                  
                     De interne voorschriften zijn van toepassing op alle verwerkingen door de GO S2R in het kader van haar administratieve onderzoeken, tuchtprocedures, voorbereidende activiteiten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures, (formele en informele) procedures voor gevallen van intimidatie, verwerking van interne en externe klachten, interne audits, de onderzoeken die worden uitgevoerd door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld CERT-EU) worden behandeld.
                  
               
                     (8)
                  
                  
                     De interne voorschriften zijn van toepassing op verwerkingen die vóór inleiding van voornoemde procedures plaatsvonden, tijdens deze procedures, en tijdens het toezicht op de follow-up van de uitkomst van deze procedures. De interne voorschriften omvatten ook bijstand door de GO S2R aan en haar samenwerking met nationale autoriteiten en internationale organisaties buiten het kader van haar administratieve onderzoeken.
                  
               
                     (9)
                  
                  
                     In gevallen waarop deze interne regels van toepassing zijn, moet de GO S2R motiveren waarom de beperkingen strikt noodzakelijk en evenredig zijn in een democratische samenleving en de wezenlijke inhoud van de grondrechten en fundamentele vrijheden eerbiedigen.
                  
               
                     (10)
                  
                  
                     Binnen dit kader is de GO S2R ertoe gehouden om, voor zover mogelijk, de grondrechten van de betrokkenen te respecteren tijdens de bovengenoemde procedures, in het bijzonder het recht op informatieverstrekking, inzage en rectificatie, het recht op wissing, de beperking van verwerking, het recht van mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of vertrouwelijkheid van communicatie zoals verankerd in Verordening (EU) 2018/1725.
                  
               
                     (11)
                  
                  
                     De GO S2R kan echter worden verplicht de informatie aan de betrokkene en andere rechten van de betrokkene te beperken om in het bijzonder haar eigen onderzoeken en onderzoeken en procedures van andere overheidsinstanties te beschermen, evenals de rechten van andere personen in verband met haar onderzoeken of andere procedures.
                  
               
                     (12)
                  
                  
                     Wanneer de GO S2R overweegt een beperking in te stellen, wordt het risico voor de rechten en vrijheden van de betrokkene in het bijzonder afgewogen tegen het risico voor de rechten en vrijheden van andere betrokkenen en het risico van teloorgang van het effect van de onderzoeken of procedures van de GO S2R, bijvoorbeeld door het vernietigen van bewijsmateriaal. De risico's voor de rechten en vrijheden van de betrokkene hebben voornamelijk betrekking op, maar zijn niet beperkt tot, reputatieschade en het recht zich te verdedigen en gehoord te worden.
                  
               
                     (13)
                  
                  
                     De GO S2R kan dus de informatie beperken met het oog op de bescherming van het onderzoek en de grondrechten en fundamentele vrijheden van andere betrokkenen.
                  
               
                     (14)
                  
                  
                     De GO S2R controleert periodiek of de voorwaarden die de beperking rechtvaardigen van toepassing zijn en heft de beperking op zodra dit niet langer het geval is.
                  
               
                     (15)
                  
                  
                     De verwerkingsverantwoordelijke brengt de functionaris voor gegevensbescherming op de hoogte op het moment van uitstel en tijdens de herzieningen,
                  
               HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
         
            Artikel 1
            Onderwerp en toepassingsgebied
            
               1.   In dit besluit worden de voorschriften vastgelegd betreffende de voorwaarden waaronder de GO S2R in het kader van haar in lid 2 beschreven procedures de toepassing kan beperken van de in de artikelen 14 tot en met 21, 35 en 36 vervatte rechten, alsmede van artikel 4 daarvan, in overeenstemming met artikel 25 van Verordening (EU) 2018/1725.
            
            
               2.   In het kader van de administratieve werking van de GO S2R is dit besluit van toepassing op de verwerking van persoonsgegevens door het programmabureau voor de volgende doeleinden: het instellen van administratieve onderzoeken, het inleiden van tuchtprocedures, het verrichten van voorbereidende activiteiten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, het verwerken van klokkenluidersprocedures, het verwerken van (formele en informele) procedures in verband met intimidatie, het verwerken van interne en externe klachten, het uitvoeren van interne audits en het uitvoeren van onderzoek via de functionaris voor gegevensbescherming in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld CERT‐EU) worden behandeld.
            
            
               3.   De betreffende gegevenscategorieën zijn onder meer identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, gegevens uit specifieke bronnen, elektronische communicatie- en verkeersgegevens, en gegevens over een specifieke zaak, zoals bewijsvoering, gedragsmatige gegevens, beoordelingen, prestatie- en gedragsgegevens en gegevens met betrekking tot of naar voren gebracht in verband met het onderwerp van de procedure of activiteit.
            
            
               4.   Waar de GO S2R haar verplichtingen met betrekking tot de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 vervult, onderzoekt zij of een van de in deze verordening vastgestelde uitzonderingen van toepassing is.
            
         
         
            Artikel 2
            Specificatie van de verwerkingsverantwoordelijke
            De verwerkingsverantwoordelijke voor de verwerkingen is de GO S2R, vertegenwoordigd door haar uitvoerend directeur.
         
         
            Artikel 3
            Specificatie van waarborgen
            
               1.   De GO S2R voorziet de volgende waarborgen die zijn gericht op het voorkomen van misbruik of onbevoegde toegang of overdracht van persoonsgegevens:
               
                           a)
                        
                        
                           papieren documenten worden bewaard in beveiligde kasten en zijn alleen toegankelijk voor bevoegd personeel;
                        
                     
                           b)
                        
                        
                           alle elektronische gegevens worden opgeslagen in een beveiligde IT-toepassing volgens de beveiligingsnormen van de GO S2R, evenals in specifieke elektronische mappen die alleen toegankelijk zijn voor bevoegd personeel. Passende toegangsniveaus worden individueel toegekend;
                        
                     
                           c)
                        
                        
                           de database wordt beveiligd met een wachtwoord via één enkel aanmeldsysteem en wordt automatisch verbonden met het ID en het wachtwoord van de gebruiker, waaronder indien passend “pseudonimisering” en/of “versleuteling”. Het is strikt verboden om gebruikers te vervangen. E-records worden veilig bewaard om de vertrouwelijkheid en privacy van de gegevens te waarborgen;
                        
                     
                           d)
                        
                        
                           alle personen die toegang hebben tot de gegevens, zijn gebonden door geheimhoudingsplicht.
                        
                     
            
               2.   Overeenkomstig artikel 6, lid 3, worden de in lid 1 bedoelde waarborgen periodiek herzien.
            
            
               3.   De bewaartermijn van de in artikel 1, lid 3, bedoelde persoonsgegevens wordt vermeld in de betreffende gegevensbeschermingsmededelingen, de privacyverklaringen of het register, zoals bedoeld in artikel 7, lid 1. De bewaartermijn is in geen geval langer dan noodzakelijk en is passend voor de doeleinden waarvoor de gegevens worden verwerkt (5).
            
         
         
            Artikel 4
            Beperkingsgronden
            
               1.   De GO S2R zal elke beperking uitsluitend toepassen om het volgende te waarborgen:
               
                           a)
                        
                        
                           de nationale veiligheid, de openbare veiligheid of de defensie van de lidstaten;
                        
                     
                           b)
                        
                        
                           de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid;
                        
                     
                           c)
                        
                        
                           andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met name de doelstellingen van het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie of een belangrijk economisch of financieel belang van de Unie of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid;
                        
                     
                           d)
                        
                        
                           de interne veiligheid van de instellingen en organen van de Unie, met inbegrip van die van hun elektronische communicatienetwerken;
                        
                     
                           e)
                        
                        
                           de voorkoming, het onderzoek, de opsporing en de vervolging van schendingen van de beroepscodes voor gereglementeerde beroepen;
                        
                     
                           f)
                        
                        
                           een taak op het gebied van toezicht, inspectie of regelgeving die permanent of incidenteel verband houdt met de uitoefening van het openbaar gezag in de gevallen als bedoeld onder a) tot en met c);
                        
                     
                           g)
                        
                        
                           de bescherming van de betrokkene of van de rechten en vrijheden van anderen;
                        
                     
                           h)
                        
                        
                           de inning van civielrechtelijke vorderingen.
                        
                     
            
               2.   Voor de specifieke toepassing van de in lid 1 hiervoor beschreven doelen kan de GO S2R in de volgende omstandigheden beperkingen toepassen:
               
                           a)
                        
                        
                           in verband met persoonsgegevens die zijn uitgewisseld met de diensten van de Commissie of andere instellingen, organen, bureaus en instanties van de Unie:
                           
                                       —
                                    
                                    
                                       wanneer een dergelijke dienst van de Commissie of instelling, orgaan of instantie van de Unie het recht heeft de uitoefening van de vermelde rechten te beperken op grond van andere handelingen als bedoeld in artikel 25 van Verordening (EU) 2018/1725 of overeenkomstig hoofdstuk IX van die verordening of in de oprichtingsakten van andere instellingen, organen, agentschappen en instanties van de Unie;
                                    
                                 
                                       —
                                    
                                    
                                       wanneer het doeleinde van een dergelijke beperking door die dienst van de Commissie, of die instelling, dat orgaan of dat agentschap van de Unie in gevaar komt als de GO S2R niet een soortgelijke beperking toepast met betrekking tot diezelfde persoonsgegevens;
                                    
                                 
                     
                           b)
                        
                        
                           in verband met persoonsgegevens die worden uitgewisseld met bevoegde autoriteiten van de lidstaten:
                           
                                       —
                                    
                                    
                                       wanneer de bevoegde autoriteiten van de lidstaten het recht hebben om de uitoefening van de vermelde rechten te beperken op grond van handelingen als bedoeld in artikel 23 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (6), of krachtens nationale maatregelen ter omzetting van artikel 13, lid 3, artikel 15, lid 3, of artikel 16, lid 3, van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (7);
                                    
                                 
                                       —
                                    
                                    
                                       wanneer het doeleinde van een dergelijke beperking door die bevoegde autoriteit in gevaar komt als de GO S2R niet een soortgelijke beperking toepast met betrekking tot diezelfde persoonsgegevens;
                                    
                                 
                     
                           c)
                        
                        
                           in verband met persoonsgegevens die worden uitgewisseld met derde landen of internationale organisaties, wanneer er duidelijk bewijs is dat de uitoefening van deze rechten en verplichtingen de samenwerking van de GO S2R met derde landen of internationale organisaties bij de uitvoering van haar taken in gevaar brengt.
                        
                     Alvorens beperkingen op te leggen in de situaties als bedoeld in de eerste alinea, onder a) en b), raadpleegt de GO S2R de betrokken diensten van de Commissie, instellingen, organen of instanties van de Unie of de bevoegde autoriteiten van de lidstaten, tenzij het voor de GO S2R duidelijk is dat een van de in die punten genoemde handelingen de toepassing van een beperking toelaat.
            
         
         
            Artikel 5
            Beperkingen voor en rechten van betrokkenen
            
               1.   In naar behoren gemotiveerde gevallen en onder de voorwaarden van dit besluit kunnen de volgende rechten waar noodzakelijk en evenredig door de verwerkingsverantwoordelijke worden beperkt in het kader van de in artikel 1, lid 2, en lid 2 hierna vermelde verwerkingen:
               
                           a)
                        
                        
                           het recht op informatie;
                        
                     
                           b)
                        
                        
                           het recht op inzage;
                        
                     
                           c)
                        
                        
                           het recht op rectificatie, wissing en beperking van verwerking;
                        
                     
                           d)
                        
                        
                           het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene;
                        
                     
                           e)
                        
                        
                           het recht op vertrouwelijkheid van elektronische communicatie.
                        
                     
            
               2.   In naar behoren gemotiveerde gevallen en ter waarborging van de in artikel 4, lid 1, bedoelde gevallen, mogen door de verwerkingsverantwoordelijke beperkingen worden toegepast in het kader van de volgende in artikel 1, lid 2, vermelde verwerkingen:
               
                           a)
                        
                        
                           het uitvoeren van administratieve onderzoeken en tuchtprocedures;
                        
                     
                           b)
                        
                        
                           voorbereidende activiteiten in verband met mogelijke onregelmatigheden die bij OLAF werden gemeld;
                        
                     
                           c)
                        
                        
                           klokkenluidersprocedures;
                        
                     
                           d)
                        
                        
                           (formele en informele) procedures voor gevallen van intimidatie;
                        
                     
                           e)
                        
                        
                           het verwerken van interne en externe klachten;
                        
                     
                           f)
                        
                        
                           interne audits;
                        
                     
                           g)
                        
                        
                           de door de functionaris verrichte onderzoeken in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725;
                        
                     
                           h)
                        
                        
                           (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijv. van CERT‐EU) worden behandeld;
                        
                     
                           i)
                        
                        
                           in het kader van subsidiebeheer of een aanbestedingsprocedure, na de uiterste termijn voor indiening van de oproepen tot het indienen van voorstellen of de inschrijvingen voor aanbestedingen.
                        
                     
            
               3.   In het kader van een procedure in gevallen van intimidatie, kunnen de in lid 1 bedoelde rechten onder dezelfde voorwaarden worden beperkt, met uitzondering van het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene zoals bedoeld in lid 1, onder d).
            
            
               4.   In het kader van subsidiebeheer of een aanbestedingsprocedure kunnen de in lid 1 bedoelde rechten onder dezelfde voorwaarden worden beperkt, met uitzondering van het recht op rectificatie, wissing en beperking van de verwerking zoals bedoeld in lid 1, onder c).
            
            
               5.   In naar behoren gemotiveerde gevallen en onder de voorwaarden van dit besluit kan de verwerkingsverantwoordelijke het recht op rectificatie, wissing en beperking van de verwerking, onder voorbehoud van de in de leden 3 en 4 bedoelde uitzonderingen.
            
            
               6.   Wanneer de GO S2R de toepassing van de rechten als bedoeld in de leden 1, 3, 4 en 5 geheel of gedeeltelijk beperkt, neemt zij de stappen die in de artikelen 6 en 7 van dit besluit zijn opgenomen.
            
            
               7.   Wanneer betrokkenen, in overeenstemming met artikel 17 van Verordening (EU) 2018/1725, verzoeken om inzage in hun verwerkte persoonsgegevens in verband met een of meer specifieke gevallen of in verband met een bepaalde verwerking, beperkt de GO S2R haar beoordeling van het verzoek tot deze persoonsgegevens.
            
         
         
            Artikel 6
            Noodzaak en evenredigheid van beperkingen
            
               1.   Eventuele op artikel 4 gebaseerde beperkingen zijn noodzakelijk en evenredig, waarbij rekening wordt gehouden met de risico's voor de rechten en vrijheden van betrokkenen, en de essentie van de grondrechten en fundamentele vrijheden in een democratische samenleving in acht wordt genomen.
            
            
               2.   Als een beperking wordt overwogen, wordt een noodzakelijkheids- en evenredigheidsonderzoek verricht op basis van deze voorschriften. Dit onderzoek wordt ook uitgevoerd in het kader van de periodieke herziening, na de beoordeling of de feitelijke en juridische redenen voor een beperking nog steeds van toepassing zijn. Het onderzoek wordt voor verantwoordingsdoeleinden per geval gedocumenteerd in een interne beoordelingsnota.
            
            
               3.   Beperkingen zijn tijdelijk. De beperking blijft van toepassing zolang de redenen daarvoor blijven bestaan. Dit geldt in het bijzonder wanneer wordt geoordeeld dat de uitoefening van het beperkte recht het effect van de opgelegde beperking niet langer zou opheffen of de rechten of vrijheden van andere betrokkenen niet langer zou schaden.
               De GO S2R herziet de toepassing van de beperking om de zes maanden vanaf de vaststelling ervan en bij de afsluiting van de enquête, de procedure of het onderzoek in kwestie. Daarna controleert de verwerkingsverantwoordelijke iedere zes maanden of het nodig is om de beperkingen te handhaven.
            
            
               4.   Wanneer de GO S2R de beperkingen op basis van artikel 4 van dit besluit geheel of gedeeltelijk toepast, legt zij de redenen voor de beperking, de rechtsgrond in overeenstemming met lid 1 hierboven, alsook een beoordeling van de noodzaak en evenredigheid van de beperking vast.
               Het register en, indien van toepassing, de documenten met onderliggende feitelijke en juridische elementen, worden bijgehouden. Ze worden desgevraagd aan de Europese Toezichthouder voor gegevensbescherming beschikbaar gesteld.
            
         
         
            Artikel 7
            Informatieplicht
            
               1.   In de op haar website en/of intranet gepubliceerde gegevensbeschermingsmededelingen, privacyverklaringen of het register in de zin van artikel 31 van Verordening (EU) 2018/1725, waarmee betrokkenen worden geïnformeerd over hun rechten in het kader van een gegeven procedure, neemt de GO S2R informatie op over mogelijke beperkingen van deze rechten. Er wordt aangegeven welke rechten kunnen worden beperkt, de redenen daarvoor en de potentiële duur.
               Onverminderd het bepaalde in artikel 6, lid 4, stelt de GO S2R, indien dit evenredig is, alle betrokkenen die bij de specifieke verwerking betrokken zijn, onverwijld individueel in kennis van hun rechten met betrekking tot bestaande of toekomstige beperkingen, zonder onnodige vertraging en in schriftelijke vorm.
            
            
               2.   Wanneer de GO S2R de in artikel 5 vastgelegde rechten geheeld of gedeeltelijk beperkt, stelt zij de betreffende betrokkene op de hoogte van de opgelegde beperking, van de belangrijkste redenen daarvoor, en van de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of om een beroep in te stellen bij het Hof van Justitie van de Europese Unie.
               De verstrekking van de in de lid 2 hierboven bedoelde informatie kan worden opgeschort, achterwege gelaten of geweigerd als daardoor het effect van de beperking overeenkomstig artikel 25, lid 8, van Verordening (EU) 2018/1725 verloren zou gaan.
            
         
         
            Artikel 8
            Evaluatie door de functionaris voor gegevensbescherming
            
               1.   De GO S2R informeert haar functionaris voor gegevensbescherming (Data Protection Officer — “DPO”) onverwijld wanneer de verwerkingsverantwoordelijke de toepassing van rechten van betrokkenen beperkt of de beperking verlengt overeenkomstig dit besluit. De verwerkingsverantwoordelijke geeft de DPO toegang tot het registratiedossier met de beoordeling van de noodzaak en evenredigheid van de beperking en legt daarbij ook de datum vast waarop de functionaris werd geïnformeerd.
            
            
               2.   De DPO kan de verwerkingsverantwoordelijke schriftelijk verzoeken de toepassing van de beperkingen opnieuw te beoordelen. De verwerkingsverantwoordelijke stelt de DPO schriftelijk in kennis van de uitkomst van de gevraagde herziening.
            
            
               3.   De DPO wordt betrokken bij de gehele procedure. De verwerkingsverantwoordelijke informeert de DPO wanneer de beperking is opgeheven.
            
         
         
            Artikel 9
            Inwerkingtreding
            Dit besluit treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
         
         
            Gedaan te Brussel, 26 maart 2020.
            
               
                  Voor de raad van bestuur van de Gemeenschappelijke Onderneming Shift2Rail
               
               Henrik HOLOLEI
               
                  De voorzitter
               
            
         
         
            (1)  PB C 202 van 7.6.2016, blz. 47.
         
            (2)  PB L 295 van 21.11.2018, blz. 39.
         
            (3)  PB L 177 van 17.6.2014, blz. 9.
         
            (4)  In gevallen van gedeelde verantwoordelijkheid worden gegevens verwerkt overeenkomstig de middelen en doeleinden die zijn vastgesteld in de betreffende regeling tussen de gezamenlijke verwerkingsverantwoordelijken, zoals gedefinieerd in artikel 28 van Verordening (EU) 2018/1725.
         
            (5)  Het beleid van de GO S2R met betrekking tot bewaartermijnen is gebaseerd op de bewaring van dossiers bij de Commissie die wordt geregeld bij de gezamenlijke bewaarlijst, een regelgevend document (waarvan de laatste versie SEC(2019) 900 is) in de vorm van een tijdschema waarin de bewaartermijnen voor de verschillende soorten dossiers van de Commissie zijn vastgesteld.
         
            (6)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).
         
            (7)  Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89).