CELEX: 32021D1093
Language: nl
Date: 2021-06-28 00:00:00
Title: Besluit (EU) 2021/1093 van de Raad van 28 juni 2021 tot vaststelling van uitvoeringsvoorschriften betreffende de functionaris voor gegevensbescherming van de Raad, de toepassing van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad en beperkingen van de rechten van betrokkenen in het kader van de uitoefening van de taken van de functionaris voor gegevensbescherming van de Raad, en tot intrekking van Besluit 2004/644/EG van de Raad

5.7.2021   
               
               
                  NL
               
               
                  Publicatieblad van de Europese Unie
               
               
                  L 236/55
               
            
         BESLUIT (EU) 2021/1093 VAN DE RAAD
         van 28 juni 2021
         tot vaststelling van uitvoeringsvoorschriften betreffende de functionaris voor gegevensbescherming van de Raad, de toepassing van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad en beperkingen van de rechten van betrokkenen in het kader van de uitoefening van de taken van de functionaris voor gegevensbescherming van de Raad, en tot intrekking van Besluit 2004/644/EG van de Raad
         DE RAAD VAN DE EUROPESE UNIE,
         Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 240, lid 3,
         Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1), en met name artikel 45, lid 3,
         Overwegende hetgeen volgt:
         
                     (1)
                  
                  
                     Verordening (EU) 2018/1725 bevat beginselen en voorschriften die van toepassing zijn op alle instellingen en organen van de Unie en bepaalt dat in elke instelling of elk orgaan van de Unie een functionaris voor gegevensbescherming wordt aangewezen.
                  
               
                     (2)
                  
                  
                     Artikel 45, lid 3, van Verordening (EU) 2018/1725 schrijft voor dat elke instelling of elk orgaan van de Unie uitvoeringsvoorschriften betreffende de functionaris voor gegevensbescherming (de “uitvoeringsvoorschriften”) vaststelt. De uitvoeringsvoorschriften moeten met name betrekking hebben op de taken, verplichtingen en bevoegdheden van de functionaris voor gegevensbescherming van de Raad en van het secretariaat-generaal van de Raad (“DPO”).
                  
               
                     (3)
                  
                  
                     In de uitvoeringsvoorschriften moeten de procedures worden vastgesteld voor de uitoefening van de rechten van de betrokkenen en voor de naleving door alle betrokken actoren binnen de Raad en het secretariaat-generaal van de Raad (“SGR”) van de verplichtingen die verband houden met de verwerking van persoonsgegevens.
                  
               
                     (4)
                  
                  
                     Verordening (EU) 2018/1725 voorziet in duidelijke verantwoordelijkheden voor de verwerkingsverantwoordelijken, met name met betrekking tot de rechten van de betrokkenen. De uitvoeringsvoorschriften moeten ervoor zorgen dat de Raad en het SGR hun verantwoordelijkheden als verwerkingsverantwoordelijke op uniforme en transparante wijze vervullen. Er moeten voorschriften worden vastgesteld om te bepalen wie verantwoordelijk is voor een verwerking die namens de Raad of het SGR wordt uitgevoerd. In dat verband is het passend om de functie van een “gedelegeerd verwerkingsverantwoordelijke” in te voeren teneinde de verantwoordelijkheden van de entiteiten van het SGR nauwkeurig te onderscheiden, met name wat betreft individuele besluiten over de rechten van de betrokkenen. Bovendien is het passend de functie van een “operationeel verwerkingsverantwoordelijke” in te voeren, die onder de verantwoordelijkheid van de gedelegeerd verwerkingsverantwoordelijke wordt aangewezen om de praktische naleving te waarborgen en verzoeken van betrokkenen in verband met een verwerking te behandelen. Om de verantwoordelijkheden van het SGR voor elke verwerkingsactiviteit nauwkeurig aan te geven, moet de operationeel verwerkingsverantwoordelijke nauwkeurig worden vermeld in de in het register bijgehouden vastleggingen. De benoeming van een operationeel verwerkingsverantwoordelijke betekent niet dat er in de praktijk geen gebruik mag worden gemaakt van een contactpunt, bijvoorbeeld in de vorm van een functionele mailbox voor verzoeken van betrokkenen.
                  
               
                     (5)
                  
                  
                     In bepaalde gevallen kunnen meerdere directoraten-generaal of diensten van het SGR gezamenlijk een verwerking uitvoeren om hun opdracht te vervullen. In dergelijke gevallen dienen zij ervoor te zorgen dat er interne regelingen zijn om op transparante wijze hun respectieve verantwoordelijkheden uit hoofde van Verordening (EU) 2018/1725 vast te stellen, met name wat betreft de rechten van de betrokkenen, kennisgeving aan de Europese Toezichthouder voor gegevensbescherming (EDPS) en het bijhouden van vastleggingen.
                  
               
                     (6)
                  
                  
                     Om de uitoefening van de verantwoordelijkheden van de gedelegeerd verwerkingsverantwoordelijken te vergemakkelijken, dient elk directoraat-generaal of andere dienst van het SGR een coördinator voor gegevensbescherming te benoemen. De coördinatoren voor gegevensbescherming dienen het directoraat-generaal of de andere dienst van het SGR bij te staan in alle aspecten van de bescherming van persoonsgegevens en nemen deel aan het netwerk van coördinatoren voor gegevensbescherming in het SGR om te zorgen voor een coherente uitvoering en interpretatie van Verordening (EU) 2018/1725.
                  
               
                     (7)
                  
                  
                     Op grond van artikel 45, lid 1, punt b), van Verordening (EU) 2018/1725 zou de DPO aanvullende richtsnoeren kunnen aanreiken inzake de taak van de coördinator voor gegevensbescherming.
                  
               
                     (8)
                  
                  
                     Artikel 25, lid 1, van Verordening (EU) 2018/1725 biedt elke instelling of elk orgaan van de Unie de mogelijkheid om de toepassing van de artikelen 14 tot en met 17, 19, 20 en 35, van die verordening evenals het transparantiebeginsel van artikel 4, lid 1, punt a), van die verordening te beperken voor zover de bepalingen van dat punt overeenstemmen met de rechten en verplichtingen waarin wordt voorzien door de artikelen 14 tot en met 17, 19 en 20 van die verordening.
                  
               
                     (9)
                  
                  
                     In bepaalde gevallen kan het nodig zijn dat de DPO de rechten van betrokkenen beperkt om de in artikel 45 van Verordening (EU) 2018/1725 vastgestelde toezichts-, onderzoeks-, audit- of adviserende taken te verrichten, met inachtneming van de normen voor de bescherming van persoonsgegevens uit hoofde van die verordening. Er moeten interne voorschriften worden vastgesteld op grond waarvan de DPO de rechten van betrokkenen kan beperken overeenkomstig artikel 25 van die Verordening (de “interne voorschriften”).
                  
               
                     (10)
                  
                  
                     De interne voorschriften moeten gelden voor alle gegevensverwerkingsactiviteiten die de Raad en het SGR verrichten bij de uitoefening van de toezichts-, onderzoeks-, audit- of adviserende taken van de DPO. De interne voorschriften moeten ook gelden voor de verwerkingen die deel uitmaken van de taken die verband houden met de onderzoeks- of auditfunctie van de DPO, zoals klachtenprocedures die door de DPO worden behandeld. De interne voorschriften moeten ook van toepassing zijn op het toezicht en de raadplegingen door de DPO wanneer de DPO buiten zijn administratieve onderzoeken en audits bijstand verleent aan en samenwerkt met de directoraten-generaal en diensten van het SGR.
                  
               
                     (11)
                  
                  
                     De Raad en het SGR moeten wellicht beperkingen toepassen, welke zijn gebaseerd op de in artikel 25, lid 1, punten c), g) en h), van Verordening (EU) 2018/1725 bedoelde gronden, op gegevensverwerkingsactiviteiten die worden uitgevoerd in het kader van de toezichts-, onderzoeks-, audit- of adviserende taken van de DPO wanneer dit nodig is ter bescherming van de taken van de DPO, daarmee verband houdende onderzoeken en procedures, de instrumenten en methoden van DPO-onderzoeken en -audits, alsmede de rechten van andere personen in verband met de taken van de DPO.
                  
               
                     (12)
                  
                  
                     Om doeltreffende samenwerking te handhaven kan het nodig zijn dat de Raad en het SGR beperkingen stellen aan de rechten van de betrokkenen op bescherming van informatie die persoonsgegevens bevat die afkomstig zijn van andere directoraten-generaal en diensten van het SGR of andere instellingen of organen van de Unie. Daartoe moet de DPO die directoraten-generaal en diensten of andere instellingen of organen raadplegen over de relevante grondslag voor dergelijke beperkingen en de noodzaak en evenredigheid daarvan.
                  
               
                     (13)
                  
                  
                     De DPO en, in voorkomend geval, de directoraten-generaal en diensten van het SGR moeten alle beperkingen op transparante wijze behandelen en elke toepassing van beperkingen vastleggen in het desbetreffende registratiesysteem.
                  
               
                     (14)
                  
                  
                     Krachtens artikel 25, lid 8, van Verordening (EU) 2018/1725 kunnen de verwerkingsverantwoordelijken het verstrekken van informatie aan de betrokkene over de redenen voor de toepassing van een beperking uitstellen of achterwege laten indien het verstrekken van die informatie het doel van de beperking op eender welke wijze in het gedrang zou brengen. Met name wanneer een beperking van de in de artikelen 16 en 35 van die verordening verankerde rechten wordt toegepast, kan de kennisgeving daarvan het doel van de beperking in het gedrang brengen. Om ervoor te zorgen dat het recht van de betrokkene om te worden geïnformeerd in overeenstemming met die artikelen slechts wordt beperkt zolang de redenen voor het uitstel bestaan, dienen de DPO, de directoraten-generaal van het SGR of de dienst die de beperking toepast hun standpunt regelmatig opnieuw te beoordelen.
                  
               
                     (15)
                  
                  
                     Indien andere rechten van betrokkenen worden beperkt, dient de DPO per geval te beoordelen of het meedelen van de beperking het doel ervan in het gedrang zou brengen.
                  
               
                     (16)
                  
                  
                     De DPO moet, met het oog op de naleving van dit besluit, een onafhankelijke evaluatie verrichten van de wijze waarop andere directoraten-generaal of diensten van het SGR de op dit besluit gebaseerde beperkingen toepassen.
                  
               
                     (17)
                  
                  
                     In een democratische samenleving moet elke beperking die op grond van dit besluit wordt toegepast, noodzakelijk en evenredig zijn.
                  
               
                     (18)
                  
                  
                     De EDPS is geïnformeerd en geraadpleegd overeenkomstig artikel 41, leden 1 en 2, van Verordening (EU) 2018/1725 en heeft een advies (2) uitgebracht.
                  
               
                     (19)
                  
                  
                     De uitvoeringsvoorschriften van Verordening (EU) 2018/1725 doen geen afbreuk aan Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad (3), Besluit 2004/338/EG van de Raad, Euratom (4), en in het bijzonder bijlage II daarbij, Besluit 2013/488/EU van de Raad (5), en in het bijzonder afdeling VI van deel II van de bijlage daarbij, alsmede het besluit van de secretaris-generaal van de Raad/hoge vertegenwoordiger voor het gemeenschappelijk buitenlands- en veiligheidsbeleid van 25 juni 2001 (6).
                  
               
                     (20)
                  
                  
                     In Besluit 2004/644/EG van de Raad (7) zijn uitvoeringsvoorschriften vastgelegd met betrekking tot Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad. Verordening (EG) nr. 45/2001 is met ingang van 11 december 2019 ingetrokken door Verordening (EU) 2018/1725. Om te waarborgen dat slechts één stel uitvoeringsvoorschriften van toepassing is, dient Besluit 2004/644/EG te worden ingetrokken,
                  
               HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
         AFDELING 1
         
            ALGEMENE BEPALINGEN
         
         
            Artikel 1
            Onderzoek en werkingssfeer
            
               1.   Bij dit besluit worden voorschriften en procedures vastgesteld voor de toepassing van Verordening (EU) 2018/1725 door de Raad en het secretariaat-generaal van de Raad (SGR) en worden nadere uitvoeringsvoorschriften vastgesteld met betrekking tot de functionaris voor gegevensbescherming van de Raad (DPO).
            
            
               2.   Bij dit besluit worden de voorschriften vastgesteld die de Raad en het SGR in verband met de toezichts-, onderzoeks-, audit- of adviserende taken van de DPO in acht moeten nemen wanneer de DPO betrokkenen over de verwerking van hun persoonsgegevens overeenkomstig de artikelen 14, 15 en 16 van Verordening (EU) 2018/1725 informeert.
            
            
               3.   Bij dit besluit worden de voorwaarden vastgesteld waarop de Raad en het SGR in verband met de toezichts-, onderzoeks-, audit- of adviserende taken van de DPO de toepassing van de artikelen 4, 14 tot en met 17, 19, 20 en 35 van Verordening (EU) 2018/1725 kunnen beperken overeenkomstig artikel 25, lid 1, punten c), g) en h), van die verordening.
            
            
               4.   Dit besluit is van toepassing op de verwerking van persoonsgegevens door de Raad en het SGR ten behoeve van of met betrekking tot de in artikel 45 van Verordening (EU) 2018/1725 bedoelde taken van de DPO.
            
         
         
            Artikel 2
            Verantwoordelijkheid voor de verwerking
            Voor de toepassing van dit besluit worden de Raad en het SGR beschouwd als de verwerkingsverantwoordelijke in de zin van artikel 3, punt 8, van Verordening (EU) 2018/1725.
         
         
            Artikel 3
            Definities
            Voor de toepassing van dit besluit wordt verstaan onder:
            
                        1)
                     
                     
                        “functionaris voor gegevensbescherming” (DPO): de persoon die de secretaris-generaal van de Raad heeft aangewezen ingevolge artikel 43 van Verordening (EU) 2018/1725;
                     
                  
                        2)
                     
                     
                        “DPO-taken”: de in artikel 45 van Verordening (EU) 2018/1725 bedoelde taken;
                     
                  
                        3)
                     
                     
                        “personeel van het SGR”: alle ambtenaren van het SGR en iedere andere persoon die valt onder het statuut van de ambtenaren van de Europese Unie en de Regeling welke van toepassing is op de andere personeelsleden van de Unie, vastgesteld bij Verordening (EEG, Euratom, EGKS) nr. 259/68 van de Raad (8) (het “statuut”) of op contractuele basis voor het SGR werkt (namelijk stagiaires, consultants, contractanten, door de lidstaten gedetacheerde ambtenaren).
                     
                  
                        4)
                     
                     
                        “gedelegeerd verwerkingsverantwoordelijke”: het hoofd van het directoraat-generaal of een dienst van het SGR dat of die, alleen of samen met anderen, namens de Raad of het SGR het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt in het kader van de opdracht van dat directoraat-generaal of een dienst;
                     
                  
                        5)
                     
                     
                        “operationeel verwerkingsverantwoordelijke”: het personeelslid van het SGR uit het hoger of middenkader, dat door de gedelegeerd verwerkingsverantwoordelijke is aangewezen om hem bij te staan bij het waarborgen van de naleving van Verordening (EU) 2018/1725 voor de verwerkingen waarvoor hij verantwoordelijk is, en fungeert als eerste contactpunt voor betrokkenen;
                     
                  
                        6)
                     
                     
                        “coördinator voor gegevensbescherming”: het personeelslid van het SGR dat in elk directoraat-generaal of een andere dienst van het SGR in overleg met de DPO is aangewezen om dat directoraat-generaal of deze dienst bij te staan in alle aspecten van de bescherming van persoonsgegevens en bij gegevensbeschermingskwesties als vertegenwoordiger van dat directoraat-generaal of die andere dienst op te treden, in nauwe samenwerking met de DPO.
                     
                  
         AFDELING 2
         
            DE FUNCTIONARIS VOOR GEGEVENSBESCHERMING
         
         
            Artikel 4
            Aanstelling en statuut van de DPO
            
               1.   De secretaris-generaal van de Raad wijst de DPO aan uit het personeel van het SGR en registreert hem bij de Europese Toezichthouder voor gegevensbescherming (EDPS), overeenkomstig artikel 43 van Verordening (EU) 2018/1725.
            
            
               2.   De DPO wordt aangewezen op grond van zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming en zijn vermogen de in artikel 45 van Verordening (EU) 2018/1725 bedoelde taken te vervullen. De DPO heeft ook een gedegen kennis van het SGR, zijn structuur en zijn administratieve voorschriften en procedures. Voor de uitvoering van zijn taken wordt de DPO ontheven van alle andere taken binnen het SGR.
            
            
               3.   De DPO wordt aangewezen voor een periode vijf jaar en komt in aanmerking voor herbenoeming.
            
            
               4.   De DPO en zijn personeel ressorteren rechtstreeks onder de secretaris-generaal van de Raad en brengen rechtstreeks aan hem verslag uit.
            
            
               5.   Bij de uitvoering van zijn taken handelt de DPO onafhankelijk en ontvangt hij geen instructies van de secretaris-generaal van de Raad, de gedelegeerd verwerkingsverantwoordelijken of de operationeel verwerkingsverantwoordelijken of van enige andere persoon, met betrekking tot de interne toepassing van de bepalingen van Verordening (EU) 2018/1725 of zijn samenwerking met de EDPS.
            
            
               6.   De Raad en het SGR ondersteunen de DPO bij de vervulling van de in artikel 45 van Verordening (EU) 2018/1725 bedoelde taken door hem de daartoe en de voor het in stand houden van zijn deskundigheid benodigde middelen ter beschikking te stellen en hem toegang te verschaffen tot persoonsgegevens en verwerkingen.
            
            
               7.   De DPO wordt niet ontslagen of gestraft voor het uitvoeren van zijn taken. De DPO mag enkel worden ontslagen overeenkomstig artikel 44, lid 8, van Verordening (EU) 2018/1725. Om de instemming van de EDPS met een dergelijk ontslag op grond van dat artikel te verkrijgen, wordt de EDPS schriftelijk geraadpleegd. Een afschrift van die instemming wordt aan de DPO gezonden.
            
            
               8.   Het SGR, met name de gedelegeerd verwerkingsverantwoordelijken en de operationeel verwerkingsverantwoordelijken, zorgen ervoor dat de DPO naar behoren en tijdig wordt betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens.
            
         
         
            Artikel 5
            Taken en functies
            
               1.   De DPO voert alle taken uit waarin artikel 45 van Verordening (EU) 2018/1725 voorziet. De DPO voert met name de volgende taken uit:
               
                           a)
                        
                        
                           zorgen voor de toepassing en uitvoering van Verordening (EU) 2018/1725 door de Raad en het SGR en toezien op de naleving van die Verordening en het toepasselijke rechtskader inzake de bescherming van persoonsgegevens;
                        
                     
                           b)
                        
                        
                           de secretaris-generaal van de Raad, de gedelegeerd verwerkingsverantwoordelijken en de operationeel verwerkingsverantwoordelijken adviseren over aangelegenheden in verband met de toepassing van de bepalingen inzake gegevensbescherming;
                        
                     
                           c)
                        
                        
                           de gedelegeerd verwerkingsverantwoordelijken en de operationeel verwerkingsverantwoordelijken adviseren en bijstaan bij het uitvoeren van een gegevensbeschermingseffectbeoordeling overeenkomstig de artikelen 39 en 40 van Verordening (EU) 2018/1725;
                        
                     
                           d)
                        
                        
                           erop toezien dat de verwerkingen geen afbreuk doen aan de rechten en vrijheden van de betrokkenen;
                        
                     
                           e)
                        
                        
                           meer bekendheid geven aan het toepasselijke rechtskader inzake de bescherming van persoonsgegevens en bijdragen tot de totstandbrenging van een cultuur van bescherming van persoonsgegevens binnen het SGR.
                        
                     De DPO kan door de secretaris-generaal, de betrokken verwerkingsverantwoordelijken, het personeelscomité en elke natuurlijke persoon, zonder de officiële weg te volgen, over elke aangelegenheid betreffende de toepassing of uitvoering van Verordening (EU) 2018/1725 worden geraadpleegd.
            
            
               2.   De DPO houdt een register bij van de vastgelegde verwerkingen en maakt dit overeenkomstig artikel 12openbaar toegankelijk.
            
            
               3.   De DPO houdt ook een intern register bij van inbreuken in verband met persoonsgegevens in de zin van artikel 3, punt 16, van Verordening (EU) 2018/1725.
            
            
               4.   De DPO adviseert desgevraagd de gedelegeerd verwerkingsverantwoordelijke over een verzoek met betrekking tot de beperking van de toepassing van de artikelen 14 tot en met 22, 35 en 36, alsmede artikel 4 van Verordening (EU) 2018/1725.
            
            
               5.   De DPO organiseert geregeld vergaderingen van coördinatoren voor gegevensbescherming en zit deze voor.
            
            
               6.   De DPO dient jaarlijks een verslag over zijn activiteiten in bij de secretaris-generaal van de Raad en stelt het ter beschikking van het personeel van het SGR.
            
            
               7.   De DPO werkt samen met de door de andere instellingen en organen van de Unie aangewezen functionarissen voor gegevensbescherming en woont geregeld vergaderingen bij die door de EDPS of de functionarissen voor gegevensbescherming van de andere instellingen en organen van de Unie worden bijeengeroepen om een goede samenwerking te bevorderen, met name door ervaringen en beste praktijken uit te wisselen.
            
            
               8.   De DPO wordt voor de verwerkingsactiviteiten die in het kader van zijn taken worden verricht, als gedelegeerd verwerkingsverantwoordelijke beschouwd.
            
         
         
            Artikel 6
            Bevoegdheden
            Bij de uitoefening van taken en functies
            
                        a)
                     
                     
                        heeft de DPO te allen tijde toegang tot de gegevens die het voorwerp van verwerking vormen en tot alle kantoren, gegevensverwerkingsapparatuur en gegevensdragers;
                     
                  
                        b)
                     
                     
                        kan de DPO de juridische dienst van de Raad om advies verzoeken;
                     
                  
                        c)
                     
                     
                        kan de DPO de bevoegde directoraten-generaal en diensten van het SGR om andere ondersteuning verzoeken;
                     
                  
                        d)
                     
                     
                        kan de DPO dossiers voor een passende follow-up toewijzen aan de betrokken directoraten-generaal en diensten van het SGR;
                     
                  
                        e)
                     
                     
                        kan de DPO, overeenkomstig de procedure van artikel 14, op verzoek of op eigen initiatief onderzoeken verrichten naar zaken en voorvallen die rechtstreeks verband houden met de taken van de DPO;
                     
                  
                        f)
                     
                     
                        kan de DPO de secretaris-generaal van de Raad bestuurlijke maatregelen voorstellen en algemene aanbevelingen doen betreffende de passende toepassing van Verordening (EU) 2018/1725;
                     
                  
                        g)
                     
                     
                        kan de DPO het SGR, de gedelegeerd verwerkingsverantwoordelijken en de operationeel verwerkingsverantwoordelijken aanbevelingen doen voor de praktische verbetering van de toepassing van Verordening (EU) 2018/1725, en kan hij of zij:
                        
                                    i)
                                 
                                 
                                    de gedelegeerd verwerkingsverantwoordelijke of de verwerker oproepen om gehoor te geven aan het verzoek van een betrokkene die zijn rechten overeenkomstig Verordening (EU) 2018/1725 wil uitoefenen;
                                 
                              
                                    ii)
                                 
                                 
                                    waarschuwingen geven aan de gedelegeerd verwerkingsverantwoordelijke of de verwerker indien een verwerking in strijd is met de bepalingen van Verordening (EU) 2018/1725 en hen verzoeken om waar passend, op een nader bepaalde manier en binnen een nader bepaalde termijn, verwerkingen in overeenstemming te brengen met die verordening;
                                 
                              
                                    iii)
                                 
                                 
                                    de gedelegeerd verwerkingsverantwoordelijke of de verwerker oproepen om gegevensstromen naar een ontvanger in een lidstaat, naar een derde land of naar een internationale organisatie op te schorten;
                                 
                              
                                    iv)
                                 
                                 
                                    de gedelegeerd verwerkingsverantwoordelijke of de verwerker verzoeken om binnen een bepaalde termijn aan de DPO verslag uit te brengen over de follow-up die aan de aanbeveling of het advies van de DPO is gegeven;
                                 
                              
                  
                        h)
                     
                     
                        kan de DPO, na voorafgaande toestemming van de ordonnateur en overeenkomstig Verordening (EU, Euratom) 2018/1046 van het Europees Parlement en de Raad (9), een beroep doen op externe deskundigen op het gebied van informatie- en communicatietechnologie;
                     
                  
                        i)
                     
                     
                        wordt de DPO uitgenodigd voor de betrokken raden van bestuur en comités van het SGR wanneer kwesties in verband met de verwerking van persoonsgegevens worden besproken, en kan hij relevante punten voor de agenda van die raden en comités voorstellen;
                     
                  
                        j)
                     
                     
                        kan de DPO het feit dat een personeelslid van het SGR de verplichtingen uit hoofde van Verordening (EU) 2018/1725 niet nakomt onder de aandacht van het tot aanstelling bevoegd gezag van het SGR brengen en voorstellen dat er een administratief onderzoek wordt ingesteld met het oog op de mogelijke toepassing van de sancties die zijn vastgelegd in artikel 69 van die verordening;
                     
                  
                        k)
                     
                     
                        is de DPO, in overleg met de betrokken diensten van het SGR, verantwoordelijk voor initiële besluiten over verzoeken om toegang tot documenten die uit hoofde van Verordening (EG) 1049/2001 in het bezit zijn van zijn of haar bureau.
                     
                  
         AFDELING 3
         
            RECHTEN EN PLICHTEN VAN DE ACTOREN OP HET GEBIED VAN GEGEVENSBESCHERMING
         
         
            Artikel 7
            Raadpleging en inkennisstelling van de DPO
            
               1.   De verwerkingsverantwoordelijken betrekken de DPO bij de planning en bespreking van een activiteit waarbij sprake is van verwerking van persoonsgegevens. De DPO wordt in kennis gesteld van elke verwerking en van elke belangrijke wijziging van een bestaande verwerking.
            
            
               2.   De DPO wordt in kennis gesteld van ontwerpen van interne nota’s en besluiten van het SGR die rechtstreeks verband houden met de interne toepassing van Verordening (EU) 2018/1725.
            
            
               3.   De DPO wordt in kennis gesteld van alle contacten met externe partijen met betrekking tot de interne toepassing van Verordening (EU) 2018/1725 en van eventuele contacten met de EDPS, met name indien de EDPS wordt geraadpleegd of geïnformeerd op grond van de artikelen 40 en 41 van die verordening.
            
            
               4.   Wanneer persoonsgegevens worden verwerkt door een verwerker, wordt de DPO geraadpleegd over ontwerpregelingen tussen gezamenlijke verwerkingsverantwoordelijken en over ontwerpcontractbepalingen inzake gegevensbescherming of andere rechtshandelingen.
            
         
         
            Artikel 8
            Gedelegeerd verwerkingsverantwoordelijken
            
               1.   De gedelegeerd verwerkingsverantwoordelijken zien erop toe dat bij alle verwerkingen die onder hun toezicht plaatsvinden Verordening (EU) 2018/1725 wordt nageleefd.
            
            
               2.   In het bijzonder moeten de gedelegeerd verwerkingsverantwoordelijken:
               
                           a)
                        
                        
                           een operationeel verwerkingsverantwoordelijke aanwijzen om de gedelegeerd verwerkingsverantwoordelijke te helpen de naleving van Verordening (EU) 2018/1725 te waarborgen, met name ten aanzien van betrokkenen;
                        
                     
                           b)
                        
                        
                           de vastleggingen bijhouden van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden en ervoor zorgen dat het dossier en de bijbehorende privacyverklaring door de operationeel verwerkingsverantwoordelijke bij de DPO worden ingediend om in het in artikel 12 bedoelde register te worden opgenomen;
                        
                     
                           c)
                        
                        
                           toezien op de activiteiten van verwerkers en subverwerkers die namens hen persoonsgegevens verwerken en ervoor zorgen dat de verwerking wordt geregeld in een overeenkomst of een andere rechtshandeling overeenkomstig artikel 29, lid 3, van Verordening (EU) 2018/1725.
                        
                     
            
               3.   De gedelegeerd verwerkingsverantwoordelijken zorgen ervoor dat de DPO tijdig wordt betrokken bij alle kwesties in verband met persoonsgegevens en treffen passende regelingen om ervoor te zorgen dat de coördinator voor gegevensbescherming naar behoren wordt betrokken bij alle kwesties die verband houden met gegevensbescherming in hun directoraat-generaal of andere dienst van het SGR.
            
            
               4.   De gedelegeerd verwerkingsverantwoordelijken zorgen ervoor dat passende technische en organisatorische maatregelen worden genomen om aan te tonen dat de verwerkingsactiviteiten in overeenstemming zijn met Verordening (EU) 2018/1725, en geven het personeel van het SGR passende instructies om zowel de vertrouwelijkheid van de verwerking als een beveiligingsniveau te waarborgen dat is afgestemd op de risico’s die de verwerking met zich meebrengt. Zij kunnen bij de selectie van deze maatregelen de DPO raadplegen.
            
            
               5.   De gedelegeerd verwerkingsverantwoordelijken brengen aan de DPO verslag uit over de behandeling van verzoeken van een betrokkene om zijn rechten uit te oefenen, en staan de DPO en de EDPS bij in de vervulling van hun taken, in het bijzonder door in antwoord op hun verzoeken binnen 30 dagen informatie te verstrekken.
            
            
               6.   De gedelegeerd verwerkingsverantwoordelijken zijn verantwoordelijk voor de toepassing van een beperking van de toepassing van de artikelen 14 tot en met 22, 35 en 36 van Verordening (EU) 2018/1725, alsmede van artikel 4 van die verordening, overeenkomstig de toepasselijke interne voorschriften. De gedelegeerd verwerkingsverantwoordelijken betrekken de DPO gedurende de gehele procedure bij de toepassing van een dergelijke beperking.
            
            
               7.   De gedelegeerd verwerkingsverantwoordelijken zorgen ervoor dat er interne regelingen met andere directoraten-generaal of diensten van het SGR van kracht zijn, indien de gedelegeerd verwerkingsverantwoordelijke samen met die directoraten-generaal of diensten van het SGR verwerkingen verricht of als zij een deel van de verwerkingen van de gedelegeerd verwerkingsverantwoordelijke verrichten.
               De in de eerste alinea bedoelde regelingen bepalen de respectieve verantwoordelijkheden van de gedelegeerd verwerkingsverantwoordelijken en andere directoraten-generaal of diensten van het SGR voor de naleving van de desbetreffende gegevensbeschermingsverplichtingen. In die regelingen wordt met name vastgelegd welke gedelegeerd verwerkingsverantwoordelijke de middelen en doelen van de verwerking bepaalt, alsook welke operationeel verwerkingsverantwoordelijke voor de verwerking verantwoordelijk is en, zo nodig, welke personen of entiteiten de operationeel verwerkingsverantwoordelijke ter zijde dienen te staan bij onder meer informatievoorziening in het geval van inbreuken in verband met gegevens of om rekening te houden met de rechten van betrokkenen.
            
         
         
            Artikel 9
            Operationeel verwerkingsverantwoordelijken
            
               1.   De operationeel verwerkingsverantwoordelijken helpen de gedelegeerd verwerkingsverantwoordelijke bij het waarborgen van de naleving van Verordening (EU) 2018/1725 voor de verwerkingen waarvoor hij verantwoordelijk is, en fungeren als het eerste contactpunt voor betrokkenen.
            
            
               2.   In het bijzonder moeten de operationeel verwerkingsverantwoordelijken:
               
                           a)
                        
                        
                           alle verzoeken van betrokkenen ontvangen en verwerken;
                        
                     
                           b)
                        
                        
                           in overleg met de coördinator voor gegevensbescherming de vastleggingen van de onder hun verantwoordelijkheid vallende verwerkingsactiviteiten en de bijbehorende privacyverklaring opstellen;
                        
                     
                           c)
                        
                        
                           ervoor zorgen dat overeenkomsten of andere rechtshandelingen betreffende de verwerking van persoonsgegevens door een verwerker in overeenstemming zijn met Verordening (EU) 2018/1725 en de DPO raadplegen over ontwerpovereenkomsten inzake gegevensbescherming;
                        
                     
                           d)
                        
                        
                           ervoor zorgen dat er documentatie beschikbaar is waaruit blijkt dat Verordening (EU) 2018/1725 wordt nageleefd.
                        
                     
            
               3.   De operationeel verwerkingsverantwoordelijken stellen de DPO zonder onnodige vertraging in kennis van inbreuken in verband met persoonsgegevens en verstrekken hem of haar alle nodige informatie om ervoor te zorgen dat de Raad voldoet aan de verplichtingen inzake inbreuken in verband met persoonsgegevens uit hoofde van de artikelen 34 en 35 van Verordening (EU) 2018/1725.
            
            
               4.   In overleg met de gedelegeerd verwerkingsverantwoordelijke en de DPO stellen de operationeel verwerkingsverantwoordelijken de EDPS in voorkomend geval in kennis van inbreuken in verband met persoonsgegevens. Waar passend, stellen zij de betrokkenen daarvan eveneens in kennis.
            
            
               5.   De operationeel verwerkingsverantwoordelijken zorgen ervoor dat de coördinator voor gegevensbescherming op de hoogte wordt gehouden van alle aangelegenheden die verband houden met gegevensbescherming.
            
            
               6.   De operationeel verwerkingsverantwoordelijken beoordelen het risico voor de rechten en vrijheden van de betrokkene in verband met de verwerkingen waarvoor zij verantwoordelijk zijn, en voeren waar nodig een gegevensbeschermingseffectbeoordeling uit. De operationeel verwerkingsverantwoordelijken winnen bij het uitvoeren van deze effectbeoordelingen en over de noodzaak van voorafgaande raadpleging het advies van de DPO in overeenkomstig de artikelen 39 en 40 van Verordening (EU) 2018/1725.
            
            
               7.   De operationeel verwerkingsverantwoordelijken verrichten op verzoek van de gedelegeerd verwerkingsverantwoordelijke elke andere taak die binnen het toepassingsgebied van dit besluit valt.
            
         
         
            Artikel 10
            Coördinatoren voor gegevensbescherming
            
               1.   Elk directoraat-generaal of andere dienst van het SGR wijst in overleg met de DPO een of meer coördinatoren voor gegevensbescherming aan om de gedelegeerd verwerkingsverantwoordelijke en de operationeel verwerkingsverantwoordelijken van zijn of haar directoraat-generaal of andere dienst van het SGR bij te staan in alle aspecten die verband houden met de bescherming van persoonsgegevens.
            
            
               2.   De coördinatoren voor gegevensbescherming worden gekozen op basis van hun kennis van en ervaring met de werking van het directoraat-generaal of de andere dienst van het SGR, geschiktheid voor de functie, competenties met betrekking tot gegevensbescherming, kennis van de beginselen van informatiesystemen, en communicatieve vaardigheden. Pas benoemde coördinatoren voor gegevensbescherming ronden binnen zes maanden na hun benoeming een opleiding af om de competenties te verwerven die nodig zijn voor hun rol. Een coördinator voor gegevensbescherming die minder dan twee jaar voor zijn of haar benoeming als contactpersoon in een ander directoraat-generaal of andere dienst van het SGR heeft gewerkt, is van die opleidingsverplichting vrijgesteld.
            
            
               3.   De functie van coördinator voor gegevensbescherming maakt deel uit van de functiebeschrijving van elk tot contactpersoon benoemd personeelslid van het SGR. In het jaarlijkse beoordelingsrapport worden hun verantwoordelijkheden en prestaties vermeld.
            
            
               4.   De coördinatoren voor gegevensbescherming worden naar behoren en tijdig betrokken bij alle kwesties die verband houden met gegevensbescherming in hun directoraat-generaal of andere dienst van het SGR en vervullen hun taken in nauwe samenwerking met de DPO.
            
            
               5.   De coördinatoren voor gegevensbescherming hebben het recht om van de verwerkingsverantwoordelijken en van het personeel de informatie te verkrijgen die passend en noodzakelijk is voor de vervulling van hun taken binnen hun directoraat-generaal of andere dienst van het SGR. Dit omvat niet de toegang tot persoonsgegevens die onder de verantwoordelijkheid van de gedelegeerd verwerkingsverantwoordelijke worden verwerkt. Coördinatoren voor gegevensbescherming hebben alleen toegang tot persoonsgegevens indien dat noodzakelijk is voor de uitvoering van hun taken.
            
            
               6.   De coördinatoren voor gegevensbescherming brengen gegevensbeschermingsaangelegenheden onder de aandacht en helpen de gedelegeerd verwerkingsverantwoordelijken binnen hun directoraat-generaal of andere dienst van het SGR hun verplichtingen na te komen, met name wat betreft:
               
                           a)
                        
                        
                           de uitvoering van Verordening (EU) 2018/1725;
                        
                     
                           b)
                        
                        
                           de identificatie van de operationeel verwerkingsverantwoordelijken en de voorbereiding van de vastleggingen van de verwerkingen en privacyverklaringen voordat deze worden ingediend bij de DPO;
                        
                     
                           c)
                        
                        
                           de samenstelling van een lijst van alle bestaande verwerkingen van het directoraat-generaal of de andere dienst van het SGR.
                        
                     
            
               7.   De coördinatoren voor gegevensbescherming helpen de operationeel verwerkingsverantwoordelijken binnen hun directoraat-generaal of andere dienst van het SGR hun verplichtingen na te komen, met name wat betreft:
               
                           a)
                        
                        
                           het opstellen van vastleggingen van verwerkingen en privacyverklaringen voordat deze bij de DPO worden ingediend;
                        
                     
                           b)
                        
                        
                           het documenteren van de verwerkingen;
                        
                     
                           c)
                        
                        
                           het verwerken van de verzoeken van de betrokkenen;
                        
                     
                           d)
                        
                        
                           het omgaan met inbreuken in verband met persoonsgegevens.
                        
                     
         
         
            Artikel 11
            Het personeel van het SGR
            Het personeel van het SGR draagt ertoe bij dat de toepassing en uitvoering van Verordening (EU) 2018/1725 wordt gewaarborgd. Het personeel van het SGR heeft geen toegang tot persoonsgegevens of verwerkt dergelijke gegevens op geen andere wijze dan op instructie van de gedelegeerd of operationeel verwerkingsverantwoordelijke, tenzij het recht van de Unie of van de lidstaat in een andere regeling voorziet.
         
         AFDELING 4
         
            ANDERE VERPLICHTINGEN EN PROCEDURES
         
         
            Artikel 12
            Register
            
               1.   De DPO houdt een register van de verwerkingen bij en zorgt ervoor dat dit register toegankelijk is via de website van de DPO op het intranet van het SGR en via de website van de Raad.
            
            
               2.   De operationeel verwerkingsverantwoordelijke stelt de DPO in kennis van elke verwerking en dient de vastleggingen van verwerkingen en de bijbehorende privacyverklaring in door middel van een formulier dat via het intranet van het SGR (onder “gegevensbescherming”) toegankelijk is. De melding aan de DPO geschiedt elektronisch. Na overleg met de DPO bevestigt de gedelegeerd verwerkingsverantwoordelijke de vastlegging van de gegevens en de bijbehorende privacyverklaring en maakt deze in het register bekend.
            
            
               3.   De vastlegging bevat alle in artikel 31 van Verordening (EU) 2018/1725 genoemde informatie. De door de DPO in het register ingevoerde informatie kan evenwel bij wijze van uitzondering worden beperkt, wanneer zulks nodig is om de beveiliging van een specifieke verwerking te garanderen. De operationeel verwerkingsverantwoordelijke stelt de DPO onverwijld in kennis van elke wijziging in dergelijke informatie.
            
         
         
            Artikel 13
            Inbreuken in verband met persoonsgegevens
            
               1.   Indien zich een inbreuk in verband met persoonsgegevens voordoet, vraagt de gedelegeerd verwerkingsverantwoordelijke of operationeel verwerkingsverantwoordelijke de coördinator voor gegevensbescherming om hulp en stelt hij de DPO zonder onnodige vertraging in kennis van het incident en verstrekt de DPO hem of haar alle nodige informatie om ervoor te zorgen dat de Raad voldoet aan de verplichting inzake de melding en mededeling van inbreuken in verband met persoonsgegevens op grond van de artikelen 34 en 35 van de Verordening (EU) 2018/1725.
            
            
               2.   De DPO zet een intern register van inbreuken in verband met persoonsgegevens op en houdt dit bij. De gedelegeerd verwerkingsverantwoordelijken en operationeel verwerkingsverantwoordelijken verstrekken de nodige informatie om het register aan te vullen.
            
            
               3.   De gedelegeerd verwerkingsverantwoordelijken en operationeel verwerkingsverantwoordelijken stellen de kennisgeving aan de EDPS op in overleg met de DPO, tenzij het onwaarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.
            
         
         
            Artikel 14
            Onderzoeken
            
               1.   De DPO kan, op eigen initiatief of op verzoek van de gedelegeerd verwerkingsverantwoordelijke, de operationeel verwerkingsverantwoordelijke, de verwerker, van het personeelscomité of van elke natuurlijke persoon, onderzoek uitvoeren naar zaken en gebeurtenissen die verband houden met zijn taken, en verslag uitbrengen aan de persoon die om het onderzoek verzocht heeft, dan wel aan de gedelegeerd verwerkingsverantwoordelijke, de operationeel verwerkingsverantwoordelijke of de verwerker.
            
            
               2.   Verzoeken om instelling van een onderzoek worden schriftelijk aan de DPO toegezonden. Ingeval het recht van verzoek om instelling van een onderzoek duidelijk misbruikt wordt, bijvoorbeeld wanneer dezelfde natuurlijke persoon recentelijk een identiek verzoek heeft gedaan, is de DPO niet verplicht de verzoeker te antwoorden.
            
            
               3.   Binnen 15 dagen na ontvangst van een verzoek tot instelling van een onderzoek zendt de DPO de persoon die het verzoek heeft ingediend een ontvangstbewijs toe en gaat de DPO na of het verzoek als vertrouwelijk moet worden behandeld.
            
            
               4.   De DPO verzoekt de gedelegeerd verwerkingsverantwoordelijke om een verslag op te stellen over de gegevensverwerkingsverrichting die het onderwerp vormt van het verzoek tot instelling van een onderzoek. De gedelegeerd verwerkingsverantwoordelijke doet zijn antwoord binnen 15 dagen aan de DPO toekomen. De DPO kan de gedelegeerd verwerkingsverantwoordelijke, de operationeel verwerkingsverantwoordelijke, de verwerker of andere betrokken diensten van het SGR om aanvullende informatie verzoeken. Zo nodig, kan hij de juridische dienst van de Raad om advies verzoeken. De DPO ontvangt de verzochte informatie of het advies binnen 30 dagen.
            
            
               5.   De DPO brengt uiterlijk drie maanden na ontvangst van het verzoek tot instelling van een onderzoek verslag uit aan de persoon die het verzoek heeft ingediend. Deze termijn kan worden opgeschort tot de DPO alle noodzakelijke informatie heeft verkregen waarom hij heeft verzocht.
            
            
               6.   Niemand mag nadeel ondervinden van het feit dat hij een zaak die naar hij beweert Verordening (EU) 2018/1725 schendt, onder de aandacht van de DPO heeft gebracht.
            
         
         
            Artikel 15
            Algemene regels voor de uitoefening van rechten door betrokkenen
            
               1.   De rechten van betrokkenen als vastgelegd in de artikelen 14 tot en met 24 van Verordening (EU) 2018/1725 kunnen uitsluitend door de betrokkene of zijn naar behoren gemachtigde vertegenwoordiger worden uitgeoefend.
            
            
               2.   De betrokkene zendt verzoeken schriftelijk toe aan de operationeel verwerkingsverantwoordelijke, met een afschrift aan de DPO. Zo nodig, helpt de DPO de betrokkene vast te stellen wie ter zake de operationeel verwerkingsverantwoordelijke is. Het verzoek kan in elektronische vorm worden ingediend en bevat:
               
                           a)
                        
                        
                           achternaam, voornaam en contactgegevens van de betrokkene en datum van het verzoek;
                        
                     
                           b)
                        
                        
                           een vermelding van het recht dat men wenst uit te oefenen en, waar nodig, bewijsstukken met betrekking tot het verzoek;
                        
                     
                           c)
                        
                        
                           de categorie of categorieën van de persoonsgegevens in kwestie.
                        
                     
            
               3.   De operationeel verwerkingsverantwoordelijke zendt de betrokkene binnen vijf werkdagen na registratie van het verzoek een ontvangstbewijs toe. De operationeel verwerkingsverantwoordelijke vraagt bij onduidelijke of onvolledige verzoeken om opheldering. Zolang alle nodige ophelderingen niet zijn verstrekt, gaan de toepasselijke termijnen uit hoofde van artikel 14, leden 3 en 4, van Verordening (EU) 2018/1725 niet in.
            
            
               4.   De operationeel verwerkingsverantwoordelijke controleert de identiteit van de betrokkene overeenkomstig artikel 14, lid 6, van Verordening (EU) 2018/1725. Zolang de identiteitscontrole loopt, gaat de toepasselijke termijnen uit hoofde van artikel 14, leden 3 en 4, van die verordening, niet in.
            
            
               5.   De operationeel verwerkingsverantwoordelijke willigt binnen de in artikel 14, leden 3 en 4, van Verordening (EU) 2018/1725 bepaalde termijnen het verzoek van de betrokkene in of deelt de redenen voor de gehele of gedeeltelijke weigering schriftelijk mee.
            
            
               6.   In geval van een uiterst complex verzoek, onregelmatigheden of kennelijk misbruik door de betrokkene bij de uitoefening van zijn rechten, indien de verwerking van een verzoek waarschijnlijk een risico voor de rechten en vrijheden van andere betrokkenen inhoudt of indien de verwerking door de betrokkene onrechtmatig wordt geacht, raadpleegt de operationeel verwerkingsverantwoordelijke de DPO.
            
         
         
            Artikel 16
            Klachten uit hoofde van artikel 90 van het Statuut
            In het geval van een klacht in de zin van artikel 90 van het Statuut van de ambtenaren (“klacht uit hoofde van artikel 90”) ten aanzien van de verwerking van persoonsgegevens raadpleegt het tot aanstelling bevoegde gezag de DPO. Onverminderd de ontvankelijkheid van de klacht uit hoofde van artikel 90 geeft het personeelslid van het SGR in deze klacht aan of tegelijkertijd een klacht bij de EDPS is ingediend. De DPO brengt zijn advies binnen 15 werkdagen na ontvangst van het verzoek van het tot aanstelling bevoegde gezag schriftelijk uit. Indien de DPO na het verstrijken van die termijn geen advies heeft verstrekt, is het niet langer noodzakelijk. Het tot aanstelling bevoegd gezag is niet gebonden door het advies van de DPO.
         
         AFDELING 5
         
            BEPERKINGEN VAN DE RECHTEN VAN BETROKKENEN IN DE CONTEXT VAN DE UITOEFENING VAN DE TAKEN VAN DE DPO
         
         
            Artikel 17
            Uitzonderingen en beperkingen
            
               1.   Bij de uitoefening van zijn taken ten aanzien van de rechten van betrokkenen overeenkomstig Verordening (EU) 2018/1725 gaat de Raad of het SGR na of een van de in die verordening vastgestelde uitzonderingen van toepassing is.
            
            
               2.   Onverminderd de artikelen 18 tot en met 22 van dit besluit kan de Raad of het SGR, overeenkomstig artikel 25, lid 1, punten c), g) en h), van Verordening(EU) 2018/1725, de toepassing van de artikelen 14 tot en met 17, 19, 20 en 35 van die verordening, evenals de toepassing van het in artikel 4, lid 1, punt a), van die verordening neergelegde transparantiebeginsel beperken voor zover de bepalingen ervan overeenkomen met de in de artikelen 14 tot en met 17, 19 en 20 van die verordening bedoelde rechten en verplichtingen, wanneer de uitoefening van die rechten en verplichtingen de uitoefening van de taken van de DPO onder meer door de openbaarmaking van zijn onderzoeks- of auditinstrumenten en -methoden in het gedrang zou brengen of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen.
            
            
               3.   Onverminderd de artikelen 18 en 22 van dit besluit kan de Raad of het SGR de in lid 2 bedoelde rechten en verplichtingen beperken voor persoonsgegevens die de DPO van directoraten-generaal of diensten van het SGR of van andere instellingen of organen van de Unie heeft ontvangen. De Raad of het SGR kan daartoe overgaan wanneer de uitoefening van die rechten en verplichtingen door die directoraten-generaal of diensten van het SGR of andere instellingen of organen zou kunnen worden beperkt op grond van andere in artikel 25 van Verordening (EU) 2018/1725 bedoelde handelingen of overeenkomstig hoofdstuk IX van die verordening of overeenkomstig Verordening (EU) 2016/794 van het Europees Parlement en de Raad (10) of Verordening (EU) 2017/1939 van de Raad (11).
               Voordat beperkingen worden toegepast onder de in de eerste alinea bedoelde omstandigheden, raadpleegt de Raad of het SGR de betrokken instelling of het betrokken orgaan van de Unie, tenzij het duidelijk is dat in de toepassing van een beperking is voorzien door een van de in die alinea bedoelde handelingen.
            
            
               4.   Elke beperking van de rechten en verplichtingen als bedoeld in lid 2 is noodzakelijk en evenredig in het licht van de risico’s voor de rechten en vrijheden van betrokkenen.
            
         
         
            Artikel 18
            Informatieverstrekking aan betrokkenen
            
               1.   Het SGR publiceert op de website van de Raad mededelingen over gegevensbescherming om betrokkenen te informeren over de taken van de DPO waarbij hun persoonsgegevens worden verwerkt.
            
            
               2.   Het SGR informeert afzonderlijk, in een geëigende vorm, elke natuurlijke persoon die het in het kader van de taken van de DPO als betrokkene aanmerkt.
            
            
               3.   Indien het SGR de verstrekking van informatie aan de in lid 2 van dit artikel bedoelde betrokkenen geheel of gedeeltelijk beperkt, legt het SGR de redenen voor die beperking vast en registreert het die overeenkomstig artikel 21.
            
         
         
            Artikel 19
            Recht van inzage van betrokkenen, recht op wissing en recht op beperking van de verwerking
            
               1.   Indien de Raad of het SGR het recht van inzage in persoonsgegevens door betrokkenen, het recht op wissing of het recht op beperking van de verwerking als bedoeld in, onderscheidenlijk, de artikelen 17, 19 en 20 van Verordening (EU) 2018/1725 geheel of gedeeltelijk beperkt, stellen zij de betrokkene in hun antwoord op een verzoek om inzage, wissing of beperking van de verwerking in kennis van de toegepaste beperking en van de belangrijkste redenen daarvoor, alsmede van de mogelijkheid om een klacht in te dienen bij de EDPS of om beroep in te stellen bij het Hof van Justitie van de Europese Unie.
            
            
               2.   Het verstrekken van de informatie over de redenen voor de in lid 1 bedoelde beperking kan uitgesteld, achterwege gelaten of geweigerd worden zolang die verstrekking het doel van de beperking zou ondermijnen. Zodra het verstrekken van de informatie dat doel niet ondermijnt, verstrekt de Raad deze informatie aan de betrokkene.
            
            
               3.   Overeenkomstig artikel 21 legt het SGR de redenen voor de beperking vast en registreert het deze.
            
         
         
            Artikel 20
            Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene
            Wanneer de Raad of het SGR de in artikel 35 van Verordening (EU) 2018/1725 bedoelde mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene beperkt, legt het SGR de redenen voor de beperking vast en registreert het die overeenkomstig artikel 21 van dit besluit.
         
         
            Artikel 21
            Vastlegging en registratie van beperkingen
            
               1.   Het SGR legt de redenen vast voor beperkingen op grond van dit besluit, met inbegrip van een evaluatie per geval van de noodzaak en de evenredigheid van de beperking, met inachtneming van de desbetreffende elementen van artikel 25, lid 2, van Verordening (EU) 2018/1725.
               Daartoe wordt in de vastleggingen vermeld hoe de uitoefening van een van de in de artikelen 14 tot en met 17 en de artikelen 19, 20 en 35 van die verordening bedoelde rechten of van het in artikel 4, lid 1, punt a), van die verordening vastgelegde transparantiebeginsel de activiteiten van de DPO uit hoofde van dit besluit of van krachtens artikel 17, leden 2 of 3, van dit besluit toegepaste beperkingen in het gedrang zou brengen of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen.
            
            
               2.   De vastleggingen en, indien van toepassing, de documenten met onderliggende feitelijke en juridische elementen, worden geregistreerd. Deze worden de EDPS op diens verzoek ter beschikking gesteld.
            
         
         
            Artikel 22
            Duur van de beperkingen
            
               1.   De in de artikelen 18, 19 en 20 bedoelde beperkingen blijven van toepassing zolang de redenen daarvoor blijven bestaan.
            
            
               2.   Wanneer de redenen voor een in de artikelen 18 en 20 bedoelde beperking niet langer van toepassing zijn, heft het SGR de beperking op en informeert het de betrokkene over de redenen voor de beperking. Tegelijkertijd informeert het SGR de betrokkene over de mogelijkheid om op elk moment een klacht bij de EDPS in te dienen of om hoger beroep bij het Hof van Justitie van de Europese Unie in te stellen.
            
            
               3.   Het SGR evalueert de toepassing van de in de artikelen 18 en 20 bedoelde beperkingen om de zes maanden nadat zij zijn vastgesteld, en in elk geval bij de voltooiing van de betrokken DPO-taak. Na de voltooiing monitort het SGR jaarlijks de noodzaak om eventuele beperkingen of uitstelperioden te handhaven.
            
         
         
            Artikel 23
            Evaluatie door de DPO
            
               1.   Indien andere directoraten-generaal of diensten van het SGR concluderen dat de rechten van een betrokkene op grond van dit besluit dienen te worden beperkt, informeren zij de DPO. Ook verschaffen zij de DPO inzage in de vastleggingen en eventuele documenten met onderliggende feitelijke en juridische elementen. De betrokkenheid van de DPO bij de toepassing van beperkingen wordt uitvoerig gedocumenteerd.
            
            
               2.   De DPO kan erom verzoeken dat de betrokken gedelegeerd verwerkingsverantwoordelijke de toepassing van de beperkingen evalueert. De betrokken gedelegeerd verwerkingsverantwoordelijke informeert de DPO schriftelijk over het resultaat van de gevraagde evaluatie.
            
         
         AFDELING 6
         
            SLOTBEPALINGEN
         
         
            Artikel 24
            Intrekking
            Besluit 2004/644/EG wordt ingetrokken.
         
         
            Artikel 25
            Inwerkingtreding
            Dit besluit treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
         
         
            Gedaan te Luxemburg, 28 juni 2021.
            
               
                  Voor de Raad
               
               
                  De voorzitter
               
               M. do C. ANTUNES
            
         
         
            (1)  PB L 295 van 21.11.2018, blz. 39.
         
            (2)  Advies van 6 april 2021 (nog niet bekendgemaakt in het Publicatieblad).
         
            (3)  Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad van 30 mei 2001 inzake de toegang van het publiek tot documenten van het Europees Parlement, de Raad en de Commissie (PB L 145 van 31.5.2001, blz. 43).
         
            (4)  Besluit 2004/338/EG, Euratom van de Raad van 22 maart 2004 houdende vaststelling van zĳn reglement van orde (PB L 106 van 15.4.2004, blz. 22).
         
            (5)  Besluit 2013/488/EU van de Raad van 23 september 2013 betreffende de beveiligingsvoorschriften voor de bescherming van gerubriceerde EU-informatie (PB L 274 van 15.10.2013, blz. 1).
         
            (6)  Besluit van de secretaris-generaal van de Raad/hoge vertegenwoordiger voor het gemeenschappelijk buitenlands en veiligheidsbeleid van 25 juni 2001 betreffende een code voor correct bestuurlijk gedrag van het secretariaat-generaal van de Raad van de Europese Unie en zijn personeel in de contacten die zij om professionele redenen met het publiek hebben (PB C 189 van 5.7.2001, blz. 1).
         
            (7)  Besluit 2004/644/EG van de Raad van 13 september 2004 tot aanneming van uitvoeringsvoorschriften voor Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (PB L 296 van 21.9.2004, blz. 16).
         
            (8)  PB L 56 van 4.3.1968, blz. 1.
         
            (9)  Verordening (EU, Euratom) 2018/1046 van het Europees Parlement en de Raad van 18 juli 2018 tot vaststelling van de financiële regels van toepassing op de algemene begroting van de Unie, tot wijziging van Verordeningen (EU) nr. 1296/2013, (EU) nr. 1301/2013, (EU) nr. 1303/2013, (EU) nr. 1304/2013, (EU) nr. 1309/2013, (EU) nr. 1316/2013, (EU) nr. 223/2014, (EU) nr. 283/2014 en Besluit nr. 541/2014/EU en tot intrekking van Verordening (EU, Euratom) nr. 966/2012 (PB L 193 van 30.7.2018, blz. 1
         
         
            (10)  Verordening (EU) 2016/794 van het Europees Parlement en de Raad van 11 mei 2016 betreffende het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol) en tot vervanging en intrekking van de Besluiten 2009/371/JBZ, 2009/934/JBZ, 2009/935/JBZ, 2009/936/JBZ en 2009/968/JBZ van de Raad (PB L 135 van 24.5.2016, blz. 53).
         
            (11)  Verordening (EU) 2017/1939 van de Raad van 12 oktober 2017 betreffende nauwere samenwerking bij de instelling van het Europees Openbaar Ministerie (EOM) (PB L 283 van 31.10.2017, blz. 1).