CELEX: 32020Q0722(02)
Language: sv
Date: 2020-03-26 00:00:00
Title: Beslut nr 1/2020 av styrelsen för det gemensamma företaget Shift2Rail av den 26 mars 2020 om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för det gemensamma företaget Shift2Rails funktion

22.7.2020   
               
               
                  SV
               
               
                  Europeiska unionens officiella tidning
               
               
                  L 236/7
               
            
         BESLUT nr 1/2020 AV STYRELSEN FÖR DET GEMENSAMMA FÖRETAGET SHIFT2RAIL
         av den 26 mars 2020
         om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för det gemensamma företaget Shift2Rails funktion
         STYRELSEN FÖR DET GEMENSAMMA FÖRETAGET SHIFT2RAIL (nedan kallat Shift2Rail) HAR ANTAGIT DETTA BESLUT
         med beaktande av fördraget om Europeiska unionens funktionssätt (1),
         med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (2), särskilt artikel 25,
         med beaktande av rådets förordning (EU) nr 642/2014 av den 16 juni 2014 om bildande av det gemensamma företaget Shift2Rail (3), särskilt artikel 8 i de bifogade stadgarna till den förordningen,
         med beaktande av Europeiska datatillsynsmannens riktlinjer för den nya förordningens artikel 25 och interna regler,
         efter att ha samrått med Europeiska datatillsynsmannen den 12 november 2019, i enlighet med artikel 41.2 i förordning (EU) 2018/1725,
         med beaktande av Europeiska datatillsynsmannens rekommendationer av den 18 december 2019,
         efter att ha samrått med Shift2Rails personalkommitté, och
         av följande skäl:
         
                     (1)
                  
                  
                     Endast rättsakter som antagits på grundval av fördragen får föreskriva begränsningar av registrerades rättigheter. Om begränsningarna inte kan genomföras med stöd av sådana rättsakter kan de enligt förordning (EU) 2018/1725, när det gäller frågor rörande Shift2Rails funktion, införas genom interna regler, inbegripet bestämmelser om bedömningen av en begränsnings nödvändighet och proportionalitet.
                  
               
                     (2)
                  
                  
                     I enlighet med artikel 25.1 i förordning (EU) 2018/1725 bör begränsningar i tillämpningen av artiklarna 14–22, 35 och 36, samt artikel 4 i samma förordning, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22, grunda sig på interna regler som ska antas av Shift2Rail.
                  
               
                     (3)
                  
                  
                     Inom ramen för sin verksamhet får Shift2Rail genomföra administrativa utredningar och disciplinära förfaranden, vidta förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, handlägga visselblåsarärenden, genomföra (formella och informella) förfaranden mot trakasserier, handlägga interna och externa klagomål, genomföra internrevisioner, låta dataskyddsombudet genomföra utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt genomföra interna utredningar om it-säkerhet.
                  
               
                     (4)
                  
                  
                     Shift2Rail behandlar flera olika kategorier av personuppgifter, däribland identifikationsuppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter samt uppgifter som rör ärendet (såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten) (4).
                  
               
                     (5)
                  
                  
                     Shift2Rail, företrätt av sin verkställande direktör, fungerar som personuppgiftsansvarig.
                  
               
                     (6)
                  
                  
                     Personuppgifterna lagras i en säker elektronisk miljö eller i pappersform, vilket förhindrar olaglig åtkomst eller överföring av uppgifter till personer som inte har behov av att ta del av dem. De behandlade personuppgifterna lagras inte längre än vad som är nödvändigt och lämpligt för det syfte som uppgifterna behandlas under den tidsperiod som anges i Shift2Rails dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller register.
                  
               
                     (7)
                  
                  
                     De interna reglerna ska gälla för all personuppgiftsbehandling som Shift2Rail utför inom ramen för administrativa utredningar, disciplinära förfaranden, förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, förfaranden i visselblåsarärenden, (formella och informella) förfaranden för att hantera trakasserier, handläggning av interna och externa klagomål, internrevisioner, dataskyddsombudets utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (till exempel av CERT-EU).
                  
               
                     (8)
                  
                  
                     De interna reglerna ska gälla för uppgiftsbehandling som utförs innan ovannämnda förfaranden inleds, under dessa förfaranden och under kontrollen av hur resultaten från dessa förfaranden följs upp. Detta bör även omfatta stöd och samarbete som Shift2Rail bistår nationella myndigheter och internationella organisationer med vid sidan av sina administrativa utredningar.
                  
               
                     (9)
                  
                  
                     När dessa interna regler tillämpas måste Shift2Rail motivera varför begränsningarna är absolut nödvändiga och proportionella i ett demokratiskt samhälle och förenliga med andemeningen i de grundläggande fri- och rättigheterna.
                  
               
                     (10)
                  
                  
                     Vid de ovannämnda förfarandena måste Shift2Rail i största möjliga mån respektera de registrerades grundläggande rättigheter, särskilt de rättigheter som gäller rätten att få ta del av information, rätten till tillgång, rättelse eller radering av personuppgifter, rätten till begränsning av behandlingen, rätten att bli underrättad om personuppgiftsincidenter och rätten till konfidentiell behandling av kommunikation i enlighet med förordning (EU) 2018/1725.
                  
               
                     (11)
                  
                  
                     Shift2Rail kan dock tvingas begränsa registrerades tillgång till information samt andra rättigheter som tillkommer den registrerade för att särskilt skydda sina egna utredningar, andra myndigheters utredningar och förfaranden och rättigheterna för andra personer med koppling till Shift2Rails utredningar eller andra förfaranden.
                  
               
                     (12)
                  
                  
                     Om Shift2Rail överväger att tillämpa en begränsning ska risken för den registrerades fri- och rättigheter vägas mot i synnerhet risken för andra registrerades fri- och rättigheter samt mot risken att verkningarna av Shift2Rails utredningar eller förfaranden upphävs, till exempel genom att bevis förstörs. Riskerna för den registrerades fri- och rättigheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras.
                  
               
                     (13)
                  
                  
                     Shift2Rail får alltså begränsa informationen i syfte att skydda utredningar och andra registrerades grundläggande fri- och rättigheter.
                  
               
                     (14)
                  
                  
                     Shift2Rail bör regelbundet kontrollera att förhållandena som motiverar en begränsning fortfarande är tillämpliga och upphäva begränsningen om de inte längre är det.
                  
               
                     (15)
                  
                  
                     Den personuppgiftsansvarige ska informera dataskyddsombudet vid uppskjutande och i samband med kontrollerna.
                  
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
         
            Artikel 1
            Syfte och tillämpningsområde
            
               1.   Detta beslut innehåller regler om de villkor som måste vara uppfyllda för att Shift2Rail inom ramen för de förfaranden som anges i punkt 2 ska få begränsa rättigheterna som avses i artiklarna 14–21, 35 och 36, samt artikel 4 i förordning (EU) 2018/1725, i enlighet med artikel 25 i den förordningen.
            
            
               2.   Inom ramen för Shift2Rails administrativa verksamhet är detta beslut tillämpligt på programkontorets behandling av personuppgifter för följande ändamål: administrativa utredningar, disciplinära förfaranden, förberedande åtgärder vid fall av eventuella oegentligheter som anmälts till Olaf, hantering av visselblåsarärenden, (formella och informella) förfaranden för att hantera trakasserier, handläggning av interna och externa klagomål, internrevisioner, utredningar som dataskyddsombudet genomför i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (till exempel av CERT-EU).
            
            
               3.   De kategorier av uppgifter som omfattas är bl.a. identifikationsuppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter samt uppgifter som rör ärendet såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten.
            
            
               4.   Shift2Rail ska, vid fullgörandet av sina skyldigheter med avseende på den registrerades rättigheter enligt förordning (EU) 2018/1725, överväga om några av de undantag som anges i den förordningen är tillämpliga.
            
         
         
            Artikel 2
            Specificering av den personuppgiftsansvarige
            Shift2Rail fungerar, företrätt av den verkställande direktören, som personuppgiftsansvarig vid behandlingen.
         
         
            Artikel 3
            Specificering av skyddsåtgärder
            
               1.   Shift2Rail ska införa följande skyddsåtgärder för att förhindra missbruk eller olaglig åtkomst eller överföring av personuppgifter:
               
                           a)
                        
                        
                           Pappersdokument ska förvaras i låsbara skåp och endast vara åtkomliga för behörig personal.
                        
                     
                           b)
                        
                        
                           Alla elektroniska uppgifter ska lagras i en säker it-applikation i enlighet med Shift2Rails säkerhetsnormer samt i särskilda digitala mappar som endast är åtkomliga för behörig personal. Olika nivåer för tillgång ska beviljas individuellt beroende på användare.
                        
                     
                           c)
                        
                        
                           Databasen ska vara lösenordsskyddad i ett system med samlad inloggning och automatiskt kopplad till användarens användarnamn och lösenord. Pseudonymisering och/eller kryptering kan också användas vid behov. Det är absolut förbjudet att byta ut användare. E-register ska förvaras säkert för att säkerställa sekretesskydd för de uppgifter som finns i dessa.
                        
                     
                           d)
                        
                        
                           Alla som har tillgång till uppgifterna är bundna av tystnadsplikt.
                        
                     
            
               2.   Skyddsåtgärderna i punkt 1 ska regelbundet ses över i enlighet med artikel 6.3.
            
            
               3.   Lagringstiden för de personuppgifter som avses i artikel 1.3 anges i Shift2Rails dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller register som avses i artikel 7.1. Personuppgifterna får under inga omständigheter lagras längre än vad som är nödvändigt och rimligt för de ändamål som uppgifterna behandlas för (5).
            
         
         
            Artikel 4
            Grunder för begränsningar
            
               1.   Shift2Rail ska enbart tillämpa begränsningar i syfte att säkerställa
               
                           a)
                        
                        
                           den nationella säkerheten, den allmänna säkerheten eller försvaret i medlemsstaterna,
                        
                     
                           b)
                        
                        
                           förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten,
                        
                     
                           c)
                        
                        
                           andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt målen för unionens gemensamma utrikes- och säkerhetspolitik eller ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet,
                        
                     
                           d)
                        
                        
                           den inre säkerheten i unionsinstitutioner och unionsorgan, inbegripet deras elektroniska kommunikationsnät,
                        
                     
                           e)
                        
                        
                           förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken,
                        
                     
                           f)
                        
                        
                           en tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som avses i leden a–c,
                        
                     
                           g)
                        
                        
                           skydd av den registrerade eller andras rättigheter och friheter,
                        
                     
                           h)
                        
                        
                           verkställighet av civilrättsliga krav.
                        
                     
            
               2.   Inom ramen för de ändamål som anges i punkt 1 ovan får Shift2Rail tillämpa begränsningar i följande fall:
               
                           a)
                        
                        
                           Vid utbyte av personuppgifter med kommissionens avdelningar eller unionens övriga institutioner, organ och byråer
                           
                                       —
                                    
                                    
                                       när kommissionsavdelningen, EU-institutionen, EU-organet eller EU-byrån har rätt att begränsa utövandet av de angivna rättigheterna på grundval av andra rättsakter som föreskrivs i artikel 25 i förordning (EU) 2018/1725 eller i enlighet med kapitel IX i den förordningen eller med grundläggande rättsakter för andra av unionens institutioner, organ och byråer, och
                                    
                                 
                                       —
                                    
                                    
                                       när syftet med en sådan begränsning som görs av avdelningen, institutionen, organet eller byrån skulle äventyras om Shift2Rail inte skulle tillämpa en motsvarande begränsning i fråga om samma personuppgifter.
                                    
                                 
                     
                           b)
                        
                        
                           Vid utbyte av personuppgifter med behöriga myndigheter i medlemsstaterna
                           
                                       —
                                    
                                    
                                       när dessa behöriga myndigheter har rätt att begränsa utövandet av de angivna rättigheterna på grundval av rättsakter som avses i artikel 23 i Europaparlamentets och rådets förordning (EU) 2016/679 (6) eller enligt nationella bestämmelser som införlivar artikel 13.3, 15.3 eller 16.3 i Europaparlamentets och rådets direktiv (EU) 2016/680 (7), och
                                    
                                 
                                       —
                                    
                                    
                                       när syftet med en sådan begränsning som görs av den behöriga myndigheten skulle äventyras om Shift2Rail inte skulle tillämpa en motsvarande begränsning i fråga om samma personuppgifter.
                                    
                                 
                     
                           c)
                        
                        
                           Vid utbyte av personuppgifter med tredjeländer eller internationella organisationer, om det finns tydliga bevis för att utövandet av dessa rättigheter och skyldigheter sannolikt kommer att äventyra Shift2Rails samarbete med tredjeländer eller internationella organisationer i utförandet av myndighetens arbetsuppgifter.
                        
                     Före tillämpningen av begränsningar i fall som avses i första stycket leden a och b ska Shift2Rail samråda med kommissionens berörda avdelningar, unionens institutioner, organ och byråer eller medlemsstaternas behöriga myndigheter, såvida det inte är uppenbart för Shift2Rail att tillämpningen av en begränsning föreskrivs genom någon av de rättsakter som det hänvisas till i dessa led.
            
         
         
            Artikel 5
            Registrerades rättigheter och begränsningar av dessa rättigheter
            
               1.   I vederbörligen motiverade fall och enligt villkoren i detta beslut kan följande rättigheter begränsas av den personuppgiftsansvarige inom ramen för den uppgiftsbehandling som anges i artikel 1.2 och punkt 2 nedan när så är nödvändigt och proportionerligt:
               
                           a)
                        
                        
                           Rätten till information.
                        
                     
                           b)
                        
                        
                           Rätten till tillgång.
                        
                     
                           c)
                        
                        
                           Rätten till rättelse, radering och begränsning av behandling.
                        
                     
                           d)
                        
                        
                           Den registrerades rätt att bli underrättad om en personuppgiftsincident.
                        
                     
                           e)
                        
                        
                           Rätten till konfidentiell behandling av elektronisk kommunikation.
                        
                     
            
               2.   I vederbörligen motiverade fall och för att säkerställa de syften som anges i artikel 4.1 kan den personuppgiftsansvarige tillämpa begränsningar inom ramen för följande uppgiftsbehandling som anges i artikel 1.2:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinära förfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf.
                        
                     
                           c)
                        
                        
                           Förfaranden i visselblåsarärenden.
                        
                     
                           d)
                        
                        
                           (Formella och informella) förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Behandling av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Internrevisioner.
                        
                     
                           g)
                        
                        
                           Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om (it-)säkerhet som hanteras internt eller med extern hjälp (t.ex. av CERT-EU).
                        
                     
                           i)
                        
                        
                           Vid bidragsförvaltning eller upphandlingsförfaranden, efter utgången av tidsfristen för att lämna in förslag eller anbud.
                        
                     
            
               3.   Inom ramen för förfaranden som rör trakasserier kan de rättigheter som anges i punkt 1 begränsas enligt samma villkor, med undantag av den registrerades rätt att bli underrättad om en personuppgiftsincident i enlighet med punkt 1 d.
            
            
               4.   Inom ramen för bidragsförvaltning eller upphandlingsförfaranden kan de rättigheter som anges i punkt 1 begränsas enligt samma villkor, med undantag av rätten till rättelse, radering och begränsning av behandling i enlighet med punkt 1 c.
            
            
               5.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut får den personuppgiftsansvarige begränsa rätten till rättelse, radering och begränsning av behandling, utom i de fall som avses i punkterna 3 och 4.
            
            
               6.   Om Shift2Rail helt eller delvis begränsar de rättigheter som avses i punkterna 1, 3, 4 och 5 ska de åtgärder som anges i artiklarna 6 och 7 i detta beslut vidtas.
            
            
               7.   Om registrerade, i enlighet med artikel 17 i förordning (EU) 2018/1725, begär tillgång till egna personuppgifter som behandlas i samband med ett eller flera specifika fall eller ärenden som inbegriper uppgiftsbehandling, ska Shift2Rail begränsa sin bedömning av denna begäran till att endast avse dessa personuppgifter.
            
         
         
            Artikel 6
            Begränsningarnas nödvändighet och proportionalitet
            
               1.   Eventuella begränsningar som grundar sig på artikel 4 ska vara nödvändiga och proportionella med beaktande av riskerna för de registrerades fri- och rättigheter och förenliga med andemeningen i de grundläggande rättigheterna och friheterna i ett demokratiskt samhälle.
            
            
               2.   Om Shift2Rail överväger att tillämpa en begränsning ska en bedömning av nödvändigheten och proportionaliteten göras på grundval av dessa regler. Bedömningen ska göras i samband med den regelbundna översynen, efter en utvärdering av huruvida de rättsliga och sakliga skäl som motiverar begränsningen fortfarande föreligger. Den ska dokumenteras i redovisningssyfte genom en intern bedömningsnotering i varje enskilt fall.
            
            
               3.   Begränsningar ska vara tillfälliga och bara tillämpas så länge som skälen som motiverar dem föreligger. Detta gäller i synnerhet om Shift2Rail inte längre anser att utövandet av den begränsade rättigheten skulle upphäva verkan av en införd begränsning eller inverka menligt på andra registrerades rättigheter och friheter.
               Shift2Rail ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när undersökningen, utredningen eller förfarandet avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar.
            
            
               4.   Om Shift2Rail helt eller delvis tillämpar en begränsning på grundval av artikel 4 i detta beslut ska skälen till begränsningen och den rättsliga grunden noteras i enlighet med punkt 1 ovan. Detta innefattar en bedömning av begränsningens nödvändighet och proportionalitet.
               Dokumentationen och, i tillämpliga fall, handlingarna som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.
            
         
         
            Artikel 7
            Informationsskyldighet
            
               1.   Shift2Rail ska informera de registrerade om att deras rättigheter kan komma att begränsas i dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller register som avses i artikel 31 i förordning (EU) 2018/1725. Dessa offentliggörs på Shift2Rails webbplats och/eller intranät och innehåller information till registrerade om deras rättigheter inom ramen för ett visst förfarande. Informationen ska omfatta vilka rättigheter som kan komma att begränsas, skälen till detta och möjlig varaktighet.
               Utan att det påverkar tillämpningen av bestämmelserna i artikel 6.4 ska Shift2Rail även, där så är proportionellt, informera alla de registrerade som anses vara berörda i den specifika behandlingen om deras rättigheter vad gäller aktuella eller framtida begränsningar. Informationen ska ges utan onödigt dröjsmål, skriftligen och individuellt.
            
            
               2.   När Shift2Rail helt eller delvis begränsar de rättigheter som anges i artikel 5 ska den registrerade i fråga informeras om begränsningen och de huvudsakliga skälen till denna samt om möjligheten att inge klagomål till Europeiska datatillsynsmannen eller att begära rättslig prövning vid Europeiska unionens domstol.
               Tillhandahållandet av den information som avses i punkt 2 ovan får skjutas upp, utelämnas eller nekas om det skulle upphäva verkan av en begränsning som införts i enlighet med artikel 25.8 i förordning (EU) 2018/1725.
            
         
         
            Artikel 8
            Dataskyddsombudets översyn
            
               1.   Shift2Rail ska utan onödigt dröjsmål underrätta sitt dataskyddsombud när den personuppgiftsansvarige begränsar tillämpningen av de registrerades rättigheter eller utvidgar begränsningen med stöd i detta beslut. Den personuppgiftsansvarige ska ge dataskyddsombudet tillgång till den dokumentation som innehåller bedömningen av begränsningens nödvändighet och proportionalitet och ange i densamma det datum när dataskyddsombudet underrättades.
            
            
               2.   Dataskyddsombudet kan skriftligen begära att den personuppgiftsansvarige ska se över tillämpningen av begränsningarna. Den personuppgiftsansvarige ska skriftligen informera dataskyddsombudet om resultatet från den begärda översynen.
            
            
               3.   Dataskyddsombudet ska involveras under hela förfarandet. Den personuppgiftsansvarige ska också informera dataskyddsombudet när en begränsning har upphört.
            
         
         
            Artikel 9
            Ikraftträdande
            Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.
         
         
            Utfärdat i Bryssel den 26 mars 2020.
            
               
                  För det gemensamma företaget Shift2Rails styrelse
               
               Henrik HOLOLEI
               
                  Ordförande
               
            
         
         
            (1)  EUT C 202, 7.6.2016, s. 47.
         
            (2)  EUT L 295, 21.11.2018, s. 39.
         
            (3)  EUT L 177, 17.6.2014, s. 9.
         
            (4)  Vid gemensamt personuppgiftsansvar ska uppgifter behandlas i enlighet med de ändamål och medel som fastställts i det relevanta avtalet mellan de gemensamt personuppgiftsansvariga i enlighet med artikel 28 i förordning (EU) 2018/1725.
         
            (5)  Shift2Rails policy för datalagring grundar sig på lagring av ärendehandlingar vid kommissionen i enlighet med den gemensamma bevarandeförteckningen, en rättslig handling (den senaste versionen är SEC(2019) 900) i form av en tidsplan som fastställer lagringsperioder för olika typer av kommissionsakter.
         
            (6)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).
         
            (7)  Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89).