CELEX: 32019Q0809(01)
Language: da
Date: 2019-06-12 00:00:00
Title: Afgørelse truffet af bestyrelsen for Det Europæiske Lægemiddelagentur af 12. juni 2019 om interne regler for anvendelse af begrænsninger på visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i agenturets virke

9.8.2019   
               
               
                  DA
               
               
                  Den Europæiske Unions Tidende
               
               
                  L 209/19
               
            
         AFGØRELSE TRUFFET AF BESTYRELSEN FOR DET EUROPÆISKE LÆGEMIDDELAGENTUR
         af 12. juni 2019
         om interne regler for anvendelse af begrænsninger på visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i agenturets virke
         BESTYRELSEN FOR DET EUROPÆISKE LÆGEMIDDELAGENTUR HAR —
         under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1), særlig artikel 25,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 883/2013 af 11. september 2013 om undersøgelser, der foretages af Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 1073/1999 og Rådets forordning (Euratom) nr. 1074/1999 (2),
         under henvisning til vedtægten for tjenestemænd i Den Europæiske Union, særlig artikel 2, stk. 3, og artikel 30 i bilag IX, og ansættelsesvilkårene for Unionens øvrige ansatte,
         under henvisning til EMA's gennemførelsesbestemmelser vedrørende administrative undersøgelser og disciplinærsager af 8. juni 2012 (3),
         under henvisning til retningslinjerne fra EDPS udstedt den 18. december 2018 og til anmeldelsen til EDPS i henhold til artikel 41, stk. 2, i forordning (EU) 2018/1725,
         efter høring af personaleudvalget og
         ud fra følgende betragtninger:
         
                     (1)
                  
                  
                     Det Europæiske Lægemiddelagentur (»EMA« eller »agenturet«) blev oprettet ved Europa-Parlamentets og Rådets forordning (EF) nr. 726/2004 (4) for at koordinere de eksisterende videnskabelige ressourcer, som medlemsstaterne stiller til dets rådighed med henblik på vurdering, overvågning og lægemiddelovervågning
                  
               
                     (2)
                  
                  
                     Agenturet gennemfører administrative undersøgelser og disciplinærsager i overensstemmelse med bestemmelserne i vedtægten for tjenestemænd i Den Europæiske Union og ansættelsesvilkårene for Unionens øvrige ansatte. Agenturet kan også udføre foreløbige aktiviteter i forbindelse med sager om potentielle uregelmæssigheder, der indberettes til OLAF (i henhold til forordning (EU, Euratom) nr. 883/2013), behandle sager om whistleblowing, behandle (formelle og uformelle) procedurer i forbindelse med chikane, behandle interne og eksterne klager, foretage interne revisioner, gennemføre undersøgelser iværksat af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 og (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                  
               
                     (3)
                  
                  
                     Agenturet behandler flere kategorier af personoplysninger, f.eks. identifikationsoplysninger, kontaktoplysninger, erhvervsmæssige oplysninger. Det Europæiske Lægemiddelagentur, repræsenteret ved dets eksekutivdirektør, er ansvarligt som dataansvarlig. Internt er lederen af afdelingen for administration og virksomhedsledelse udnævnt til at handle efter delegation som dataansvarlig for de aktiviteter, der er omfattet af denne afgørelse (i denne henseende i det følgende benævnt »dataansvarlig«). Hvis den administrative undersøgelse eller disciplinærsagen vedrører lederen af afdelingen for administration og virksomhedsledelse, er viceeksekutivdirektøren den dataansvarlige for den pågældende undersøgelse eller sag. Personoplysningerne lagres i en elektronisk sagsmappe og i papirform. Papirsagsmappen opbevares i et aflåst skab, der kun er tilgængeligt for medarbejdere, som har fået bemyndigelse hertil af den øverste ledelse. De elektroniske sagsmapper lagres i et sikkert elektronisk miljø, der er udformet og vedligeholdes med henblik på at hindre hændelig eller ulovlig tilintetgørelse, tab, ændring, overførsel, ubeføjet videregivelse af eller adgang til personoplysninger for interne og eksterne partnere, der ikke har autoriseret adgang til sådanne oplysninger.
                  
               
                     (4)
                  
                  
                     De behandlede personoplysninger opbevares i overensstemmelse med artikel 13 i EMA's gennemførelsesbestemmelser vedrørende administrative undersøgelser og disciplinærsager af 8. juni 2012, som forklaret i denne afgørelses artikel 2, stk. 3.
                  
               
                     (5)
                  
                  
                     Denne afgørelse om interne regler bør gælde for alle behandlingsaktiviteter, der udføres af agenturet i forbindelse med gennemførelsen af dets administrative undersøgelser og disciplinærsager, samt ved udførelsen af foreløbige aktiviteter i forbindelse med sager om potentielle uregelmæssigheder, der indberettes til OLAF, behandling af sager om whistleblowing, behandling af (formelle og uformelle) procedurer i forbindelse med chikane, behandling af interne og eksterne klager, foretagelse af interne revisioner, gennemførelse af undersøgelser iværksat af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 og (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU). Denne afgørelse bør gælde for behandlingsaktiviteter, der gennemføres forud for indledningen af ovennævnte procedurer, i løbet af disse procedurer og under overvågningen af opfølgningen på resultatet af disse procedurer.
                  
               
                     (6)
                  
                  
                     Denne afgørelse om interne regler bør ligeledes gælde for aktiviteter i forbindelse med bistand og samarbejde, som agenturet yder uden for sine administrative undersøgelser til andre af EU's institutioner, organer, kontorer og agenturer, medlemsstaternes kompetente myndigheder og internationale organisationer for at beskytte deres behandlingsaktiviteter, samt for aktiviteter i forbindelse med samarbejde med og fremsendelse af oplysninger vedrørende en administrativ undersøgelse eller disciplinærsag til EU-institutioner og -organer. Med henblik herpå bør agenturet høre disse institutioner, organer, agenturer, myndigheder eller organisationer om de relevante begrundelser for at pålægge begrænsninger og om nødvendigheden og proportionaliteten af begrænsningerne.
                  
               
                     (7)
                  
                  
                     Agenturet skal give begrundelser, der forklarer, hvorfor begrænsningerne er strengt nødvendige og forholdsmæssige i et demokratisk samfund og respekterer kernen i de grundlæggende rettigheder og frihedsrettigheder.
                  
               
                     (8)
                  
                  
                     Inden for denne ramme er agenturet forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder i forbindelse med ovennævnte procedurer, navnlig, men ikke begrænset til, procedurerne vedrørende retten til indsigt og berigtigelse og retten til sletning, som fastsat i forordning (EU) 2018/1725.
                  
               
                     (9)
                  
                  
                     Agenturet kan dog være forpligtet til at udsætte underretningen af den registrerede og andre registreredes rettigheder for at beskytte især sine egne undersøgelser og procedurer, andre offentlige myndigheders undersøgelser og sager samt andre personers rettigheder vedrørende sine undersøgelser og procedurer.
                  
               
                     (10)
                  
                  
                     Agenturet kan således udsætte underretningen for at beskytte sine administrative undersøgelser og disciplinærsager, andre offentlige myndigheders undersøgelser og sager samt for at beskytte identiteten af informanter og andre personer, der er involveret i procedurerne, herunder whistleblowere og vidner, så disse ikke udsættes for negative konsekvenser i forbindelse med deres samarbejde. Særlig artikel 5, stk. 3, i EMA's gennemførelsesbestemmelser vedrørende administrative undersøgelser og disciplinærsager af 8. juni 2012 indeholder en forpligtelse til at underrette enhver medarbejder, som personligt måtte være involveret i en undersøgelse, forudsat at en sådan underretning ikke hindrer undersøgelsen. Dette udgør en begrænsning af anvendelsen af registreredes rettigheder, særlig artikel 14-21, 35 og 36 i forordning (EU) 2018/1725. I henhold til samme forordnings artikel 25 skal der derfor fastsættes interne regler for at sikre, at en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund.
                  
               
                     (11)
                  
                  
                     I henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725 kan den dataansvarlige udsætte eller undlade underretning om begrundelsen for at anvende en begrænsning på den registrerede, hvis underretningen på nogen måde ville kompromittere formålet med begrænsningen. For at sikre, at den registreredes ret til at blive underrettet, jf. artikel 16 og 35 i forordning (EU) 2018/1725, kun begrænses, så længe udskydelsen er begrundet, bør agenturet jævnligt tage sin holdning op til overvejelse.
                  
               
                     (12)
                  
                  
                     Hvis der anvendes en begrænsning af andre registreredes rettigheder, bør den dataansvarlige fra sag til sag vurdere, om det ville kompromittere formålet at informere om begrænsningen.
                  
               
                     (13)
                  
                  
                     I overensstemmelse med proportionalitetsprincippet bør agenturet regelmæssigt (ca. hver sjette måned) overvåge, at de omstændigheder, der ligger til grund for en bestemt begrænsning, stadig gør sig gældende. Agenturet bør derfor ophæve begrænsningen, når de omstændigheder, der ligger til grund for begrænsningen, ikke længere er tilstede.
                  
               
                     (14)
                  
                  
                     Agenturet bør høre databeskyttelsesrådgiveren på tidspunktet for udsættelsen af underretning, eller når en anden begrænsning af registreredes ret anvendes, samt i forbindelse med vurderingen af betingelserne med hensyn til, om begrænsningen stadig er berettiget —
                  
               VEDTAGET DENNE AFGØRELSE:
         
            Artikel 1
            Genstand og anvendelsesområde
            
               1.   Denne afgørelse indeholder bestemmelser om de betingelser, under hvilke agenturet inden for rammerne af administrative undersøgelser og disciplinærsager, når det anmelder sager til OLAF i henhold til forordning (EU, Euratom) nr. 883/2013, i henhold til artikel 25 i forordning (EU) 2018/1725 kan begrænse anvendelsen af de rettigheder, der er fastsat i artikel 14-21, 35 og 36 samt artikel 4, for så vidt som bestemmelserne heri svarer til rettighederne og forpligtelserne i artikel 14-21.
            
            
               2.   Denne afgørelse gælder for agenturets behandling af personoplysninger med henblik på gennemførelse af administrative undersøgelser og disciplinærsager samt for at udføre foreløbige aktiviteter i forbindelse med sager om potentielle uregelmæssigheder, der indberettes til OLAF (i henhold til forordning (EU, Euratom) nr. 883/2013), behandle sager om whistleblowing, behandle (formelle og uformelle) procedurer i forbindelse med chikane, behandle interne og eksterne klager, foretage interne revisioner, gennemføre undersøgelser iværksat af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 og (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
               Denne afgørelse bør ligeledes gælde for agenturets aktiviteter i forbindelse med bistand og samarbejde, som agenturet yder uden for sine administrative undersøgelser til andre af EU's institutioner, organer, kontorer og agenturer, medlemsstaternes kompetente myndigheder og internationale organisationer for at beskytte deres behandlingsaktiviteter.
               Endvidere gælder denne afgørelse for aktiviteter i forbindelse med samarbejde med og fremsendelse af oplysninger vedrørende en administrativ undersøgelse eller disciplinærsag til EU-institutioner og -organer, når sådanne oplysninger er nødvendige, for at modtageren kan vurdere begrundelserne for at indlede en formel undersøgelse eller sag.
            
            
               3.   Agenturet behandler flere kategorier af personoplysninger, f.eks. identifikationsoplysninger, kontaktoplysninger, erhvervsmæssige oplysninger. De pågældende kategorier af oplysninger kan være hårde oplysninger (f.eks. administrative oplysninger, telefon, privatadresse, elektronisk kommunikation og trafikdata) og/eller bløde oplysninger (f.eks. bedømmelsesrapporter, indledning af undersøgelser, rapporter om foreløbige undersøgelser, optegnelser/referater af vidneudsagn og undersøgelseshøringer, medarbejderes sociale aktiviteter og adfærd, bemærkninger om den eller de berørte medarbejderes evner og effektivitet osv.)
            
            
               4.   De kategorier af registrerede, der kan være omfattet af denne afgørelse, er agenturets personale og tidligere personale, dvs. (tidligere) ansatte, medarbejdere/administratorer, udstationerede nationale eksperter og praktikanter samt agenturets (tidligere) kontrahenter.
            
            
               5.   På de i denne afgørelse fastsatte betingelser kan begrænsningerne gælde for følgende rettigheder: oplysningspligt og underretning om brud på persondatasikkerheden til den registrerede, jf. artikel 16 og 35 i forordning (EU) 2018/1725, den registreredes indsigtsret, jf. artikel 17 i forordning (EU) 2018/1725, ret til berigtigelse, sletning, begrænsning af behandling og underretningspligt i forbindelse med berigtigelse eller sletning, jf. artikel 18, artikel 19, stk. 1, artikel 20 og artikel 21 i forordning (EU) 2018/1725.
            
         
         
            Artikel 2
            Specificering af de dataansvarlige og sikkerhedsforanstaltninger
            
               1.   Det Europæiske Lægemiddelagentur, repræsenteret ved dets eksekutivdirektør, er ansvarligt som dataansvarlig. Internt er lederen af afdelingen for administration og virksomhedsledelse udnævnt til at handle efter delegation som dataansvarlig for de aktiviteter, der er omfattet af denne afgørelse. Hvis den administrative undersøgelse eller disciplinærsagen vedrører lederen af afdelingen for administration og virksomhedsledelse, er viceeksekutivdirektøren den dataansvarlige for den pågældende undersøgelse eller sag.
            
            
               2.   Personoplysningerne lagres i en elektronisk sagsmappe og/eller i papirform. De indførte sikkerhedsforanstaltninger med henblik på at undgå brud på persondatasikkerheden, lækager eller uautoriseret videregivelse er følgende:
               
                           (a)
                        
                        
                           Papirsagsmappen opbevares i et aflåst skab, der kun er tilgængeligt for autoriserede medarbejdere i det omfang, det er nødvendigt. Sikkerhedssystemet i lokalerne, interne politikker for registerhåndtering, personaleuddannelse og revisioner er også indført for at sikre passende sikkerhedsforanstaltninger.
                        
                     
                           (b)
                        
                        
                           De elektroniske sagsmapper lagres i et sikkert elektronisk miljø, der er udformet og vedligeholdes med henblik på at hindre hændelig eller ulovlig tilintetgørelse, tab, ændring, overførsel, ubeføjet videregivelse af eller adgang til personoplysninger for interne og eksterne partnere, der ikke har autoriseret adgang til sådanne oplysninger.
                        
                     
                           (c)
                        
                        
                           De strenge regler om fortrolighed og tavshedspligt, der finder anvendelse på de udnævnte efterforskere og/eller på enhver, som på anden måde er involveret i den administrative undersøgelse eller disciplinærsag, som krævet i EMA's gennemførelsesbestemmelser vedrørende administrative undersøgelser og disciplinærsager af 8. juni 2012 samt i vedtægten og ansættelsesvilkårene, sikrer en høj grad af beskyttelse mod risici for de registreredes rettigheder og frihedsrettigheder i forbindelse med behandlingen.
                        
                     
                           (d)
                        
                        
                           I overensstemmelse med princippet om dataminimering vil agenturet kun indsamle og behandle personoplysninger, der er tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles. Yderligere sikkerhedsforanstaltninger finder anvendelse, hvis særlige kategorier af oplysninger behandles, samt hvis personoplysninger vedrørende straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger behandles.
                        
                     
            
               3.   Der gælder følgende opbevaringsperioder:
               
                           (a)
                        
                        
                           I henhold til artikel 13 i EMA's gennemførelsesbestemmelser vedrørende administrative undersøgelser og disciplinærsager af 8. juni 2012 opbevares i tilfælde af, at der ikke er foretaget indberetning af medarbejderen, eller i tilfælde af, at der er foretaget indberetning, men ikke iværksat nogen disciplinær sanktion, papirsagsmappen og den elektroniske sagsmappe i forbindelse med administrative undersøgelser samt kopien i den personlige sagsmappe af den første underretning til medarbejderen i henhold til artikel 5 i de samme gennemførelsesbestemmelser i fem år efter datoen for afgørelsen om, at ingen indberetning eller disciplinær sanktion er nødvendig. Denne bestemmelse finder ikke anvendelse på den afgørelse, der indføjes i medarbejderens personlige sagsmappe på dennes anmodning i henhold til artikel 1, stk. 3, i bilag IX til vedtægten og artikel 5, stk. 5, i EMA's gennemførelsesbestemmelser vedrørende administrative undersøgelser og disciplinærsager af 8. juni 2012. En sådan afgørelse fjernes først fra den personlige sagsmappe på anmodning af den pågældende medarbejder.
                        
                     
                           (b)
                        
                        
                           Såfremt der er foretaget indberetning af medarbejderen, opbevares papirsagsmappen og den elektroniske sagsmappe samt kopien af den første underretning af medarbejderen ti år efter datoen for afgørelsen om en disciplinær sanktion. Såfremt det er i agenturets interesse at opbevare sagsakten vedrørende den administrative undersøgelse efter udløbet af de ti år, træffes i ekstraordinære tilfælde seks måneder inden udløbet af perioden på ti år en begrundet afgørelse, som meddeles den pågældende medarbejder. I den begrundede afgørelse fastsættes den yderligere periode, hvori sagsakten vedrørende den administrative undersøgelse opbevares. I sådanne tilfælde opbevares underretningen i medarbejderens personlige sagsmappe ligeledes.
                        
                     
            
               4.   Risikoen for den registreredes rettigheder og frihedsrettigheder kan omfatte risici for retten til at respektere fortroligheden af dennes private kommunikation, for retten til ytrings- og informationsfrihed og for retten til et forsvar og til at blive hørt. Disse risici vil blive afvejet i forhold til de begrundelser og formål, der berettiger anvendelsen af de i denne afgørelse fastsatte begrænsninger. Denne afvejning skal dokumenteres behørigt og foretages på grundlag af en analyse af hvert enkelt tilfælde for at sikre, at en begrænsning kun anvendes, når det er nødvendigt, og på en forholdsmæssig måde samt i overensstemmelse med de i denne afgørelse fastsatte regler.
            
         
         
            Artikel 3
            Begrænsninger
            
               1.   I henhold til artikel 25, stk. 1, i forordning (EU) 2018/1725 skal begrænsninger kun anvendes af hensyn til:
               
                           (a)
                        
                        
                           forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed
                        
                     
                           (b)
                        
                        
                           andre vigtige målsætninger i forbindelse med beskyttelse af Unionens eller en medlemsstats generelle samfundsinteresser, navnlig Unionens eller en medlemsstats væsentlige interesser, herunder folkesundhed og social sikkerhed
                        
                     
                           (c)
                        
                        
                           Unionens institutioners og organers interne sikkerhed, herunder deres elektroniske kommunikationsnetværk
                        
                     
                           (d)
                        
                        
                           forebyggelse, efterforskning, afsløring og retsforfølgning i forbindelse med brud på etiske regler for lovregulerede erhverv
                        
                     
                           (e)
                        
                        
                           kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a)-c)
                        
                     
                           (f)
                        
                        
                           beskyttelse af den registreredes eller andres rettigheder og frihedsrettigheder.
                        
                     
            
               2.   Som en konkret anvendelse af de i stk. 1 beskrevne formål kan agenturet anvende begrænsninger vedrørende personoplysninger, der udveksles med Kommissionens tjenestegrene eller andre EU-institutioner, organer, agenturer og kontorer, de kompetente myndigheder i medlemsstaterne eller tredjelande eller internationale organisationer, under følgende omstændigheder:
               
                           (a)
                        
                        
                           Hvis udøvelsen af disse rettigheder og forpligtelser begrænses af Kommissionens tjenestegrene eller andre EU-institutioner, -organer, -agenturer og -kontorer på grundlag af andre retsakter, der er omhandlet i artikel 25 i forordning (EU) 2018/1725, eller i overensstemmelse med kapitel IX i samme forordning eller med de grundlæggende retsakter for andre EU-institutioner, -organer, -agenturer og -kontorer.
                        
                     
                           (b)
                        
                        
                           Hvis udøvelsen af disse rettigheder og forpligtelser begrænses af de kompetente myndigheder i medlemsstaterne på grundlag af retsakter, der er omhandlet i artikel 23 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (5), eller i henhold til nationale foranstaltninger til gennemførelse af artikel 13, stk. 3, artikel 15, stk. 3, eller artikel 16, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (6).
                        
                     
                           (c)
                        
                        
                           Hvis udøvelsen af disse rettigheder og forpligtelser kan bringe agenturets samarbejde med tredjelande eller internationale organisationer i fare ved udførelsen af dets opgaver.
                        
                     Inden der anvendes begrænsninger i de tilfælde, som er nævnt i første afsnit, litra a) og b), skal agenturet høre de relevante tjenestegrene i Kommissionen, EU's institutioner, organer, agenturer, kontorer eller de kompetente myndigheder i medlemsstaterne, medmindre det står klart for agenturet, at anvendelsen af en begrænsning er fastsat i en af de retsakter, der er nævnt i disse litraer.
            
            
               3.   Begrænsninger skal være nødvendige og forholdsmæssige i et demokratisk samfund og respektere det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder.
            
            
               4.   Der foretages en vurdering af nødvendigheden og proportionalitet på grundlag af de gældende regler. Af hensyn til ansvarlighed dokumenteres vurderingen gennem et internt notat i hvert enkelt tilfælde.
            
            
               5.   Begrænsninger skal overvåges behørigt, og der skal foretages en periodisk revision mindst hver sjette måned for at vurdere, at de omstændigheder, der ligger til grund for en bestemt begrænsning, stadig gør sig gældende.
            
            
               6.   Begrænsninger ophæves, så snart de omstændigheder, der ligger til grund for dem, ikke længere er tilstede, eksempelvis hvis udøvelsen af den registreredes rettigheder (f.eks. underretning om databehandlingen og aktindsigt) ikke længere ville bringe formålet med den pågældende undersøgelse eller procedure i fare.
            
         
         
            Artikel 4
            Oplysninger til databeskyttelsesrådgiveren og evaluering
            
               1.   Den dataansvarlige underretter (på agenturets vegne) uden unødig forsinkelse agenturets databeskyttelsesrådgiver, hvis den registreredes rettigheder begrænses i overensstemmelse med denne afgørelse, og giver adgang til de registrerede oplysninger og dokumentationen for vurderingen af nødvendigheden og proportionaliteten af begrænsningen (herunder alle dokumenter, der indeholder underliggende faktiske eller retlige elementer). Dette krav gælder også for eventuelle efterfølgende evalueringer af begrænsningen.
            
            
               2.   Databeskyttelsesrådgiveren kan skriftligt anmode den dataansvarlige om at evaluere anvendelsen af begrænsningerne. Agenturet underretter skriftligt databeskyttelsesrådgiveren om resultatet af den evaluering, der er anmodet om.
            
            
               3.   Udvekslingen af oplysninger med databeskyttelsesrådgiveren under hele proceduren skal registreres og dokumenteres skriftligt.
            
         
         
            Artikel 5
            Begrænsning af underretningen af de registrerede
            
               1.   Den databeskyttelseserklæring, der vedrører administrative undersøgelser og disciplinærsager og er offentliggjort på agenturets intranet, skal også omfatte oplysninger om den potentielle begrænsning af disse rettigheder. Oplysningerne omfatter, hvilke rettigheder der kan begrænses, begrundelserne for denne begrænsning og den potentielle varighed.
            
            
               2.   Agenturet underretter desuden de registrerede individuelt om deres rettigheder vedrørende nuværende eller fremtidige begrænsninger uden unødig forsinkelse og i skriftlig form og med forbehold af følgende stykker.
            
            
               3.   Såfremt agenturet, helt eller delvist, begrænser underretningen af de registrerede i overensstemmelse med denne afgørelse, skal det registrere begrundelserne for begrænsningen, herunder en vurdering af nødvendigheden og proportionaliteten af begrænsningen. I den forbindelse skal det fremgå, hvordan underretningen ville bringe formålet med den pågældende undersøgelse eller procedure i fare eller ville krænke andres rettigheder og frihedsrettigheder. De registrerede oplysninger og, hvis det er relevant, de dokumenter, der indeholder underliggende faktiske eller retlige elementer, registreres. Disse stilles efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.
            
            
               4.   Den i stk. 3 nævnte begrænsning finder anvendelse, så længe begrundelserne herfor er gældende. Når begrundelserne for begrænsningen ikke længere er gældende, skal agenturet videregive de pågældende oplysninger til og underrette den registrerede om begrundelserne for begrænsningen. De registrerede kan fremsende forespørgsler til databeskyttelsesrådgiveren.
            
            
               5.   Samtidig underretter agenturet den registrerede om muligheden for til hver en tid at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller indbringe sagen for Den Europæiske Unions Domstol.
            
            
               6.   Agenturet gennemgår hver sjette måned anvendelsen af begrænsningen fra vedtagelsen heraf og ved procedurens afslutning.
            
         
         
            Artikel 6
            Begrænsning af de registreredes ret til indsigt
            
               1.   Hvis registrerede anmoder om adgang til deres egne personoplysninger, som behandles i forbindelse med et eller flere specifikke tilfælde eller en særlig behandlingsaktivitet, jf. artikel 17 i forordning (EU) 2018/1725, skal agenturets vurdering af anmodningen udelukkende være begrænset til sådanne personoplysninger.
            
            
               2.   Hvis agenturet, helt eller delvist, begrænser indsigtsretten som omhandlet i artikel 17 i forordning (EU) 2018/1725, træffer det følgende skridt:
               
                           (a)
                        
                        
                           Det underretter i sit svar på anmodningen den pågældende registrerede om den anvendte begrænsning og om de vigtigste begrundelser herfor, for så vidt det ikke ville bringe formålet med den pågældende undersøgelse eller sag i fare, og om muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller indbringe sagen for Den Europæiske Unions Domstol.
                        
                     
                           (b)
                        
                        
                           Det registrerer begrundelserne for begrænsningen, herunder en vurdering af nødvendigheden og proportionaliteten af begrænsningen. I den forbindelse skal det af registreringen fremgå, hvordan adgangen til indsigt ville bringe formålet med den pågældende undersøgelse eller sag i fare eller ville krænke andres rettigheder og frihedsrettigheder.
                        
                     Den i litra a) omhandlede underretning kan udsættes, udelades eller afvises i overensstemmelse med artikel 25, stk. 8, i forordning (EU) 2018/1725.
            
            
               3.   Den i stk. 2, litra b), nævnte registrering og, hvis det er relevant, de dokumenter, der indeholder underliggende faktiske eller retlige elementer, registreres. Disse stilles efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse. Artikel 25, stk. 7, i forordning (EU) 2018/1725 finder anvendelse.
            
         
         
            Artikel 7
            Begrænsning af retten til berigtigelse, sletning og begrænsning af behandling
            Hvis agenturet, helt eller delvist, begrænser anvendelsen af retten til berigtigelse, sletning eller begrænsning af behandling som omhandlet i artikel 18, artikel 19, stk. 1, artikel 20, stk. 1, og artikel 21 i forordning (EU) 2018/1725, træffer det de foranstaltninger, der er beskrevet i artikel 6, stk. 2, i denne afgørelse, og foretager den pågældende registrering i overensstemmelse med artikel 6, stk. 3.
         
         
            Artikel 8
            Begrænsning af underretning om brud på persondatasikkerheden til de registrerede og fortrolighed af elektronisk kommunikation
            
               1.   Hvis agenturet begrænser underretningen om brud på persondatasikkerheden til den registrerede som omhandlet i artikel 35 i forordning (EU) 2018/1725, registrerer det begrundelserne for begrænsningen i overensstemmelse med artikel 5, stk. 3-6, i denne afgørelse.
            
            
               2.   Hvis agenturet begrænser en registrerets ret til fortrolighed af elektronisk kommunikation som omhandlet i artikel 36 i forordning (EU) 2018/1725, registrerer det begrundelserne for begrænsningen i overensstemmelse med artikel 5, stk. 3-6, i denne afgørelse.
            
         
         
            Artikel 9
            Ikrafttræden
            Denne afgørelse træder i kraft dagen efter offentliggørelsen i Den Europæiske Unions Tidende.
         
         
            Udfærdiget i Amsterdam, den 12. juni 2019.
            
               Christa WIRTHUMER-HOCHE
               
                  Formand for EMA's bestyrelse
               
            
         
         
            (1)  EUT L 295 af 21.11.2018, s. 39.
         
            (2)  EUT L 248 af 18.9.2013, s. 1.
         
            (3)  Dok. ref. 7.20/08.
         
            (4)  Europa-Parlamentets og Rådets forordning (EF) nr. 726/2004 af 31. marts 2004 om fastlæggelse af unionssprocedurer for godkendelse og overvågning af human- og veterinærmedicinske lægemidler og om oprettelse af et europæisk lægemiddelagentur (EUT L 136 af 30.4.2004, s. 1).
         
            (5)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).
         
            (6)  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89).