CELEX: 32020D0969
Language: sv
Date: 2020-07-03 00:00:00
Title: Kommissionens beslut (EU) 2020/969 av den 3 juli 2020 om genomförandebestämmelser för dataskyddsombudet, begränsningar av registrerade personers rättigheter och tillämpningen av Europaparlamentets och rådets förordning (EU) 2018/1725 och om upphävande av kommissionens beslut 2008/597/EG

6.7.2020   
               
               
                  SV
               
               
                  Europeiska unionens officiella tidning
               
               
                  L 213/12
               
            
         KOMMISSIONENS BESLUT (EU) 2020/969
         av den 3 juli 2020
         om genomförandebestämmelser för dataskyddsombudet, begränsningar av registrerade personers rättigheter och tillämpningen av Europaparlamentets och rådets förordning (EU) 2018/1725 och om upphävande av kommissionens beslut 2008/597/EG
         EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT
         med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 249.1,
         med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (1), särskilt artikel 45.3, och
         av följande skäl:
         
                     (1)
                  
                  
                     För att säkerställa att kommissionens dataskyddsombud fungerar väl är det nödvändigt att i detalj fastställa dataskyddsombudets uppgifter, åligganden och befogenheter.
                  
               
                     (2)
                  
                  
                     Genom förordning (EU) 2018/1725 tilldelas personuppgiftsansvariga tydliga ansvarsområden, särskilt gentemot de registrerade. För att säkerställa att kommissionen, i egenskap av personuppgiftsansvarig, arbetar på ett enhetligt och öppet sätt i fråga om sina ansvarsområden, bör regler anges för hur det ska fastställas vem inom kommissionen som är ansvarig för en behandling som utförs på kommissionens vägnar. I detta avseende är det lämpligt att införa begreppet delegerad personuppgiftsansvarig för att exakt ange ansvarsområdena för kommissionens enheter, särskilt när det gäller enskilda beslut som rör registrerades rättigheter. Dessutom är det lämpligt att införa begreppet operativ personuppgiftsansvarig som, under den delegerade personuppgiftsansvariges ansvar, utnämns för att säkerställa efterlevnaden i praktiken och behandla begäranden från registrerade avseende en behandling. Utnämningen av en operativ personuppgiftsansvarig hindrar inte att man i praktiken använder en kontaktpunkt, till exempel i form av en funktionell brevlåda, där de registrerade kan lämna in sina begäranden.
                  
               
                     (3)
                  
                  
                     I vissa fall kan flera av kommissionens avdelningar genomföra en behandling gemensamt för att fullgöra sitt uppdrag. I sådana fall bör de säkerställa att det finns interna arrangemang för att de på ett öppet sätt ska kunna fastställa sina respektive ansvarsområden enligt förordning (EU) 2018/1725, särskilt när det gäller ansvar gentemot de registrerade, för anmälan till Europeiska datatillsynsmannen och för registerhållning.
                  
               
                     (4)
                  
                  
                     För att göra det lättare för de delegerade personuppgiftsansvariga att utöva sitt ansvar bör var och en av kommissionens avdelningar utnämna en dataskyddssamordnare. Dataskyddssamordnaren bör delta i nätverket för dataskyddssamordnare inom kommissionen för att säkerställa ett enhetligt genomförande och en enhetlig tolkning av förordning (EU) 2018/1725 inom kommissionen och för att diskutera frågor av gemensamt intresse.
                  
               
                     (5)
                  
                  
                     Med tanke på dataskyddsombudets uppgift att tilldela ansvar i enlighet med artikel 45.1 b i förordning (EU) 2018/1725 bör dataskyddsombudet utfärda ytterligare vägledning om dataskyddssamordnarens funktion.
                  
               
                     (6)
                  
                  
                     Kommissionen behandlar flera kategorier av personuppgifter i samband med dataskyddsombudets övervaknings-, utrednings-, gransknings- och samrådsverksamhet. Kommissionen behandlar framför allt kontaktuppgifter samt uppgifter om identitet, yrke och samband med ärendet. Dessa uppgifter lagras i fem år efter det att verksamheten har avslutats i enlighet med den gemensamma bevarandeförteckningen för kommissionens akter (2).
                  
               
                     (7)
                  
                  
                     Under vissa omständigheter är det nödvändigt att sammanjämka de registrerades rättigheter enligt förordning (EU) 2018/1725 med kommissionens behov att utföra dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter och behovet av att sekretess säkerställs vid utbyte av information med andra avdelningar inom kommissionen samt att andra registrerades grundläggande rättigheter och friheter respekteras fullt ut. I enlighet med artikel 25.1 i förordning (EU) 2018/1725 får därför kommissionen begränsa tillämpningen av artiklarna 14–17, 19, 20 och 35, samt principen om öppenhet som fastställs i artikel 4.1 a, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–17, 19 och 20 i den förordningen.
                  
               
                     (8)
                  
                  
                     För att säkra sekretess och effektivitet i samband med dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter samtidigt som normerna för skydd av personuppgifter i enlighet med förordning (EU) 2018/1725 respekteras, behöver interna regler antas som ger dataskyddsombudet rätt att begränsa registrerades rättigheter linje med artikel 25 i förordning (EU) 2018/1725.
                  
               
                     (9)
                  
                  
                     De interna reglerna bör tillämpas på all uppgiftsbehandling som kommissionen utför i samband med utförandet av dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter. De bör tillämpas på behandlingar som utförs innan en utredning eller granskning inleds, under en utredning eller granskning och under övervakningen av uppföljningen av deras resultat. Dessa regler bör också tillämpas på behandlingar som ingår i de uppgifter som hör samman med dataskyddsombudets utrednings- eller granskningsfunktion, t.ex. klagomålsförfaranden som dataskyddsombudet hanterar. Reglerna bör även gälla för dataskyddsombudets övervakning och samråd när denne tillhandahåller stöd åt och samarbetar med kommissionens avdelningar utöver sina administrativa utredningar och granskningar.
                  
               
                     (10)
                  
                  
                     För att uppfylla kraven i artiklarna 14, 15 och 16 i förordning (EU) 2018/1725 bör kommissionen informera alla personer om dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter som innebär behandling av deras personuppgifter och om deras rättigheter i enlighet med förordning (EU) 2018/1725. Kommissionen bör informera dessa personer på ett öppet och konsekvent sätt med hjälp av de dataskyddsmeddelanden som offentliggörs på kommissionens webbplats och informera varje registrerad som berörs av dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsverksamhet.
                  
               
                     (11)
                  
                  
                     Under vissa omständigheter kan kommissionen behöva begränsa tillhandahållandet av information till registrerade och tillämpningen av registrerades andra rättigheter. Den får göra det för att skydda dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter, berörda utredningar och förfaranden inom kommissionens andra avdelningar, verktyg och metoder för dataskyddsombudets utredningar och granskningar samt andra personers rättigheter i samband med dataskyddsombudets uppgifter.
                  
               
                     (12)
                  
                  
                     I vissa fall kan tillhandahållandet av särskild information till de registrerade eller information som avslöjar förekomsten av en verksamhet inom dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter omöjliggöra eller avsevärt försvåra syftet med behandlingen och dataskyddsombudets förmåga att bedriva sådan verksamhet.
                  
               
                     (13)
                  
                  
                     Kommissionen bör också skydda uppgiftslämnares identitet, som inte bör drabbas av några negativa konsekvenser på grund av sitt samarbete med dataskyddsombudet.
                  
               
                     (14)
                  
                  
                     Av dessa skäl kan kommissionen behöva tillämpa de skäl till begränsning som avses i artikel 25.1 c, g och h i förordning (EU) 2018/1725 när det gäller uppgiftsbehandlingar som utförs inom ramen för dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter enligt artikel 45 i den förordningen.
                  
               
                     (15)
                  
                  
                     För att upprätthålla ett effektivt samarbete kan kommissionen dessutom behöva tillämpa begränsningar när det gäller registrerades rättigheter för att skydda information som innehåller personuppgifter som härrör från andra avdelningar inom kommissionen, unionens institutioner eller organ. Dataskyddsombudet bör därför samråda med dessa avdelningar, institutioner eller organ om vilka skäl som ska anses vara relevanta för att införa begränsningar och om behovet av begränsningen och dess proportionalitet.
                  
               
                     (16)
                  
                  
                     Inom ramen för dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter utbyter dataskyddsombudet information, inbegripet personuppgifter, med andra avdelningar inom kommissionen. Därför bör kommissionens alla avdelningar som behandlar de personuppgifter som behandlas av dataskyddsombudet vid utförandet av sina uppgifter tillämpa de regler som fastställs i detta beslut i syfte att skydda de behandlingar som utförs av dataskyddsombudet. Under sådana omständigheter bör kommissionens berörda avdelningar därför samråda med dataskyddsombudet om de relevanta skälen till begränsningarna och deras nödvändighet och proportionalitet i syfte att säkerställa att de tillämpas på ett enhetligt sätt.
                  
               
                     (17)
                  
                  
                     Dataskyddsombudet och, i förekommande fall, andra avdelningar inom kommissionen, bör hantera alla begränsningar på ett öppet sätt och registrera varje fall där begränsningar kommer till användning i det för ändamålet avsedda registreringssystemet.
                  
               
                     (18)
                  
                  
                     I enlighet med artikel 25.8 i förordning (EU) 2018/1725 får de personuppgiftsansvariga skjuta upp eller avstå från att informera den registrerade om skälen till tillämpningen av en begränsning, om detta på något sätt skulle äventyra syftet med begränsningen. I synnerhet om rättigheter enligt artiklarna 16 och 35 begränsas, skulle information om detta kunna äventyra syftet med begränsningen. För att säkerställa att den registrerades rätt att informeras enligt artiklarna 16 och 35 i förordning (EU) 2018/1725 endast begränsas under den tid som skälen till uppskjutandet gäller bör kommissionen regelbundet se över sin ståndpunkt.
                  
               
                     (19)
                  
                  
                     Om en begränsning av andra registrerades rättigheter tillämpas bör dataskyddsombudet bedöma från fall till fall huruvida meddelandet om begräsningen skulle äventyra dess syfte.
                  
               
                     (20)
                  
                  
                     Dataskyddsombudet bör genomföra en oberoende översyn av andra kommissionsavdelningars tillämpning av begränsningar som grundas på detta beslut, i syfte att säkerställa att detta beslut efterlevs.
                  
               
                     (21)
                  
                  
                     Alla begränsningar som tillämpas utifrån detta beslut bör vara nödvändiga och proportionella med hänsyn till de registrerades rättigheter och friheter.
                  
               
                     (22)
                  
                  
                     Europeiska datatillsynsmannen har underrättats och man har samrått med denne i enlighet med artikel 41.1 och 41.2 i förordning (EU) 2018/1725 och denne avgav ett yttrande den 16 september 2019.
                  
               
                     (23)
                  
                  
                     I kommissionens beslut 2008/597/EG (3) fastställs genomförandebestämmelser för uppgiftsskyddsombudet i enlighet med Europaparlamentets och rådets förordning (EG) nr 45/2001 (4). Genom förordning (EU) 2018/1725 upphävdes förordning (EG) nr 45/2001 med verkan från och med den 11 december 2019. För att säkerställa att endast en uppsättning genomförandebestämmelser gäller för dataskyddsombudet bör även beslut 2008/597/EG upphävas.
                  
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
         KAPITEL 1
         
            ALLMÄNNA BESTÄMMELSER
         
         
            Artikel 1
            Syfte och tillämpningsområde
            
               1.   Detta beslut innehåller regler och förfaranden för kommissionens tillämpning av förordning (EU) 2018/1725 och fastställer genomförandebestämmelser för kommissionens dataskyddsombud.
            
            
               2.   I detta beslut fastställs även de regler som kommissionen i samband med dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter ska följa för att informera registrerade om behandlingen av deras personuppgifter i enlighet med artiklarna 14, 15 och 16 i förordning (EU) 2018/1725.
            
            
               3.   I beslutet fastställs även de villkor på vilka kommissionen i samband med dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter och i enlighet med artikel 25.1 c, g och h i förordning (EU) 2018/1725 får begränsa tillämpningen av artiklarna 4, 14–17, 19, 20 och 35 i den förordningen.
            
            
               4.   Detta beslut är tillämpligt på kommissionens behandling av personuppgifter med avseende på eller i samband med dataskyddsombudets uppgifter enligt artikel 45 i förordning (EU) 2018/1725, särskilt dataskyddsombudets övervaknings-, utrednings-, gransknings- och samrådsuppgifter.
            
         
         
            Artikel 2
            Personuppgiftsansvar
            Vid tillämpningen av detta beslut ska kommissionen betraktas som personuppgiftsansvarig i den mening som avses i artikel 3.8 i förordning (EU) 2018/1725.
         
         
            Artikel 3
            Definitioner
            I detta beslut gäller följande definitioner:
            
                        1.
                     
                     
                        
                           dataskyddsombud: person som kommissionen har utnämnt i enlighet med artikel 43 i förordning (EU) 2018/1725.
                     
                  
                        2.
                     
                     
                        
                           dataskyddsombudets uppgifter: uppgifter som dataskyddsombudet ska ha enligt artikel 45 i förordning (EU) 2018/1725, särskilt dataskyddsombudets övervaknings-, utrednings-, gransknings- och samrådsuppgifter.
                     
                  
                        3.
                     
                     
                        
                           dataskyddssamordnare: anställd vid kommissionen som ett generaldirektorat eller en avdelning inom kommissionen har utnämnt för att denne ska ge råd till och bistå generaldirektoratet eller avdelningen när det gäller alla aspekter av skyddet av personuppgifter.
                     
                  
                        4.
                     
                     
                        
                           delegerad personuppgiftsansvarig: chefen för generaldirektoratet, avdelningen eller kansliet, som utför en behandling på kommissionens vägnar för att fullgöra generaldirektoratets, avdelningens eller kansliets uppdrag.
                     
                  
                        5.
                     
                     
                        
                           operativ personuppgiftsansvarig: anställd vid kommissionen som är chef på mellannivå eller högre nivå och som utsetts av den delegerade personuppgiftsansvarige för att säkerställa registerhållningen när det gäller behandlingen och för att fungera som första kontaktpunkt för registrerade i samband med behandlingen.
                     
                  
                        6.
                     
                     
                        
                           interna arrangemang: arrangemang mellan två eller flera generaldirektorat eller avdelningar i syfte att fastställa deras respektive ansvarsområden och samordna registerhållning för behandlingar avseende en behandling som de utför gemensamt eller om ett eller flera generaldirektorat eller avdelningar utför en del av den delegerade personuppgiftsansvariges behandling.
                     
                  
                        7.
                     
                     
                        
                           uppgiftslämnare: person som uppmärksammar dataskyddsombudet på att en överträdelse av bestämmelserna i förordning (EU) 2018/1725 har skett eller begär att dataskyddsombudet ska utreda frågor och händelser som har ett direkt samband med dataskyddsombudets uppgifter, som den personen uppmärksammar dataskyddsombudet på.
                     
                  
         KAPITEL 2
         
            DATASKYDDSOMBUD OCH DATASKYDDSSAMORDNARE
         
         
            Artikel 4
            Utnämning och ställning
            Dataskyddsombudet ska utses bland kommissionens personal på grundval av sina yrkesmässiga kvalifikationer, inbegripet goda kunskaper om kommissionens avdelningar, deras struktur samt administrativa regler och förfaranden.
         
         
            Artikel 5
            Uppgifter och uppdrag
            
               1.   Dataskyddsombudet ska bidra till att bygga upp en kultur för skydd av personuppgifter inom kommissionen på grundval av riskbedömning och ansvarsskyldighet.
            
            
               2.   Dataskyddsombudet ska kontrollera genomförandet av förordning (EU) 2018/1725 inom kommissionen, bland annat genom att årligen upprätta och genomföra ett arbetsprogram för inspektioner och granskningar.
            
            
               3.   Dataskyddsombudet ska anordna och leda regelbundna möten för dataskyddssamordnare.
            
            
               4.   Dataskyddsombudet ska hålla register över kommissionens behandlingsverksamhet i ett centralt register och göra det tillgängligt för allmänheten.
               Dataskyddsombudet ska också hålla ett internt register inom kommissionen över personuppgiftsincidenter i den mening som avses i artikel 3.16 i förordning (EU) 2018/1725.
            
            
               5.   När dataskyddsombudet fullgör sina uppgifter ska denne samarbeta med de dataskyddsombud som utnämnts av unionens övriga institutioner och organ.
            
            
               6.   Dataskyddsombudet ska betraktas som delegerad personuppgiftsansvarig när det gäller enskilda beslut om registrerades rättigheter enligt förordning (EU) 2018/1725 i samband med dataskyddsombudets behandlingar.
            
         
         
            Artikel 6
            Befogenheter
            Vid utförandet av dataskyddsombudets uppgifter gäller följande:
            
                        a)
                     
                     
                        Om det behövs för att dataskyddsombudet ska kunna utföra sina uppgifter, ska denne ges tillgång till de personuppgifter som behandlas och tillträde till alla kontor, installationer för behandling av uppgifter och databärare.
                     
                  
                        b)
                     
                     
                        Dataskyddsombudet får begära rättsliga utlåtanden från kommissionens rättstjänst.
                     
                  
                        c)
                     
                     
                        Vid en konflikt mellan dataskyddsombudet och den delegerade personuppgiftsansvarige, den operativa personuppgiftsansvarige eller personuppgiftsbiträdet när det gäller tolkningen eller genomförandet av förordning (EU) 2018/1725 får dataskyddsombudet informera den behöriga delegerade personuppgiftsansvarige och generalsekreteraren.
                     
                  
                        d)
                     
                     
                        Dataskyddsombudet får överlåta akter till kommissionens generaldirektorat eller avdelningar för lämplig uppföljning.
                     
                  
                        e)
                     
                     
                        Dataskyddsombudet får utföra utredningar på begäran eller på eget initiativ när det gäller frågor och händelser som har ett direkt samband med dataskyddsombudets uppgifter i enlighet med det förfarande som anges i artikel 11.
                     
                  
                        f)
                     
                     
                        Dataskyddsombudet får när denne ger rekommendationer och råd
                        
                                    i)
                                 
                                 
                                    uppmana den delegerade personuppgiftsansvarige eller personuppgiftsbiträdet att tillmötesgå en registrerades begäran om att få utöva sina rättigheter i enlighet med förordning (EU) 2018/1725,
                                 
                              
                                    ii)
                                 
                                 
                                    utfärda varningar till den delegerade personuppgiftsansvarige eller personuppgiftsbiträdet när en behandling bryter mot bestämmelserna i förordning (EU) 2018/1725 och uppmana dem att se till att behandlingen sker i enlighet med bestämmelserna i denna förordning och om så krävs på ett specifikt sätt och inom en specifik tidsperiod,
                                 
                              
                                    iii)
                                 
                                 
                                    uppmana den delegerade personuppgiftsansvarige eller personuppgiftsbiträdet att avbryta överföring av uppgifter till en mottagare i en medlemsstat, ett tredjeland eller en internationell organisation,
                                 
                              
                                    iv)
                                 
                                 
                                    begära att den delegerade personuppgiftsansvarige eller personuppgiftsbiträdet inom en fastställd tidsfrist rapporterar till dataskyddsombudet om uppföljningen av dataskyddsombudets rekommendation eller råd.
                                 
                              
                  
                        g)
                     
                     
                        Dataskyddsombudet får göra generalsekreteraren uppmärksam på att en delegerad personuppgiftsansvarig, en operativ personuppgiftsansvarig eller ett personuppgiftsbiträde underlåter att följa de åtgärder som vidtagits i enlighet med artikel 6 f.
                     
                  
                        h)
                     
                     
                        Dataskyddsombudet ska ansvara för inledande beslut om begäranden om att få tillgång till handlingar som innehas av dennes myndighet enligt Europaparlamentets och rådets förordning (EG) nr 1049/2001 (5).
                     
                  
         
            Artikel 7
            Dataskyddssamordnare
            
               1.   Den delegerade personuppgiftsansvarige ska utnämna en dataskyddssamordnare och, om så är lämpligt, en eller flera ställföreträdande dataskyddssamordnare vid generaldirektoratet eller avdelningen under dennes ansvar. Två eller flera delegerade personuppgiftsansvariga får av enhetlighetsskäl eller effektivitetsskäl besluta att utnämna en gemensam dataskyddssamordnare eller en ställföreträdande dataskyddsamordnare eller tillsammans ta en redan utnämnd dataskyddssamordnares eller ställföreträdande dataskyddssamordnares tjänster i anspråk. De berörda delegerade personuppgiftsansvariga ska dokumentera sin överenskommelse om detta skriftligen.
            
            
               2.   Den dataskyddssamordnare som utnämns av ett generaldirektorat eller en avdelning ska också vara behörig för det kansli som ansvarar för det generaldirektoratet eller den avdelningen. Den dataskyddssamordnare som utnämns för generalsekretariatet ska vara behörig både för ordförandens kansli och för de kanslier som generalsekretariatet är den enda stödtjänsten för. Om ett kansli är ansvarigt för flera generaldirektorat eller avdelningar ska de delegerade personuppgiftsansvariga besluta vilka av deras respektive dataskyddssamordnare som ska vara behöriga för det kansliet.
            
            
               3.   Dataskyddsombudet, personalen vid det berörda generaldirektoratet eller avdelningen och det berörda kansliet ska informeras när en ny dataskyddssamordnare utnämns.
               Nyutnämnda dataskyddssamordnare ska genomgå utbildning för att inom sex månader efter utnämningen ha fått de kunskaper som behövs i rollen som dataskyddssamordnare. Detta utbildningskrav gäller inte för en dataskyddssamordnare som tidigare har innehaft en befattning som dataskyddssamordnare vid ett annat generaldirektorat eller en annan avdelning eller som tillhörde dataskyddsombudets personal under de två åren före utnämningen till dataskyddssamordnare.
            
            
               4.   Delegerade personuppgiftsansvariga ska införa lämpliga arrangemang för att säkerställa att dataskyddssamordnaren skyndsamt och korrekt involveras i alla frågor som rör skyddet av personuppgifter vid deras generaldirektorat eller avdelning och att de yttranden som dataskyddssamordnaren tillhandahåller omgående meddelas den delegerade personuppgiftsansvarige på dataskyddssamordnarens begäran.
            
            
               5.   Dataskyddssamordnarna ska väljas på grundval av sina kunskaper om och erfarenheter av hur respektive generaldirektorat eller avdelning fungerar, motivationen för funktionen, kunskaper om skyddet av personuppgifter, förståelse av principer för informationssystem och kommunikationsförmåga.
            
            
               6.   Dataskyddssamordnarens funktion får kombineras med andra funktioner. Den delegerade personuppgiftsansvarige ska säkerställa att dessa funktioner är förenliga med den funktion som dataskyddssamordnaren har.
            
            
               7.   Dataskyddssamordnarens funktion ska ingå i arbetsbeskrivningen för varje anställd som utnämnts till dataskyddssamordnare. Deras ansvarsområden och resultat ska anges i den årliga bedömningsrapporten.
            
            
               8.   Dataskyddssamordnaren ska fungera som kontaktpunkt mellan den delegerade personuppgiftsansvarige, den operativa personuppgiftsansvarige och personuppgiftsbiträdet samt dataskyddsombudet.
            
            
               9.   Dataskyddssamordnarna ska ha rätt att få all information från sitt generaldirektorat eller sin avdelning i den omfattning det behövs för att dataskyddssamordnaren ska kunna utföra sina uppgifter. Dataskyddssamordnarna ska ha tillgång till personuppgifter endast om det är nödvändigt för att de ska kunna fullgöra sina uppgifter.
            
            
               10.   Dataskyddssamordnaren ska hålla register och lämna anonym statistik om begäranden från registrerade till generaldirektoratet, avdelningen eller kansliet och ange antalet begäranden och det antal begäranden som avslås helt eller delvis. Dataskyddsombudet ska ange för vilka kategorier av begäranden statistik ska föras. Dataskyddsombudet får ange vilka ytterligare uppgifter som ska tillhandahållas.
               Dataskyddssamordnaren ska föra anonym statistik över de personuppgiftsincidenter som hanteras av generaldirektoratet, avdelningen eller kansliet och ange det totala antalet personuppgiftsincidenter, det antal personuppgiftsincidenter som anmäls till Europeiska datatillsynsmannen och det antal personuppgiftsincidenter som meddelas till registrerade.
            
            
               11.   Dataskyddssamordnaren ska öka medvetenheten om uppgiftskyddsfrågor inom sitt generaldirektorat eller sin avdelning och ge råd till och bistå de delegerade personuppgiftsansvariga och de operativa personuppgiftsansvariga när de fullgör sina skyldigheter, särskilt när det gäller följande:
               
                           a)
                        
                        
                           Genomförande av de allmänna principerna i förordning (EU) 2018/1725.
                        
                     
                           b)
                        
                        
                           Dokumentation om behandlingarna.
                        
                     
                           c)
                        
                        
                           Överlämning av register om delegerade personuppgiftsansvarigas behandlingar till dataskyddsombudet i enlighet med artikel 10.
                        
                     
                           d)
                        
                        
                           Utarbetande av meddelanden om skydd av personuppgifter.
                        
                     
            
               12.   Dataskyddssamordnarna ska delta i dataskyddssamordnarnas möten och vid behov i arbetsgrupper.
            
            
               13.   Dataskyddsombudet ska utfärda ytterligare riktlinjer om dataskyddssamordnarens ansvarsområden och funktioner.
            
         
         KAPITEL 3
         
            PERSONUPPGIFTSANSVARIGA
         
         
            Artikel 8
            Delegerade personuppgiftsansvariga och operativa personuppgiftsansvariga
            
               1.   Delegerade personuppgiftsansvariga ska agera på kommissionens vägnar som personuppgiftsansvariga vid tillämpningen av förordning (EU) 2018/1725.
            
            
               2.   Delegerade personuppgiftsansvariga och operativa personuppgiftsansvariga
               
                           a)
                        
                        
                           får samråda med dataskyddsombudet via dataskyddssamordnaren om huruvida behandlingarna överensstämmer med förordningen, särskilt om det råder tvivel om detta,
                        
                     
                           b)
                        
                        
                           ska rapportera till dataskyddsombudet, via datasskyddssamordnaren, om handläggningen av varje begäran som mottas från en registrerad när det gäller utövandet av dennes rättigheter.
                        
                     
            
               3.   Den delegerade personuppgiftsansvarige ska
               
                           a)
                        
                        
                           utse en operativ personuppgiftsansvarig som ska bistå den delegerade personuppgiftsansvarige med att säkerställa efterlevnaden av förordning (EU) 2018/1725, särskilt när det gäller registrerade,
                        
                     
                           b)
                        
                        
                           säkerställa att interna arrangemang finns på plats med andra generaldirektorat eller avdelningar, om den delegerade personuppgiftsansvarige utför behandlingar tillsammans med dessa generaldirektorat eller avdelningar eller om dessa generaldirektorat eller avdelningar utför en del av den delegerade personuppgiftsansvariges behandling.
                        
                     De arrangemang som avses i första stycket led b ska fastställa deras respektive ansvar för fullgörande av sina skyldigheter i fråga om dataskydd. De ska framför allt inbegripa identifiering av den delegerade personuppgiftsansvarige som fastställer medlen för och ändamålen med behandlingen samt av den operativa personuppgiftsansvarige för behandlingen, och om så är lämpligt, vilken person och/eller vilka enheter som ska bistå den operativa personuppgiftsansvarige, bland annat med information vid personuppgiftsincidenter eller för att ta hänsyn till registrerades rättigheter.
            
            
               4.   Den operativa personuppgiftsansvarige ska
               
                           a)
                        
                        
                           ta emot och behandla alla begäranden från registrerade,
                        
                     
                           b)
                        
                        
                           meddela Europeiska datatillsynsmannen vid personuppgiftsincidenter,
                        
                     
                           c)
                        
                        
                           informera dataskyddssamordnaren och dataskyddsombudet vid personuppgiftsincidenter och, vid behov, underrätta den registrerade,
                        
                     
                           d)
                        
                        
                           säkerställa att dataskyddssamordnaren hålls informerad om alla frågor som rör dataskydd, särskilt begäranden från registrerade,
                        
                     
                           e)
                        
                        
                           utföra alla andra uppgifter som omfattas av detta beslut på begäran av den delegerade personuppgiftsansvarige.
                        
                     
         
         KAPITEL 4
         
            ANDRA SKYLDIGHETER OCH FÖRFARANDEN
         
         
            Artikel 9
            Information
            Den delegerade personuppgiftsansvarige ska, i samarbete med dataskyddssamordnaren, underrätta dataskyddsombudet när man samråder med eller underrättar Europeiska datatillsynsmannen i enlighet med förordning (EU) 2018/1725, särskilt i enlighet med artiklarna 40 och 41 i den förordningen. Dessutom ska den delegerade personuppgiftsansvarige, den operativa personuppgiftsansvarige eller dataskyddssamordnaren underrätta dataskyddsombudet om alla andra direkta kontakter med Europeiska datatillsynsmannen när det gäller genomförandet av förordning (EU) 2018/1725.
         
         
            Artikel 10
            Register
            
               1.   Dataskyddsombudet ska säkerställa att kommissionens register över behandlingar är tillgängligt via dataskyddsombudets webbplats på kommissionens intranät och via dataskyddsombudets webbplats på webbplatsen Europa.
            
            
               2.   De delegerade personuppgiftsansvariga ska via sina dataskyddssamordnare underrätta dataskyddsombudet om sina behandlingar med hjälp av kommissionens webbaserade anmälningssystem, som finns tillgängligt via dataskyddsombudets webbplats på kommissionens intranät.
            
         
         
            Artikel 11
            Utredningsförfarande
            
               1.   En skriftlig begäran om utredning enligt artikel 6 e ska sändas till dataskyddsombudet. Inom 15 arbetsdagar efter mottagandet ska dataskyddsombudet skicka ett mottagningsbevis till den person som har beställt utredningen och kontrollera om begäran ska behandlas konfidentiellt för att säkerställa att begäran behandlas konfidentiellt, såvida inte berörda registrerade ger sitt otvetydiga samtycke till att begäran behandlas på annat sätt. Vid uppenbart missbruk av rätten att begära en utredning är dataskyddsombudet inte skyldigt att rapportera tillbaka till den begärande.
            
            
               2.   Dataskyddsombudet ska begära ett skriftligt utlåtande i ärendet från den delegerade personuppgiftsansvarige som ansvarar för den berörda uppgiftsbehandlingen. Den delegerade personuppgiftsansvarige ska lämna sitt svar till dataskyddsombudet inom 15 arbetsdagar. Dataskyddsombudet får inom 15 arbetsdagar begära kompletterande information från den delegerade personuppgiftsansvarige, personuppgiftsbiträdet eller andra parter.
            
            
               3.   Dataskyddsombudet ska rapportera tillbaka till den person som begärt utredningen senast tre månader efter mottagandet av begäran. Denna period kan tillfälligt upphöra att löpa i avvaktan på att dataskyddsombudet erhåller all erforderlig information som begärts.
            
            
               4.   Ingen ska lida förfång för att ha uppmärksammat dataskyddsombudet på en påstådd överträdelse av bestämmelserna i förordning (EU) 2018/1725.
            
         
         
            Artikel 12
            Administration och förvaltning
            
               1.   Dataskyddsombudet ska administrativt höra till generalsekretariatet. I detta sammanhang ska dataskyddsombudet delta i utformningen av generalsekretariatets årliga förvaltningsplan och preliminära budgetförslag.
            
            
               2.   Dataskyddsombudet ska vara den tjänsteman som ansvarar för rapportering för dataskyddsmyndighetens personal. Vice generalsekreteraren ska vara den kontrasignerande tjänstemannen. Dataskyddsombudet ska delta i samordningen av generalsekretariatets förvaltning när så är lämpligt.
            
         
         KAPITEL 5
         
            BEGRÄNSNING AV DEN REGISTRERADES RÄTTIGHETER
         
         
            Artikel 13
            Tillämpliga undantag och begränsningar
            
               1.   När kommissionen utövar sina skyldigheter avseende de registrerades rättigheter i enlighet med förordning (EU) 2018/1725 ska den överväga om några av de undantag som anges i den förordningen är tillämpliga.
            
            
               2.   Om inte annat följer av artiklarna 14–18 i detta beslut får kommissionen begränsa tillämpningen av artiklarna 14–17, 19, 20 och 35 i förordning (EU) 2018/1725, samt den princip om öppenhet som föreskrivs i artikel 4.1 a i den förordningen, i den mån dessa bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–17, 19 och 20 i förordning (EU) 2018/1725, där utövandet av sådana rättigheter och skyldigheter skulle äventyra syftet med dataskyddsombudets uppgifter, inbegripet genom att avslöja verktyg och metoder vid utredningar eller granskningar, eller skulle ha en negativ inverkan på andra registrerades rättigheter och friheter i enlighet med artikel 25.1 c, g och h.
            
            
               3.   Om inte annat följer av artiklarna 14–18 i detta beslut får kommissionen begränsa de rättigheter och skyldigheter som avses i punkt 2 i denna artikel när det gäller personuppgifter som dataskyddsombudet erhållit från kommissionens avdelningar eller andra unionsinstitutioner och unionsorgan. Kommissionen får göra det om utövandet av dessa rättigheter och skyldigheter skulle kunna begränsas av kommissionens avdelningar, unionens institutioner eller organ på grundval av andra rättsakter som föreskrivs i artikel 25 i förordning (EU) 2018/1725 eller i enlighet med kapitel IX i den förordningen eller i enlighet med Europaparlamentets och rådets förordning (EU) 2016/794 (6) eller rådets förordning (EU) 2017/1939 (7).
               Innan kommissionen tillämpar begränsningar i de fall som avses i första stycket ska den samråda med unionens berörda institutioner eller organ, om det inte är uppenbart för kommissionen att tillämpningen av en begränsning fastställs i en av de akter som det hänvisas till i det stycket.
            
            
               4.   Alla begränsningar av tillämpningen av rättigheter och skyldigheter, som avses i punkt 2 i denna artikel, ska vara nödvändiga och proportionella med hänsyn till de registrerades rättigheter och friheter.
            
         
         
            Artikel 14
            Tillhandahållande av information till registrerade
            
               1.   Kommissionen ska på sin webbplats offentliggöra ett dataskyddsmeddelande som informerar alla registrerade om dataskyddsombudets uppgifter som innebär behandling av deras personuppgifter.
            
            
               2.   Kommissionen ska i lämplig form enskilt informera varje fysisk person som den anser vara en person som berörs av dataskyddsombudets uppgifter eller en uppgiftslämnare.
            
            
               3.   Om kommissionen helt eller delvis begränsar tillhandahållande av information till registrerade, såsom avses i punkt 2, ska den dokumentera och registrera skälen till begränsningen i enlighet med artikel 17.
            
         
         
            Artikel 15
            Registrerades rätt till tillgång, rätt till radering och rätt till begränsning av behandling
            
               1.   Om kommissionen på det sätt som avses i artikel 17, 19 respektive 20 i förordning (EU) 2018/1725 helt eller delvis begränsar den registrerades rätt till tillgång till personuppgifter eller rätt till radering eller rätt till begränsning av behandling, ska kommissionen i sitt svar på den registrerades begäran om tillgång, radering eller begränsning av behandlingen upplysa denne om vilken begränsning som tillämpas och de huvudsakliga skälen till detta, samt om möjligheterna att inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.
            
            
               2.   Tillhandahållandet av information om skälen till den begränsning som avses i punkt 1 får skjutas upp, utelämnas eller nekas så länge som detta skulle kunna undergräva syftet med begränsningen.
            
            
               3.   Kommissionen ska dokumentera och registrera skälen till begränsningen i enlighet med artikel 17.
            
            
               4.   Om rätten till tillgång helt eller delvis begränsas, har den registrerade rätt att utöva sin rätt till tillgång via Europeiska datatillsynsmannen, i enlighet med artikel 25.6, 25.7 och 25.8 i förordning (EU) 2018/1725.
            
         
         
            Artikel 16
            Information till den registrerade om en personuppgiftsincident
            Om kommissionen begränsar informationen om en personuppgiftsincident till den registrerade, såsom avses i artikel 35 i förordning (EU) 2018/1725, ska den dokumentera och registrera skälen till begränsningen i enlighet med artikel 17 i detta beslut.
         
         
            Artikel 17
            Dokumentation och registrering av begränsningar
            
               1.   Kommissionen ska dokumentera skälen till varje begränsning som tillämpas i enlighet med detta beslut, inbegripet en bedömning från fall till fall av behovet av begränsningen och dess proportionalitet, med beaktande av relevanta delar av artikel 25.2 i förordning (EU) 2018/1725.
               I dokumentationen ska anges hur utövandet av rättigheten skulle kunna äventyra syftet med dataskyddsombudets uppgifter enligt detta beslut, eller syftet med de begränsningar som tillämpas i enlighet med artikel 13.2 eller 13.3, eller ha en negativ inverkan på andra registrerades rättigheter och friheter.
            
            
               2.   Dokumentationen och, i tillämpliga fall, handlingarna som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran göras tillgängliga för Europeiska datatillsynsmannen.
            
         
         
            Artikel 18
            Begränsningarnas varaktighet
            
               1.   De begränsningar som avses i artiklarna 14, 15 och 16 ska fortsätta tillämpas så länge de skäl som ligger till grund för dem föreligger.
            
            
               2.   Om skälen till en sådan begränsning som avses i artikel 14 eller 16 inte längre föreligger, ska kommissionen upphäva begränsningen och uppge skälen till begränsningen till den registrerade. Samtidigt ska kommissionen informera den registrerade om möjligheten att när som helst inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.
            
            
               3.   Kommissionen ska se över tillämpningen av de begränsningar som avses i artiklarna 14 och 16 var sjätte månad från det att de antagits samt under alla omständigheter vid avslutandet av dataskyddsombudets aktuella verksamhet. Därefter ska kommissionen på årsbasis kontrollera behovet av att behålla en eventuell begränsning eller ett eventuellt uppskjutande.
            
         
         
            Artikel 19
            Dataskyddsombudets översyn
            
               1.   Om andra avdelningar inom kommissionen kommer fram till att en registrerads rättigheter bör begränsas i enlighet med detta beslut, ska de informera dataskyddsombudet. De ska också ge dataskyddsombudet tillgång till dokumentationen och alla handlingar som innehåller underliggande faktiska och rättsliga omständigheter.
            
            
               2.   Dataskyddsombudet får begära att den delegerade personuppgiftsansvarige för den berörda avdelningen inom kommissionen ser över tillämpningen av begränsningarna. Den delegerade personuppgiftsansvarige för den berörda avdelningen inom kommissionen ska skriftligen underrätta dataskyddsombudet om resultatet av den begärda översynen.
            
         
         KAPITEL 6
         
            SLUTBESTÄMMELSER
         
         
            Artikel 20
            Upphävande
            Beslut 2008/597/EG ska upphöra att gälla.
         
         
            Artikel 21
            Ikraftträdande
            Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.
         
         
            Utfärdat i Bryssel den 3 juli 2020.
            
               
                  På kommissionens vägnar
               
               Ursula VON DER LEYEN
               
                  Ordförande
               
            
         
         
            (1)  EUT L 295, 21.11.2018, s. 39.
         
            (2)  SEC(2019) 900/2.
         
            (3)  Kommissionens beslut 2008/597/EG av den 3 juni 2008 om antagande av genomförandebestämmelser avseende uppgiftsskyddsombudet i enlighet med artikel 24.8 i förordning (EG) nr 45/2001 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EUT L 193, 22.7.2008, s. 7).
         
            (4)  Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, 12.1.2001, s. 1).
         
            (5)  Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar (EGT L 145, 31.5.2001, s. 43).
         
            (6)  Europaparlamentets och rådets förordning (EU) 2016/794 av den 11 maj 2016 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF (EUT L 135, 24.5.2016, s. 53).
         
            (7)  Rådets förordning (EU) 2017/1939 av den 12 oktober 2017 om genomförande av fördjupat samarbete om inrättande av Europeiska åklagarmyndigheten (EUT L 283, 31.10.2017, s. 1).