CELEX: 32020Q0424(01)
Language: da
Date: 2019-09-10 00:00:00
Title: Afgørelse fra bestyrelsen for Agenturet for Støtte til BEREC (BEREC-kontoret) af 10. september 2019 om interne regler for anvendelse af begrænsninger på visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i aktiviteter, der udføres af BEREC-kontoret

24.4.2020   
               
               
                  DA
               
               
                  Den Europæiske Unions Tidende
               
               
                  L 130/28
               
            
         AFGØRELSE FRA BESTYRELSEN FOR AGENTURET FOR STØTTE TIL BEREC (BEREC-KONTORET)
         af 10. september 2019
         om interne regler for anvendelse af begrænsninger på visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i aktiviteter, der udføres af BEREC-kontoret
         BESTYRELSEN HAR —
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1971 af 11. december 2018 om oprettelse af Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC) og Agenturet for Støtte til BEREC (BEREC-kontoret), om ændring af forordning (EU) 2015/2120 og om ophævelse af forordning (EF) nr. 1211/2009 (1), særligt artikel 36, stk. 4,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (2) (forordningen), særligt artikel 25, og
         ud fra følgende betragtninger:
         
                     (1)
                  
                  
                     BEREC-kontoret kan inden for rammerne af sin funktion foretage administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer på grundlag af bilag IX i vedtægten for tjenestemænd i Den Europæiske Union og ansættelsesvilkårene for de øvrige ansatte i Den Europæiske Union (3) og i overensstemmelse med afgørelse MC/2012/3 fra forvaltningsudvalget for Støttekontoret for Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC-kontoret) om almindelige gennemførelsesbestemmelser om gennemførelse af administrative undersøgelser og disciplinærsager, hvilket indebærer behandling af oplysninger, herunder personoplysninger.
                  
               
                     (2)
                  
                  
                     BEREC-kontorets ansatte er forpligtet til at indberette eventuelle ulovlige aktiviteter, herunder svig eller korruption, som er til skade for Unionens interesser, eller adfærd under udførelse af arbejdsopgaver, som kan være en alvorlig tilsidesættelse af de forpligtelser, der påhviler Unionens ansatte. Dette er fastsat i afgørelse nr. MC/2018/11 fra forvaltningsudvalget for Støttekontoret for Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC-kontoret) om BEREC-kontorets retningslinjer for whistleblowing.
                  
               
                     (3)
                  
                  
                     BEREC-kontoret har fastlagt en politik, der skal forebygge og effektivt behandle faktiske eller potentielle tilfælde af psykisk eller seksuel chikane på arbejdspladsen, jf. afgørelse nr. MC/2016/15 fra forvaltningssudvalget for Støttekontoret for Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC-kontoret) om politikken om beskyttelse af menneskers værdighed og forebyggelse af psykisk og seksuel chikane.
                  
               
                     (4)
                  
                  
                     Inden for rammerne af ovennævnte aktiviteter indsamler og behandler BEREC-kontoret relevante oplysninger og flere kategorier af personoplysninger, herunder information til identifikation af fysiske personer, kontaktoplysninger, information om arbejdsroller og -opgaver, information om indsats og adfærd i jobfunktioner og i privatlivet samt finansielle oplysninger BEREC-kontoret fungerer som dataregisteransvarlig.
                  
               
                     (5)
                  
                  
                     Der er indført tilstrækkelige sikkerhedsforanstaltninger til at beskytte personoplysninger og forhindre utilsigtet eller ulovlig adgang eller videregivelse, både hvis de opbevares i et fysisk og i et elektronisk miljø. Efter behandlingen opbevares dataene i overensstemmelse med BEREC-kontorets gældende regler om dataopbevaring i fortegnelser over behandlingsaktiviteter, som er baseret på artikel 31 i forordningen. Ved udløbet af opbevaringsperioden slettes, anonymiseres eller overføres de sagsrelaterede oplysninger, herunder personoplysninger, til de historiske arkiver.
                  
               
                     (6)
                  
                  
                     I den forbindelse er BEREC-kontoret forpligtet til at give de registrerede oplysninger om ovennævnte behandlingsaktiviteter og respektere de registreredes rettigheder som fastsat i forordningen.
                  
               
                     (7)
                  
                  
                     Det kan være nødvendigt at forene de registreredes rettigheder i henhold til forordningen med behovene i forbindelse med ovennævnte aktiviteter samt at sikre, at andre registreredes grundlæggende rettigheder og frihedsrettigheder overholdes fuldt ud. I den forbindelse giver forordningens artikel 25 på strenge betingelser mulighed for at begrænse anvendelsen af artikel 14-20, artikel 35 og artikel 36 samt artikel 4, for så vidt som dens bestemmelser svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-20. I så fald er det nødvendigt at vedtage interne regler, i henhold til hvilke BEREC-kontoret kan begrænse disse rettigheder i overensstemmelse med samme artikel i forordningen.
                  
               
                     (8)
                  
                  
                     Dette kan især være tilfældet, når der skal gives oplysninger om behandlingen af personoplysninger til den registrerede i den indledende vurderingsfase af en administrativ undersøgelse eller i løbet af selve undersøgelsen, forud for en eventuel henlæggelse af sagen eller en disciplinær fase. Under visse omstændigheder kan det i alvorlig grad berøre BEREC-kontorets evne til at gennemføre undersøgelsen på en effektiv måde, hvis der f.eks. er risiko for, at den pågældende person tilintetgør bevismateriale eller påvirker potentielle vidner, inden de afhøres. BEREC-kontoret kan desuden blive nødt til at beskytte deres rettigheder og friheder samt andre involverede personers rettigheder og friheder.
                  
               
                     (9)
                  
                  
                     Det kan være nødvendigt at beskytte fortroligheden i forhold til et vidne eller en whistleblower, der har anmodet om ikke at blive identificeret. I så fald kan BEREC-kontoret beslutte at begrænse adgangen til whistleblowerens og andre involverede personers identitet, erklæringer og andre personoplysninger for at beskytte deres rettigheder og friheder.
                  
               
                     (10)
                  
                  
                     Det kan være nødvendigt at beskytte fortroligheden i forhold til en ansat, der har kontaktet BEREC-kontorets fortrolige rådgivere i forbindelse med en procedure vedrørende chikane. BEREC-kontoret kan i så fald beslutte at begrænse adgangen til identiteten af det formodede offer, den formodede chikanør og andre involverede personer samt til erklæringer og andre personoplysninger, der vedrører dem, for at beskytte deres rettigheder og friheder.
                  
               
                     (11)
                  
                  
                     BEREC-kontoret bør kun anvende begrænsninger, når de respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund. BEREC-kontoret bør fremlægge en begrundelse, der forklarer årsagerne til disse begrænsninger.
                  
               
                     (12)
                  
                  
                     Ud fra princippet om ansvarlighed bør BEREC-kontoret føre et register over anvendelsen af begrænsningerne.
                  
               
                     (13)
                  
                  
                     I henhold til artikel 25, stk. 6, i forordningen skal den registeransvarlige informere de registrerede om de vigtigste grunde til, at begrænsningen finder anvendelse, og om deres ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse (EDPS).
                  
               
                     (14)
                  
                  
                     I henhold til forordningens artikel 25, stk. 8, kan BEREC-kontoret udsætte, undlade eller afvise at underrette den registrerede om årsagerne til anvendelsen af en begrænsning, hvis underretning om disse oplysninger på nogen måde vil fratage begrænsningen dens virkning. BEREC-kontoret bør i hvert enkelt tilfælde vurdere, om det vil fratage begrænsningen dens virkning at underrette om den.
                  
               
                     (15)
                  
                  
                     BEREC-kontoret bør ophæve begrænsningen, så snart de omstændigheder, der ligger til grund for begrænsningen, ikke længere er til stede, og vurdere disse omstændigheder regelmæssigt.
                  
               
                     (16)
                  
                  
                     For at sikre den størst mulige beskyttelse af de registreredes rettigheder og friheder og i overensstemmelse med artikel 44, stk. 1, i forordningen bør den databeskyttelsesansvarlige underrettes i god tid om eventuelle begrænsninger, der anvendes, og kontrollere overensstemmelsen med denne afgørelse.
                  
               
                     (17)
                  
                  
                     Anvendelsen af ovennævnte begrænsninger berører ikke en eventuel anvendelse af bestemmelserne i artikel 16, stk. 5, og artikel 17, stk. 4, som vedrører henholdsvis retten til information, når der ikke er indhentet data fra den registrerede, og den registreredes ret til aktindsigt.
                  
               
                     (18)
                  
                  
                     Den Europæiske Tilsynsførende for Databeskyttelse (»EDPS«) blev hørt den 27. maj 2019 —
                  
               VEDTAGET DENNE AFGØRELSE:
         
            Artikel 1
            Genstand og anvendelsesområde
            Denne afgørelse indeholder bestemmelser om de betingelser, under hvilke BEREC-kontoret kan begrænse anvendelsen af artikel 14-20, artikel 35 og artikel 36 samt artikel 4 i henhold til forordningens artikel 25.
         
         
            Artikel 2
            Begrænsninger
            
               1.   I overensstemmelse med forordningens artikel 25, stk. 1, kan BEREC-kontoret begrænse anvendelsen af artikel 14-20, artikel 35 og artikel 36 samt artikel 4, for så vidt dens bestemmelser svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-20, når BEREC-kontoret
               
                           a)
                        
                        
                           gennemfører administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer på grundlag af bilag IX i vedtægten for tjenestemænd i Den Europæiske Union og i henhold til afgørelse nr. MC/2012/3 fra forvaltningsudvalget for Støttekontoret for Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC-kontoret) om almindelige gennemførelsesbestemmelser om gennemførelse af administrative undersøgelser og disciplinærsager, hvilket indebærer behandling af oplysninger, herunder personoplysninger. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra c), g), og h)
                        
                     
                           b)
                        
                        
                           sikrer, at BEREC-kontorets ansatte på fortrolig vis kan indberette faktiske forhold, når de mener, at der foreligger alvorlige uregelmæssigheder som fastlagt i afgørelse nr. MC/2018/11 fra forvaltningsudvalget for Støttekontoret for Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC-kontoret) om retningslinjer for whistleblowing. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra h)
                        
                     
                           c)
                        
                        
                           sikrer, at BEREC-kontorets ansatte på fortrolig vis kan rapportere til fortrolige rådgivere i forbindelse med procedurer vedrørende chikane som fastlagt i afgørelse nr. MC/2016/15 fra forvaltningsudvalget for Støttekontoret for Sammenslutningen af Europæiske Tilsynsmyndigheder inden for Elektronisk Kommunikation (BEREC-kontoret) om politikken for beskyttelse af personers værdighed samt forebyggelse af psykisk og seksuel chikane. De relevante begrænsninger kan være baseret på forordningens artikel 25, stk. 1, litra h).
                        
                     
            
               2.   Kategorierne af data omfatter information til identifikation af fysiske personer, kontaktoplysninger, information om arbejdsroller og -opgaver, information om indsats og adfærd i jobfunktioner og i privatlivet samt finansielle oplysninger.
            
            
               3.   Disse begrænsninger skal respektere det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund.
            
            
               4.   I hvert enkelt tilfælde skal der gennemføres nødvendigheds- og proportionalitetstest, inden der anvendes begrænsninger. Begrænsningerne anvendes kun, når det er strengt nødvendigt for at nå de fastsatte mål og under hensyntagen til risiciene for de registreredes rettigheder og frihedsrettigheder.
            
            
               5.   BEREC-kontoret fører af ansvarlighedshensyn en fortegnelse, hvori der redegøres for årsagen til de begrænsninger, der finder anvendelse, det relevante grundlag i stk. 1, der finder anvendelse, og resultatet af nødvendigheds- og proportionalitetstesten. Disse fortegnelser skal indgå i et ad hoc-register, som efter anmodning stilles til rådighed for EDPS. Der skal regelmæssigt stilles en rapport om anvendelsen af forordningens artikel 25 til rådighed.
            
         
         
            Artikel 3
            Risiciene for de registreredes rettigheder og frihedsrettigheder
            Vurderingen af risiciene for de rettigheder og friheder, der tilkommer de registrerede, hvis personoplysninger kan være omfattet af begrænsninger, samt opbevaringsperioden omhandles i fortegnelsen over de relevante behandlingsaktiviteter i overensstemmelse med forordningens artikel 31 og i givet fald i relevante konsekvensanalyser vedrørende databeskyttelse på grundlag af forordningens artikel 39.
         
         
            Artikel 4
            Opbevaringsperioder og garantier
            BEREC-kontoret skal gennemføre garantier for at undgå misbrug af eller ulovlig adgang til eller overførsel af personoplysninger, der kan være underlagt begrænsninger. Disse garantier skal omfatte tekniske og organisatoriske foranstaltninger og præciseres, når det er nødvendigt, i BEREC-kontorets interne afgørelser, procedurer og gennemførelsesbestemmelser. Garantierne skal omfatte:
            
                        a)
                     
                     
                        en passende definition af roller, ansvarsområder og proceduremæssige skridt
                     
                  
                        b)
                     
                     
                        hvis det er relevant, et sikkert elektronisk miljø, der forhindrer ulovlig eller utilsigtet adgang til eller overførsel af elektroniske data til uautoriserede personer
                     
                  
                        c)
                     
                     
                        sikker opbevaring og behandling af papirbaserede dokumenter, hvis det er relevant
                     
                  
                        d)
                     
                     
                        behørig overvågning af begrænsninger og en periodisk revision, som skal foretages mindst hver sjette måned. Der skal også foretages en revision, når væsentlige elementer i den foreliggende sag ændres. Begrænsningerne ophæves, så snart de omstændigheder, der begrunder dem, ikke længere gør sig gældende.
                     
                  
         
            Artikel 5
            Oplysninger til og evaluering foretaget af den databeskyttelsesansvarlige
            
               1.   BEREC-kontorets databeskyttelsesansvarlige underrettes uden unødig forsinkelse, hvis den registreredes rettigheder begrænses i overensstemmelse med denne afgørelse, og den databeskyttelsesansvarlige gives adgang til de registrerede oplysninger og alle de dokumenter, der indeholder underliggende faktiske eller retlige elementer.
            
            
               2.   Den databeskyttelsesansvarlige ved BEREC-kontoret kan anmode om, at anvendelsen af begrænsningen evalueres. BEREC-kontoret underretter skriftligt sin databeskyttelsesansvarlige om resultatet af den evaluering, der er anmodet om.
            
            
               3.   Inddragelsen af BEREC-kontorets databeskyttelsesansvarlige i begrænsningsproceduren, herunder udveksling af oplysninger, skal dokumenteres på en hensigtsmæssig måde.
            
         
         
            Artikel 6
            Oplysninger til registrerede om begrænsninger i deres rettigheder
            
               1.   De databeskyttelsesmeddelelser, som BEREC-kontoret offentliggør på sit websted, skal også omfatte generelle informationer til de registrerede om de potentielle begrænsninger af alle registreredes rettigheder, som er beskrevet i artikel 2, stk. 1. Oplysningerne skal omfatte, hvilke rettigheder der kan begrænses, grundlaget herfor og den mulige varighed af begrænsningen.
            
            
               2.   BEREC-kontoret underretter desuden de registrerede individuelt om nuværende eller fremtidige begrænsninger af deres rettigheder uden unødig forsinkelse og i skriftlig form, jf. de yderligere oplysninger, der er omhandlet i artikel 7, artikel 8 og artikel 9.
            
         
         
            Artikel 7
            Ret til oplysninger, der skal gives til registrerede, og meddelelser om brud på datasikkerheden
            
               1.   Hvis BEREC-kontoret i forbindelse med de aktiviteter, der er nævnt i denne afgørelse, helt eller delvist begrænser deres rettigheder som omhandlet i forordningens artikel 14-16 og artikel 35, skal de registrerede underrettes om de vigtigste årsager til anvendelsen af begrænsningen og om deres ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse og at indbringe sagen for Den Europæiske Unions Domstol.
            
            
               2.   BEREC-kontoret kan udsætte, udelade eller afvise at underrette den registrerede om årsagerne til at anvende den begrænsning, der er nævnt i stk. 1, så længe den vil ophæve virkningen af begrænsningen. Dette vurderes i hvert enkelt tilfælde.
            
         
         
            Artikel 8
            Registreredes ret til aktindsigt, berigtigelse, sletning og begrænsning af behandling
            
               1.   Hvis BEREC-kontoret i forbindelse med de aktiviteter, der er nævnt i denne afgørelse, helt eller delvis begrænser retten til indsigt i personoplysninger, retten til berigtigelse, sletning og begrænsning af behandling, jf. artikel 17-20 i forordningen, underretter BEREC-kontoret i sit svar på deres anmodning om det vigtigste grundlag for anvendelsen af begrænsningen og muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe sagen for Den Europæiske Unions Domstol.
            
            
               2.   BEREC-kontoret kan udsætte, udelade eller afvise at underrette den registrerede om årsagerne til anvendelsen af den begrænsning, der er nævnt i stk. 1, hvis det vil ophæve virkningen af begrænsningen. Dette vurderes i hvert enkelt tilfælde.
            
         
         
            Artikel 9
            Fortrolighed i forbindelse med elektronisk kommunikation
            
               1.   BEREC-kontoret kan under særlige omstændigheder og i overensstemmelse med bestemmelserne og formålet med Europa-Parlamentets og Rådets direktiv 2002/58/EF (4) begrænse retten til fortrolighed i forbindelse med elektronisk kommunikation, jf. forordningens artikel 36. BEREC-kontoret skal i så fald redegøre for de pågældende omstændigheder, begrundelser, relevante risici og tilknyttede garantier i specifikke interne regler.
            
            
               2.   Hvis BEREC-kontoret begrænser retten til fortrolighed i forbindelse med elektronisk kommunikation, skal det i sit svar på deres anmodning underrette de registrerede om det vigtigste grundlag for anvendelsen af begrænsningen og om muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe sagen for Den Europæiske Unions Domstol.
            
            
               3.   BEREC-kontoret kan udsætte, undlade eller afvise at underrette den registrerede om årsagerne til anvendelsen af den begrænsning, der er nævnt i stk. 1 og 2, så længe det vil ophæve virkningen af begrænsningen. Dette vurderes i hvert enkelt tilfælde.
            
         
         
            Artikel 10
            Ikrafttrædelse
            Denne afgørelse træder i kraft på dagen for offentliggørelsen i Den Europæiske Unions Tidende.
         
         
            Udfærdiget i Riga, den 10. september 2019.
            
               
                  På Agenturet for Støtte til BERECs vegne
               
               Jeremy GODFREY
               
                  Formand for bestyrelsen
               
            
         
         
            (1)  EUT L 321 af 17.12.2018, s. 1.
         
            (2)  EUT L 295 af 21.11.2018, s. 39.
         
            (3)  Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 af 29. februar 1968 om vedtægten for tjenestemænd i De europæiske Fællesskaber og om ansættelsesvilkårene for de øvrige ansatte i disse Fællesskaber samt om særlige midlertidige foranstaltninger for tjenestemænd i Kommissionen (EFT L 56 af 4.3.1968, s. 1).
         
            (4)  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201 af 31.7.2002, s. 37).