CELEX: 32020Q0831(01)
Language: nl
Date: 2019-12-11 00:00:00
Title: Besluit 2019/15 van de raad van bestuur van het Europees Agentschap voor de veiligheid en gezondheid op het werk van 11 december 2019 houdende interne voorschriften betreffende beperkingen van bepaalde rechten van betrokkenen in verband met de verwerking van hun persoonsgegevens in het kader van de werking van EU‐OSHA

31.8.2020   
               
               
                  NL
               
               
                  Publicatieblad van de Europese Unie
               
               
                  L 282/26
               
            
         BESLUIT 2019/15 VAN DE RAAD VAN BESTUUR VAN HET EUROPEES AGENTSCHAP VOOR DE VEILIGHEID EN GEZONDHEID OP HET WERK
         van 11 december 2019
         houdende interne voorschriften betreffende beperkingen van bepaalde rechten van betrokkenen in verband met de verwerking van hun persoonsgegevens in het kader van de werking van EU‐OSHA
         DE RAAD VAN BESTUUR VAN HET EUROPEES AGENTSCHAP VOOR DE VEILIGHEID EN GEZONDHEID OP HET WERK,
         Gezien het Verdrag betreffende de werking van de Europese Unie,
         Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1), en met name artikel 25,
         Gezien Verordening (EU) 2019/126 van het Europees Parlement en de Raad van 16 januari 2019 tot oprichting van het Europees Agentschap voor de veiligheid en de gezondheid op het werk (EU‐OSHA) en tot intrekking van Verordening (EG) nr. 2062/94 van de Raad (2),
         Gezien het reglement van orde van de raad van bestuur van EU‐OSHA,
         Gezien het advies van de Europese Toezichthouder voor gegevensbescherming (EDPS) van 17 oktober 2019 en het richtsnoer van de EDPS over artikel 25 van de nieuwe verordening en de interne voorschriften,
         Overwegende hetgeen volgt:
         
                     (1)
                  
                  
                     EU‐OSHA voert zijn activiteiten uit overeenkomstig Verordening (EU) 2019/126.
                  
               
                     (2)
                  
                  
                     Overeenkomstig artikel 25, lid 1, van Verordening (EU) 2018/1725 dienen beperkingen op de toepassing van de artikelen 14 tot en met 21, 35 en 36, en artikel 4 van die verordening, voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 21 voorzien, gebaseerd te zijn op door het Agentschap vast te stellen interne voorschriften, voor zover deze niet gebaseerd zijn op rechtshandelingen die op grond van de Verdragen zijn vastgesteld.
                  
               
                     (3)
                  
                  
                     Deze interne voorschriften, met inbegrip van de bepalingen betreffende de beoordeling van de noodzaak en de evenredigheid van een beperking, zijn niet van toepassing wanneer een op grond van de Verdragen vastgestelde rechtshandeling voorziet in een beperking van de rechten van de betrokkene.
                  
               
                     (4)
                  
                  
                     Wanneer het Agentschap zijn verplichtingen met betrekking tot de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 vervult, onderzoekt het of een van de in deze verordening vastgestelde uitzonderingen van toepassing is.
                  
               
                     (5)
                  
                  
                     In het kader van zijn administratieve werking kan het Agentschap administratieve onderzoeken instellen, tuchtprocedures inleiden, voorbereidende activiteiten verrichten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures verwerken, (formele en informele) procedures in verband met intimidatie verwerken, interne en externe klachten verwerken, interne audits uitvoeren, onderzoeken uitvoeren via de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 en interne (IT‐)veiligheidsonderzoeken verrichten. Daarnaast kan het Agentschap verzoeken behandelen tot inzage in het medisch dossier van personeelsleden.
                     Het Agentschap verwerkt verschillende categorieën van persoonsgegevens, waaronder harde gegevens (“objectieve” gegevens zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, gegevens uit specifieke bronnen, elektronische communicatie en verkeersgegevens) en/of zachte gegevens (“subjectieve” gegevens over een specifieke zaak, zoals bewijsvoering, gedragsgegevens, beoordelingen, prestatie- en gedragsgegevens en gegevens met betrekking tot of naar voren gebracht in verband met het onderwerp van de procedure of activiteit).
                  
               
                     (6)
                  
                  
                     Het Agentschap, vertegenwoordigd door zijn uitvoerend directeur, treedt op als verantwoordelijke voor de gegevensverwerking, ongeacht verdere delegaties van deze rol van verwerkingsverantwoordelijke binnen het Agentschap, teneinde de operationele verantwoordelijkheden voor specifieke verwerkingen van persoonsgegevens weer te geven.
                  
               
                     (7)
                  
                  
                     De persoonsgegevens worden veilig opgeslagen in een elektronische omgeving of op papier waarmee onrechtmatige toegang tot of doorgifte van gegevens aan personen die niet voldoen aan het “need-to-know”-criterium, wordt voorkomen. De medische dossiers worden opgeslagen door de arts van de externe dienstverlener die door het Agentschap wordt ingeschakeld. De verwerkte persoonsgegevens worden niet langer bewaard dan noodzakelijk, en passend voor de doeleinden van de gegevensverwerking, gedurende de periode die in de privacyverklaringen of het register inzake gegevensbescherming van het Agentschap is gespecificeerd.
                  
               
                     (8)
                  
                  
                     De interne voorschriften zijn van toepassing op alle verwerkingen door het Agentschap in het kader van zijn administratieve onderzoeken, tuchtprocedures, voorbereidende activiteiten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures, (formele en informele) procedures voor gevallen van intimidatie, verwerking van interne en externe klachten, interne audits, de onderzoeken die worden uitgevoerd door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2 van Verordening (EU) 2018/1725 en (IT‐)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld CERT‐EU) worden behandeld, evenals bij de behandeling van verzoeken tot inzage in het eigen medisch dossier.
                  
               
                     (9)
                  
                  
                     Ze zijn van toepassing op verwerkingen die vóór inleiding van voornoemde procedures plaatsvonden, tijdens deze procedures, en tijdens het toezicht op de follow-up van de uitkomst van deze procedures. Ze moeten ook bijstand en samenwerking bestrijken die het Agentschap buiten zijn administratieve onderzoeken biedt aan nationale autoriteiten en internationale organisaties.
                  
               
                     (10)
                  
                  
                     In de gevallen waarin deze interne voorschriften van toepassing zijn, moet het Agentschap motiveren waarom de beperkingen strikt noodzakelijk en evenredig zijn in een democratische samenleving en de wezenlijke inhoud van de grondrechten en fundamentele vrijheden eerbiedigen.
                  
               
                     (11)
                  
                  
                     Binnen dit kader is het Agentschap gehouden om de grondrechten van de betrokkenen tijdens voornoemde procedures zo veel mogelijk te respecteren, met name die welke betrekking hebben op het recht op informatieverstrekking, de toegang tot en rectificatie van gegevens, het recht op wissing, beperking van de verwerking, het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of de vertrouwelijkheid van de communicatie zoals vastgelegd in Verordening (EU) 2018/1725.
                  
               
                     (12)
                  
                  
                     Het Agentschap kan echter worden verplicht de informatie aan betrokkene en andere rechten van betrokkene te beperken om, in het bijzonder zijn eigen onderzoeken, en onderzoeken en procedures van andere overheidsinstanties te beschermen, evenals de rechten van andere personen in verband met zijn onderzoeken of andere procedures.
                  
               
                     (13)
                  
                  
                     Het Agentschap kan dus de informatie beperken met het oog op de bescherming van het onderzoek en de grondrechten en fundamentele vrijheden van andere betrokkenen.
                  
               
                     (14)
                  
                  
                     Het Agentschap moet regelmatig controleren of de voorwaarden die de beperking rechtvaardigen, nog van toepassing zijn en de beperking opheffen, als deze niet langer van toepassing zijn.
                  
               
                     (15)
                  
                  
                     De verwerkingsverantwoordelijke dient de functionaris voor gegevensbescherming op het moment van uitstel en tijdens de herzieningen op de hoogte te stellen,
                  
               HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
         
            Artikel 1
            Onderwerp en toepassingsgebied
            
               1.   Dit besluit stelt voorschriften vast met betrekking tot de voorwaarden waaronder het Agentschap in het kader van zijn procedures als bedoeld in lid 2, de toepassing van de rechten die zijn neergelegd in de artikelen 14 tot en met 21, 35 en 36, evenals artikel 4 daarvan, kan beperken overeenkomstig artikel 25 van Verordening (EU) 2018/1725.
            
            
               2.   In het kader van de administratieve werking van het Agentschap is dit besluit van toepassing op diens verwerking van persoonsgegevens met als doel: het instellen van administratieve onderzoeken, het inleiden van tuchtprocedures, het verrichten van voorbereidende activiteiten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, het verwerken van klokkenluidersprocedures, het verwerken van (formele en informele) procedures in verband met intimidatie, het verwerken van interne en externe klachten, het uitvoeren van interne audits en het uitvoeren van onderzoek via de functionaris voor gegevensbescherming in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT‐)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld CERT‐EU) worden behandeld, de inning van civielrechtelijke vorderingen, evenals de behandeling van verzoeken tot inzage in het eigen medisch dossier.
            
            
               3.   De betreffende gegevenscategorieën zijn harde gegevens (“objectieve” gegevens zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, gegevens uit specifieke bronnen, elektronische communicatie en verkeersgegevens) en/of zachte gegevens (“subjectieve” gegevens over een specifieke zaak zoals bewijsvoering, gedragsgegevens, beoordelingen, prestatie- en gedragsgegevens en gegevens met betrekking tot of naar voren gebracht in verband met het onderwerp van de procedure of activiteit).
            
            
               4.   Wanneer het Agentschap zijn verplichtingen met betrekking tot de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 vervult, onderzoekt het of een van de in deze verordening vastgestelde uitzonderingen van toepassing is.
            
            
               5.   Onder voorbehoud van de voorwaarden van dit besluit kunnen de beperkingen van toepassing zijn op de volgende rechten: verstrekking van informatie aan betrokkenen, recht van toegang, rectificatie, wissing, beperking van de verwerking, mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of vertrouwelijkheid van communicatie.
            
         
         
            Artikel 2
            Specificatie van de verwerkingsverantwoordelijke en beveiliging
            
               1.   De waarborgen die zijn ingebouwd om inbreuken, lekken of ongeoorloofde bekendmaking van gegevens te voorkomen, zijn de volgende:
               
                           a)
                        
                        
                           papieren documenten worden bewaard in beveiligde kasten en zijn alleen toegankelijk voor bevoegd personeel;
                        
                     
                           b)
                        
                        
                           alle elektronische gegevens worden opgeslagen in een beveiligde IT-toepassing volgens de beveiligingsnormen van het Agentschap, evenals in specifieke elektronische mappen die alleen toegankelijk zijn voor geautoriseerd personeel. Passende toegangsniveaus worden individueel toegekend;
                        
                     
                           c)
                        
                        
                           de database wordt beveiligd met een wachtwoord via één enkel aanmeldsysteem en wordt automatisch verbonden met het ID en het wachtwoord van de gebruiker. Het is strikt verboden om gebruikers te vervangen. E‐records worden veilig bewaard om de vertrouwelijkheid en privacy van de gegevens te waarborgen;
                        
                     
                           d)
                        
                        
                           de arts van de externe dienstverlener die de medische dossiers opslaat is gebonden aan specifieke contractbepalingen over de vertrouwelijkheid en de verwerking van persoonsgegevens;
                        
                     
                           e)
                        
                        
                           alle personen die toegang hebben tot de gegevens zijn gebonden aan een geheimhoudingsplicht.
                        
                     
            
               2.   De verantwoordelijke voor de verwerking is het Agentschap, vertegenwoordigd door zijn uitvoerend directeur, die de functie van de verwerkingsverantwoordelijke kan delegeren. De betrokkenen worden door middel van de op de website en/of het intranet van het Agentschap gepubliceerde privacyverklaringen of het register inzake gegevensbescherming in kennis gesteld van de gedelegeerde verantwoordelijke voor de verwerking.
            
            
               3.   De in artikel 1, lid 3, bedoelde persoonsgegevens worden niet langer bewaard dan noodzakelijk en passend is voor de doeleinden waarvoor de gegevens worden verwerkt. In geen geval worden zij langer bewaard dan de bewaringstermijn die is aangegeven in de privacyverklaringen of het register inzake gegevensbescherming vermeld in artikel 5, lid 1.
            
            
               4.   Wanneer het Agentschap overweegt een beperking in te stellen, wordt het risico voor de rechten en vrijheden van de betrokkene in het bijzonder afgewogen tegen het risico voor de rechten en vrijheden van andere betrokkenen en het risico van teloorgang van het effect van de onderzoeken of procedures van het Agentschap, bijvoorbeeld door het vernietigen van bewijsmateriaal. De risico’s voor de rechten en vrijheden van de betrokkene hebben voornamelijk betrekking op, maar zijn niet beperkt tot, reputatieschade en het recht zich te verdedigen en het recht om gehoord te worden.
            
         
         
            Artikel 3
            Beperkingen
            
               1.   Beperkingen mogen door het Agentschap alleen worden toegepast ter waarborging van:
               
                           a)
                        
                        
                           de nationale veiligheid, de openbare veiligheid of de defensie van de lidstaten;
                        
                     
                           b)
                        
                        
                           het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten of het ten uitvoer leggen van straffen, met inbegrip van het beschermen tegen en voorkomen van gevaren voor de openbare veiligheid;
                        
                     
                           c)
                        
                        
                           andere belangrijke doelstellingen van algemeen belang van de Unie of van een lidstaat, met name de doelstellingen van het gemeenschappelijk buitenlands en veiligheidsbeleid van de Unie of een belangrijk economisch of financieel belang van de Unie of van een lidstaat, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden, volksgezondheid en sociale zekerheid;
                        
                     
                           d)
                        
                        
                           de interne veiligheid van de instellingen en organen van de Unie, met inbegrip van die van hun elektronische communicatienetwerken;
                        
                     
                           e)
                        
                        
                           het voorkomen, onderzoeken, opsporen en vervolgen van schendingen van de beroepscodes voor gereglementeerde beroepen;
                        
                     
                           f)
                        
                        
                           een taak op het gebied van toezicht, inspectie of regelgeving die verband houdt, al is het incidenteel, met de uitoefening van het openbaar gezag in de gevallen als bedoeld onder a), b) en c);
                        
                     
                           g)
                        
                        
                           de bescherming van de betrokkene of van de rechten en vrijheden van anderen;
                        
                     
                           h)
                        
                        
                           de inning van civielrechtelijke vorderingen.
                        
                     
            
               2.   Als een specifieke toepassing van de in lid 1 beschreven doeleinden kan het Agentschap beperkingen opleggen met betrekking tot persoonsgegevens die worden uitgewisseld met de diensten van de Commissie of andere instellingen, organen en instanties van de Unie, bevoegde autoriteiten van lidstaten of derde landen of internationale organisaties, in de volgende situaties:
               
                           a)
                        
                        
                           wanneer de uitoefening van deze rechten en verplichtingen kan worden beperkt door diensten van de Commissie of andere instellingen, organen en instanties van de Unie op grond van andere handelingen bedoeld in artikel 25 van Verordening (EU) 2018/1725 of overeenkomstig hoofdstuk IX van die verordening of in de oprichtingshandelingen van andere instellingen, organen en instanties van de Unie;
                        
                     
                           b)
                        
                        
                           wanneer de uitoefening van deze rechten en verplichtingen kan worden beperkt door de bevoegde autoriteiten van de lidstaten op basis van handelingen als bedoeld in artikel 23 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (3), of krachtens nationale maatregelen ter omzetting van artikel 13, lid 3, artikel 15, lid 3, of artikel 16, lid 3, van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (4);
                        
                     
                           c)
                        
                        
                           wanneer de uitoefening van die rechten en verplichtingen de samenwerking van het Agentschap met derde landen of internationale organisaties bij de uitvoering van zijn taken in gevaar zou kunnen brengen.
                        
                     Alvorens beperkingen op te leggen in de situaties als bedoeld in de eerste alinea, onder a) en b), raadpleegt het Agentschap de betrokken diensten van de Commissie, instellingen, organen of instanties van de Unie of de bevoegde autoriteiten van de lidstaten, tenzij het voor het Agentschap duidelijk is dat een van de in die punten genoemde handelingen de toepassing van een beperking toelaat.
            
            
               3.   Elke beperking dient noodzakelijk en evenredig te zijn, waarbij rekening wordt gehouden met de risico’s voor de rechten en vrijheden van betrokkenen en de essentie van de fundamentele rechten en vrijheden in een democratische samenleving onverlet wordt gelaten.
            
            
               4.   Als een beperking wordt overwogen, wordt een noodzakelijkheids- en evenredigheidsonderzoek verricht op basis van onderhavige voorschriften. Ieder geval wordt voor verantwoordingsdoeleinden gedocumenteerd in een interne beoordelingsnota.
            
            
               5.   Beperkingen worden opgeheven zodra de omstandigheden die deze rechtvaardigen niet meer van toepassing zijn. Dit geldt in het bijzonder wanneer wordt geoordeeld dat de uitoefening van het beperkte recht het effect van de opgelegde beperking niet langer zou opheffen of de rechten of vrijheden van andere betrokkenen zou schaden.
            
         
         
            Artikel 4
            Beoordeling door de functionaris voor gegevensbescherming
            
               1.   Het Agentschap informeert zijn functionaris voor gegevensbescherming onverwijld wanneer de verwerkingsverantwoordelijke (“de DPO”) de toepassing van rechten van betrokkenen beperkt of de beperking verlengt overeenkomstig dit besluit. De verwerkingsverantwoordelijke geeft de DPO toegang tot het registratiedossier met de beoordeling van de noodzaak en evenredigheid van de beperking en legt in het registratiedossier de datum vast waarop de DPO is geïnformeerd.
            
            
               2.   De DPO kan de verwerkingsverantwoordelijke schriftelijk verzoeken de toepassing van de beperkingen opnieuw te beoordelen. De verwerkingsverantwoordelijke stelt de DPO schriftelijk op de hoogte van de uitkomst van de gevraagde beoordeling.
            
            
               3.   De verwerkingsverantwoordelijke informeert de functionaris voor gegevensbescherming wanneer de beperking is opgeheven.
            
         
         
            Artikel 5
            Verstrekking van informatie aan de betrokkene
            
               1.   In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op informatie beperken in het kader van de volgende verwerkingen:
               
                           a)
                        
                        
                           het uitvoeren van administratieve onderzoeken en tuchtprocedures;
                        
                     
                           b)
                        
                        
                           voorbereidende activiteiten in verband met gevallen van mogelijke onregelmatigheden die bij OLAF werden gemeld;
                        
                     
                           c)
                        
                        
                           klokkenluidersprocedures;
                        
                     
                           d)
                        
                        
                           (formele en informele) procedures voor gevallen van intimidatie;
                        
                     
                           e)
                        
                        
                           de behandeling van interne en externe klachten;
                        
                     
                           f)
                        
                        
                           interne audits;
                        
                     
                           g)
                        
                        
                           de door de functionaris verrichte onderzoeken in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725;
                        
                     
                           h)
                        
                        
                           (IT‐)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT‐EU).
                        
                     Het Agentschap neemt in de privacyverklaringen of het register inzake gegevensbescherming in de zin van artikel 31 van Verordening (EU) 2018/1725, die op zijn website en/of op het intranet zijn gepubliceerd, waarin betrokkenen worden geïnformeerd over hun rechten in het kader van een bepaalde procedure, neemt het Agentschap informatie op over mogelijke beperkingen van deze rechten. De informatie heeft betrekking op de rechten die kunnen worden beperkt, de redenen hiervoor en de mogelijke duur ervan.
            
            
               2.   Onverminderd het bepaalde in lid 3 stelt het Agentschap, indien dit evenredig is, alle betrokkenen die bij de specifieke verwerking betrokken zijn, onverwijld individueel in kennis van hun rechten met betrekking tot bestaande of toekomstige beperkingen, zonder onnodige vertraging en in schriftelijke vorm.
            
            
               3.   Indien het Agentschap de verstrekking van informatie aan de in lid 2 bedoelde betrokkenen geheel of gedeeltelijk beperkt, registreert het de redenen voor de beperking, de rechtsgrond overeenkomstig artikel 3 van dit besluit, met inbegrip van een beoordeling van de noodzaak en de evenredigheid van de beperking.
               De aantekening en, indien van toepassing, de documenten met onderliggende feitelijke en juridische elementen worden geregistreerd. Ze worden desgevraagd aan de Europese Toezichthouder voor gegevensbescherming verstrekt.
            
            
               4.   De in lid 3 bedoelde beperking blijft van toepassing zolang de redenen die deze rechtvaardigen blijven bestaan.
               Wanneer de redenen voor de beperking niet langer van toepassing zijn, verstrekt het Agentschap de betrokkene informatie over de voornaamste redenen waarop de toepassing van een beperking is gebaseerd. Tegelijkertijd stelt het Agentschap de betrokkene in kennis van het recht om te allen tijde een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of om beroep in te stellen bij het Hof van Justitie van de Europese Unie.
               Het Agentschap evalueert de toepassing van de beperking om de zes maanden, na de vaststelling ervan en bij de afsluiting van het desbetreffende onderzoek, de desbetreffende procedure of het desbetreffende onderzoek. Daarna controleert de verwerkingsverantwoordelijke elke zes maanden of het nodig is om de beperkingen te handhaven.
            
         
         
            Artikel 6
            Recht van inzage door de betrokkene
            
               1.   In naar behoren gemotiveerde gevallen en onder de voorwaarden van dit besluit kan de verwerkingsverantwoordelijke het recht op toegang waar noodzakelijk en evenredig in het kader van de volgende verwerkingsactiviteiten beperken:
               
                           a)
                        
                        
                           het uitvoeren van administratieve onderzoeken en tuchtprocedures;
                        
                     
                           b)
                        
                        
                           voorbereidende activiteiten in verband met gevallen van mogelijke onregelmatigheden die bij OLAF werden gemeld;
                        
                     
                           c)
                        
                        
                           klokkenluidersprocedures;
                        
                     
                           d)
                        
                        
                           (formele en informele) procedures voor gevallen van intimidatie;
                        
                     
                           e)
                        
                        
                           de behandeling van interne en externe klachten;
                        
                     
                           f)
                        
                        
                           interne audits;
                        
                     
                           g)
                        
                        
                           de door de functionaris verrichte onderzoeken in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725;
                        
                     
                           h)
                        
                        
                           (IT‐)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT‐EU).
                        
                     
                           i)
                        
                        
                           behandeling van verzoeken tot inzage in het eigen medisch dossier.
                        
                     Wanneer betrokkenen overeenkomstig artikel 17 van Verordening (EU) 2018/1725 verzoeken om inzage in hun persoonsgegevens die in het kader van een of meer specifieke gevallen of een specifieke behandeling worden verwerkt, beperkt het Agentschap zijn beoordeling van het verzoek tot die persoonsgegevens.
            
            
               2.   Wanneer het Agentschap het recht van inzage als bedoeld in artikel 17 van Verordening (EU) 2018/1725 geheel of gedeeltelijk beperkt, neemt het de volgende maatregelen:
               
                           a)
                        
                        
                           het stelt in zijn antwoord op het verzoek de betrokkene in kennis van de opgelegde beperking, van de belangrijkste redenen daarvoor en van de mogelijkheid om bij de Europese Toezichthouder voor gegevensbescherming een klacht in te dienen of bij het Hof van Justitie van de Europese Unie beroep in te stellen;
                        
                     
                           b)
                        
                        
                           het vermeldt in een interne beoordeling de redenen voor de beperking, met inbegrip van een beoordeling van de noodzaak, de evenredigheid van de beperking en de duur ervan.
                        
                     De beperkingen die worden opgelegd met betrekking tot de inzage van het eigen medisch dossier, hebben slechts betrekking op verzoeken om directe toegang tot persoonlijke medische gegevens van psychologische of psychiatrische aard, wanneer het waarschijnlijk is dat de inzage van deze gegevens een risico voor de gezondheid van de betrokkene oplevert. Deze beperking moet in verhouding staan tot hetgeen strikt noodzakelijk is voor de bescherming van de betrokkene. De inzage van deze informatie wordt verleend via een door de betrokkene gekozen arts als tussenpersoon. Deze arts moet alle informatie kunnen inzien en de discretionaire bevoegdheid hebben om te beslissen op welke manier de betrokkene inzage wordt gegeven, en in welke informatie.
               De verstrekking van de onder a) bedoelde informatie kan overeenkomstig artikel 25, lid 8, van Verordening (EU) 2018/1725 worden uitgesteld, achterwege gelaten of geweigerd als daardoor de gevolgen van de beperking teniet zouden worden gedaan.
               Het Agentschap evalueert de toepassing van de beperking om de zes maanden vanaf de invoering ervan en ook bij de afsluiting van het betrokken onderzoek. Daarna controleert de verwerkingsverantwoordelijke elke zes maanden of het nodig is om de beperkingen te handhaven.
            
            
               3.   De aantekening en, indien van toepassing, de documenten met onderliggende feitelijke en juridische elementen worden geregistreerd. Ze worden desgevraagd aan de Europese Toezichthouder voor gegevensbescherming verstrekt.
            
         
         
            Artikel 7
            Recht op rectificatie, wissing en beperking van de verwerking
            
               1.   In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op rectificatie, wissing en beperking indien noodzakelijk en passend beperken in het kader van de volgende verwerkingen:
               
                           a)
                        
                        
                           het uitvoeren van administratieve onderzoeken en tuchtprocedures;
                        
                     
                           b)
                        
                        
                           voorbereidende activiteiten in verband met gevallen van mogelijke onregelmatigheden die bij OLAF werden gemeld;
                        
                     
                           c)
                        
                        
                           klokkenluidersprocedures;
                        
                     
                           d)
                        
                        
                           (formele en informele) procedures voor gevallen van intimidatie;
                        
                     
                           e)
                        
                        
                           de behandeling van interne en externe klachten;
                        
                     
                           f)
                        
                        
                           interne audits;
                        
                     
                           g)
                        
                        
                           de door de functionaris verrichte onderzoeken in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725;
                        
                     
                           h)
                        
                        
                           (IT‐)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT‐EU).
                        
                     
            
               2.   Wanneer het Agentschap de toepassing van het recht op rectificatie, wissing en beperking van verwerking als bedoeld in de artikel 18, artikel 19, lid 1, en artikel 20, lid 1, van Verordening (EU) 2018/1725 geheel of gedeeltelijk beperkt, neemt het de in artikel 6, lid 2, van dit besluit genoemde maatregelen om het dossier te registreren overeenkomstig artikel 6, lid 3, van die verordening.
            
         
         
            Artikel 8
            Mededeling aan de betrokkene van een inbreuk op persoonsgegevens en vertrouwelijkheid van elektronische communicatie
            
               1.   In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op mededeling van een inbreuk in verband met persoonsgegevens waar noodzakelijk en passend beperken in het kader van de volgende verwerkingen:
               
                           a)
                        
                        
                           het uitvoeren van administratieve onderzoeken en tuchtprocedures;
                        
                     
                           b)
                        
                        
                           voorbereidende activiteiten in verband met gevallen van mogelijke onregelmatigheden die bij OLAF werden gemeld;
                        
                     
                           c)
                        
                        
                           klokkenluidersprocedures;
                        
                     
                           d)
                        
                        
                           (formele en informele) procedures voor gevallen van intimidatie;
                        
                     
                           e)
                        
                        
                           de behandeling van interne en externe klachten;
                        
                     
                           f)
                        
                        
                           interne audits;
                        
                     
                           g)
                        
                        
                           de door de functionaris verrichte onderzoeken in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725;
                        
                     
                           h)
                        
                        
                           (IT‐)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT‐EU).
                        
                     
            
               2.   In naar behoren gemotiveerde gevallen en onder de voorwaarden van dit besluit kan de verwerkingsverantwoordelijke, indien noodzakelijk en passend, het recht op vertrouwelijkheid van elektronische communicatie beperken in het kader van de volgende verwerkingen:
               
                           a)
                        
                        
                           het uitvoeren van administratieve onderzoeken en tuchtprocedures;
                        
                     
                           b)
                        
                        
                           voorbereidende activiteiten in verband met gevallen van mogelijke onregelmatigheden die bij OLAF werden gemeld;
                        
                     
                           c)
                        
                        
                           klokkenluidersprocedures;
                        
                     
                           d)
                        
                        
                           formele procedures voor gevallen van intimidatie;
                        
                     
                           e)
                        
                        
                           de behandeling van interne en externe klachten;
                        
                     
                           f)
                        
                        
                           (IT‐)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT‐EU).
                        
                     
            
               3.   Wanneer het Agentschap de mededeling van een inbreuk in verband met persoonsgegevens of de vertrouwelijkheid van elektronische communicatie als bedoeld in de artikelen 35 en 36 van Verordening (EU) 2018/1725 beperkt, legt het de redenen voor die beperking vast en registreert het die overeenkomstig artikel 5, lid 3, van dit besluit. Artikel 5, lid 4, van dit besluit is van toepassing.
            
         
         
            Artikel 9
            Inwerkingtreding
            Dit besluit treedt in werking op de dag volgende op die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
         
         
            Gedaan te Bilbao, 11 december 2019.
            
               
                  Voor het Europees Agentschap voor de veiligheid en de gezondheid op het werk
               
               Christa SCHWENG
               
                  Voorzitter van de raad van bestuur
               
            
         
         
            (1)  PB L 295 van 21.11.2018, blz. 39.
         
            (2)  PB L 30 van 31.1.2019, blz. 58.
         
            (3)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).
         
            (4)  Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89).