CELEX: 32020Q0831(01)
Language: da
Date: 2019-12-11 00:00:00
Title: Afgørelse 2019/15 truffet af bestyrelsen for Det Europæiske Arbejdsmiljøagentur den 11. december 2019 om interne regler for begrænsninger af visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i EU-OSHA's virke

31.8.2020   
               
               
                  DA
               
               
                  Den Europæiske Unions Tidende
               
               
                  L 282/26
               
            
         AFGØRELSE 2019/15 TRUFFET AF BESTYRELSEN FOR DET EUROPÆISKE ARBEJDSMILJØAGENTUR
         den 11. december 2019
         om interne regler for begrænsninger af visse af de registreredes rettigheder i forbindelse med behandling af personoplysninger som led i EU-OSHA's virke
         BESTYRELSEN FOR DET EUROPÆISKE ARBEJDSMILJØAGENTUR HAR —
         under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1), særlig artikel 25,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2019/126 af 16. januar 2019 om oprettelse af Det Europæiske Arbejdsmiljøagentur (EU-OSHA) og om ophævelse af Rådets forordning (EF) nr. 2062/94 (2),
         under henvisning til forretningsordenen for EU-OSHA's bestyrelse,
         under henvisning til Den Europæiske Tilsynsførende for Databeskyttelses (EDPS) udtalelse af 17. oktober 2019 og EDPS' vejledning angående den nye forordnings artikel 25 og interne regler, og
         ud fra følgende betragtninger:
         
                     (1)
                  
                  
                     Eurofound udfører sin virksomhed i overensstemmelse med forordning (EU) 2019/126.
                  
               
                     (2)
                  
                  
                     I overensstemmelse med artikel 25, stk. 1, i forordning (EU) 2018/1725 bør begrænsninger for at anvende artikel 14-21, 35 og 36 samt artikel 4 i nævnte forordning, for så vidt bestemmelserne heri svarer til de rettigheder og forpligtelser, der er omhandlet i artikel 14-21, baseres på interne regler, der vedtages af agenturet, når disse ikke er baseret på retsakter, der er vedtaget på grundlag af traktaterne.
                  
               
                     (3)
                  
                  
                     Disse interne regler, herunder deres bestemmelser om vurderingen af nødvendigheden og proportionaliteten af en begrænsning, bør ikke finde anvendelse, når en retsakt, der er vedtaget på grundlag af traktaterne, indeholder en begrænsning af den registreredes rettigheder.
                  
               
                     (4)
                  
                  
                     Hvis agenturet udøver sine forpligtelser med hensyn til den registreredes rettigheder i henhold til forordning (EU) 2018/1725, tager det stilling til, om nogen af de undtagelser, der er fastsat i nævnte forordning, finder anvendelse.
                  
               
                     (5)
                  
                  
                     Inden for rammerne af sin administrative drift kan agenturet foretage administrative undersøgelser, gennemføre disciplinærsager, udføre indledende aktiviteter vedrørende tilfælde af potentielle uregelmæssigheder indberettet til OLAF, behandle whistleblowingsager, iværksætte (formelle og uformelle) procedurer til at forebygge chikane, behandle interne og eksterne klager, gennemføre interne revisioner, iværksætte efterforskninger på foranledning af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, og interne (IT-relaterede) sikkerhedsefterforskninger. Herudover kan agenturet behandle anmodninger om adgang til ansattes lægejournal.
                     Agenturet behandler flere kategorier af personoplysninger, herunder faktuelle data (»objektive« data såsom identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, data fra specifikke kilder, elektronisk kommunikations- og trafikdata) og/eller bløde data (»subjektive« sagsrelaterede data såsom ræsonnementer, adfærdsdata, medarbejdervurderinger, data vedrørende præstation og handlemåde samt data, der er knyttet til eller fremsat i forbindelse med genstanden for proceduren eller aktiviteten).
                  
               
                     (6)
                  
                  
                     Agenturet, repræsenteret ved sin administrerende direktør, fungerer som dataansvarlig, uanset yderligere uddelegering af den dataansvarliges rolle internt i agenturet, for at afspejle det operationelle ansvar for specifikke behandlingsaktiviteter vedrørende personoplysninger.
                  
               
                     (7)
                  
                  
                     Personoplysningerne opbevares sikkert i et elektronisk miljø eller på papir for at forhindre ulovlig adgang til eller overførsel af oplysninger til personer, der ikke har behov for at kende disse. Lægejournalerne opbevares af lægen hos den eksterne tjenesteyder, som agenturet anvender. De behandlede personoplysninger opbevares ikke længere, end hvad der er nødvendigt og hensigtsmæssigt for de formål, hvortil oplysningerne behandles, i den periode, der er angivet i databeskyttelsesmeddelelserne, privatlivserklæringerne eller agenturets fortegnelser.
                  
               
                     (8)
                  
                  
                     De interne regler bør finde anvendelse på alle de behandlingsaktiviteter, som agenturet udfører i forbindelse med administrative undersøgelser, disciplinærsager, indledende aktiviteter vedrørende tilfælde af potentielle uregelmæssigheder indberettet til OLAF, whistleblowingprocedurer, (formelle og uformelle) procedurer i sager om chikane, behandling af interne og eksterne klager, interne revisioner, efterforskninger iværksat af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, (IT-relaterede) sikkerhedsefterforskninger, der gennemføres internt eller med ekstern deltagelse (f.eks. af CERT-EU), samt i håndteringen af personales anmodning om adgang til egen lægejournal.
                  
               
                     (9)
                  
                  
                     De bør gælde for behandlingsaktiviteter, der udføres, før ovennævnte procedurer indledes, under disse procedurer og i forbindelse med, at opfølgningen på udfaldet af disse procedurer overvåges. Herunder bør også omfattes agenturets bistand til og samarbejde med nationale myndigheder og internationale organisationer ud over dets administrative efterforskninger.
                  
               
                     (10)
                  
                  
                     I de tilfælde, hvor disse interne regler finder anvendelse, skal agenturet bevise, at begrænsningerne er strengt nødvendige og forholdsmæssige i et demokratisk samfund, og at de respekterer kernen i de grundlæggende rettigheder og frihedsrettigheder.
                  
               
                     (11)
                  
                  
                     Inden for disse rammer er agenturet forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder under ovennævnte procedurer, navnlig dem, der vedrører retten til informering, indsigt og berigtigelse, retten til sletning, begrænsning af behandling, retten til underretning om et brud på persondatasikkerheden til den registrerede eller kommunikationsfortrolighed som fastsat i forordning (EU) 2018/1725.
                  
               
                     (12)
                  
                  
                     Agenturet kan dog være forpligtet til at begrænse informeringen af den registrerede og andre registreredes rettigheder for at beskytte navnlig sine egne efterforskninger, andre offentlige myndigheders efterforskninger og procedurer såvel som andre personers grundlæggende rettigheder og frihedsrettigheder med relation til sine efterforskninger eller andre procedurer.
                  
               
                     (13)
                  
                  
                     Agenturet kan således begrænse informationen med det formål at beskytte undersøgelsen og andre registreredes grundlæggende rettigheder og frihedsrettigheder.
                  
               
                     (14)
                  
                  
                     Agenturet bør lejlighedsvis overvåge, at de betingelser, der ligger til grund for begrænsningen, er til stede og ophæve begrænsningen, for så vidt de ikke længere er til stede.
                  
               
                     (15)
                  
                  
                     Den dataansvarlige bør informere den databeskyttelsesansvarlige på udsættelsestidspunktet og under revisionerne —
                  
               VEDTAGET DENNE AFGØRELSE:
         
            Artikel 1
            Genstand og anvendelsesområde
            
               1.   I denne afgørelse fastlægges regler vedrørende betingelserne for, hvornår agenturet inden for rammerne af de procedurer, der er fastsat i stk. 2, kan begrænse anvendelsen af de rettigheder, der er nedfældet i artikel 14-21, 35 og 36, samt artikel 4, efter artikel 25 i forordning (EU) 2018/1725.
            
            
               2.   Inden for rammerne af agenturets administrative funktionsmåde finder denne afgørelse anvendelse på agenturets behandlingsaktiviteter vedrørende personoplysninger i forbindelse med administrative undersøgelser, disciplinærsager, indledende aktiviteter vedrørende tilfælde af potentielle uregelmæssigheder indberettet til OLAF, behandling af whistleblowingsager, (formelle og uformelle) procedurer for forebyggelse af chikane, behandling af interne og eksterne klager, udførelse af interne revisioner, de undersøgelser, der udføres af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, og (IT-relaterede) sikkerhedsundersøgelser, der gennemføres internt eller med ekstern deltagelse (f.eks. af CERT-EU), håndhævelse af civilretlige krav såvel som håndteringen af anmodninger om adgang til egen lægejournal.
            
            
               3.   De relevante kategorier af personoplysninger er faktuelle data (»objektive« data såsom identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, data fra specifikke kilder, elektronisk kommunikations- og trafikdata) og/eller bløde data (»subjektive« sagsrelaterede data såsom ræsonnementer, adfærdsdata, medarbejdervurderinger, data vedrørende præstation og handlemåde samt data, der er knyttet til eller fremsat i forbindelse med genstanden for proceduren eller aktiviteten).
            
            
               4.   Hvis agenturet udøver sine forpligtelser med hensyn til den registreredes rettigheder i henhold til forordning (EU) 2018/1725, tager det stilling til, om nogen af de undtagelser, der er fastsat i nævnte forordning, finder anvendelse.
            
            
               5.   På de betingelser, der er fastsat i denne afgørelse, kan begrænsningerne gælde følgende rettigheder: informering af registrerede, ret til indsigt, berigtigelse, sletning, begrænsning af behandling, underretning om et brud på persondatasikkerheden til en registreret eller fortroligheden af kommunikation.
            
         
         
            Artikel 2
            Specifikation af den dataansvarlige og sikkerhedsforanstaltninger
            
               1.   De indførte sikkerhedsforanstaltninger med henblik på at undgå brud på datasikkerheden, lækager eller uautoriseret videregivelse er følgende:
               
                           a)
                        
                        
                           Papirdokumenter opbevares i sikrede skabe og er kun tilgængelige for autoriseret personale.
                        
                     
                           b)
                        
                        
                           Alle elektroniske oplysninger lagres i en sikker IT-applikation i overensstemmelse med agenturets sikkerhedsstandarder samt i specifikke elektroniske mapper, der kun er tilgængelige for autoriseret personale. Passende adgangsniveauer tildeles enkeltvis.
                        
                     
                           c)
                        
                        
                           Databasen er beskyttet af en adgangskode med et fælles indlogningssystem og tilsluttes automatisk brugerens ID og adgangskode. Det er strengt forbudt at udskifte brugere. E-fortegnelser føres sikkert for at garantere, at de deri indeholdte oplysninger forbliver fortrolige og private.
                        
                     
                           d)
                        
                        
                           Lægen hos den eksterne tjenesteyder, som opbevarer lægejournalerne, er bundet af specifikke kontraktbestemmelser om fortrolighed og behandling af personoplysninger.
                        
                     
                           e)
                        
                        
                           Alle, der har adgang til oplysningerne, er bundet af tavshedspligt.
                        
                     
            
               2.   Den dataansvarlige med hensyn til behandlingsaktiviteter er agenturet repræsenteret ved dets administrerende direktør, som kan uddelegere den dataansvarliges funktion. De registrerede informeres om den delegerede dataansvarlige via de databeskyttelsesmeddelelser eller fortegnelser, der offentliggøres på agenturets websted og/eller intranet.
            
            
               3.   Den opbevaringsperiode for personoplysninger, der er omhandlet i artikel 1, stk. 3, må ikke være længere end det, der er nødvendigt og passende for de formål, hvortil oplysningerne behandles. Den er under ingen omstændigheder længere end den opbevaringsperiode, der er angivet i de i artikel 5, stk. 1, omhandlede databeskyttelsesmeddelelser, privatlivserklæringer eller fortegnelser.
            
            
               4.   Hvis kontoret påtænker at gøre en begrænsning gældende, vægtes risikoen for den registreredes grundlæggende rettigheder og frihedsrettigheder især i forhold til risikoen for andre registreredes grundlæggende rettigheder og frihedsrettigheder og risikoen for at undergrave agenturets efterforskninger eller procedurer, f.eks. ved at ødelægge beviser. Risiciene for den registreredes grundlæggende rettigheder og frihedsrettigheder vedrører primært, men er ikke begrænset til, omdømmemæssige risici og risici for retten til forsvar og retten til at blive hørt.
            
         
         
            Artikel 3
            Begrænsninger
            
               1.   Begrænsninger anvendes kun af agenturet for at sikre:
               
                           a)
                        
                        
                           medlemsstaternes nationale sikkerhed, offentlige sikkerhed og forsvar
                        
                     
                           b)
                        
                        
                           forebyggelsen, efterforskningen, afsløringen og retsforfølgelsen af strafbare handlinger eller fuldbyrdelsen af strafferetlige sanktioner, herunder beskyttelsen mod og forebyggelsen af trusler mod den offentlige sikkerhed
                        
                     
                           c)
                        
                        
                           andre vigtige målsætninger i forbindelse med beskyttelse af Unionens eller en medlemsstats generelle samfundsinteresser, navnlig målene med Unionens fælles udenrigs- og sikkerhedspolitik eller Unionens eller en medlemsstats væsentlige økonomiske eller finansielle interesser, herunder valuta-, budget- og skatteanliggender, folkesundhed og social sikkerhed
                        
                     
                           d)
                        
                        
                           Unionens institutioners og organers interne sikkerhed, herunder deres elektroniske kommunikationsnetværk
                        
                     
                           e)
                        
                        
                           forebyggelse, efterforskning, afsløring og retsforfølgelse i forbindelse med brud på etiske regler for lovregulerede erhverv
                        
                     
                           f)
                        
                        
                           kontrol-, tilsyns- eller reguleringsfunktioner, herunder opgaver af midlertidig karakter, der er forbundet med offentlig myndighedsudøvelse i de tilfælde, der er omhandlet i litra a)-c)
                        
                     
                           g)
                        
                        
                           beskyttelsen af den registreredes eller andres rettigheder og frihedsrettigheder
                        
                     
                           h)
                        
                        
                           håndhævelsen af civilretlige krav.
                        
                     
            
               2.   Som en konkret anvendelse af de i stk. 1 beskrevne formål kan agenturet anvende begrænsninger vedrørende personoplysninger, der udveksles med Kommissionens tjenestegrene eller andre EU-institutioner, -organer, -agenturer og -kontorer, kompetente myndigheder i medlemsstater eller tredjelande eller internationale organisationer, under følgende omstændigheder:
               
                           a)
                        
                        
                           Hvis udøvelsen af disse rettigheder og forpligtelser begrænses af Kommissionens tjenestegrene eller andre EU-institutioner, -organer, -agenturer og -kontorer på grundlag af andre retsakter, der er omhandlet i artikel 25 i forordning (EU) 2018/1725, eller i overensstemmelse med kapitel IX i samme forordning eller med de grundlæggende retsakter for andre EU-institutioner, -organer, -agenturer og -kontorer.
                        
                     
                           b)
                        
                        
                           Hvis udøvelsen af disse rettigheder og forpligtelser begrænses af de kompetente myndigheder i medlemsstaterne på grundlag af retsakter, der er omhandlet i artikel 23 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (3), eller i henhold til nationale foranstaltninger til gennemførelse af artikel 13, stk. 3, artikel 15, stk. 3, eller artikel 16, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (4).
                        
                     
                           c)
                        
                        
                           Hvis udøvelsen af disse rettigheder og forpligtelser kan bringe agenturets samarbejde med tredjelande eller internationale organisationer i fare ved udførelsen af dets opgaver.
                        
                     Inden der anvendes begrænsninger i de tilfælde, som er nævnt i første afsnit, litra a) og b), hører agenturet Kommissionens relevante tjenestegrene, EU's institutioner, organer, agenturer, kontorer eller de kompetente myndigheder i medlemsstaterne, medmindre det står klart for agenturet, at anvendelsen af en begrænsning er begrundet i henhold til en af de retsakter, der er nævnt i disse litraer.
            
            
               3.   Enhver begrænsning er nødvendig og forholdsmæssig under hensyntagen til risiciene for de registreredes grundlæggende rettigheder og frihedsrettigheder og respekterer kernen i de grundlæggende rettigheder og frihedsrettigheder i et demokratisk samfund.
            
            
               4.   Hvis det overvejes at pålægge begrænsninger, foretages der en vurdering af nødvendigheden, og om de står i et rimeligt forhold til formålene. Af hensyn til ansvarlighed dokumenteres vurderingen gennem en intern vurderingsnote i hvert enkelt tilfælde.
            
            
               5.   Begrænsningerne ophæves, så snart de omstændigheder, der berettiger dem, ikke længere gælder. Især når det vurderes, at udøvelsen af den begrænsede ret ikke længere vil annullere effekten af den pålagte begrænsning eller forringe andre registreredes rettigheder eller frihedsrettigheder.
            
         
         
            Artikel 4
            Fornyet gennemgang foretaget af den databeskyttelsesansvarlige
            
               1.   Agenturet underretter uden unødig forsinkelse agenturets databeskyttelsesansvarlige, når den dataansvarlige begrænser anvendelsen af de registreredes rettigheder eller forlænger begrænsningen i overensstemmelse med denne afgørelse. Den dataansvarlige giver den databeskyttelsesansvarlige adgang til den fortegnelse, som indeholder en vurdering af, om begrænsningen er nødvendig og forholdsmæssig, og dokumenterer datoen for underretningen af den databeskyttelsesansvarlige i fortegnelsen.
            
            
               2.   Den databeskyttelsesansvarlige kan anmode den dataansvarlige skriftligt om på ny at gennemgå anvendelsen af begrænsningerne. Den dataansvarlige underretter den databeskyttelsesansvarlige skriftligt om udfaldet af den ønskede fornyede gennemgang.
            
            
               3.   Den dataansvarlige underretter den databeskyttelsesansvarlige, når begrænsningen er blevet ophævet.
            
         
         
            Artikel 5
            Informering af registrerede
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til informering begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           procedurer vedrørende whistleblowing
                        
                     
                           d)
                        
                        
                           (formelle og uformelle) procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           intern revision
                        
                     
                           g)
                        
                        
                           de undersøgelser, der udføres af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           h)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     De i artikel 31 i forordning (EU) 2018/1725 omhandlede databeskyttelsesmeddelelser, privatlivserklæringer eller fortegnelser, som agenturet offentliggør på sit websted og/eller intranet for at informere de registrerede om deres rettigheder inden for rammerne af en given procedure, indeholder information om den potentielle begrænsning af disse rettigheder. Informationen redegør for, hvilke rettigheder der kan begrænses, årsagerne hertil og den potentielle varighed.
            
            
               2.   Med forbehold af bestemmelserne i stk. 3, og hvor det er forholdsmæssigt, informerer agenturet også hver registrerede, der betragtes som en person, der er berørt af den specifikke behandling, om dennes rettigheder vedrørende gældende eller kommende begrænsninger, uden unødig forsinkelse og skriftligt.
            
            
               3.   Hvis agenturet helt eller delvist begrænser informeringen af registrerede, jf. stk. 2, registrerer det årsagerne til begrænsningen, retsgrundlaget i overensstemmelse med artikel 3 i denne afgørelse, herunder en vurdering af, om begrænsningen er nødvendig og forholdsmæssig.
               Fortegnelsen og, i givet fald, de dokumenter, der indeholder underliggende faktuelle og retlige elementer, registreres. De stilles efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.
            
            
               4.   Den i stk. 3 nævnte begrænsning finder anvendelse, så længe begrundelserne herfor er gældende.
               Hvis bevæggrundene for begrænsningen ikke længere er til stede, informerer agenturet den registrerede om de vigtigste bevæggrunde for anvendelsen af en begrænsning. Agenturet informerer samtidig den registrerede om, at denne til enhver tid har ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller til at indbringe sagen for Den Europæiske Unions Domstol.
               Agenturet foretager en fornyet gennemgang af anvendelsen af begrænsningen hvert halve år fra dens vedtagelse og ved afslutningen af den relevante bevisoptagelse, procedure eller efterforskning. Derefter overvåger den dataansvarlige hvert halve år behovet for at opretholde enhver begrænsning.
            
         
         
            Artikel 6
            Den registreredes ret til indsigt
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan den dataansvarlige begrænse retten til indsigt, for så vidt det er nødvendigt og forholdsmæssigt, i forbindelse med følgende behandlingsaktiviteter:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           procedurer vedrørende whistleblowing
                        
                     
                           d)
                        
                        
                           (formelle og uformelle) procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           intern revision
                        
                     
                           g)
                        
                        
                           de undersøgelser, der udføres af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           h)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
                           i)
                        
                        
                           Håndtering af anmodninger om adgang til egen lægejournal.
                        
                     Hvis de registrerede anmoder om indsigt i deres personoplysninger i forbindelse med en eller flere specifikke sager eller en bestemt behandling i overensstemmelse med artikel 17 i forordning (EU) 2018/1725, begrænser agenturet sin vurdering af anmodningen til kun at omfatte sådanne personoplysninger.
            
            
               2.   Hvis agenturet, helt eller delvist, begrænser indsigtsretten som omhandlet i artikel 17 i forordning (EU) 2018/1725, tager det følgende skridt:
               
                           a)
                        
                        
                           informerer den pågældende registrerede, i sit svar på anmodningen, om den anvendte begrænsning og om den væsentligste årsag hertil samt om muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller for at indbringe sagen for Den Europæiske Unions Domstol
                        
                     
                           b)
                        
                        
                           dokumenterer i en intern vurdering bevæggrundene til begrænsningen, herunder en vurdering af nødvendigheden og forholdsmæssigheden af begrænsningen og dens varighed.
                        
                     Begrænsninger pålagt i forhold til adgang til egen lægejournal angår kun anmodninger om direkte indsigt i personlige sundhedsoplysninger af psykologisk eller psykiatrisk art, hvor indsigt i sådanne oplysninger sandsynligvis vil udgøre en fare for den registreredes helbred. Denne begrænsning står i et rimeligt forhold til, hvad der er strengt nødvendigt for at beskytte den registrerede. Adgang til sådan information gives via en læge, der optræder som mellemled, og som er udpeget af den registrerede. Lægen bør gives adgang til al information samt skønsbeføjelse til at beslutte, hvilken adgang der indrømmes den registrerede, og hvordan.
               Informeringen omhandlet i litra a) kan udskydes, udelades eller afvises, hvis den ville ophæve virkningen af begrænsningen, i overensstemmelse med artikel 25, stk. 8, i forordning (EU) 2018/1725.
               Agenturet tager anvendelsen af begrænsningen op til revision hvert halve år, efter at den er vedtaget, og ved afslutningen af den relevante efterforskning. Derefter overvåger den dataansvarlige hvert halve år behovet for at opretholde enhver begrænsning.
            
            
               3.   Fortegnelsen og, i givet fald, de dokumenter, der indeholder underliggende faktuelle og retlige elementer, registreres. De stilles efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.
            
         
         
            Artikel 7
            Ret til berigtigelse, sletning og begrænsning af behandlingen
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til berigtigelse, sletning og begrænsning begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           procedurer vedrørende whistleblowing
                        
                     
                           d)
                        
                        
                           (formelle og uformelle) procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           intern revision
                        
                     
                           g)
                        
                        
                           de undersøgelser, der udføres af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           h)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
            
               2.   Begrænser agenturet helt eller delvist anvendelsen af retten til berigtigelse, sletning og begrænsning af behandling, jf. artikel 18, artikel 19, stk. 1, og artikel 20, stk. 1, i forordning (EU) 2018/1725, træffer det de foranstaltninger, der er fastsat i artikel 6, stk. 2, i denne afgørelse, og registrerer fortegnelsen i overensstemmelse med artikel 6, stk. 3, heri.
            
         
         
            Artikel 8
            Underretning om et brud på persondatasikkerheden og fortrolighed af elektronisk kommunikation
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til underretning om et brud på persondatasikkerheden begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           procedurer vedrørende whistleblowing
                        
                     
                           d)
                        
                        
                           (formelle og uformelle) procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           intern revision
                        
                     
                           g)
                        
                        
                           de undersøgelser, der udføres af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           h)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
            
               2.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til fortrolighed af elektronisk kommunikation begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           procedurer vedrørende whistleblowing
                        
                     
                           d)
                        
                        
                           formelle procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
            
               3.   Hvis agenturet indfører begrænsninger i underretningen af den registrerede om et brud på persondatasikkerheden eller fortroligheden af elektronisk kommunikation, som omhandlet i artikel 35 og 36 i forordning (EU) 2018/1725, optegner og registrerer det årsagerne til begrænsningen, i overensstemmelse med artikel 5, stk. 3, i denne afgørelse. Artikel 5, stk. 4, i denne afgørelse finder anvendelse.
            
         
         
            Artikel 9
            Ikrafttræden
            Denne afgørelse træder i kraft på dagen efter dens offentliggørelse i Den Europæiske Unions Tidende.
         
         
            Udfærdiget i Bilbao, den 11. december 2019.
            
               
                  På vegne af Det Europæiske Arbejdsmiljøagentur
               
               Christa SCHWENG
               
                  Formand for bestyrelsen
               
            
         
         
            (1)  EUT L 295 af 21.11.2018, s. 39.
         
            (2)  EUT L 30 af 31.1.2019, s. 58.
         
            (3)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (den generelle forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).
         
            (4)  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89).