CELEX: 32021D1093
Language: da
Date: 2021-06-28 00:00:00
Title: Rådets afgørelse (EU) 2021/1093 af 28. juni 2021 om fastsættelse af gennemførelsesbestemmelser vedrørende Rådets databeskyttelsesrådgiver, anvendelse af Europa-Parlamentets og Rådets forordning (EU) 2018/1725 og begrænsninger af registreredes rettigheder i forbindelse med udøvelsen af Rådets databeskyttelsesrådgivers opgaver, og om ophævelse af Rådets afgørelse 2004/644/EF

5.7.2021   
               
               
                  DA
               
               
                  Den Europæiske Unions Tidende
               
               
                  L 236/55
               
            
         RÅDETS AFGØRELSE (EU) 2021/1093
         af 28. juni 2021
         om fastsættelse af gennemførelsesbestemmelser vedrørende Rådets databeskyttelsesrådgiver, anvendelse af Europa-Parlamentets og Rådets forordning (EU) 2018/1725 og begrænsninger af registreredes rettigheder i forbindelse med udøvelsen af Rådets databeskyttelsesrådgivers opgaver, og om ophævelse af Rådets afgørelse 2004/644/EF
         RÅDET FOR DEN EUROPÆISKE UNION HAR —
         under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 240, stk. 3,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1), særlig artikel 45, stk. 3, og
         ud fra følgende betragtninger:
         
                     (1)
                  
                  
                     Forordning (EU) 2018/1725 fastsætter principper og regler, der gælder for alle Unionens institutioner eller organer, og bestemmer, at hver af Unionens institutioner og hvert af Unionens organer skal udpege en databeskyttelsesrådgiver.
                  
               
                     (2)
                  
                  
                     I henhold til artikel 45, stk. 3, i forordning (EU) 2018/1725 skal hver af Unionens institutioner eller hvert af Unionens organer vedtage gennemførelsesbestemmelser vedrørende databeskyttelsesrådgiveren (»gennemførelsesbestemmelserne«). Disse gennemførelsesbestemmelser bør navnlig vedrøre Rådets og Generalsekretariatet for Rådets databeskyttelsesrådgivers hverv, opgaver og beføjelser.
                  
               
                     (3)
                  
                  
                     Gennemførelsesbestemmelserne bør fastlægge, hvilke procedurer der skal anvendes i forbindelse med de registreredes udøvelse af deres rettigheder og opfyldelsen af de forpligtelser, som påhviler alle relevante aktører i Rådet og Generalsekretariatet for Rådet (»GSR«) med hensyn til behandling af personoplysninger.
                  
               
                     (4)
                  
                  
                     Forordning (EU) 2018/1725 fastsætter klare ansvarsområder for de dataansvarlige, navnlig med hensyn til de registreredes rettigheder. Gennemførelsesbestemmelserne bør sikre, at Rådet og GSR varetager deres ansvarsområder som dataansvarlig på en ensartet og åben måde. Der bør fastsættes regler med henblik på at afklare, hvem der har ansvaret for en behandlingsaktivitet udført på vegne af Rådet eller GSR. I den henseende er det hensigtsmæssigt at indføre begrebet »delegeret dataansvarlig« for præcist at indikere de enkelte GSR-enheders ansvarsområder, navnlig med hensyn til individuelle afgørelser vedrørende registreredes rettigheder. Det er derudover hensigtsmæssigt at indføre begrebet »operationel dataansvarlig«, som under den delegerede dataansvarliges ansvar udpeges til at sikre, at bestemmelserne overholdes i praksis, og til at behandle anmodninger fra registrerede vedrørende en behandlingsaktivitet. Med henblik på præcist at indikere ansvarsområderne i GSR for så vidt angår hver behandlingsaktivitet bør den operationelle dataansvarlige optegnes nøjagtigt i registret. Udpegelsen af en operationel dataansvarlig forhindrer ikke, at der i praksis anvendes et kontaktpunkt, for eksempel i form af en fællespostkasse, hvortil registrerede skal have mulighed for at sende anmodninger.
                  
               
                     (5)
                  
                  
                     I visse tilfælde udfører flere generaldirektorater eller tjenestegrene i Rådet en behandlingsaktivitet i fællesskab for at udføre deres hverv. I de tilfælde bør de sikre, at der er indført interne ordninger, som på en gennemsigtig måde fastlægger deres respektive ansvarsområder i henhold til forordning (EU) 2018/1725, navnlig hvad angår de registreredes rettigheder, underrettelse af Den Europæiske Tilsynsførende for Databeskyttelse (»EDPS«) og føring af fortegnelser.
                  
               
                     (6)
                  
                  
                     Hvert generaldirektorat eller hver anden tjenestegren i GSR bør udpege en databeskyttelseskoordinator til at hjælpe de delegerede dataansvarlige med at udøve deres ansvar. Databeskyttelseskoordinatorerne bør bistå generaldirektoratet i enhver henseende for så vidt angår beskyttelse af personoplysninger og deltager i GSR's netværk af databeskyttelseskoordinatorer for at sikre en ensartet gennemførelse og fortolkning af forordning (EU) 2018/1725.
                  
               
                     (7)
                  
                  
                     I henhold til artikel 45, stk. 1, litra b), i forordning (EU) 2018/1725 kan databeskyttelsesrådgiveren udstede yderligere retningslinjer for databeskyttelseskoordinatorens rolle.
                  
               
                     (8)
                  
                  
                     Det fastsættes i artikel 25, stk. 1, i forordning (EU) 2018/1725, at hver af Unionens institutioner eller hvert af Unionens organer kan begrænse anvendelsen af artikel 14-17, artikel 19, 20 og 35 i nævnte forordning samt gennemsigtighedsprincippet i nævnte forordnings artikel 4, stk. 1, litra a), for så vidt bestemmelserne heri svarer til de rettigheder og forpligtelser, der er fastsat i nævnte forordnings artikel 14-17, 19 og 20.
                  
               
                     (9)
                  
                  
                     I visse tilfælde kan det være nødvendigt, at databeskyttelsesrådgiveren begrænser de registreredes rettigheder for at udføre de tilsyns-, undersøgelses-, revisions- eller høringsopgaver, der er fastsat i artikel 45 i forordning (EU) 2018/1725, og samtidig overholde standarderne for beskyttelse af personoplysninger i henhold til nævnte forordning. Det er nødvendigt at vedtage interne regler, i henhold til hvilke databeskyttelsesrådgiveren kan begrænse de registreredes rettigheder i overensstemmelse med artikel 25 i nævnte forordning (»de interne regler«).
                  
               
                     (10)
                  
                  
                     Disse interne regler bør finde anvendelse på alle de databehandlingsaktiviteter, som Rådet og GSR udfører i forbindelse med databeskyttelsesrådgiverens tilsyns-, undersøgelses-, revisions- eller høringsopgaver. De interne regler bør også gælde for behandlingsaktiviteter, som udgør en del af de opgaver, der er knyttet til databeskyttelsesrådgiverens undersøgelses- eller revisionsfunktion, såsom klageprocesser, der gennemføres af databeskyttelsesrådgiveren. De interne regler bør ligeledes finde anvendelse på databeskyttelsesrådgiverens tilsyns- og høringsaktiviteter, hvor databeskyttelsesrådgiveren ved siden af sine administrative undersøgelses- eller revisionsaktiviteter yder bistand til og samarbejder med GSR's generaldirektorater og tjenestegrene.
                  
               
                     (11)
                  
                  
                     Rådet og GSR kan få brug for at skulle anvende begrænsninger baseret på de grunde, der er omhandlet i artikel 25, stk. 1, litra c), g) og h), i forordning (EU) 2018/1725, i forbindelse med databehandlingsaktiviteter, der udføres inden for rammerne af databeskyttelsesrådgiverens tilsyns-, undersøgelses-, revisions- eller høringsopgaver, når det er nødvendigt for at beskytte databeskyttelsesrådgiverens opgaver, undersøgelser og sager i tilknytning hertil, værktøjer og metoder anvendt i databeskyttelsesrådgiverens undersøgelser og revisioner samt andre personers rettigheder vedrørende databeskyttelsesrådgiverens opgaver.
                  
               
                     (12)
                  
                  
                     Med henblik på at videreføre effektivt samarbejde kan Rådet og GSR få brug for at skulle begrænse registreredes rettigheder for at beskytte oplysninger, der indeholder personoplysninger, og som stammer fra andre af GSR's generaldirektorater og tjenestegrene eller andre EU-institutioner eller -organer. Databeskyttelsesrådgiveren bør derfor rådføre sig med de pågældende generaldirektorater og tjenestegrene eller andre institutioner eller organer om det relevante grundlag for at indføre begrænsninger samt om sådanne begrænsningers nødvendighed og proportionalitet.
                  
               
                     (13)
                  
                  
                     Databeskyttelsesrådgiveren og, hvor det er relevant, GSR's generaldirektorater og tjenestegrene bør behandle alle begrænsninger på gennemsigtig vis og registrere hver enkelt anvendelse af begrænsninger i det tilsvarende fortegnelsessystem.
                  
               
                     (14)
                  
                  
                     I henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725 kan de dataansvarlige udsætte eller undlade at underrette om begrundelsen for at anvende en begrænsning på den registrerede, hvis dette på nogen måde ville kompromittere formålet med begrænsningen. Navnlig hvis der anvendes en begrænsning af de rettigheder, der er fastsat i nævnte forordnings artikel 16 og 35, ville underretning om en sådan begrænsning kompromittere formålet med begrænsningen. For at sikre, at den registreredes ret til at blive underrettet, jf. nævnte artikler, kun begrænses, så længe udsættelsen er begrundet, bør databeskyttelsesrådgiveren eller det generaldirektorat eller den tjenestegren i GSR, der anvender begrænsningen, jævnligt tage sin holdning op til fornyet overvejelse.
                  
               
                     (15)
                  
                  
                     Hvis der anvendes en begrænsning af andre registreredes rettigheder, bør databeskyttelsesrådgiveren i det enkelte tilfælde afgøre, om det vil kompromittere formålet at underrette om begrænsningen.
                  
               
                     (16)
                  
                  
                     Databeskyttelsesrådgiveren bør på grundlag af denne afgørelse foretage en uafhængig evaluering af andre af GSR's generaldirektoraters eller tjenestegrenes anvendelse af begrænsninger med henblik på at sikre, at denne afgørelse overholdes.
                  
               
                     (17)
                  
                  
                     Enhver begrænsning, der anvendes på grundlag af denne afgørelse, bør være nødvendig og forholdsmæssig i et demokratisk samfund.
                  
               
                     (18)
                  
                  
                     EDPS er blevet underrettet og hørt i overensstemmelse med artikel 41, stk. 1 og 2, i forordning (EU) 2018/1725 og afgav udtalelse (2).
                  
               
                     (19)
                  
                  
                     Gennemførelsesbestemmelserne til forordning (EU) 2018/1725 berører ikke Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 (3), Rådets afgørelse 2004/338/EF, Euratom (4), særlig bilag II, Rådets afgørelse 2013/488/EU (5), særlig del II, afsnit VI, i bilaget, samt afgørelsen af 25. juni 2001 truffet af generalsekretæren for Rådet/den højtstående repræsentant for den fælles udenrigs- og sikkerhedspolitik (6).
                  
               
                     (20)
                  
                  
                     Ved Rådets afgørelse 2004/644/EF (7) er der fastsat gennemførelsesbestemmelser vedrørende Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001. Ved forordning (EU) 2018/1725 blev forordning (EF) nr. 45/2001 ophævet med virkning fra den 11. december 2019. For at sikre, at der kun gælder et enkelt sæt gennemførelsesbestemmelser, bør afgørelse 2004/644/EF ophæves —
                  
               VEDTAGET DENNE AFGØRELSE:
         AFDELING 1
         
            ALMINDELIGE BESTEMMELSER
         
         
            Artikel 1
            Formål og anvendelsesområde
            
               1.   I denne afgørelse fastsættes reglerne og procedurerne for Rådets og Generalsekretariatet for Rådets (GSR's) anvendelse af forordning (EU) 2018/1725 samt yderligere gennemførelsesbestemmelser vedrørende Rådets databeskyttelsesrådgiver.
            
            
               2.   I denne afgørelse fastsættes de regler, der gælder for Rådet og GSR ved underretning af registrerede om behandlingen af deres personoplysninger i henhold til artikel 14, 15 og 16 i forordning (EU) 2018/1725 i forbindelse med databeskyttelsesrådgiverens tilsyns-, undersøgelses-, revisions- eller høringsopgaver.
            
            
               3.   I denne afgørelse fastsættes betingelserne for, hvornår Rådet og GSR i forbindelse med databeskyttelsesrådgiverens tilsyns-, undersøgelses-, revisions- eller høringsaktiviteter kan begrænse anvendelsen af artikel 4, 14-17, 19, 20 og 35 i forordning (EU) 2018/1725 i overensstemmelse med nævnte forordnings artikel 25, stk. 1, litra c), g) og h).
            
            
               4.   Denne afgørelse finder anvendelse på Rådets og GSR's behandling af personoplysninger med henblik på eller i forbindelse med databeskyttelsesrådgiverens opgaver som omhandlet i artikel 45 i forordning (EU) 2018/1725.
            
         
         
            Artikel 2
            Dataansvar
            I denne afgørelse betragtes Rådet og GSR som dataansvarlig, jf. artikel 3, nr. 8), i forordning (EU) 2018/1725.
         
         
            Artikel 3
            Definitioner
            I denne afgørelse forstås ved:
            
                        1)
                     
                     
                        »databeskyttelsesrådgiver«: den person, som Generalsekretariatet for Rådet har udpeget i henhold til artikel 43 i forordning (EU) 2018/1725
                     
                  
                        2)
                     
                     
                        »databeskyttelsesrådgiverens opgaver«: de opgaver, som er omhandlet i artikel 45 i forordning (EU) 2018/1725
                     
                  
                        3)
                     
                     
                        »ansatte i GSR«: alle tjenestemænd i GSR og alle andre personer, der er omfattet af vedtægten for tjenestemænd i Den Europæiske Union og ansættelsesvilkårene for de øvrige ansatte i Unionen som fastlagt i Rådets forordning (EØF, Euratom, EKSF) nr. 259/68 (8) (»personalevedtægten«) eller arbejder som kontraktansatte for GSR (dvs. praktikanter, konsulenter, leverandører af tjenesteydelser, tjenestemænd, der er udsendt af medlemsstaterne)
                     
                  
                        4)
                     
                     
                        »delegeret dataansvarlig«: chefen for det generaldirektorat eller den tjenestegren i GSR, som alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger på vegne af Rådet eller GSR med henblik på at opfylde det pågældende generaldirektorats eller den pågældende tjenestegrens hverv
                     
                  
                        5)
                     
                     
                        »operationel dataansvarlig«: en i GSR ansat på mellemste eller øverste ledelsesniveau, som er udpeget af den delegerede dataansvarlige til at bistå vedkommende med at sikre overholdelse af forordning (EU) 2018/1725 for så vidt angår de behandlingsaktiviteter, som vedkommende har ansvaret for, og til at tjene som det primære kontaktpunkt for registrerede
                     
                  
                        6)
                     
                     
                        »databeskyttelseskoordinator«: en i GSR ansat, som i det enkelte generaldirektorat eller en anden tjenestegren i GSR i samråd med databeskyttelsesrådgiveren er udpeget til at bistå det pågældende generaldirektorat eller den pågældende tjenestegren i enhver sammenhæng for så vidt angår beskyttelse af personoplysninger og som repræsentant herfor til at varetage databeskyttelsesspørgsmål i tæt samarbejde med databeskyttelsesrådgiveren.
                     
                  
         AFDELING 2
         
            DATABESKYTTELSESRÅDGIVEREN
         
         
            Artikel 4
            Udpegelse af og status for databeskyttelsesrådgiveren
            
               1.   Generalsekretæren for Rådet udpeger databeskyttelsesrådgiveren blandt GSR's ansatte og registrerer vedkommende hos Den Europæiske Tilsynsførende for Databeskyttelse (»EDPS«) i overensstemmelse med artikel 43 i forordning (EU) 2018/1725.
            
            
               2.   Databeskyttelsesrådgiveren udvælges på grundlag af sine faglige kvalifikationer, navnlig ekspertise inden for databeskyttelsesret og -praksis samt evne til at udføre de opgaver, der er omhandlet i artikel 45 i forordning (EU) 2018/1725. Databeskyttelsesrådgiveren skal desuden have et solidt kendskab til GSR, dets struktur samt dets administrative regler og procedurer. Databeskyttelsesrådgiveren fritages som led i udførelsen af sine opgaver for alle øvrige opgaver i GSR.
            
            
               3.   Databeskyttelsesrådgiveren udpeges for en periode på fem år og kan genudnævnes.
            
            
               4.   Databeskyttelsesrådgiveren og dennes ansatte er direkte tilknyttet Rådets generalsekretær og refererer direkte til vedkommende.
            
            
               5.   Databeskyttelsesrådgiveren udfører sine opgaver på uafhængig vis og må ikke modtage instrukser fra Rådets generalsekretær, fra delegerede dataansvarlige eller operationelle dataansvarlige eller fra andre for så vidt angår den interne anvendelse af bestemmelserne i forordning (EU) 2018/1725 eller for så vidt angår den pågældendes samarbejde med EDPS.
            
            
               6.   Rådet og GSR støtter databeskyttelsesrådgiveren i forbindelse med udførelsen af de opgaver, der er omhandlet i artikel 45 i forordning (EU) 2018/1725, ved at tilvejebringe de ressourcer, der er nødvendige for at udføre disse opgaver, og give adgang til personoplysninger og behandlingsaktiviteter, samt vedligeholde databeskyttelsesrådgiverens ekspertise.
            
            
               7.   Databeskyttelsesrådgiveren må ikke afskediges eller straffes for at udføre sine opgaver. Databeskyttelsesrådgiveren kan kun afskediges i overensstemmelse med artikel 44, stk. 8, i forordning (EU) 2018/1725. EDPS høres skriftligt med henblik på at indhente dennes samtykke til en sådan afskedigelse i henhold til nævnte artikel. En kopi af nævnte samtykke fremsendes til databeskyttelsesrådgiveren.
            
            
               8.   GSR, navnlig de delegerede dataansvarlige og de operationelle dataansvarlige, sikrer, at databeskyttelsesrådgiveren inddrages tilstrækkeligt og rettidigt i alle spørgsmål vedrørende beskyttelse af personoplysninger.
            
         
         
            Artikel 5
            Opgaver og hverv
            
               1.   Databeskyttelsesrådgiveren udfører alle de opgaver, der er omhandlet i artikel 45 i forordning (EU) 2018/1725. Navnlig skal databeskyttelsesrådgiveren:
               
                           a)
                        
                        
                           sikre, at Rådet og GSR anvender og gennemfører af forordning (EU) 2018/1725 og overvåger overholdelsen af nævnte forordning og den gældende retlige ramme for beskyttelse af personoplysninger
                        
                     
                           b)
                        
                        
                           rådgive generalsekretæren for Rådet, de delegerede dataansvarlige og de operationelle dataansvarlige i spørgsmål vedrørende anvendelsen af databeskyttelsesbestemmelserne
                        
                     
                           c)
                        
                        
                           rådgive og bistå de delegerede dataansvarlige og de operationelle dataansvarlige, når der foretages en konsekvensanalyse vedrørende databeskyttelse i overensstemmelse med artikel 39 og 40 i forordning (EU) 2018/1725
                        
                     
                           d)
                        
                        
                           sikre, at de registreredes rettigheder og frihedsrettigheder ikke krænkes som følge af behandlingsaktiviteter
                        
                     
                           e)
                        
                        
                           øge bevidstheden om den gældende retlige ramme for beskyttelse af personoplysninger og bidrage til at skabe en kultur for beskyttelse af personoplysninger i GSR.
                        
                     Databeskyttelsesrådgiveren kan uden om de officielle kanaler høres af Rådets generalsekretær, de berørte dataansvarlige, Personaleudvalget samt enhver fysisk person om ethvert spørgsmål, der vedrører anvendelsen eller gennemførelsen af forordning (EU) 2018/1725.
            
            
               2.   Databeskyttelsesrådgiveren registrerer fortegnelserne over behandlingsaktiviteter og gør dem offentligt tilgængelige i overensstemmelse med artikel 12.
            
            
               3.   Databeskyttelsesrådgiveren fører et internt register over brud på persondatasikkerheden som omhandlet i artikel 3, nr. 16), i forordning (EU) 2018/1725.
            
            
               4.   Databeskyttelsesrådgiveren rådgiver på anmodning den delegerede dataansvarlige om anvendelsen af en begrænsning i anvendelsen af artikel 14-22, 35 og 36 samt artikel 4 i forordning (EU) 2018/1725.
            
            
               5.   Databeskyttelsesrådgiveren arrangerer og leder de regelmæssige møder for databeskyttelseskoordinatorer.
            
            
               6.   Databeskyttelsesrådgiveren forelægger en årlig rapport om sin virksomhed for generalsekretæren for Rådet og gør den tilgængelig for GSR's ansatte.
            
            
               7.   Databeskyttelsesrådgiveren samarbejder med de databeskyttelsesrådgivere, der er udpeget af andre af Unionens institutioner og organer, og deltager regelmæssigt i møder indkaldt af EDPS eller databeskyttelsesrådgiverne i de andre af Unionens institutioner og organer med henblik på at fremme et godt samarbejde, navnlig ved at udveksle erfaringer og god praksis.
            
            
               8.   Databeskyttelsesrådgiveren anses for at være delegeret dataansvarlig for de behandlingsaktiviteter, vedkommende foretager i forbindelse med udførelsen af sine opgaver.
            
         
         
            Artikel 6
            Beføjelser
            Som led i databeskyttelsesrådgiverens udførelse af sine opgaver og hverv
            
                        a)
                     
                     
                        skal vedkommende til enhver tid have adgang til de oplysninger, der er under behandling, og til alle kontorer, databehandlingsanlæg og databærere
                     
                  
                        b)
                     
                     
                        kan vedkommende anmode Rådets Juridiske Tjeneste om juridiske udtalelser
                     
                  
                        c)
                     
                     
                        kan vedkommende anmode om anden støtte fra de relevante generaldirektorater og tjenestegrene i GSR
                     
                  
                        d)
                     
                     
                        kan vedkommende tildele sager til de berørte generaldirektorater og tjenestegrene i GSR med henblik på den fornødne opfølgning
                     
                  
                        e)
                     
                     
                        kan vedkommende efter anmodning eller på eget initiativ foretage undersøgelser af spørgsmål og anliggender, der har direkte tilknytning til vedkommendes opgaver, i henhold til proceduren i artikel 14
                     
                  
                        f)
                     
                     
                        kan vedkommende foreslå Rådets generalsekretær administrative foranstaltninger og fremsætte generelle henstillinger om, hvordan forordning (EU) 2018/1725 bør anvendes
                     
                  
                        g)
                     
                     
                        kan vedkommende fremsætte henstillinger om praktiske forbedringer af anvendelsen af forordning (EU) 2018/1725 til GSR, de delegerede dataansvarlige og de operationelle dataansvarlige, herunder med henblik på at:
                        
                                    i)
                                 
                                 
                                    opfordre den delegerede dataansvarlige eller databehandleren til at imødekomme en registrerets anmodning om at udøve sine rettigheder i henhold til forordning (EU) 2018/1725
                                 
                              
                                    ii)
                                 
                                 
                                    udstede advarsler til den delegerede dataansvarlige eller databehandleren, hvis en behandlingsaktivitet er i strid med forordning (EU) 2018/1725, og opfordre dem til at bringe behandlingsaktiviteterne i overensstemmelse med bestemmelserne på en nærmere angivet måde og inden for en nærmere angivet frist, hvis dette er hensigtsmæssigt
                                 
                              
                                    iii)
                                 
                                 
                                    opfordre den delegerede dataansvarlige eller databehandleren til at suspendere overførsel af oplysninger til en modtager i en medlemsstat, til et tredjeland eller til en international organisation
                                 
                              
                                    iv)
                                 
                                 
                                    anmode den delegerede dataansvarlige eller databehandleren om inden for en fastsat frist at underrette databeskyttelsesrådgiveren om opfølgningen på databeskyttelsesrådgiverens anbefaling eller råd
                                 
                              
                  
                        h)
                     
                     
                        kan vedkommende anmode om bistand fra eksterne it- og kommunikationseksperter med forudgående samtykke fra den anvisningsberettigede i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 (9)
                        
                     
                  
                        i)
                     
                     
                        inviteres vedkommende til GSR's relevante bestyrelser og udvalg, når spørgsmål vedrørende behandling af personoplysninger drøftes, og kan foreslå relevante punkter på dagsordenen for de pågældende bestyrelser og udvalg
                     
                  
                        j)
                     
                     
                        kan vedkommende bringe det til GSR's ansættelsesmyndigheds kendskab, såfremt en ansat i GSR ikke opfylder de forpligtelser, der er fastsat i forordning (EU) 2018/1725, og foreslå, at der iværksættes en administrativ undersøgelse med henblik på i givet fald at anvende de sanktioner, der er fastsat i nævnte forordnings artikel 69
                     
                  
                        k)
                     
                     
                        er vedkommende ansvarlig for indledende afgørelser vedrørende anmodninger om aktindsigt i dokumenter, som den pågældendes kontor er i besiddelse af i henhold til forordning (EF) nr. 1049/2001, i samråd med GSR's relevante tjenestegrene.
                     
                  
         AFDELING 3
         
            RETTIGHEDER OG FORPLIGTELSER FOR AKTØRER PÅ DATABESKYTTELSESOMRÅDET
         
         
            Artikel 7
            Høring og underretning af databeskyttelsesrådgiveren
            
               1.   Den dataansvarlige inddrager databeskyttelsesrådgiveren i planlægningen og drøftelsen af en aktivitet, der indebærer behandling af personoplysninger. Databeskyttelsesrådgiveren underrettes om enhver behandlingsaktivitet og enhver væsentlig ændring af en igangværende behandlingsaktivitet.
            
            
               2.   Databeskyttelsesrådgiveren underrettes om GSR's udkast til interne noter og afgørelser, der direkte vedrører den interne anvendelse af forordning (EU) 2018/1725.
            
            
               3.   Databeskyttelsesrådgiveren underrettes om alle kontakter med eksterne parter vedrørende den interne anvendelse af forordning (EU) 2018/1725 og om ethvert samspil med EDPS, navnlig hvor EDPS høres eller underrettes i henhold til artikel 40 og 41 i nævnte forordning.
            
            
               4.   Databeskyttelsesrådgiveren høres om udkast til ordninger mellem fælles dataansvarlige og om udkast til kontraktbestemmelser om databeskyttelse eller andre retlige dokumenter, hvor personoplysninger behandles af en databehandler.
            
         
         
            Artikel 8
            Delegerede dataansvarlige
            
               1.   Delegerede dataansvarlige har til opgave at sikre, at alle behandlingsaktiviteter under deres ansvar foretages i overensstemmelse med forordning (EU) 2018/1725.
            
            
               2.   De delegerede dataansvarlige skal navnlig:
               
                           a)
                        
                        
                           udnævne en operationel dataansvarlig til at bistå den delegerede dataansvarlige med at sikre overholdelse af bestemmelserne i forordning (EU) 2018/1725, navnlig i forhold til registrerede
                        
                     
                           b)
                        
                        
                           føre fortegnelserne over behandlingsaktiviteter, der henhører under deres ansvar og sikre, at den operationelle dataansvarlige indsender fortegnelserne og den tilhørende databeskyttelseserklæring til databeskyttelsesrådgiveren til indførelse i det register, der er omhandlet i artikel 12
                        
                     
                           c)
                        
                        
                           have ansvaret for databehandleres og underdatabehandleres aktiviteter i forbindelse med behandlingen af personoplysninger på deres vegne og sikre, at behandlingen er reguleret af en kontrakt eller et andet retligt dokument i overensstemmelse med artikel 29, stk. 3, i forordning (EU) 2018/1725.
                        
                     
            
               3.   Delegerede dataansvarlige sikrer, at databeskyttelsesrådgiveren inddrages rettidigt i alle spørgsmål vedrørende personoplysninger, og indfører passende ordninger med henblik på at sikre, at databeskyttelseskoordinatoren inddrages tilstrækkeligt i alle spørgsmål vedrørende databeskyttelse i deres generaldirektorat eller anden tjenestegren i GSR.
            
            
               4.   Delegerede dataansvarlige sikrer, at der indføres passende tekniske og organisatoriske foranstaltninger til at påvise, at behandlingsaktiviteterne er i overensstemmelse med forordning (EU) 2018/1725, og giver de fornødne instrukser til GSR's ansatte med henblik på både at sikre behandlingens fortrolige karakter og tilvejebringe et sikkerhedsniveau, der er tilstrækkeligt i forhold til de risici, behandlingen indebærer. De kan rådføre sig med databeskyttelsesrådgiveren ved udvælgelsen af disse foranstaltninger.
            
            
               5.   Delegerede dataansvarlige underretter databeskyttelsesrådgiveren om håndteringen af enhver anmodning, der modtages fra en registreret vedrørende udøvelse af den pågældendes rettigheder og bistår databeskyttelsesrådgiveren og EDPS i udførelsen af deres respektive hverv, navnlig ved at efterkomme disses anmodninger om oplysninger inden for 30 dage.
            
            
               6.   Delegerede dataansvarlige har ansvaret for anvendelsen af en begrænsning i anvendelsen af artikel 14-22, 35 og 36 i forordning (EU) 2018/1725 samt artikel 4 i nævnte forordning i overensstemmelse med de relevante interne regler. Delegerede dataansvarlige inddrager under hele proceduren databeskyttelsesrådgiveren i anvendelsen af en sådan begrænsning.
            
            
               7.   Delegerede dataansvarlige sikrer, at der indføres interne ordninger med andre generaldirektorater eller tjenestegrene i GSR, hvis den delegerede dataansvarlige udfører behandlingsaktiviteter sammen med disse generaldirektorater eller tjenestegrene i GSR, eller hvis de udfører en del af den delegerede dataansvarliges behandlingsaktiviteter.
               I de ordninger, der er omhandlet i første afsnit, fastlægges de delegerede dataansvarliges og de andre generaldirektorater og tjenestegrene i GSR's respektive ansvar for overholdelse af deres databeskyttelsesforpligtelser. Disse ordninger skal navnlig omfatte udpegelse af den delegerede dataansvarlige, der skal fastlægge midlerne til og formålene med behandlingsaktiviteterne, såvel som den operationelle dataansvarlige for behandlingsaktiviteterne samt, hvis det er hensigtsmæssigt, de personer eller de enheder, der skal bistå den operationelle dataansvarlige, bl.a. med formidling i tilfælde af brud på datasikkerheden eller med at tage højde for de registreredes rettigheder.
            
         
         
            Artikel 9
            Operationelle dataansvarlige
            
               1.   Operationelle dataansvarlige bistår den delegerede dataansvarlige med at sikre overholdelse af bestemmelserne i forordning (EU) 2018/1725 i forbindelse med de behandlingsaktiviteter, som vedkommende har ansvaret for, og tjener som det primære kontaktpunkt for registrerede.
            
            
               2.   Operationelle dataansvarlige skal navnlig:
               
                           a)
                        
                        
                           modtage og behandle alle anmodninger fra registrerede
                        
                     
                           b)
                        
                        
                           udarbejde fortegnelser over behandlingsaktiviteter, der henhører under deres ansvar og den tilhørende databeskyttelseserklæring i samråd med databeskyttelseskoordinatoren
                        
                     
                           c)
                        
                        
                           sikre, at kontrakter og andre retlige dokumenter, der regulerer en databehandlers behandling af personoplysninger, er i overensstemmelse med forordning (EU) 2018/1725 og høre databeskyttelsesrådgiveren om udkast til kontraktbestemmelser om databeskyttelse
                        
                     
                           d)
                        
                        
                           sikre, at der foreligger dokumentation for overholdelsen af forordning (EU) 2018/1725.
                        
                     
            
               3.   Operationelle dataansvarlige underretter uden unødig forsinkelse databeskyttelsesrådgiveren i tilfælde af brud på persondatasikkerheden og giver denne alle de nødvendige oplysninger for, at vedkommende kan sikre, at Rådet opfylder forpligtelserne i forbindelse med brud på persondatasikkerheden i henhold til artikel 34 og 35 i forordning (EU) 2018/1725.
            
            
               4.   I samordning med den delegerede dataansvarlige og databeskyttelsesrådgiveren anmelder de operationelle dataansvarlige brud på persondatasikkerheden, hvis det er relevant, til EDPS. De underretter også de registrerede, hvis det er relevant.
            
            
               5.   Operationelle dataansvarlige sikrer, at databeskyttelseskoordinatoren holdes orienteret om alle spørgsmål vedrørende databeskyttelse.
            
            
               6.   Operationelle dataansvarlige vurderer risikoen for den registreredes rettigheder og frihedsrettigheder i forbindelse med de behandlingsaktiviteter, som de har ansvaret for, og foretager i givet fald en konsekvensanalyse vedrørende databeskyttelse. Operationelle dataansvarlige rådfører sig med databeskyttelsesrådgiveren, når de foretager disse konsekvensanalyser, og om behovet for forudgående høring i overensstemmelse med artikel 39 og 40 i forordning (EU) 2018/1725.
            
            
               7.   Operationelle dataansvarlige udfører enhver anden opgave, der er omfattet af denne afgørelse, på den delegerede dataansvarliges anmodning.
            
         
         
            Artikel 10
            Databeskyttelseskoordinatorer
            
               1.   Hvert generaldirektorat eller anden tjenestegren i GSR udpeger i samråd med databeskyttelsesrådgiveren en eller flere databeskyttelseskoordinatorer til at bistå den delegerede dataansvarlige og de operationelle dataansvarlige i vedkommendes generaldirektorat eller anden tjenestegren i GSR i enhver henseende for så vidt angår beskyttelse af personoplysninger.
            
            
               2.   Databeskyttelseskoordinatorer udvælges på grundlag af deres kendskab til og erfaringer med det pågældende generaldirektorat eller den pågældende anden tjenestegren i GSR's drift, deres egnethed til opgaverne, kompetencer for så vidt angår databeskyttelse, viden om principperne for informationssystemer samt kommunikationsevner. Nyudnævnte databeskyttelseskoordinatorer skal inden for seks måneder efter deres udpegelse gennemføre en uddannelse med henblik på at erhverve de kompetencer, der er nødvendige, for at de kan udføre deres rolle. Uddannelseskravet gælder dog ikke for en databeskyttelseskoordinator, der inden for to år forud for udpegelsen har arbejdet som kontaktperson i et andet generaldirektorat eller en anden tjenestegren i GSR.
            
            
               3.   Databeskyttelseskoordinatorernes opgaver indgår i jobbeskrivelsen for hver af de ansatte i GSR, der er udpeget som kontaktperson. Der henvises til deres ansvarsområder og opnåede resultater i den årlige bedømmelsesrapport.
            
            
               4.   Databeskyttelseskoordinatorer skal inddrages tilstrækkeligt og rettidigt i alle spørgsmål vedrørende databeskyttelse i deres generaldirektorat eller anden tjenestegren i GSR og udfører deres hverv i tæt samarbejde med databeskyttelsesrådgiveren.
            
            
               5.   Databeskyttelseskoordinatorer har ret til at indhente relevante oplysninger fra de dataansvarlige og fra de ansatte, når det er nødvendigt for udførelsen af deres opgaver i deres generaldirektorat eller anden tjenestegren i GSR. Dette omfatter ikke adgang til personoplysninger, der behandles under den delegerede dataansvarliges ansvar. Databeskyttelseskoordinatorerne har kun adgang til personoplysninger, hvis det er nødvendigt for udførelsen af deres opgaver.
            
            
               6.   Databeskyttelseskoordinatorerne øger kendskabet til databeskyttelse og bistår de delegerede dataansvarlige i deres generaldirektorat eller anden tjenestegren i GSR med hensyn til at opfylde deres forpligtelser, navnlig for så vidt angår:
               
                           a)
                        
                        
                           gennemførelsen af forordning (EU) 2018/1725
                        
                     
                           b)
                        
                        
                           identifikationen af de operationelle dataansvarlige og udarbejdelsen af fortegnelser over behandlingsaktiviteter og databeskyttelseserklæringer, inden de indgives til databeskyttelsesrådgiveren
                        
                     
                           c)
                        
                        
                           udarbejdelsen af en liste over alle igangværende behandlingsaktiviteter i generaldirektoratet eller den anden tjenestegren i GSR.
                        
                     
            
               7.   Databeskyttelseskoordinatorerne bistår de operationelle dataansvarlige i deres generaldirektorat eller anden tjenestegren i GSR med hensyn til at opfylde deres forpligtelser, navnlig for så vidt angår:
               
                           a)
                        
                        
                           udarbejdelsen af fortegnelser over behandlingsaktiviteter og databeskyttelseserklæringer, inden de indgives til databeskyttelsesrådgiveren
                        
                     
                           b)
                        
                        
                           dokumentation for behandlingen
                        
                     
                           c)
                        
                        
                           behandlingen af anmodninger fra de registrerede
                        
                     
                           d)
                        
                        
                           håndteringen af brud på datasikkerheden.
                        
                     
         
         
            Artikel 11
            De ansatte i GSR
            GSR's ansatte bidrager til at påse anvendelsen og gennemførelsen af forordning (EU) 2018/1725. GSR's ansatte må kun få adgang til personoplysninger eller behandle sådanne oplysninger efter instrukser fra den delegerede dataansvarlige eller den operationelle dataansvarlige, medmindre det kræves i henhold til EU-retten eller medlemsstaternes nationale ret.
         
         AFDELING 4
         
            ØVRIGE FORPLIGTELSER OG PROCEDURER
         
         
            Artikel 12
            Register
            
               1.   Databeskyttelsesrådgiveren fører et register over behandlingsaktiviteter og sikrer, at registret er tilgængeligt via databeskyttelsesrådgiverens websted på GSR's intranet og via Rådets websted.
            
            
               2.   Den operationelle dataansvarlige underretter databeskyttelsesrådgiveren om enhver behandlingsaktivitet og indsender fortegnelserne over behandlingsaktiviteter og den tilhørende databeskyttelseserklæring ved hjælp af en anmeldelsesformular, der er tilgængelig på GSR's intranet (under »Databeskyttelse«). Anmeldelsen sendes elektronisk til databeskyttelsesrådgiveren. Efter høring af databeskyttelsesrådgiveren bekræfter den delegerede dataansvarlige fortegnelsen og den tilhørende databeskyttelseserklæring, og databeskyttelsesrådgiveren indfører dem i registret.
            
            
               3.   Fortegnelsen skal omfatte alle de oplysninger, der er anført i artikel 31 i forordning (EU) 2018/1725. De oplysninger, som databeskyttelsesrådgiveren indfører i registret, kan dog undtagelsesvis begrænses til, hvad der er nødvendigt for at beskytte sikkerheden i forbindelse med en specifik behandling. Enhver ændring, der berører sådanne oplysninger, meddeles straks databeskyttelsesrådgiveren af den operationelle dataansvarlige.
            
         
         
            Artikel 13
            Brud på datasikkerheden
            
               1.   Hvor der sker et brud på persondatasikkerheden, søger den delegerede dataansvarlige eller den operationelle dataansvarlige bistand fra databeskyttelseskoordinatoren og underretter uden unødig forsinkelse databeskyttelsesrådgiveren om hændelsen og giver vedkommende alle de oplysninger, der er nødvendige for at kunne sikre, at Rådet opfylder forpligtelsen vedrørende anmeldelser og underretninger i henhold til artikel 34 og 35 i forordning (EU) 2018/1725.
            
            
               2.   Databeskyttelsesrådgiveren opretter og fører et internt register over brud på persondatasikkerheden. Delegerede dataansvarlige og operationelle dataansvarlige tilvejebringer de oplysninger, der skal indføres i registret.
            
            
               3.   De delegerede dataansvarlige og de operationelle dataansvarlige udarbejder anmeldelsen til EDPS i samråd med databeskyttelsesrådgiveren, medmindre det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder.
            
         
         
            Artikel 14
            Undersøgelser
            
               1.   Databeskyttelsesrådgiveren kan på eget initiativ eller efter anmodning fra den delegerede dataansvarlige, den operationelle dataansvarlige, databehandleren, Personaleudvalget eller enhver fysisk person undersøge anliggender og forhold, der har tilknytning til vedkommendes opgaver, og aflægge rapport til den person, der har anmodet om undersøgelsen, eller til den delegerede dataansvarlige, den operationelle dataansvarlige eller databehandleren.
            
            
               2.   Anmodninger om en undersøgelse fremsættes skriftligt til databeskyttelsesrådgiveren. I tilfælde af åbenlyst misbrug af retten til at anmode om en undersøgelse, f.eks. hvis den samme person kort tid forinden har indgivet en identisk anmodning, er den databeskyttelsesansvarlige ikke forpligtet til at besvare anmodningen.
            
            
               3.   Databeskyttelsesrådgiveren sender inden for 15 dage efter modtagelsen af en anmodning om en undersøgelse en kvittering for modtagelse til den person, som fremsatte anmodningen, og kontrollerer, om anmodningen skal behandles fortroligt.
            
            
               4.   Databeskyttelsesrådgiveren anmoder den delegerede dataansvarlige, som forestår den databehandlingsaktivitet, der er genstand for anmodningen om undersøgelse, om at forelægge en rapport om spørgsmålet. Den delegerede dataansvarlige sender svaret til databeskyttelsesrådgiveren inden for 15 dage. Databeskyttelsesrådgiveren kan anmode om supplerende oplysninger fra den delegerede dataansvarlige, den operationelle dataansvarlige, databehandleren eller andre relevante tjenester i GSR. Om fornødent kan databeskyttelsesrådgiveren anmode Rådets Juridiske Tjeneste om en udtalelse. De oplysninger eller den udtalelse, der anmodes om, sendes til databeskyttelsesrådgiveren inden for 30 dage.
            
            
               5.   Databeskyttelsesrådgiveren aflægger rapport til den person, der fremsatte anmodningen om en undersøgelse, senest tre måneder efter modtagelsen af anmodningen. Denne frist kan suspenderes, indtil databeskyttelsesrådgiveren har modtaget alle de nødvendige oplysninger, vedkommende har anmodet om.
            
            
               6.   Ingen må lide skade som følge af at have underrettet databeskyttelsesrådgiveren om en sag om påstået overtrædelse af forordning (EU) 2018/1725.
            
         
         
            Artikel 15
            Generelle regler for de registreredes udøvelse af rettigheder
            
               1.   En registrerets rettigheder som fastsat i artikel 14-24 i forordning (EU) 2018/1725 kan kun udøves af den registrerede eller dennes behørigt bemyndigede repræsentant.
            
            
               2.   Den registrerede fremsætter skriftlige anmodninger til den operationelle dataansvarlige med kopi til databeskyttelsesrådgiveren. Om fornødent bistår databeskyttelsesrådgiveren den registrerede med at finde frem til den rette operationelle dataansvarlige. Anmodningen kan indgives i elektronisk form og skal indeholde:
               
                           a)
                        
                        
                           den registreredes efternavn, fornavn og kontaktoplysninger samt datoen for anmodningen
                        
                     
                           b)
                        
                        
                           en angivelse af den rettighed, der udøves, og i givet fald dokumentation for anmodningen
                        
                     
                           c)
                        
                        
                           den eller de berørte kategorier af personoplysninger.
                        
                     
            
               3.   Den operationelle dataansvarlige sender den registrerede en kvittering for modtagelse senest fem arbejdsdage efter registreringen af anmodningen. Den operationelle dataansvarlige anmoder om eventuelle nødvendige præciseringer i tilfælde af, at anmodningen er uklar eller ufuldstændig. De gældende frister i henhold til artikel 14, stk. 3 og 4, i forordning (EU) 2018/1725 begynder først at løbe, når alle nødvendige præciseringer er blevet forelagt.
            
            
               4.   Den operationelle dataansvarlige kontrollerer den registreredes identitet i overensstemmelse med artikel 14, stk. 6, i forordning (EU) 2018/1725. De gældende frister i henhold til nævnte forordnings artikel 14, stk. 3 og 4, begynder først at løbe efter den periode, hvor identiteten kontrolleres.
            
            
               5.   Den operationelle dataansvarlige imødekommer enten den registreredes anmodning eller begrunder det fulde eller delvise afslag skriftligt inden for de frister, der er fastsat i artikel 14, stk. 3 og 4, i forordning (EU) 2018/1725.
            
            
               6.   Den operationelle dataansvarlige hører databeskyttelsesrådgiveren, hvis der er tale om en særdeles kompleks anmodning, uregelmæssigheder eller åbenlyst misbrug fra den registreredes side med hensyn til udøvelsen af vedkommendes rettigheder, hvor behandling af en anmodning sandsynligvis vil indebære en risiko for andre registreredes rettigheder eller frihedsrettigheder, og hvor den registrerede hævder, at behandlingen er ulovlig.
            
         
         
            Artikel 16
            Artikel 90-klager
            Såfremt der indgives klage som omhandlet i artikel 90 i personalevedtægten (»artikel 90-klage«) med hensyn til en sag vedrørende behandlingen af personoplysninger, hører ansættelsesmyndigheden databeskyttelsesrådgiveren. Uden at det berører antageligheden af artikel 90-klagen, angiver den ansatte i GSR i artikel 90-klagen, om der sideløbende er indgivet en klage til EDPS. Databeskyttelsesrådgiveren afgiver sin skriftlige udtalelse senest 15 dage efter modtagelsen af anmodningen fra ansættelsesmyndigheden. Har databeskyttelsesrådgiveren ikke forelagt ansættelsesmyndigheden sin udtalelse inden udløbet af dette tidsrum, er en udtalelse ikke længere påkrævet. Ansættelsesmyndigheden er ikke bundet af databeskyttelsesrådgiverens udtalelse.
         
         AFDELING 5
         
            BEGRÆNSNINGER AF DE REGISTREREDES RETTIGHEDER I FORBINDELSE MED UDØVELSEN AF DATABESKYTTELSESRÅDGIVERENS OPGAVER
         
         
            Artikel 17
            Undtagelser og begrænsninger
            
               1.   Når Rådet eller GSR udøver sit hverv med hensyn til registreredes rettigheder i henhold til forordning (EU) 2018/1725, skal det overveje, om en eller flere af undtagelserne i nævnte forordning finder anvendelse.
            
            
               2.   Med forbehold af artikel 18-22 i denne afgørelse kan Rådet eller GSR i overensstemmelse med artikel 25, stk. 1, litra c), g) og h), i forordning (EU) 2018/1725 begrænse anvendelsen af artikel 14-17, 19, 20 og 35 i nævnte forordning samt gennemsigtighedsprincippet i samme forordnings artikel 4, stk. 1, litra a), for så vidt som bestemmelserne deri svarer til de rettigheder og forpligtelser, der er fastsat i nævnte forordnings artikel 14-17, 19 og 20, hvis udøvelsen af disse rettigheder og forpligtelser ville bringe udøvelsen af databeskyttelsesrådgiverens opgaver i fare, herunder ved at afsløre databeskyttelsesrådgiverens undersøgelsesredskaber og -metoder, eller krænke andre registreredes rettigheder og frihedsrettigheder.
            
            
               3.   I henhold til artikel 18-22 i denne afgørelse kan Rådet eller GSR begrænse de rettigheder og forpligtelser, der er omhandlet i denne artikels stk. 2, med hensyn til personoplysninger, som databeskyttelsesrådgiveren modtager fra GSR's generaldirektorater eller tjenestegrene eller fra andre af Unionens institutioner eller organer. Rådet eller GSR kan gøre dette i de tilfælde, hvor udøvelsen af disse rettigheder og forpligtelser kan begrænses af disse generaldirektorater eller tjenestegrene i GSR, eller andre institutioner eller organer på grundlag af andre retsakter, jf. artikel 25 i forordning (EU) 2018/1725, eller i overensstemmelse med nævnte forordnings kapitel IX, Europa-Parlamentets og Rådets forordning (EU) 2016/794 (10) eller Rådets forordning (EU) 2017/1939 (11).
               Inden der anvendes begrænsninger i de tilfælde, der er omhandlet i første afsnit, skal Rådet eller GSR høre den eller det pågældende af Unionens institutioner eller organer, medmindre det er klart, at anvendelsen af en begrænsning er fastsat ved en af de retsakter, der er omhandlet i nævnte afsnit.
            
            
               4.   Enhver begrænsning af rettighederne og forpligtelserne, jf. stk. 2, skal være nødvendig og forholdsmæssig under hensyntagen til risiciene for registreredes rettigheder og frihedsrettigheder.
            
         
         
            Artikel 18
            Underretning af registrerede
            
               1.   GSR offentliggør databeskyttelsesmeddelelser på Rådets websted, hvorved registrerede oplyses om de af databeskyttelsesrådgiverens opgaver, der indebærer behandling af personoplysninger.
            
            
               2.   GSR underretter individuelt og i et passende format enhver fysisk person, som anses for at være en person, der er berørt af databeskyttelsesrådgiverens opgaver.
            
            
               3.   Hvis GSR helt eller delvis begrænser den i denne artikels stk. 2 omhandlede underretning af registrerede, indfører og registrerer det i overensstemmelse med artikel 21 årsagerne til begrænsningen.
            
         
         
            Artikel 19
            Registreredes ret til indsigt, ret til sletning og ret til begrænsning af behandling
            
               1.   Når Rådet eller GSR helt eller delvist begrænser registreredes ret til indsigt i personoplysninger, ret til sletning eller ret til begrænsning af behandling som omhandlet i henholdsvis artikel 17, 19 og 20 i forordning (EU) 2018/1725, underretter det i sin besvarelse af en anmodning om indsigt, sletning eller begrænsning af behandling den berørte registrerede om den anvendte begrænsning og om hovedårsagerne dertil samt om muligheden for at indgive en klage til EDPS eller søge domstolsprøvelse ved EU-Domstolen.
            
            
               2.   Underretning om årsagerne til den begrænsning, der er omhandlet i stk. 1, kan udsættes, udelades eller afvises, så længe det vil være til skade for formålet med begrænsningen at videregive dem. Rådet skal levere oplysningerne til den registrerede, så snart sådanne oplysninger ikke er til skade for dette formål.
            
            
               3.   GSR optegner og registrerer i overensstemmelse med artikel 21 årsagerne til begrænsningen.
            
         
         
            Artikel 20
            Underretning af den registrerede om brud på persondatasikkerheden
            Hvis Rådet eller GSR indfører begrænsninger i underretningen af den registrerede om et brud på persondatasikkerheden, som omhandlet i artikel 35 i forordning (EU) 2018/1725, optegner og registrerer GSR årsagerne til begrænsningen i overensstemmelse med denne afgørelses artikel 21.
         
         
            Artikel 21
            Dokumentation og registrering af begrænsninger
            
               1.   GSR optegner årsagerne til enhver begrænsning, der anvendes i henhold til denne afgørelse, herunder en individuel vurdering af begrænsningens nødvendighed og proportionalitet, under hensyntagen til de relevante elementer i artikel 25, stk. 2, i forordning (EU) 2018/1725.
               Med dette for øje skal det af fortegnelsen fremgå, hvordan udøvelsen af en eller flere af de rettigheder, der er omhandlet i artikel 14-17, 19, 20 og 35 i nævnte forordning, eller af gennemsigtighedsprincippet i samme forordnings artikel 4, stk. 1, litra a), ville bringe databeskyttelsesrådgiverens aktiviteter i henhold til denne afgørelse eller med de anvendte begrænsninger i henhold til denne afgørelses artikel 17, stk. 2 eller 3, i fare eller ville krænke andre registreredes rettigheder og frihedsrettigheder.
            
            
               2.   Fortegnelsen og i givet fald de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres. De stilles til rådighed for EDPS på dennes anmodning.
            
         
         
            Artikel 22
            Begrænsningernes varighed
            
               1.   De begrænsninger, der er omhandlet i artikel 18, 19 og 20, finder fortsat anvendelse, så længe årsagerne hertil gælder.
            
            
               2.   Hvis årsagerne til en begrænsning som omhandlet i artikel 18 og 20 ikke længere gælder, ophæver GSR begrænsningen og meddeler den registrerede årsagerne til begrænsningen. Samtidig underretter GSR den registrerede om muligheden for til enhver tid at indgive en klage til EDPS eller søge domstolsprøvelse ved Den Europæiske Unions Domstol.
            
            
               3.   GSR evaluerer anvendelsen af de i artikel 18 og 20 omhandlede begrænsninger hver sjette måned efter vedtagelsen heraf og under alle omstændigheder ved afslutningen af den pågældende af databeskyttelsesrådgiverens opgaver. GSR fører efter afslutningen på årlig basis tilsyn med, om det er nødvendigt at opretholde en begrænsning eller udsættelse.
            
         
         
            Artikel 23
            Databeskyttelsesrådgiverens evaluering
            
               1.   Hvis andre af GSR's generaldirektorater eller tjenestegrene konkluderer, at en registrerets rettigheder bør begrænses i medfør af denne afgørelse, underretter de databeskyttelsesrådgiveren. De giver ligeledes databeskyttelsesrådgiveren adgang til den fortegnelse og alle dokumenter, der indeholder de underliggende faktiske og retlige elementer. Databeskyttelsesrådgiverens inddragelse i anvendelsen af begrænsninger dokumenteres udførligt.
            
            
               2.   Databeskyttelsesrådgiveren kan anmode om, at den berørte delegerede dataansvarlige evaluerer anvendelsen af begrænsningerne. Den berørte delegerede dataansvarlige underretter skriftligt databeskyttelsesrådgiveren om resultatet af den anmodede evaluering.
            
         
         AFDELING 6
         
            AFSLUTTENDE BESTEMMELSER
         
         
            Artikel 24
            Ophævelse
            Afgørelse 2004/644/EF ophæves.
         
         
            Artikel 25
            Ikrafttræden
            Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
         
         
            Udfærdiget i Luxembourg, den 28. juni 2021.
            
               
                  På Rådets vegne
               
               M. do C. ANTUNES
               
                  Formand
               
            
         
         
            (1)  EUT L 295 af 21.11.2018, s. 39.
         
            (2)  Udtalelse af 6.4.2021 (endnu ikke offentliggjort i EUT).
         
            (3)  Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter (EFT L 145 af 31.5.2001, s. 43).
         
            (4)  Rådets afgørelse 2004/338/EF, Euratom af 22. marts 2004 om vedtagelse af Rådets forretningsorden (EUT L 106 af 15.4.2004, s. 22).
         
            (5)  Rådets afgørelse 2013/488/EU af 23. september 2013 om reglerne for sikkerhedsbeskyttelse af EU's klassificerede informationer (EUT L 274 af 15.10.2013, s. 1).
         
            (6)  Afgørelse truffet af generalsekretæren for Rådet/den højtstående repræsentant for den fælles udenrigs- og sikkerhedspolitik den 25. juni 2001 om en kodeks for god forvaltningsskik for Generalsekretariatet for Rådet for Den Europæiske Union og dets personale for så vidt angår deres tjenstlige forbindelser med offentligheden (EUT C 189 af 5.7.2001, s. 1).
         
            (7)  Rådets afgørelse 2004/644/EF af 13. september 2004 om vedtagelse af gennemførelsesbestemmelser til Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (EUT L 296 af 21.9.2004, s. 16).
         
            (8)  EFT L 56 af 4.3.1968, s. 1.
         
            (9)  Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 af 18. juli 2018 om de finansielle regler vedrørende Unionens almindelige budget, om ændring af forordning (EU) nr. 1296/2013, (EU) nr. 1301/2013, (EU) nr. 1303/2013, (EU) nr. 1304/2013, (EU) nr. 1309/2013, (EU) nr. 1316/2013, (EU) nr. 223/2014, (EU) nr. 283/2014 og afgørelse nr. 541/2014/EU og om ophævelse af forordning (EU, Euratom) nr. 966/2012 (EUT L 193 af 30.7.2018, s. 1).
         
            (10)  Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (EUT L 135 af 24.5.2016, s. 53).
         
            (11)  Rådets forordning (EU) 2017/1939 af 12. oktober 2017 om gennemførelse af et forstærket samarbejde om oprettelse af Den Europæiske Anklagemyndighed (»EPPO«) (EUT L 283 af 31.10.2017, s. 1).