CELEX: 32020Q1204(01)
Language: nl
Date: 2020-05-06 00:00:00
Title: Besluit van de raad van bestuur van het Europees Centrum voor de ontwikkeling van de beroepsopleiding (Cedefop) van 6 mei 2020 houdende vaststelling van interne voorschriften betreffende de beperking van bepaalde rechten van betrokkenen in verband met de verwerking van hun persoonsgegevens in het kader van het functioneren van Cedefop

4.12.2020   
               
               
                  NL
               
               
                  Publicatieblad van de Europese Unie
               
               
                  L 408/12
               
            
         BESLUIT VAN DE RAAD VAN BESTUUR VAN HET EUROPEES CENTRUM VOOR DE ONTWIKKELING VAN DE BEROEPSOPLEIDING (CEDEFOP)
         van 6 mei 2020
         houdende vaststelling van interne voorschriften betreffende de beperking van bepaalde rechten van betrokkenen in verband met de verwerking van hun persoonsgegevens in het kader van het functioneren van Cedefop
         DE RAAD VAN BESTUUR,
         Gezien het Verdrag betreffende de werking van de Europese Unie,
         Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1), en in het bijzonder artikel 25,
         Gezien Verordening (EU) 2019/128 van het Europees Parlement en de Raad van 16 januari 2019 tot oprichting van het Europees Centrum voor de ontwikkeling van de beroepsopleiding (“Cedefop”), en tot intrekking van Verordening (EEG) nr. 337/75 van de Raad (2), en in het bijzonder artikel 23, lid 4,
         Gezien het advies van de Europese Toezichthouder voor gegevensbescherming (EDPS) van 12 december 2019 en het richtsnoer van de EDPS over artikel 25 van de nieuwe verordening en de interne voorschriften (3),
         Overwegende hetgeen volgt:
         
                     (1)
                  
                  
                     Cedefop voert zijn activiteiten uit overeenkomstig Verordening (EU) 2019/128.
                  
               
                     (2)
                  
                  
                     Overeenkomstig artikel 25, lid 1, van Verordening (EU) 2018/1725 moet beperking van de toepassing van de artikelen 14 tot en met 22, 35 en 36, en artikel 4 van die verordening, voor zover de bepalingen daarvan overeenkomen met de rechten en verplichtingen waarin de artikelen 14 tot en met 22 voorzien, gebaseerd zijn op door Cedefop vast te stellen interne voorschriften, voor zover deze niet gebaseerd zijn op rechtshandelingen die op basis van de Verdragen zijn vastgesteld.
                  
               
                     (3)
                  
                  
                     De interne voorschriften, met inbegrip van bepalingen over de beoordeling van de noodzaak en evenredigheid van een beperking, mogen niet van toepassing zijn wanneer een op grond van de Verdragen aangenomen rechtshandeling in een beperking van de rechten van betrokkenen voorziet.
                  
               
                     (4)
                  
                  
                     Wanneer Cedefop zijn verplichtingen met betrekking tot de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 vervult, gaat het na of een van de in die verordening vastgestelde vrijstellingen van toepassing is.
                  
               
                     (5)
                  
                  
                     In het kader van zijn administratieve werking kan Cedefop administratieve onderzoeken instellen, tuchtprocedures inleiden, voorbereidende activiteiten verrichten in verband met mogelijke, bij OLAF aangemelde onregelmatigheden, klokkenluidersprocedures verwerken, (formele en informele) procedures in verband met intimidatie toepassen, interne en externe klachten verwerken, interne audits uitvoeren, onderzoeken uitvoeren via de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 en interne (IT-)veiligheidsonderzoeken verrichten en verzoeken van personeelsleden om toegang tot het eigen medisch dossier behandelen.
                     Cedefop verwerkt verschillende categorieën persoonsgegevens, waaronder harde gegevens (“objectieve” gegevens zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, gegevens uit specifieke bronnen, elektronische communicatie en verkeersgegevens) en/of zachte gegevens (“subjectieve” gegevens met betrekking tot de zaak, zoals redeneringen, gedragsgegevens, beoordelingen, prestatie- en uitvoeringsgegevens, en gegevens met betrekking tot of naar voren gebracht in verband met het voorwerp van de procedure of activiteit).
                  
               
                     (6)
                  
                  
                     Cedefop, vertegenwoordigd door zijn uitvoerend directeur, treedt op als de verwerkingsverantwoordelijke, ongeacht een verder delegeren van deze rol binnen Cedefop, voor de operationele specifieke verwerking van persoonsgegevens.
                  
               
                     (7)
                  
                  
                     De persoonsgegevens worden veilig opgeslagen in een elektronische omgeving of op papier waarmee misbruik of ongeoorloofde toegang door of overdracht van gegevens aan personen zonder noodzaak van kennisneming wordt voorkomen. De medische dossiers worden opgeslagen door de externe dienstverlener waarop Cedefop een beroep doet. De verwerkte persoonsgegevens worden niet langer bewaard dan noodzakelijk en passend voor de doeleinden waarvoor de gegevens worden verwerkt gedurende de periode die is gespecificeerd in de mededelingen over gegevensbescherming of registers van Cedefop.
                  
               
                     (8)
                  
                  
                     Deze interne voorschriften moeten van toepassing zijn op alle verwerkingen die door Cedefop worden verricht bij de uitvoering van administratieve onderzoeken, tuchtprocedures, voorbereidende activiteiten in verband met gevallen van mogelijke onregelmatigheden die bij OLAF zijn gemeld, klokkenluidersprocedures, (formele en informele) procedures voor gevallen van intimidatie, verwerking van interne en externe klachten, interne audits, onderzoeken door de functionaris voor gegevensbescherming in overeenstemming met artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU), en voor behandeling van verzoeken van personeelsleden om toegang tot het eigen medisch dossier.
                  
               
                     (9)
                  
                  
                     Deze interne voorschriften zijn van toepassing op verwerkingshandelingen voorafgaand aan het instellen van de bovengenoemde procedures, tijdens deze procedures en tijdens het toezicht op de follow-up van deze procedures. Hieronder valt ook bijstand door Cedefop aan, en zijn samenwerking met, nationale autoriteiten en internationale organisaties buiten het kader van zijn administratieve onderzoeken.
                  
               
                     (10)
                  
                  
                     In de gevallen waarop deze interne regels van toepassing zijn, moet Cedefop motiveren waarom de beperkingen strikt noodzakelijk en evenredig zijn in een democratische samenleving en de wezenlijke inhoud van de grondrechten en fundamentele vrijheden eerbiedigen.
                  
               
                     (11)
                  
                  
                     Binnen dit kader is Cedefop gehouden om, voor zover mogelijk, de grondrechten van de betrokkenen te respecteren tijdens de bovengenoemde procedures, in het bijzonder het recht op aan de betrokkene te verstrekken informatie, het recht van inzage, het recht op rectificatie en wissing van de persoonsgegevens en op beperking van de verwerking, het recht van mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene en vertrouwelijkheid van elektronische communicatie zoals verankerd in Verordening (EU) 2018/1725.
                  
               
                     (12)
                  
                  
                     Cedefop kan echter worden verplicht het recht op aan de betrokkene te verstrekken informatie en andere rechten van betrokkene te beperken om met name zijn eigen onderzoeken maar ook de onderzoeken en procedures van andere overheidsinstanties te beschermen, evenals de rechten van andere personen die betrokken zijn bij zijn onderzoeken of andere procedures.
                  
               
                     (13)
                  
                  
                     Cedefop controleert regelmatig of de voorwaarden die de beperking rechtvaardigen nog van toepassing zijn en heft de beperking op zodra dit niet langer het geval is.
                  
               
                     (14)
                  
                  
                     De verwerkingsverantwoordelijke moet de functionaris voor gegevensbescherming in kennis stellen op het moment dat hij voornemens is een beperking toe te passen en tijdens daaropvolgende evaluaties en hem of haar betrekken in alle stadia van de procedure totdat de beperking wordt opgeheven,
                  
               HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
         
            Artikel 1
            Onderwerp en toepassingsgebied
            
               1.   Dit besluit bevat voorschriften betreffende de voorwaarden waaronder Cedefop de toepassing kan beperken van de in de artikelen 14 tot en met 21, 35 en 36, alsmede artikel 4 van Verordening (EU) 2018/1725 vervatte rechten, in de context van de procedures zoals uiteengezet in lid 2 in overeenstemming met artikel 25 van die verordening.
            
            
               2.   In het kader van de administratieve werking van Cedefop is dit besluit van toepassing op de verwerking van persoonsgegevens door Cedefop met het oog op het verrichten van administratieve onderzoeken, tuchtprocedures, voorbereidende activiteiten in verband met mogelijke onregelmatigheden die aan OLAF zijn gemeld, de verwerking van klokkenluiderszaken, het toepassen van (formele en informele) procedures in verband met gevallen van intimidatie, de verwerking van interne en externe klachten, het uitvoeren van interne audits, onderzoeken uitgevoerd door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 en (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid worden behandeld (bijvoorbeeld CERT-EU), en de behandeling van verzoeken van personeelsleden om toegang tot het eigen medisch dossier.
            
            
               3.   De betreffende gegevenscategorieën zijn harde gegevens (“objectieve” gegevens zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, gegevens uit specifieke bronnen, elektronische communicatie en verkeersgegevens) en/of zachte gegevens (“subjectieve” gegevens met betrekking tot de zaak, zoals redeneringen, gedragsgegevens, beoordelingen, prestatiegegevens en gegevens met betrekking tot of naar voren gebracht in verband met het voorwerp van de procedure of activiteit).
            
            
               4.   Wanneer Cedefop zijn verplichtingen met betrekking tot de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 vervult, gaat het na of een van de in die verordening vastgestelde vrijstellingen van toepassing is.
            
            
               5.   Onder voorbehoud van de voorwaarden van dit besluit kunnen de beperkingen van toepassing zijn op de volgende rechten: het recht op aan de betrokkene te verstrekken informatie, het recht van inzage, rectificatie en wissing van de persoonsgegevens en beperking van de verwerking, het recht van mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene en vertrouwelijkheid van elektronische communicatie.
            
         
         
            Artikel 2
            Aanwijzing van de verwerkingsverantwoordelijke en vaststelling van waarborgen
            
               1.   Cedefop stelt de volgende waarborgen in om misbruik of ongeoorloofde toegang of doorgifte te voorkomen:
               
                           a)
                        
                        
                           papieren documenten worden bewaard in beveiligde kasten en zijn uitsluitend toegankelijk voor bevoegd personeel;
                        
                     
                           b)
                        
                        
                           alle elektronische gegevens worden opgeslagen in een beveiligde IT-toepassing volgens de beveiligingsnormen van Eurofound, evenals in specifieke elektronische mappen die alleen toegankelijk zijn voor geautoriseerd personeel. Passende toegangsniveaus worden individueel toegekend;
                        
                     
                           c)
                        
                        
                           de database van Eurofound wordt beveiligd met een wachtwoord via één enkel aanmeldsysteem en wordt automatisch verbonden met de ID en het wachtwoord van de gebruiker. E-registers worden veilig opgeslagen om de vertrouwelijkheid en privacy van de gegevens te waarborgen;
                        
                     
                           d)
                        
                        
                           alle personen die toegang hebben tot de gegevens zijn gebonden door geheimhoudingsplicht;
                        
                     
                           e)
                        
                        
                           de externe dienstverlener die de medische dossiers bewaart, is gebonden aan contractbepalingen inzake vertrouwelijkheid en de verwerking van persoonsgegevens.
                        
                     
            
               2.   De verantwoordelijke voor de verwerkingsactiviteiten is Cedefop, vertegenwoordigd door zijn uitvoerend directeur, die deze verantwoordelijkheid kan delegeren. Betrokkenen worden geïnformeerd over de gedelegeerde verantwoordelijke door middel van gegevensbeschermingsmededelingen of -registers die op de website en het intranet van Cedefop worden gepubliceerd.
            
            
               3.   De in artikel 1, lid 3, van dit besluit bedoelde persoonsgegevens worden niet langer bewaard dan noodzakelijk en passend is voor de doeleinden waarvoor de gegevens worden verwerkt. In geen geval worden zij langer bewaard dan de bewaringstermijn die is aangegeven in de gegevensbeschermingsmededelingen of -registers vermeld in artikel 3, lid 3, van dit besluit.
            
            
               4.   Wanneer Cedefop overweegt een beperking toe te passen, wordt het risico voor de rechten en vrijheden van de betrokkene afgewogen, in het bijzonder tegen het risico voor de rechten en vrijheden van andere betrokkenen en het risico dat de doeltreffendheid van de onderzoeken of procedures van Cedefop wordt ondermijnd, in het bijzonder door bewijsmateriaal te vernietigen. De risico’s voor de rechten en vrijheden van de betrokkene betreffen in de eerste plaats, maar zijn niet beperkt tot, reputatierisico’s en risico’s voor het recht op verdediging en het recht om te worden gehoord.
            
         
         
            Artikel 3
            Beperkingen
            
               1.   Beperkingen worden alleen door Cedefop opgelegd op basis van een of meer van de in de punten a) tot en met i) van artikel 25, lid 1, van Verordening (EU) 2018/1725 genoemde gronden. In het bijzonder in het kader van het verwerken van persoonsgegevens zoals uiteengezet in artikel 1, lid 2, van dit besluit, kunnen beperkingen op de volgende gronden worden gebaseerd:
               
                           a)
                        
                        
                           voor het uitvoeren van administratieve onderzoeken en tuchtprocedures kunnen beperkingen worden gebaseerd op artikel 25, lid 1, onder b), c), g) en h), van Verordening (EU) 2018/1725;
                        
                     
                           b)
                        
                        
                           voor voorbereidende activiteiten in verband met mogelijke onregelmatigheden die bij OLAF werden gemeld, kunnen beperkingen worden gebaseerd op artikel 25, lid 1, onder b), c), f), g) en h), van Verordening (EU) 2018/1725;
                        
                     
                           c)
                        
                        
                           voor klokkenluidersprocedures kunnen beperkingen worden gebaseerd op artikel 25, lid 1, onder b), c), f), g) en h), van Verordening (EU) 2018/1725;
                        
                     
                           d)
                        
                        
                           voor (formele en informele) procedures voor gevallen van intimidatie kunnen beperkingen worden gebaseerd op artikel 25, lid 1, onder b), f), h) en i), van Verordening (EU) 2018/1725;
                        
                     
                           e)
                        
                        
                           voor de behandeling van interne en externe klachten kunnen beperkingen worden gebaseerd op artikel 25, lid 1, onder c), e), g) en h), van Verordening (EU) 2018/1725;
                        
                     
                           f)
                        
                        
                           voor interne audits kunnen beperkingen worden gebaseerd op artikel 25, lid 1, onder c), g) en h), van Verordening (EU) 2018/1725;
                        
                     
                           g)
                        
                        
                           voor door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 verrichte onderzoeken kunnen beperkingen worden gebaseerd op artikel 25, lid 1, onder c), g) en h), van die verordening;
                        
                     
                           h)
                        
                        
                           voor (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld van CERT-EU) worden behandeld, kunnen beperkingen worden gebaseerd op artikel 25, lid 1, onder c), d), g) en h), van Verordening (EU) 2018/1725;
                        
                     
                           i)
                        
                        
                           voor de behandeling van verzoeken van personeelsleden om toegang tot het eigen medisch dossier kunnen beperkingen worden gebaseerd op artikel 25, lid 1, onder h), van Verordening (EU) 2018/1725.
                        
                     
            
               2.   Als specifieke toepassing van de hierboven in lid 1 beschreven doeleinden kan Cedefop onder de volgende omstandigheden beperkingen opleggen aan de rechten waarnaar wordt verwezen in artikel 1, lid 5, van dit besluit:
               
                           a)
                        
                        
                           wanneer een andere instelling, een ander orgaan of een andere instantie van de Europese Unie het recht heeft de uitoefening van deze rechten te beperken op basis van andere in artikel 25 van Verordening (EU) 2018/1725 genoemde handelingen of in overeenstemming met hoofdstuk IX van die verordening of met hun oprichtingsbesluiten, en het doel van een dergelijke beperking door die andere instelling, dat andere orgaan of die andere instanties van de Europese Unie in gevaar zou worden gebracht indien Cedefop een vergelijkbare beperking met betrekking tot dezelfde persoonsgegevens niet zou toepassen;
                        
                     
                           b)
                        
                        
                           wanneer de bevoegde autoriteit van een lidstaat het recht heeft om de uitoefening van deze rechten te beperken op basis van handelingen waarnaar wordt verwezen in artikel 23 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (4), of in het kader van nationale maatregelen tot omzetting van artikel 13, lid 3, artikel 15, lid 3, of artikel 16, lid 3, van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (5), en het doel van een dergelijke beperking door die bevoegde autoriteit van een lidstaat in gevaar zou worden gebracht indien Cedefop een vergelijkbare beperking met betrekking tot dezelfde persoonsgegevens niet zou toepassen;
                        
                     
                           c)
                        
                        
                           wanneer de uitoefening van deze rechten de samenwerking van Cedefop met derde landen of internationale organisaties bij de uitvoering van zijn taken in gevaar kan brengen.
                        
                     Alvorens beperkingen op te leggen in de omstandigheden als bedoeld in de eerste alinea, onder a) en b), raadpleegt Cedefop de betrokken instelling, instantie of het betrokken orgaan van de Unie of de bevoegde autoriteit van een lidstaat, tenzij het voor Cedefop duidelijk is dat de toepassing van een beperking wordt geregeld door een van de in die punten genoemde handelingen.
            
            
               3.   In de op zijn website en op het intranet gepubliceerde gegevensbeschermingsmededelingen of -registers in de zin van artikel 31 van Verordening (EU) 2018/1725, waarin betrokkenen worden geïnformeerd over hun rechten in het kader van een gegeven procedure, neemt Cedefop informatie op over mogelijke beperkingen van deze rechten. Aangegeven wordt welke rechten kunnen worden beperkt, de redenen daarvan en de mogelijk duur van de beperking.
               Onverminderd het bepaalde in artikel 5, lid 2, stelt Cedefop, indien dit evenredig is, alle betrokkenen die bij de specifieke verwerking betrokken zijn, onverwijld individueel in kennis van hun rechten met betrekking tot bestaande of toekomstige beperkingen, zonder onnodige vertraging en in schriftelijke vorm.
            
            
               4.   Elke beperking is noodzakelijk en evenredig, waarbij rekening wordt gehouden met de risico’s voor de rechten en vrijheden van betrokkenen, en de essentie van de fundamentele rechten en vrijheden in een democratische samenleving in acht wordt genomen.
            
            
               5.   Indien de toepassing van een beperking wordt overwogen, moet op basis van de huidige voorschriften een noodzakelijkheids- en evenredigheidstoets worden uitgevoerd. Ieder geval wordt voor verantwoordingsdoeleinden gedocumenteerd in een interne beoordelingsnota.
            
            
               6.   Beperkingen worden opgeheven zodra de omstandigheden die deze rechtvaardigen niet meer van toepassing zijn.
            
         
         
            Artikel 4
            Beoordeling door de functionaris voor gegevensbescherming
            
               1.   De functionaris voor gegevensbescherming van Cedefop (de “DPO”) wordt onverwijld in kennis gesteld wanneer de verwerkingsverantwoordelijke voornemens is de toepassing van rechten van betrokkenen te beperken of de beperking verlengt overeenkomstig dit besluit. De verwerkingsverantwoordelijke geeft de DPO toegang tot het register met de beoordeling van de noodzaak en evenredigheid van de beperking en legt in het register de datum vast waarop de DPO is geïnformeerd. De DPO blijft bij alle stadia van de procedure betrokken totdat de beperking is opgeheven.
            
            
               2.   De DPO kan de verwerkingsverantwoordelijke schriftelijk verzoeken de toepassing van de beperkingen opnieuw te beoordelen. De verwerkingsverantwoordelijke informeert de DPO schriftelijk over de uitkomst van de gevraagde beoordeling.
            
            
               3.   De verwerkingsverantwoordelijke informeert de DPO wanneer de beperking is opgeheven.
            
         
         
            Artikel 5
            Beperking van het recht op aan de betrokkene te verstrekken informatie
            
               1.   In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op aan de betrokkene te verstrekken informatie beperken in het kader van de volgende verwerkingen:
               
                           a)
                        
                        
                           de uitvoering van administratieve onderzoeken en tuchtprocedures;
                        
                     
                           b)
                        
                        
                           voorbereidende activiteiten in verband met mogelijke onregelmatigheden die bij OLAF zijn gemeld;
                        
                     
                           c)
                        
                        
                           klokkenluidersprocedures;
                        
                     
                           d)
                        
                        
                           (formele en informele) procedures voor gevallen van intimidatie;
                        
                     
                           e)
                        
                        
                           behandeling van interne en externe klachten;
                        
                     
                           f)
                        
                        
                           interne audits;
                        
                     
                           g)
                        
                        
                           door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 verrichte onderzoeken;
                        
                     
                           h)
                        
                        
                           (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld van CERT-EU) worden behandeld.
                        
                     
            
               2.   Wanneer Cedefop het recht op aan de in de artikelen 14 tot en met 16 van Verordening (EU) 2018/1725 bedoelde betrokkenen te verstrekken informatie geheel of gedeeltelijk beperkt, registreert het de redenen voor de beperking, de rechtsgrond(en) overeenkomstig artikel 3 van dit besluit, met inbegrip van een beoordeling van de noodzaak en evenredigheid van de beperking.
               Het registratiedossier en, in voorkomend geval, de documenten met de onderliggende feitelijke en juridische
               elementen worden geregistreerd,en worden desgevraagd aan de Europese Toezichthouder voor gegevensbescherming beschikbaar gesteld.
            
            
               3.   De in lid 2 bedoelde beperking blijft van toepassing zolang de redenen daarvoor blijven bestaan.
               Wanneer de redenen voor de beperking niet langer gelden, verstrekt Cedefop de betrokkene informatie over de voornaamste redenen waarop de toepassing van een beperking is gebaseerd. Tegelijkertijd stelt Cedefop de betrokkene in kennis van het recht om te allen tijde een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of om beroep in te stellen bij het Hof van Justitie van de Europese Unie (het “Hof van Justitie”).
               Cedefop evalueert de toepassing van de beperking elke zes maanden na vaststelling en bij de afsluiting van de enquête, de procedure of het onderzoek in kwestie. Daarna controleert de verwerkingsverantwoordelijke om de zes maanden of het nodig is om de beperkingen te handhaven. De beoordeling van de noodzaak en de evenredigheid zoals bedoeld in artikel 3, lid 5, wordt tevens uitgevoerd in het kader van elke periodieke toetsing, na een beoordeling van de vraag of de feitelijke of juridische redenen voor een beperking nog van toepassing zijn.
            
         
         
            Artikel 6
            Beperking van het recht op inzage van de betrokkene
            
               1.   In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op inzage van de betrokkene waar noodzakelijk en evenredig in het kader van de volgende verwerkingsactiviteiten beperken:
               
                           a)
                        
                        
                           de uitvoering van administratieve onderzoeken en tuchtprocedures;
                        
                     
                           b)
                        
                        
                           voorbereidende activiteiten in verband met mogelijke onregelmatigheden die bij OLAF zijn gemeld;
                        
                     
                           c)
                        
                        
                           klokkenluidersprocedures;
                        
                     
                           d)
                        
                        
                           (formele en informele) procedures voor gevallen van intimidatie;
                        
                     
                           e)
                        
                        
                           behandeling van interne en externe klachten;
                        
                     
                           f)
                        
                        
                           interne audits;
                        
                     
                           g)
                        
                        
                           door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 verrichte onderzoeken;
                        
                     
                           h)
                        
                        
                           (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld van CERT-EU) worden behandeld;
                        
                     
                           i)
                        
                        
                           behandeling van verzoeken van personeelsleden om toegang tot het eigen medisch dossier.
                        
                     Wanneer betrokkenen op grond van artikel 17 van Verordening (EU) 2018/1725 toegang vragen tot hun persoonsgegevens die worden verwerkt in het kader van een of meer specifieke gevallen of een specifieke verwerkingsactiviteit, beperkt Cedefop zijn beoordeling van het verzoek uitsluitend tot deze persoonsgegevens.
            
            
               2.   Wanneer Cedefop het recht van inzage als bedoeld in artikel 17 van Verordening (EU) 2018/1725 geheel of gedeeltelijk beperkt, neemt het de volgende stappen:
               
                           a)
                        
                        
                           het stelt de betrokkene, in zijn antwoord op het verzoek, op de hoogte van de opgelegde beperking en de voornaamste redenen daarvoor, alsmede van de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of beroep in te stellen bij het Hof van Justitie;
                        
                     
                           b)
                        
                        
                           het vermeldt in een intern document de redenen voor de beperking, met inbegrip van een beoordeling van de noodzaak en de evenredigheid van de beperking en de duur ervan.
                        
                     Beperkingen die worden opgelegd aan het recht van inzage van personeelsleden in het eigen medisch dossier hebben alleen betrekking op verzoeken om rechtstreekse inzage door personeelsleden in medische gegevens van psychologische of psychiatrische aard wanneer uit een beoordeling per geval is gebleken dat onrechtstreekse inzage noodzakelijk is voor de bescherming van de betrokkene. Inzage in dergelijke gegevens wordt gegeven door tussenkomst van een door de betrokkene aangewezen arts. De door de betrokkene gekozen arts krijgt inzage in alle informatie en discretionaire bevoegdheid om te beslissen hoe en wat voor inzage aan de betrokkene moet worden verleend.
               De verstrekking van de onder a) bedoelde informatie kan worden uitgesteld, achterwege gelaten of geweigerd als daardoor de gevolgen van de beperking overeenkomstig artikel 25, lid 8, van Verordening (EU) 2018/1725 teniet zouden worden gedaan.
               Cedefop evalueert de toepassing van de beperking elke zes maanden na vaststelling en bij de afsluiting van de enquête, de procedure of het onderzoek in kwestie. Daarna controleert de verwerkingsverantwoordelijke om de zes maanden of het nodig is om de beperkingen te handhaven. De beoordeling van de noodzaak en de evenredigheid zoals bedoeld in artikel 3, lid 5, wordt tevens uitgevoerd in het kader van elke periodieke toetsing, na een beoordeling van de vraag of de feitelijke of juridische redenen voor een beperking nog van toepassing zijn.
            
            
               3.   De opgetekende gegevens en, indien van toepassing, de documenten met onderliggende feitelijke en juridische elementen worden geregistreerd en worden op verzoek aan de Europese Toezichthouder voor gegevensbescherming ter beschikking gesteld.
            
         
         
            Artikel 7
            Beperking van het recht van de betrokkene op rectificatie en wissing van persoonsgegevens en beperking van de verwerking
            
               1.   In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke de rechten van de betrokkene op rectificatie en wissing van persoonsgegevens en beperking van de verwerking indien noodzakelijk en passend beperken in het kader van de volgende verwerkingen:
               
                           a)
                        
                        
                           de uitvoering van administratieve onderzoeken en tuchtprocedures;
                        
                     
                           b)
                        
                        
                           voorbereidende activiteiten in verband met mogelijke onregelmatigheden die bij OLAF zijn gemeld;
                        
                     
                           c)
                        
                        
                           klokkenluidersprocedures;
                        
                     
                           d)
                        
                        
                           (formele en informele) procedures voor gevallen van intimidatie;
                        
                     
                           e)
                        
                        
                           behandeling van interne en externe klachten;
                        
                     
                           f)
                        
                        
                           interne audits;
                        
                     
                           g)
                        
                        
                           door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 verrichte onderzoeken;
                        
                     
                           h)
                        
                        
                           (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld van CERT-EU) worden behandeld.
                        
                     
            
               2.   Wanneer Cedefop de toepassing van het recht van de betrokkene op rectificatie en wissing van persoonsgegevens en beperking van de verwerking als bedoeld in respectievelijk de artikelen 18, 19, lid 1, en artikel 20, lid 1, van Verordening (EU) 2018/1725 geheel of gedeeltelijk beperkt, neemt het de in artikel 6, lid 2, van dit besluit genoemde maatregelen om het dossier te registreren overeenkomstig artikel 6, lid 3.
            
         
         
            Artikel 8
            Beperking van het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene en vertrouwelijkheid van elektronische communicatie
            
               1.   In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene waar noodzakelijk en passend beperken in het kader van de volgende verwerkingen:
               
                           a)
                        
                        
                           de uitvoering van administratieve onderzoeken en tuchtprocedures;
                        
                     
                           b)
                        
                        
                           voorbereidende activiteiten in verband met mogelijke onregelmatigheden die bij OLAF zijn gemeld;
                        
                     
                           c)
                        
                        
                           klokkenluidersprocedures;
                        
                     
                           d)
                        
                        
                           interne audits;
                        
                     
                           e)
                        
                        
                           door de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van Verordening (EU) 2018/1725 verrichte onderzoeken;
                        
                     
                           f)
                        
                        
                           (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld van CERT-EU) worden behandeld.
                        
                     
            
               2.   In naar behoren gemotiveerde gevallen en onder de voorwaarden die in dit besluit zijn vastgelegd, kan de verwerkingsverantwoordelijke het recht op vertrouwelijkheid van elektronische communicatie waar noodzakelijk en passend beperken in het kader van de volgende verwerkingen:
               
                           a)
                        
                        
                           de uitvoering van administratieve onderzoeken en tuchtprocedures;
                        
                     
                           b)
                        
                        
                           voorbereidende activiteiten in verband met mogelijke onregelmatigheden die bij OLAF zijn gemeld;
                        
                     
                           c)
                        
                        
                           klokkenluidersprocedures;
                        
                     
                           d)
                        
                        
                           formele procedures voor gevallen van intimidatie;
                        
                     
                           e)
                        
                        
                           e) de behandeling van interne en externe klachten;
                        
                     
                           f)
                        
                        
                           (IT-)veiligheidsonderzoeken die intern of met externe betrokkenheid (bijvoorbeeld van CERT-EU) worden behandeld.
                        
                     
            
               3.   Wanneer Cedefop de rechten op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of vertrouwelijkheid van elektronische communicatie als bedoeld in respectievelijk de artikelen 35 en 36 van Verordening (EU) 2018/1725 beperkt, legt het de redenen voor de beperking vast en registreert het die overeenkomstig artikel 5, lid 2, van dit besluit. Artikel 5, lid 3, van dit besluit is ook van toepassing.
            
         
         
            Artikel 9
            Inwerkingtreding
            Dit besluit treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
         
         
            Gedaan op 6 mei 2020.
            
               
                  Voor de raad van bestuur
               
               Barbara DORN
               
                  Voorzitter van de raad van bestuur
               
            
         
         
            (1)  PB L 295 van 21.11.2018, blz. 39.
         
            (2)  PB L 30 van 31.1.2019, blz. 90.
         
            (3)  https://edps.europa.eu/sites/edp/files/publication/18-12-20_guidance_on_article_25_en.pdf
         
            (4)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).
         
            (5)  Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89).