CELEX: 32020Q0722(01)
Language: sv
Date: 2020-06-04 00:00:00
Title: Europeiska investeringsfondens beslut av den 4 juni 2020 om interna bestämmelser avseende begränsningar av vissa av de rättigheter som registrerade har i samband med behandling av personuppgifter inom ramen för åtgärder som vidtas av Europeiska investeringsfonden

22.7.2020   
               
               
                  SV
               
               
                  Europeiska unionens officiella tidning
               
               
                  L 236/1
               
            
         EUROPEISKA INVESTERINGSFONDENS BESLUT
         av den 4 juni 2020
         om interna bestämmelser avseende begränsningar av vissa av de rättigheter som registrerade har i samband med behandling av personuppgifter inom ramen för åtgärder som vidtas av Europeiska investeringsfonden
         EUROPEISKA INVESTERINGSFONDEN HAR ANTAGIT DETTA BESLUT
         med beaktande av fördraget om Europeiska unionens funktionssätt,
         med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (1) (nedan kallad förordningen), och särskilt artikel 25,
         med beaktande av Europeiska datatillsynsmannens (EDPS) yttrande (2), och
         av följande skäl:
         
                     (1)
                  
                  
                     Europeiska investeringsfondens (EIF) avdelning för efterlevnad får, inom ramen för sin verksamhet, genomföra administrativa utredningar, i enlighet med uppförandekoden för EIB-gruppens anställda, vilket innebär behandling av uppgifter, inbegripet personuppgifter.
                  
               
                     (2)
                  
                  
                     EIF:s dataskyddsombud får på eget initiativ eller på begäran av den personuppgiftsansvarige eller varje enskild person, utreda frågor och händelser som har direkt samband med hans eller hennes uppgifter och som kommer till hans eller hennes kännedom och rapportera tillbaka till den person som beställde utredningen eller till den personuppgiftsansvarige, i enlighet med artikel 45.2 i förordningen.
                  
               
                     (3)
                  
                  
                     EIF:s personal- och resursavdelning får, inom ramen för sin verksamhet, genomföra disciplinära förfaranden, i enlighet med avsnitt 6 i EIF:s tjänsteföreskrifter, avdelning IV i policyn om värdighet på arbetsplatsen och EIF:s tillämpliga uppförandekoder.
                  
               
                     (4)
                  
                  
                     EIF:s styrelseledamöter, verkställande direktör, vice VD och anställda samt parter till åtgärder/transaktioner är skyldiga att rapportera varje eventuellt förbjudet beteende till Europeiska investeringsbankens (nedan kallad EIB) utredningstjänst för bedrägerier (IG/IN), (t.ex. bedrägeri eller korruption), som kan skada EIF:s eller unionens intressen, eller rapportera till andra behöriga avdelningar vad gäller ett uppträdande i tjänsten som kan innebära ett allvarligt avsteg från tillämpliga förpliktelser. Dessutom kan varje enskild person och enhet rapportera anklagelser om förbjudet beteende till IG/IN.
                  
               
                     (5)
                  
                  
                     Utredningar av förbjudet beteende, enligt definitionen i EIF:s bedrägeribekämpningspolitik, utförs av IG/IN, i egenskap av personuppgiftsbiträde, baserat på ramavtalet mellan EIF och EIB om tillhandahållande av tjänster.
                  
               
                     (6)
                  
                  
                     EIF genomför granskning av sin egen verksamhet. Detta utförs för närvarande av EIB:s division för internrevision, baserat på ramavtalet mellan EIF och EIB om tillhandahållande av tjänster.
                  
               
                     (7)
                  
                  
                     Mot bakgrund av de uppgifter som beskrivs i skälen 1–6 får EIF tillhandahålla och ta emot bistånd samt samarbeta med andra av unionens institutioner, organ och byråer såsom föreskrivs i relevanta servicenivåavtal, samförståndsavtal och samarbetsavtal.
                  
               
                     (8)
                  
                  
                     EIF får tillhandahålla och ta emot bistånd samt samarbeta med medlemsstaternas offentliga myndigheter, på deras begäran eller på eget initiativ.
                  
               
                     (9)
                  
                  
                     EIF får tillhandahålla och ta emot bistånd samt samarbeta med tredjeländers nationella myndigheter och internationella organisationer, på deras begäran eller på eget initiativ.
                  
               
                     (10)
                  
                  
                     Inom ramen för ovanstående åtgärder, får EIF, som personuppgiftsansvarig, eller någon av EIF:s affärspartner som avses i skäl 4 ovan, inbegripet EIB:s utredningstjänst för bedrägerier, som personuppgiftsbiträde, eller annan behörig avdelning, samla in och behandla information och personuppgifter, inbegripet fysiska personers identifieringsuppgifter, kontaktuppgifter, yrkesroller och -uppgifter, information om privat och yrkesmässig etik och prestation samt finansiella uppgifter.
                  
               
                     (11)
                  
                  
                     Lämpliga skyddsåtgärder har införts för att skydda personuppgifter och förhindra oavsiktlig eller olaglig åtkomst eller överföring, oavsett om de lagras i en fysisk eller elektronisk miljö. Efter behandlingen bevaras uppgifterna i enlighet med de lagringsbestämmelser som är tillämpliga för EIF, såsom de definieras i dataskyddsregister på grundval av artikel 31 i förordningen. I slutet av lagringsperioden raderas, anonymiseras eller överförs ärenderelaterad information inbegripet personuppgifter till de historiska arkiven, i överensstämmelse med principerna i EU:s dataskyddsförordning och relaterade rättsakter samt EIF:s politik.
                  
               
                     (12)
                  
                  
                     I detta sammanhang har EIF en skyldighet att tillhandahålla information till de registrerade i samband med ovannämnda behandling och respektera de registrerades rättigheter såsom föreskrivs i förordningen.
                  
               
                     (13)
                  
                  
                     Det kan vara nödvändigt att förena de registrerades rättigheter enligt förordningen med behovet av ovannämnda åtgärder, samtidigt som grundläggande rättigheter och friheter för andra registrerade respekteras fullt ut. I detta syfte föreskrivs i artikel 25 i förordningen en möjlighet att, under stränga villkor, begränsa tillämpningen av artiklarna 14–20, 35 och 36 samt artikel 4, i den mån som bestämmelserna motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–20. I ett sådant fall är det nödvändigt att anta interna bestämmelser enligt vilka EIF får begränsa dessa rättigheter för registrerade i överensstämmelse med samma artikel i förordningen.
                  
               
                     (14)
                  
                  
                     Detta kan särskilt vara fallet vid tillhandahållande av information om behandling av personuppgifter till den registrerade vid den preliminära bedömningsfasen i en administrativ utredning eller under själva utredningen, före en eventuell avvisning av ärendet eller i ett skede som föregår ett disciplinärt förfarande. Under vissa omständigheter kan ett tillhandahållande av sådan information allvarligt påverka EIF:s förmåga att genomföra utredningen på ett effektivt sätt, till exempel när det finns en risk att den berörda personen förstör bevisning eller påverkar eventuella vittnen innan de kan höras. Vidare kan EIF behöva skydda andra berörda personers rättigheter och friheter. Det kan särskilt vara nödvändigt att garantera integritetsskyddet för ett vittne eller en uppgiftslämnare som har bett om att inte bli identifierad. I ett sådant fall kan EIF besluta att begränsa åtkomsten vad gäller identiteten, uttalanden och andra uppgifter från uppgiftslämnaren och/eller andra berörda personer för att skydda deras rättigheter och friheter.
                  
               
                     (15)
                  
                  
                     När EIF tillhandahåller och tar emot bistånd samt samarbetar med andra EU- institutioner, organ och byråer, medlemsstaternas offentliga myndigheter, tredjeländers nationella myndigheter och internationella organisationer i samband med ovannämnda åtgärder, kan EIF, under särskilda omständigheter, och där en miniminivå av dataskydd upprätthålls som krävs av Europeiska datatillsynsmannen, behöva säkerställa att dess utredningar eller utredningar som genomförs av en enhet som den samarbetar med är effektiva, och om nödvändigt skydda berörda personer och deras rättigheter och friheter.
                  
               
                     (16)
                  
                  
                     EIF ska endast tillämpa begränsningar om de respekterar andemeningen i de grundläggande rättigheterna och friheterna och utgör en absolut nödvändig och proportionell åtgärd i ett demokratiskt samhälle. EIF ska motivera skälen för dessa begränsningar.
                  
               
                     (17)
                  
                  
                     På grundval av principen om ansvarsskyldighet måste EIF föra ett register över tillämpningen av dessa begränsningar.
                  
               
                     (18)
                  
                  
                     När EIF behandlar personuppgifter som utbyts med andra organisationer i samband med dess uppgifter, ska EIF samråda med dessa organisationer om eventuella relevanta grunder för att införa begränsningar och om begränsningarna är nödvändiga och proportionella, såvida detta inte skulle äventyra EIF:s verksamhet.
                  
               
                     (19)
                  
                  
                     Enligt artikel 25.6 i förordningen ska den personuppgiftsansvarige informera de registrerade om de huvudsakliga skälen till begränsningen och om deras rätt att ge in ett klagomål till Europeiska datatillsynsmannen.
                  
               
                     (20)
                  
                  
                     Enligt artikel 25.8 i förordningen får EIF skjuta upp, utelämna eller neka tillhandahållande av information till den registrerade om skälen till begränsningen, om det på något sätt skulle upphäva verkan av begränsningen. EIF ska i varje enskilt fall bedöma huruvida meddelandet av begränsningen skulle upphäva dess verkan.
                  
               
                     (21)
                  
                  
                     Dataskyddsombudet får utföra en oberoende granskning av tillämpningen av begränsningarna, för att säkerställa att detta beslut efterlevs.
                  
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
         
            Artikel 1
            Syfte och tillämpningsområde
            I detta beslut fastställs bestämmelser om de villkor på vilka EIF får begränsa tillämpningen av artiklarna 14–20, 35 och 36, samt artikel 4, på grundval av artikel 25 i förordningen.
         
         
            Artikel 2
            Begränsningar
            
               1.   I enlighet med artikel 25.1 i förordningen får EIF, endast från fall till fall, begränsa tillämpningen av artiklarna 14–20, 35 och 36, samt artikel 4, i den mån som bestämmelserna motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–20, när EIF:
               
                           a)
                        
                        
                           genomför administrativa utredningar, i enlighet med EIB-gruppens uppförandekod och andra tillämpliga uppförandekoder,
                        
                     
                           b)
                        
                        
                           genomför utredningar avseende frågor och händelser som har direkt samband med dataskyddsombudets uppgifter, enligt artikel 45.2 i förordningen,
                        
                     
                           c)
                        
                        
                           genomför disciplinära förfaranden, i enlighet med avsnitt 6 i EIF:s tjänsteföreskrifter, avdelning IV i policyn om värdighet på arbetsplatsen, EIB-gruppens uppförandekod och EIF:s andra tillämpliga uppförandekoder,
                        
                     
                           d)
                        
                        
                           säkerställer att EIF:s personal konfidentiellt får rapportera uppgifter när de anser att det föreligger betydande oegentligheter såsom regleras i EIB-gruppens politik för anmälningar av oegentligheter,
                        
                     
                           e)
                        
                        
                           säkerställer att EIF:s personal konfidentiellt får rapportera uppgifter när de anser att det finns misstankar om förbjudet beteende, inbegripet bedrägeri eller korruption, som kan skada unionens intressen eller ett uppträdande i tjänsten som kan innebära ett allvarligt avsteg från förpliktelserna för EIF:s personal, såsom det regleras i EIB-gruppens politik för anmälningar av oegentligheter, EIF:s bedrägeribekämpningspolitik och EIF:s relevanta uppförandekoder,
                        
                     
                           f)
                        
                        
                           genomför utredningar av förbjudet beteende, i enlighet med EIF:s bedrägeribekämpningspolitik,
                        
                     
                           g)
                        
                        
                           genomför interna granskningar med avseende på EIF:s samtliga åtgärder och avdelningar,
                        
                     
                           h)
                        
                        
                           tillhandahåller och tar emot bistånd samt samarbetar med andra av unionens institutioner, organ och byråer, i samband med ovannämnda uppgifter, såsom föreskrivs i relevanta servicenivåavtal, samförståndsavtal och samarbetsavtal,
                        
                     
                           i)
                        
                        
                           tillhandahåller och tar emot bistånd samt samarbetar med medlemsstaternas offentliga myndigheter, på deras begäran eller på eget initiativ,
                        
                     
                           j)
                        
                        
                           tillhandahåller och tar emot bistånd samt samarbetar med tredjeländers nationella myndigheter och internationella organisationer, på deras begäran eller på eget initiativ.
                        
                     
            
               2.   Kategorier av personuppgifter kan innefatta fysiska personers identifieringsuppgifter, kontaktuppgifter, yrkesroller och -uppgifter, information om privat och yrkesmässig etik och prestation, uppgifter relaterade till ärendet samt finansiella uppgifter.
            
            
               3.   Tillämpningen av ovannämnda begränsningar påverkar inte en eventuell tillämpning av artiklarna 16.5 och 17.4 i förordningen, som hänför sig till rätten till information om uppgifterna inte har samlats in från den registrerade och den registrerades rätt till tillgång.
            
            
               4.   Eventuella begränsningar ska respektera andemeningen i de grundläggande rättigheterna och friheterna och vara nödvändiga och proportionella i ett demokratiskt samhälle, i enlighet med förordningen, motsvarande rättsakter eller EIF:s och EIB-gruppens interna politik.
            
            
               5.   Eventuella begränsningar ska baseras på ett uttryckligt godkännande i en gällande intern EIF-policy eller förfarande och ska påverka de(n) berörda registrerades rättigheter så lite som möjligt, som bekräftats av dataskyddsombudet.
            
            
               6.   En bedömning av behovet och proportionaliteten ska genomföras i varje enskilt fall och på ett sätt som tillfredsställer dataskyddsombudet innan begränsningar tillämpas. De ska begränsas till vad som är absolut nödvändigt för att uppnå de fastställda målen. Begränsningar ska endast gälla för den tidsperiod som krävs för varje relevant grund i punkt 1, som åberopas som motivering till begränsningen, vilka ska visas inför dataskyddsombudet.
            
            
               7.   När IG/IN, helt eller delvis, begränsar tillhandahållandet av information till registrerade av relevans för en utredning (berörd person, vittne eller uppgiftslämnare), ska IG/IN registrera skälen till begränsningen, inklusive en behovs- och proportionalitetsbedömning av begränsningen. För detta ändamål ska det anges i registret hur tillhandahållandet av informationen kan äventyra syftet med IG/IN:s utredningsverksamhet och begränsningar som tillämpas i enlighet med artikel 2.1 f, g och h i detta beslut eller skulle inverka menligt på andra registrerades rättigheter och friheter. Registret och, i tillämpliga fall, handlingarna med de sakliga och rättsliga grunderna ska registreras. De ska på begäran göras tillgängliga för Europeiska datatillsynsmannen.
            
            
               8.   EIF ska i redovisningssyfte registrera skälen till de tillämpade begränsningarna, vilka grunder av de som anges i punkt 1 som är tillämpliga och resultatet av bedömningen av behovet och proportionaliteten. Dessa uppgifter ska utgöra del av ett ad hoc-register som på begäran ska göras tillgängligt för Europeiska datatillsynsmannen.
            
            
               9.   Vid behandling av personuppgifter som utbyts med andra organisationer i samband med EIF:s uppgifter ska EIF samråda med dessa organisationer om eventuella relevanta grunder för att införa begränsningar och om begränsningarna är nödvändiga och proportionella, såvida detta inte skulle äventyra EIF:s verksamhet.
            
         
         
            Artikel 3
            Risker för de registrerades rättigheter och friheter
            Bedömningen av riskerna för rättigheter och friheter för registrerade vars personuppgifter kan vara föremål för begränsningar samt deras lagringsperiod ska anges i registret över den relevanta behandlingen i enlighet med artikel 31 i förordningen och i förekommande fall i relevanta konsekvensbedömningar avseende uppgiftsskydd på grundval av artikel 39 i förordningen.
         
         
            Artikel 4
            Lagringsperioder och skyddsåtgärder
            EIF ska genomföra skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring av personuppgifter som kan vara föremål för begränsningar. Dessa skyddsåtgärder ska omfatta tekniska och organisatoriska åtgärder och ska, om så behövs, specificeras i EIF:s interna beslut, förfaranden och genomförandebestämmelser. Skyddsåtgärderna ska omfatta följande:
            
                        1.
                     
                     
                        En lämplig definition av funktioner, ansvar och olika steg i förfarandet.
                     
                  
                        2.
                     
                     
                        I förekommande fall en säker elektronisk miljö som förebygger olaglig eller oavsiktlig tillgång till eller överföring av elektroniska uppgifter till obehöriga personer.
                     
                  
                        3.
                     
                     
                        I förekommande fall säker lagring och behandling av dokument i pappersform.
                     
                  
                        4.
                     
                     
                        Vederbörlig kontroll av begränsningar och regelbunden översyn av dataskyddsombudet, vilken ska ske minst var sjätte månad. En översyn ska även genomföras när centrala delar ändrar sig i det aktuella ärendet. Begränsningarna ska upphävas så snart som de omständigheter som motiverar dem inte längre är tillämpliga.
                     
                  
         
            Artikel 5
            Information till och översyn genom dataskyddsombudet
            
               1.   Dataskyddsombudet ska informeras utan onödigt dröjsmål när registrerades rättigheter begränsas i enlighet med detta beslut och ska få fullständig och obegränsad tillgång till alla register och eventuella dokument som ligger till grund för faktiska och rättsliga delar, som är relevanta för beslutet om begränsningen och upprätthållandet av begränsningen och kontrollen av att begränsningen upprätthålls.
            
            
               2.   Dataskyddsombudet får begära en översyn av tillämpningen av begränsningen.
            
            
               3.   Om dataskyddsombudet tillämpar begränsningar, vid genomförandet av sina egna undersökningar, kommer han eller hon informera den personuppgiftsansvarige utan onödigt dröjsmål.
            
            
               4.   Dataskyddsombudets deltagande i begränsningsförfarandet, inbegripet i informationsutbyten, ska dokumenteras på lämpligt sätt och tas med i de relevanta registren.
            
            
               5.   Vad gäller utredningar av förbjudet beteende, ska EIB:s utredningstjänst för bedrägerier samråda med dataskyddsombudet innan vissa begränsningsskäl, som avses i artikel 25 i förordningen tillämpas på behandling av personuppgifter som utförs inom ramen för dess uppdrag som anges i EIF:s bedrägeribekämpningspolitik samt regler och utredningsförfaranden för utredningstjänsten för bedrägerier.
            
         
         
            Artikel 6
            Information till registrerade om begränsningar av deras rättigheter
            
               1.   EIF ska i meddelanden om uppgiftsskydd som offentliggörs på EIF:s webbplats ange allmän information till de registrerade som berörs av eventuella begränsningar av alla registrerades rättigheter som beskrivs i artikel 2.1. Informationen ska omfatta vilka rättigheter som kan komma att begränsas.
            
            
               2.   EIF ska informera de registrerade individuellt om nuvarande eller framtida begränsningar av deras rättigheter utan onödigt dröjsmål och i skriftlig form, såsom närmare anges i artiklarna 7, 8 och 9.
            
         
         
            Artikel 7
            Registrerades rätt till information och meddelande om personuppgiftsincidenter
            
               1.   När EIF, i samband med de åtgärder som anges i detta beslut, helt eller delvis begränsar rättigheter för registrerade som anges i artiklarna 14–16 och 35 i förordningen har de rätt att informeras om de huvudsakliga skälen till begränsningen och om deras rätt att lämna in ett klagomål till Europeiska datatillsynsmannen samt att begära rättslig prövning vid Europeiska unionens domstol. En sådan begränsning ska följa de bestämmelser som fastställts och det förfarande som beskrivs i detta beslut.
            
            
               2.   EIF får skjuta upp, utelämna eller neka tillhandahållande av information om skälen till den begränsning som avses i punkt 1, i den mån och så länge som det skulle upphäva verkan av begränsningen. Denna bedömning ska göras i varje enskilt fall. Varje sådant uppskjutande eller nekande måste motiveras på lämpligt och tillfredsställande sätt för dataskyddsombudet och ska tas med i de relevanta registren. För att undvika eventuella tvivel ska de berörda registrerade informeras om deras rätt att lämna in ett klagomål till Europeiska datatillsynsmannen samt att begära rättslig prövning vid Europeiska unionens domstol av beslutet att skjuta upp eller neka dem tillhandahållandet av den information som avses i punkt 1 ovan.
            
         
         
            Artikel 8
            Registrerades rätt till tillgång, rättelse, radering och begränsning av behandlingen
            
               1.   När EIF i samband med de åtgärder som anges i detta beslut helt eller delvis begränsar rätten till tillgång till personuppgifter och rätten till rättelse, radering och begränsning av behandling, såsom anges i artiklarna 17–20 i förordningen, ska den i sitt svar på begäran informera den berörda registrerade om de huvudsakliga skälen till begränsningen och om möjligheten att lämna in ett klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.
            
            
               2.   Om rätten till tillgång helt eller delvis är begränsad ska EIF vid utredning av begäran endast informera den registrerade om huruvida uppgifterna har behandlats korrekt och, om så inte är fallet, huruvida alla nödvändiga korrigeringar har gjorts i enlighet med artikel 25.7 i förordningen.
            
            
               3.   EIF får skjuta upp, utelämna eller neka tillhandahållande av information om skälen till den begränsning som avses i punkterna 1 och 2, i den mån och så länge som det skulle kunna äventyra syftet med begränsningen. Denna bedömning ska göras i varje enskilt fall och ska följa de bestämmelser som fastställts och det förfarande som beskrivs i detta beslut.
            
         
         
            Artikel 9
            Konfidentialitet för elektronisk kommunikation
            
               1.   EIF får under exceptionella omständigheter och i enlighet med bestämmelserna i och den logiska grunden för Europaparlamentets och rådets direktiv 2002/58/EG (3) begränsa rätten till konfidentialitet för elektronisk kommunikation, i enlighet med artikel 36 i förordningen. I detta fall ska EIF specificera omständigheter, skäl, relevanta risker och därmed sammanhängande skyddsåtgärder i särskilda interna bestämmelser.
            
            
               2.   Om EIF begränsar rätten till konfidentialitet vid elektronisk kommunikation, ska EIF i sitt svar på begäran informera den berörda registrerade om de huvudsakliga skälen till begränsningen och om möjligheten att lämna in ett klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.
            
            
               3.   EIF får skjuta upp, utelämna eller neka tillhandahållande av information om skälen till den begränsning som avses i punkterna 1 och 2, så länge som det skulle upphäva verkan av begränsningen. Denna bedömning ska göras i varje enskilt fall.
            
         
         
            Artikel 10
            Ikraftträdande
            Detta beslut och eventuella ändringar av den ska godkännas av EIF:s styrelse och träder i kraft den tjugonde dagen efter att den har offentliggjorts i Europeiska unionens officiella tidning.
         
         
            Utfärdat i Luxemburg den 4 juni 2020.
            
               
                   
               
            
         
         
            (1)  1
            EUT L 295, 21.11.2018, s. 39.
         
            (2)  2Europeiska datatillsynsmannens kommentarer och rekommendationer daterade den 20 februari 2020 (DH/CCP/ALS/D(2020) 0372 C2019-1114).
         
            (3)  Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37).