CELEX: 32020Q0116(01)
Language: sv
Date: 2019-06-28 00:00:00
Title: Beslut av Europeiska centrumet för kontroll av narkotika och narkotikamissbruks styrelse av den 28 juni 2019 om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för EMCDDA:s funktion

16.1.2020   
               
               
                  SV
               
               
                  Europeiska unionens officiella tidning
               
               
                  L 12/29
               
            
         BESLUT AV EUROPEISKA CENTRUMET FÖR KONTROLL AV NARKOTIKA OCH NARKOTIKAMISSBRUKS STYRELSE
         av den 28 juni 2019
         om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för EMCDDA:s funktion
         STYRELSEN FÖR EMCDDA HAR ANTAGIT DETTA BESLUT
         med beaktande av fördraget om Europeiska unionens funktionssätt,
         med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (1), särskilt artikel 25 i denna,
         med beaktande av Europaparlamentets och rådets förordning (EG) nr 1920/2006 av den 12 december 2006 om Europeiska centrumet för kontroll av narkotika och narkotikamissbruk (2), i synnerhet artiklarna 6 och 9 däri,
         med beaktande av yttrandet från Europeiska datatillsynsmannen (EDPS) av den 29 maj 2019 och Europeiska datatillsynsmannens riktlinjer för den nya förordningens artikel 25 och interna regler,
         och av följande skäl:
         
                     (1)
                  
                  
                     EMCDD genomför sin verksamhet i enlighet med ovan nämnda förordning (EG) nr 1920/2006.
                  
               
                     (2)
                  
                  
                     I enlighet med artikel 25.1 i förordning (EU) 2018/1725 bör begränsningar i tillämpningen av artiklarna 14–22, 35 och 36, samt artikel 4 i samma förordning i den mån bestämmelserna motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22, grunda sig på interna regler som ska antas av EMCDDA, såvida dessa inte grundar sig på rättsakter som antagits på grundval av fördragen.
                  
               
                     (3)
                  
                  
                     Dessa interna regler, inbegripet bestämmelserna om bedömning av en begränsnings nödvändighet och proportionalitet, ska inte gälla när det finns en på grundval av fördragen antagen rättsakt med bestämmelser om begränsning av registrerades rättigheter.
                  
               
                     (4)
                  
                  
                     När EMCDDA fullgör sina skyldigheter med avseende på registrerades rättigheter enligt förordning (EU) 2018/1725 ska myndigheten undersöka om några av de undantag som anges i den förordningen är tillämpliga.
                  
               
                     (5)
                  
                  
                     Inom ramen för sin verksamhet får EMCDDA genomföra administrativa utredningar och disciplinära förfaranden, vidta förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, handlägga visselblåsarärenden, genomföra (formella och informella) förfaranden mot trakasserier, handlägga interna och externa klagomål, genomföra internrevisioner, låta dataskyddsombudet genomföra utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt genomföra interna utredningar om it-säkerhet.
                  
               
                     (6)
                  
                  
                     EMCDDA behandlar flera kategorier av personuppgifter, både objektiva uppgifter (som personidentifierande uppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från särskilda källor, elektronisk kommunikation och trafikuppgifter) och/eller subjektiva uppgifter (som rör ärendet, till exempel resonemang, uppgifter om beteende, bedömningar, uppgifter om prestationer och uppförande samt uppgifter som rör eller lagts fram i samband med föremålet för förfarandet eller verksamheten).
                  
               
                     (7)
                  
                  
                     EMCDDA fungerar, företrädd av sin verkställande direktör, som personuppgiftsansvarig, oberoende av om denna uppgift vidaredelegeras inom EMCDDA för att återspegla ett operationellt ansvar för en viss specifik behandling av personuppgifter.
                  
               
                     (8)
                  
                  
                     Personuppgifterna lagras på ett säkert sätt i en elektronisk miljö eller i pappersform, vilket förhindrar olaglig åtkomst eller överföring av uppgifter till personer som inte har behov av att ta del av dem. De behandlade personuppgifterna lagras inte längre än vad som är nödvändigt och lämpligt för det syfte som uppgifterna behandlas under den tidsperiod som anges i EMCDDA dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller register.
                  
               
                     (9)
                  
                  
                     Dessa interna regler ska gälla för all behandling som EMCDDA utför inom ramen för administrativa utredningar, disciplinära förfaranden, förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, förfaranden i visselblåsarärenden, (formella och informella) förfaranden för att hantera trakasserier, handläggning av interna och externa klagomål, internrevisioner, dataskyddsombudets utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (till exempel av CERT-EU).
                  
               
                     (10)
                  
                  
                     Dessa interna regler ska gälla för uppgiftsbehandling som utförs innan ovannämnda förfaranden inleds, under dessa förfaranden och under kontrollen av hur resultaten från dessa förfaranden följs upp. Detta bör även omfatta stöd och samarbete som EMCDDA bistår nationella myndigheter och internationella organisationer med vid sidan av sina administrativa utredningar.
                  
               
                     (11)
                  
                  
                     När dessa interna regler tillämpas måste EMCDDA motivera varför begränsningarna är absolut nödvändiga och proportionella i ett demokratiskt samhälle och respektera andemeningen i de grundläggande fri- och rättigheterna.
                  
               
                     (12)
                  
                  
                     Vid de ovannämnda förfarandena måste EMCDDA i största möjliga mån respektera de registrerades grundläggande rättigheter, särskilt de rättigheter som gäller rätten att få ta del av information, rätten till tillgång, rättelse eller radering av personuppgifter, rätten till begränsning av behandlingen, rätten att bli underrättad om personuppgiftsincidenter och rätten till konfidentiell behandling av kommunikation i enlighet med förordning (EU) 2018/1725.
                  
               
                     (13)
                  
                  
                     EMCDDA kan dock tvingas begränsa registrerades tillgång till information samt andra rättigheter som tillkommer den registrerade för att särskilt skydda sina egna utredningar, andra myndigheters utredningar och förfaranden och rättigheterna för andra personer som är anknutna till EMCDDA:s utredningar eller andra förfaranden.
                  
               
                     (14)
                  
                  
                     EMCDDA får alltså begränsa informationen i syfte att skydda utredningar och andra registrerades grundläggande fri- och rättigheter.
                  
               
                     (15)
                  
                  
                     EMCDDA bör regelbundet kontrollera att förhållandena som motiverar en begränsning fortfarande är tillämpliga och upphäva begränsningen om de inte längre är det.
                  
               
                     (16)
                  
                  
                     Den personuppgiftsansvariga ska underrätta dataskyddsombudet vid uppskjutande och under översynerna.
                  
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
         
            Artikel 1
            Syfte och tillämpningsområde
            
               1.   Detta beslut innehåller regler om de villkor som måste vara uppfyllda för att EMCDDA inom ramen för de förfaranden som anges i punkt 2 ska få begränsa rättigheterna som avses i artiklarna 14–21, 35 och 36, samt artikel 4 i förordning (EU) 2018/1725, i enlighet med artikel 25 i den förordningen.
            
            
               2.   Inom ramen för EMCDDA:s administrativa verksamhet är detta beslut tillämpligt på EMCDDA:s behandling av personuppgifter för följande ändamål: administrativa utredningar, disciplinära förfaranden, förberedande åtgärder vid all av eventuella oegentligheter som anmälts till Olaf, hantering av visselblåsarärenden, (formella och informella) förfaranden för att hantera trakasserier, handläggning av interna och externa klagomål, internrevisioner, utredningar som dataskyddsombudet genomför i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (till exempel av CERT-EU)..
            
            
               3.   De kategorier av uppgifter som omfattas är hårddata (”objektiva” data såsom identifikationsuppgifter, kontaktuppgifter, uppgifter om yrke, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter) och/eller mjukdata (”subjektiva” data som rör ärendet såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten).
            
            
               4.   När EMCDDA fullgör sina skyldigheter med avseende på registrerades rättigheter enligt förordning (EU) 2018/1725 ska EMCDDA undersöka om några av de undantag som anges i den förordningen är tillämpliga.
            
            
               5.   Begränsningarna kan på de villkor som anges i detta beslut gälla för följande rättigheter: tillhandahållande av information till registrerade, rätten att få tillgång till och erhålla rättelse eller radering av personuppgifter, begränsning av behandling, information till den registrerade om en personuppgiftsincident eller konfidentiell behandling av kommunikation.
            
         
         
            Artikel 2
            Specificering av personuppgiftsansvarig och skyddsåtgärder
            
               1.   Följande skyddsåtgärder har vidtagits för att undvika personuppgiftsincidenter, dataläckor och obehörigt utlämnande:
               
                           a)
                        
                        
                           Pappersdokument ska förvaras i säkerhetsskåp som endast behörig personal har tillgång till.
                        
                     
                           b)
                        
                        
                           Alla elektroniska uppgifter ska förvaras i ett säkert it-program i enlighet med EMCDDA:s säkerhetsnormer och i särskilda elektroniska mappar som endast behörig personal har tillgång till. Olika nivåer för tillgång ska beviljas individuellt beroende på användare.
                        
                     
                           c)
                        
                        
                           Databasen ska vara lösenordsskyddad i ett system med samlad inloggning och automatiskt kopplad till användarens användarnamn och lösenord. Det är absolut förbjudet att byta ut användare. Elektroniska handlingar ska lagras på ett säkert sätt för att säkerställa sekretesskydd för de uppgifter som finns däri.
                        
                     
                           d)
                        
                        
                           Alla som har tillgång till uppgifterna är bundna av tystnadsplikt.
                        
                     
            
               2.   EMCDDA, företrädd av sin direktör, fungerar som personuppgiftsansvarig vid behandlingen och får vidaredelegera denna uppgift. Registrerade ska underrättas om delegeringen via dataskyddsmeddelanden eller dokumentation som publiceras på EMCDDA:s webbplats och/eller intranät.
            
            
               3.   Personuppgifterna som avses i artikel 1.3 får inte lagras längre än vad som är nödvändigt och rimligt för de ändamål som uppgifterna behandlas för. De får dock aldrig lagras längre än den tid som anges i de dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller dokumentation som avses i artikel 5.1.
            
            
               4.   Om EMCDDA överväger att tillämpa en begränsning ska risken för den registrerades fri- och rättigheter vägas särskilt mot risken för andra registrerades fri- och rättigheter samt mot risken att verkningarna av EMCDDA:s utredningar eller förfaranden upphävs, till exempel genom att bevis förstörs. Riskerna för den registrerades fri- och rättigheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras.
            
         
         
            Artikel 3
            Begränsningar
            
               1.   EMCDDA ska enbart tillämpa begränsningar i syfte att säkerställa
               
                           a)
                        
                        
                           förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten,
                        
                     
                           b)
                        
                        
                           andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt målen för unionens gemensamma utrikes- och säkerhetspolitik eller ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet,
                        
                     
                           c)
                        
                        
                           den inre säkerheten i unionsinstitutioner och unionsorgan, inbegripet deras elektroniska kommunikationsnät,
                        
                     
                           d)
                        
                        
                           skydd av rättsväsendets oberoende och rättsliga åtgärder,
                        
                     
                           e)
                        
                        
                           förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken,
                        
                     
                           f)
                        
                        
                           en tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som avses i leden a–c,
                        
                     
                           g)
                        
                        
                           skydd av den registrerade eller andras rättigheter och friheter.
                        
                     
            
               2.   Som en särskild tillämpning av de syften som beskrivs i punkt 1 ovan kan EMCDDA tillämpa begränsningar avseende personuppgifter som utbyts med kommissionens avdelningar eller unionens övriga institutioner, organ och byråer, behöriga myndigheter i medlemsstaterna eller tredjeländer, eller med internationella organisationer i följande fall:
               
                           a)
                        
                        
                           Utövandet av dessa rättigheter och skyldigheter skulle kunna begränsas av kommissionens avdelningar eller unionens övriga institutioner, organ och byråer på grundval av andra rättsakter som föreskrivs i artikel 25 i förordning (EU) 2018/1725 eller i enlighet med kapitel IX i den förordningen eller med grundläggande rättsakter för andra av unionens institutioner, organ och byråer.
                        
                     
                           b)
                        
                        
                           Utövandet av dessa rättigheter och skyldigheter skulle kunna begränsas av medlemsstaternas behöriga myndigheter på grundval av rättsakter som avses i artikel 23 i Europaparlamentets och rådets förordning (EU) 2016/679 (3), eller enligt nationella bestämmelser som införlivar artiklarna 13.3, 15.3 eller 16.3 i Europaparlamentets och rådets direktiv (EU) 2016/680 (4).
                        
                     
                           c)
                        
                        
                           Utövandet av dessa rättigheter och skyldigheter skulle kunna äventyra EMCDDA:s samarbete med tredjeländer eller internationella organisationer vid utförandet av dess arbetsuppgifter.
                        
                     Före tillämpningen av begränsningar i fall som avses i första stycket leden a och b ska EMCDDA samråda med kommissionens berörda avdelningar, unionens institutioner, organ och byråer eller medlemsstaternas behöriga myndigheter, såvida det inte är uppenbart för EMCDDA att tillämpningen av en begränsning föreskrivs genom någon av de rättsakter som det hänvisas till i dessa led.
            
            
               3.   Alla begränsningar som tillämpas ska vara nödvändiga och proportionella med hänsyn till riskerna för de registrerades fri- och rättigheter och förenliga med andemeningen i de grundläggande fri- och rättigheterna i ett demokratiskt samhälle.
            
            
               4.   Om myndigheten överväger att tillämpa begränsningar ska ett behovs- och proportionalitetstest genomföras på grundval av gällande bestämmelser. Bedömningen ska dokumenteras i redovisningssyfte genom en intern bedömningsnotering i varje enskilt fall.
            
            
               5.   Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre gäller. Detta gäller i synnerhet om myndigheten inte längre anser att utövandet av den begränsade rättigheten skulle upphäva verkan av en införd begränsning eller inverka menligt på andra registrerades rättigheter och friheter.
            
         
         
            Artikel 4
            Omprövning av dataskyddsombudet
            
               1.   EMCDDA ska utan onödigt dröjsmål underrätta sitt dataskyddsombud när den personuppgiftsansvariga begränsar tillämpningen av de registrerades rättigheter eller utvidgar begränsningen med stöd i detta beslut. Den personuppgiftsansvariga ska ge dataskyddsombudet tillgång till den dokumentation som innehåller bedömningen av begränsningens nödvändighet och proportionalitet, och i dokumentationen ange dataskyddsombudets delaktighet i olika förfaranden.
            
            
               2.   Dataskyddsombudet kan skriftligen begära att den personuppgiftsansvariga omprövar tillämpningen av begränsningarna. Den personuppgiftsansvariga ska skriftligen underrätta dataskyddsombudet om resultatet av omprövningen.
            
            
               3.   Den personuppgiftsansvariga ska även underrätta dataskyddsombudet när begränsningen har upphävts.
            
         
         
            Artikel 5
            Tillhandahållande av information till registrerade
            
               1.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut, får den personuppgiftsansvariga begränsa rätten till information i samband med följande typer av uppgiftsbehandling:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinförfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.
                        
                     
                           c)
                        
                        
                           Visselblåsarförfaranden.
                        
                     
                           d)
                        
                        
                           (Formella och informella) förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Behandling av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Interna kontroller.
                        
                     
                           g)
                        
                        
                           Dataskyddsombudets utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).
                        
                     EMCDDA ska informera de registrerade om att deras rättigheter kan komma att begränsas i dataskyddsmeddelandena, meddelandena om skydd av personuppgifter eller i den dokumentation som avses i artikel 31 i förordning (EU) 2018/1725 och som offentliggörs på EMCDDA:s webbplats och/eller intranät och innehåller information till registrerade om deras rättigheter inom ramen för ett visst förfarande. Informationen ska inbegripa vilka rättigheter som kan begränsas, skälen till detta och hur länge.
            
            
               2.   Utan att det påverkar tillämpningen av bestämmelserna i punkt 3 ska EMCDDA där så är proportionellt informera alla registrerade som anses vara berörda i den specifika behandlingen om deras rättigheter vad gäller aktuella eller framtida begränsningar. Informationen ska ges utan onödigt dröjsmål, skriftligen och individuellt.
            
            
               3.   Om EMCDDA helt eller delvis begränsar tillhandahållandet av information till registrerade som avses i punkt 2 ska myndigheten notera skälen till begränsningen och den rättsliga grunden i enlighet med artikel 3 i detta beslut, däribland en bedömning av begränsningens nödvändighet och proportionalitet.
               Dokumentationen och, i tillämpliga fall, handlingarna som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.
            
            
               4.   Den begränsning som avses i punkt 3 ska fortsätta vara tillämplig så länge som skälen som motiverar den föreligger.
               Om skälen till begränsningen inte längre föreligger ska EMCDDA informera den registrerade om de huvudsakliga skäl som ligger till grund för tillämpningen av en begränsning. Samtidigt ska EMCDDA informera den registrerade om rätten att när som helst lämna in ett klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.
               EMCDDA ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när undersökningen, utredningen eller förfarandet avslutas. Därefter ska den personuppgiftsansvariga på halvårsbasis övervaka behovet av att behålla eventuella begränsningar.
            
         
         
            Artikel 6
            Den registrerades rätt till tillgång
            
               1.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får den personuppgiftsansvariga begränsa rätten till tillgång vid följande typer av uppgiftsbehandling när så är nödvändigt och proportionellt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinförfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.
                        
                     
                           c)
                        
                        
                           Visselblåsarförfaranden.
                        
                     
                           d)
                        
                        
                           (Formella och informella) förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Behandling av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Interna kontroller.
                        
                     
                           g)
                        
                        
                           Dataskyddsombudets utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).
                        
                     Om registrerade, i enlighet med artikel 17 i förordning (EU) 2018/1725, begär tillgång till egna personuppgifter som behandlas i samband med ett eller flera specifika fall eller ärenden som inbegriper uppgiftsbehandling, ska EMCDDA begränsa sin bedömning av denna begäran till att endast avse dessa personuppgifter.
            
            
               2.   Om EMCDDA helt eller delvis begränsar rätten till tillgång, som avses i artikel 17 i förordning (EU) 2018/1725, ska följande åtgärder vidtas:
               
                           a)
                        
                        
                           EMCDDA ska informera berörd registrerad, i sitt svar på dennes begäran, om den begränsning som tillämpas och de huvudsakliga skälen till begränsningen, samt om möjligheten att inge klagomål till Europeiska datatillsynsmannen eller att begära rättslig prövning vid Europeiska unionens domstol.
                        
                     
                           b)
                        
                        
                           EMCDDA ska genom en intern bedömningsnotering dokumentera skälen till begränsningen, däribland en bedömning av begränsningens nödvändighet och proportionalitet samt dess varaktighet.
                        
                     Tillhandahållandet av information som avses i led a får skjutas upp, utelämnas eller nekas om det skulle upphäva verkan av en begränsning som införts i enlighet med artikel 25.8 i förordning (EU) 2018/1725.
               EMCDDA ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när utredningen i fråga avslutas. Därefter ska den personuppgiftsansvariga på halvårsbasis övervaka behovet av att behålla eventuella begränsningar.
            
            
               3.   Dokumentationen och, i tillämpliga fall, handlingarna som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.
            
         
         
            Artikel 7
            Rätt till rättelse, radering och begränsning av behandling
            
               1.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvariga begränsa rätten till rättelse, radering och begränsning av behandling vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinförfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.
                        
                     
                           c)
                        
                        
                           Visselblåsarförfaranden.
                        
                     
                           d)
                        
                        
                           (Formella och informella) förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Behandling av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Interna kontroller.
                        
                     
                           g)
                        
                        
                           Dataskyddsombudets utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).
                        
                     
            
               2.   Om EMCDDA helt eller delvis begränsar den rätt till rättelse, radering eller begränsning av behandling som avses i artiklarna 18, 19.1 och 20.1 i förordning (EU) 2018/1725, ska EMCDDA vidta de åtgärder som anges i artikel 6.2 i detta beslut och registrera dokumentationen i enlighet med artikel 6.3 i beslutet.
            
         
         
            Artikel 8
            Information till den registrerade om en personuppgiftsincident och konfidentiell behandling av elektronisk kommunikation
            
               1.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvariga begränsa rätten till information om en personuppgiftsincident vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinförfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.
                        
                     
                           c)
                        
                        
                           Visselblåsarförfaranden.
                        
                     
                           d)
                        
                        
                           (Formella och informella) förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Behandling av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Interna kontroller.
                        
                     
                           g)
                        
                        
                           Dataskyddsombudets utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).
                        
                     
            
               2.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvariga begränsa rätten till konfidentiell behandling av elektronisk kommunikation vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinförfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.
                        
                     
                           c)
                        
                        
                           Visselblåsarförfaranden.
                        
                     
                           d)
                        
                        
                           Formella förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Behandling av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Utredningar om säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).
                        
                     
            
               3.   Om EMCDDA begränsar informationen till den registrerade om en personuppgiftsincident eller konfidentialiteten vid elektronisk kommunikation som avses i artiklarna 35 och 36 i förordning (EU) 2018/1725, ska EMCDDA dokumentera och registrera skälen till begränsningen i överensstämmelse med artikel 5.3 i detta beslut. Artikel 5.4 i detta beslut ska tillämpas.
            
         
         
            Artikel 9
            Ikraftträdande
            Detta beslut träder i kraft dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.
         
         
            Utfärdat i Lissabon den 28 juni 2019
            
               
                  För EMCDDA:s styrelse
               
               
                  Ordförande
               
               Laura D’ARRIGO
            
         
         
            (1)  EUT L 295, 21.11.2018, s. 39.
         
            (2)  EUT L 376, 27.12.2006, s. 1.
         
            (3)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (EUT L 119, 4.5.2016, s. 1).
         
            (4)  Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89).