CELEX: 32020Q1204(01)
Language: da
Date: 2020-05-06 00:00:00
Title: Afgørelse truffet af bestyrelsen for Det Europæiske Center for Udvikling af Erhvervsuddannelse (Cedefop) af 6. maj 2020 om interne regler om begrænsninger af visse registreredes rettigheder i forbindelse med behandling af personoplysninger som led i Cedefops virke

4.12.2020   
               
               
                  DA
               
               
                  Den Europæiske Unions Tidende
               
               
                  L 408/12
               
            
         AFGØRELSE TRUFFET AF BESTYRELSEN FOR DET EUROPÆISKE CENTER FOR UDVIKLING AF ERHVERVSUDDANNELSE (CEDEFOP)
         af 6. maj 2020
         om interne regler om begrænsninger af visse registreredes rettigheder i forbindelse med behandling af personoplysninger som led i Cedefops virke
         BESTYRELSEN FOR DET EUROPÆISKE CENTER FOR UDVIKLING AF ERHVERVSUDDANNELSE HAR —
         under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1), særlig artikel 25,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2019/128 af 16. januar 2019 om oprettelse af Det Europæiske Center for Udvikling af Erhvervsuddannelse (Cedefop) og om ophævelse af Rådets forordning (EØF) nr. 337/75 (2), særlig artikel 23, stk. 4,
         under henvisning til Den Europæiske Tilsynsførende for Databeskyttelses (EDPS) udtalelse af 12. december 2019 og EDPS' vejledning angående den nye forordnings artikel 25 og interne regler (3), og
         ud fra følgende betragtninger:
         
                     (1)
                  
                  
                     Cedefop udfører sin virksomhed i overensstemmelse med forordning (EU) 2019/128.
                  
               
                     (2)
                  
                  
                     I henhold til artikel 25, stk. 1, i forordning (EU) 2018/1725 bør begrænsninger i anvendelsen af artikel 14-22, 35 og 36 samt artikel 4 i nævnte forordning, for så vidt bestemmelserne deri svarer til rettighederne og forpligtelserne i artikel 14-22, baseres på interne regler, som fastsættes af Cedefop, når disse ikke har hjemmel i en retsakt vedtaget på grundlag af traktaterne.
                  
               
                     (3)
                  
                  
                     Disse interne regler, herunder deres bestemmelser om vurderingen af, om en begrænsning er nødvendig og står i rimeligt forhold til formålene, bør ikke finde anvendelse, når en retsakt vedtaget på grundlag af traktaterne foreskriver en begrænsning af den registreredes rettigheder.
                  
               
                     (4)
                  
                  
                     Hvor Cedefop udfører sit hverv med hensyn til registreredes rettigheder i henhold til forordning (EU) 2018/1725, skal det overveje, om nogen af de undtagelser, der er fastsat i denne forordning, finder anvendelse.
                  
               
                     (5)
                  
                  
                     Inden for rammerne af sin administrative funktion kan Cedefop foretage administrative undersøgelser, gennemføre disciplinærsager, udføre indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF, behandle whistleblowingsager, iværksætte (formelle og uformelle) procedurer vedrørende chikane, behandle interne og eksterne klager, foretage interne revisioner, udføre undersøgelser på foranledning af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 og interne (IT-)sikkerhedsundersøgelser samt behandle ansattes anmodninger om indsigt i deres lægejournaler.
                     Cedefop behandler flere kategorier af personoplysninger, herunder hårde oplysninger (»objektive« oplysninger såsom identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, oplysninger modtaget fra bestemte kilder, elektronisk kommunikation og trafikoplysninger) og/eller bløde oplysninger (»subjektive« oplysninger i forbindelse med f.eks. ræsonnementer, adfærdsmæssige oplysninger, vurderinger, resultater og adfærdsoplysninger samt oplysninger relateret til eller fremkommet i forbindelse med genstanden for den pågældende procedure eller aktivitet).
                  
               
                     (6)
                  
                  
                     Cedefop, som repræsenteres af sin administrerende direktør, fungerer som dataansvarlig uanset yderligere delegering af rollen som dataansvarlig internt i Cedefop for at afspejle det operationelle ansvar for bestemte behandlingsaktiviteter vedrørende personoplysninger.
                  
               
                     (7)
                  
                  
                     Personoplysningerne opbevares sikkert i et elektronisk miljø eller på papir, hvilket forhindrer misbrug eller ulovlig adgang til eller videregivelse af data til personer, der ikke har behov for denne viden. Lægejournalerne opbevares af den eksterne tjenesteyder, som Cedefop anvender. De personoplysninger, der behandles, opbevares ikke i længere tid, end det er nødvendigt og passende for de formål, hvortil oplysningerne behandles, i den periode, som er angivet i Cedefops bekendtgørelser om databeskyttelse eller registreringer.
                  
               
                     (8)
                  
                  
                     Disse interne regler bør gælde for alle behandlingsaktiviteter, der udføres af Cedefop i forbindelse med udførelsen af administrative undersøgelser, disciplinærsager, indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF, whistleblowingsager, (formelle og uformelle) procedurer vedrørende chikane, behandling af interne og eksterne klager, interne revisioner, undersøgelser udført på foranledning af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU) samt behandling af ansattes anmodninger om indsigt i deres lægejournaler.
                  
               
                     (9)
                  
                  
                     Disse interne regler bør gælde for behandlingsaktiviteter, der gennemføres forud for indledningen af ovennævnte procedurer, i løbet af disse procedurer og under overvågning af opfølgningen på resultatet af disse procedurer. De bør også omfatte bistand og samarbejde, som ydes af Cedefop til nationale myndigheder og internationale organisationer uden for myndighedens administrative undersøgelser.
                  
               
                     (10)
                  
                  
                     I de tilfælde, hvor disse interne regler gælder, skal Cedefop bevise, at begrænsningerne er strengt nødvendige og forholdsmæssige i et demokratisk samfund og respekterer det væsentlige indhold af de grundlæggende rettigheder og frihedsrettigheder.
                  
               
                     (11)
                  
                  
                     Inden for disse rammer er Cedefop forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder i løbet af de ovennævnte procedurer, især dem, der vedrører retten til oplysninger, indsigt og berigtigelse, retten til sletning, begrænsning af behandling, retten til underretning om et brud på persondatasikkerheden til en registreret og fortroligheden af elektronisk kommunikation som fastsat i forordning (EU) 2018/1725.
                  
               
                     (12)
                  
                  
                     Cedefop kan dog være forpligtet til at begrænse oplysningerne til den registrerede og andre registreredes rettigheder for at beskytte især sine egne undersøgelser, andre offentlige myndigheders undersøgelser og sager samt andre personers rettigheder vedrørende Cedefops undersøgelser eller andre procedurer.
                  
               
                     (13)
                  
                  
                     Cedefop bør regelmæssigt overvåge, hvorvidt de betingelser, der berettiger begrænsningen, stadig er gældende, og ophæve begrænsningen, hvis de ikke længere er gældende.
                  
               
                     (14)
                  
                  
                     Den dataansvarlige bør underrette databeskyttelsesrådgiveren straks, når det påtænkes at anvende en begrænsning, og ved efterfølgende gennemgange, og inddrage ham eller hende igennem hele proceduren, indtil begrænsningen ophæves —
                  
               VEDTAGET DENNE AFGØRELSE:
         
            Artikel 1
            Genstand og anvendelsesområde
            
               1.   Denne afgørelse fastlægger regler for de vilkår, under hvilke Cedefop kan begrænse anvendelsen af rettighederne i artikel 14-21, 35 og 36 samt artikel 4 i forordning (EU) 2018/1725 i lyset af de procedurer, som er angivet i stk. 2 i overensstemmelse med denne forordnings artikel 25.
            
            
               2.   Inden for rammerne af Cedefops administrative funktion gælder denne afgørelse behandling af personoplysninger udført af Cedefop i forbindelse med: udførelsen af administrative undersøgelser, disciplinærsager, indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF, whistleblowingsager, (formelle og uformelle) procedurer vedrørende chikane, behandling af interne og eksterne klager, gennemførelse af interne revisioner, undersøgelser udført på foranledning af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU) samt behandling af ansattes anmodninger om indsigt i deres lægejournaler.
            
            
               3.   De relevante kategorier af personoplysninger er hårde oplysninger (»objektive« oplysninger såsom identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, oplysninger modtaget fra bestemte kilder, elektronisk kommunikation og trafikoplysninger) og/eller bløde oplysninger (»subjektive« oplysninger i forbindelse med f.eks. ræsonnementer, adfærdsmæssige oplysninger, vurderinger, resultat- og adfærdsoplysninger samt oplysninger relateret til eller fremkommet i forbindelse med genstanden for den pågældende procedure eller aktivitet).
            
            
               4.   Hvor Cedefop udfører sit hverv med hensyn til registreredes rettigheder i henhold til forordning (EU) 2018/1725, skal det overveje, om nogen af de undtagelser, der er fastsat i denne forordning, finder anvendelse.
            
            
               5.   På de betingelser, der er fastsat i denne afgørelse, kan begrænsningerne gælde følgende rettigheder: oplysninger til de registrerede, ret til indsigt, berigtigelse, sletning, begrænsning af behandling, underretning om et brud på persondatasikkerheden til en registreret og fortroligheden af elektronisk kommunikation.
            
         
         
            Artikel 2
            Specifikation af den dataansvarlige og sikkerhedsforanstaltninger
            
               1.   Cedefop skal implementere følgende sikkerhedsforanstaltninger til hindring af misbrug eller ulovlig adgang eller videregivelse:
               
                           a)
                        
                        
                           Papirdokumenter skal opbevares i sikrede skabe, som kun er tilgængelige for autoriseret personale.
                        
                     
                           b)
                        
                        
                           Alle elektroniske oplysninger opbevares i en sikker IT-anordning i henhold til Cedefops sikkerhedsstandarder såvel som i bestemte elektroniske mapper, som kun er tilgængelige for autoriseret personale. Passende adgangsniveauer tildeles enkeltvis.
                        
                     
                           c)
                        
                        
                           Cedefops IT-miljø er tilgængeligt via et fælles indlogningssystem og tilsluttes automatisk brugerens id og adgangskode. E-registre skal føres forsvarligt for at sikre fortroligheden og privatlivsbeskyttelsen af de indsamlede oplysninger.
                        
                     
                           d)
                        
                        
                           Alle personer, der har adgang til oplysningerne, skal være bundet af tavshedspligt.
                        
                     
                           e)
                        
                        
                           Den eksterne tjenesteyder, som opbevarer lægejournalerne, skal være bundet af kontraktbestemmelser om fortrolighed og behandling af personoplysninger.
                        
                     
            
               2.   Den dataansvarlige for behandlingsaktiviteterne er Cedefop repræsenteret ved den administrerende direktør, som kan uddelegere den dataansvarliges funktion. Registrerede skal underrettes om den delegerede dataansvarlige via bekendtgørelser eller optegnelser om databeskyttelse, der offentliggøres på Cedefops websted og intranet.
            
            
               3.   Den opbevaringsperiode for personoplysninger, der er omhandlet i denne afgørelses artikel 1, stk. 3, må ikke være længere end det, der er nødvendigt og passende for de formål, hvortil oplysningerne behandles. Den er under ingen omstændigheder længere end den opbevaringsperiode, der fremgår af de bekendtgørelser om databeskyttelse eller optegnelser, der er omhandlet i denne afgørelses artikel 3, stk. 3.
            
            
               4.   Hvis Cedefop påtænker at anvende en begrænsning, afvejes risikoen for den registreredes rettigheder og frihedsrettigheder i særdeleshed mod risikoen for andre registreredes rettigheder og frihedsrettigheder og risikoen for at undergrave Cedefops undersøgelser eller procedurer, f.eks. ved at ødelægge beviser. Risiciene for den registreredes rettigheder og frihedsrettigheder vedrører fortrinsvist, men er ikke begrænset til, omdømmemæssige risici og risici for retten til forsvar og retten til at blive hørt.
            
         
         
            Artikel 3
            Begrænsninger
            
               1.   En eventuel begrænsning vil kun blive anvendt af Cedefop på grundlag af ét eller flere af de i litra a) til i) i artikel 25, stk. 1, i forordning (EU) 2018/1725 angivne hensyn. I forbindelse med de formål med behandling af personoplysninger, der er omhandlet i denne afgørelses artikel 1, stk. 2, kan begrænsninger navnlig være baseret på følgende:
               
                           a)
                        
                        
                           til udførelse af administrative undersøgelser og disciplinærsager kan begrænsninger være baseret på artikel 25, stk. 1, litra b), c), g) og h), i forordning (EU) 2018/1725
                        
                     
                           b)
                        
                        
                           til indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF kan begrænsninger være baseret på artikel 25, stk. 1, litra b), c), f), g) og h), i forordning (EU) 2018/1725
                        
                     
                           c)
                        
                        
                           til whistleblowingsager kan begrænsninger være baseret på artikel 25, stk. 1, litra b), c), f), g) og h), i forordning (EU) 2018/1725
                        
                     
                           d)
                        
                        
                           til (formelle og uformelle) procedurer vedrørende chikane kan begrænsninger være baseret på artikel 25, stk. 1, litra b), f), h) og i), i forordning (EU) 2018/1725
                        
                     
                           e)
                        
                        
                           til behandling af interne og eksterne klager kan begrænsninger være baseret på artikel 25, stk. 1, litra c), g) og h), i forordning (EU) 2018/1725
                        
                     
                           f)
                        
                        
                           til interne revisioner kan begrænsninger være baseret på artikel 25, stk. 1, litra c), g) og h), i forordning (EU) 2018/1725
                        
                     
                           g)
                        
                        
                           til undersøgelser udført på foranledning af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 kan begrænsninger være baseret på forordningens artikel 25, stk. 1, litra c), g) og h)
                        
                     
                           h)
                        
                        
                           til (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU) kan begrænsninger være baseret på artikel 25, stk. 1, litra c), d), g) og h), i forordning (EU) 2018/1725
                        
                     
                           i)
                        
                        
                           til behandling af ansattes anmodninger om indsigt i deres lægejournaler kan begrænsninger være baseret på artikel 25, stk. 1, litra h), i forordning (EU) 2018/1725.
                        
                     
            
               2.   Som en specifik anvendelse af de i stk. 1 beskrevne formål kan Cedefop begrænse de rettigheder, der er omhandlet i denne afgørelses artikel 1, stk. 5, under følgende omstændigheder:
               
                           a)
                        
                        
                           hvis en anden EU-institution eller et andet EU-organ, -kontor eller -agentur er berettiget til at begrænse udøvelsen af disse rettigheder på grundlag af andre retsakter, som omhandlet i artikel 25 i forordning (EU) 2018/1725, eller i overensstemmelse med forordningens kapitel IX eller med deres oprettelsesakter, og formålet med en sådan begrænsning af den pågældende anden EU-institution eller et andet EU-organ, -kontor eller -agentur ville blive bragt i fare, dersom Cedefop ikke anvender en tilsvarende begrænsning i forbindelse med de samme personoplysninger
                        
                     
                           b)
                        
                        
                           hvis en medlemsstats kompetente myndighed er berettiget til at begrænse udøvelsen af disse rettigheder på grundlag af de retsakter, der er omhandlet i artikel 23 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (4), eller i henhold til nationale foranstaltninger, som gennemfører artikel 13, stk. 3, artikel 15, stk. 3, eller artikel 16, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (5), og formålet med en sådan begrænsning af den pågældende medlemsstats kompetente myndighed ville blive bragt i fare, dersom Cedefop ikke anvender en tilsvarende begrænsning i forbindelse med de samme personoplysninger
                        
                     
                           c)
                        
                        
                           hvis udøvelsen af disse rettigheder kan bringe Cedefops samarbejde med tredjelande eller internationale organisationer i forbindelse med udførelsen af dets opgaver i fare.
                        
                     Inden der anvendes begrænsninger i de tilfælde, som er omtalt i første afsnit, litra a) og b), skal Cedefop høre den relevante EU-institution, det relevante EU-organ, -agentur, -kontor eller -agentur eller den kompetente myndighed i medlemsstaten, medmindre det står klart for Cedefop, at anvendelsen af en begrænsning er fastsat i en af de retsakter, der er nævnt i disse bestemmelser.
            
            
               3.   Cedefop indarbejder i bekendtgørelserne om databeskyttelse eller fortegnelser i henhold til artikel 31 i forordning (EU) 2018/1725, som er offentliggjort på dets websted og intranet, hvor de registrerede underrettes om deres rettigheder inden for rammerne af en given procedure, oplysninger om den potentielle begrænsning af disse rettigheder. Oplysningerne omfatter, hvilke rettigheder der kan begrænses, bevæggrundene og den potentielle varighed.
               Med forbehold af bestemmelserne i artikel 5, stk. 2, underretter Cedefop, hvor det er forholdsmæssigt, også enkeltvis alle registrerede, der anses for at være berørt af den konkrete behandlingsaktivitet, uden unødigt ophold og skriftligt om deres rettigheder vedrørende nuværende eller fremtidige begrænsninger.
            
            
               4.   Enhver begrænsning skal være nødvendig og forholdsmæssig under hensyntagen til de risici, den medfører for de registreredes rettigheder og frihedsrettigheder, og respektere det væsentlige indhold af de grundlæggende rettigheder og frihedsrettigheder i et demokratisk samfund.
            
            
               5.   Hvis det overvejes at anvende begrænsninger, foretages der på grundlag af nærværende regler en vurdering af nødvendigheden, og om de står i et rimeligt forhold til formålene. Af hensyn til ansvarlighed dokumenteres vurderingen gennem et internt notat i hvert enkelt tilfælde.
            
            
               6.   Begrænsningerne ophæves, så snart de omstændigheder, der berettiger dem, ikke længere gælder.
            
         
         
            Artikel 4
            Databeskyttelsesrådgiverens gennemgang
            
               1.   Cedefops databeskyttelsesrådgiver skal uden unødigt ophold underrettes, når den dataansvarlige påtænker at begrænse anvendelsen af den registreredes rettigheder eller forlænger begrænsningen i overensstemmelse med denne afgørelse. Den dataansvarlige giver databeskyttelsesrådgiveren adgang til den fortegnelse, som indeholder vurderingen af nødvendigheden og forholdsmæssigheden af begrænsningen, og dokumenterer datoen for underretningen af databeskyttelsesrådgiveren i fortegnelsen. Databeskyttelsesrådgiveren skal involveres igennem hele proceduren, indtil begrænsningen ophæves.
            
            
               2.   Databeskyttelsesrådgiveren kan anmode den dataansvarlige skriftligt om at gennemgå anvendelsen af begrænsningerne. Den dataansvarlige underretter databeskyttelsesrådgiveren skriftligt om resultatet af den ønskede gennemgang.
            
            
               3.   Den dataansvarlige underretter databeskyttelsesrådgiveren, når begrænsningen er blevet ophævet.
            
         
         
            Artikel 5
            Begrænsning af den registreredes ret til oplysninger
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan den registreredes ret til oplysninger begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           whistleblowingsager
                        
                     
                           d)
                        
                        
                           (formelle og uformelle) procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           interne revisioner
                        
                     
                           g)
                        
                        
                           undersøgelser udført på foranledning af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           h)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
            
               2.   Hvis Cedefop helt eller delvist begrænser retten til formidling af oplysninger til de registrerede, der er omhandlet i artikel 14-16 i forordning (EU) 2018/1725, registrerer det bevæggrundene til begrænsningen og retsgrundlaget i overensstemmelse med artikel 3 i denne afgørelse, herunder en vurdering af nødvendigheden og forholdsmæssigheden af begrænsningen.
               Fortegnelsen og i givet fald de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres.
               De stilles til rådighed for Den Europæiske Tilsynsførende for Databeskyttels på dennes anmodning.
            
            
               3.   Begrænsningen i stk. 2 finder fortsat anvendelse, så længe bevæggrundene derfor finder anvendelse.
               Hvis begrundelsen for begrænsningen ikke længere er til stede, underretter Cedefop den registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen. Samtidig underretter Cedefop den registrerede om, at denne til enhver tid har ret til at indgive en klage til EDPS eller indbringe sagen for Den Europæiske Unions Domstol.
               Cedefop foretager en fornyet gennemgang af anvendelsen af begrænsningen hvert halve år fra dens vedtagelse og ved afslutningen af den pågældende undersøgelse, procedure eller efterforskning. Derefter overvåger den dataansvarlige hvert halve år behovet for at opretholde enhver begrænsning. Prøvningen af nødvendigheden og forholdsmæssigheden, som artikel 3, stk. 5, henviser til, skal også ske ved hver periodisk gennemgang, efterfulgt af en vurdering af, hvorvidt begrænsningens faktuelle og lovmæssige grundlag stadig finder anvendelse.
            
         
         
            Artikel 6
            Begrænsning af den registreredes ret til indsigt
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til indsigt begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og forholdsmæssigt:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           whistleblowingsager
                        
                     
                           d)
                        
                        
                           (formelle og uformelle) procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           interne revisioner
                        
                     
                           g)
                        
                        
                           undersøgelser udført på foranledning af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           h)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU)
                        
                     
                           i)
                        
                        
                           behandling af ansattes anmodninger om indsigt i deres lægejournaler.
                        
                     Hvis registrerede anmoder om indsigt i deres personoplysninger i forbindelse med en eller flere specifikke sager eller en bestemt behandling i overensstemmelse med artikel 17 i forordning (EU) 2018/1725, begrænser Cedefop sin vurdering af anmodningen til kun at omfatte sådanne personoplysninger.
            
            
               2.   Hvis Cedefop helt eller delvist begrænser indsigtsretten som omhandlet i artikel 17 i forordning (EU) 2018/1725, tager det følgende skridt:
               
                           a)
                        
                        
                           underretter i sit svar på anmodningen den pågældende registrerede om den pålagte begrænsning og om de vigtigste bevæggrunde dertil og om muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe sagen for EU-Domstolen
                        
                     
                           b)
                        
                        
                           dokumenterer i en intern vurdering bevæggrundene til begrænsningen, herunder en vurdering af nødvendigheden og forholdsmæssigheden af begrænsningen og dens varighed.
                        
                     Begrænsninger af ansattes ret til indsigt i deres lægejournaler må kun angå ansattes anmodninger om direkte indsigt i lægelige oplysninger af psykologisk eller psykiatrisk art, hvor en vurdering i det enkelte tilfælde viser, at indirekte indsigt er nødvendig til beskyttelse af den registrerede person. Indsigt i sådanne oplysninger skal ske ved formidling af en læge udpeget af den pågældende registrerede person. Lægen valgt af den pågældende registrerede person skal gives adgang til alle oplysninger og bemyndigelse til at skønne, hvordan og i hvilket omfang indsigt gives til den registrerede person.
               Den bestemmelse om underretning, der er omhandlet i litra a), kan udsættes, udelades eller afvises, hvis den ville ophæve virkningen af den pålagte begrænsning i henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725.
               Cedefop foretager en fornyet gennemgang af anvendelsen af begrænsningen hvert halve år fra dens vedtagelse og ved afslutningen af den pågældende undersøgelse, procedure eller efterforskning. Derefter overvåger den dataansvarlige hvert halve år behovet for at opretholde enhver begrænsning. Prøvningen af nødvendigheden og forholdsmæssigheden, som artikel 3, stk. 5, henviser til, skal også ske ved hver periodisk gennemgang, efterfulgt af en vurdering af, hvorvidt begrænsningens faktuelle og lovmæssige grundlag stadig finder anvendelse.
            
            
               3.   Fortegnelsen og i givet fald de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres. De stilles til rådighed for Den Europæiske Tilsynsførende for Databeskyttels på dennes anmodning.
            
         
         
            Artikel 7
            Begrænsning af den registreredes ret til berigtigelse, sletning og begrænsning af behandlingen
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til berigtigelse, sletning og begrænsning af behandlingen begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           whistleblowingsager
                        
                     
                           d)
                        
                        
                           (formelle og uformelle) procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           interne revisioner
                        
                     
                           g)
                        
                        
                           undersøgelser udført på foranledning af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           h)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
            
               2.   Hvis Cedefop helt eller delvist begrænser anvendelsen af retten til berigtigelse, sletning og begrænsning af den behandling, der er omhandlet i artikel 18, artikel 19, stk. 1, og artikel 20, stk. 1, i forordning (EU) 2018/1725, skal den tage de skridt, som er fastsat i artikel 6, stk. 2, i denne afgørelse, og registrere dette i overensstemmelse med artikel 6, stk. 3.
            
         
         
            Artikel 8
            Begrænsning af retten til underretning om et brud på persondatabeskyttelsen til den registrerede og fortrolighed af elektronisk kommunikation
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til underretning om et brud på persondatasikkerheden til den registrerede begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           whistleblowingsager
                        
                     
                           d)
                        
                        
                           interne revisioner
                        
                     
                           e)
                        
                        
                           undersøgelser udført på foranledning af databeskyttelsesrådgiveren i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           f)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
            
               2.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til fortrolighed af elektronisk kommunikation begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           whistleblowingsager
                        
                     
                           d)
                        
                        
                           formelle procedurer i sager om chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
            
               3.   Hvis Cedefop begrænser underretning om et brud på persondatasikkerheden til den registrerede eller fortrolighed af elektronisk kommunikation som omhandlet i artikel 35 og 36 i forordning (EU) 2018/1725, registrerer den bevæggrundene til begrænsningen i overensstemmelse med artikel 5, stk. 2, i denne afgørelse. Artikel 5, stk. 3, i denne afgørelse finder også anvendelse.
            
         
         
            Artikel 9
            Ikrafttræden
            Denne afgørelse træder i kraft tyve dage efter offentliggørelsen i Den Europæiske Unions Tidende.
         
         
            Udfærdiget den 6. maj 2020.
            
               
                  På bestyrelsens vegne
               
               Barbara DORN
               
                  Formand for bestyrelsen
               
            
         
         
            (1)  EUT L 295 af 21.11.2018, s. 39.
         
            (2)  EUT L 30 af 31.1.2019, s. 90.
         
            (3)  https://edps.europa.eu/sites/edp/files/publication/18-12-20_guidance_on_article_25_en.pdf.
         
            (4)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse), EUT L 119 af 4.5.2016, s. 1.
         
            (5)  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA, EUT L 119 af 4.5.2016, s. 89.