CELEX: 32020Q0827(01)
Language: da
Date: 2020-07-06 00:00:00
Title: Afgørelse nr. 64 truffet af bestyrelsen for Det Europæiske Asylstøttekontor den 6. juli 2020 om vedtagelse af interne regler angående visse indskrænkninger af registreredes rettigheder i forhold til behandling af personoplysninger som led i Det Europæiske Asylstøttekontors arbejde

27.8.2020   
               
               
                  DA
               
               
                  Den Europæiske Unions Tidende
               
               
                  L 279/15
               
            
         AFGØRELSE nr. 64 TRUFFET AF BESTYRELSEN FOR DET EUROPÆISKE ASYLSTØTTEKONTOR
         den 6. juli 2020
         om vedtagelse af interne regler angående visse indskrænkninger af registreredes rettigheder i forhold til behandling af personoplysninger som led i Det Europæiske Asylstøttekontors arbejde
         BESTYRELSEN FOR DET EUROPÆISKE ASYLSTØTTEKONTOR HAR —
         under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1), særlig dennes artikel 25,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) nr. 439/2010 af 19. maj 2010 om oprettelse af et europæisk asylstøttekontor (2), særlig dennes artikel 29,
         under henvisning til Den Europæiske Tilsynsførende for Databeskyttelses (EDPS) udtalelse af 20. maj 2020 og EDPS' vejledning angående den nye forordnings artikel 25 og interne regler,
         efter høring af Personaleudvalget, og
         ud fra følgende betragtninger:
         
                     (1)
                  
                  
                     Det Europæiske Asylstøttekontor (herefter EASO) udfører sin virksomhed i overensstemmelse med forordning (EU) nr. 439/2010.
                  
               
                     (2)
                  
                  
                     I henhold til artikel 25, stk. 1, i forordning (EU) 2018/1725 bør begrænsninger i anvendelsen af artikel 14-21, 35 og 36, samt artikel 4 i nævnte forordning, for så vidt bestemmelserne deri svarer til rettighederne og forpligtelserne i artikel 14-21, baseres på interne regler, som fastsættes af EASO, når disse ikke har hjemmel i en retsakt vedtaget på grundlag af traktaterne.
                  
               
                     (3)
                  
                  
                     Disse interne regler, herunder deres bestemmelser om vurderingen af, om en begrænsning er nødvendig og står i rimeligt forhold til formålene, bør ikke finde anvendelse, når en retsakt vedtaget på grundlag af traktaterne foreskriver en begrænsning af den registreredes rettigheder.
                  
               
                     (4)
                  
                  
                     Hvor EASO udfører sit hverv med hensyn til registreredes rettigheder i henhold til forordning (EU) 2018/1725, skal den overveje, om nogen af de undtagelser, der er fastsat i denne forordning, finder anvendelse.
                  
               
                     (5)
                  
                  
                     Inden for rammerne af sin administrative funktion kan EASO foretage administrative forespørgsler, føre disciplinærsager, gennemføre indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF, behandle sager om whistleblowing, behandle (formelle og uformelle) procedurer vedrørende chikane, behandle interne og eksterne klager, foretage interne revisioner, foretage undersøgelser af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 og interne (IT-)sikkerhedsundersøgelser samt behandle ansattes anmodninger om indsigt i deres lægejournaler.
                     EASO behandler flere kategorier af personoplysninger, herunder hårde oplysninger (»objektive« oplysninger såsom identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, oplysninger modtaget fra bestemte kilder, elektronisk kommunikation og trafikoplysninger) og/eller bløde oplysninger (»subjektive« oplysninger i forbindelse med f.eks. ræsonnementer, adfærdsmæssige oplysninger, vurderinger, resultater og adfærdsoplysninger samt oplysninger relateret til eller fremkommet i forbindelse med genstanden for den pågældende procedure eller aktivitet).
                  
               
                     (6)
                  
                  
                     EASO, som repræsenteres af sin administrerende direktør, fungerer som dataansvarlig uanset yderligere delegering af rollen som dataansvarlig indenfor EASO for at afspejle det operationelle ansvar for bestemte behandlingsaktiviteter vedrørende personoplysninger.
                  
               
                     (7)
                  
                  
                     Personoplysningerne opbevares sikkert i et elektronisk miljø eller på papir, hvilket forhindrer misbrug eller ulovlig adgang til eller overførsel af data til personer, der ikke har behov for denne viden. De personoplysninger, der behandles, opbevares ikke i længere tid, end det er nødvendigt og passende for de formål, hvortil oplysningerne behandles, i den periode, som er angivet i EASO's bekendtgørelser om databeskyttelse eller registreringer.
                  
               
                     (8)
                  
                  
                     Disse interne regler bør gælde for alle behandlingsaktiviteter, der udføres af EASO i forbindelse med udførelsen af administrative undersøgelser, disciplinærsager, foreløbige aktiviteter i forbindelse med sager om potentielle uregelmæssigheder, der indberettes til OLAF, sager om whistleblowing, (formelle og uformelle) procedurer for sager om chikane, behandling af interne og eksterne klager, interne revisioner, undersøgelser udført af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU) samt behandling af ansattes anmodninger om indsigt i deres lægejournaler.
                  
               
                     (9)
                  
                  
                     Disse interne regler bør gælde for behandlingsaktiviteter, der gennemføres forud for indledningen af ovennævnte procedurer, i løbet af disse procedurer og under overvågning af opfølgningen på resultatet af disse procedurer. De bør også omfatte bistand og samarbejde, som ydes af EASO til nationale myndigheder og internationale organisationer uden for myndighedens administrative undersøgelser.
                  
               
                     (10)
                  
                  
                     I de tilfælde, hvor disse interne regler gælder, skal EASO give begrundelser, der forklarer, hvorfor begrænsningerne er strengt nødvendige og forholdsmæssige i et demokratisk samfund og respekterer det væsentlige indhold af de grundlæggende rettigheder og friheder.
                  
               
                     (11)
                  
                  
                     Inden for disse rammer er EASO forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder i løbet af de ovennævnte procedurer, især dem, der vedrører retten til oplysninger, indsigt og berigtigelse, retten til sletning, begrænsning af behandling, retten til underretning om et brud på persondatasikkerheden til en registreret og fortroligheden af elektronisk kommunikation som nedfældet i forordning (EU) 2018/1725.
                  
               
                     (12)
                  
                  
                     EASO kan dog være forpligtet til at begrænse den registreredes og andre registreredes rettigheder til at modtage oplysninger for at beskytte især sine egne undersøgelser, andre offentlige myndigheders undersøgelser og sager, samt andre personers rettigheder vedrørende EASO's undersøgelser eller andre procedurer.
                  
               
                     (13)
                  
                  
                     EASO bør regelmæssigt overvåge, hvorvidt de betingelser, der berettiger begrænsningen, stadig er gældende, og ophæve begrænsningen, hvis de ikke længere er gældende.
                  
               
                     (14)
                  
                  
                     Den registeransvarlige bør underrette den databeskyttelsesansvarlige straks, når begrænsningen pålægges, og ved efterfølgende gennemgange, og inddrage ham eller hende igennem hele proceduren, indtil begrænsningen ophæves.
                  
               VEDTAGET DENNE FORORDNING:
         
            Artikel 1
            Genstand og anvendelsesområde
            
               1.   Denne afgørelse fastlægger regler for de vilkår, under hvilke EASO kan begrænse anvendelsen af rettighederne i artikel 14-21, 35 og 36, samt artikel 4 i forordning (EU) 2018/1725 i lyset af de procedurer, som er angivet i stk. 2 i overensstemmelse med denne forordnings artikel 25.
            
            
               2.   Inden for rammerne af EASO's administrative funktion gælder denne afgørelse behandling af personoplysninger udført af EASO i forbindelse med: udførelsen af administrative undersøgelser, disciplinærsager, foreløbige aktiviteter i forbindelse med sager om potentielle uregelmæssigheder, der indberettes til OLAF, sager om whistleblowing, (formelle og uformelle) procedurer vedrørende chikane, behandling af interne og eksterne klager, gennemførelse af interne revisioner, undersøgelser udført af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU) samt behandling af ansattes anmodninger om indsigt i deres lægejournaler.
            
            
               3.   De relevante kategorier af personoplysninger er hårde oplysninger (»objektive« oplysninger såsom identifikationsoplysninger, kontaktoplysninger, faglige oplysninger, administrative oplysninger, oplysninger modtaget fra bestemte kilder, elektronisk kommunikation og trafikoplysninger) og/eller bløde oplysninger (»subjektive« oplysninger i forbindelse med f.eks. ræsonnementer, adfærdsmæssige oplysninger, vurderinger, resultat- og adfærdsoplysninger samt oplysninger relateret til eller fremkommet i forbindelse med genstanden for den pågældende procedure eller aktivitet).
            
            
               4.   Hvor EASO udfører sit hverv med hensyn til registreredes rettigheder i henhold til forordning (EU) 2018/1725, skal den overveje, om nogen af de undtagelser, der er fastsat i denne forordning, finder anvendelse.
            
            
               5.   På de betingelser, der er fastsat i denne afgørelse, kan begrænsningerne gælde følgende rettigheder: oplysninger til de registrerede, ret til indsigt for de registrerede, berigtigelse, sletning, og begrænsning af behandling for de registrerede, underretning om et brud på persondatasikkerheden til en registreret og fortroligheden af elektronisk kommunikation.
            
         
         
            Artikel 2
            Specifikation af den dataansvarlige og sikkerhedsforanstaltninger
            
               1.   EASO skal implementere følgende sikkerhedsforanstaltninger til hindring af misbrug eller ulovlig adgang eller overførsel:
               
                           a)
                        
                        
                           Papirdokumenter skal opbevares i sikrede skabe, som kun er tilgængelige for autoriseret personale.
                        
                     
                           b)
                        
                        
                           Alle elektroniske oplysninger opbevares i en sikker IT-anordning i henhold til EASO's sikkerhedsstandarder såvel som i bestemte elektroniske mapper, som kun er tilgængelige for autoriseret personale. Passende adgangsniveauer tildeles enkeltvis.
                        
                     
                           c)
                        
                        
                           Adgang til EASO's IT-miljø skal ske med et fælles indlogningssystem og tilsluttes automatisk brugerens ID og adgangskode. E-registre skal føres forsvarligt for at sikre fortroligheden og privatlivsbeskyttelsen af de indsamlede oplysninger.
                        
                     
                           d)
                        
                        
                           Alle personer, der har adgang til oplysningerne, skal være bundet af tavshedspligt.
                        
                     
            
               2.   Den dataansvarlige for behandlingsaktiviteterne er EASO, repræsenteret ved sin administrerende direktør, som kan uddelegere den dataansvarliges funktion. I tilfælde, hvor den administrerende direktør er underlagt administrativ undersøgelse, disciplinærprocedure eller intern undersøgelse, repræsenterer bestyrelsen EASO som den dataansvarlige (som ansættelsesmyndighed for den administrerende direktør). Registrerede skal underrettes om den delegerede dataansvarlige via bekendtgørelser eller optegnelser om databeskyttelse, der offentliggøres på EASO's websted og intranet.
            
            
               3.   Den opbevaringsperiode for personoplysninger, der er omhandlet i denne afgørelses artikel 1, stk. 3, må ikke være længere end det, der er nødvendigt og passende for de formål, hvortil oplysningerne behandles. Den skal under ingen omstændigheder være længere end den opbevaringsperiode, der fremgår af de bekendtgørelser om databeskyttelse eller optegnelser, der er omhandlet i denne afgørelses artikel 3, stk. 3.
            
            
               4.   Hvor EASO overvejer at anvende en begrænsning, vægtes risikoen for den registreredes rettigheder og frihedsrettigheder, især i forhold til risikoen for andre registreredes rettigheder og frihedsrettigheder og risikoen for at miste effekten af EASO's undersøgelser eller procedurer, især ved at ødelægge beviser. Risici for den registreredes rettigheder og frihedsrettigheder vedrører fortrinsvist, men er ikke begrænset til, omdømmemæssige risici og risici for retten til forsvar og retten til at blive hørt.
            
         
         
            Artikel 3
            Begrænsninger
            
               1.   En eventuel begrænsning vil kun blive anvendt af EASO på grundlag af ét eller flere af de i litra a) til i) i artikel 25, stk. 1, i forordning (EU) 2018/1725 angivne hensyn. I særdeleshed kan begrænsninger, som led i formålet med behandling af personoplysninger, der er omhandlet i denne afgørelses artikel 1, stk. 2, begrundes med følgende:
               
                           a)
                        
                        
                           til udførelse af administrative undersøgelser og disciplinærsager kan begrænsninger begrundes med artikel 25, stk. 1, litra b), c), g) og h) i forordning (EU) 2018/1725
                        
                     
                           b)
                        
                        
                           til foreløbige aktiviteter i forbindelse med sager om potentielle uregelmæssigheder, der indberettes til OLAF, kan begrænsninger begrundes med artikel 25, stk. 1, litra b), c), f), g) og h) i forordning (EU) 2018/1725
                        
                     
                           c)
                        
                        
                           til sager om whistleblowing kan begrænsninger begrundes med artikel 25, stk. 1, litra b), c), f), g) og h) i forordning (EU) 2018/1725
                        
                     
                           d)
                        
                        
                           til (formelle og uformelle) procedurer vedrørende chikane kan begrænsninger begrundes med artikel 25, stk. 1, litra b), f), h) og i) i forordning (EU) 2018/1725
                        
                     
                           e)
                        
                        
                           til behandling af interne og eksterne klager kan begrænsninger begrundes med artikel 25, stk. 1, litra c), e), g) og h) i forordning (EU) 2018/1725
                        
                     
                           f)
                        
                        
                           til interne revisioner kan begrænsninger begrundes med artikel 25, stk. 1, litra c), g) og h) i forordning (EU) 2018/1725
                        
                     
                           g)
                        
                        
                           til undersøgelser udført af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725 kan begrænsninger begrundes med den forordnings artikel 25, stk. 1, litra c), g) og h)
                        
                     
                           h)
                        
                        
                           til (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU) kan begrænsninger begrundes med artikel 25, stk. 1, litra c), d), g) og h) i forordning (EU) 2018/1725
                        
                     
                           i)
                        
                        
                           til behandling af ansattes anmodninger om indsigt i deres lægejournaler kan begrænsninger begrundes med artikel 25, stk. 1, litra h) i forordning (EU) 2018/1725.
                        
                     
            
               2.   Som en specifik anvendelse af formålene beskrevet i stk. 1 herover kan EASO begrænse de rettigheder, der er omhandlet i denne afgørelses artikel 1, stk. 5, under følgende omstændigheder:
               
                           a)
                        
                        
                           hvor en anden EU-institution eller et andet EU-organ, -kontor eller -agentur er berettiget til at begrænse udøvelsen af disse rettigheder på grundlag af andre retsakter, som omhandlet i artikel 25 i forordning (EU) 2018/1725, eller i overensstemmelse med forordningens kapitel IX eller med deres oprettelsesakter, og formålet med en sådan begrænsning af den pågældende anden EU-institution eller et andet EU-organ, -kontor eller -agentur ville blive bragt i fare, dersom EASO ikke skulle pålægge en tilsvarende begrænsning med hensyn til de samme personoplysninger
                        
                     
                           b)
                        
                        
                           Hvor en medlemsstats kompetente myndighed er berettiget til at begrænse udøvelsen af disse rettigheder på grundlag af de retsakter, der er omhandlet i artikel 23 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (3), eller under nationale forholdsregler, som gennemfører artikel 13, stk. 3, artikel 15, stk. 3, eller artikel 16, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (4) og formålet med en sådan begrænsning af den pågældende medlemsstats kompetente myndighed ville blive bragt i fare, dersom EASO ikke skulle pålægge en tilsvarende begrænsning med hensyn til de samme personoplysninger
                        
                     
                           c)
                        
                        
                           hvor udøvelsen af disse rettigheder kan true EASO's samarbejde med tredjelande eller internationale organisationer i forbindelse med udførelsen af dens opgaver.
                        
                     Inden der pålægges begrænsninger i de tilfælde, som er omtalt i første afsnit, litra a) og b), skal EASO høre den relevante EU-institution, organ, agentur, kontor eller agentur eller den kompetente myndighed i medlemsstaten, medmindre det står klart for EASO, at anvendelsen af en begrænsning er fastsat i en af de retsakter, der er nævnt i disse bestemmelser.
            
            
               3.   EASO indarbejder i bekendtgørelserne om databeskyttelse eller fortegnelser i henhold til artikel 31 i forordning (EU) 2018/1725, som er offentliggjort på dens websted og intranet, hvor de registrerede underrettes om deres rettigheder inden for rammerne af en given procedure, oplysninger om den potentielle begrænsning af disse rettigheder. Oplysningerne omfatter, hvilke rettigheder der kan begrænses, bevæggrundene og den potentielle varighed.
               Med forbehold af bestemmelserne i artikel 5, stk. 2, underretter EASO, hvor det er forholdsmæssigt, også enkeltvis alle registrerede, der anses for at være berørt af den konkrete behandlingsaktivitet, uden unødigt ophold og skriftligt om deres rettigheder vedrørende nuværende eller fremtidige begrænsninger.
            
            
               4.   Enhver begrænsning skal være nødvendig og forholdsmæssig under hensyntagen til de risici, den medfører for de registreredes rettigheder og frihedsrettigheder, og respektere det væsentlige indhold af de grundlæggende rettigheder og frihedsrettigheder i et demokratisk samfund.
            
            
               5.   Hvis det overvejes at pålægge begrænsninger, foretages der på grundlag af nærværende regler en vurdering af nødvendigheden, og om de står i et rimeligt forhold til formålene. Af hensyn til ansvarlighed dokumenteres vurderingen gennem et internt notat i hvert enkelt tilfælde.
            
            
               6.   Begrænsningerne vil blive ophævet, så snart de forhold, der begrundede dem, ikke længere er gældende, især når det vurderes, at udøvelsen af den begrænsede ret ikke længere vil annullere effekten af den pålagte begrænsning eller forringe andre registreredes rettigheder eller frihedsrettigheder.
            
         
         
            Artikel 4
            Den databeskyttelsesansvarliges gennemgang
            
               1.   EASO's databeskyttelsesansvarlige skal uden unødigt ophold underrettes, når den dataansvarlige begrænser anvendelsen af den registreredes rettigheder eller forlænger begrænsningen i overensstemmelse med denne afgørelse. Den dataansvarlige giver den databeskyttelsesansvarlige adgang til den fortegnelse, som indeholder vurderingen af nødvendigheden og forholdsmæssigheden af begrænsningen, og dokumenterer datoen for underretningen af den databeskyttelsesansvarlige i fortegnelsen. Den databeskyttelsesansvarlige skal involveres igennem hele proceduren, indtil begrænsningen ophæves.
            
            
               2.   Den databeskyttelsesansvarlige kan anmode den dataansvarlige skriftligt om at gennemgå anvendelsen af begrænsningerne. Den dataansvarlige underretter den databeskyttelsesansvarlige skriftligt om resultatet af den ønskede gennemgang.
            
            
               3.   Den dataansvarlige underretter den databeskyttelsesansvarlige, når begrænsningen er blevet ophævet.
            
         
         
            Artikel 5
            Begrænsning af den registreredes ret til oplysninger
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan den registreredes ret til oplysninger begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           procedurer vedrørende whistleblowing
                        
                     
                           d)
                        
                        
                           (formelle og uformelle) procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           intern revision
                        
                     
                           g)
                        
                        
                           de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           h)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
            
               2.   Hvor EASO helt eller delvist begrænser retten til formidling af oplysninger til de registrerede, der er omhandlet i artikel 14-16 i forordning (EU) 2018/1725, registrerer den bevæggrundene til begrænsningen og retsgrundlaget i overensstemmelse med artikel 3 i denne afgørelse, herunder en vurdering af nødvendigheden og forholdsmæssigheden af begrænsningen.
               Fortegnelsen og i givet fald de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres. De stilles til rådighed for EDPS på dennes anmodning.
            
            
               3.   Begrænsningen i stk. 2 finder fortsat anvendelse, så længe bevæggrundene derfor finder anvendelse.
               Hvor begrundelsen for begrænsningen ikke længere finder anvendelse, underretter EASO den registrerede om de vigtigste bevæggrunde, der ligger til grund for anvendelsen af begrænsningen. Samtidig underretter EASO den registrerede om retten til til enhver tid at indgive en klage til EDPS eller søge domstolsprøvelse i Den Europæiske Unions Domstol.
               EASO gennemgår anvendelsen af begrænsningen hvert halve år fra dens vedtagelse og ved afslutningen af den pågældende undersøgelse, procedure eller efterforskning. Derefter overvåger den dataansvarlige hvert halve år behovet for at opretholde enhver begrænsning. Prøvningen af nødvendigheden og forholdsmæssigheden, som artikel 3, stk. 5, henviser til, skal også ske ved hver periodisk gennemgang, efterfulgt af en vurdering af, hvorvidt begrænsningens faktuelle og lovmæssige grundlag stadig finder anvendelse.
            
         
         
            Artikel 6
            Begrænsning af den registreredes ret til indsigt
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til indsigt begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og forholdsmæssigt:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           procedurer vedrørende whistleblowing
                        
                     
                           d)
                        
                        
                           (formelle og uformelle) procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           intern revision
                        
                     
                           g)
                        
                        
                           de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           h)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU)
                        
                     
                           i)
                        
                        
                           behandling af ansattes anmodninger om indsigt i deres lægejournaler.
                        
                     Hvor registrerede anmoder om indsigt i deres personoplysninger, der behandles i forbindelse med en eller flere bestemte sager eller behandlingsaktiviteter, begrænser EASO i henhold til artikel 17 i forordning (EU) 2018/1725 sin vurdering af anmodningen udelukkende til sådanne personoplysninger.
            
            
               2.   Hvor EASO helt eller delvist begrænser retten til indsigt, der er omhandlet i artikel 17 i forordning (EU) 2018/1725, tager den følgende skridt:
               
                           a)
                        
                        
                           underretter i sit svar på anmodningen den pågældende registrerede om den pålagte begrænsning og om de vigtigste bevæggrunde dertil og om muligheden for at klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe sagen for EU-Domstolen
                        
                     
                           b)
                        
                        
                           dokumenterer i en intern vurdering bevæggrundene til begrænsningen, herunder en vurdering af nødvendigheden og forholdsmæssigheden af begrænsningen og dens varighed.
                        
                     Begrænsninger af ansattes ret til indsigt i deres lægejournaler må kun angå ansattes anmodninger om direkte indsigt i lægelige oplysninger af psykologisk eller psykiatrisk art, hvor en vurdering i det enkelte tilfælde viser, at indirekte indsigt er nødvendig til beskyttelse af den registrerede person. Indsigt i sådanne oplysninger skal ske ved formidling af en læge udpeget af den pågældende registrerede person. Lægen valgt af den pågældende registrerede person skal gives adgang til alle oplysninger og bemyndigelse til at skønne, hvordan og i hvilket omfang indsigt gives til den registrerede person.
               Den bestemmelse om underretning, der er omhandlet i litra a), kan udsættes, udelades eller afvises, hvis den ville ophæve virkningen af den pålagte begrænsning i henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725.
               EASO gennemgår anvendelsen af begrænsningen hvert halve år fra dens vedtagelse og ved afslutningen af den pågældende undersøgelse, procedure eller efterforskning. Derefter overvåger den dataansvarlige hvert halve år behovet for at opretholde enhver begrænsning.
               Prøvningen af nødvendigheden og forholdsmæssigheden, som artikel 3, stk. 5, henviser til, skal også ske ved hver periodisk gennemgang, efterfulgt af en vurdering af, hvorvidt begrænsningens faktuelle og lovmæssige grundlag stadig finder anvendelse.
            
            
               3.   Fortegnelsen og i givet fald de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres. De stilles til rådighed for EDPS på dennes anmodning.
            
         
         
            Artikel 7
            Begrænsning af den registreredes ret til berigtigelse, sletning og begrænsning af behandlingen
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til berigtigelse, sletning og begrænsning af behandlingen begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           procedurer vedrørende whistleblowing
                        
                     
                           d)
                        
                        
                           (formelle og uformelle) procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           intern revision
                        
                     
                           g)
                        
                        
                           de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           h)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
            
               2.   Hvor EASO helt eller delvist begrænser anvendelsen af retten til berigtigelse, sletning og begrænsning af den behandling, der er omhandlet i artikel 18, artikel 19, stk. 1, og artikel 20, stk. 1, i forordning (EU) 2018/1725, skal den tage de skridt, som er fastsat i artikel 6, stk. 2, i denne afgørelse, og registrere dette i overensstemmelse med artikel 6, stk. 3.
            
         
         
            Artikel 8
            Begrænsning af retten til underretning om et brud på persondatabeskyttelsen til den registrerede og fortrolighed af elektronisk kommunikation
            
               1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til underretning om et brud på persondatasikkerheden til den registrerede begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           procedurer vedrørende whistleblowing
                        
                     
                           d)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           e)
                        
                        
                           intern revision
                        
                     
                           f)
                        
                        
                           de undersøgelser, som den databeskyttelsesansvarlige foretager i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725
                        
                     
                           g)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
            
               2.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan retten til fortrolighed af elektronisk kommunikation begrænses af den dataansvarlige i forbindelse med følgende behandlingsaktiviteter, hvor det er nødvendigt og passende:
               
                           a)
                        
                        
                           udførelse af administrative undersøgelser og disciplinærsager
                        
                     
                           b)
                        
                        
                           indledende aktiviteter i forbindelse med sager om potentielle uregelmæssigheder indberettet til OLAF
                        
                     
                           c)
                        
                        
                           procedurer vedrørende whistleblowing
                        
                     
                           d)
                        
                        
                           formelle procedurer vedrørende chikane
                        
                     
                           e)
                        
                        
                           behandling af interne og eksterne klager
                        
                     
                           f)
                        
                        
                           (IT-)sikkerhedsundersøgelser behandlet internt eller med ekstern deltagelse (f.eks. CERT-EU).
                        
                     
            
               3.   Hvor EASO begrænser underretning om et brud på persondatasikkerheden til den registrerede eller fortrolighed af elektronisk kommunikation som omhandlet i artikel 35 og 36 i forordning (EU) 2018/1725, registrerer den bevæggrundene til begrænsningen i overensstemmelse med artikel 5, stk. 2, i denne afgørelse. Artikel 5, stk. 3, i denne afgørelse finder også anvendelse.
            
         
         
            Artikel 9
            Ikrafttræden
            Denne afgørelse træder i kraft dagen efter offentliggørelsen i Den Europæiske Unions Tidende.
         
         
            Udfærdiget i Valletta Harbour, den 6. juli 2020.
            
               
                  På vegne af Det Europæiske Asylstøttekontor
               
               David COSTELLO
               
                  Bestyrelsesformand
               
            
         
         
            (1)  EUT L 295 af 21.11.2018, s. 39.
         
            (2)  EUT L 132 af 29.5.2010, s. 11.
         
            (3)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).
         
            (4)  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89).