CELEX: 32021D1093
Language: sv
Date: 2021-06-28 00:00:00
Title: Rådets beslut (EU) 2021/1093 av den 28 juni 2021 om genomföranderegler för rådets dataskyddsombud, tillämpningen av Europaparlamentets och rådets förordning (EU) 2018/1725 och begränsningar av registrerades rättigheter inom ramen för utövandet av rådets dataskyddsombuds uppgifter samt om upphävande av rådets beslut 2004/644/EG

5.7.2021   
               
               
                  SV
               
               
                  Europeiska unionens officiella tidning
               
               
                  L 236/55
               
            
         RÅDETS BESLUT (EU) 2021/1093
         av den 28 juni 2021
         om genomföranderegler för rådets dataskyddsombud, tillämpningen av Europaparlamentets och rådets förordning (EU) 2018/1725 och begränsningar av registrerades rättigheter inom ramen för utövandet av rådets dataskyddsombuds uppgifter samt om upphävande av rådets beslut 2004/644/EG
         EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA BESLUT
         med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 240.3,
         med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (1), särskilt artikel 45.3, och
         av följande skäl:
         
                     (1)
                  
                  
                     I förordning (EU) 2018/1725 fastställs principer och regler som är tillämpliga på alla unionsinstitutioner och unionsorgan och det föreskrivs att varje unionsinstitution eller unionsorgan ska utnämna ett dataskyddsombud.
                  
               
                     (2)
                  
                  
                     I artikel 45.3 i förordning (EU) 2018/1725 föreskrivs att varje unionsinstitution eller unionsorgan ska anta genomföranderegler rörande dataskyddsombudet (genomföranderegler). Genomförandereglerna bör i synnerhet avse de arbetsuppgifter, åligganden och befogenheter som tillkommer dataskyddsombudet vid rådet och rådets generalsekretariat (dataskyddsombudet).
                  
               
                     (3)
                  
                  
                     Genomförandereglerna bör ange hur de registrerade ska utöva sina rättigheter och hur alla berörda aktörer inom rådet och rådets generalsekretariat (generalsekretariatet) ska uppfylla sina skyldigheter när det gäller behandling av personuppgifter.
                  
               
                     (4)
                  
                  
                     I förordning (EU) 2018/1725 föreskrivs ett tydligt ansvar för personuppgiftsansvariga, särskilt när det gäller registrerades rättigheter. Genomförandereglerna bör säkerställa att rådet och generalsekretariatet i egenskap av personuppgiftsansvarig fullgör sina skyldigheter på ett enhetligt och öppet sätt. Regler bör anges för att fastställa vem som är ansvarig för en behandling som utförs på rådets eller generalsekretariatets vägnar. I detta avseende är det lämpligt att införa begreppet delegerad personuppgiftsansvarig för att exakt ange ansvarsområdena för generalsekretariatets enheter, särskilt när det gäller enskilda beslut som rör registrerades rättigheter. Dessutom är det lämpligt att införa begreppet operativ personuppgiftsansvarig som, under den delegerade personuppgiftsansvariges ansvar, utnämns för att säkerställa efterlevnaden i praktiken och behandla begäranden från registrerade avseende en behandling. För att exakt ange ansvarsområdena inom generalsekretariatet för varje behandling bör den operativa personuppgiftsansvarige anges exakt i registret. Utnämningen av en operativ personuppgiftsansvarig hindrar inte att man i praktiken använder en kontaktpunkt, till exempel i form av en funktionell brevlåda där de registrerade kan lämna in sina begäranden.
                  
               
                     (5)
                  
                  
                     I vissa fall kan flera av generalsekretariatets generaldirektorat eller avdelningar utföra en behandling gemensamt för att fullgöra sitt uppdrag. De bör i sådana fall säkerställa att det finns interna arrangemang så att de på ett öppet sätt kan fastställa sina respektive ansvarsområden enligt förordning (EU) 2018/1725, särskilt när det gäller de registrerades rättigheter, anmälan till Europeiska datatillsynsmannen och registerhållning.
                  
               
                     (6)
                  
                  
                     För att göra det lättare för de delegerade personuppgiftsansvariga att utöva sitt ansvar bör vart och ett av generalsekretariatets generaldirektorat eller annan avdelning inom generalsekretariatet utnämna en dataskyddssamordnare. Dataskyddssamordnarna bör bistå generalsekretariatets generaldirektorat eller annan avdelning inom generalsekretariatet när det gäller alla aspekter av skyddet av personuppgifter och delta i nätverket för dataskyddssamordnare inom generalsekretariatet i syfte att säkerställa ett enhetligt genomförande och en enhetlig tolkning av förordning (EU) 2018/1725.
                  
               
                     (7)
                  
                  
                     Enligt artikel 45.1 b i förordning (EU) 2018/1725 kan dataskyddsombudet utfärda ytterligare vägledning om dataskyddssamordnarens funktion.
                  
               
                     (8)
                  
                  
                     I enlighet med artikel 25.1 i förordning (EU) 2018/1725 har varje unionsinstitution eller unionsorgan möjlighet att föreskriva begränsningar i tillämpningen av artiklarna 14–17, 19, 20 och 35 i den förordningen, samt den princip om öppenhet som fastställs i artikel 4.1 a i den förordningen i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–17, 19 och 20 i den förordningen.
                  
               
                     (9)
                  
                  
                     I vissa fall kan dataskyddsombudet behöva begränsa registrerades rättigheter för att kunna utföra de övervaknings-, utrednings-, gransknings- eller samrådsuppgifter som fastställs i artikel 45 i förordning (EU) 2018/1725, samtidigt som normerna för skydd av personuppgifter enligt den förordningen respekteras. Interna regler behöver antas som ger dataskyddsombudet rätt att begränsa registrerades rättigheter i enlighet med artikel 25 i den förordningen (de interna reglerna).
                  
               
                     (10)
                  
                  
                     De interna reglerna bör tillämpas på all uppgiftsbehandling som rådet och generalsekretariatet utför i samband med utförandet av dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter. De interna reglerna bör också tillämpas på behandling som ingår i de uppgifter som hör samman med dataskyddsombudets utrednings- eller granskningsfunktion, såsom klagomålsförfaranden som dataskyddsombudet hanterar. De interna reglerna bör även tillämpas på dataskyddsombudets övervakning och samråd när denne tillhandahåller stöd åt och samarbetar med generalsekretariatets generaldirektorat och avdelningar utöver sina administrativa utredningar och granskningar.
                  
               
                     (11)
                  
                  
                     Rådet och generalsekretariatet kan behöva tillämpa begränsningar på grundval av de skäl som avses i artikel 25.1 c, g och h i förordning (EU) 2018/1725 när det gäller uppgiftsbehandling som utförs inom ramen för dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter när det är nödvändigt för att skydda dataskyddsombudets uppgifter, berörda utredningar och förfaranden, verktyg och metoder för dataskyddsombudets utredningar och granskningar samt andra personers rättigheter i samband med dataskyddsombudets uppgifter.
                  
               
                     (12)
                  
                  
                     För att upprätthålla ett effektivt samarbete kan rådet och generalsekretariatet behöva tillämpa begränsningar när det gäller registrerades rättigheter för att skydda information som innehåller personuppgifter som härrör från andra generaldirektorat och avdelningar inom generalsekretariatet, eller andra unionsinstitutioner eller unionsorgan. För det ändamålet bör dataskyddsombudet samråda med dessa generaldirektorat och avdelningar eller andra institutioner eller organ om relevanta skäl för sådana begränsningar samt om behovet av begränsningarna och deras proportionalitet.
                  
               
                     (13)
                  
                  
                     Dataskyddsombudet och, i förekommande fall, generalsekretariatets generaldirektorat och avdelningar bör hantera alla begränsningar på ett öppet sätt och registrera varje fall där begränsningar tillämpas i det för ändamålet avsedda registreringssystemet.
                  
               
                     (14)
                  
                  
                     Enligt artikel 25.8 i förordning (EU) 2018/1725 får de personuppgiftsansvariga skjuta upp eller avstå från att informera den registrerade om skälen till tillämpningen av en begränsning, om detta på något sätt skulle äventyra syftet med begränsningen. I synnerhet om rättigheter enligt artiklarna 16 och 35 i den förordningen begränsas skulle information om en sådan begränsning äventyra syftet med begränsningen. För att säkerställa att den registrerades rätt att informeras i enlighet med de artiklarna endast begränsas under den tid som skälen till uppskjutandet gäller bör dataskyddsombudet eller det generaldirektorat eller den avdelning inom generalsekretariatet som tillämpar begränsningen regelbundet se över sin ståndpunkt.
                  
               
                     (15)
                  
                  
                     Om en begränsning av andra rättigheter för registrerade tillämpas bör dataskyddsombudet bedöma från fall till fall huruvida meddelandet om begränsningen skulle äventyra dess syfte.
                  
               
                     (16)
                  
                  
                     Dataskyddsombudet bör utföra en oberoende översyn av hur andra generaldirektorat eller avdelningar inom generalsekretariatet tillämpar begränsningar som grundas på detta beslut, i syfte att säkerställa att detta beslut efterlevs.
                  
               
                     (17)
                  
                  
                     Varje begränsning som tillämpas på grundval av detta beslut bör vara nödvändig och proportionell i ett demokratiskt samhälle.
                  
               
                     (18)
                  
                  
                     Europeiska datatillsynsmannen har underrättats och samråd har genomförts med denne i enlighet med artikel 41.1 och 41.2 i förordning (EU) 2018/1725 och denne har avgett ett yttrande (2).
                  
               
                     (19)
                  
                  
                     Genomförandereglerna för förordning (EU) 2018/1725 påverkar inte tillämpningen av Europaparlamentets och rådets förordning (EG) nr 1049/2001 (3), rådets beslut 2004/338/EG, Euratom (4), särskilt bilaga II till det beslutet, rådets beslut 2013/488/EU (5), särskilt del II avsnitt VI i bilagan till det beslutet samt beslutet av rådets generalsekreterare/höga representant för den gemensamma utrikes- och säkerhetspolitiken av den 25 juni 2001 (6).
                  
               
                     (20)
                  
                  
                     I rådets beslut 2004/644/EG (7) fastställs genomförandebestämmelser för Europaparlamentets och rådets förordning (EG) nr 45/2001. Genom förordning (EU) 2018/1725 upphävdes förordning (EG) nr 45/2001 med verkan från och med den 11 december 2019. För att säkerställa att endast en uppsättning genomförandebestämmelser gäller bör beslut 2004/644/EG upphävas.
                  
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
         AVSNITT 1
         
            ALLMÄNNA BESTÄMMELSER
         
         
            Artikel 1
            Innehåll och tillämpningsområde
            
               1.   I detta beslut fastställs regler och förfaranden för rådets och rådets generalsekretariats (generalsekretariatet) tillämpning av förordning (EU) 2018/1725 och ytterligare genomföranderegler för rådets dataskyddsombud (dataskyddsombudet).
            
            
               2.   I detta beslut fastställs de regler som rådet och generalsekretariatet i samband med dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsuppgifter ska följa när de informerar registrerade om behandlingen av deras personuppgifter i enlighet med artiklarna 14, 15 och 16 i förordning (EU) 2018/1725.
            
            
               3.   I detta beslut fastställs de villkor på vilka rådet och generalsekretariatet i samband med dataskyddsombudets övervaknings-, utrednings-, gransknings- eller samrådsverksamhet får begränsa tillämpningen av artiklarna 4, 14–17, 19, 20 och 35 i förordning (EU) 2018/1725 i enlighet med artikel 25.1 c, g och h i den förordningen.
            
            
               4.   Detta beslut är tillämpligt på rådets och generalsekretariatets behandling av personuppgifter med avseende på eller i samband med dataskyddsombudets uppgifter enligt artikel 45 i förordning (EU) 2018/1725.
            
         
         
            Artikel 2
            Personuppgiftsansvar
            Vid tillämpningen av detta beslut ska rådet och generalsekretariatet anses vara den personuppgiftsansvarige i den mening som avses i artikel 3.8 i förordning (EU) 2018/1725.
         
         
            Artikel 3
            Definitioner
            I detta beslut gäller följande definitioner:
            
                        1.
                     
                     
                        
                           dataskyddsombud: den person som rådets generalsekreterare har utnämnt enligt artikel 43 i förordning (EU) 2018/1725.
                     
                  
                        2.
                     
                     
                        
                           dataskyddsombudets uppgifter: de uppgifter som avses i artikel 45 i förordning (EU) 2018/1725.
                     
                  
                        3.
                     
                     
                        
                           generalsekretariatets personal: alla tjänstemän vid generalsekretariatet och varje annan person som omfattas av tjänsteföreskrifterna för tjänstemän i Europeiska unionen och anställningsvillkor för övriga anställda i Europeiska unionen, som fastställts i rådets förordning (EEG, Euratom, EKSG) nr 259/68 (8) (tjänsteföreskrifterna), eller som arbetar för generalsekretariatet enligt kontrakt (dvs. praktikanter, konsulter, utomstående uppdragstagare, tjänstemän som är utstationerade av medlemsstaterna).
                     
                  
                        4.
                     
                     
                        
                           delegerad personuppgiftsansvarig: chefen för det generaldirektorat eller den avdelning inom generalsekretariatet som på egen hand eller tillsammans med andra fastställer ändamålen och medlen för behandling av personuppgifter på rådets eller generalsekretariatets vägnar för att fullgöra det generaldirektoratets eller den avdelningens uppdrag.
                     
                  
                        5.
                     
                     
                        
                           operativ personuppgiftsansvarig: anställd vid generalsekretariatet som är chef på mellannivå eller högre nivå och som utsetts av den delegerade personuppgiftsansvarige för att bistå denne med att säkerställa efterlevnaden av förordning (EU) 2018/1725 när det gäller den behandling som denne är ansvarig för, och för att fungera som första kontaktpunkt för registrerade.
                     
                  
                        6.
                     
                     
                        
                           dataskyddssamordnare: anställd vid generalsekretariatet som i samråd med dataskyddsombudet har utsetts i varje generaldirektorat eller annan avdelning inom generalsekretariatet för att bistå det generaldirektoratet eller den avdelningen när det gäller alla aspekter av skyddet av personuppgifter och för att, som dess företrädare, hantera dataskyddsfrågor i nära samarbete med dataskyddsombudet.
                     
                  
         AVSNITT 2
         
            DATASKYDDSOMBUDET
         
         
            Artikel 4
            Utnämning av dataskyddsombudet och dennes status
            
               1.   Rådets generalsekreterare ska utnämna dataskyddsombudet bland generalsekretariatets personal och registrera dataskyddsombudet hos Europeiska datatillsynsmannen i enlighet med artikel 43 i förordning (EU) 2018/1725.
            
            
               2.   Dataskyddsombudet ska väljas på grundval av yrkesmässiga kvalifikationer och, i synnerhet, sakkunskap om lagstiftning och praxis avseende dataskydd samt förmågan att fullgöra de uppgifter som avses i artikel 45 i förordning (EU) 2018/1725. Dataskyddsombudet ska också ha goda kunskaper om generalsekretariatet, dess struktur samt dess administrativa regler och förfaranden. För att kunna utföra sina uppgifter ska dataskyddsombudet befrias från alla andra uppgifter inom generalsekretariatet.
            
            
               3.   Dataskyddsombudet utnämns för en period på fem år och ska kunna ges förnyat mandat.
            
            
               4.   Dataskyddsombudet och dennes personal är direkt knutna till rådets generalsekreterare och rapporterar direkt till denne.
            
            
               5.   Dataskyddsombudet ska vid utförandet av sina uppgifter agera på ett oberoende sätt och får inte ta emot några instruktioner från rådets generalsekreterare, de delegerade personuppgiftsansvariga eller de operativa personuppgiftsansvariga eller från någon annan med avseende på den interna tillämpningen av bestämmelserna i förordning (EU) 2018/1725 eller på dataskyddsombudets samarbete med Europeiska datatillsynsmannen.
            
            
               6.   Rådet och generalsekretariatet ska stödja dataskyddsombudet i utförandet av de uppgifter som avses i artikel 45 i förordning (EU) 2018/1725 genom att tillhandahålla de resurser som krävs för att fullgöra dessa uppgifter samt tillgång till personuppgifter och behandlingar, samt i upprätthållandet av dataskyddsombudets sakkunskap.
            
            
               7.   Dataskyddsombudet får inte avsättas eller bli föremål för sanktioner för att ha utfört sina uppgifter. Dataskyddsombudet får endast avsättas i enlighet med artikel 44.8 i förordning (EU) 2018/1725. För att erhålla Europeiska datatillsynsmannens samtycke till en sådan uppsägning enligt den artikeln ska Europeiska datatillsynsmannen rådfrågas skriftligen. En kopia av det samtycket ska skickas till dataskyddsombudet.
            
            
               8.   Generalsekretariatet, och i synnerhet de delegerade personuppgiftsansvariga och de operativa personuppgiftsansvariga, ska säkerställa att dataskyddsombudet på ett korrekt sätt och i god tid involveras i alla frågor som rör skyddet av personuppgifter.
            
         
         
            Artikel 5
            Uppgifter och uppdrag
            
               1.   Dataskyddsombudet ska utöva alla de uppgifter som anges i artikel 45 i förordning (EU) 2018/1725. Dataskyddsombudet ska särskilt
               
                           a)
                        
                        
                           säkerställa att rådet och generalsekretariatet tillämpar och genomför förordning (EU) 2018/1725, och övervaka efterlevnaden av den förordningen och den tillämpliga rättsliga ramen om skydd av personuppgifter,
                        
                     
                           b)
                        
                        
                           ge råd till rådets generalsekreterare, de delegerade personuppgiftsansvariga och de operativa personuppgiftsansvariga i frågor som rör tillämpningen av dataskyddsbestämmelser,
                        
                     
                           c)
                        
                        
                           ge råd till och bistå de delegerade personuppgiftsansvariga och de operativa personuppgiftsansvariga när de genomför en konsekvensbedömning avseende dataskydd i enlighet med artiklarna 39 och 40 i förordning (EU) 2018/1725,
                        
                     
                           d)
                        
                        
                           säkerställa att de registrerades rättigheter och friheter inte påverkas negativt av behandlingen,
                        
                     
                           e)
                        
                        
                           öka medvetenheten om den tillämpliga rättsliga ramen om skydd av personuppgifter och bidra till att bygga upp en kultur för skydd av personuppgifter inom generalsekretariatet.
                        
                     Dataskyddsombudet kan rådfrågas av rådets generalsekreterare, de berörda personuppgiftsansvariga, personalkommittén och enskilda personer, utan att dessa behöver gå den officiella vägen, i varje fråga som rör tillämpningen eller genomförandet av förordning (EU) 2018/1725.
            
            
               2.   Dataskyddsombudet ska föra ett register över behandling och offentliggöra det i enlighet med artikel 12.
            
            
               3.   Dataskyddsombudet ska föra ett internt register över personuppgiftsincidenter i den mening som avses i artikel 3.16 i förordning (EU) 2018/1725.
            
            
               4.   Dataskyddsombudet ska på begäran ge råd till den delegerade personuppgiftsansvarige om tillämpningen av en begränsning av tillämpningen av artiklarna 14–22, 35 och 36 samt artikel 4 i förordning (EU) 2018/1725.
            
            
               5.   Dataskyddsombudet ska anordna och leda regelbundna möten för dataskyddssamordnare.
            
            
               6.   Dataskyddsombudet ska lämna en årlig rapport om sin verksamhet till rådets generalsekreterare och göra den tillgänglig för generalsekretariatets personal.
            
            
               7.   Dataskyddsombudet ska samarbeta med de dataskyddsombud som utnämnts av unionens övriga institutioner och organ och regelbundet närvara vid möten som sammankallas av Europeiska datatillsynsmannen eller de andra unionsinstitutionernas och unionsorganens dataskyddsombud i syfte att underlätta ett gott samarbete, särskilt genom att utbyta erfarenheter och bästa praxis.
            
            
               8.   Dataskyddsombudet ska anses vara den delegerade personuppgiftsansvarige för den behandling som utförs i samband med utövandet av dennes uppgifter.
            
         
         
            Artikel 6
            Befogenheter
            Vid utförandet av sina uppgifter och uppdrag
            
                        a)
                     
                     
                        ska dataskyddsombudet alltid ha tillgång till de uppgifter som behandlas och tillträde till alla kontor, installationer för behandling av uppgifter och databärare,
                     
                  
                        b)
                     
                     
                        får dataskyddsombudet begära yttranden från rådets juridiska avdelning,
                     
                  
                        c)
                     
                     
                        får dataskyddsombudet begära annat stöd från generalsekretariatets berörda generaldirektorat och avdelningar,
                     
                  
                        d)
                     
                     
                        får dataskyddsombudet överlåta akter till generalsekretariatets generaldirektorat och avdelningar för lämplig uppföljning,
                     
                  
                        e)
                     
                     
                        får dataskyddsombudet utföra utredningar på begäran eller på eget initiativ när det gäller frågor och händelser som har ett direkt samband med dataskyddsombudets uppgifter i enlighet med det förfarande som anges i artikel 14,
                     
                  
                        f)
                     
                     
                        får dataskyddsombudet föreslå administrativa åtgärder för rådets generalsekreterare och utfärda allmänna rekommendationer om korrekt tillämpning av förordning (EU) 2018/1725,
                     
                  
                        g)
                     
                     
                        får dataskyddsombudet lämna rekommendationer till praktisk förbättring av tillämpningen av förordning (EU) 2018/1725 till generalsekretariatet, de delegerade personuppgiftsansvariga och de operativa personuppgiftsansvariga, inbegripet
                        
                                    i)
                                 
                                 
                                    uppmana den delegerade personuppgiftsansvarige eller personuppgiftsbiträdet att tillmötesgå en registrerads begäran om att få utöva sina rättigheter enligt förordning (EU) 2018/1725,
                                 
                              
                                    ii)
                                 
                                 
                                    utfärda varningar till den delegerade personuppgiftsansvarige eller personuppgiftsbiträdet när en behandling bryter mot bestämmelser i förordning (EU) 2018/1725, och uppmana dem att se till att behandlingen sker i enlighet med bestämmelserna i den förordningen och om så krävs på ett specifikt sätt och inom en specifik tidsperiod,
                                 
                              
                                    iii)
                                 
                                 
                                    uppmana den delegerade personuppgiftsansvarige eller personuppgiftsbiträdet att avbryta överföring av uppgifter till en mottagare i en medlemsstat, ett tredjeland eller en internationell organisation,
                                 
                              
                                    iv)
                                 
                                 
                                    begära att den delegerade personuppgiftsansvarige eller personuppgiftsbiträdet inom en fastställd tidsfrist rapporterar till dataskyddsombudet om uppföljningen av dataskyddsombudets rekommendation eller råd,
                                 
                              
                  
                        h)
                     
                     
                        får dataskyddsombudet, efter utanordnarens förhandsgodkännande i enlighet med Europaparlamentets och rådets förordning (EU, Euratom) 2018/1046 (9), begära tjänster från externa experter på informations- och kommunikationsteknik,
                     
                  
                        i)
                     
                     
                        ska dataskyddsombudet bjudas in till relevanta styrelser och kommittéer vid generalsekretariatet närhelst frågor som rör behandling av personuppgifter diskuteras, och får föreslå relevanta punkter på dagordningen för dessa styrelser och kommittéer,
                     
                  
                        j)
                     
                     
                        får dataskyddsombudet göra generalsekretariatets tillsättningsmyndighet uppmärksam på att en anställd vid generalsekretariatet inte uppfyller skyldigheterna enligt förordning (EU) 2018/1725, och föreslå att en administrativ utredning inleds inför en eventuell tillämpning av de sanktioner som föreskrivs i artikel 69 i den förordningen,
                     
                  
                        k)
                     
                     
                        ska dataskyddsombudet ansvara för inledande beslut om begäranden om att få tillgång till handlingar som innehas av dennes kontor enligt (EG) nr 1049/2001, i samråd med generalsekretariatets berörda avdelningar.
                     
                  
         AVSNITT 3
         
            RÄTTIGHETER OCH SKYLDIGHETER FÖR AKTÖRER PÅ DATASKYDDSOMRÅDET
         
         
            Artikel 7
            Samråd med och tillhandahållande av information till dataskyddsombudet
            
               1.   De personuppgiftsansvariga ska involvera dataskyddsombudet när de planerar och diskuterar en verksamhet som innebär behandling av personuppgifter. Dataskyddsombudet ska informeras om varje behandling och om varje väsentlig ändring av en befintlig behandling.
            
            
               2.   Dataskyddsombudet ska informeras om utkast till interna meddelanden och beslut från generalsekretariatet som är direkt knutna till den interna tillämpningen av förordning (EU) 2018/1725.
            
            
               3.   Dataskyddsombudet ska informeras om alla kontakter med utomstående parter som rör den interna tillämpningen av förordning (EU) 2018/1725 och om all samverkan med Europeiska datatillsynsmannen, särskilt vid samråd med datatillsynsmannen eller när denne informeras enligt artiklarna 40 och 41 i den förordningen.
            
            
               4.   Dataskyddsombudet ska rådfrågas om utkast till överenskommelser mellan gemensamt personuppgiftsansvariga och om utkast till avtalsklausuler om dataskydd eller andra rättsakter när personuppgifter behandlas av ett personuppgiftsbiträde.
            
         
         
            Artikel 8
            Delegerade personuppgiftsansvariga
            
               1.   De delegerade personuppgiftsansvariga ska vara ansvariga för att säkerställa att all behandling som de ansvarar för följer förordning (EU) 2018/1725.
            
            
               2.   De delegerade personuppgiftsansvariga ska särskilt
               
                           a)
                        
                        
                           utse en operativ personuppgiftsansvarig som ska bistå den delegerade personuppgiftsansvarige med att säkerställa efterlevnaden av förordning (EU) 2018/1725, särskilt när det gäller registrerade,
                        
                     
                           b)
                        
                        
                           föra register över den behandling som de ansvarar för och säkerställa att den operativa personuppgiftsansvarige lämnar in registren och det tillhörande meddelandet om skydd av personuppgifter till dataskyddsombudet så att de förs in i det register som avses i artikel 12,
                        
                     
                           c)
                        
                        
                           ansvara för verksamheten hos de personuppgiftsbiträden och underpersonuppgiftsbiträden som behandlar personuppgifter för deras räkning och säkerställa att behandlingen regleras av ett avtal eller en annan rättsakt i enlighet med artikel 29.3 i förordning (EU) 2018/1725.
                        
                     
            
               3.   De delegerade personuppgiftsansvariga ska säkerställa att dataskyddsombudet i god tid involveras i alla frågor som rör personuppgifter och införa lämpliga arrangemang för att säkerställa att dataskyddssamordnaren på ett korrekt sätt involveras i alla frågor som rör dataskydd vid deras generaldirektorat eller annan avdelning inom generalsekretariatet.
            
            
               4.   De delegerade personuppgiftsansvariga ska säkerställa att lämpliga tekniska och organisatoriska åtgärder har införts för att visa att behandlingen är förenlig med förordning (EU) 2018/1725, och lämna tillräckliga instruktioner till generalsekretariatets personal för att säkerställa såväl konfidentialiteten vid behandlingen som en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen. De får rådgöra med dataskyddsombudet vid valet av dessa åtgärder.
            
            
               5.   De delegerade personuppgiftsansvariga ska rapportera till dataskyddsombudet om handläggningen av varje begäran som mottas från en registrerad när det gäller utövandet av dennes rättigheter och bistå dataskyddsombudet och Europeiska datatillsynsmannen vid fullgörandet av deras respektive skyldigheter, särskilt genom att lämna information som svar på deras framställningar inom 30 dagar.
            
            
               6.   De delegerade personuppgiftsansvariga ska ansvara för tillämpningen av en begränsning av tillämpningen av artiklarna 14–22, 35 och 36 i förordning (EU) 2018/1725 samt artikel 4 i den förordningen i enlighet med relevanta interna regler. De delegerade personuppgiftsansvariga ska involvera dataskyddsombudet under hela förfarandet när de tillämpar en sådan begränsning.
            
            
               7.   De delegerade personuppgiftsansvariga ska säkerställa att det finns interna arrangemang med andra generaldirektorat eller avdelningar inom generalsekretariatet om den delegerade personuppgiftsansvarige utför behandlingar tillsammans med dessa generaldirektorat eller avdelningar inom generalsekretariatet eller om de utför en del av den delegerade personuppgiftsansvariges behandling.
               De arrangemang som avses i första stycket ska fastställa respektive ansvar för fullgörande av deras skyldigheter i fråga om dataskydd för de delegerade personuppgiftsansvariga och de andra generaldirektoraten eller avdelningarna inom generalsekretariatet. Dessa arrangemang ska särskilt inbegripa identifiering av den delegerade personuppgiftsansvarige som fastställer medlen för och ändamålen med behandlingen samt av den operativa personuppgiftsansvarige för behandlingen, och om så är lämpligt, vilka personer eller enheter som ska bistå den operativa personuppgiftsansvarige, bland annat, med information vid personuppgiftsincidenter eller för att ta hänsyn till registrerades rättigheter.
            
         
         
            Artikel 9
            Operativa personuppgiftsansvariga
            
               1.   De operativa personuppgiftsansvariga ska bistå den delegerade personuppgiftsansvarige med att säkerställa efterlevnaden av förordning (EU) 2018/1725 när det gäller den behandling som denne ansvarar för, och fungera som första kontaktpunkt för registrerade.
            
            
               2.   De operativa personuppgiftsansvariga ska särskilt
               
                           a)
                        
                        
                           ta emot och behandla alla begäranden från registrerade,
                        
                     
                           b)
                        
                        
                           i samråd med dataskyddssamordnaren upprätta register över behandling som de ansvarar för och det tillhörande meddelandet om skydd av personuppgifter,
                        
                     
                           c)
                        
                        
                           säkerställa att avtal eller andra rättsakter om behandling av personuppgifter av ett personuppgiftsbiträde är förenliga med förordning (EU) 2018/1725, och samråda med dataskyddsombudet om utkast till avtalsklausuler avseende dataskydd,
                        
                     
                           d)
                        
                        
                           säkerställa att dokumentation finns tillgänglig för att visa att förordning (EU) 2018/1725 efterlevs.
                        
                     
            
               3.   De operativa personuppgiftsansvariga ska utan onödigt dröjsmål informera dataskyddsombudet vid personuppgiftsincidenter och förse dataskyddsombudet med den information som krävs för att denne ska kunna säkerställa att rådet fullgör sina skyldigheter i fråga om personuppgiftsincidenter enligt artiklarna 34 och 35 i förordning (EU) 2018/1725.
            
            
               4.   De operativa personuppgiftsansvariga ska, i samordning med den delegerade personuppgiftsansvarige och dataskyddsombudet, i tillämpliga fall underrätta Europeiska datatillsynsmannen vid personuppgiftsincidenter. De ska i tillämpliga fall även informera registrerade.
            
            
               5.   De operativa personuppgiftsansvariga ska säkerställa att dataskyddssamordnaren hålls informerad om alla frågor som rör dataskydd.
            
            
               6.   De operativa personuppgiftsansvariga ska bedöma risken för den registrerades rättigheter och friheter när det gäller den behandling som de är ansvariga för och, när så är lämpligt, genomföra en konsekvensbedömning avseende dataskydd. De operativa personuppgiftsansvariga ska rådfråga dataskyddsombudet när de utför dessa konsekvensbedömningar och om behovet av föregående samråd i enlighet med artiklarna 39 och 40 i förordning (EU) 2018/1725.
            
            
               7.   De operativa personuppgiftsansvariga ska utföra varje annan uppgift som omfattas av detta beslut på begäran av den delegerade personuppgiftsansvarige.
            
         
         
            Artikel 10
            Dataskyddssamordnare
            
               1.   Varje generaldirektorat eller annan avdelning inom generalsekretariatet ska, i samråd med dataskyddsombudet, utse en eller flera dataskyddssamordnare som ska bistå den delegerade personuppgiftsansvarige och operativa personuppgiftsansvarige i dennes generaldirektorat eller annan avdelning inom generalsekretariatet när det gäller alla aspekter av skyddet av personuppgifter.
            
            
               2.   Dataskyddssamordnarna ska väljas på grundval av sina kunskaper om och erfarenheter av hur respektive generaldirektorat eller annan avdelning inom generalsekretariatet fungerar, lämplighet för funktionen, kompetens avseende dataskydd, kunskaper om principerna för informationssystem samt kommunikationsförmåga. Nyutnämnda dataskyddssamordnare ska genomgå utbildning för att uppnå den kompetens som krävs för deras roll inom sex månader efter utnämningen. Detta utbildningskrav gäller inte för en dataskyddssamordnare som tidigare har arbetat som kontaktperson vid ett annat generaldirektorat eller en annan avdelning inom generalsekretariatet under de två åren före utnämningen.
            
            
               3.   Dataskyddssamordnarnas funktion ska ingå i arbetsbeskrivningen för varje anställd vid generalsekretariatet som utnämns till kontaktperson. Deras ansvarsområden och resultat ska anges i den årliga bedömningsrapporten.
            
            
               4.   Dataskyddssamordnarna ska på ett korrekt sätt och i god tid involveras i alla frågor som rör dataskydd inom deras generaldirektorat eller annan avdelning inom generalsekretariatet och fullgöra sina uppdrag i nära samarbete med dataskyddsombudet.
            
            
               5.   Dataskyddssamordnarna ska ha rätt att få sådan tillräcklig och nödvändig information från de personuppgiftsansvariga och från personalen som behövs för att fullgöra deras uppgifter inom deras generaldirektorat eller annan avdelning inom generalsekretariatet. Detta ska inte inbegripa tillgång till personuppgifter som behandlas på den delegerade personuppgiftsansvariges ansvar. Dataskyddssamordnarna ska ha tillgång till personuppgifter endast om det är nödvändigt för att de ska kunna fullgöra sina uppgifter.
            
            
               6.   Dataskyddssamordnarna ska öka medvetenheten om dataskyddsfrågor och bistå de delegerade personuppgiftsansvariga inom deras generaldirektorat eller annan avdelning inom generalsekretariatet när de fullgör sina skyldigheter, särskilt när det gäller
               
                           a)
                        
                        
                           tillämpning av förordning (EU) 2018/1725,
                        
                     
                           b)
                        
                        
                           identifiering av operativa personuppgiftsansvariga och upprättande av register över behandling och meddelanden om skydd av personuppgifter innan de lämnas till dataskyddsombudet,
                        
                     
                           c)
                        
                        
                           sammanställning av en förteckning över all befintlig behandling inom generaldirektoratet eller annan avdelning inom generalsekretariatet.
                        
                     
            
               7.   Dataskyddssamordnarna ska bistå de operativa personuppgiftsansvariga inom deras generaldirektorat eller annan avdelning inom generalsekretariatet när de fullgör sina skyldigheter, särskilt när det gäller
               
                           a)
                        
                        
                           upprättande av register över behandling och meddelanden om skydd av personuppgifter innan de lämnas till dataskyddsombudet,
                        
                     
                           b)
                        
                        
                           dokumentation om behandlingen,
                        
                     
                           c)
                        
                        
                           behandling av de registrerades begäranden,
                        
                     
                           d)
                        
                        
                           hantering av personuppgiftsincidenter.
                        
                     
         
         
            Artikel 11
            Generalsekretariatets personal
            Generalsekretariatets personal ska bidra till att säkerställa tillämpningen och genomförandet av förordning (EU) 2018/1725. Generalsekretariatets personal ska inte ha tillgång till personuppgifter eller behandla sådana uppgifter på annat sätt än enligt instruktioner från den delegerade personuppgiftsansvarige eller den operativa personuppgiftsansvarige, såvida detta inte krävs enligt unionsrätten eller medlemsstaternas rätt.
         
         AVSNITT 4
         
            ANDRA SKYLDIGHETER OCH FÖRFARANDEN
         
         
            Artikel 12
            Register
            
               1.   Dataskyddsombudet ska föra ett register över behandling och säkerställa att registret är tillgängligt via dataskyddsombudets webbplats på generalsekretariatets intranät och via rådets webbplats.
            
            
               2.   Den operativa personuppgiftsansvariga ska anmäla varje behandling till dataskyddsombudet och lämna in registren över behandling och det tillhörande meddelandet om skydd av personuppgifter på grundval av ett formulär som görs tillgängligt på generalsekretariatets webbsida på intranätet (under Data Protection). Anmälan ska skickas elektroniskt till dataskyddsombudet. Efter samråd med dataskyddsombudet ska den delegerade personuppgiftsansvarige bekräfta registret och det tillhörande meddelandet om skydd av personuppgifter och dataskyddsombudet ska offentliggöra dem i registret.
            
            
               3.   Registret ska innehålla samtliga uppgifter som anges i artikel 31 i förordning (EU) 2018/1725. De uppgifter som dataskyddsombudet för in i registret får dock i undantagsfall begränsas till vad som är nödvändigt för att trygga säkerheten för en viss behandling. Varje ändring som rör sådana uppgifter ska omedelbart anmälas till dataskyddsombudet av den operativa personuppgiftsansvarige.
            
         
         
            Artikel 13
            Personuppgiftsincidenter
            
               1.   Om en personuppgiftsincident inträffar ska den delegerade personuppgiftsansvarige eller den operativa personuppgiftsansvarige söka bistånd från dataskyddssamordnaren och utan onödigt dröjsmål informera dataskyddsombudet om incidenten och förse dataskyddsombudet med all nödvändig information som gör det möjligt för denne att säkerställa att rådet fullgör sin skyldighet vad gäller anmälan av och information om personuppgiftsincidenter enligt artiklarna 34 och 35 i förordning (EU) 2018/1725.
            
            
               2.   Dataskyddsombudet ska upprätta och föra ett internt register över personuppgiftsincidenter. De delegerade personuppgiftsansvariga och de operativa personuppgiftsansvariga ska tillhandahålla nödvändig information som ska föras in i registret.
            
            
               3.   De delegerade personuppgiftsansvariga och de operativa personuppgiftsansvariga ska förbereda anmälan till Europeiska datatillsynsmannen i samråd med dataskyddsombudet, såvida det inte är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter.
            
         
         
            Artikel 14
            Utredningar
            
               1.   Dataskyddsombudet får, på eget initiativ eller på begäran av den delegerade personuppgiftsansvarige, den operativa personuppgiftsansvarige, personuppgiftsbiträdet, personalkommittén eller varje enskild person, utreda frågor och händelser som har samband med dataskyddsombudets uppgifter och rapportera tillbaka till den person som beställde utredningen eller till den delegerade personuppgiftsansvarige, den operativa personuppgiftsansvarige eller personuppgiftsbiträdet.
            
            
               2.   Begäranden om utredning ska skickas skriftligen till dataskyddsombudet. Vid uppenbart missbruk av rätten att begära en utredning, till exempel när samma person nyligen lämnat in en identisk begäran, är dataskyddsombudet inte skyldigt att rapportera tillbaka till den begärande.
            
            
               3.   Dataskyddsombudet ska inom 15 dagar efter mottagandet av en begäran om utredning skicka ett mottagningsbevis till den person som gjort begäran och kontrollera om begäran ska behandlas konfidentiellt.
            
            
               4.   Dataskyddsombudet ska av den delegerade personuppgiftsansvarige som har ansvaret för den uppgiftsbehandling som är föremål för begäran om utredning begära en rapport om frågan. Den delegerade personuppgiftsansvarige ska lämna svaret till dataskyddsombudet inom 15 dagar. Dataskyddsombudet får begära kompletterande information från den delegerade personuppgiftsansvarige, den operativa personuppgiftsansvarige, personuppgiftsbiträdet eller generalsekretariatets andra berörda avdelningar. I förekommande fall får dataskyddsombudet begära ett yttrande i frågan från rådets juridiska avdelning. Den begärda informationen eller det begärda yttrandet ska lämnas till dataskyddsombudet inom 30 dagar.
            
            
               5.   Dataskyddsombudet ska rapportera tillbaka till den person som begärde utredningen senast tre månader efter mottagandet av begäran. Denna period kan tillfälligt upphöra att löpa i avvaktan på att dataskyddsombudet erhåller all erforderlig information som begärts.
            
            
               6.   Ingen ska lida förfång för att ha uppmärksammat dataskyddsombudet på en påstådd överträdelse av förordning (EU) 2018/1725.
            
         
         
            Artikel 15
            Allmänna regler för registrerades utövande av rättigheter
            
               1.   De registrerades rättigheter enligt artiklarna 14–24 i förordning (EU) 2018/1725 får endast utövas av den registrerade eller dennes vederbörligen bemyndigade företrädare.
            
            
               2.   Den registrerade ska rikta en skriftlig begäran till den operativa personuppgiftsansvarige med en kopia till dataskyddsombudet. Vid behov ska dataskyddsombudet hjälpa den registrerade att identifiera den operativa personuppgiftsansvarige som berörs. Begäran får göras i elektronisk form och ska innehålla
               
                           a)
                        
                        
                           efternamn, förnamn och kontaktuppgifter för den registrerade samt datum för begäran,
                        
                     
                           b)
                        
                        
                           uppgift om den rättighet som utövas och, i förekommande fall, styrkande handlingar som rör begäran,
                        
                     
                           c)
                        
                        
                           den kategori eller de kategorier av personuppgifter som behandlingen gäller.
                        
                     
            
               3.   Den operativa personuppgiftsansvarige ska skicka ett mottagningsbevis till den registrerade inom fem arbetsdagar efter registreringen av begäran. Den operativa personuppgiftsansvarige ska begära nödvändiga klargöranden om begäran är otydlig eller ofullständig. De tillämpliga tidsfristerna enligt artikel 14.3 och 14.4 i förordning (EU) 2018/1725 ska inte börja löpa förrän alla nödvändiga klargöranden har tillhandahållits.
            
            
               4.   Den operativa personuppgiftsansvarige ska bekräfta den registrerades identitet i enlighet med artikel 14.6 i förordning (EU) 2018/1725. De tillämpliga tidsfristerna enligt artikel 14.3 och 14.4 i den förordningen ska inte börja löpa medan identiteten håller på att bekräftas.
            
            
               5.   Den operativa personuppgiftsansvarige ska inom de tidsfrister som föreskrivs i artikel 14.3 och 14.4 i förordning (EU) 2018/1725 antingen bevilja den registrerades begäran eller skriftligen ange skälen till att den avslås fullständigt eller delvis.
            
            
               6.   Vid en mycket komplex begäran, oriktigheter eller uppenbart missbruk när den registrerade utövar sina rättigheter, och om behandlingen av en begäran sannolikt skulle medföra en risk för andra registrerades rättigheter och friheter eller när den registrerade hävdar att behandlingen är olaglig, ska den operativa personuppgiftsansvarige samråda med dataskyddsombudet.
            
         
         
            Artikel 16
            Klagomål enligt artikel 90
            I händelse av ett klagomål enligt artikel 90 i tjänsteföreskrifterna (klagomål enligt artikel 90) avseende en fråga som rör behandling av personuppgifter ska tillsättningsmyndigheten samråda med dataskyddsombudet. Utan att det påverkar huruvida klagomålet enligt artikel 90 kan tas upp till prövning ska den anställde vid generalsekretariatet i klagomålet enligt artikel 90 ange huruvida ett klagomål till Europeiska datatillsynsmannen har lämnats in parallellt. Dataskyddsombudet ska avge ett skriftligt yttrande senast 15 arbetsdagar efter det att begäran från tillsättningsmyndigheten mottagits. Om dataskyddsombudet efter denna period inte har lämnat sitt yttrande krävs det inte längre. Dataskyddsombudets yttrande ska inte vara bindande för tillsättningsmyndigheten.
         
         AVSNITT 5
         
            BEGRÄNSNINGAR AV REGISTRERADES RÄTTIGHETER INOM RAMEN FÖR UTÖVANDET AV DATASKYDDSOMBUDETS UPPGIFTER
         
         
            Artikel 17
            Undantag och begränsningar
            
               1.   När rådet eller generalsekretariatet utövar sina skyldigheter avseende registrerades rättigheter enligt förordning (EU) 2018/1725 ska det överväga om några av de undantag som anges i den förordningen är tillämpliga.
            
            
               2.   Om inte annat följer av artiklarna 18–22 i detta beslut får rådet eller generalsekretariatet, i enlighet med artikel 25.1 c, g och h i förordning (EU) 2018/1725, begränsa tillämpningen av artiklarna 14–17, 19, 20 och 35 i den förordningen, samt den princip om öppenhet som fastställs i artikel 4.1 a i den förordningen i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–17, 19 och 20 i den förordningen, om utövandet av dessa rättigheter och skyldigheter skulle äventyra utövandet av dataskyddsombudets uppgifter, bland annat, genom att avslöja dennes verktyg och metoder vid utredningar eller granskningar, eller skulle ha en negativ inverkan på andra registrerades rättigheter och friheter.
            
            
               3.   Om inte annat följer av artiklarna 18–22 i detta beslut får rådet eller generalsekretariatet begränsa de rättigheter och skyldigheter som avses i punkt 2 i den här artikeln när det gäller personuppgifter som dataskyddsombudet erhållit från generalsekretariatets generaldirektorat eller avdelningar eller andra unionsinstitutioner eller unionsorgan. Rådet eller generalsekretariatet får göra detta om utövandet av dessa rättigheter och skyldigheter kan begränsas av dessa generaldirektorat eller avdelningar inom generalsekretariatet eller andra institutioner eller organ på grundval av andra akter som föreskrivs i artikel 25 i förordning (EU) 2018/1725 eller i enlighet med kapitel IX i den förordningen eller i enlighet med Europaparlamentets och rådets förordning (EU) 2016/794 (10) eller rådets förordning (EU) 2017/1939 (11).
               Innan rådet eller generalsekretariatet tillämpar begränsningar i de fall som avses i första stycket ska de samråda med unionens berörda institution eller organ, såvida det inte är uppenbart att tillämpningen av en begränsning föreskrivs i en av de akter som det hänvisas till i det stycket.
            
            
               4.   Varje begränsning av de rättigheter och skyldigheter som avses i punkt 2 ska vara nödvändig och proportionell med hänsyn till riskerna för de registrerades rättigheter och friheter.
            
         
         
            Artikel 18
            Tillhandahållande av information till registrerade
            
               1.   Generalsekretariatet ska på rådets webbplats offentliggöra dataskyddsmeddelanden som informerar registrerade om dataskyddsombudets uppgifter som innebär behandling av deras personuppgifter.
            
            
               2.   Generalsekretariatet ska i lämplig form enskilt informera varje fysisk person som den anser vara en person som berörs av dataskyddsombudets uppgifter.
            
            
               3.   Om generalsekretariatet helt eller delvis begränsar tillhandahållande av information till registrerade som avses i punkt 2 i denna artikel, ska det dokumentera och registrera skälen till begränsningen i enlighet med artikel 21.
            
         
         
            Artikel 19
            Registrerades rätt till tillgång, rätt till radering och rätt till begränsning av behandling
            
               1.   Om rådet eller generalsekretariatet helt eller delvis begränsar registrerades rätt till tillgång till personuppgifter, rätt till radering eller rätt till begränsning av behandling som avses i artikel 17, 19 respektive 20 i förordning (EU) 2018/1725, ska det i sitt svar på en begäran om tillgång, radering eller begränsning av behandling informera den berörda registrerade om den begränsning som tillämpas och de huvudsakliga skälen till detta, samt om möjligheterna att lämna in ett klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.
            
            
               2.   Tillhandahållandet av information om skälen till den begränsning som avses i punkt 1 får skjutas upp, utelämnas eller nekas så länge som det skulle undergräva syftet med begränsningen. Rådet ska tillhandahålla informationen till den registrerade så snart sådan information inte skulle undergräva det syftet.
            
            
               3.   Generalsekretariatet ska dokumentera och registrera skälen till begränsningen i enlighet med artikel 21.
            
         
         
            Artikel 20
            Information till den registrerade om en personuppgiftsincident
            Om rådet eller generalsekretariatet begränsar den information till den registrerade om en personuppgiftsincident som avses i artikel 35 i förordning (EU) 2018/1725, ska generalsekretariatet dokumentera och registrera skälen till begränsningen i enlighet med artikel 21 i detta beslut.
         
         
            Artikel 21
            Dokumentation och registrering av begränsningar
            
               1.   Generalsekretariatet ska dokumentera skälen till varje begränsning som tillämpas enligt detta beslut, inbegripet en bedömning från fall till fall av behovet av begränsningen och dess proportionalitet, med beaktande av relevanta delar av artikel 25.2 i förordning (EU) 2018/1725.
               I dokumentationen ska det anges hur utövandet av någon av de rättigheter som avses i artiklarna 14–17, 19, 20 och 35 i den förordningen, eller av den princip om öppenhet som fastställs i artikel 4.1 a i den förordningen, skulle äventyra dataskyddsombudets verksamhet enligt detta beslut, eller de begränsningar som tillämpas enligt artikel 17.2 eller 17.3 i detta beslut, eller ha en negativ inverkan på andra registrerades rättigheter och friheter.
            
            
               2.   Dokumentationen och, i tillämpliga fall, de handlingar som innehåller underliggande faktiska och rättsliga omständigheter ska registreras. De ska på begäran göras tillgängliga för Europeiska datatillsynsmannen.
            
         
         
            Artikel 22
            Begränsningarnas varaktighet
            
               1.   De begränsningar som avses i artiklarna 18, 19 och 20 ska fortsätta tillämpas så länge de skäl som ligger till grund för dem föreligger.
            
            
               2.   Om skälen till en sådan begränsning som avses i artiklarna 18 och 20 inte längre föreligger ska generalsekretariatet upphäva begränsningen och uppge skälen till begränsningen till den registrerade. Samtidigt ska generalsekretariatet informera den registrerade om möjligheten att när som helst lämna in ett klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.
            
            
               3.   Generalsekretariatet ska se över tillämpningen av de begränsningar som avses i artiklarna 18 och 20 var sjätte månad efter det att de antagits samt under alla omständigheter vid slutförandet av dataskyddsombudets aktuella uppgift. Efter slutförandet ska generalsekretariatet på årsbasis kontrollera behovet av att upprätthålla en eventuell begränsning eller ett eventuellt uppskjutande.
            
         
         
            Artikel 23
            Dataskyddsombudets översyn
            
               1.   Om andra generaldirektorat eller avdelningar inom generalsekretariatet kommer fram till att en registrerads rättigheter bör begränsas enligt detta beslut, ska de informera dataskyddsombudet. De ska också ge dataskyddsombudet tillgång till dokumentationen och alla handlingar som innehåller underliggande faktiska och rättsliga omständigheter. Dataskyddsombudets deltagande i tillämpningen av begränsningar ska dokumenteras i detalj.
            
            
               2.   Dataskyddsombudet får begära att den delegerade personuppgiftsansvarige som berörs ser över tillämpningen av begränsningarna. Den delegerade personuppgiftsansvarige som berörs ska skriftligen informera dataskyddsombudet om resultatet av den begärda översynen.
            
         
         AVSNITT 6
         
            SLUTBESTÄMMELSER
         
         
            Artikel 24
            Upphävande
            Beslut 2004/644/EG ska upphöra att gälla.
         
         
            Artikel 25
            Ikraftträdande
            Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.
         
         
            Utfärdat i Luxemburg den 28 juni 2021.
            
               
                  På rådets vägnar
               
               M. do C. ANTUNES
               
                  Ordförande
               
            
         
         
            (1)  EUT L 295, 21.11.2018, s. 39.
         
            (2)  Yttrande av den 6 april 2021 (ännu inte offentliggjort i EUT).
         
            (3)  Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar (EGT L 145, 31.5.2001, s. 43).
         
            (4)  Rådets beslut 2004/338/EG, Euratom av den 22 mars 2004 om antagande av rådets arbetsordning (EUT L 106, 15.4.2004, s. 22).
         
            (5)  Rådets beslut 2013/488/EU av den 23 september 2013 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (EUT L 274, 15.10.2013, s. 1).
         
            (6)  Beslut av rådets generalsekreterare/höge representant för den gemensamma utrikes- och säkerhetspolitiken av den 25 juni 2001 om en kodex för god förvaltningssed i de yrkesmässiga förbindelserna med allmänheten för generalsekretariatet vid Europeiska unionens råd och dess personal (EGT C 189, 5.7.2001, s. 1).
         
            (7)  Rådets beslut 2004/644/EG av den 13 september 2004 om antagande av genomförandebestämmelser för Europaparlamentets och rådets förordning (EG) nr 45/2001 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EUT L 296, 21.9.2004, s. 16).
         
            (8)  EGT L 56, 4.3.1968, s. 1.
         
            (9)  Europaparlamentets och rådets förordning (EU, Euratom) 2018/1046 av den 18 juli 2018 om finansiella regler för unionens allmänna budget, om ändring av förordningarna (EU) nr 1296/2013, (EU) nr 1301/2013, (EU) nr 1303/2013, (EU) nr 1304/2013, (EU) nr 1309/2013, (EU) nr 1316/2013, (EU) nr 223/2014, (EU) nr 283/2014 och beslut nr 541/2014/EU samt om upphävande av förordning (EU, Euratom) nr 966/2012 (EUT L 193, 30.7.2018, s. 1).
         
            (10)  Europaparlamentets och rådets förordning (EU) 2016/794 av den 11 maj 2016 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF (EUT L 135, 24.5.2016, s. 53).
         
            (11)  Rådets förordning (EU) 2017/1939 av den 12 oktober 2017 om genomförande av fördjupat samarbete om inrättande av Europeiska åklagarmyndigheten (EUT L 283, 31.10.2017, s. 1).