CELEX: 32020D0969
Language: nl
Date: 2020-07-03 00:00:00
Title: Besluit (EU) 2020/969 van de Commissie van 3 juli 2020 tot vaststelling van uitvoeringsvoorschriften betreffende de functionaris voor gegevensbescherming, beperking van de rechten van betrokkenen en de toepassing van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad, en tot intrekking van Besluit 2008/597/EG van de Commissie

6.7.2020   
               
               
                  NL
               
               
                  Publicatieblad van de Europese Unie
               
               
                  L 213/12
               
            
         BESLUIT (EU) 2020/969 VAN DE COMMISSIE
         van 3 juli 2020
         tot vaststelling van uitvoeringsvoorschriften betreffende de functionaris voor gegevensbescherming, beperking van de rechten van betrokkenen en de toepassing van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad, en tot intrekking van Besluit 2008/597/EG van de Commissie
         DE EUROPESE COMMISSIE,
         Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 249, lid 1,
         Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1), en met name artikel 45, lid 3,
         Overwegende hetgeen volgt:
         
                     (1)
                  
                  
                     Teneinde de goede werking van het bureau van de functionaris voor gegevensbescherming (DPO) van de Commissie te verzekeren, is het nodig om de taken, verplichtingen en bevoegdheden van de DPO in detail vast te leggen.
                  
               
                     (2)
                  
                  
                     Verordening (EU) 2018/1725 kent duidelijke verantwoordelijkheden toe aan verwerkingsverantwoordelijken, met name ten aanzien van de betrokkenen. Om te waarborgen dat de Commissie als verwerkingsverantwoordelijke haar verantwoordelijkheden op transparante en coherente wijze uitoefent, dienen regels te worden vastgesteld om te kunnen vaststellen wie er binnen de diensten van de Commissie verantwoordelijk is voor een namens de Commissie verrichte verwerking. In dat verband is het passend om het begrip “gedelegeerd verwerkingsverantwoordelijke” in te voeren teneinde de verantwoordelijkheden van de entiteiten van de Commissie nauwkeurig te onderscheiden, met name wat betreft individuele besluiten over de rechten van de betrokkenen. Bovendien is het passend het concept “operationeel verwerkingsverantwoordelijke” in te voeren, d.w.z. iemand die onder de verantwoordelijkheid van de gedelegeerd verwerkingsverantwoordelijke wordt aangewezen om de praktische naleving te waarborgen en verzoeken van betrokkenen in verband met een verwerking te behandelen. De benoeming van een operationeel verwerkingsverantwoordelijke betekent niet dat er in de praktijk geen gebruik mag worden gemaakt van een contactpunt, bijvoorbeeld in de vorm van een functionele mailbox voor verzoeken van betrokkenen.
                  
               
                     (3)
                  
                  
                     In bepaalde gevallen kunnen meerdere diensten van de Commissie ter vervulling van hun taak gezamenlijk een verwerking uitvoeren. In dergelijke gevallen dienen zij ervoor te zorgen dat er interne regelingen zijn om op transparante wijze hun respectieve verantwoordelijkheden uit hoofde van Verordening (EU) 2018/1725 vast te stellen, met name waar het gaat om verantwoordelijkheden tegenover de betrokkenen, kennisgeving aan de Europese Toezichthouder voor gegevensbescherming (EDPS) en het bijhouden van registers.
                  
               
                     (4)
                  
                  
                     Om de uitoefening van de verantwoordelijkheden van de gedelegeerd verwerkingsverantwoordelijken te vergemakkelijken, dient elke dienst van de Commissie een coördinator voor gegevensbescherming (DPC) te benoemen. De DPC dient aan het netwerk van coördinatoren voor gegevensbescherming binnen de Commissie deel te nemen om ervoor te zorgen dat Verordening (EU) 2018/1725 binnen de Commissie coherent wordt uitgevoerd en uitgelegd, en om onderwerpen van gemeenschappelijk belang te bespreken.
                  
               
                     (5)
                  
                  
                     Met het oog op de taak van de DPO om verantwoordelijkheden toe te wijzen krachtens artikel 45, lid 1, onder b), van Verordening (EU) 2018/1725 dient de DPO aanvullende richtsnoeren aan te reiken inzake de taak van de DPC.
                  
               
                     (6)
                  
                  
                     De Commissie verwerkt verschillende categorieën persoonsgegevens ten behoeve van de activiteiten van de DPO op het gebied van toezicht, onderzoek, audit en raadpleging. De Commissie verwerkt met name identificatiegegevens, contactgegevens, professionele gegevens en gegevens die betrekking hebben op de rol van betrokkenen in een zaak. Deze gegevens worden gedurende vijf jaar na de beëindiging van de activiteiten bewaard, overeenkomstig de gemeenschappelijke lijst van te bewaren documenten van de Europese Commissie (2).
                  
               
                     (7)
                  
                  
                     In bepaalde omstandigheden moeten de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 worden verenigd met het feit dat de Commissie de taken van de DPO op het gebied van toezicht, onderzoek, audit en raadpleging moet verrichten, de noodzakelijke vertrouwelijkheid van informatie-uitwisseling met andere diensten van de Commissie en de volledige inachtneming van de grondrechten en fundamentele vrijheden van andere betrokkenen. Daartoe wordt de Commissie in artikel 25, lid 1, van Verordening (EU) 2018/1725 de mogelijkheid verleend om de toepassing van de artikelen 14 tot en met 17, 19, 20 en 35, alsmede het transparantiebeginsel van artikel 4, lid 1, onder a), te beperken voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin wordt voorzien door de artikelen 14 tot en met 17, 19 en 20 van die verordening.
                  
               
                     (8)
                  
                  
                     Ter wille van de vertrouwelijkheid en de doeltreffendheid van de taken van de DPO op het gebied van toezicht, onderzoek, audit en raadpleging, en met inachtneming van de in Verordening (EU) 2018/1725 vastgestelde normen voor de bescherming van persoonsgegevens dienen interne voorschriften te worden vastgesteld op grond waarvan de DPO de rechten van betrokkenen overeenkomstig artikel 25 van Verordening (EU) 2018/1725 kan beperken.
                  
               
                     (9)
                  
                  
                     De interne voorschriften moeten gelden voor alle verwerkingen die de Commissie verricht bij de uitoefening van de taken op het gebied van toezicht, onderzoek, audit en raadpleging van de DPO. Zij moeten van toepassing zijn op verwerkingen die vóór de start van een onderzoek of audit, tijdens onderzoeken en audits, en tijdens het toezicht op de follow-up van de betrokken resultaten worden verricht. Deze regels moeten ook gelden voor de verwerkingen die deel uitmaken van de taken die verband houden met de onderzoeks- of auditfunctie van de DPO, zoals klachtenprocedures van de DPO. De regels moeten ook van toepassing zijn op het toezicht van de DPO en de raadpleging van de DPO wanneer de DPO buiten zijn administratieve onderzoeken en audits bijstand verleent aan en samenwerkt met de diensten van de Commissie.
                  
               
                     (10)
                  
                  
                     Om aan de artikelen 14, 15 en 16 van Verordening (EU) 2018/1725 te voldoen, moet de Commissie eenieder wiens gegevens in kader van activiteiten op het gebied van toezicht, onderzoek, audit en raadpleging worden verwerkt, informeren over die activiteiten en zijn rechten krachtens Verordening (EU) 2018/1725. De Commissie moet deze personen op duidelijke en coherentie wijze informeren door middel van de mededelingen over gegevensbescherming op haar website en elke betrokkene afzonderlijk informeren die te maken heeft met een activiteit van de DPO op het gebied van toezicht, onderzoek, audit of raadpleging.
                  
               
                     (11)
                  
                  
                     In bepaalde omstandigheden kan het nodig zijn dat de Commissie de informatievoorziening aan betrokkenen en de toepassing van andere rechten van betrokkenen beperkt. Het kan nodig zijn dat zij dit doet ter bescherming van de taken van de DPO op het gebied van toezicht, onderzoek, audit en raadpleging, daarmee samenhangende onderzoeken en procedures van andere diensten van de Commissie, de onderzoeks- en auditinstrumenten en -methoden van de DPO, alsmede de rechten van andere personen die samenhangen met de taken van de DPO.
                  
               
                     (12)
                  
                  
                     Wanneer er specifieke informatie aan de betrokkenen zou worden verstrekt of het bestaan van een activiteit van de DPO op het gebied van toezicht, onderzoek, audit of raadpleging zou worden bekendgemaakt, zou dat in sommige gevallen ernstig afbreuk kunnen doen aan de verwezenlijking van het doeleinde van de verwerking en aan het vermogen van de DPO om een dergelijke activiteit te verrichten dan wel deze activiteit volledig onmogelijk kunnen maken.
                  
               
                     (13)
                  
                  
                     Bovendien moet de Commissie de identiteit van informanten beschermen, omdat zij geen negatieve gevolgen mogen ondervinden van hun samenwerking met de DPO.
                  
               
                     (14)
                  
                  
                     Om die redenen kan het nodig zijn dat de Commissie de beperkingen vermeld in artikel 25, lid 1, onder c), g) en h), van Verordening (EU) 2018/1725 toepast op gegevensverwerkingen in het kader van de in artikel 45 van die verordening vastgestelde taken van de DPO op het gebied van toezicht, onderzoek, audit en raadpleging.
                  
               
                     (15)
                  
                  
                     Om doeltreffende samenwerking te handhaven kan het bovendien nodig zijn dat de Commissie beperkingen stelt aan de rechten van de betrokkenen op bescherming van informatie die persoonsgegevens bevat die afkomstig zijn van andere diensten van de Commissie of andere instellingen of organen van de Unie. Daartoe moet de DPO die diensten, instellingen of organen raadplegen over de relevante gronden voor die beperkingen en de noodzaak en evenredigheid daarvan.
                  
               
                     (16)
                  
                  
                     In het kader van de taken van de DPO op het gebied van toezicht, onderzoek, audit of raadpleging wisselt de DPO informatie, waaronder persoonsgegevens, uit met andere diensten van de Commissie. Alle diensten van de Commissie die persoonsgegevens verwerken welke door de DPO bij het verrichten van zijn taken worden verwerkt, moeten daarom de in dit besluit vervatte voorschriften toepassen ter bescherming van de door de DPO verrichte verwerkingen. In dergelijke gevallen moeten de betrokken diensten van de Commissie de DPO derhalve raadplegen over de relevante gronden voor de beperkingen en de noodzaak en de evenredigheid daarvan, teneinde een coherente toepassing ervan te verzekeren.
                  
               
                     (17)
                  
                  
                     De DPO en, in voorkomend geval, andere diensten van de Commissie moeten alle beperkingen op transparante wijze behandelen en elke toepassing van beperkingen registreren in het desbetreffende registratiesysteem.
                  
               
                     (18)
                  
                  
                     Krachtens artikel 25, lid 8, van Verordening (EU) 2018/1725 kunnen de verwerkingsverantwoordelijken het aan de betrokkene verstrekken van informatie over de redenen voor de toepassing van een beperking uitstellen of achterwege laten indien het verstrekken van die informatie het doel van de beperking op eender welke wijze in het gedrang zou brengen. Met name wanneer een beperking van de in de artikelen 16 en 35 verankerde rechten wordt toegepast, kan de kennisgeving daarvan het doel van de beperking in het gedrang brengen. Om ervoor te zorgen dat het recht van de betrokkene om te worden geïnformeerd in overeenstemming met de artikelen 16 en 35 van Verordening (EU) 2018/1725 slechts wordt beperkt zolang de redenen voor het uitstel bestaan, dient de Commissie haar standpunt regelmatig opnieuw te beoordelen.
                  
               
                     (19)
                  
                  
                     Voor zover de rechten van andere betrokkenen worden beperkt, dient de DPO per geval te beoordelen of de mededeling van de beperking het doel ervan in het gedrang zou brengen.
                  
               
                     (20)
                  
                  
                     De DPO moet een onafhankelijke evaluatie verrichten van de toepassing die andere diensten van de Commissie aan de op dit besluit gebaseerde beperkingen geven met het oog op de naleving van dit besluit.
                  
               
                     (21)
                  
                  
                     Elke beperking die op grond van dit besluit wordt toegepast, moet noodzakelijk en evenredig zijn in het licht van de risico’s voor de rechten en vrijheden van de betrokkenen.
                  
               
                     (22)
                  
                  
                     De Europese Toezichthouder voor gegevensbescherming is geïnformeerd en geraadpleegd overeenkomstig artikel 41, leden 1 en 2, van Verordening (EU) 2018/1725 en heeft op 16 september 2019 advies uitgebracht.
                  
               
                     (23)
                  
                  
                     Besluit 2008/597/EG van de Commissie (3) bevat uitvoeringsvoorschriften met betrekking tot de functionaris voor gegevensbescherming overeenkomstig Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad (4). Verordening (EG) nr. 45/2001 is met ingang van 11 december 2019 ingetrokken door Verordening (EU) 2018/1725. Om te waarborgen dat slechts één stel uitvoeringsvoorschriften van toepassing is op de functionaris voor gegevensbescherming, dient Besluit 2008/597/EG ook te worden ingetrokken,
                  
               HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
         HOOFDSTUK 1
         
            ALGEMENE BEPALINGEN
         
         
            Artikel 1
            Onderwerp en toepassingsgebied
            
               1.   Dit besluit bevat voorschriften en procedures voor de toepassing van Verordening (EU) 2018/1725 door de Commissie, alsmede uitvoeringsvoorschriften met betrekking tot de functionaris voor gegevensbescherming van de Commissie (DPO).
            
            
               2.   Bij dit besluit worden ook de voorschriften vastgesteld die de Commissie in verband met de taken van de DPO op het gebied van toezicht, onderzoek, audit of raadpleging in acht moet nemen om betrokkenen te informeren over de verwerking van hun gegevens overeenkomstig de artikelen 14, 15 en 16 van Verordening (EU) 2018/1725.
            
            
               3.   Voorts worden bij dit besluit de voorwaarden vastgesteld waarop de Commissie in verband met de taken van de DPO op het gebied van toezicht, onderzoek, audit of raadpleging, de toepassing van de artikelen 4, 14 tot en met 17, 19, 20 en 35 van Verordening (EU) 2018/1725 kan beperken in overeenstemming met artikel 25, lid 1, onder c), g) en h), van die verordening.
            
            
               4.   Dit besluit is van toepassing op de verwerking van persoonsgegevens door de Commissie ten behoeve van of met betrekking tot de in artikel 45 van Verordening (EU) 2018/1725 bedoelde taken van de DPO, met name die op het gebied van toezicht, onderzoek, audit en raadpleging.
            
         
         
            Artikel 2
            Verantwoordelijkheid voor de verwerking
            Voor de toepassing van dit besluit wordt de Commissie beschouwd als de verwerkingsverantwoordelijke in de zin van artikel 3, lid 8, van Verordening (EU) 2018/1725.
         
         
            Artikel 3
            Definities
            Voor de toepassing van dit besluit wordt verstaan onder:
            
                        1.
                     
                     
                        “functionaris voor gegevensbescherming” (DPO): de persoon die de Commissie heeft aangewezen overeenkomstig artikel 43 van Verordening (EU) 2018/1725;
                     
                  
                        2.
                     
                     
                        “DPO-taken”: de DPO-taken bedoeld in artikel 45 van Verordening (EU) 2018/1725, en met name de taken van de DPO op het gebied van toezicht, onderzoek, audit en raadpleging;
                     
                  
                        3.
                     
                     
                        “coördinator voor gegevensbescherming” (DPC): het personeelslid van de Commissie dat door een directoraat-generaal of dienst van de Commissie is benoemd om dat directoraat-generaal of die dienst advies en bijstand te verlenen in verband met alle aspecten van de bescherming van persoonsgegevens;
                     
                  
                        4.
                     
                     
                        “gedelegeerd verwerkingsverantwoordelijke”: het hoofd van het directoraat-generaal, de dienst of het kabinet dat namens de Commissie een verwerking verricht bij het uitvoeren van de taak van dat directoraat-generaal, die dienst of dat kabinet;
                     
                  
                        5.
                     
                     
                        “operationeel verwerkingsverantwoordelijke”: het personeelslid van de Commissie uit het hoger en middenkader, door de gedelegeerd verwerkingsverantwoordelijke belast met het bijhouden van registers van de verwerking en aangewezen om te fungeren als eerste contactpunt voor de betrokkenen in verband met die verwerking;
                     
                  
                        6.
                     
                     
                        “interne regeling”: elke regeling tussen twee of meer directoraten-generaal of diensten ter bepaling van hun respectieve verantwoordelijkheden en ter coördinatie van het beheer van een verwerkingsregister met betrekking tot een verwerking die zij gezamenlijk verrichten of waarvoor een of meer directoraten-generaal of diensten een deel van de verwerking in plaats van de gedelegeerd verwerkingsverantwoordelijke verrichten;
                     
                  
                        7.
                     
                     
                        “informant”: en natuurlijk persoon die de DPO op een beweerdelijke inbreuk op de bepalingen van Verordening (EU) 2018/1725 wijst, of de DPO verzoekt onderzoek in te stellen naar zaken en voorvallen die hij onder de aandacht van de DPO brengt en die rechtstreeks verband houden met de taken van de DPO.
                     
                  
         HOOFDSTUK 2
         
            FUNCTIONARIS VOOR GEGEVENSBESCHERMING EN COORDINATOR VOOR GEGEVENSBESCHERMING
         
         
            Artikel 4
            Aanwijzing en positie
            De DPO wordt uit het personeel van de Commissie geselecteerd op basis van zijn professionele kwaliteiten, waaronder een gedegen kennis van de diensten van de Commissie en van de structuur en de administratieve regels en procedures daarvan.
         
         
            Artikel 5
            Taken en functies
            
               1.   De DPO draagt bij tot het creëren van een cultuur van bescherming van persoonsgegevens binnen de Commissie, op basis van risicobeoordeling en verantwoordingsplicht.
            
            
               2.   De DPO ziet toe op de tenuitvoerlegging van Verordening (EU) 2018/1725 binnen de Commissie door, onder meer, jaarlijks een werkprogramma voor inspecties en audits vast te stellen en te verrichten.
            
            
               3.   De DPO organiseert regelmatig vergaderingen van DPC’s en zit deze voor.
            
            
               4.   De DPO brengt de registers van de verwerkingen van de Commissie onder in een centraal register en maakt dit openbaar toegankelijk.
               De DPO houdt ook een intern Commissieregister bij van inbreuken in verband met persoonsgegevens in de zin van artikel 3, punt 16, van Verordening (EU) 2018/1725.
            
            
               5.   Bij de vervulling van zijn functies werkt de DPO samen met de door andere instellingen of organen van de Unie aangewezen functionarissen voor gegevensbescherming.
            
            
               6.   De DPO wordt als de gedelegeerd verwerkingsverantwoordelijke beschouwd voor wat betreft individuele besluiten over de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 met betrekking tot verwerkingen van de DPO.
            
         
         
            Artikel 6
            Bevoegdheden
            Bij de uitvoering van zijn taken:
            
                        a)
                     
                     
                        heeft de DPO, indien dit voor zijn taken nodig is, toegang tot de gegevens die het voorwerp zijn van de verwerking van persoonsgegevens en tot alle kantoren, gegevensverwerkingsinstallaties en informatiedragers;
                     
                  
                        b)
                     
                     
                        kan de DPO de juridische dienst van de Commissie om juridisch advies verzoeken;
                     
                  
                        c)
                     
                     
                        kan de DPO in geval van een geschil tussen de DPO en de gedelegeerd verwerkingsverantwoordelijke, operationeel verwerkingsverantwoordelijke of verwerker over de interpretatie of toepassing van Verordening (EU) 2018/1725, de bevoegde gedelegeerd verwerkingsverantwoordelijke en de secretaris-generaal informeren;
                     
                  
                        d)
                     
                     
                        kan de DPO bestanden voor een passende follow-up toewijzen aan de betrokken directoraten-generaal of diensten van de Commissie;
                     
                  
                        e)
                     
                     
                        kan de DPO op verzoek of op eigen initiatief onderzoeken verrichten naar zaken en voorvallen die rechtstreeks verband houden met de taken van de DPO overeenkomstig de procedure van artikel 11;
                     
                  
                        f)
                     
                     
                        kan de DPO, bij het doen van aanbevelingen en het geven van advies:
                        
                                    i)
                                 
                                 
                                    de gedelegeerd verwerkingsverantwoordelijke of de verwerker oproepen om gehoor te geven aan het verzoek van een betrokkene die zijn rechten overeenkomstig Verordening (EU) 2018/1725 wil uitoefenen;
                                 
                              
                                    ii)
                                 
                                 
                                    waarschuwingen geven aan de gedelegeerd verwerkingsverantwoordelijke of de verwerker wanneer een verwerking in strijd is met de bepalingen van Verordening (EU) 2018/1725 en hen verzoeken om waar passend, op een nader bepaalde manier en binnen een nader bepaalde termijn, verwerkingen in overeenstemming te brengen met die verordening;
                                 
                              
                                    iii)
                                 
                                 
                                    de gedelegeerd verwerkingsverantwoordelijke of de verwerker oproepen om gegevensstromen naar een ontvanger in een lidstaat, naar een derde land of naar een internationale organisatie op te schorten;
                                 
                              
                                    iv)
                                 
                                 
                                    de gedelegeerd verwerkingsverantwoordelijke of de verwerker verzoeken om binnen een bepaalde termijn aan de DPO verslag uit te brengen over de follow-up die aan de aanbeveling of het advies van de DPO is gegeven;
                                 
                              
                  
                        g)
                     
                     
                        kan de DPO de secretaris-generaal informeren als een gedelegeerd verwerkingsverantwoordelijke, een operationeel verwerkingsverantwoordelijke of een verwerker verzuimt de krachtens artikel 6, onder f), genomen maatregelen in acht te nemen;
                     
                  
                        h)
                     
                     
                        is de DPO verantwoordelijk voor initiële besluiten over verzoeken krachtens Verordening (EG) 1049/2001 van het Europees Parlement en de Raad (5) om toegang tot documenten die in het bezit zijn van zijn bureau.
                     
                  
         
            Artikel 7
            Gegevensbeschermingscoördinatoren
            
               1.   De gedelegeerd verwerkingsverantwoordelijke benoemt een DPC en zo nodig één of meer assistent-DPC’s in het directoraat-generaal of de dienst waarvoor hij verantwoordelijk is. Twee of meer gedelegeerd verwerkingsverantwoordelijken kunnen, om redenen van coherentie of efficiëntie, besluiten een gemeenschappelijke DPC of assistent-DPC te benoemen of de diensten van een reeds benoemde DPC of assistent-DPC te delen. De betrokken gedelegeerd verwerkingsverantwoordelijken leggen schriftelijk vast dat zij dit overeenkomen.
            
            
               2.   De door een directoraat-generaal of dienst benoemde DPC is ook bevoegd ten aanzien van het kabinet dat verantwoordelijk is voor dat directoraat-generaal of die dienst. De voor het secretariaat-generaal benoemde DPC is bevoegd ten aanzien van het kabinet van de voorzitter alsook voor kabinetten waarvoor het secretariaat-generaal de enige ondersteunende dienst is. Als een kabinet verantwoordelijk is voor verscheidene directoraten-generaal of diensten, besluiten de gedelegeerd verwerkingsverantwoordelijken welke van hun respectieve DPC’s voor dat kabinet bevoegd zijn.
            
            
               3.   De DPO, het personeel van het betrokken directoraat-generaal of de betrokken dienst en het relevante kabinet worden ervan in kennis gesteld wanneer een nieuwe DPC wordt benoemd.
               Pas benoemde DPC’s ronden binnen zes maanden na hun benoeming een opleiding af om de competenties te verwerven die nodig zijn voor de rol van DPC. Een DPC die eerder een DPC-post in een ander directoraat-generaal of een andere dienst heeft bekleed, dan wel minder dan twee jaar voor zijn benoeming als DPC personeelslid van de DPO is geweest, is van die opleidingsverplichting vrijgesteld.
            
            
               4.   Gedelegeerd verwerkingsverantwoordelijken voeren passende regelingen in om te waarborgen dat de DPC naar behoren en tijdig wordt betrokken bij alle kwesties die verband houden met gegevensbescherming binnen hun directoraat-generaal of dienst en dat adviezen van de DPC op verzoek van de DPC onmiddellijk onder de aandacht worden gebracht van de gedelegeerd verwerkingsverantwoordelijke.
            
            
               5.   DPC’s worden gekozen op basis van hun kennis van en ervaring met de werking van het directoraat-generaal of de dienst in kwestie, motivatie voor de functie, competenties met betrekking tot gegevensbescherming, begrip van beginselen van informatiesystemen, en communicatieve vaardigheden.
            
            
               6.   De functie van DPC kan worden gecombineerd met andere functies. De gedelegeerd verwerkingsverantwoordelijke waarborgt dat die functies verenigbaar zijn met de functie van DPC.
            
            
               7.   De functie van DPC maakt deel uit van de functiebeschrijving van elk tot DPC benoemd personeelslid. In het jaarlijkse beoordelingsrapport wordt verwezen naar hun verantwoordelijkheden en prestaties.
            
            
               8.   De DPC fungeert als contactpunt tussen enerzijds de gedelegeerd verwerkingsverantwoordelijke, de operationeel verwerkingsverantwoordelijke en de verwerker, en anderzijds de DPO.
            
            
               9.   DPC’s hebben het recht om binnen hun directoraat-generaal of dienst alle informatie te verkrijgen, voor zover dit noodzakelijk is voor de uitvoering van hun taken. DPC’s hebben enkel toegang tot persoonsgegevens als dit nodig is voor de uitvoering van hun taken.
            
            
               10.   De DPC’s houden registers bij en verstrekken geanonimiseerde statistieken over verzoeken van betrokkenen aan het directoraat-generaal, de dienst of het kabinet, met vermelding van de aantallen ingediende verzoeken en het aantal volledig of gedeeltelijk afgewezen verzoeken. De DPO bepaalt voor welke categorieën verzoeken statistieken dienen te worden bijgehouden. De DPO kan ook bepalen dat er nadere bijzonderheden moeten worden verstrekt.
               De DPC houdt geanonimiseerde statistieken bij van de inbreuken in verband met de door het directoraat-generaal, de dienst of het kabinet beheerde persoonsgegevens en specificeert daarbij het totale aantal inbreuken in verband met persoonsgegevens, het aantal aan de EDPS gemelde inbreuken in verband met persoonsgegevens en het aantal aan betrokkenen meegedeelde inbreuken in verband met persoonsgegevens.
            
            
               11.   De DPC brengt kwesties inzake gegevensbescherming onder de aandacht van zijn DG of dienst en verleent de gedelegeerd verwerkingsverantwoordelijken en operationeel verwerkingsverantwoordelijken advies en bijstand bij het vervullen van hun verplichtingen, met name wat betreft:
               
                           a)
                        
                        
                           het toepassen van de algemene beginselen van Verordening (EU) 2018/1725;
                        
                     
                           b)
                        
                        
                           het documenteren van de verwerkingen;
                        
                     
                           c)
                        
                        
                           het indienen van de registers van de verwerkingen van gedelegeerd verwerkingsverantwoordelijken bij de DPO overeenkomstig artikel 10;
                        
                     
                           d)
                        
                        
                           het opstellen van privacyverklaringen.
                        
                     
            
               12.   DPC’s nemen deel aan de vergaderingen en zo nodig aan werkgroepen van de DPC’s.
            
            
               13.   De DPO vaardigt aanvullende richtsnoeren uit over de verantwoordelijkheden en functies van de DPC.
            
         
         HOOFDSTUK 3
         
            VERWERKINGSVERANTWOORDELIJKEN
         
         
            Artikel 8
            Gedelegeerde verwerkingsverantwoordelijken en operationele verwerkingsverantwoordelijken
            
               1.   Voor de toepassing van Verordening (EU) 2018/1725 treden gedelegeerd verwerkingsverantwoordelijken namens de Commissie op als verwerker.
            
            
               2.   Gedelegeerde verwerkingsverantwoordelijken en operationele verwerkingsverantwoordelijken:
               
                           a)
                        
                        
                           kunnen de DPO, via de DPC, raadplegen over de naleving van de verwerkingsvoorschriften, in het bijzonder wanneer daarover twijfel bestaat;
                        
                     
                           b)
                        
                        
                           brengen verslag uit aan de DPO, via de DPC, over de behandeling van verzoeken die zijn ontvangen van betrokkenen die hun rechten willen uitoefenen.
                        
                     
            
               3.   De gedelegeerd verwerkingsverantwoordelijke:
               
                           a)
                        
                        
                           wijst een operationeel verwerkingsverantwoordelijke aan om de gedelegeerd verwerkingsverantwoordelijke te helpen de naleving van Verordening (EU) 2018/1725 te waarborgen, met name ten aanzien van betrokkenen;
                        
                     
                           b)
                        
                        
                           zorgt ervoor dat er interne regelingen met andere directoraten-generaal of diensten van kracht zijn, als de gedelegeerd verwerkingsverantwoordelijke samen met die directoraten-generaal of diensten verwerkingen verricht of als die directoraten-generaal of diensten een deel van de verwerkingen van de gedelegeerd verwerkingsverantwoordelijke verrichten.
                        
                     De in de eerste alinea, onder b), bedoelde regelingen bepalen de respectieve verantwoordelijkheden voor de naleving van de desbetreffende gegevensbeschermingsverplichtingen. Er wordt met name in vastgesteld welke gedelegeerd verwerkingsverantwoordelijke de middelen en doelen van de verwerking bepaalt, alsook welke operationeel verwerkingsverantwoordelijke voor de verwerking verantwoordelijk is en, zo nodig, welke persoon en/of entiteiten de operationeel verwerkingsverantwoordelijke dienen te helpen bij onder meer informatievoorziening ingeval van inbreuken in verband met gegevens of om rekening te houden met de rechten van betrokkenen.
            
            
               4.   De operationeel verwerkingsverantwoordelijke:
               
                           a)
                        
                        
                           ontvangt en verwerkt alle verzoeken van betrokkenen;
                        
                     
                           b)
                        
                        
                           stelt de Europese Toezichthouder voor gegevensbescherming (EDPS) in kennis van inbreuken in verband met persoonsgegevens;
                        
                     
                           c)
                        
                        
                           informeert de DPC en de DPO in geval van inbreuken in verband met persoonsgegevens en stelt de betrokkene in kennis, indien nodig;
                        
                     
                           d)
                        
                        
                           waarborgt dat de DPC op de hoogte wordt gehouden van alle zaken die betrekking hebben op gegevensbescherming, met name van verzoeken van betrokkenen;
                        
                     
                           e)
                        
                        
                           verricht op verzoek van de gedelegeerd verwerkingsverantwoordelijke elke andere taak die binnen het toepassingsgebied van dit besluit valt.
                        
                     
         
         HOOFDSTUK 4
         
            ANDERE VERPLICHTINGEN EN PROCEDURES
         
         
            Artikel 9
            Informatie
            De gedelegeerd verwerkingsverantwoordelijke informeert, in samenwerking met de DPC, de DPO wanneer hij de EDPS raadpleegt of informeert overeenkomstig Verordening (EU) 2018/1725 en met name krachtens de artikelen 40 en 41 van die verordening. Voorts stelt de gedelegeerd verwerkingsverantwoordelijke, operationeel verwerkingsverantwoordelijke of DPC de DPO in kennis van andere directe contacten met de EDPS in verband met de uitvoering van Verordening (EU) 2018/1725.
         
         
            Artikel 10
            Registreren
            
               1.   De DPO waarborgt dat het register van verwerkingsoperaties van de Commissie toegankelijk is via de website van de DPO op het intranet van de Commissie en via de website van de DPO op de Europa-website.
            
            
               2.   Gedelegeerde verwerkingsverantwoordelijken doen de registers van hun verwerkingen via hun DPC toekomen aan de DPO met behulp van het online-meldingssysteem van de Commissie, dat toegankelijk is via de website van de DPO op het intranet van de Commissie.
            
         
         
            Artikel 11
            Onderzoeksprocedure
            
               1.   De in artikel 6, onder e), genoemde verzoeken om een onderzoek worden schriftelijk tot de DPO gericht. Binnen 15 werkdagen na ontvangst stuurt de DPO een ontvangstbevestiging aan de persoon die om het onderzoek heeft verzocht en gaat hij na of het verzoek als vertrouwelijk moet worden beschouwd en als zodanig moet worden behandeld, tenzij de betrokkene ondubbelzinnig instemt met een andere wijze van behandeling. In geval van kennelijk misbruik van het recht om een onderzoek aan te vragen is de DPO niet verplicht verslag aan de verzoeker uit te brengen.
            
            
               2.   De DPO verzoekt om een schriftelijke verklaring over de desbetreffende aangelegenheid aan de gedelegeerd verwerkingsverantwoordelijke die verantwoordelijk is voor de betrokken gegevensverwerking. De gedelegeerd verwerkingsverantwoordelijke zendt zijn antwoord binnen vijftien werkdagen naar de DPO. De DPO kan de gedelegeerd verwerkingsverantwoordelijke, de verwerker en andere partijen binnen 15 werkdagen om aanvullende informatie verzoeken.
            
            
               3.   De DPO brengt uiterlijk drie maanden na ontvangst van het verzoek om een onderzoek verslag uit bij de indiener van dat verzoek. Deze termijn kan worden verlengd tot de DPO alle noodzakelijke informatie heeft verkregen waarom hij heeft gevraagd.
            
            
               4.   Niemand mag worden benadeeld omdat de DPO is gewezen op een beweerdelijke inbreuk op de bepalingen van Verordening (EU) 2018/1725.
            
         
         
            Artikel 12
            Administratie en leiding
            
               1.   De DPO ressorteert administratief onder het secretariaat-generaal. In dit kader neemt de DPO deel aan de opstelling van het jaarlijkse beheersplan en het voorontwerp van begroting van het secretariaat-generaal.
            
            
               2.   De DPO fungeert als rapporterend functionaris voor het personeel van de functionaris voor gegevensbescherming. De plaatsvervangend secretaris-generaal is de medeondertekenaar. De DPO neemt waar nodig deel aan de coördinatie van het management van het secretariaat-generaal.
            
         
         HOOFDSTUK 5
         
            BEPERKING VAN DE RECHTEN VAN BETROKKENEN
         
         
            Artikel 13
            Toepasselijke uitzonderingen en beperkingen
            
               1.   Bij de uitoefening van haar taken met betrekking tot de rechten van betrokkenen overeenkomstig Verordening (EU) 2018/1725 gaat de Commissie na of een van de in die verordening vastgestelde uitzonderingen van toepassing is.
            
            
               2.   Onverminderd de artikelen 14 tot en met 18 van dit besluit kan de Commissie de toepassing van de artikelen 14 tot en met 17, 19, 20 en 35 van Verordening (EU) 2018/1725, evenals de toepassing van het in artikel 4, lid 1, onder a), van die verordening neergelegde transparantiebeginsel beperken voor zover de bepalingen ervan overeenkomen met de in de artikelen 14 tot en met 17, 19 en 20 van Verordening (EU) 2018/1725 bedoelde rechten en verplichtingen, wanneer de uitoefening van die rechten en verplichtingen het doel van de taken van de DPO onder meer door de openbaarmaking van zijn onderzoeks- of auditinstrumenten en -methoden in het gedrang zou brengen of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen overeenkomstig artikel 25, lid 1, onder c), g) en h).
            
            
               3.   Onverminderd de artikelen 14 en 18 van dit besluit kan de Commissie de in lid 2 van dit artikel bedoelde rechten en verplichtingen beperken met betrekking tot persoonsgegevens die de DPO van diensten van de Commissie of van andere instellingen en organen van de Unie heeft ontvangen. De Commissie kan daartoe overgaan wanneer de uitoefening van die rechten en verplichtingen door die diensten van de Commissie of instellingen of organen van de Unie zou kunnen worden beperkt op grond van andere in artikel 25 van Verordening (EU) 2018/1725 bedoelde handelingen of overeenkomstig hoofdstuk IX van die verordening of overeenkomstig Verordening (EU) 2016/794 van het Europees Parlement en de Raad (6) of Verordening (EU) 2017/1939 van de Raad (7).
               Voordat beperkingen worden toegepast onder de in de eerste alinea bedoelde omstandigheden, raadpleegt de Commissie de betrokken instelling of organen van de Unie, tenzij het voor de Commissie duidelijk is dat in de toepassing van een beperking is voorzien door een van de in die alinea bedoelde handelingen.
            
            
               4.   Elke beperking van de toepassing van rechten en verplichtingen als bedoeld in lid 2 van dit artikel is noodzakelijk en evenredig in het licht van de risico’s voor de rechten en vrijheden van betrokkenen.
            
         
         
            Artikel 14
            Informatieverstrekking aan betrokkenen
            
               1.   De Commissie publiceert op haar website mededelingen over gegevensbescherming om alle betrokkenen te informeren over de activiteiten van de DPO waarbij hun persoonsgegevens worden verwerkt.
            
            
               2.   De Commissie informeert, in een geëigende vorm, elke natuurlijke persoon afzonderlijk die zij als een betrokkene bij de taken van de DPO of als informant aanmerkt.
            
            
               3.   Wanneer de Commissie de verstrekking van informatie aan betrokkenen in de zin van lid 2 geheel of gedeeltelijk beperkt, legt de Commissie de redenen voor die beperking vast en registreert zij die overeenkomstig artikel 17.
            
         
         
            Artikel 15
            Recht van inzage van betrokkenen, recht op wissing en recht op beperking van de verwerking
            
               1.   Wanneer de Commissie het recht van inzage in persoonsgegevens door betrokkenen, het recht op wissing of het recht op beperking van de verwerking als bedoeld in, onderscheidenlijk, de artikelen 17, 19 en 20 van Verordening (EU) 2018/1725 geheel of gedeeltelijk beperkt, stelt zij de betrokkene in haar antwoord op het verzoek om inzage, wissing of beperking van de verwerking in kennis van de toegepaste beperking en van de belangrijkste redenen daarvoor, alsmede van de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of om beroep in te stellen bij het Hof van Justitie van de Europese Unie.
            
            
               2.   Het verstrekken van de informatie over de redenen voor de in lid 1 bedoelde beperking kan uitgesteld, achterwege gelaten of geweigerd worden zolang die verstrekking het doel van de beperking zou ondermijnen.
            
            
               3.   Overeenkomstig artikel 17 registreert de Commissie de redenen voor de beperking en legt zij die vast.
            
            
               4.   Wanneer het recht van inzage geheel of gedeeltelijk wordt beperkt, is de betrokkene gerechtigd zijn recht van inzage uit te oefenen via de EDPS, in overeenstemming met artikel 25, leden 6, 7 en 8 van Verordening (EU) 2018/1725.
            
         
         
            Artikel 16
            Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene
            Wanneer de Commissie de in artikel 35 van Verordening (EU) 2018/1725 bedoelde mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene beperkt, legt zij de redenen voor de beperking vast en registreert zij die overeenkomstig artikel 17 van dit besluit.
         
         
            Artikel 17
            Vastlegging en registratie van beperkingen
            
               1.   De Commissie legt de redenen vast voor beperkingen op grond van dit besluit, met inbegrip van een evaluatie per geval van de noodzaak en de evenredigheid van de beperking, met inachtneming van de desbetreffende elementen van artikel 25, lid 2, van Verordening (EU) 2018/1725.
               Daartoe wordt in het register vermeld hoe de uitoefening van het recht het doel van de taken van de DPO uit hoofde van dit besluit of van krachtens artikel 13, lid 2 of lid 3, toegepaste beperkingen in het gedrang zou brengen of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen.
            
            
               2.   De vastgelegde gegevens en, indien van toepassing, de documenten met onderliggende feitelijke en juridische elementen, worden geregistreerd. Deze worden de EDPS op diens verzoek ter beschikking gesteld.
            
         
         
            Artikel 18
            Duur van de beperkingen
            
               1.   De in de artikelen 14, 15 en 16 bedoelde beperkingen blijven van toepassing zolang de redenen daarvoor blijven bestaan.
            
            
               2.   Wanneer de redenen voor een in artikel 14 of 16 bedoelde beperking niet langer van toepassing zijn, heft de Commissie de beperking op en informeert zij de betrokkene over de redenen voor de beperking. Tegelijkertijd informeert de Commissie de betrokkene over de mogelijkheid om op elk moment een klacht bij de EDPS in te dienen of om een beroep in rechte bij het Hof van Justitie van de Europese Unie in te stellen.
            
            
               3.   De Commissie evalueert de toepassing van de in de artikelen 14 en 16 bedoelde beperkingen om de zes maanden nadat zij zijn vastgesteld, en in elk geval bij de afsluiting van de betrokken activiteit van de DPO. Daarna monitort de Commissie jaarlijks de noodzaak om eventuele beperkingen of uitstelperioden te handhaven.
            
         
         
            Artikel 19
            Beoordeling door de functionaris voor gegevensbescherming
            
               1.   Wanneer andere diensten van de Commissie concluderen dat de rechten van een betrokkene op grond van dit besluit dienen te worden beperkt, informeren zij de DPO. Ook verschaffen zij de DPO inzage in het register en eventuele documenten met onderliggende feitelijke en juridische elementen.
            
            
               2.   De DPO kan erom verzoeken dat de gedelegeerd verwerkingsverantwoordelijke van de betrokken dienst van de Commissie de toepassing van de beperkingen beoordeelt. De gedelegeerd verwerkingsverantwoordelijke van de betrokken dienst van de Commissie informeert de DPO schriftelijk over het resultaat van de gevraagde beoordeling.
            
         
         HOOFDSTUK 6
         
            SLOTBEPALINGEN
         
         
            Artikel 20
            Intrekking
            Beschikking 2008/597/EG wordt ingetrokken.
         
         
            Artikel 21
            Inwerkingtreding
            Dit besluit treedt in werking op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
         
         
            Gedaan te Brussel, 3 juli 2020.
            
               
                  Voor de Commissie
               
               
                  De voorzitter
               
               Ursula VON DER LEYEN
            
         
         
            (1)  PB L 295 van 21.11.2018, blz. 39.
         
            (2)  SEC(2019) 900/2.
         
            (3)  Besluit 2008/597/EG van de Commissie van 3 juni 2008 tot goedkeuring van uitvoeringsvoorschriften met betrekking tot de functionaris voor gegevensbescherming overeenkomstig artikel 24, lid 8, van Verordening (EG) nr. 45/2001 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (PB L 193 van 22.7.2008, blz. 7).
         
            (4)  Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (PB L 8 van 12.1.2001, blz. 1).
         
            (5)  Verordening (EG) nr. 1049/2001 van het Europees Parlement en de Raad van 30 mei 2001 inzake de toegang van het publiek tot documenten van het Europees Parlement, de Raad en de Commissie (PB L 145 van 31.5.2001, blz. 43).
         
            (6)  Verordening (EU) 2016/794 van het Europees Parlement en de Raad van 11 mei 2016 betreffende het Agentschap van de Europese Unie voor samenwerking op het gebied van rechtshandhaving (Europol) en tot vervanging en intrekking van de Besluiten 2009/371/JBZ, 2009/934/JBZ, 2009/935/JBZ, 2009/936/JBZ en 2009/968/JBZ van de Raad (PB L 135 van 24.5.2016, blz. 53).
         
            (7)  Verordening (EU) 2017/1939 van de Raad van 12 oktober 2017 betreffende nauwere samenwerking bij de instelling van het Europees Openbaar Ministerie (“EOM”) (PB L 283 van 31.10.2017, blz. 1).