CELEX: 32020Q0831(01)
Language: sv
Date: 2019-12-11 00:00:00
Title: Beslut 2019/15 av styrelsen för Europeiska arbetsmiljöbyrån av den 11 december 2019 om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för EU-Oshas function

31.8.2020   
               
               
                  SV
               
               
                  Europeiska unionens officiella tidning
               
               
                  L 282/26
               
            
         BESLUT 2019/15 AV STYRELSEN FÖR EUROPEISKA ARBETSMILJÖBYRÅN
         av den 11 december 2019
         om interna regler gällande begränsningar av vissa av de rättigheter som tillkommer registrerade vid behandling av personuppgifter inom ramen för EU-Oshas function
         STYRELSEN FÖR EUROPEISKA ARBETSMILJÖBYRÅN HAR ANTAGIT DETTA BESLUT
         med beaktande av fördraget om Europeiska unionens funktionssätt,
         med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (1), särskilt artikel 25,
         med beaktande av Europaparlamentets och rådets förordning (EU) 2019/126 av den 16 januari 2019 om inrättande av Europeiska arbetsmiljöbyrån (EU-Osha) och om upphävande av rådets förordning (EG) nr 2062/94 (2),
         med beaktande av arbetsordningen för styrelsen för EU-Osha,
         med beaktande av yttrandet från Europeiska datatillsynsmannen (EDPS) av den 17 oktober 2019 och Europeiska datatillsynsmannens riktlinjer för den nya förordningens artikel 25 och interna regler, och
         av följande skäl:
         
                     (1)
                  
                  
                     EU-Osha utför sitt uppdrag i enlighet med förordning (EU) 2019/126.
                  
               
                     (2)
                  
                  
                     Enligt artikel 25.1 i förordning (EU) 2018/1725 kan begränsningar av tillämpningen av artiklarna 14–21, 35 och 36, samt artikel 4 i den förordningen, i den mån bestämmelserna motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–21, föreskrivas i interna regler som antas av byrån om begränsningarna inte utgår från rättsakter antagna på grundval av fördragen.
                  
               
                     (3)
                  
                  
                     Dessa interna regler, bland annat bestämmelserna om bedömningen av om en begränsning är nödvändig och proportionell, ska inte gälla när en rättsakt som antagits på grundval av fördragen innefattar en begränsning av registrerades rättigheter.
                  
               
                     (4)
                  
                  
                     När byrån fullgör sina skyldigheter med avseende på den registrerades rättigheter enligt förordning (EU) 2018/1725 ska byrån undersöka om några av de undantag som anges i den förordningen är tillämpliga.
                  
               
                     (5)
                  
                  
                     Inom ramen för sin administrativa verksamhet får byrån genomföra administrativa utredningar och disciplinära förfaranden, vidta förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, handlägga visselblåsarärenden, genomföra (formella och informella) förfaranden vid fall av trakasserier, handlägga interna och externa klagomål, genomföra internrevisioner, låta dataskyddsombudet genomföra utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt genomföra interna (it-)säkerhetsutredningar. Byrån kan dessutom hantera begäranden om tillgång till de anställdas patientjournaler.
                     Byrån behandlar olika kategorier av personuppgifter som inkluderar hårddata (”objektiva” data såsom identifikationsuppgifter, kontaktuppgifter, uppgifter om yrke, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter) och/eller mjukdata (”subjektiva” data som rör ärendet såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten).
                  
               
                     (6)
                  
                  
                     Byrån, företrädd av sin verkställande direktör, fungerar som den personuppgiftsansvarige, oavsett om ansvaret har delegerats inom byrån utifrån ansvarsfördelningen för olika operativa arbetsuppgifter som inbegriper personuppgiftsbehandling.
                  
               
                     (7)
                  
                  
                     Personuppgifterna lagras på ett säkert sätt i en elektronisk miljö eller i pappersform så att olaglig åtkomst eller överföring av uppgifter till personer som inte har behov av att ta del av dem är hindrad. Patientjournaler lagras av läkaren hos den externa tjänsteleverantör som byrån har anlitat. De behandlade personuppgifterna lagras inte längre än vad som är nödvändigt och lämpligt för det syfte som uppgifterna behandlas under den tidsperiod som anges i byråns dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller register.
                  
               
                     (8)
                  
                  
                     Dessa interna regler bör gälla för all behandling som byrån utför inom ramen för genomförande av administrativa utredningar, disciplinära förfaranden, förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, förfaranden vid visselblåsarärenden, (formella och informella) förfaranden vid fall av trakasserier, handläggning av interna och externa klagomål, internrevisioner, dataskyddsombudets utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725, utredningar om (it-)säkerhet som hanteras internt eller med extern hjälp (från t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer) och hantering av begäranden om tillgång till egen patientjournal.
                  
               
                     (9)
                  
                  
                     Dessa interna regler bör gälla för behandlingsåtgärder som utförs innan ovannämnda förfaranden inleds, under dessa förfaranden och under kontrollen av hur resultaten från dessa förfaranden följs upp. Även stöd och samarbete som byrån bistår nationella myndigheter och internationella organisationer med vid sidan av sina administrativa utredningar bör omfattas.
                  
               
                     (10)
                  
                  
                     I de fall då dessa interna regler tillämpas måste byrån motivera varför begränsningarna är absolut nödvändiga och proportionerliga i ett demokratiskt samhälle och respektera andemeningen i de grundläggande friheterna och rättigheterna.
                  
               
                     (11)
                  
                  
                     Vid de ovannämnda förfarandena måste byrån i största möjliga mån respektera de registrerades grundläggande rättigheter, särskilt de rättigheter som gäller rätten att få ta del av information, rätten till tillgång, rättelse eller radering av personuppgifter, rätten till begränsning av behandlingen, rätten att bli underrättad om personuppgiftsincidenter och rätten till konfidentiell behandling av kommunikation i enlighet med förordning (EU) 2018/1725.
                  
               
                     (12)
                  
                  
                     Byrån kan dock tvingas begränsa den registrerades tillgång till information samt andra rättigheter som tillkommer den registrerade för att särskilt skydda sina egna utredningar, andra myndigheters utredningar och förfaranden och rättigheterna för andra personer med koppling till byråns utredningar eller andra förfaranden.
                  
               
                     (13)
                  
                  
                     Byrån kan alltså begränsa utlämnandet av information i syfte att skydda utredningen och andra registrerades grundläggande rättigheter och friheter.
                  
               
                     (14)
                  
                  
                     Byrån bör regelbundet kontrollera att de villkor som motiverar en begränsning fortfarande uppfylls och upphöra med begränsningen om de inte gör det.
                  
               
                     (15)
                  
                  
                     Den personuppgiftsansvarige bör underrätta dataskyddsombudet vid uppskjutande och under översynerna.
                  
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
         
            Artikel 1
            Syfte och tillämpningsområde
            
               1.   Detta beslut innehåller regler om vilka villkor som måste vara uppfyllda för att byrån inom ramen för de förfaranden som anges i punkt 2 ska få begränsa rättigheterna som avses i artiklarna 14–21, 35 och 36, liksom artikel 4 i förordning (EU) 2018/1725, i enlighet med artikel 25 i den förordningen.
            
            
               2.   Inom ramen för byråns administrativa verksamhet tillämpas detta beslut på byråns behandling av personuppgifter för följande ändamål: administrativa utredningar, disciplinära förfaranden, förberedande åtgärder vid fall av eventuella oegentligheter som anmälts till Olaf, förfaranden vid visselblåsarärenden, (formella och informella) förfaranden vid fall av trakasserier, handläggning av interna och externa klagomål, internrevisioner, utredningar som dataskyddsombudet genomför i enlighet med artikel 45.2 i förordning (EU) 2018/1725, utredningar om (it-)säkerhet som hanteras internt eller med extern hjälp (t.ex. av incidenthanteringsorganisationen för EU:s institutioner och byråer), verkställighet av civilrättsliga krav och hantering av begäranden om tillgång till egen patientjournal.
            
            
               3.   De kategorier av uppgifter som omfattas är hårddata (”objektiva” data såsom identifikationsuppgifter, kontaktuppgifter, uppgifter om yrke, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter) och/eller mjukdata (”subjektiva” data som rör ärendet såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten).
            
            
               4.   När byrån fullgör sina skyldigheter med avseende på den registrerades rättigheter enligt förordning (EU) 2018/1725 ska byrån undersöka om några av de undantag som anges i den förordningen är tillämpliga.
            
            
               5.   Begränsningarna kan på de villkor som anges i detta beslut gälla för följande rättigheter: tillhandahållande av information till registrerade, rätten att få tillgång till och erhålla rättelse eller radering av personuppgifter, begränsning av behandling, information till den registrerade om en personuppgiftsincident eller konfidentiell behandling av kommunikation.
            
         
         
            Artikel 2
            Specificering av den personuppgiftsansvarige och skyddsåtgärder
            
               1.   Följande skyddsåtgärder har vidtagits för att undvika personuppgiftsincidenter, dataläckor och obehörigt utlämnande:
               
                           a)
                        
                        
                           Pappersdokument ska förvaras i säkerhetsskåp som endast behörig personal har tillgång till.
                        
                     
                           b)
                        
                        
                           Alla elektroniska uppgifter ska lagras i en säker it-applikation i enlighet med byråns säkerhetsnormer samt i särskilda digitala mappar som endast är åtkomliga för behörig personal. Olika lämpliga nivåer för tillgång ska beviljas individuellt.
                        
                     
                           c)
                        
                        
                           Databasen ska vara lösenordsskyddad i ett system med samlad inloggning och automatiskt kopplad till användarens användarnamn och lösenord. Det är absolut förbjudet att byta ut användare. Elektroniska handlingar ska lagras på ett säkert sätt för att säkerställa sekretesskydd för de uppgifter som finns i dem.
                        
                     
                           d)
                        
                        
                           Den läkare hos en extern tjänsteleverantör som lagrar patientjournaler är bunden av särskilda avtalsbestämmelser om sekretess och personuppgiftsbehandling.
                        
                     
                           e)
                        
                        
                           Alla som har tillgång till uppgifterna är bundna av tystnadsplikt.
                        
                     
            
               2.   Den personuppgiftsansvarige för behandling av personuppgifter är byrån, företrädd av sin verkställande direktör, som kan delegera personuppgiftsansvaret till någon annan. Registrerade ska informeras om vem som delegerats personuppgiftsansvaret genom dataskyddsmeddelanden eller register på byråns webbplats och/eller intranät.
            
            
               3.   De personuppgifter som avses i artikel 1.3 får inte lagras längre än vad som är nödvändigt och rimligt för de ändamål som uppgifterna behandlas för. De får dock aldrig lagras längre än den tid som anges i de dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller dokumentation som avses i artikel 5.1.
            
            
               4.   Om byrån överväger att tillämpa en begränsning ska risken för den registrerades friheter och rättigheter vägas särskilt mot risken för andra registrerades friheter och rättigheter samt mot risken att verkningarna av byråns utredningar eller förfaranden upphävs, till exempel genom att bevis förstörs. Riskerna för den registrerades friheter och rättigheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras.
            
         
         
            Artikel 3
            Begränsningar
            
               1.   Eventuella begränsningar får endast tillämpas av byrån i syfte att säkerställa
               
                           a)
                        
                        
                           den nationella säkerheten, den allmänna säkerheten eller försvaret i medlemsstaterna,
                        
                     
                           b)
                        
                        
                           förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga sanktioner, bl.a. skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten,
                        
                     
                           c)
                        
                        
                           andra viktiga mål av unionen eller en medlemsstat av generellt allmänt intresse, särskilt målen för unionens gemensamma utrikes- och säkerhetspolitik eller något av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet,
                        
                     
                           d)
                        
                        
                           den inre säkerheten i unionsinstitutioner och unionsorgan, bl.a. deras elektroniska kommunikationsnät,
                        
                     
                           e)
                        
                        
                           förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken,
                        
                     
                           f)
                        
                        
                           en tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som avses i leden a–c,
                        
                     
                           g)
                        
                        
                           skydd av den registrerade eller andras rättigheter och friheter,
                        
                     
                           h)
                        
                        
                           verkställighet av civilrättsliga krav.
                        
                     
            
               2.   Som en särskild tillämpning av de syften som beskrivs i punkt 1 ovan kan byrån i följande fall tillämpa begränsningar avseende personuppgifter som vidarebefordras till eller från kommissionens avdelningar eller unionens övriga institutioner, organ eller byråer, behöriga myndigheter i medlemsstaterna eller i tredjeländer eller internationella organisationer:
               
                           a)
                        
                        
                           Då utövandet av dessa rättigheter och skyldigheter skulle kunna begränsas av kommissionens avdelningar eller unionens övriga institutioner, organ och byråer på grundval av andra rättsakter som föreskrivs i artikel 25 i förordning (EU) 2018/1725 eller i enlighet med kapitel IX i den förordningen eller med grundläggande rättsakter för andra av unionens institutioner, organ och byråer.
                        
                     
                           b)
                        
                        
                           Då utövandet av dessa rättigheter och skyldigheter skulle kunna begränsas av medlemsstaternas behöriga myndigheter på grundval av de rättsakter som avses i artikel 23 i Europaparlamentets och rådets förordning (EU) 2016/679 (3), eller enligt nationella bestämmelser som införlivar artiklarna 13.3, 15.3 eller 16.3 i Europaparlamentets och rådets direktiv (EU) 2016/680 (4).
                        
                     
                           c)
                        
                        
                           Om utövandet av dessa rättigheter och skyldigheter skulle kunna äventyra byråns samarbete med tredjeländer eller internationella organisationer vid utförandet av dess arbetsuppgifter.
                        
                     Innan byrån tillämpar begränsningar i de fall som avses i första stycket leden a och b ska den samråda med kommissionens berörda avdelningar, unionens institutioner, organ och byråer eller medlemsstaternas behöriga myndigheter, såvida det inte är uppenbart för byrån att tillämpningen av en begränsning föreskrivs genom någon av de rättsakter som det hänvisas till i dessa led.
            
            
               3.   Alla begränsningar som tillämpas ska vara nödvändiga och proportionella med hänsyn till riskerna för de registrerades friheter och rättigheter och förenliga med andemeningen i de grundläggande friheterna och rättigheterna i ett demokratiskt samhälle.
            
            
               4.   Om myndigheten överväger tillämpning av begränsningar ska ett behovs- och proportionalitetstest genomföras på grundval av gällande bestämmelser. Bedömningen ska dokumenteras i redovisningssyfte genom en intern bedömningsnotering i varje enskilt fall.
            
            
               5.   Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre föreligger. Detta gäller i synnerhet om myndigheten inte längre anser att utövandet av den begränsade rättigheten skulle upphäva verkan av en införd begränsning eller inverka menligt på andra registrerades rättigheter eller friheter.
            
         
         
            Artikel 4
            Omprövning av dataskyddsombudet
            
               1.   Byrån ska utan onödigt dröjsmål underrätta sitt dataskyddsombud när den personuppgiftsansvarige begränsar tillämpningen av de registrerades rättigheter eller utvidgar begränsningen med stöd i detta beslut. Den personuppgiftsansvarige ska ge dataskyddsombudet tillgång till den dokumentation som innehåller bedömningen av begränsningens nödvändighet och proportionalitet samt i dokumentationen ange det datum då dataskyddsombudet underrättades.
            
            
               2.   Dataskyddsombudet kan skriftligen begära att den personuppgiftsansvarige ska ompröva tillämpningen av begränsningarna. Den personuppgiftsansvarige ska skriftligen underrätta dataskyddsombudet om resultatet av omprövningen.
            
            
               3.   Den personuppgiftsansvarige ska även underrätta dataskyddsombudet när begränsningen har upphävts.
            
         
         
            Artikel 5
            Tillhandahållande av information till den registrerade
            
               1.   I vederbörligen motiverade fall och i enlighet med de villkor som anges i detta beslut får den personuppgiftsansvarige begränsa rätten till information i samband med följande typer av uppgiftsbehandling:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinära förfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.
                        
                     
                           c)
                        
                        
                           Förfaranden vid visselblåsarärenden.
                        
                     
                           d)
                        
                        
                           (Formella och informella) förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Handläggning av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Internrevisioner.
                        
                     
                           g)
                        
                        
                           Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om (it-)säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).
                        
                     I de dataskyddsmeddelanden, meddelanden om skydd av personuppgifter eller det register som avses i artikel 31 i förordning (EU) 2018/1725, som publiceras på byråns webbplats och/eller intranät och som innehåller information till registrerade om deras rättigheter inom ramen för ett visst förfarande, ska byrån informera de registrerade om att dessa rättigheter kan komma att inskränkas. Informationen ska ange vilka rättigheter som kan begränsas, skälen till detta och hur länge.
            
            
               2.   Utan att det påverkar tillämpningen av bestämmelserna i punkt 3 ska byrån, där så är proportionerligt, utan onödigt dröjsmål skriftligen även personligen informera alla registrerade som anses vara berörda i respektive behandlingsfall om deras rättigheter vad gäller pågående eller framtida inskränkningar.
            
            
               3.   I de fall då byrån helt eller delvis begränsar tillhandahållandet av information till registrerade enligt punkt 2 ska byrån dokumentera anledningarna till begränsningen och den rättsliga grunden enligt artikel 3 i detta beslut samt inkludera en bedömning av nödvändigheten och proportionaliteten i begränsningen.
               Dokumentationen och i tillämpliga fall de handlingar som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.
            
            
               4.   Begränsningen enligt punkt 3 ska fortsätta vara tillämplig så länge som skälen som motiverar den kvarstår.
               Om skälen till begränsningen inte längre föreligger ska byrån informera den registrerade om de huvudsakliga skäl som ligger till grund för tillämpningen av en begränsning. Samtidigt ska byrån informera den registrerade om dennes rätt att när som helst inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.
               Byrån ska ompröva begränsningen var sjätte månad från det att den beslutats samt när utredningen eller förfarandet i fråga avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar.
            
         
         
            Artikel 6
            Den registrerades rätt till tillgång
            
               1.   I vederbörligen motiverade fall och i enlighet med de villkor som anges i detta beslut får den personuppgiftsansvarige begränsa rätten till tillgång vid följande typer av uppgiftsbehandling när så är nödvändigt och proportionellt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinära förfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.
                        
                     
                           c)
                        
                        
                           Förfaranden vid visselblåsarärenden.
                        
                     
                           d)
                        
                        
                           (Formella och informella) förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Handläggning av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Internrevisioner.
                        
                     
                           g)
                        
                        
                           Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om (it-)säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).
                        
                     
                           i)
                        
                        
                           Hantering av begäranden om tillgång till egen patientjournal.
                        
                     Om registrerade, i överensstämmelse med artikel 17 i förordning (EU) 2018/1725, begär tillgång till sina personuppgifter som behandlas i samband med ett eller flera specifika fall eller med en visst behandlingsåtgärd ska byrån begränsa sin bedömning av denna begäran till att endast avse dessa personuppgifter.
            
            
               2.   Om byrån helt eller delvis begränsar rätten till tillgång som avses i artikel 17 i förordning (EU) 2018/1725 ska följande åtgärder vidtas:
               
                           a)
                        
                        
                           Byrån ska informera den berörda registrerade i sitt svar på dennes begäran om den begränsning som tillämpas och de huvudsakliga skälen till begränsningen samt om möjligheten att inge klagomål till Europeiska datatillsynsmannen eller att begära rättslig prövning vid Europeiska unionens domstol.
                        
                     
                           b)
                        
                        
                           Byrån ska genom en intern bedömningsnotering dokumentera skälen till begränsningen, bland annat en bedömning av begränsningens nödvändighet och proportionalitet samt dess varaktighet.
                        
                     Begränsningar av tillgång till egen patientjournal ska endast avse begäranden om direkt tillgång till personliga medicinska uppgifter av psykologisk eller psykiatrisk art om tillgång till sådana uppgifter sannolikt utgör en hälsorisk för den registrerade. Begränsningen ska vara proportionell till vad som är strikt nödvändigt för att skydda den registrerade. Tillgång till sådan information ska beviljas via en förmedlande läkare som väljs av den registrerade. Denna läkare bör beviljas åtkomst till all information och befogenheter för skönsmässig bedömning av vilken tillgång som ska beviljas till den registrerade och hur.
               Tillhandahållandet av information som avses i led a får skjutas upp, utelämnas eller nekas om det skulle upphäva verkan av en begränsning som införts i enlighet med artikel 25.8 i förordning (EU) 2018/1725.
               Byrån ska ompröva begränsningen var sjätte månad från det att beslut om den fattats samt när utredningen i fråga avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar.
            
            
               3.   Dokumentationen och i tillämpliga fall de handlingar som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.
            
         
         
            Artikel 7
            Rätt till rättelse, radering och begränsning av behandling
            
               1.   I vederbörligen motiverade fall och i enlighet med villkoren i detta beslut får den personuppgiftsansvarige begränsa rätten till rättelse, radering och begränsning av behandling vid följande typer av uppgiftsbehandling när så är nödvändigt och proportionellt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinära förfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.
                        
                     
                           c)
                        
                        
                           Förfaranden vid visselblåsarärenden.
                        
                     
                           d)
                        
                        
                           (Formella och informella) förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Handläggning av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Internrevisioner.
                        
                     
                           g)
                        
                        
                           Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om (it-)säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).
                        
                     
            
               2.   Om byrån helt eller delvis inskränker den rätt till rättelse, radering eller begränsning av behandling som avses i artiklarna 18, 19.1 och 20.1 i förordning (EU) 2018/1725 ska byrån vidta de åtgärder som anges i artikel 6.2 i detta beslut och registrera dokumentationen i enlighet med artikel 6.3 i beslutet.
            
         
         
            Artikel 8
            Information till den registrerade om en personuppgiftsincident och konfidentiell behandling av elektronisk kommunikation
            
               1.   I vederbörligen motiverade fall och i enlighet med villkoren i detta beslut får den personuppgiftsansvarige begränsa rätten till information om en personuppgiftsincident vid följande typer av uppgiftsbehandling när så är nödvändigt och proportionellt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinära förfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.
                        
                     
                           c)
                        
                        
                           Förfaranden vid visselblåsarärenden.
                        
                     
                           d)
                        
                        
                           (Formella och informella) förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Handläggning av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Internrevisioner.
                        
                     
                           g)
                        
                        
                           Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om (it-)säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).
                        
                     
            
               2.   I vederbörligen motiverade fall och i enlighet med villkoren i detta beslut får den personuppgiftsansvarige begränsa rätten till konfidentiell behandling av elektronisk kommunikation vid följande typer av uppgiftsbehandling när så är nödvändigt och proportionellt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinära förfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet vid fall av eventuella oegentligheter som har rapporterats till Olaf.
                        
                     
                           c)
                        
                        
                           Förfaranden vid visselblåsarärenden.
                        
                     
                           d)
                        
                        
                           Formella förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Handläggning av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Utredningar om (it-)säkerhet som hanteras internt eller med extern hjälp (t.ex. incidenthanteringsorganisationen för EU:s institutioner och byråer).
                        
                     
            
               3.   Om byrån inskränker en registrerads rätt att få information om personuppgiftsincidenter eller till konfidentiell behandling av elektronisk kommunikation i enlighet med artiklarna 35 och 36 i förordning (EU) 2018/1725 ska den personuppgiftsansvarige notera och registrera skälen till inskränkningen i enlighet med artikel 5.3 i detta beslut. Artikel 5.4 i detta beslut ska tillämpas.
            
         
         
            Artikel 9
            Ikraftträdande
            Detta beslut träder i kraft dagen efter att det har offentliggjorts i Europeiska unionens officiella tidning.
         
         
            Utfärdat i Bilbao den 11 december 2019.
            
               
                  På Europeiska arbetsmiljöbyråns vägnar
               
               Christa SCHWENG
               
                  Styrelsens ordförande
               
            
         
         
            (1)  EUT L 295, 21.11.2018, s. 39.
         
            (2)  EUT L 30, 31.1.2019, s. 58.
         
            (3)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).
         
            (4)  Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89).