CELEX: 32020Q1204(01)
Language: sv
Date: 2020-05-06 00:00:00
Title: Beslut av styrelsen för Europeiska centrumet för utveckling av yrkesutbildning (Cedefop) av den 6 maj 2020 om antagande av interna regler avseende begränsningar av vissa av de rättigheter som registrerade har i samband med behandling av personuppgifter inom ramen för Cedefops funktion

4.12.2020   
               
               
                  SV
               
               
                  Europeiska unionens officiella tidning
               
               
                  L 408/12
               
            
         BESLUT AV STYRELSEN FÖR EUROPEISKA CENTRUMET FÖR UTVECKLING AV YRKESUTBILDNING (CEDEFOP)
         av den 6 maj 2020
         om antagande av interna regler avseende begränsningar av vissa av de rättigheter som registrerade har i samband med behandling av personuppgifter inom ramen för Cedefops funktion
         STYRELSEN HAR FATTAT DETTA BESLUT
         med beaktande av fördraget om Europeiska unionens funktionssätt,
         med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (1), särskilt artikel 25,
         med beaktande av Europaparlamentets och rådets förordning (EU) 2019/128 av den 16 januari 2019 om inrättande av ett europeiskt centrum för utveckling av yrkesutbildning (Cedefop) och om upphävande av rådets förordning (EEG) nr 337/75 (2), särskilt artikel 23.4,
         med beaktande av yttrandet från Europeiska datatillsynsmannen (EDPS) av den 12 december 2019 och Europeiska datatillsynsmannens riktlinjer för den nya förordningens artikel 25 och interna regler (3), och
         av följande skäl:
         
                     (1)
                  
                  
                     Cedefop utför sitt uppdrag i enlighet med förordning (EU) 2019/128.
                  
               
                     (2)
                  
                  
                     I enlighet med artikel 25.1 i förordning (EU) 2018/1725 ska begränsningar av tillämpningen av artiklarna 14–22, 35 och 36, samt artikel 4 i samma förordning i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22, grunda sig på interna regler som ska antas av Cedefop, när dessa inte grundar sig på rättsakter som antas på grundval av fördragen.
                  
               
                     (3)
                  
                  
                     Dessa interna regler, inbegripet bestämmelserna om bedömningen av om en begränsning är nödvändig och proportionell, ska inte gälla när en rättsakt som antagits på grundval av fördragen innefattar en begränsning av den registrerades rättigheter.
                  
               
                     (4)
                  
                  
                     När Cedefop fullgör sina skyldigheter med avseende på den registrerades rättigheter enligt förordning (EU) 2018/1725 ska Cedefop undersöka om några av de undantag som anges i den förordningen är tillämpliga.
                  
               
                     (5)
                  
                  
                     Inom ramen för sin administrativa verksamhet får Cedefop genomföra administrativa utredningar och disciplinära förfaranden, vidta förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Europeiska byrån för bedrägeribekämpning (Olaf), handlägga visselblåsarärenden, genomföra (formella och informella) förfaranden mot trakasserier, handlägga interna och externa klagomål, genomföra internrevisioner, låta dataskyddsombudet genomföra utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt genomföra interna utredningar om it-säkerhet och handlägga begäranden från personalen om att få tillgång till sina patientjournaler.
                     Cedefop behandlar flera kategorier av personuppgifter, både hårda data (”objektiva” uppgifter som personidentifierande uppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från särskilda källor, elektronisk kommunikation och trafikuppgifter) och/eller mjuka data (”subjektiva” uppgifter som rör ärendet, t.ex. resonemang, uppgifter om beteende, bedömningar, uppgifter om prestationer och uppförande samt uppgifter som rör eller lagts fram i samband med föremålet för förfarandet eller verksamheten).
                  
               
                     (6)
                  
                  
                     Cedefop fungerar, företrätt av sin verkställande direktör, som personuppgiftsansvarig, oberoende av om denna uppgift vidaredelegeras inom Cedefop för att återspegla ett operationellt ansvar för en viss specifik behandling av personuppgifter.
                  
               
                     (7)
                  
                  
                     Personuppgifterna lagras på ett säkert sätt i en elektronisk miljö eller i pappersform, vilket förhindrar missbruk eller olaglig tillgång eller överföring av uppgifter till personer som inte har behov av att ta del av dem. Patientjournaler lagras av en extern tjänsteleverantör som Cedefop anlitar. De behandlade personuppgifterna lagras inte längre än vad som är nödvändigt och lämpligt för de syften som uppgifterna behandlas för under den tidsperiod som anges i Cedefops dataskyddsmeddelanden eller register.
                  
               
                     (8)
                  
                  
                     Dessa interna regler bör gälla för all behandling som Cedefop utför inom ramen för administrativa utredningar, disciplinära förfaranden, förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, förfaranden i visselblåsarärenden, (formella och informella) förfaranden för att hantera trakasserier, handläggning av interna och externa klagomål, internrevisioner, dataskyddsombudets utredningar i enlighet med artikel 45.2 i förordning (EU) 2018/1725, utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. av CERT-EU) och handläggning av begäranden från personalen om att få tillgång till sina patientjournaler.
                  
               
                     (9)
                  
                  
                     Dessa interna regler bör gälla för uppgiftsbehandling som utförs innan ovannämnda förfaranden inleds, under dessa förfaranden samt under kontrollen av uppföljningen av förfarandenas resultat. De bör även omfatta stöd och samarbete som Cedefop bistår nationella myndigheter och internationella organisationer med vid sidan av sina administrativa utredningar.
                  
               
                     (10)
                  
                  
                     När dessa interna regler tillämpas bör Cedefop motivera varför begränsningarna är absolut nödvändiga och proportionella i ett demokratiskt samhälle och respektera andemeningen i de grundläggande fri- och rättigheterna.
                  
               
                     (11)
                  
                  
                     Cedefop måste inom denna ram så långt som möjligt respektera de registrerades grundläggande rättigheter vid ovannämnda förfaranden, särskilt de som rör de registrerades rätt till information, de registrerades rätt till tillgång, de registrerades rätt att erhålla rättelse eller radering av personuppgifter samt rätt till begränsad behandling och de registrerades rätt att få information om en personuppgiftsincident och konfidentiell behandling av elektronisk kommunikation i enlighet med förordning (EU) 2018/1725.
                  
               
                     (12)
                  
                  
                     Cedefop kan dock tvingas att begränsa de registrerades rätt till information och andra rättigheter som de registrerade har, särskilt för att skydda sina egna utredningar, andra offentliga myndigheters utredningar och förfaranden samt rättigheterna för andra individer som är involverade i utredningarna eller andra förfaranden.
                  
               
                     (13)
                  
                  
                     Cedefop bör regelbundet kontrollera att förhållandena som motiverar en begränsning fortfarande är tillämpliga och upphäva begränsningen så snart som de inte längre är det.
                  
               
                     (14)
                  
                  
                     Den personuppgiftsansvarige bör informera dataskyddsombudet om avsikten att tillämpa en begränsning och under efterföljande översyner samt involvera honom eller henne i hela förfarandet tills begränsningen har upphävts.
                  
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
         
            Artikel 1
            Syfte och tillämpningsområde
            
               1.   I detta beslut fastställs regler om de villkor som måste vara uppfyllda för att Cedefop ska få begränsa tillämpningen av de rättigheter som följer av artiklarna 14–21, 35 och 36 samt artikel 4 i förordning (EU) 2018/1725 inom ramen för de förfaranden som anges i punkt 2 i enlighet med artikel 25 i den förordningen.
            
            
               2.   Inom ramen för Cedefops administrativa verksamhet är detta beslut tillämpligt på Cedefops behandling av personuppgifter för följande ändamål: administrativa utredningar och disciplinära förfaranden, förberedande åtgärder vid fall av eventuella oegentligheter som anmälts till Olaf, hantering av visselblåsarärenden, genomförande av (formella och informella) förfaranden för att hantera fall av trakasserier, handläggning av interna och externa klagomål, internrevisioner, utredningar som dataskyddsombudet genomför i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. av CERT-EU) och handläggning av begäranden från personalen om att få tillgång till sina patientjournaler.
            
            
               3.   De kategorier av uppgifter som omfattas är hårda data (”objektiva” uppgifter som personidentifierande uppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från särskilda källor, elektronisk kommunikation och trafikuppgifter) och/eller mjuka data (”subjektiva” uppgifter som rör ärendet, t.ex. resonemang, uppgifter om beteende, bedömningar, uppgifter om prestationer och uppförande samt uppgifter som rör eller lagts fram i samband med föremålet för förfarandet eller verksamheten).
            
            
               4.   När Cedefop fullgör sina skyldigheter med avseende på den registrerades rättigheter enligt förordning (EU) 2018/1725 ska Cedefop undersöka om några av de undantag som anges i den förordningen är tillämpliga.
            
            
               5.   Enligt de villkor som anges i detta beslut kan begränsningarna gälla följande rättigheter: de registrerades rätt till information, de registrerades rätt att få tillgång till information, de registrerades rätt till rättelse eller radering av personuppgifter samt rätt till begränsning av behandling och rätten att bli underrättad om personuppgiftsincidenter och rätten till konfidentiell behandling av elektronisk kommunikation.
            
         
         
            Artikel 2
            Specificering av den personuppgiftsansvarige och skyddsåtgärder
            
               1.   Cedefop ska införa följande skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring:
               
                           a)
                        
                        
                           Pappersdokument ska förvaras i säkra skåp som endast behörig personal ska ha tillgång till.
                        
                     
                           b)
                        
                        
                           Alla elektroniska uppgifter ska lagras i en säker it-applikation i enlighet med Cedefops säkerhetsnormer samt i särskilda digitala mappar som endast är åtkomliga för behörig personal. Olika nivåer för tillgång ska beviljas individuellt beroende på användare.
                        
                     
                           c)
                        
                        
                           Cedefops it-miljö ska kunna nås via ett gemensamt inloggningssystem och vara automatiskt kopplad till användarens användarnamn och lösenord. Elektroniska handlingar ska lagras på ett säkert sätt för att säkerställa sekretesskydd för de uppgifter som finns i dessa.
                        
                     
                           d)
                        
                        
                           Alla som har tillgång till uppgifterna ska vara bundna av tystnadsplikt.
                        
                     
                           e)
                        
                        
                           Den externa tjänsteleverantör som lagrar patientjournalerna ska vara bunden av avtalsklausuler om sekretess och behandling av personuppgifter.
                        
                     
            
               2.   Cedefop fungerar, företrätt av sin verkställande direktör, som personuppgiftsansvarig vid behandlingen och får vidaredelegera denna uppgift. Registrerade ska underrättas om delegeringen via dataskyddsmeddelanden eller dokumentation som publiceras på Cedefops webbplats och intranät.
            
            
               3.   Sådana personuppgifter som avses i artikel 1.3 i detta beslut får inte lagras längre än vad som är nödvändigt och rimligt för de ändamål som uppgifterna behandlas för. De får dock aldrig lagras längre än den tid som anges i de dataskyddsmeddelanden eller den dokumentation som avses i artikel 3.3 i detta beslut.
            
            
               4.   Om Cedefop överväger att tillämpa en begränsning ska risken för den registrerades fri- och rättigheter vägas särskilt mot risken för andra registrerades fri- och rättigheter samt mot risken att effektiviteten i Cedefops utredningar eller förfaranden undermineras, framför allt genom att bevis förstörs. Riskerna för den registrerades fri- och rättigheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras.
            
         
         
            Artikel 3
            Begränsningar
            
               1.   Cedefop ska endast tillämpa begränsningar på grundval av ett eller flera av de skäl som anges i artikel 25.1 a–i i förordning (EU) 2018/1725. Begränsningar får grundas på följande, framför allt vid personuppgiftsbehandling i sådana syften som anges i artikel 1.2 i beslutet:
               
                           a)
                        
                        
                           För genomförande av administrativa utredningar och disciplinära förfaranden får begränsningar grundas på artikel 25.1 b, c, g och h i förordning (EU) 2018/1725.
                        
                     
                           b)
                        
                        
                           För förberedande verksamhet i samband med fall av eventuella oegentligheter som har rapporterats till Olaf får begränsningar grundas på artikel 25.1 b, c, f, g och h i förordning (EU) 2018/1725.
                        
                     
                           c)
                        
                        
                           För visselblåsningsförfaranden får begränsningar grundas på artikel 25.1 b, c, f, g och h i förordning (EU) 2018/1725.
                        
                     
                           d)
                        
                        
                           För (formella och informella) förfaranden för att hantera fall av trakasserier får begränsningar grundas på artikel 25.1 b, f, h och i i förordning (EU) 2018/1725.
                        
                     
                           e)
                        
                        
                           För handläggning av interna och externa klagomål får begränsningar grundas på artikel 25.1 c, g och h i förordning (EU) 2018/1725.
                        
                     
                           f)
                        
                        
                           För internrevisioner får begränsningar grundas på artikel 25.1 c, g och h i förordning (EU) 2018/1725.
                        
                     
                           g)
                        
                        
                           För utredningar som genomförs av dataskyddsombudet i linje med artikel 45.2 i förordning (EU) 2018/1725 får begränsningar grundas på artikel 25.1 c, g och h i den förordningen.
                        
                     
                           h)
                        
                        
                           För utredningar om it-säkerhet som hanteras internt eller externt (t.ex. av CERT-EU) får begränsningar grundas på artikel 25.1 c, d, g och h i förordning (EU) 2018/1725.
                        
                     
                           i)
                        
                        
                           För hantering av personalens begäranden om att få tillgång till sina patientjournaler får begränsningar grundas på artikel 25.1 h i förordning (EU) 2018/1725.
                        
                     
            
               2.   Som en särskild tillämpning av de syften som beskrivs i punkt 1 ovan får Cedefop tillämpa begränsningar på de rättigheter som avses i artikel 1.5 i detta beslut under följande omständigheter:
               
                           a)
                        
                        
                           Om unionens övriga institutioner, organ eller byråer har rätt att begränsa utövandet av dessa rättigheter på grundval av andra akter som avses i artikel 25 i förordning (EU) 2018/1725 eller i enlighet med kapitel IX i den förordningen eller genom deras inrättandeakter och om syftet med en sådan begränsning från dessa övriga institutioners, organs eller byråers sida skulle äventyras om Cedefop inte skulle tillämpa en likvärdig begränsning med avseende på sådana personuppgifter.
                        
                     
                           b)
                        
                        
                           Om den behöriga myndigheten i en medlemsstat har rätt att begränsa utövandet av dessa rättigheter på grundval av sådana akter som avses i artikel 23 i Europaparlamentets och rådets förordning (EU) 2016/679 (4) eller enligt nationella åtgärder för att införliva artiklarna 13.3, 15.3 eller 16.3 i Europaparlamentets och rådets direktiv (EU) 2016/680 (5) och där syftet med en sådan begränsning från en medlemsstats behöriga myndighets sida skulle äventyras om Cedefop inte skulle tillämpa en likvärdig begränsning med avseende på sådana personuppgifter.
                        
                     
                           c)
                        
                        
                           Då utövandet av dessa rättigheter skulle äventyra Cedefops samarbete med tredjeländer eller internationella organisationer vid utförandet av dess arbetsuppgifter.
                        
                     Innan Cedefop tillämpar begränsningar under de omständigheter som avses i första stycket leden a och b ska Cedefop samråda med unionens berörda institutioner, organ eller byråer eller en medlemsstats behöriga myndighet, om det inte är uppenbart för Cedefop att tillämpningen av en begränsning fastställs i någon av de akter som det hänvisas till i dessa led.
            
            
               3.   Cedefop ska informera de registrerade om att deras rättigheter kan komma att begränsas i dataskyddsmeddelandena eller i den dokumentation som avses i artikel 31 i förordning (EU) 2018/1725 och som offentliggörs på Cedefops webbplats och intranät och innehåller information till de registrerade om deras rättigheter inom ramen för ett visst förfarande. I informationen ska det anges vilka rättigheter som kan komma att begränsas, skälen till detta och möjlig varaktighet.
               Utan att det påverkar tillämpningen av bestämmelserna i artikel 5.2 ska Cedefop även, där så är proportionellt, informera alla de registrerade som anses vara berörda i den specifika behandlingen om deras rättigheter vad gäller aktuella eller framtida begränsningar. Informationen ska ges utan onödigt dröjsmål, skriftligen och individuellt.
            
            
               4.   Eventuella begränsningar ska vara nödvändiga och proportionella med beaktande av riskerna för de registrerades fri- och rättigheter och förenliga med andemeningen i de grundläggande rättigheterna och friheterna i ett demokratiskt samhälle.
            
            
               5.   Om Cedefop överväger att tillämpa begränsningar ska ett behovs- och proportionalitetstest genomföras på grundval av gällande bestämmelser. Detta ska dokumenteras genom en intern bedömningsnotering, i redovisningssyfte, i varje enskilt fall.
            
            
               6.   Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre gäller.
            
         
         
            Artikel 4
            Dataskyddsombudets omprövning
            
               1.   Cedefops dataskyddsombud ska underrättas utan onödigt dröjsmål när den personuppgiftsansvarige avser att begränsa tillämpningen av de registrerades rättigheter eller utvidgar begränsningen med stöd i detta beslut. Den personuppgiftsansvarige ska ge dataskyddsombudet tillgång till den dokumentation som innehåller bedömningen av begränsningens nödvändighet och proportionalitet, och i dokumentationen ange det datum då dataskyddsombudet underrättades. Dataskyddsombudet ska vara involverat i hela förfarandet tills begränsningen har upphävts.
            
            
               2.   Dataskyddsombudet kan skriftligen begära att den personuppgiftsansvarige omprövar tillämpningen av begränsningarna. Den personuppgiftsansvarige ska skriftligen underrätta dataskyddsombudet om resultatet av den begärda omprövningen.
            
            
               3.   Den personuppgiftsansvarige ska även underrätta dataskyddsombudet när begränsningen har upphävts.
            
         
         
            Artikel 5
            Begränsning av den registrerades rätt till information
            
               1.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut, får den registrerades rätt till information begränsas av den personuppgiftsansvarige i samband med följande typer av uppgiftsbehandling:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinära förfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet i samband med eventuella oegentligheter som har anmälts till Olaf.
                        
                     
                           c)
                        
                        
                           Visselblåsningsförfaranden.
                        
                     
                           d)
                        
                        
                           Förfaranden (formella och informella) för att hantera trakasserier.
                        
                     
                           e)
                        
                        
                           Handläggning av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Internrevisioner.
                        
                     
                           g)
                        
                        
                           Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. av CERT-EU).
                        
                     
            
               2.   Om Cedefop helt eller delvis begränsar den registrerades rätt till information i enlighet med artiklarna 14–16 i förordning (EU) 2018/1725 ska Cedefop dokumentera skälen till begränsningen och den eller de rättsliga grunderna i enlighet med artikel 3 i detta beslut, inbegripet en bedömning av begränsningens nödvändighet och proportionalitet.
               Dokumentationen och, i tillämpliga fall, handlingarna med de bakomliggande faktiska och rättsliga omständigheterna ska registreras.
               De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.
            
            
               3.   Den begränsning som avses i punkt 2 ska fortsätta att vara tillämplig så länge som de skäl som motiverar den föreligger.
               När skälen till begränsningen inte längre föreligger ska Cedefop informera den registrerade om de huvudsakliga skäl som ligger till grund för tillämpningen av en begränsning. Samtidigt ska Cedefop informera den registrerade om rätten att när som helst lämna in ett klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol (nedan kallad domstolen).
               Cedefop ska se över tillämpningen av begränsningen var sjätte månad från det att den antas, och när den undersökning, det förfarande eller den utredning som berörs avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar. Det nödvändighets- och proportionalitetstest som avses i artikel 3.5 ska också genomföras inom ramen för varje periodisk översyn, följt av en bedömning av om huruvida de faktiska och rättsliga skälen till en begränsning fortfarande föreligger.
            
         
         
            Artikel 6
            Begränsning av de registrerades rätt till tillgång
            
               1.   I vederbörligen motiverade fall och enligt villkoren i detta beslut får den personuppgiftsansvarige begränsa den registrerades rätt till tillgång vid följande typer av uppgiftsbehandling när så är nödvändigt och proportionellt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinära förfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet i samband med eventuella oegentligheter som har anmälts till Olaf.
                        
                     
                           c)
                        
                        
                           Visselblåsningsförfaranden.
                        
                     
                           d)
                        
                        
                           Förfaranden (formella och informella) för att hantera trakasserier.
                        
                     
                           e)
                        
                        
                           Handläggning av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Internrevisioner.
                        
                     
                           g)
                        
                        
                           Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. av CERT-EU).
                        
                     
                           i)
                        
                        
                           Handläggning av personalens begäranden om att få tillgång till sina patientjournaler.
                        
                     Om registrerade, i enlighet med artikel 17 i förordning (EU) 2018/1725, begär tillgång till egna personuppgifter som behandlas i samband med ett eller flera specifika fall eller ärenden som inbegriper uppgiftsbehandling, ska Cedefop begränsa sin bedömning av denna begäran till att endast avse dessa personuppgifter.
            
            
               2.   Om Cedefop helt eller delvis begränsar rätten till tillgång i enlighet med artikel 17 i förordning (EU) 2018/1725, ska följande åtgärder vidtas:
               
                           a)
                        
                        
                           Cedefop ska, i sitt svar på den berörda registrerades begäran, lämna information om den begränsning som tillämpas och om de huvudsakliga skälen till denna, samt om möjligheten att inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid domstolen.
                        
                     
                           b)
                        
                        
                           Cedefop ska genom en intern bedömningsanteckning dokumentera skälen till begränsningen, däribland en bedömning av begränsningens nödvändighet och proportionalitet samt dess varaktighet.
                        
                     Begränsningar av personalens rätt att få tillgång till sina patientjournaler ska endast avse begäranden från personalen om att få direkt åtkomst till medicinska uppgifter av psykologisk eller psykiatrisk art, i fall där det enligt en bedömning i det enskilda fallet är nödvändigt att ge den registrerade indirekt åtkomst av skäl som rör personens skydd. Åtkomst till sådana uppgifter ska ges via en läkare som utsetts av den registrerade. Den läkare som den registrerade väljer ska få åtkomst till alla uppgifter och befogenhet att göra en skönsmässig bedömning av hur och i vilken mån den registrerade ska få tillgång till dessa.
               Tillhandahållandet av den information som avses i led a får skjutas upp, utelämnas eller nekas om det skulle upphäva verkan av den begränsning som införts i enlighet med artikel 25.8 i förordning (EU) 2018/1725.
               Cedefop ska se över tillämpningen av begränsningen var sjätte månad från det att den antas, och när den undersökning, det förfarande eller den utredning som berörs avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar. Det nödvändighets- och proportionalitetstest som avses i artikel 3.5 ska också genomföras inom ramen för varje periodisk översyn, följt av en bedömning av om huruvida de faktiska och rättsliga skälen till en begränsning fortfarande föreligger.
            
            
               3.   Dokumentationen och, i tillämpliga fall, handlingarna med de bakomliggande faktiska och rättsliga omständigheterna, ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.
            
         
         
            Artikel 7
            Begränsningar av de registrerades rätt till rättelse, radering och begränsning av behandling
            
               1.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får den personuppgiftsansvarige begränsa den registrerades rätt till rättelse, radering och begränsning av behandling vid följande typer av uppgiftsbehandling, om det är nödvändigt och lämpligt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinära förfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet i samband med eventuella oegentligheter som har anmälts till Olaf.
                        
                     
                           c)
                        
                        
                           Visselblåsningsförfaranden.
                        
                     
                           d)
                        
                        
                           Förfaranden (formella och informella) för att hantera trakasserier.
                        
                     
                           e)
                        
                        
                           Handläggning av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Internrevisioner.
                        
                     
                           g)
                        
                        
                           Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           h)
                        
                        
                           Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. av CERT-EU).
                        
                     
            
               2.   Om Cedefop helt eller delvis begränsar den registrerades rätt till rättelse, radering eller begränsning av den behandling som avses i artiklarna 18, 19.1 och 20.1 i förordning (EU) 2018/1725, ska Cedefop vidta de åtgärder som anges i artikel 6.2 i detta beslut och registrera dokumentationen i enlighet med artikel 6.3 i detsamma.
            
         
         
            Artikel 8
            Begränsning av den registrerades rätt till information om en personuppgiftsincident och konfidentiell behandling av elektronisk kommunikation
            
               1.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får den personuppgiftsansvarige begränsa den registrerades rätt till information om en personuppgiftsincident vid följande typer av uppgiftsbehandling, om det är nödvändigt och lämpligt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinära förfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet i samband med eventuella oegentligheter som har anmälts till Olaf.
                        
                     
                           c)
                        
                        
                           Visselblåsningsförfaranden.
                        
                     
                           d)
                        
                        
                           Internrevisioner.
                        
                     
                           e)
                        
                        
                           Utredningar som genomförs av dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725.
                        
                     
                           f)
                        
                        
                           Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. av CERT-EU).
                        
                     
            
               2.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får den personuppgiftsansvarige begränsa rätten till konfidentiell behandling av elektronisk kommunikation vid följande typer av uppgiftsbehandling, om det är nödvändigt och lämpligt:
               
                           a)
                        
                        
                           Genomförande av administrativa utredningar och disciplinära förfaranden.
                        
                     
                           b)
                        
                        
                           Förberedande verksamhet i samband med eventuella oegentligheter som har anmälts till Olaf.
                        
                     
                           c)
                        
                        
                           Visselblåsningsförfaranden.
                        
                     
                           d)
                        
                        
                           Formella förfaranden vid fall av trakasserier.
                        
                     
                           e)
                        
                        
                           Handläggning av interna och externa klagomål.
                        
                     
                           f)
                        
                        
                           Utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. av CERT-EU).
                        
                     
            
               3.   Om Cedefop begränsar den registrerades rätt till information om en personuppgiftsincident eller konfidentiell behandling vid elektronisk kommunikation som avses i artikel 35 respektive artikel 36 i förordning (EU) 2018/1725, ska Cedefop dokumentera och registrera skälen till begränsningen i överensstämmelse med artikel 5.2 i detta beslut. Artikel 5.3 i detta beslut ska också tillämpas.
            
         
         
            Artikel 9
            Ikraftträdande
            Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.
         
         
            Utfärdat den 6 maj 2020.
            
               
                  För styrelsen
               
               Barbara DORN
               
                  Styrelsens ordförande
               
            
         
         
            (1)  EUT L 295, 21.11.2018, s. 39.
         
            (2)  EUT L 30, 31.1.2019, s. 90.
         
            (3)  https://edps.europa.eu/sites/edp/files/publication/18-12-20_guidance_on_article_25_en.pdf.
         
            (4)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).
         
            (5)  Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 4.5.2016, s. 89).