Document ID: 32008D0597

KOMMISSIONENS BESLUT
av den 3 juni 2008
om antagande av genomförandebestämmelser avseende uppgiftsskyddsombudet i enlighet med artikel 24.8 i förordning (EG) nr 45/2001 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter
(2008/597/EG)
EUROPEISKA GEMENSKAPERNAS KOMMISSION HAR BESLUTAT FÖLJANDE
med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (1), särskilt artikel 24.8 och bilagan, och
av följande skäl:
(1)
I förordning (EG) nr 45/2001 (nedan kallad förordningen) fastställs de principer och regler som är tillämpliga på alla gemenskapsinstitutioner och gemenskapsorgan och föreskrivs att varje gemenskapsinstitution och gemenskapsorgan ska utse ett uppgiftsskyddsombud.
(2)
Enligt artikel 24.8 i förordningen ska varje gemenskapsinstitution eller gemenskapsorgan anta ytterligare genomförandebestämmelser avseende uppgiftsskyddsombudet enligt bestämmelserna i bilagan. Genomförandebestämmelserna ska i synnerhet avse uppgiftsskyddsombudets arbetsuppgifter, åligganden och befogenheter.
(3)
Genom kommissionens beslut K(2002) 510 (2) av den 18 februari 2002 inrättas en tjänst som uppgiftsskyddsombud för kommissionen och uppgiftsskyddsombudet ges i uppdrag att föreslå ytterligare genomförandebestämmelser efter samråd med generaldirektoraten allt efter deras behov och tidigare erfarenheter.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
AVSNITT 1
ALLMÄNNA BESTÄMMELSER
Artikel 1
Definitioner
Utan att det påverkar definitionerna i förordningen avses i detta beslut med
-
uppgiftsskyddssamordnare: den medlem av personalen vid ett generaldirektorat eller en avdelning som av generaldirektören har utsetts att samordna alla aspekter av skyddet av personuppgifter inom generaldirektoratet,
-
registeransvarig (som definieras i artikel 2 d och omnämns i artikel 25.2 a): den tjänsteman som har ansvaret för den organisatoriska enhet som bestämmer ändamålen och medlen för behandlingen av personuppgifter.
Artikel 2
Tillämpningsområde
I detta beslut fastställs regler och förfaranden för genomförandet av uppgiftsskyddsombudets arbetsuppgifter inom kommissionen i enlighet med artikel 24.8 i förordningen. Beslutet får inte tillämpas på kommissionens arbete med att utforma politiken för skydd av enskilda i samband med behandling av personuppgifter.
AVSNITT 2
UPPGIFTSSKYDDSOMBUDET
Artikel 3
Utnämning och ställning
1. Kommissionen ska utnämna ett uppgiftsskyddsombud och registrera ombudet hos Europeiska datatillsynsmannen.
2. Ämbetsperioden för ombudet ska vara fem år och kunna förlängas en gång.
3. Ombudet ska agera oberoende när det gäller den interna tillämpningen av förordningen och får inte ta emot instruktioner när det gäller utförandet av sina åligganden.
4. Ombudet ska utses bland kommissionens personal enligt relevanta förfaranden. Utöver kvalifikationerna enligt artikel 24.2 bör ombudet ha goda kunskaper om kommissionens avdelningar, deras struktur samt deras administrativa regler och förfaranden. Han eller hon bör ha goda kunskaper om system, principer och metoder för uppgiftsskydd och information. Han eller hon ska visa prov på gott omdöme och upprätthålla en opartisk och objektiv inställning i enlighet med tjänsteföreskrifterna.
5. Om uppgiftsskyddsombudet inte längre uppfyller kraven för att kunna utföra sina arbetsuppgifter får han eller hon entledigas från sitt uppdrag av kommissionen med Europeiska datatillsynsmannens medgivande. Kommissionen ska, på förslag av generalsekreteraren i samförstånd med generaldirektören för personal och administration, fastställa att ombudet inte längre uppfyller kraven för att kunna utföra sina uppgifter.
6. Utan att det påverkar tillämpningen av relevanta bestämmelser i förordningen ska uppgiftsskyddsombudet och hans eller hennes personal omfattas av de regler och förordningar som gäller för tjänstemän vid Europeiska gemenskaperna.
Artikel 4
Arbetsuppgifter
1. Utan att det påverkar de arbetsuppgifter som beskrivs i artikel 24 i förordningen och i dess bilaga, ska uppgiftsskyddsombudet bidra till att bygga upp en kultur för skydd av personuppgifter inom kommissionen genom att öka den allmänna medvetenheten i dessa frågor och samtidigt upprätthålla den svåra balansen mellan skydd av personuppgifter och öppenhet.
2. Uppgiftsskyddsombudet ska upprätta en förteckning över kommissionens behandlingar av personuppgifter, till vilket uppgiftsskyddssamordnarna ska anmäla alla behandlingar av personuppgifter inom sina respektive generaldirektorat. Samordnarna ska också uppge den registeransvarige som har ansvaret för dessa behandlingar. Ombudet ska hjälpa de registeransvariga att bedöma riskerna med de behandlingar som de ansvarar för och övervaka genomförandet av förordningen inom kommissionen, särskilt genom årliga lägesrapporter om uppgiftsskydd.
3. Uppgiftsskyddsombudet ska anordna och vara ordförande vid de regelbundet återkommande mötena inom nätverket för uppgiftsskyddssamordnare.
4. Ombudet ska göra det register över behandlingar som avses i artikel 26 i förordningen tillgängligt på kommissionens interna och externa webbplatser.
5. Ombudet får ge kommissionen och de registeransvariga rekommendationer och råd om tillämpningen av bestämmelserna om uppgiftsskydd och får, på begäran eller på eget initiativ, utreda frågor och händelser som har direkt samband med hans eller hennes uppgifter och rapportera tillbaka till den person som begärt en utredning i enlighet med förfarandet i artikel 13. Om den som begärde utredningen är en enskild person, eller agerar på en enskild persons vägnar, ska ombudet i möjligaste mån se till att begäran behandlas under sekretess, om inte den registrerade i fråga ger sitt otvetydiga samtycke till att begäran behandlas på annat sätt.
6. Kommissionens uppgiftsskyddsombud ansvarar även för personalkommittéernas behandling av personuppgifter. För tillämpningen av artikel 6 ska ombudet tillhandahålla den berörda personalkommitténs ordförande all information i stället för generalsekreteraren, så snart en fråga uppstår om en personalkommittés behandling av personuppgifter.
7. Utan att det påverkar uppgiftsskyddsombudets oberoende kan generalsekreteraren, på kommissionens vägnar, be ombudet företräda institutionen i alla frågor om uppgiftsskydd. Detta kan innebära att ombudet ombeds delta i relevanta kommittéer och organ på internationell nivå.
Artikel 5
Åligganden
1. Utöver de allmänna arbetsuppgifterna ska uppgiftsskyddsombudet fullgöra följande åligganden:
a)
Årligen lämna in en lägesrapport om uppgiftsskyddet vid kommissionen till generalsekreteraren och till generaldirektören för personal och administration för överläggningar på lämplig nivå, t.ex. vid generaldirektörernas regelbundna möten. Kommissionens personal ska ha tillgång till rapporten.
b)
Vid fullgörandet av sina uppgifter samarbeta med uppgiftsskyddsombuden vid de andra gemenskapsinstitutionerna och gemenskapsorganen, särskilt genom utbyte av erfarenheter och bästa metoder.
2. Vid behandlingar av personuppgifter som faller under uppgiftsskyddsombudets ansvar ska denne fungera som registeransvarig.
Artikel 6
Befogenheter
Utan att det påverkar de befogenheter som uppgiftsskyddsombudet tilldelas genom förordningen ska uppgiftsskyddsombudet vid utförandet av sina arbetsuppgifter och åligganden ha följande befogenheter:
a)
Begära rättsutlåtanden från kommissionens rättstjänst.
b)
Informera behörig nivå inom organisationen och generalsekreteraren innan ärenden som avser konflikter om tolkningen eller genomförandet av förordningen hänskjuts till Europeiska datatillsynsmannen.
c)
Göra generalsekreteraren uppmärksam på
-
om en anställd inte uppfyller skyldigheterna enligt förordningen,
-
om registeransansvariga inte följer kommissionens normer för internkontroll som särskilt gäller skyldigheterna enligt förordningen,
och föreslå att en administrativ utredning inleds för eventuell tillämpning av artikel 49 i förordningen.
d)
Utreda frågor och händelser som har direkt samband med uppgiftsskyddsombudets uppgifter genom att tillämpa lämpliga principer för undersökningar och revisioner i kommissionen och det förfarande som beskrivs i artikel 13 i detta beslut.
e)
Ha ständig tillgång till de personuppgifter som behandlas och tillträde till alla kontor, installationer för behandling av uppgifter och databärare.
Artikel 7
Resurser
Kommissionen ska tillhandahålla uppgiftsskyddsombudet de resurser som är nödvändiga för att han eller hon ska kunna utföra sina åligganden.
AVSNITT 3
REGLER OCH FÖRFARANDEN
Artikel 8
Information
1. Uppgiftsskyddsombudet ska omedelbart underrättas av den ansvariga avdelningen så snart ett ärende som rör uppgiftsskyddet tas upp till behandling inom kommissionens avdelningar, och senast innan beslut fattas.
2. När kommissionen underrättar och samråder med Europeiska datatillsynsmannen enligt de relevanta artiklarna i förordningen, särskilt enligt artikel 28.1 och 28.2, ska uppgiftsskyddsombudet underrättas. Ombudet ska också informeras om direkt samarbete mellan kommissionens registeransvariga och Europeiska datatillsynsmannen enligt relevanta artiklar i förordningen.
3. Den ansvariga avdelningen eller, i förekommande fall, rättstjänsten ska underrätta uppgiftsskyddsombudet om rättsutlåtanden eller ståndpunkter från rättstjänsten som rör den interna tillämpningen av bestämmelserna i förordningen, liksom om rättsutlåtanden om tolkningen eller genomförandet av andra rättsakter med anknytning till skydd och behandling av personuppgifter, särskilt inom ramen för samråd mellan kommissionens avdelningar och tillgång till information.
Artikel 9
Registeransvariga
1. Utan att det påverkar bestämmelserna i förordningen om registeransvarigas skyldigheter ska registeransvariga
a)
utan dröjsmål utarbeta anmälningar till uppgiftsskyddsombudet för all befintlig behandling av personuppgifter som ännu inte har anmälts,
b)
i förekommande fall samråda med ombudet om huruvida behandlingarna är i överensstämmelse med förordningen, särskilt om det råder tvivel om detta,
c)
samarbeta med uppgiftsskyddssamordnaren för att upprätta en förteckning över befintlig behandling av personuppgifter vid generaldirektoratet.
2. De registeransvariga får delegera vissa arbetsuppgifter till biträdande registeransvariga som verkar under deras ledning och ansvar.
Artikel 10
Registerförare
Registerförare inom kommissionen, som har till uppgift att behandla personuppgifter för den registeransvariges räkning, ska handla endast på instruktioner från den registeransvarige vilka dokumenterats i ett skriftligt avtal och behandla personuppgifter med strikt iakttagande av förordningen och all annan tillämplig lagstiftning om uppgiftsskydd. Ett skriftligt avtal mellan kommissionens organisatoriska enheter ska anses likvärdigt med en sådan rättsligt bindande handling som avses i artikel 23.2 i förordningen.
Formella avtal ska ingås med externa registerförare och ska omfatta de särskilda krav som anges i artikel 23.2 i förordningen.
Artikel 11
Anmälningar
Registeransvariga ska använda kommissionens system för anmälan online, som är tillgängligt via uppgiftsskyddsombudets webbplats på kommissionens intranät, för att skicka sina anmälningar till ombudet.
För enkla behandlingar av icke känsliga personuppgifter ska systemet tillhandahålla en förenklad anmälan.
Artikel 12
Register
Det elektroniska registret över kommissionens databehandlingar enligt artikel 4.4 ska vara tillgängligt via uppgiftsskyddsombudets webbplats på kommissionens intranät för all personal vid gemenskapens institutioner och organ och på webbplatsen Europa för alla andra som har tillgång till Internet. Personer som inte har tillgång till Internet kan skriftligen begära utdrag ur registret hos uppgiftsskyddsombudet, som ska svara inom tio arbetsdagar.
Artikel 13
Utredningsförfarande
1. En skriftlig begäran om utredning enligt artikel 4.5 ska sändas till uppgiftsskyddsombudet. Ombudet ska inom 15 dagar efter mottagandet skicka ett mottagningsbevis till den person som begärt utredningen och kontrollera om begäran ska behandlas konfidentiellt. Vid uppenbart missbruk av rätten att begära en utredning är ombudet inte skyldigt att rapportera tillbaka till sökanden.
2. Uppgiftsskyddsombudet ska begära ett skriftligt utlåtande i ärendet av den som är registeransvarig för den behandling av uppgifter som berörs. Den registeransvarige ska lämna sitt svar till ombudet inom 15 arbetsdagar. Ombudet får begära kompletterande information från den registeransvarige eller från andra parter inom 15 dagar. I förekommande fall får ombudet begära ett rättsutlåtande i frågan från rättstjänsten. Utlåtandet ska lämnas till ombudet inom 30 arbetsdagar.
3. Uppgiftsskyddsombudet ska rapportera tillbaka till den person som begärt utredningen senast tre månader efter mottagandet av begäran. Denna period kan tillfälligt upphöra att löpa i avvaktan på att ombudet erhåller den ytterligare information som begärts.
4. Ingen ska lida förfång på grund av att uppgiftsskyddsombudet uppmärksammats på en påstådd överträdelse av bestämmelserna i förordningen.
Artikel 14
Uppgiftsskyddssamordnare
1. En uppgiftsskyddssamordnare ska utnämnas i varje generaldirektorat eller avdelning av generaldirektören respektive avdelningschefen. I syfte att uppnå större enhetlighet och effektivitet får flera generaldirektorat, avdelningar eller kontor besluta att, på grundval av ett skriftligt avtal, utnämna en gemensam uppgiftsskyddssamordnare eller tillsammans ta en redan utnämnd uppgiftsskyddssamordnares tjänster i anspråk.
2. Uppgiftsskyddssamordnarens uppgifter kan kombineras med andra uppgifter när så är lämpligt. För att uppnå den kompetens som krävs för uppgifterna måste samordnaren delta i obligatorisk utbildning inom sex månader efter utnämningen.
3. Uppgiftsskyddssamordnarens ämbetstid får inte vara tidsbegränsad. En samordnare bör väljas på lämplig nivå inom organisationen på grundval av sin yrkesetik, sina kunskaper och sin erfarenhet om hur generaldirektoratet fungerar och sin motivation för uppgifterna. Han eller hon bör ha insikt i principerna för informationssystem.
4. Utan att det påverkar uppgiftsskyddsombudets ansvarsområden ska uppgiftsskyddssamordnaren
a)
upprätta en förteckning över behandlingar av personuppgifter vid generaldirektoratet, se till att det uppdateras och hjälpa till att fastställa en rimlig risknivå för varje enskild behandling. Samordnaren ska använda det system för registerhantering online som uppgiftsskyddsombudet inrättat i detta syfte och som finns på ombudets webbplats på kommissionens intranät.
b)
hjälpa generaldirektören eller avdelningschefen att utse sina respektive registeransvariga,
c)
ha rätt att få nödvändig och tillräcklig information från de registeransvariga. Detta inbegriper inte tillgång till personuppgifter som behandlas på de registeransvarigas ansvar.
5. Utan att det påverkar de registeransvarigas ansvarsområden ska uppgiftsskyddssamordnaren
a)
hjälpa de registeransvariga att fullgöra sina rättsliga förpliktelser,
b)
hjälpa de registeransvariga att utforma anmälningar, och
c)
mata in de förenklade anmälningarna i uppgiftsskyddsombudets system för anmälan online.
6. Samordnaren ska delta i de regelbundna mötena i nätverket för uppgiftsskyddssamordnare, där uppgiftsskyddsombudet är ordförande, för att säkerställa att förordningen genomförs och tolkas på ett enhetligt sätt inom kommissionen och för att diskutera frågor av gemensamt intresse.
7. Vid utövandet av sina uppgifter får samordnaren be uppgiftsskyddsombudet om rekommendationer, råd eller yttranden.
Artikel 15
Administration och förvaltning
1. Uppgiftsskyddsombudet ska administrativt knytas till generalsekretariatet och verksamheten ska integreras i den verksamhetsbaserade budgeteringen och förvaltningen av generalsekretariatets verksamhetsområde 7: Relationer med civilsamhället, öppenhet och information. I detta sammanhang ska ombudet delta i utformningen av generalsekretariatets årliga förvaltningsplan och preliminära budgetförslag.
2. Uppgiftsskyddsombudet ska vara den bedömande tjänstemannen för personalen vid sitt sekretariat och för det biträdande uppgiftsskyddsombudet. Vice generalsekreteraren ska vara den kontrasignerande tjänstemannen.
3. Uppgiftsskyddsombudet ska delta i samordningen av generalsekretariatets förvaltning när så är lämpligt.
AVSNITT 4
SLUTBESTÄMMELSER
Artikel 16
Ikraftträdande
Detta beslut träder i kraft den 3 juni 2008.
Utfärdat i Bryssel den 3 juni 2008.

Labels: 12
9
15