CELEX ID: 32018D1961

--- ENGLISH ---

Document:
12.12.2018
EN
Official Journal of the European Union
L 315/35
COMMISSION DECISION (EU) 2018/1961
of 11 December 2018
laying down internal rules concerning the provision of information to data subjects and the restriction of certain of their rights in the context of the processing of personal data for the purpose of internal audit activities
THE COMMISSION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 249(1),
Whereas:
(1)
Regulation (EU, Euratom) 2018/1046 of the European Parliament and of the Council 
(
1
)
 requires each Union institution to establish an internal audit function which shall be performed in compliance with the relevant international standards. Internal audit activities in the Commission are carried out by the Internal Audit Service (‘the Service’), which was established on 11 April 2000. Internal audit activities are also carried out by the Service in Union decentralised agencies and other autonomous bodies receiving contributions from the Union budget.
(2)
The Service conducts internal audit activities in accordance with Articles 117 to 123 of Regulation (EU, Euratom) 2018/1046 and its mission charter 
(
2
)
. In this respect, the Service has complete independence and full and unlimited access to all information required in the conduct of its internal audit activities in relation to all the activities and departments of the Union institution concerned.
(3)
The Service advises other Commission departments, executive agencies, as well as Union decentralised agencies and other autonomous bodies receiving contributions from the Union budget on how to deal with risks, i.e. any event or issue that could occur and adversely impact the achievement of the Commission's political, strategic and operational objective, by issuing independent opinions on the quality of management and control systems and by issuing recommendations for improving the conditions of implementation of operations and promoting sound financial management, in accordance with Articles 117 to 123 of Regulation (EU, Euratom) 2018/1046. Therefore, the internal audit activities of the Service do not typically target natural persons as such. Nevertheless, during the course of its activities, personal data within the meaning of Article 3(1) of Regulation (EU) 2018/1725 of the European Parliament and of the Council 
(
3
)
 are inevitably processed. The internal audit activities carried out by the Service involve assessing the suitability and effectiveness of internal management systems and the performance of departments in implementing policies, programmes and actions, the efficiency and effectiveness of the internal control and audit systems applicable to each budget implementation operation. Therefore, they contribute to the safeguarding of important economic and financial interests of the Union and of the Member States. The Service is a controller for the processing operations it carries out in accordance with Articles 118 and 119(2) of the Financial Regulation.
(4)
The internal audit activities performed in the Commission and its executive agencies, and in the Union decentralised agencies and other autonomous bodies vary in form and content, ranging from assurance (including risk assessments) and consulting engagements, to reviews with a limited scope and follow-up engagements.
(5)
The Audit Progress Committee (APC), in accordance with its Mission Charter updated on 21 November 2018 (C(2018)7707), is an advisory body 
(
4
)
 that assists the Commission in fulfilling its obligations under the Treaties and other statutory instruments [Regulation (EU, Euratom) 2018/1046] by ensuring the independence of the Internal Audit Service, by monitoring the quality of internal audit work, and by ensuring that internal and external audit recommendations are properly taken into account by the Commission services and that they receive appropriate follow-up. In this way, the APC contributes to the overall further improvement of the Commission's effectiveness and efficiency in achieving its goals and facilitates the College's oversight of the Commission's governance, risk management, and internal control practices. The APC is a controller for the processing operation(s) it carries out in accordance with Article 123 of the Financial Regulation.
(6)
For the purpose of its activities under Articles 118 and 119(2) of Regulation (EU, Euratom) 2018/1046, whether acting on its own initiative or on the basis of received input, the Commission processes personal data acquired or received from legal persons, natural persons, Member States and international bodies and organisations. During such internal audit activities, the Service may also process personal data acquired or received from publicly available sources, from anonymous or from identified sources that require protection of their identity.
(7)
The Commission may, in turn, exchange personal data with the Union institutions, bodies, offices and agencies, with competent authorities of Member States and, within the framework of the Commission relevant international or cooperation agreements, with third countries and international organisations.
(8)
Personal data processing activities, within the meaning of Article 3(3) of Regulation (EU) 2018/1725, carried out in the course of an internal audit activity, may take place even before the Commission formally initiates it, continue throughout the performance of the audit activity and may continue even after the formal closure of the audit activity (for example, for reasons of monitoring of implementation of recommendations, assessing the need for initiating new internal audit activities).
(9)
The categories of personal data processed by the Commission include identification data, contact data, professional data and data related to or brought in connection with the subject matter of the activity. These categories of personal data are stored in a secured electronic environment to prevent unlawful access or transfer of data to persons who do not have a need to know. The personal data are retained for a maximum period of ten years. At the end of the retention period, the information related to the internal audit activity, including personal data is transferred to the historical archives of the Commission 
(
5
)
 or destroyed.
(10)
While carrying out internal audit activities, the Commission is bound to respect the rights of natural persons in relation to the processing of personal data recognised by Article 8(1) of the Charter of Fundamental Rights of the European Union and by Article 16(1) of the Treaty, as well as the rights provided for in Regulation (EU) 2018/1725. At the same time, the Commission is required to comply with strict rules of confidentiality referred to in the international internal audit standards, in accordance with Article 117 of Regulation (EU, Euratom) 2018/1046.
(11)
In certain circumstances, it is necessary to reconcile the rights of data subjects pursuant to Regulation (EU) 2018/1725 with the needs of internal audit activities, and confidentiality of exchanges of information with natural and legal persons as well as with full respect for fundamental rights and freedoms of other data subjects. To that effect Article 25(1)(c), (g) and (h) of Regulation (EU) 2018/1725 provides the Service with the possibility to restrict the application of Articles 14 to 17, 19, 20 and 35, as well as the principle of transparency laid down in Article 4(1)(a), insofar as its provisions correspond to the rights and obligations provided for in Articles 14 to 17, 19, 20 and 35 of that Regulation.
(12)
In order to ensure the effectiveness of internal audit activities, while respecting the standards of protection of personal data under Regulation (EU) 2018/1725, which replaced Regulation (EC) No 45/2001 of the European Parliament and of the Council 
(
6
)
, it is necessary to adopt internal rules under which the Commission may restrict data subjects' rights in accordance with Article 25(1)(c), (g) and (h) of Regulation (EU) 2018/1725.
(13)
The internal rules should cover all processing operations carried out by the Commission in the performance of its internal audit activities, whether acting on its own initiative or on the basis of received input, whenever the exercise of data subjects' rights may jeopardise the conduct of internal audit activities. Those rules should apply to processing operations carried out prior to the formal initiation of an engagement, during the engagement as well as during the monitoring of the follow-up to its outcome.
(14)
In order to comply with Articles 14, 15 and 16 of Regulation (EU) 2018/1725, the Commission should inform all individuals of its activities involving processing of their personal data and of their rights in a transparent and coherent manner by means of a data protection notice published on the Commission's website. Where relevant, the Commission should adduce additional safeguards to ensure that the data subjects are informed individually in an appropriate format.
(15)
On the basis of Article 25 of Regulation (EU) 2018/1725, the Commission is also able to restrict the provision of information to data subjects and the exercise of other rights of data subjects in order to protect its own internal audit activities, audits of public authorities of the Member States, the audit tools and methods, as well as the rights of other persons related to its internal audit activities.
(16)
In addition, in order to maintain effective cooperation it may be necessary for the Commission to restrict the application of data subjects' rights in order to protect processing operations of Commission services or other Union institutions, bodies, offices and agencies or of Member States' authorities and international organisations, as well as of the Audit Progress Committee. To that effect, the Commission should consult those services, institutions, bodies, offices, agencies, authorities and organisations, as well as the Audit Progress Committee on the relevant grounds for imposing restrictions and the necessity and proportionality of the restrictions.
(17)
The Commission may also have to restrict the provision of information to data subjects and the application of other rights of data subjects in relation to personal data received from third countries or international organisations, in order to cooperate with those countries or organisations and thus safeguard an important objective of general public interest of the Union. However, in some circumstances the interest or fundamental rights of the data subject may override the interest of international cooperation.
(18)
The Commission should handle all restrictions in a transparent manner and register each application of restrictions in the corresponding record system.
(19)
Pursuant to Article 25(8) of Regulation (EU) 2018/1725, controllers may defer, omit or deny provision of information on the reasons for the application of a restriction to the data subject if providing that information would in any way compromise the purpose of the restriction. This is, in particular, the case of restrictions to the rights provided for in Articles 16 and 35 of Regulation (EU) 2018/1725.
(20)
Where other rights of data subjects are restricted, the controller of the Internal Audit Service should assess on a case-by-case basis whether the communication of the restriction would compromise its purpose.
(21)
The Data Protection Officer of the European Commission should carry out an independent review of the application of restrictions, with a view to ensuring compliance with this Decision.
(22)
Regulation (EU) 2018/1725 replaces Regulation (EC) No 45/2001, without any transitional period, from the date on which it enters into force. The possibility to apply restrictions to certain rights was provided for in Regulation (EC) No 45/2001. In order to avoid jeopardising the lawfulness of internal audit activities, this Decision should apply from the date of entry into force of Regulation (EU) 2018/1725.
(23)
The European Data Protection Supervisor delivered an opinion on 27 November 2018,
HAS ADOPTED THIS DECISION:
Article 1
Subject-matter and scope
1.   This Decision lays down the rules to be followed by the Commission to inform data subjects of the processing of their data in accordance with Articles 14, 15 and 16 of Regulation (EU) 2018/1725, when conducting its internal audit activities in accordance with Articles 117 to 123 of Regulation (EU, Euratom) 2018/1046.
It also lays down the conditions under which the Commission may restrict the application of Articles 4, 14 to 17, 19, 20 and 35 of Regulation (EU) 2018/1725, in accordance with Article 25(1)(c), (g) and (h) of that Regulation.
2.   This Decision applies to the processing of personal data by the Commission for the purpose of or in relation to the activities carried out in order to fulfil its tasks pursuant to Articles 118 and 119 (2) of Regulation (EU, Euratom) 2018/1046.
3.   This Decision applies to the processing of personal data within the Commission, in so far as the Commission processes personal data contained in information which it is required to process for the purpose of, or in relation to, the activities referred to in this Article.
Article 2
Applicable exceptions and restrictions
1.   Where the Commission exercises its duties with respect to data subjects' rights under Regulation (EU) 2018/1725, it shall consider whether any of the exceptions laid down in that Regulation apply.
2.   Subject to Articles 3 to 7 of this Decision, the Commission may restrict the application of Articles 14 to 17, 19, 20 and 35 of Regulation (EU) 2018/1725, as well as the principle of transparency laid down in Article 4(1)(a) of that Regulation, in so far as its provisions correspond to the right and obligations provided for in Articles 14 to 17, 19, 20 and 35 of that Regulation, where the exercise of those rights and obligations would jeopardise the purpose of the Commission's activities under Articles 118 and 119 (2) of Regulation (EU, Euratom) 2018/1046, including by revealing its audit tools and methods or would adversely affect the rights and freedoms of other data subjects.
3.   Subject to Articles 3 to 7, the Commission may restrict the rights and obligations referred to in paragraph 2 of this Article in relation to personal data obtained from other Union institutions, bodies, agencies and offices, competent authorities of Member States or third countries or from international organisations in the following circumstances:
(a)
where the exercise of those rights and obligations could be restricted by other Union institutions, bodies, agencies and offices on the basis of other acts provided for in Article 25 of Regulation (EU) 2018/1725 or in accordance with Chapter IX of that Regulation or in accordance with Regulation (EU) 2016/794 of the European Parliament and of the Council 
(
7
)
 or Council Regulation (EU) 2017/1939 
(
8
)
;
(b)
where the exercise of those rights and obligations could be restricted by competent authorities of Member States on the basis of acts referred to in Article 23 of Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
9
)
, or under national measures transposing Articles 13(3), 15(3) or 16(3) of Directive (EU) 2016/680 of the European Parliament and of the Council 
(
10
)
;
(c)
where the exercise of those rights and obligations could jeopardise the Commission's cooperation with third countries or international organisations in the conduct of internal audit activities.
Before applying restrictions in the circumstances referred to in points (a) and (b) of the first subparagraph, the Commission shall consult the relevant Union institutions, bodies, agencies, offices or competent authorities of the Member States unless it is clear to the Commission that the application of a restriction is provided for by one of the acts referred to in those points or such consultation would jeopardise the purpose of its activities under Articles 118 and 119(2) of Regulation (EU, Euratom) 2018/1046.
Point (c) of the first subparagraph shall not apply where the interest of the Commission to cooperate with third countries or international organisations is overridden by the interests or fundamental rights and freedoms of the data subjects.
4.   Paragraphs 1, 2 and 3 are without prejudice to the application of other Commission decisions laying down internal rules concerning the provision of information to data subjects and the restriction of certain rights under Article 25 of Regulation (EU) 2018/1725 and to Article 23 of the Rules of Procedure of the Commission.
Article 3
Provision of information to data subjects
The Commission shall publish on its website data protection notices that inform all data subjects of its activities involving processing of their personal data for the purposes of its activities under Articles 118 and 119(2) of Regulation (EU, Euratom) 2018/1046. Where relevant, the Commission shall ensure that the data subjects are informed individually in an appropriate format.
Where the Commission restricts, wholly or partly, the provision of information to data subjects, whose data are processed for the purposes of its activities under Articles 118 and 119(2) of Regulation (EU, Euratom) 2018/1046 it shall record and register the reasons for the restriction in accordance with Article 6.
Article 4
Right of access by data subjects, right of erasure and right to restriction of processing
1.   Where the Commission restricts, wholly or partly, the right of access to personal data by data subjects, the right of erasure, or the right to restriction of processing as referred to in Articles 17, 19 and 20 respectively of Regulation (EU) 2018/1725 it shall inform the data subject concerned, in its reply to the request for access, erasure or restriction of processing, of the restriction applied and of the principal reasons therefore, and of the possibility of lodging a complaint with the European Data Protection Supervisor or of seeking a judicial remedy in the Court of Justice of the European Union.
2.   The provision of information concerning the reasons for the restriction referred to in paragraph 1 of this article may be deferred, omitted or denied for as long as it would undermine the purpose of the restriction.
3.   The Commission shall record the reasons for the restriction in accordance with Article 6 of this Decision.
4.   Where the right of access is wholly or partly restricted, the data subject shall exercise his or her right of access through the intermediary of the European Data Protection Supervisor, in accordance with Article 25 (6), (7) and (8) of Regulation (EU) 2018/1725.
Article 5
Communication of personal data breaches to data subjects
Where the Commission restricts the communication of a personal data breach to the data subject, as referred to in Article 35 of Regulation (EU) 2018/1725, it shall record and register the reasons for the restriction in accordance with Article 6 of this Decision.
Article 6
Recording and registering of restrictions
The Commission shall record the reasons for any restriction applied pursuant to this Decision, including an assessment of the necessity and proportionality of the restriction, taking into account the relevant elements in Article 25(2) of Regulation (EU) 2018/1725.
To that end, the record shall state how the exercise of the right would jeopardise the purpose of the Commissions' activities under Articles 118 and 119(2) of Regulation (EU, Euratom) 2018/1046, or of restrictions applied pursuant to Article 2(2) or (3), or would adversely affect the rights and freedoms of other data subjects.
The record and, where applicable, the documents containing the underlying factual and legal elements shall be registered. They shall be made available to the European Data Protection Supervisor on request.
Article 7
Duration of restrictions
1.   Restrictions referred to in Articles 3, 4 and 5 of this Decision shall continue to apply as long as the reasons justifying them remain applicable.
2.   Where the reasons for a restriction referred to in Articles 3 or 5 of this Decision no longer apply, the Commission shall lift the restrictions and provide the principal reasons for the restriction to the data subject. At the same time, the Commission shall inform the data subject of the possibility of lodging a complaint with the European Data Protection Supervisor at any time or of seeking a judicial remedy in the Court of Justice of the European Union.
3.   The Commission shall review the application of the restriction referred to in Articles 3 and 5 of this Decision every six months from its adoption and before and after the closure of the relevant internal audit activity. Thereafter, the Commission shall monitor the need to maintain any restriction/deferral on an annual basis.
Article 8
Review by the Data Protection Officer of the European Commission
The Data Protection Officer of the European Commission shall be informed, without undue delay, whenever data subjects' rights are restricted in accordance with this Decision. Upon request, the Data Protection Officer shall be provided with access to the record and any documents containing underlying factual and legal elements.
The Data Protection Officer may request a review of the restrictions. The Data Protection Officer shall be informed in writing of the outcome of the requested review.
Article 9
Entry into force
This Decision shall enter into force on the day of its publication in the 
Official Journal of the European Union
.
It shall apply from 11 December 2018.
Done at Brussels, 11 December 2018.
For the Commission
The President
Jean-Claude JUNCKER
(
1
)
  Regulation (EU, Euratom) 2018/1046 of the European Parliament and of the Council of 18 July 2018 on the financial rules applicable to the general budget of the Union, amending Regulations (EU) No 1296/2013, (EU) No 1301/2013, (EU) No 1303/2013, (EU) No 1304/2013, (EU) No 1309/2013, (EU) No 1316/2013, (EU) No 223/2014, (EU) No 283/2014, and Decision No 541/2014/EU and repealing Regulation (EU, Euratom) No 966/2012 (
OJ L 193, 30.7.2018, p. 1
).
(
2
)
  C(2017) 4435 final.
(
3
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
4
)
  Established in October 2000, SEC(2000)1808/3.
(
5
)
  Retention of files in the Commission is regulated by the Common retention list, a regulatory document (the last version is SEC(2012)713) in the form of a retention schedule that establishes the retention periods for the different types of Commission files.
(
6
)
  Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regards to the processing of personal data by the Community institutions and bodies and on the free movement of such data (
OJ L 8, 12.1.2001, p. 1
).
(
7
)
  Regulation (EU) 2016/794 of the European Parliament and of the Council of 11 May 2016 on the European Union Agency for Law Enforcement Cooperation (Europol) and replacing and repealing Council Decisions 2009/371/JHA, 2009/934/JHA, 2009/935/JHA, 2009/936/JHA and 2009/968/JHA (
OJ L 135, 24.5.2016, p. 53
).
(
8
)
  Council Regulation (EU) 2017/1939 of 12 October 2017 implementing enhanced cooperation on the establishment of the European Public Prosecutor's Office (‘the EPPO’, 
OJ L 283, 31.10.2017, p. 1
).
(
9
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
10
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).

Summary:
Restrictions of data subjects’ rights — Commission’s internal rules
SUMMARY OF:
Commission Decision (EU) 2018/1927 — internal rules concerning the processing of personal data by the Commission in the field of competition in relation to the provision of information to data subjects and the restriction of certain rights
Commission Decision (EU) 2018/1961 — internal rules concerning the provision of information to data subjects and the restriction of certain of their rights in the context of the processing of personal data for the purpose of internal audit activities
Commission Decision (EU) 2018/1962 — internal rules concerning the processing of personal data by the European Anti-Fraud Office (OLAF) in relation to the provision of information to data subjects and the restriction of certain of their rights
Commission Decision (EU) 2018/1996 — internal rules concerning the provision of information to data subjects and the restriction of certain of their rights in the context of the processing of personal data for the purpose of trade defence and trade policy investigations
Commission Decision (EU) 2019/154 — internal rules concerning the restriction of the right of access of data subjects to their medical files
Commission Decision (EU) 2019/165 — internal rules concerning the provision of information to data subjects and the restriction of certain of their data protection rights by the Commission in the context of administrative inquiries, pre-disciplinary, disciplinary and suspension proceedings
Commission Decision (EU) 2019/236 — internal rules concerning the provision of information to data subjects and the restriction of certain of their rights in the context of the processing of personal data by the Commission for the purposes of internal security of the EU institutions
WHAT IS THE AIM OF THESE DECISIONS?
They set out internal rules, based on which the 
European Commission
 may restrict the rights of individuals, which they exercise under Regulation (EU) 
2018/1725
. The internal rules apply to the processing of personal data within specific fields and for specific purposes.
KEY POINTS
Personal data
 are any information relating to an identified or identifiable natural person (‘
data subject
’). A natural person is identifiable, if he/she can be identified, directly or indirectly, in particular by reference to an identifier (such as a name, an identification number, location data, or an online identifier) or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person.
The new EU legal framework on the protection and free flow of personal data consists of, in particular:
the General Data Protection Regulation (GDPR)
, which sets outs the rights of individuals as regards their personal data, protects them with regard to the processing of their personal data within the EU countries, and ensures the free flow of such data;
Regulation (EU) 2018/1725, which sets out the rights of individuals as regards their 
personal data
, protects them with regard to the processing of their personal data by the EU institutions, bodies, offices and agencies, and ensures the free flow of such data.
These regulations are considered as equivalent and have to be interpreted as being the same.
Article 25 of Regulation (EU) 2018/1725 provides for the possibility that, in certain cases, the EU institutions and bodies can restrict the rights of individuals, on the condition that such restrictions are laid down in EU law. In line with that, the Commission has adopted 7 Commission decisions, which provide the grounds for possible restrictions in order to safeguard important objectives of general EU public interest.
Based on those decisions and following a case-by-case assessment of the necessity and proportionality of restrictions, the European Commission decides whether the rights of an individual should be restricted in an individual case.
The following rights of individuals may be restricted:
their right to information about;
processing of their personal data; and
breaches of their personal data that might result in a high risk to their rights and freedoms;
their right to access their personal data, have their personal data erased, or to restrict the processing of their personal data.
The 7 Commission decisions all follow a similar format, each including some or all of these elements:
Subject matter and scope
Requirement of a case-by case assessment of each request of a data subject.
Applicable exceptions and/or restrictions
Before applying a restriction, the Commission must first consider whether any of the exceptions to the rights of data subjects, as set out in Regulation (EU) 2018/1725, apply.
Provision of information to data subjects
The Commission must publish on its website data protection notices that inform all data subjects of its data processing activities in the relevant area.
The Commission must individually inform, in an appropriate format, any person individually affected by an inquiry or by a measure carried out in one of the relevant fields.
Rights of data subjects to access their personal data, have them erased or have their processing restricted
If the Commission restricts access to personal data, the right of erasure and/or right to restriction of processing, it must inform the data subject concerned of the restriction applied, of the main reasons for applying it and of the possibility of lodging a complaint with the 
European Data Protection Supervisor
 or of seeking a judicial remedy in the 
Court of Justice of the European Union
.
Recording and registering of restrictions
The Commission must record the reasons for any restriction applied, including an assessment of necessity and proportionality.
Duration of restrictions
Restrictions continue to apply as long as the reasons justifying them remain.
Review by the Data Protection Officer (DPO) of the European Commission
The DPO must be informed, without undue delay, whenever data subjects’ rights are restricted.
Upon request, the DPO must be provided with access to the record and any documents containing underlying factual and legal elements.
The DPO can request a review of the restriction and must be informed in writing of the outcome of the requested review.
The 7 Commission decisions cover the restriction of data subjects in the following fields:
Internal security of the EU institutions
Applies to the processing of personal data to ensure the security of persons, assets and information in the Commission.
The Commission must individually inform witnesses and the persons concerned by a security inquiry of the processing of their personal data.
Furthermore, the Commission must individually inform data subjects whose data are processed in the case of background checks according to Article 7(5) of Commission Decision (EU, Euratom) 
2015/443
.
It must also individually inform persons whose data are processed in the context of searches of Commission premises and communication and information systems and equipment.
Administrative inquiries, pre-disciplinary, disciplinary and suspension proceedings
The rights and obligations under Regulation (EU) 2018/1725 can be restricted if they would jeopardise the purpose of administrative inquiries, pre-disciplinary, disciplinary and suspension proceedings or would affect the rights and freedoms of other data subjects.
Personal medical data
The Commission can restrict, on a case-by-case basis, data subjects’ right to access directly personal medical data of a psychological or psychiatric nature concerning them, where access to such data is likely to represent a risk to the data subject’s health.
This restriction must be proportionate to what is strictly necessary to protect the data subject.
Trade defence and trade policy investigations
The rights and obligations under Regulation (EU) 2018/1725 can be restricted if they would jeopardise the purpose of the Commission’s 
trade policy
 and trade defence activities, or would adversely affect the rights and freedoms of other data subjects.
European Anti-Fraud Office (OLAF)
Applies to the processing of personal data by 
OLAF
 (as well as to the processing of personal data by Commission services and executive agencies which must be transmitted to OLAF) in order to fulfil its tasks;
Investigations by OLAF are completely independent of the Commission;
OLAF decides whether any exceptions to the rights of data subjects should be applied.
Data protection notices informing data subjects of the activities involving the processing of their personal data are published on OLAF’s website.
OLAF’s DPO reviews any restriction of the rights of data subjects.
Internal audit activities
The rights and obligations under Regulation (EU) 2018/1725 can be restricted as part of the processing operations carried out by the Commission in the performance of its internal audit activities, whenever the exercise of data subjects’ rights may jeopardise the conduct of internal audit activities, including by revealing its audit tools and methods or would adversely affect the rights and freedoms of other data subjects.
In addition, it may be necessary for the Commission to restrict the application of data subjects’ rights in order to protect processing operations of Commission services or other Union institutions, bodies, offices and agencies or of Member States’ authorities and international organisations, as well as of the Audit Progress Committee.
The Commission informs individuals of its internal audit activities involving processing of their personal data and of their rights by means of a data protection notice published on the Commission’s website. Where relevant, the Commission ensures that the data subjects are informed individually in an appropriate format.
Competition
The rights and obligations under Regulation (EU) 2018/1725 can be restricted if they would jeopardise the purpose of the Commission’s investigative and enforcement activities, including by revealing its investigative tools and methods, or would adversely affect the rights and freedoms of other data subjects.
FROM WHEN DO THE DECISIONS APPLY?
Decisions (EU) 2018/1927, (EU) 2018/1961, (EU) 2018/1962, (EU) 2018/1996 and (EU) 2019/154 have applied since 
11 December 2018
.
Decisions (EU) 2019/165 has applied since 
7 February 2019
.
Decision (EU) 2019/236 has applied since 
11 February 2019
.
BACKGROUND
For more information, see:
2018 reform of data protection rules
 (
European Commission
).
MAIN DOCUMENTS
Commission Decision (EU) 
2018/1927
 of 
5 December 2018
 laying down internal rules concerning the processing of personal data by the European Commission in the field of competition in relation to the provision of information to data subjects and the restriction of certain rights (OJ L 313, 
10.12.2018
, 
pp. 39-44
)
Commission Decision (EU) 
2018/1961
 of 
11 December 2018
 laying down internal rules concerning the provision of information to data subjects and the restriction of certain of their rights in the context of the processing of personal data for the purpose of internal audit activities (OJ L 315, 
12.12.2018
, 
pp. 35-40
)
Commission Decision (EU) 
2018/1962
 of 
11 December 2018
 laying down internal rules concerning the processing of personal data by the European Anti-Fraud Office (OLAF) in relation to the provision of information to data subjects and the restriction of certain of their rights in accordance with Article 25 of Regulation (EU) 2018/1725 of the European Parliament and of the Council (OJ L 315, 
12.12.2018
, 
pp. 41-46
)
Commission Decision (EU) 
2018/1996
 of 
14 December 2018
 laying down internal rules concerning the provision of information to data subjects and the restriction of certain of their rights in the context of the processing of personal data for the purpose of trade defence and trade policy investigations (OJ L 320, 
17.12.2018
, 
pp. 40-44
)
Commission Decision (EU) 
2019/154
 of 
30 January 2019
 laying down internal rules concerning the restriction of the right of access of data subjects to their medical files (OJ L 27, 
31.1.2019
, 
pp. 33-35
)
Commission Decision (EU) 
2019/165
 of 
1 February 2019
 laying down internal rules concerning the provision of information to data subjects and the restriction of certain of their data protection rights by the Commission in the context of administrative inquiries, pre-disciplinary, disciplinary and suspension proceedings (OJ L 32, 
4.2.2019
, 
pp. 9-13
)
Commission Decision (EU) 
2019/236
 of 
7 February 2019
 laying down internal rules concerning the provision of information to data subjects and the restriction of certain of their rights in the context of the processing of personal data by the European Commission for the purposes of internal security of the Union institutions (OJ L 37, 
8.2.2019
, 
pp. 144-149
)
RELATED DOCUMENTS
Applicable for the European Commission:
Regulation (EU) 
2018/1725
 of the European Parliament and of the Council of 
23 October 2018
 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) 
No 45/2001
 and Decision 
No 1247/2002/EC
 (OJ L 295, 
21.11.2018
, 
pp. 39-98
)
Commission Decision (EU, Euratom) 
2017/46
 of 
10 January 2017
 on the security of communication and information systems in the European Commission (OJ L 6, 
11.1.2017
, 
pp. 40-51
)
Successive amendments to Decision (EU, Euratom) 2017/46 have been incorporated in the basic text. This 
consolidated version
 is of documentary value only.
Commission Decision (EU, Euratom) 
2015/443 
 of 
13 March 2015
 on Security in the Commission (OJ L 72, 
17.3.2015
, 
pp. 41-52
)
Applicable in the EU countries:
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 
4.5.2016
, 
pp. 1-88
)
See 
consolidated version
.
Directive (EU) 
2016/680
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (OJ L 119, 
4.5.2016
, 
pp. 89-131
)
See 
consolidated version
.
last update 
3.4.2019

--- DANISH ---

Document:
12.12.2018
DA
Den Europæiske Unions Tidende
L 315/35
KOMMISSIONENS AFGØRELSE (EU) 2018/1961
af 11. december 2018
om interne regler vedrørende udlevering af oplysninger til registrerede og begrænsning af visse af deres rettigheder i forbindelse med behandling af personoplysninger med henblik på intern revision
KOMMISSIONEN HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 249, stk. 1, og
ud fra følgende betragtninger:
(1)
I henhold til Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 
(
1
)
 skal hver EU-institution oprette en intern revisionsfunktion, der skal udøves under overholdelse af de relevante internationale standarder. Den interne revision i Kommissionen udføres af Den Interne Revisionstjeneste (»revisionstjenesten«), der blev oprettet den 11. april 2000. Intern revision udføres også af revisionstjenesten i decentrale EU-agenturer og andre selvstændige organer, der modtager bidrag fra EU-budgettet.
(2)
Revisionstjenesten foretager intern revision i henhold til artikel 117-123 i forordning (EU, Euratom) 2018/1046 og sin opgavebeskrivelse 
(
2
)
. I denne henseende foretager revisionstjenesten sin interne revision i fuldstændig uafhængighed og med fuld og ubegrænset adgang til alle oplysninger, der er nødvendige i forbindelse hermed, for så vidt angår alle den pågældende EU-institutions aktiviteter og tjenestegrene.
(3)
Revisionstjenesten rådgiver andre af Kommissionens tjenestegrene og dens forvaltningsorganer samt Unionens decentrale agenturer og andre selvstændige organer, der modtager bidrag fra EU-budgettet, med hensyn til håndtering af risici, dvs. enhver hændelse eller ethvert problem, der kan opstå og indvirke negativt på opnåelsen af Kommissionens politiske, strategiske og operationelle mål, ved at afgive uafhængige udtalelser om forvaltnings- og kontrolsystemernes kvalitet og ved at fremsætte henstillinger til, hvordan betingelserne for transaktionernes gennemførelse kan forbedres, og til, hvordan en forsvarlig økonomisk forvaltning kan fremmes, jf. artikel 117-123 i forordning (EU, Euratom) 2018/1046. Derfor er revisionstjenestens interne revision typisk ikke rettet mod fysiske personer som sådan. Ikke desto mindre er det uundgåeligt, at personoplysninger som defineret i artikel 3, nr. 1), i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 
(
3
)
 behandles i forbindelse med dens aktiviteter. Den interne revision, der udføres af revisionstjenesten, indebærer at vurdere, om de interne forvaltningssystemer er hensigtsmæssige og effektive, og i hvilket omfang tjenestegrenene har formået at gennemføre politikker, programmer og foranstaltninger, samt at vurdere produktiviteten og effektiviteten af de interne kontrol- og revisionssystemer, der anvendes på hver budgetgennemførelsestransaktion. De bidrager derfor til beskyttelsen af Unionens og medlemsstaternes vigtige økonomiske og finansielle interesser. Revisionstjenesten er dataansvarlig for den behandling, som den udfører, jf. finansforordningens artikel 118 og artikel 119, stk. 2.
(4)
Den interne revision, der udføres i Kommissionen og dens forvaltningsorganer samt i de decentrale EU-agenturer og andre selvstændige organer, varierer med hensyn til form og indhold lige fra erklæringsopgaver med sikkerhed (herunder risikovurderinger) og rådgivningsopgaver til evalueringer af et begrænset omfang og opfølgningsopgaver.
(5)
Revisionsopfølgningsudvalget er i overensstemmelse med sin opgavebeskrivelse, der er ajourført den 21. november 2018 (C(2018) 7707), et rådgivende organ 
(
4
)
, som bistår Kommissionen med at opfylde sine forpligtelser i henhold til traktaterne og andre retlige instrumenter (forordning (EU, Euratom) 2018/1046) ved at sikre revisionstjenestens uafhængighed, ved at overvåge kvaliteten af det interne revisionsarbejde og ved at sikre, at Kommissionens tjenestegrene tager passende hensyn til interne og eksterne revisionshenstillinger, og at der følges op på disse på passende vis. Revisionsopfølgningsudvalget bidrager på denne måde til samlet set at forbedre Kommissionens effektivitet og produktivitet yderligere med hensyn til at nå dens mål og fremmer kommissærkollegiets tilsyn med Kommissionens forvaltning, risikostyring og interne kontrolpraksis. Revisionsopfølgningsudvalget er dataansvarlig for den behandling, som den udfører, jf. finansforordningens artikel 123.
(6)
Kommissionen behandler personoplysninger, der erhverves eller modtages fra juridiske personer, fysiske personer, medlemsstater og internationale organer og organisationer, med henblik på dens aktiviteter i henhold til artikel 118 og artikel 119, stk. 2, i forordning (EU, Euratom) 2018/1046, uanset om den handler på eget initiativ eller på grundlag af modtagne bidrag. I forbindelse med sådan intern revision kan revisionstjenesten også behandle personoplysninger, der er erhvervet eller modtaget fra offentligt tilgængelige kilder, fra anonyme kilder eller fra identificerede kilder, der kræver, at deres identitet beskyttes.
(7)
Kommissionen kan udveksle personoplysninger med Unionens institutioner, organer, agenturer og kontorer, med kompetente myndigheder i medlemsstaterne og, inden for rammerne af Kommissionens relevante internationale aftaler eller samarbejdsaftaler, med tredjelande og internationale organisationer.
(8)
Behandling af personoplysninger, jf. artikel 3, stk. 3, i forordning (EU) 2018/1725, der udføres i løbet af en intern revision, kan finde sted, selv inden Kommissionen formelt indleder denne, samt fortsætte under revisionen og selv efter den formelle afslutning af revisionen (f.eks. af hensyn til overvågning af, at henstillingerne gennemføres, og vurdering af behovet for at iværksætte ny intern revision).
(9)
De kategorier af personoplysninger, der behandles af Kommissionen, omfatter identifikationsoplysninger, kontaktoplysninger, erhvervsmæssige oplysninger og oplysninger relateret til eller sat i forbindelse med genstanden for aktiviteten. Disse kategorier af personoplysninger lagres i et sikret elektronisk miljø for at forhindre ulovlig adgang til eller videregivelse af oplysninger til personer, der ikke behøver at kende dem (»need to know«). Personoplysningerne opbevares i højst ti år. Ved udløbet af opbevaringsperioden overføres oplysninger vedrørende intern revision, herunder personoplysninger, til Kommissionens historiske arkiver 
(
5
)
 eller destrueres.
(10)
Under udførelsen af intern revision er Kommissionen forpligtet til at overholde fysiske personers grundlæggende rettigheder med hensyn til behandling af personoplysninger, som anerkendes i artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 16, stk. 1, i traktaten, samt de rettigheder, der er fastsat i forordning (EU) 2018/1725. Samtidig er Kommissionen forpligtet til at overholde de strenge fortrolighedsregler, der er omhandlet i de internationale standarder for intern revision, jf. artikel 117 i forordning (EU, Euratom) 2018/1046.
(11)
I visse tilfælde er det nødvendigt at forene de registreredes rettigheder i henhold til forordning (EU) 2018/1725 med behovene i forbindelse med intern revision og den fortrolige udveksling af oplysninger med fysiske og juridiske personer samt at sikre, at andre registreredes grundlæggende rettigheder og frihedsrettigheder overholdes fuldt ud. Med henblik herpå fastsættes det i artikel 25, stk. 1, litra c), g) og h), i forordning (EU) 2018/1725, at revisionstjenesten har mulighed for at begrænse anvendelsen af artikel 14-17, 19, 20 og 35 samt gennemsigtighedsprincippet i artikel 4, stk. 1, litra a), for så vidt bestemmelserne heri svarer til de rettigheder og forpligtelser, der er fastsat i forordningens artikel 14-17, 19, 20 og 35.
(12)
For at sikre effektiviteten af intern revision og samtidig overholde standarderne for beskyttelse af personoplysninger i henhold til forordning (EU) 2018/1725, der erstattede Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 
(
6
)
, er det nødvendigt at vedtage interne regler, i henhold til hvilke Kommissionen kan begrænse de registreredes rettigheder, jf. artikel 25, stk. 1, litra c), g) og h), i forordning (EU) 2018/1725.
(13)
De interne regler bør dække enhver behandling, der udføres af Kommissionen under udøvelsen af sin interne revision, uanset om den handler på eget initiativ eller på grundlag af modtagne bidrag, når udøvelsen af registreredes rettigheder kan bringe gennemførelsen af intern revision i fare. Disse regler bør gælde for behandling, der udføres forud for den formelle indledning af en opgave, i løbet af opgaven samt i forbindelse med overvågning af opfølgningen på resultaterne heraf.
(14)
For at efterkomme artikel 14, 15 og 16 i forordning (EU) 2018/1725 bør Kommissionen underrette alle enkeltpersoner om de af dens aktiviteter, der indebærer behandling af deres personoplysninger og af deres rettigheder på en gennemsigtig og sammenhængende måde via en databeskyttelsesmeddelelse, der offentliggøres på Kommissionens websted. Hvor det er relevant, bør Kommissionen indføre yderligere sikkerhedsforanstaltninger for at sikre, at de registrerede underrettes individuelt i et passende format.
(15)
På grundlag af artikel 25 i forordning (EU) 2018/1725 kan Kommissionen også begrænse udleveringen af oplysninger til de registrerede og udøvelsen af andre af de registreredes rettigheder for at beskytte sin egen interne revision, revisioner af medlemsstaternes offentlige myndigheder, revisionsværktøjerne og -metoderne samt andre personers rettigheder i forbindelse med sin interne revision.
(16)
Desuden kan Kommissionen for at bevare et effektivt samarbejde være nødsaget til at begrænse anvendelsen af de registreredes rettigheder for at beskytte behandlingen i Kommissionens tjenestegrene eller andre af Unionens institutioner, organer, kontorer og agenturer eller i medlemsstaternes myndigheder og internationale organisationer samt i Revisionsopfølgningsudvalget. Med henblik herpå bør Kommissionen rådføre sig med de pågældende tjenestegrene, institutioner, organer, kontorer, agenturer, myndigheder og organisationer samt Revisionsopfølgningsudvalget om det relevante grundlag for indførelse af begrænsninger samt disses nødvendighed og proportionalitet.
(17)
Det kan også være nødvendigt for Kommissionen at begrænse udleveringen af oplysninger til de registrerede og anvendelsen af andre af de registreredes rettigheder i forbindelse med personoplysninger, der modtages fra tredjelande eller internationale organisationer, med henblik på at samarbejde med disse lande eller organisationer og dermed beskytte et vigtigt mål i Unionens almene interesse. I visse tilfælde kan den registreredes interesser eller grundlæggende rettigheder imidlertid tilsidesætte vigtigheden af internationalt samarbejde.
(18)
Kommissionen bør behandle alle begrænsninger på en gennemsigtig måde og registrere hver anvendelse af begrænsninger i det tilsvarende registreringssystem.
(19)
I henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725 kan den dataansvarlige udsætte, udelade eller afvise at udlevere oplysninger om årsagerne til anvendelsen af en begrænsning til den registrerede, hvis udleveringen af disse oplysninger på nogen måde ville være til skade for formålet med begrænsningen. Dette er navnlig tilfældet med hensyn til begrænsninger af de rettigheder, der er fastsat i artikel 16 og 35 i forordning (EU) 2018/1725.
(20)
Hvis andre af de registreredes rettigheder begrænses, bør revisionstjenestens dataansvarlige i hvert enkelt tilfælde vurdere, om det vil være til skade for formålet med begrænsningen at meddele den.
(21)
Europa-Kommissionens databeskyttelsesansvarlige bør foretage en uafhængig evaluering af anvendelsen af begrænsninger med henblik på at sikre overholdelsen af denne afgørelse.
(22)
Forordning (EU) 2018/1725 erstatter forordning (EF) nr. 45/2001 uden nogen overgangsperiode fra den dato, hvor den træder i kraft. Muligheden for at anvende begrænsninger af visse rettigheder blev fastsat i forordning (EF) nr. 45/2001. For at undgå at bringe lovligheden af intern revision i fare bør denne afgørelse anvendes fra datoen for ikrafttrædelsen af forordning (EU) 2018/1725.
(23)
Den Europæiske Tilsynsførende for Databeskyttelse afgav udtalelse den 27. november 2018 —
VEDTAGET DENNE AFGØRELSE:
Artikel 1
Genstand og anvendelsesområde
1.   I denne afgørelse fastsættes de regler, som gælder for Kommissionens underretning af registrerede om behandlingen af deres oplysninger i henhold til artikel 14, 15 og 16 i forordning (EU) 2018/1725 i forbindelse med gennemførelsen af sin interne revision i henhold til artikel 117-123 i forordning (EU, Euratom) 2018/1046.
I afgørelsen fastsættes også betingelserne for, hvornår Kommissionen kan begrænse anvendelsen af artikel 4, 14-17, 19, 20 og 35 i forordning (EU) 2018/1725 i henhold til forordningens artikel 25, stk. 1, litra c), g) og h).
2.   Denne afgørelse finder anvendelse på Kommissionens behandling af personoplysninger med henblik på eller i forbindelse med de aktiviteter, som den udfører for at varetage sine opgaver i henhold til artikel 118 og artikel 119, stk. 2, i forordning (EU, Euratom) 2018/1046.
3.   Denne afgørelse finder anvendelse på behandling af personoplysninger i Kommissionen, i det omfang Kommissionen behandler personoplysninger, der er indeholdt i oplysninger, som den er nødt til at behandle med henblik på eller i forbindelse med de aktiviteter, der er nævnt i denne artikel.
Artikel 2
Gældende undtagelser og begrænsninger
1.   Når Kommissionen udøver sine pligter med hensyn til de registreredes rettigheder i henhold til forordning (EU) 2018/1725, skal den overveje, om en eller flere af undtagelserne i denne forordning finder anvendelse.
2.   I henhold til nærværende afgørelses artikel 3-7 kan Kommissionen begrænse anvendelsen af artikel 14-17, 19, 20 og 35 i forordning (EU) 2018/1725 samt gennemsigtighedsprincippet i nævnte forordnings artikel 4, stk. 1, litra a), for så vidt som bestemmelserne deri svarer til de rettigheder og forpligtelser, der er fastsat i nævnte forordnings artikel 14-17, 19, 20 og 35, hvis udøvelsen af disse rettigheder og forpligtelser ville bringe formålet med Kommissionens aktiviteter i henhold til artikel 118 og artikel 119, stk. 2, i forordning (EU, Euratom) 2018/1046 i fare, herunder ved at afsløre dens revisionsværktøjer og -metoder, eller påvirke andre registreredes rettigheder og frihedsrettigheder negativt.
3.   I henhold til artikel 3-7 kan Kommissionen begrænse de rettigheder og forpligtelser, der er omhandlet i stk. 2, med hensyn til personoplysninger modtaget fra andre af Unionens institutioner, organer, agenturer og kontorer, fra kompetente myndigheder i medlemsstater eller tredjelande eller fra internationale organisationer i følgende tilfælde:
a)
hvis udøvelsen af disse rettigheder og forpligtelser kan begrænses af andre af Unionens institutioner, organer, agenturer og kontorer på grundlag af andre retsakter, jf. artikel 25 i forordning (EU) 2018/1725, eller i overensstemmelse med nævnte forordnings kapitel IX, Europa-Parlamentets og Rådets forordning (EU) 2016/794 
(
7
)
 eller Rådets forordning (EU) 2017/1939 
(
8
)
b)
hvis udøvelsen af disse rettigheder og forpligtelser kan begrænses af medlemsstaternes kompetente myndigheder på grundlag af de retsakter, der er omhandlet i artikel 23 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
9
)
, eller i henhold til nationale foranstaltninger til gennemførelse af artikel 13, stk. 3, artikel 15, stk. 3, eller artikel 16, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
10
)
c)
hvis udøvelsen af disse rettigheder og forpligtelser kan være til skade for Kommissionens samarbejde med tredjelande eller internationale organisationer om gennemførelsen af intern revision.
Inden der anvendes begrænsninger i de tilfælde, der er nævnt i litra a) og b) i første afsnit, skal Kommissionen høre de relevante EU-institutioner, -organer, -kontorer eller -agenturer eller kompetente myndigheder i medlemsstaterne, medmindre det er klart for Kommissionen, at anvendelsen af en begrænsning er fastsat ved en af de retsakter, der er nævnt i disse litraer, eller en sådan høring ville bringe formålet med dens aktiviteter i henhold til artikel 118 og artikel 119, stk. 2, i forordning (EU, Euratom) 2018/1046 i fare.
Litra c) i første afsnit finder ikke anvendelse, hvis de registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder går forud for Kommissionens interesse i at samarbejde med tredjelande eller internationale organisationer.
4.   Stk. 1, 2 og 3 er ikke til hinder for anvendelse af andre kommissionsafgørelser om interne regler om underretning af registrerede og begrænsning af visse rettigheder i henhold til artikel 25 i forordning (EU) 2018/1725 og artikel 23 i Kommissionens forretningsorden.
Artikel 3
Udlevering af oplysninger til registrerede
Kommissionen offentliggør databeskyttelsesmeddelelser på sit websted, hvorved alle registrerede underrettes om de af dens aktiviteter, der indebærer behandling af deres personoplysninger med henblik på dens aktiviteter i henhold til artikel 118 og artikel 119, stk. 2, i forordning (EU, Euratom) 2018/1046. Hvor det er relevant, sikrer Kommissionen, at de registrerede underrettes individuelt i et passende format.
Hvis Kommissionen helt eller delvist begrænser underretningen af de registrerede, hvis personoplysninger behandles med henblik på dens aktiviteter i henhold til artikel 118 og artikel 119, stk. 2, i forordning (EU, Euratom) 2018/1046, indfører og registrerer den årsagerne til begrænsningen i henhold til artikel 6.
Artikel 4
De registreredes indsigtsret, ret til sletning og til begrænsning af behandling
1.   Når Kommissionen helt eller delvist begrænser registreredes ret til indsigt i personoplysninger, ret til sletning eller ret til begrænsning af behandling som omhandlet i henholdsvis artikel 17, 19 og 20 i forordning (EU) 2018/1725, underretter Kommissionen i sin besvarelse af anmodningen om indsigt, sletning eller begrænsning af behandling den pågældende registrerede om den anvendte begrænsning og om hovedårsagerne dertil samt om muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller søge domstolsprøvelse ved EU-Domstolen.
2.   Udleveringen af oplysninger vedrørende årsagerne til den begrænsning, der er omhandlet i stk. 1, kan udsættes, udelades eller afvises, så længe det vil være til skade for formålet med begrænsningen at udlevere dem.
3.   Kommissionen indfører årsagerne til begrænsningen i henhold til denne afgørelses artikel 6.
4.   Såfremt retten til indsigt helt eller delvist er begrænset, udøver den registrerede sin indsigtsret gennem Den Europæiske Tilsynsførende for Databeskyttelse i henhold til artikel 25, stk. 6, 7 og 8, i forordning (EU) 2018/1725.
Artikel 5
Underretning om brud på persondatasikkerheden til registrerede
Hvis Kommissionen begrænser underretningen om brud på persondatasikkerheden til den registrerede, jf. artikel 35 i forordning (EU) 2018/1725, indfører og registrerer den årsagerne til begrænsningen i henhold til denne afgørelses artikel 6.
Artikel 6
Indføring og registrering af begrænsninger
Kommissionen indfører årsagerne til begrænsninger, der anvendes i henhold til denne afgørelse, herunder en vurdering af begrænsningens nødvendighed og proportionalitet, under hensyntagen til de relevante elementer i artikel 25, stk. 2, i forordning (EU) 2018/1725.
Med dette for øje skal det af fortegnelsen fremgå, hvordan udøvelsen af denne ret ville bringe formålet med Kommissionens aktiviteter i henhold til artikel 118 og artikel 119, stk. 2, i forordning (EU, Euratom) 2018/1046 eller de anvendte begrænsninger i henhold til artikel 2, stk. 2 eller 3, i fare eller ville påvirke andre registreredes rettigheder og frihedsrettigheder negativt.
Fortegnelsen og, hvor det er relevant, de dokumenter, der indeholder de underliggende faktiske og retlige elementer, registreres. De stilles efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.
Artikel 7
Begrænsningers varighed
1.   De begrænsninger, der er omhandlet i dennes afgørelses artikel 3, 4 og 5, finder fortsat anvendelse, så længe årsagerne hertil fortsat gælder.
2.   Hvis årsagerne til en begrænsning, der er omhandlet i denne afgørelses artikel 3 eller 5, ikke længere gælder, ophæver Kommissionen begrænsningen og underretter den registrerede om hovedårsagerne til begrænsningen. Samtidig oplyser Kommissionen den registrerede om muligheden for når som helst at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller at indbringe sagen for Den Europæiske Unions Domstol.
3.   Kommissionen evaluerer anvendelsen af den begrænsning, der er omhandlet i denne afgørelses artikel 3 og 5, hver sjette måned fra dens vedtagelse samt før og efter afslutningen af den relevante interne revision. Derefter overvåger Kommissionen på årsbasis behovet for at opretholde enhver begrænsning/udsættelse.
Artikel 8
Evaluering foretaget af Europa-Kommissionens databeskyttelsesansvarlige
Europa-Kommissionens databeskyttelsesansvarlige skal oplyses, uden unødig forsinkelse, når en registrerets rettigheder begrænses i henhold til denne afgørelse. Efter anmodning gives den databeskyttelsesansvarlige adgang til fortegnelsen og alle dokumenter, der indeholder underliggende faktiske og retlige elementer.
Den databeskyttelsesansvarlige kan anmode om en evaluering af begrænsningerne. Den databeskyttelsesansvarlige underrettes skriftligt om resultaterne af den ønskede evaluering.
Artikel 9
Ikrafttrædelse
Denne afgørelse træder i kraft på dagen for offentliggørelsen i 
Den Europæiske Unions Tidende
.
Den anvendes fra den 11. december 2018.
Udfærdiget i Bruxelles, den 11. december 2018.
På Kommissionens vegne
Jean-Claude JUNCKER
Formand
(
1
)
  Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 af 18. juli 2018 om de finansielle regler vedrørende Unionens almindelige budget, om ændring af forordning (EU) nr. 1296/2013, (EU) nr. 1301/2013, (EU) nr. 1303/2013, (EU) nr. 1304/2013, (EU) nr. 1309/2013, (EU) nr. 1316/2013, (EU) nr. 223/2014, (EU) nr. 283/2014 og afgørelse nr. 541/2014/EU og om ophævelse af forordning (EU, Euratom) nr. 966/2012 (
EUT L 193 af 30.7.2018, s. 1
).
(
2
)
  C(2017) 4435 final.
(
3
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
4
)
  Oprettet i oktober 2000, SEC(2000) 1808/3.
(
5
)
  I Kommissionen reguleres opbevaring af sagsakter ved hjælp af den fælles opbevaringsliste, som er et retsligt dokument (den seneste version er SEC(2012) 713) i form af en opbevaringsplan, hvori der fastsættes opbevaringsperioder for Kommissionens forskellige typer af sagsakter.
(
6
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (
EFT L 8 af 12.1.2001, s. 1
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11. maj 2016 om Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (
EUT L 135 af 24.5.2016, s. 53
).
(
8
)
  Rådets forordning (EU) 2017/1939 af 12. oktober 2017 om gennemførelse af et forstærket samarbejde om oprettelse af Den Europæiske Anklagemyndighed (»EPPO«) (
EUT L 283 af 31.10.2017, s. 1
).
(
9
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
10
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).

Summary:
Begrænsninger af de registreredes rettigheder — Kommissionens interne regler
RESUMÉ AF:
Kommissionens afgørelse (EU) 2018/1927 — interne regler om Kommissionens behandling af personoplysninger på konkurrenceområdet med hensyn til tilvejebringelse af oplysninger til registrerede og begrænsning af visse rettigheder
Kommissionens afgørelse (EU) 2018/1961 — interne regler vedrørende udlevering af oplysninger til registrerede og begrænsning af visse af deres rettigheder i forbindelse med behandling af personoplysninger med henblik på intern revision
Kommissionens afgørelse (EU) 2018/1962 — interne regler for behandling af personoplysninger i Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) i forbindelse med underretning af de registrerede og begrænsning af visse af deres rettigheder
Kommissionens afgørelse (EU) 2018/1996 — interne regler for udlevering af oplysninger til registrerede og begrænsning af visse af deres rettigheder i forbindelse med behandling af personoplysninger som led i handelsbeskyttelses- og handelspolitikundersøgelser
Kommissionens afgørelse (EU) 2019/154 — interne bestemmelser vedrørende begrænsning af registreredes ret til indsigt i deres patientjournaler
Kommissionens afgørelse (EU) 2019/165 — interne regler vedrørende Kommissionens underretning af registrerede og begrænsning af visse af deres databeskyttelsesrettigheder i forbindelse med administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer
Kommissionens afgørelse (EU) 2019/236 — om interne regler vedrørende underretning af registrerede og begrænsning af visse af deres rettigheder i forbindelse med Kommissionens behandling af personoplysninger med henblik på den interne sikkerhed i EU-institutionerne
HVAD ER FORMÅLET MED AFGØRELSERNE?
De fastsætter de interne regler for, hvordan 
Europa-Kommissionen
 kan begrænse enkeltpersoners rettigheder, som de kan udøve i henhold til forordning (EU) 
2018/1725
. De interne regler finder anvendelse i forbindelse med behandlingen af personoplysninger inden for specifikke områder og med henblik på særlige formål.
HOVEDPUNKTER
Personoplysninger
 er enhver form for information om en identificeret eller identificerbar fysisk person (»
den registrerede
«). En fysisk person er identificerbar, hvis han/hun direkte eller indirekte kan identificeres, navnlig ved en identifikator (som f.eks. et navn, et identifikationsnummer, lokaliseringsdata eller en onlineidentifikator) eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet.
De nye retlige rammer i EU om beskyttelse og fri udveksling af personoplysninger omfatter navnlig:
Den generelle forordning om databeskyttelse (GDPR)
, der fastlægger enkeltpersoners rettigheder med hensyn til deres personoplysninger, beskytter dem i forbindelse med behandlingen af deres personoplysninger i EU-landene og sikrer den fri udveksling af sådanne personoplysninger 
Forordning (EU) 2018/1725, der fastlægger enkeltpersoners rettigheder med hensyn til deres 
personoplysninger
, beskytter fysiske personer i forbindelse med behandling af personoplysninger i EU’s institutioner, organer, kontorer og agenturer og sikrer fri udveksling af sådanne oplysninger. 
Disse forordninger betragtes som ligestillede og skal fortolkes således.
Artikel 25 i forordning (EU) 2018/1725 giver mulighed for, at EU’s institutioner og organer i visse tilfælde kan begrænse enkeltpersoners rettigheder på betingelse af, at sådanne begrænsninger er omfattet af EU-retten. I tråd med dette har Kommissionen vedtaget syv kommissionsafgørelser, der udgør grundlaget for mulige begrænsninger, for at beskytte vigtige målsætninger af generel samfundsinteresse i EU.
På baggrund af disse afgørelser og en konkret vurdering fra sag til sag af begrænsningernes nødvendighed og forholdsmæssighed beslutter Europa-Kommissionen, hvorvidt en enkeltpersons rettigheder skal begrænses i en konkret sag.
Følgende rettigheder for enkeltpersoner kan begrænses:
deres ret til information om 
behandling af deres personoplysninger og
brud på persondatasikkerheden, der kan påvirke deres rettigheder og frihedsrettigheder negativt
deres ret til at få adgang til deres personoplysninger, at få deres personoplysninger slettet eller ret til begrænsning af behandling af deres personoplysninger. 
De syv kommissionsafgørelser har alle samme format, idet de omfatter visse af eller alle følgende elementer:
Genstand og anvendelsesområde
 
Krav om en vurdering af hver enkelt anmodning fra registrerede. 
Gældende undtagelser og/eller begrænsninger
 
Inden der anvendes begrænsninger skal Kommissionen først overveje, hvorvidt en eller flere af den registreredes rettigheder som fastlagt i forordning (EU) 2018/1725 finder anvendelse. 
Udlevering af oplysninger til registrerede
 
Kommissionen skal offentliggøre databeskyttelsesmeddelelser på sit websted, hvorved alle registrerede oplyses om dens aktiviteter, der indebærer behandling af personoplysninger, inden for det relevante område. 
Kommissionen skal, i et passende format, underrette enkeltpersoner, som er personligt berørt af en undersøgelse eller en foranstaltning, der udføres inden for et af de relevante områder. 
De registreredes indsigtsret, ret til sletning og til begrænsning af behandling
 
Hvis Kommissionen begrænser adgangen til personoplysninger, retten til sletning og/eller retten til begrænsning af behandling, skal den underrette den pågældende registrerede om den anvendte begrænsning og om hovedårsagerne dertil samt om muligheden for at indgive en klage til 
Den Europæiske Tilsynsførende for Databeskyttelse
 eller søge domstolsprøvelse ved 
EU-Domstolen
. 
Indføring og registrering af begrænsninger
 
Kommissionen skal indføre årsagerne til begrænsninger, herunder en vurdering af begrænsningens nødvendighed og forholdsmæssighed. 
Begrænsningers varighed
 
Begrænsninger finder fortsat anvendelse, når årsagerne hertil fortsat gælder. 
Den databeskyttelsesansvarliges vurdering
 
Den databeskyttelsesansvarlige skal oplyses, uden unødig forsinkelse, når en registrerets rettigheder begrænses. 
Efter anmodning gives den databeskyttelsesansvarlige adgang til fortegnelsen og alle dokumenter, der indeholder underliggende faktiske og retlige elementer. 
Den databeskyttelsesansvarlige kan anmode om en gennemgang af begrænsningen og skal underrettes skriftligt om resultaterne af den ønskede gennemgang. 
De syv kommissionsafgørelser omfatter begrænsning af den registrerede på følgende områder:
EU-institutionernes interne sikkerhed
 
Finder anvendelse på behandling af personoplysninger for at kunne garantere sikkerhedsbeskyttelsen af personer, aktiver og informationer i Kommissionen. 
Vidner og personer berørt af en sikkerhedsundersøgelse i forbindelse med behandling af deres personoplysninger skal underrettes personligt herom af Kommissionen. 
Den registrerede, hvis personoplysninger behandles i forbindelse med en baggrundskontrol i henhold til artikel 7, stk. 5, i Kommissionens afgørelse (EU, Euratom) 
2015/443
, skal også underrettes personligt herom af Kommissionen. 
Den skal også underrette enkeltpersoner, hvis personoplysninger behandles i forbindelse med gennemsøgning af Kommissionens lokaliteter og gennemsøgning af kommunikations- og informationssystemer og -udstyr. 
Administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer
 
Rettighederne og forpligtelserne i henhold til forordning (EU) 2018/1725 kan begrænses, hvis de bringer formålet med administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer i fare eller påvirker andre registreredes rettigheder og frihedsrettigheder negativt. 
Personlige helbredsoplysninger
 
Kommissionen kan fra sag til sag begrænse registreredes ret til direkte adgang til personlige helbredsoplysninger af psykologisk eller psykiatrisk karakter vedrørende dem selv, når adgang til sådanne oplysninger sandsynligvis udgør en risiko for den registreredes helbred. 
Denne begrænsning skal stå i et rimeligt forhold til, hvad der er strengt nødvendigt for at beskytte den registrerede. 
Handelsbeskyttelses- og handelspolitikundersøgelser
 
Rettighederne og forpligtelserne i henhold til forordning (EU) 2018/1725 kan begrænses, hvis de bringer Kommissionens 
handelspolitik-
 og handelsbeskyttelsesaktiviteter i fare eller påvirker andre registreredes rettigheder og frihedsrettigheder negativt. 
Det Europæiske Kontor for Bekæmpelse af Svig (OLAF)
 
Finder anvendelse på behandling af personoplysninger i 
OLAF
 (samt på behandling af personoplysninger i Kommissionens tjenestegrene og forvaltningsorganer, der skal videregives til OLAF) med henblik på at varetage kontorets opgaver 
OLAF udfører sine undersøgelser i fuld uafhængighed af Kommissionen 
OLAF afgør, hvorvidt undtagelserne vedrørende registreredes rettigheder finder anvendelse. 
OLAF skal på sit websted offentliggøre databeskyttelsesmeddelelser, der underretter alle registrerede om aktiviteter, der omfatter behandling af deres personoplysninger. 
OLAFs databeskyttelsesansvarlige kan anmode om en vurdering af begrænsning af registreredes rettigheder. 
Intern revision
 
Rettigheder og forpligtelser i henhold til forordning (EU) 2018/1725 kan begrænses som en del af den behandling, der udføres af Kommissionen under udøvelsen af intern revision, når udøvelsen af registreredes rettigheder kan bringe gennemførelsen af den interne revision i fare, herunder ved at afsløre dens revisionsværktøjer og -metoder, eller påvirke andre registreredes rettigheder og frihedsrettigheder negativt. 
Kommissionen kan endvidere være nødsaget til at begrænse anvendelsen af de registreredes rettigheder for at beskytte behandlingen i Kommissionens tjenestegrene eller andre af Unionens institutioner, organer, kontorer og agenturer eller i medlemsstaternes myndigheder og internationale organisationer samt i Revisionsopfølgningsudvalget. 
Kommissionen underretter alle enkeltpersoner om de af dens interne revisionsaktiviteter, der indebærer behandling af deres personoplysninger og af deres rettigheder via en databeskyttelsesmeddelelse, der offentliggøres på Kommissionens websted. Hvor det er relevant, sikrer Kommissionen, at de registrerede underrettes individuelt i et passende format. 
Konkurrence
 
Rettighederne og forpligtelserne i henhold til forordning (EU) 2018/1725 kan begrænses, hvis de bringer formålet med Kommissionens undersøgelses- og håndhævelsesaktiviteter i fare, herunder ved at afsløre dens undersøgelsesværktøjer og -metoder eller påvirke andre registreredes rettigheder og frihedsrettigheder negativt. 
HVORNÅR GÆLDER AFGØRELSERNE FRA?
Afgørelse (EU) 2018/1927, (EU) 2018/1961, (EU) 2018/1962, (EU) 2018/1996 og (EU) 2019/154 har været gældende siden den 
11. december 2018
. 
Afgørelse (EU) 2019/165 har været gældende siden den 
7. februar 2019
. 
Afgørelse (EU) 2019/236 har været gældende siden den 
11. februar 2019
. 
BAGGRUND
For yderligere oplysninger henvises til:
Reformen af EU’s databeskyttelsesregler i 2018
 (
Europa-Kommissionen
). 
HOVEDDOKUMENTER
Kommissionens afgørelse (EU) 
2018/1927
 af 
5. december 2018
 om interne regler om Europa-Kommissionens behandling af personoplysninger på konkurrenceområdet med hensyn til tilvejebringelse af oplysninger til registrerede og begrænsning af visse rettigheder (EUT L 313 af 
10.12.2018
, 
s. 39-44
).
Kommissionens afgørelse (EU) 
2018/1961
 af 
11. december 2018
 om interne regler vedrørende udlevering af oplysninger til registrerede og begrænsning af visse af deres rettigheder i forbindelse med behandling af personoplysninger med henblik på intern revision (EUT L 315 af 
12.12.2018
, 
s. 35-40
).
Kommissionens afgørelse (EU) 
2018/1962
 af 
11. december 2018
 om interne regler for behandling af personoplysninger i Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) i forbindelse med underretning af de registrerede og begrænsning af visse af deres rettigheder i overensstemmelse med artikel 25 i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (EUT L 315 af 
12.12.2018
, 
s. 41-46
).
Kommissionens afgørelse (EU) 
2018/1996
 af 
14. december 2018
 om interne regler for udlevering af oplysninger til registrerede og begrænsning af visse af deres rettigheder i forbindelse med behandling af personoplysninger som led i handelsbeskyttelses- og handelspolitikundersøgelser (EUT L 320 af 
17.12.2018
, 
s. 40-44
).
Kommissionens afgørelse (EU) 
2019/154
 af 
30. januar 2019
 om interne bestemmelser vedrørende begrænsning af registreredes ret til indsigt i deres patientjournaler (EUT L 27 af 
31.1.2019
, 
s. 33-35
).
Kommissionens afgørelse (EU) 
2019/165
 af 
1. februar 2019
 om interne regler vedrørende Kommissionens underretning af registrerede og begrænsning af visse af deres databeskyttelsesrettigheder i forbindelse med administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer (EUT L 32 af 
4.2.2019
, 
s. 9-13
).
Kommissionens afgørelse (EU) 
2019/236
 af 
7. februar 2019
 om interne regler vedrørende underretning af registrerede og begrænsning af visse af deres rettigheder i forbindelse med Europa-Kommissionens behandling af personoplysninger med henblik på den interne sikkerhed i EU-institutionerne (EUT L 37 af 
8.2.2019
, 
s. 144-149
).
TILHØRENDE DOKUMENTER
Finder anvendelse i Europa-Kommissionen:
Europa-Parlamentets og Rådets forordning (EU) 
2018/1725
 af 
23. oktober 2018
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) 
nr. 45/2001
 og afgørelse 
nr. 1247/2002/EF
 (EUT L 295 af 
21.11.2018
, 
s. 39-98
).
Kommissionens afgørelse (EU, Euratom) 
2017/46
 af 
10. januar 2017
 om kommunikations- og informationssystemernes sikkerhed i Europa-Kommissionen (EUT L 6 af 
11.1.2017
, 
s. 40-51
).
Efterfølgende ændringer til afgørelse (EU, Euratom) 2017/46 er indarbejdet i grundteksten. Denne 
konsoliderede version
 har ingen retsvirkning.
Kommissionens afgørelse (EU, Euratom) 
2015/443 
 af 
13. marts 2015
 om sikkerhedsbeskyttelse i Kommissionen (EUT L 72 af 
17.3.2015
, 
s. 41-52
).
Finder anvendelse i EU-landene:
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, 
s. 1-88
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2016/680
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 
4.5.2016
, 
s. 89-131
).
Se 
konsolideret tekst
.
seneste ajourføring 
3.4.2019