Source: EUR LEX
URL: L_2020236NL.01000101.doc.json

{
  "url": "http://www.w3.org/1999/xhtml\"><!--",
  "content": "L_2020236NL.01000101.xml 22.7.2020 NL Publicatieblad van de Europese Unie L 236/1 BESLUIT VAN HET EUROPEES INVESTERINGSFONDS van 4 juni 2020 inzake interne voorschriften betreffende beperkingen van bepaalde rechten van betrokkenen met betrekking tot de verwerking van persoonsgegevens in het kader van activiteiten van het Europees Investeringsfonds HET EUROPEES INVESTERINGSFONDS (EIF), Gezien het Verdrag betreffende de werking van de Europese Unie, Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG ( 1 ) (hierna: “de verordening”), en met name artikel 25, Gezien het advies ( 2 ) van de Europese Toezichthouder voor gegevensbescherming (EDPS), Overwegende hetgeen volgt: (1) De afdeling Compliance van het EIF kan in het kader van haar functioneren administratief onderzoek verrichten op grond van de gedragscode voor medewerkers van de EIB-Groep, hetgeen inhoudt dat informatie, met inbegrip van persoonsgegevens, wordt verwerkt. (2) De functionaris voor gegevensbescherming van het EIF (Data Protection Officer, hierna: DPO) mag, op eigen initiatief of op verzoek van de verwerkingsverantwoordelijke of iedere andere persoon, zaken en gebeurtenissen onderzoeken die rechtstreeks verband houden met zijn of haar taken waar hij of zij kennis van neemt, en verslag hiervan uitbrengen aan de persoon die het onderzoek aanvroeg of de verwerkingsverantwoordelijke, overeenkomstig het in artikel 45, lid 2, van de verordening bepaalde. (3) De afdeling Human and Resources Management van het EIF mag in het kader van haar functioneren disciplinaire maatregelen opleggen op grond van artikel 6 van de gedragscode voor medewerkers van het EIF, hoofdstuk IV van het beleid inzake waardigheid op het werk, en de geldende gedragsregels van het EIF. (4) De leden van de raad van bestuur van het EIF, de algemeen directeur, de adjunct algemeen directeur en de medewerkers alsook de bij de operaties/transacties betrokken partijen hebben de plicht mogelijk verboden gedrag (zoals fraude of corruptie) dat de belangen van het EIF en van de Unie schaadt aan de afdeling Fraudeonderzoek van de EIB (“IG/IN”) te melden. Voor zover het gaat om gedragingen die verband houden met de vervulling van beroepstaken en die een aanwijzing kunnen vormen voor ernstig ambtelijk plichtsverzuim, hebben zij de plicht hiervan melding te maken bij de daartoe bevoegde diensten. Daarnaast mag iedere natuurlijke persoon of rechtspersoon een vermoeden van verboden gedrag melden aan IG/IN. (5) Onderzoeken naar verboden gedrag als bedoeld in het antifraudebeleid van het EIF worden uitgevoerd door IG/IN als gegevensverwerker, op grond van de tussen het EIF en de EIB bestaande raamovereenkomst voor de verlening van diensten. (6) Het EIF voert controles uit van de eigen activiteiten. Deze worden momenteel uitgevoerd door de afdeling Interne Audit van de EIB op grond van de tussen het EIF en de EIB bestaande raamovereenkomst voor de verlening van diensten. (7) In het kader van de taken die werden beschreven in bovenstaande overwegingen 1 tot en met 6 kan het EIF bijstand bieden en ontvangen van, en samenwerken met andere instellingen, organen, bureaus en agentschappen van de Unie, zoals vastgelegd in dienstenniveauovereenkomsten, memoranda van overeenstemming en samenwerkingsovereenkomsten. (8) Het EIF kan bijstand bieden en ontvangen van, en samenwerken met overheidsinstanties van de EU-lidstaten, op hun verzoek of op eigen initiatief. (9) Het EIF kan bijstand bieden en ontvangen van, en samenwerken met nationale autoriteiten van derde landen en internationale organisaties, op hun verzoek of op eigen initiatief. (10) In het kader van bovengenoemde activiteiten kan het EIF, in zijn rol als verwerkingsverantwoordelijke, of een van de zakelijke relaties van het EIF als bedoeld in overweging 4 hierboven, waaronder IG/IN als gegevensverwerker, of enige andere hiertoe bevoegde dienst, informatie en persoonsgegevens, waaronder identificatiegegevens van een natuurlijke persoon, contactinformatie, informatie over beroep en taken, informatie over gedragingen en prestaties in functie en in de persoonlijke levenssfeer, en financiële gegevens verzamelen en verwerken. (11) Er zijn toereikende waarborgen ingevoerd om persoonsgegevens te beschermen en te voorkomen dat onbedoeld of op onrechtmatige wijze toegang wordt verkregen tot persoonsgegevens of dat persoonsgegevens onbedoeld of op onrechtmatige wijze worden doorgegeven. Dit geldt zowel voor persoonsgegevens die fysiek zijn opgeslagen, als voor persoonsgegevens die elektronisch zijn opgeslagen. Na verwerking worden de gegevens overeenkomstig de toepasselijke voorschriften van het EIF bewaard in het register van verwerkingsactiviteiten op grond van artikel 31 van de verordening. Na afloop van de bewaartermijn wordt de informatie over de zaak, met inbegrip van de persoonsgegevens, gewist, volledig geanonimiseerd of overgebracht naar de historische archieven, overeenkomstig de beginselen van de Europese verordeningen inzake gegevensbescherming en de desbetreffende regelgeving of beleidslijnen van het EIF. (12) In dit verband is het EIF verplicht de betrokkenen informatie te verstrekken over bovengenoemde verwerkingsactiviteiten en hun rechten, zoals vastgelegd in de verordening, te eerbiedigen. (13) Het kan noodzakelijk zijn de rechten van betrokkenen uit hoofde van de verordening af te stemmen op de behoeften van de bovengenoemde activiteiten onder volledige inachtneming van de grondrechten en fundamentele vrijheden van andere betrokkenen. Daartoe voorziet artikel 25 van de verordening onder strikte voorwaarden in de mogelijkheid de toepassing te beperken van de artikelen 14 tot en met 20, 35 en 36, alsook artikel 4, voor zover de bepalingen daarvan overeenkomen met de rechten en verplichtingen in de artikelen 14 tot en met 20. Daarom is het noodzakelijk interne voorschriften vast te stellen voor de gevallen waarin het EIF bovengenoemde rechten van betrokkenen kan beperken in lijn met hetzelfde artikel van de verordening. (14) Dit kan in het bijzonder het geval zijn bij het verstrekken van informatie over de verwerking van persoonsgegevens aan de betrokkene in de inleidende beoordelingsfase van een administratief onderzoek of tijdens het onderzoek zelf, voorafgaand aan een mogelijke afwijzing van de zaak of een predisciplinaire fase. In bepaalde omstandigheden kan het verstrekken van dergelijke informatie het EIF ernstig belemmeren om een doeltreffend onderzoek te verrichten, wanneer er bijvoorbeeld een risico bestaat dat de betreffende persoon bewijsmateriaal vernietigt of mogelijke getuigen beïnvloedt voordat hij of zij wordt gehoord. Voorts zou het EIF de rechten en vrijheden van andere betrokken personen moeten kunnen beschermen. Het kan in het bijzonder noodzakelijk zijn de vertrouwelijkheid te beschermen van een getuige of klokkenluider die om anonimiteit heeft gevraagd. In dat geval kan het EIF besluiten een beperking op te leggen voor de toegang tot de identiteit, verklaringen en andere gegevens betreffende de klokkenluider en/of andere betrokken personen, teneinde hun rechten en vrijheden te beschermen. (15) Bij het bieden van bijstand aan, het ontvangen van bijstand van, en het samenwerken met andere instellingen, organen, bureaus en agentschappen van de Unie, overheidsinstanties van de EU-lidstaten, nationale autoriteiten van derde landen en internationale organisaties in het kader van bovengenoemde activiteiten, kan het zijn dat het EIF in bepaalde omstandigheden en met inachtneming van de door de EDPS gestelde minimumeisen voor de bescherming van gegevens, ten behoeve van de doeltreffendheid van zijn onderzoeken of van de onderzoeken die door de entiteit met wie het samenwerkt worden verricht, betrokken personen en hun rechten en vrijheden moet beschermen. (16) Het EIF mag enkel beperkingen opleggen wanneer deze de essentie van de grondrechten en fundamentele vrijheden eerbiedigen, strikt noodzakelijk zijn en een evenredige maatregel vormen in een democratische samenleving. Het EIF dient de redenen voor deze beperkingen te rechtvaardigen. (17) Op grond van het verantwoordingsbeginsel dient het EIF een register van de toegepaste beperkingen bij te houden. (18) Bij de verwerking van persoonsgegevens die het EIF in het kader van zijn taken met andere organisaties uitwisselt, dienen het EIF en deze organisaties elkaar te raadplegen over mogelijke relevante redenen voor het opleggen van beperkingen en de noodzakelijkheid en evenredigheid daarvan, tenzij dit de activiteiten van het EIF in gevaar zouden brengen. (19) Artikel 25, lid 6, van de verordening verplicht de verwerkingsverantwoordelijke ertoe betrokkenen in kennis te stellen van de voornaamste redenen voor de toepassing van de beperking en van hun recht om een klacht in te dienen bij de EDPS. (20) Ingevolge artikel 25, lid 8, van de verordening kan het EIF het verstrekken van informatie aan de betrokkene over de redenen voor de toepassing van een beperking uitstellen, achterwege laten of weigeren, indien dit het effect van de beperking op enigerlei wijze teniet zou doen. Het EIF dient per geval te beoordelen of een mededeling van de beperking het effect ervan tenietdoet. (21) De DPO mag een onafhankelijke evaluatie uitvoeren van de toepassing van de beperkingen, om te waarborgen dat hierbij de bepalingen van het onderhavige besluit worden nageleefd, HEEFT VOLGENDE BESLUIT VASTGESTELD: Artikel 1 Onderwerp en reikwijdte In het onderhavige besluit zijn de voorschriften vastgelegd inzake de voorwaarden waaronder het EIF op grond van artikel 25 van de verordening de toepassing van de artikelen 14 tot en met 20, 35 en 36, alsook artikel 4 kan beperken. Artikel 2 Beperkingen 1.   In overeenstemming met artikel 25, lid 1, van de verordening kan het EIF de toepassing van de artikelen 14 tot en met 20, 35 en 36, en artikel 4, voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 20 voorzien, alleen voor individuele gevallen beperken wanneer het: a) administratief onderzoek verricht op grond van de gedragscode voor medewerkers van de EIB-Groep en andere geldende gedragsregels; b) zaken en gebeurtenissen onderzoekt die rechtstreeks verband houden met de taken van de DPO, als bedoeld in artikel 45, lid 2, van de verordening; c) disciplinaire maatregelen oplegt op grond van artikel 6 van de gedragscode voor medewerkers van het EIF, hoofdstuk IV van het beleid inzake waardigheid op het werk, de gedragscode voor medewerkers van de EIB-Groep en overige geldende gedragsregels van het EIF; d) waarborgt dat de medewerkers van het EIF op vertrouwelijke wijze melding kunnen maken van vermeende ernstige onregelmatigheden als bedoeld in het klokkenluidersbeleid van de EIB-Groep; e) waarborgt dat medewerkers van het EIF op vertrouwelijke wijze melding kunnen maken van vermeend verboden gedrag, waaronder fraude of corruptie, dat de belangen van de Unie schaadt, of van gedragingen bij de vervulling van beroepstaken die een aanwijzing kunnen vormen voor ernstig ambtelijk plichtsverzuim, zoals vastgelegd in het klokkenluidersbeleid van de EIB-Groep, het antifraudebeleid van het EIF en de desbetreffende gedragsregels van het EIF; f) onderzoek uitvoert naar verboden gedrag als bedoeld in het antifraudebeleid van het EIF; g) interne audits verricht met betrekking tot alle activiteiten en afdelingen van het EIF; h) bijstand biedt of ontvangt van, en samenwerkt met andere instellingen, organen, bureaus en agentschappen van de Unie in verband met de bovengenoemde activiteiten, zoals vastgelegd in dienstenniveauovereenkomsten, memoranda van overeenstemming en samenwerkingsovereenkomsten; i) bijstand biedt of ontvangt van, en samenwerkt met overheidsinstanties van de EU-lidstaten, op hun verzoek of op eigen initiatief; j) bijstand biedt of ontvangt van, en samenwerkt met nationale autoriteiten van derde landen en internationale organisaties, op hun verzoek of op eigen initiatief. 2.   De categorieën persoonsgegevens kunnen identificatiegegevens omvatten van een natuurlijke persoon, contactinformatie, informatie over beroep en taken, informatie over gedragingen en prestaties in functie en in de persoonlijke levenssfeer, gegevens over betrokkenheid bij een zaak en financiële gegevens. 3.   De toepassing van bovengenoemde beperkingen laat de mogelijke toepassing van de bepalingen van artikel 16, lid 5, en artikel 17, lid 4, van de verordening, die verband houden met het recht van informatie wanneer gegevens niet van de betrokkene zijn verkregen, respectievelijk het recht van inzage van betrokkene, onverlet. 4.   Iedere beperking moet de essentie van de grondrechten en fundamentele vrijheden eerbiedigen en een noodzakelijke en evenredige maatregel vormen in een democratische samenleving, zoals bedoeld in de verordening en de desbetreffende regelgeving of interne beleidslijnen van het EIF of de EIB-Groep. 5.   Iedere beperking dient te berusten op uitdrukkelijke toestemming op grond van een geldend intern beleid of proces van het EIF en zo min mogelijk invloed hebben op de rechten van de betrokkene(n), zoals vastgesteld door de DPO. 6.   Voordat er beperkingen worden opgelegd, wordt een noodzakelijkheids- en evenredigheidstest uitgevoerd, per geval en naar tevredenheid van de DPO. Er worden enkel beperkingen opgelegd die strikt noodzakelijk zijn om de gestelde doelen te bereiken. Beperkingen worden uitsluitend opgelegd voor de periode die naar het oordeel van de DPO nodig is in verband met de desbetreffende reden van lid 1, die als motivering voor de beperking geldt. 7.   Wanneer IG/IN de verstrekking van informatie aan de betrokkenen die relevant is voor een onderzoek (de betrokken persoon, getuige of informant) geheel of gedeeltelijk beperkt, legt zij de redenen voor de beperking vast, en evalueert zij daarbij de noodzaak en de evenredigheid van de beperking. Hiertoe wordt vastgelegd hoe de verstrekking van informatie het doel van de onderzoeksactiviteiten van IG/IN of van de uit hoofde van artikel 2, lid 1, onder f), g) en h), van het onderhavige besluit toegepaste beperkingen in het gedrang zou brengen, of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen. De vastgelegde gegevens, en voor zover van toepassing, de documenten met onderliggende feiten en juridische elementen, worden geregistreerd. Deze worden desgevraagd aan de EDPS verstrekt. 8.   Omwille van zijn verantwoordingsplicht legt het EIF de redenen voor de toegepaste beperkingen, welke van de in lid 1 genoemde gronden van toepassing zijn, alsook het resultaat van de noodzakelijkheids- en evenredigheidstest schriftelijk vast. Deze aantekeningen maken deel uit van een specifiek register, dat op verzoek ter beschikking wordt gesteld aan de EDPS. 9.   Bij de verwerking van persoonsgegevens die het EIF in het kader van zijn taken met andere organisaties uitwisselt, dienen het EIF en deze organisaties elkaar te raadplegen over mogelijke relevante redenen voor het opleggen van beperkingen en de noodzakelijkheid en evenredigheid daarvan, tenzij dit de activiteiten van het EIF in gevaar zouden brengen Artikel 3 Risico’s voor de rechten en vrijheden van betrokkenen De beoordeling van de risico’s voor de rechten en vrijheden van betrokkenen op wier persoonsgegevens beperkingen kunnen worden toegepast, evenals de bewaartermijn ervan, worden in het register van de relevante verwerkingsactiviteiten opgenomen in overeenstemming met artikel 31 van de verordening en, indien van toepassing, in relevante gegevensbeschermingseffectbeoordelingen op grond van artikel 39 van de verordening. Artikel 4 Opslagperioden en waarborgen Het EIF voert waarborgen in om misbruik of onrechtmatige toegang tot, of onrechtmatige doorgifte van persoonsgegevens die aan beperkingen onderhevig kunnen zijn, te voorkomen. Deze waarborgen omvatten technische en organisatorische maatregelen en worden voor zover noodzakelijk uitvoerig vastgelegd in interne besluiten, procedures en uitvoeringsvoorschriften van het EIF. De waarborgen omvatten: 1. een toereikende definitie van rollen, verantwoordelijkheden en procedurele stappen; 2. indien van toepassing, een veilige elektronische omgeving die onrechtmatige of onbedoelde toegang tot elektronische gegevens door onbevoegden, of onrechtmatige of onbedoelde doorgifte van elektronische gegevens aan onbevoegden verhindert; 3. indien van toepassing, een veilige opslag en verwerking van fysieke documenten; 4. een passende monitoring van de beperkingen en een periodieke herziening door de DPO, die minimaal eenmaal per zes maanden moet plaatsvinden. Er moet ook een herziening plaatsvinden wanneer zich wijzigingen voordoen in essentiële elementen van de zaak. De beperkingen worden opgeheven zodra de omstandigheden die ze rechtvaardigen, niet langer van toepassing zijn. Artikel 5 Informatie aan en herziening door de DPO 1.   De DPO van het EIF wordt onverwijld in kennis gesteld wanneer de rechten van een betrokkene in overeenstemming met het onderhavige besluit worden beperkt, en krijgt volledige en onbeperkte toegang tot alle bescheiden en documenten die aan de feitelijke en juridische elementen ten grondslag liggen, die relevant zijn voor het besluit over de beperking en voor het monitoren van de handhaving van de beperking. 2.   De DPO kan vragen de toepassing van de beperking te herzien. 3.   Indien de DPO bij de uitvoering van zijn of haar eigen onderzoek beperkingen oplegt, dan stelt de DPO de verwerkingsverantwoordelijke hiervan onverwijld in kennis. 4.   De betrokkenheid van de DPO in de beperkingsprocedure, met inbegrip van de uitwisseling van informatie, wordt in passende vorm gedocumenteerd en opgenomen in de desbetreffende bescheiden en registers. 5.   In het kader van een onderzoek naar verboden gedrag treedt IG/IN in overleg met de DPO alvorens bepaalde gronden voor beperkingen als bedoeld in artikel 25 van de verordening toe te passen op de verwerking van gegevens uitgevoerd uit hoofde van het antifraudebeleid van het EIF, het handvest van de afdeling Fraudeonderzoek en de onderzoeksprocedures. Artikel 6 Informatie aan betrokkenen over beperkingen van hun rechten 1.   Het EIF neemt in de berichten over gegevensbescherming die op zijn website worden gepubliceerd, algemene informatie voor de betrokkenen op die verband houdt met mogelijke beperkingen van de rechten van alle betrokkenen, zoals beschreven in artikel 2, lid 1. De informatie beschrijft welke rechten kunnen worden beperkt. 2.   Het EIF informeert betrokkenen persoonlijk, onverwijld en in schriftelijke vorm over huidige of toekomstige beperkingen van hun rechten, zoals nader gespecificeerd in de artikelen 7, 8 en 9. Artikel 7 Recht op informatie aan betrokkenen en mededeling over gegevensinbreuken 1.   Wanneer het EIF in het kader van de in het onderhavige besluit genoemde activiteiten de rechten van betrokkenen, zoals genoemd in de artikelen 14 tot en met 16 en artikel 35 van de verordening, geheel of gedeeltelijk beperkt, worden zij in kennis gesteld van de voornaamste redenen waarop de toepassing van de beperking berust, en van hun recht om een klacht in te dienen bij de EDPS en/of beroep in te stellen bij het Hof van Justitie van de Europese Unie. Een dergelijke beperking dient in overeenstemming te zijn met de voorschriften en procedures van het onderhavige besluit. 2.   Het EIF kan het verstrekken van informatie over de redenen voor de in lid 1 bedoelde beperking uitstellen, achterwege laten of weigeren, voor zover en zolang dit afbreuk zou doen aan het effect van de beperking. Deze beoordeling vindt per individueel geval plaats. Een dergelijk(e) uitstel of weigering dient naar tevredenheid van de DPO te worden gerechtvaardigd, en wordt opgenomen in de desbetreffende bescheiden en registers. Ter voorkoming van twijfel worden de betrokkenen in kwestie in kennis gesteld van hun recht een klacht in te dienen bij de EDPS en/of beroep in te stellen bij het Hof van Justitie van de Europese Unie tegen het besluit waarin het verstrekken van informatie als bedoeld in lid 1 wordt uitgesteld of geweigerd. Artikel 8 Het recht van betrokkenen op inzage, rectificatie en wissing van gegevens en op beperking van de verwerking 1.   Wanneer het EIF in het kader van de in het onderhavige besluit genoemde activiteiten het recht van inzage in persoonsgegevens, zoals bedoeld in de artikelen 17 tot en met 20 van de verordening, geheel of gedeeltelijk beperkt, wordt betrokkene in antwoord op diens verzoek in kennis gesteld van de voornaamste redenen waarop de toepassing van de beperking berust, en van het recht een klacht in te dienen bij de EDPS en/of beroep in te stellen bij het Hof van Justitie van de Europese Unie. 2.   Indien het recht van inzage geheel of gedeeltelijk wordt beperkt, deelt het EIF, wanneer het het verzoek bestudeert, betrokkene uitsluitend mee of de gegevens op correcte wijze zijn verwerkt en, indien dat niet het geval is, of de noodzakelijke verbeteringen zijn aangebracht, in overeenstemming met artikel 25, lid 7, van de verordening. 3.   Het EIF kan het verstrekken van informatie over de redenen voor de in de leden 1 en 2 bedoelde beperking uitstellen, achterwege laten of weigeren, voor zover en zolang dit afbreuk zou doen aan het effect van de beperking. Deze beoordeling vindt per individueel geval plaats en dient in overeenstemming te zijn met de voorschriften en procedures van het onderhavige besluit. Artikel 9 Vertrouwelijkheid van elektronische communicatie 1.   Het EIF kan in uitzonderlijke omstandigheden en in lijn met de bepalingen en de grondslag van Richtlijn 2002/58/EG van het Europees Parlement en de Raad ( 3 ) het recht op vertrouwelijkheid van elektronische communicatie, zoals bedoeld in artikel 36 van de verordening, beperken. In dat geval legt het EIF de omstandigheden, redenen, relevante risico’s en daarmee verband houdende waarborgen in specifieke interne voorschriften vast. 2.   Indien het EIF het recht op vertrouwelijkheid van elektronische communicatie beperkt, stelt het de betrokkene in zijn antwoord op diens verzoek in kennis van de voornaamste redenen waarop de toepassing van de beperking berust, en van de mogelijkheid een klacht in te dienen bij de EDPS of beroep in te stellen bij het Hof van Justitie van de Europese Unie. 3.   Het EIF kan het verstrekken van informatie over de redenen voor de in de leden 1 en 2 bedoelde beperking uitstellen, achterwege laten of weigeren, zolang dit het effect van de beperking teniet zou doen. Deze beoordeling vindt per individueel geval plaats. Artikel 10 Inwerkingtreding Het onderhavige besluit en wijzigingen daarvan dienen te worden goedgekeurd door de raad van bestuur van het EIF en treden in werking op de twintigste dag na de bekendmaking ervan in het Publicatieblad van de Europese Unie . Gedaan te Luxemburg, 4 juni 2020. ( 1 ) PB L 295 van 21.11.2018, blz. 39 . ( 2 ) Opmerkingen en aanbevelingen van de EDPS van 20 februari 2020 (DH/CCP/ALS/D (2020) 0372 C2019-1114). ( 3 ) Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie (richtlijn betreffende privacy en elektronische communicatie) ( PB L 201 van 31.7.2002, blz. 37 ).",
  "source": "EUR LEX"
}