Begrænsninger af de registreredes rettigheder — Kommissionens interne regler

 

RESUMÉ AF:

Kommissionens afgørelse (EU) 2018/1927 — interne regler om Kommissionens behandling af personoplysninger på konkurrenceområdet med hensyn til tilvejebringelse af oplysninger til registrerede og begrænsning af visse rettigheder

Kommissionens afgørelse (EU) 2018/1961 — interne regler vedrørende udlevering af oplysninger til registrerede og begrænsning af visse af deres rettigheder i forbindelse med behandling af personoplysninger med henblik på intern revision

Kommissionens afgørelse (EU) 2018/1962 — interne regler for behandling af personoplysninger i Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) i forbindelse med underretning af de registrerede og begrænsning af visse af deres rettigheder

Kommissionens afgørelse (EU) 2018/1996 — interne regler for udlevering af oplysninger til registrerede og begrænsning af visse af deres rettigheder i forbindelse med behandling af personoplysninger som led i handelsbeskyttelses- og handelspolitikundersøgelser

Kommissionens afgørelse (EU) 2019/154 — interne bestemmelser vedrørende begrænsning af registreredes ret til indsigt i deres patientjournaler

Kommissionens afgørelse (EU) 2019/165 — interne regler vedrørende Kommissionens underretning af registrerede og begrænsning af visse af deres databeskyttelsesrettigheder i forbindelse med administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer

Kommissionens afgørelse (EU) 2019/236 — om interne regler vedrørende underretning af registrerede og begrænsning af visse af deres rettigheder i forbindelse med Kommissionens behandling af personoplysninger med henblik på den interne sikkerhed i EU-institutionerne

HVAD ER FORMÅLET MED AFGØRELSERNE?

De fastsætter de interne regler for, hvordan Europa-Kommissionen kan begrænse enkeltpersoners rettigheder, som de kan udøve i henhold til forordning (EU) 2018/1725. De interne regler finder anvendelse i forbindelse med behandlingen af personoplysninger inden for specifikke områder og med henblik på særlige formål.

HOVEDPUNKTER

Personoplysninger er enhver form for information om en identificeret eller identificerbar fysisk person (»den registrerede«). En fysisk person er identificerbar, hvis han/hun direkte eller indirekte kan identificeres, navnlig ved en identifikator (som f.eks. et navn, et identifikationsnummer, lokaliseringsdata eller en onlineidentifikator) eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet.

De nye retlige rammer i EU om beskyttelse og fri udveksling af personoplysninger omfatter navnlig:

• Den generelle forordning om databeskyttelse (GDPR), der fastlægger enkeltpersoners rettigheder med hensyn til deres personoplysninger, beskytter dem i forbindelse med behandlingen af deres personoplysninger i EU-landene og sikrer den fri udveksling af sådanne personoplysninger
• Forordning (EU) 2018/1725, der fastlægger enkeltpersoners rettigheder med hensyn til deres personoplysninger, beskytter fysiske personer i forbindelse med behandling af personoplysninger i EU’s institutioner, organer, kontorer og agenturer og sikrer fri udveksling af sådanne oplysninger.

Disse forordninger betragtes som ligestillede og skal fortolkes således.

Artikel 25 i forordning (EU) 2018/1725 giver mulighed for, at EU’s institutioner og organer i visse tilfælde kan begrænse enkeltpersoners rettigheder på betingelse af, at sådanne begrænsninger er omfattet af EU-retten. I tråd med dette har Kommissionen vedtaget syv kommissionsafgørelser, der udgør grundlaget for mulige begrænsninger, for at beskytte vigtige målsætninger af generel samfundsinteresse i EU.

På baggrund af disse afgørelser og en konkret vurdering fra sag til sag af begrænsningernes nødvendighed og forholdsmæssighed beslutter Europa-Kommissionen, hvorvidt en enkeltpersons rettigheder skal begrænses i en konkret sag.

Følgende rettigheder for enkeltpersoner kan begrænses:

• deres ret til information om
  • behandling af deres personoplysninger og
  • brud på persondatasikkerheden, der kan påvirke deres rettigheder og frihedsrettigheder negativt
• deres ret til at få adgang til deres personoplysninger, at få deres personoplysninger slettet eller ret til begrænsning af behandling af deres personoplysninger.

De syv kommissionsafgørelser har alle samme format, idet de omfatter visse af eller alle følgende elementer:

• Genstand og anvendelsesområde
  • Krav om en vurdering af hver enkelt anmodning fra registrerede.
• Gældende undtagelser og/eller begrænsninger
  • Inden der anvendes begrænsninger skal Kommissionen først overveje, hvorvidt en eller flere af den registreredes rettigheder som fastlagt i forordning (EU) 2018/1725 finder anvendelse.
• Udlevering af oplysninger til registrerede
  • Kommissionen skal offentliggøre databeskyttelsesmeddelelser på sit websted, hvorved alle registrerede oplyses om dens aktiviteter, der indebærer behandling af personoplysninger, inden for det relevante område.
  • Kommissionen skal, i et passende format, underrette enkeltpersoner, som er personligt berørt af en undersøgelse eller en foranstaltning, der udføres inden for et af de relevante områder.
• De registreredes indsigtsret, ret til sletning og til begrænsning af behandling
  • Hvis Kommissionen begrænser adgangen til personoplysninger, retten til sletning og/eller retten til begrænsning af behandling, skal den underrette den pågældende registrerede om den anvendte begrænsning og om hovedårsagerne dertil samt om muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller søge domstolsprøvelse ved EU-Domstolen.
• Indføring og registrering af begrænsninger
  • Kommissionen skal indføre årsagerne til begrænsninger, herunder en vurdering af begrænsningens nødvendighed og forholdsmæssighed.
• Begrænsningers varighed
  • Begrænsninger finder fortsat anvendelse, når årsagerne hertil fortsat gælder.
• Den databeskyttelsesansvarliges vurdering
  • Den databeskyttelsesansvarlige skal oplyses, uden unødig forsinkelse, når en registrerets rettigheder begrænses.
  • Efter anmodning gives den databeskyttelsesansvarlige adgang til fortegnelsen og alle dokumenter, der indeholder underliggende faktiske og retlige elementer.
  • Den databeskyttelsesansvarlige kan anmode om en gennemgang af begrænsningen og skal underrettes skriftligt om resultaterne af den ønskede gennemgang.

De syv kommissionsafgørelser omfatter begrænsning af den registrerede på følgende områder:

• EU-institutionernes interne sikkerhed
  • Finder anvendelse på behandling af personoplysninger for at kunne garantere sikkerhedsbeskyttelsen af personer, aktiver og informationer i Kommissionen.
  • Vidner og personer berørt af en sikkerhedsundersøgelse i forbindelse med behandling af deres personoplysninger skal underrettes personligt herom af Kommissionen.
  • Den registrerede, hvis personoplysninger behandles i forbindelse med en baggrundskontrol i henhold til artikel 7, stk. 5, i Kommissionens afgørelse (EU, Euratom) 2015/443, skal også underrettes personligt herom af Kommissionen.
  • Den skal også underrette enkeltpersoner, hvis personoplysninger behandles i forbindelse med gennemsøgning af Kommissionens lokaliteter og gennemsøgning af kommunikations- og informationssystemer og -udstyr.
• Administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer
  • Rettighederne og forpligtelserne i henhold til forordning (EU) 2018/1725 kan begrænses, hvis de bringer formålet med administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer i fare eller påvirker andre registreredes rettigheder og frihedsrettigheder negativt.
• Personlige helbredsoplysninger
  • Kommissionen kan fra sag til sag begrænse registreredes ret til direkte adgang til personlige helbredsoplysninger af psykologisk eller psykiatrisk karakter vedrørende dem selv, når adgang til sådanne oplysninger sandsynligvis udgør en risiko for den registreredes helbred.
  • Denne begrænsning skal stå i et rimeligt forhold til, hvad der er strengt nødvendigt for at beskytte den registrerede.
• Handelsbeskyttelses- og handelspolitikundersøgelser
  • Rettighederne og forpligtelserne i henhold til forordning (EU) 2018/1725 kan begrænses, hvis de bringer Kommissionens handelspolitik- og handelsbeskyttelsesaktiviteter i fare eller påvirker andre registreredes rettigheder og frihedsrettigheder negativt.
• Det Europæiske Kontor for Bekæmpelse af Svig (OLAF)
  • Finder anvendelse på behandling af personoplysninger i OLAF (samt på behandling af personoplysninger i Kommissionens tjenestegrene og forvaltningsorganer, der skal videregives til OLAF) med henblik på at varetage kontorets opgaver
  • OLAF udfører sine undersøgelser i fuld uafhængighed af Kommissionen
  • OLAF afgør, hvorvidt undtagelserne vedrørende registreredes rettigheder finder anvendelse.
  • OLAF skal på sit websted offentliggøre databeskyttelsesmeddelelser, der underretter alle registrerede om aktiviteter, der omfatter behandling af deres personoplysninger.
  • OLAFs databeskyttelsesansvarlige kan anmode om en vurdering af begrænsning af registreredes rettigheder.
• Intern revision
  • Rettigheder og forpligtelser i henhold til forordning (EU) 2018/1725 kan begrænses som en del af den behandling, der udføres af Kommissionen under udøvelsen af intern revision, når udøvelsen af registreredes rettigheder kan bringe gennemførelsen af den interne revision i fare, herunder ved at afsløre dens revisionsværktøjer og -metoder, eller påvirke andre registreredes rettigheder og frihedsrettigheder negativt.
  • Kommissionen kan endvidere være nødsaget til at begrænse anvendelsen af de registreredes rettigheder for at beskytte behandlingen i Kommissionens tjenestegrene eller andre af Unionens institutioner, organer, kontorer og agenturer eller i medlemsstaternes myndigheder og internationale organisationer samt i Revisionsopfølgningsudvalget.
  • Kommissionen underretter alle enkeltpersoner om de af dens interne revisionsaktiviteter, der indebærer behandling af deres personoplysninger og af deres rettigheder via en databeskyttelsesmeddelelse, der offentliggøres på Kommissionens websted. Hvor det er relevant, sikrer Kommissionen, at de registrerede underrettes individuelt i et passende format.
• Konkurrence
  • Rettighederne og forpligtelserne i henhold til forordning (EU) 2018/1725 kan begrænses, hvis de bringer formålet med Kommissionens undersøgelses- og håndhævelsesaktiviteter i fare, herunder ved at afsløre dens undersøgelsesværktøjer og -metoder eller påvirke andre registreredes rettigheder og frihedsrettigheder negativt.

HVORNÅR GÆLDER AFGØRELSERNE FRA?

• Afgørelse (EU) 2018/1927, (EU) 2018/1961, (EU) 2018/1962, (EU) 2018/1996 og (EU) 2019/154 har været gældende siden den 11. december 2018.
• Afgørelse (EU) 2019/165 har været gældende siden den 7. februar 2019.
• Afgørelse (EU) 2019/236 har været gældende siden den 11. februar 2019.

BAGGRUND

For yderligere oplysninger henvises til:

• Reformen af EU’s databeskyttelsesregler i 2018 (Europa-Kommissionen).

HOVEDDOKUMENTER

Kommissionens afgørelse (EU) 2018/1927 af 5. december 2018 om interne regler om Europa-Kommissionens behandling af personoplysninger på konkurrenceområdet med hensyn til tilvejebringelse af oplysninger til registrerede og begrænsning af visse rettigheder (EUT L 313 af 10.12.2018, s. 39-44).

Kommissionens afgørelse (EU) 2018/1961 af 11. december 2018 om interne regler vedrørende udlevering af oplysninger til registrerede og begrænsning af visse af deres rettigheder i forbindelse med behandling af personoplysninger med henblik på intern revision (EUT L 315 af 12.12.2018, s. 35-40).

Kommissionens afgørelse (EU) 2018/1962 af 11. december 2018 om interne regler for behandling af personoplysninger i Det Europæiske Kontor for Bekæmpelse af Svig (OLAF) i forbindelse med underretning af de registrerede og begrænsning af visse af deres rettigheder i overensstemmelse med artikel 25 i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (EUT L 315 af 12.12.2018, s. 41-46).

Kommissionens afgørelse (EU) 2018/1996 af 14. december 2018 om interne regler for udlevering af oplysninger til registrerede og begrænsning af visse af deres rettigheder i forbindelse med behandling af personoplysninger som led i handelsbeskyttelses- og handelspolitikundersøgelser (EUT L 320 af 17.12.2018, s. 40-44).

Kommissionens afgørelse (EU) 2019/154 af 30. januar 2019 om interne bestemmelser vedrørende begrænsning af registreredes ret til indsigt i deres patientjournaler (EUT L 27 af 31.1.2019, s. 33-35).

Kommissionens afgørelse (EU) 2019/165 af 1. februar 2019 om interne regler vedrørende Kommissionens underretning af registrerede og begrænsning af visse af deres databeskyttelsesrettigheder i forbindelse med administrative undersøgelser, procedurer forud for disciplinær forfølgning, disciplinær forfølgning og suspensionsprocedurer (EUT L 32 af 4.2.2019, s. 9-13).

Kommissionens afgørelse (EU) 2019/236 af 7. februar 2019 om interne regler vedrørende underretning af registrerede og begrænsning af visse af deres rettigheder i forbindelse med Europa-Kommissionens behandling af personoplysninger med henblik på den interne sikkerhed i EU-institutionerne (EUT L 37 af 8.2.2019, s. 144-149).

TILHØRENDE DOKUMENTER

Finder anvendelse i Europa-Kommissionen:

Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39-98).

Kommissionens afgørelse (EU, Euratom) 2017/46 af 10. januar 2017 om kommunikations- og informationssystemernes sikkerhed i Europa-Kommissionen (EUT L 6 af 11.1.2017, s. 40-51).

Efterfølgende ændringer til afgørelse (EU, Euratom) 2017/46 er indarbejdet i grundteksten. Denne konsoliderede version har ingen retsvirkning.

Kommissionens afgørelse (EU, Euratom) 2015/443 af 13. marts 2015 om sikkerhedsbeskyttelse i Kommissionen (EUT L 72 af 17.3.2015, s. 41-52).

Finder anvendelse i EU-landene:

Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1-88).

Se den konsoliderede udgave.

Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89-131).

Se konsolideret tekst.

seneste ajourføring 03.04.2019