EUR-Lex Dostop do prava EU
Dokument je izvleček s spletišča EUR-Lex.
Dokument 32019Q0809(01)
Decision of the Management Board of the European Medicines Agency of 12 June 2019 on internal rules concerning restrictions of certain rights of data subjects in relation to processing of personal data in the framework of the functioning of the Agency
Beschluss des Verwaltungsrats der Europäischen Arzneimittel-Agentur vom 12. Juni 2019 über interne Vorschriften in Bezug auf Beschränkungen bestimmter Rechte von betroffenen Personen in Verbindung mit der Verarbeitung personenbezogener Daten im Rahmen der Arbeit der Agentur
Beschluss des Verwaltungsrats der Europäischen Arzneimittel-Agentur vom 12. Juni 2019 über interne Vorschriften in Bezug auf Beschränkungen bestimmter Rechte von betroffenen Personen in Verbindung mit der Verarbeitung personenbezogener Daten im Rahmen der Arbeit der Agentur
ABl. L 209 vom 9.8.2019, str. 19–25
(BG, ES, CS, DA, DE, ET, EL, EN, FR, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
V veljavi
9.8.2019 |
DE |
Amtsblatt der Europäischen Union |
L 209/19 |
BESCHLUSS DES VERWALTUNGSRATS DER EUROPÄISCHEN ARZNEIMITTEL-AGENTUR
vom 12. Juni 2019
über interne Vorschriften in Bezug auf Beschränkungen bestimmter Rechte von betroffenen Personen in Verbindung mit der Verarbeitung personenbezogener Daten im Rahmen der Arbeit der Agentur
DER VERWALTUNGSRAT DER EUROPÄISCHEN ARZNEIMITTEL-AGENTUR —
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf die Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (1), insbesondere auf Artikel 25,
gestützt auf die Verordnung (EG, Euratom) Nr. 883/2013 des Europäischen Parlaments und des Rates vom 11. September 2013 über die Untersuchungen des Europäischen Amtes für Betrugsbekämpfung (OLAF) und zur Aufhebung der Verordnung (EG) Nr. 1073/1999 des Europäischen Parlamentes und des Rates und der Verordnung (Euratom) Nr. 1074/1999 des Rates (2),
gestützt auf das Statut der Beamten der Europäischen Union, insbesondere auf Artikel 2 Absatz 3 und Anhang IX Artikel 30, und die Beschäftigungsbedingungen für die sonstigen Bediensteten der Europäischen Union,
gestützt auf die Durchführungsbestimmungen der EMA über die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren vom 8. Juni 2012 (3),
gestützt auf den Leitfaden des EDSB vom 18. Dezember 2018 und auf die Meldung an den EDSB für die Zwecke des Artikels 41 Absatz 2 der Verordnung (EU) 2018/1725,
nach Anhörung der Personalvertretung,
in Erwägung nachstehender Gründe:
(1) |
Die Europäische Arzneimittel-Agentur („EMA“ oder „die Agentur“) wurde mit der Verordnung (EG) Nr. 726/2004 des Europäischen Parlaments und des Rates (4) eingerichtet, um die vorhandenen Wissenschaftsressourcen zu koordinieren, die ihr von den Mitgliedstaaten zur Beurteilung, Überwachung und Pharmakovigilanz von Arzneimitteln zur Verfügung gestellt werden. |
(2) |
Die Agentur führt Verwaltungsuntersuchungen und Disziplinarverfahren im Einklang mit den Vorschriften im Statut der Beamten der Europäischen Union und den Beschäftigungsbedingungen für die sonstigen Bediensteten der Europäischen Union durch. Die Agentur kann ferner vorläufige Aktivitäten im Zusammenhang mit potenziellen, dem OLAF (gemäß der Verordnung (EU, Euratom) Nr. 883/2013) gemeldeten Unregelmäßigkeiten, im Umgang mit Meldungen von Missständen (Whistleblowing), (formellen und informellen) Verfahren bei Belästigung, der Bearbeitung von internen und externen Beschwerden, internen Audits, Untersuchungen durch den Datenschutzbeauftragten in Übereinstimmung mit Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder mit externer Beteiligung (z. B. CERT-EU) gehandhabten (IT-)Sicherheitsuntersuchungen ausführen. |
(3) |
Die Agentur verarbeitet mehrere Kategorien personenbezogener Daten, wie Identifizierungsdaten, Kontaktdaten, berufliche Daten. Die Europäische Arzneimittel-Agentur, vertreten durch ihren Exekutivdirektor, fungiert als der für die Verarbeitung Verantwortliche. Intern wurde der Leiter der Abteilung „Administration and Corporate Management“ als bevollmächtigter Verantwortlicher für die unter diesen Beschluss fallenden Tätigkeiten ernannt (nachstehend „der Verantwortliche“). Betrifft die Verwaltungsuntersuchung oder das Disziplinarverfahren den Leiter der Abteilung „Administration and Corporate Management“, fungiert der stellvertretende Exekutivdirektor als Verantwortlicher mit Blick auf diese Untersuchung bzw. dieses Verfahren. Die personenbezogenen Daten werden in einer elektronischen Datei und auf Papier gespeichert. Die Papierfassung wird in einem verschlossenen Schrank aufbewahrt, zu dem nur von der Führungsebene ermächtigte Bedienstete Zugang haben. Die elektronischen Dateien werden in einem sicheren elektronischen Umfeld gespeichert, das darauf angelegt ist und auch so instandgehalten wird, dass einer zufälligen oder unrechtmäßigen Vernichtung, einem zufälligen Verlust oder einer Veränderung, Übermittlung, unbefugten Weitergabe von personenbezogenen Daten und dem Zugriff auf diese durch interne und externe Partner vorgebeugt ist, die zu einem Zugriff auf diese Daten nicht befugt sind. |
(4) |
Die verarbeiteten personenbezogenen Daten werden im Einklang mit Artikel 13 der Durchführungsbestimmungen der EMA über die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren vom 8. Juni 2012 gespeichert, wie in Artikel 2 Absatz 3 dieses Beschlusses erläutert. |
(5) |
Dieser Beschluss über interne Vorschriften sollte für alle Verarbeitungsvorgänge gelten, die von der Agentur bei der Durchführung ihrer Verwaltungsuntersuchungen und Disziplinarverfahren sowie bei vorläufigen Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten, im Umgang mit Meldungen von Missständen (Whistleblowing), (formellen und informellen) Verfahren bei Belästigung, der Bearbeitung von internen und externen Beschwerden, internen Audits, Untersuchungen durch den Datenschutzbeauftragten in Übereinstimmung mit Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder mit externer Beteiligung (z. B. CERT-EU) gehandhabten (IT-)Sicherheitsuntersuchungen ausgeführt werden. Dieser Beschluss sollte für Verarbeitungsvorgänge gelten, die vor der Einleitung der oben genannten Verfahren, während dieser Verfahren und während der Überwachung der Nachbereitung des Ergebnisses dieser Verfahren durchgeführt werden. |
(6) |
Dieser Beschluss über interne Vorschriften sollte ferner für Tätigkeiten im Zusammenhang mit Unterstützung und Zusammenarbeit gelten, die die Agentur außerhalb ihrer Verwaltungsuntersuchungen anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden der Mitgliedstaaten und internationalen Organisationen zum Schutz ihrer Verarbeitungsvorgänge bereitstellt, sowie für Tätigkeiten im Zusammenhang mit der Zusammenarbeit mit Organen und Einrichtungen der EU und der Übermittlung von Informationen über eine Verwaltungsuntersuchung oder ein Disziplinarverfahren an diese Organe und Einrichtungen. Zu diesem Zweck sollte die Agentur diese Organe, Einrichtungen und sonstigen Stellen, Behörden oder Organisationen zu den stichhaltigen Gründen für die Verhängung von Beschränkungen und zur Notwendigkeit und Verhältnismäßigkeit der Beschränkungen anhören. |
(7) |
Die Agentur muss begründen, warum die Beschränkungen in einer demokratischen Gesellschaft unbedingt notwendig und verhältnismäßig sind und das Wesen der Grundrechte und Grundfreiheiten respektieren. |
(8) |
Innerhalb dieses Rahmens ist die Agentur gehalten, soweit es möglich ist, die Grundrechte der betroffenen Personen im Verlauf der oben genannten Verfahren zu wahren, insbesondere, wenn auch nicht ausschließlich, im Hinblick auf das Recht auf Auskunft und Berichtigung und das Recht auf Löschung, wie in der Verordnung (EU) 2018/1725 verankert. |
(9) |
Die Agentur kann jedoch verpflichtet sein, die Unterrichtung der betroffenen Person und Informationen über andere Rechte der betroffenen Person zurückzustellen, um insbesondere ihre eigenen Untersuchungen und Verfahren, die Untersuchungen und Verfahren anderer Behörden sowie die Rechte anderer Personen, mit denen ihre Untersuchungen oder andere Verfahren in Beziehung stehen, zu schützen. |
(10) |
Die Agentur muss also die Unterrichtung zurückstellen, um ihre eigenen Verwaltungsuntersuchungen und Disziplinarverfahren, die Untersuchungen und Verfahren anderer Behörden sowie die Identität von Informanten und anderen an den Verfahren Beteiligten zu schützen, darunter Whistleblower und Zeugen, die aufgrund ihrer Kooperation keine nachteiligen Folgen erleiden sollten. Insbesondere Artikel 5 Absatz 3 der Durchführungsbestimmungen der EMA über die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren vom 8. Juni 2012 sieht eine Informationspflicht gegenüber allen Bediensteten vor, die möglicherweise persönlich in eine Untersuchung verwickelt sind, sofern eine solche Unterrichtung die Untersuchung nicht behindert. Dies stellt eine Beschränkung der Anwendung der Rechte betroffener Personen dar, insbesondere der Artikel 14 bis 21, 35 und 36 der Verordnung (EU) 2018/1725. Daher sind gemäß Artikel 25 dieser Verordnung interne Vorschriften festzulegen, mit denen gewährleistet wird, dass eine solche Beschränkung den Wesensgehalt der Grundrechte und Grundfreiheiten achtet und in einer demokratischen Gesellschaft eine notwendige und verhältnismäßige Maßnahme darstellt. |
(11) |
Gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 kann der Verantwortliche die Unterrichtung der betroffenen Person über die Gründe für die Anwendung einer Beschränkung zurückstellen oder ablehnen, wenn sie die Wirkung der Beschränkung zunichtemachen würde. Damit sichergestellt ist, dass das Recht der betroffenen Person auf Information gemäß den Artikeln 16 und 35 der Verordnung (EU) 2018/1725 nur so lange beschränkt wird, wie die Gründe für die Zurückstellung anhalten, sollte die Agentur ihre Haltung regelmäßig überprüfen. |
(12) |
Werden andere Rechte der betroffenen Person beschränkt, sollte der Verantwortliche in jedem Einzelfall prüfen, ob die Mitteilung der Beschränkung deren Wirkung zunichtemachen würde. |
(13) |
Im Einklang mit dem Grundsatz der Verhältnismäßigkeit sollte die Agentur regelmäßig (etwa alle sechs Monate) überprüfen, ob die Voraussetzungen für eine bestimmte Beschränkung noch immer erfüllt sind. Dementsprechend sollte die Agentur die Beschränkung aufheben, sobald die Gründe für diese nicht mehr vorliegen. |
(14) |
Die Agentur sollte den Datenschutzbeauftragten („DSB“) konsultieren, wenn die Unterrichtung zurückgestellt wird oder wenn eine andere Beschränkung der Rechte der betroffenen Person angewandt wird, sowie bei der Prüfung der Frage, ob die Voraussetzungen für die Beschränkung noch gegeben sind — |
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Gegenstand und Anwendungsbereich
(1) Dieser Beschluss enthält Vorschriften betreffend die Bedingungen, unter denen die Agentur im Rahmen von Verwaltungsuntersuchungen und Disziplinarverfahren bei der Meldung von Fällen an OLAF gemäß der Verordnung (EU, Euratom) Nr. 883/2013 gemäß Artikel 25 der Verordnung (EU) 2018/1725 die Anwendung der in den Artikeln 14 bis 21, 35 und 36 sowie von Artikel 4 insofern beschränken kann, als seine Bestimmungen den in den Artikeln 14 bis 21 geregelten Rechten und Pflichten entsprechen.
(2) Dieser Beschluss gilt für Verarbeitungen personenbezogener Daten durch die Agentur für die Zwecke der Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren sowie für vorläufige Aktivitäten im Zusammenhang mit potenziellen, dem OLAF (gemäß der Verordnung (EU), Euratom) Nr. 883/2013) gemeldeten Unregelmäßigkeiten, im Umgang mit Meldungen von Missständen (Whistleblowing), (formellen und informellen) Verfahren bei Belästigung, der Bearbeitung von internen und externen Beschwerden, internen Audits, Untersuchungen durch den Datenschutzbeauftragten in Übereinstimmung mit Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 sowie intern oder mit externer Beteiligung (z. B. CERT-EU) gehandhabten (IT-)Sicherheitsuntersuchungen.
Dieser Beschluss sollte ferner für Tätigkeiten der Agentur im Zusammenhang mit Unterstützung und Zusammenarbeit gelten, die die Agentur außerhalb ihrer Verwaltungsuntersuchungen anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden der Mitgliedstaaten und internationalen Organisationen zum Schutz ihrer Verarbeitungsvorgänge bereitstellt.
Des Weiteren gilt dieser Beschluss für Tätigkeiten im Zusammenhang mit der Zusammenarbeit mit Organen und Einrichtungen der EU und der Übermittlung von Informationen über eine Verwaltungsuntersuchung oder ein Disziplinarverfahren, wenn der Empfänger solche Informationen für die Prüfung der Frage benötigt, ob eine formelle Untersuchung oder ein formelles Verfahren eingeleitet werden muss.
(3) Die Agentur verarbeitet mehrere Kategorien personenbezogener Daten, wie Identifizierungsdaten, Kontaktdaten, berufliche Daten. Bei den betreffenden Datenkategorien kann es sich um harte Daten (beispielsweise Verwaltungsangaben, Telefonnummer, Privatanschrift, elektronische Kommunikation und Verkehrsdaten) und/oder weiche Daten (beispielsweise Beurteilungsberichte, Eröffnung von Untersuchungen, Berichte über Voruntersuchungen, Aufzeichnungen/Protokolle von Zeugenaussagen und Anhörungen im Rahmen der Untersuchung, soziale Aktivitäten und Verhalten von Bediensteten, Kommentare zu den Fähigkeiten und der Effizienz des/der betroffenen Bediensteten usw.) handeln.
(4) Die möglicherweise diesem Beschluss unterliegenden Kategorien betroffener Personen sind Bedienstete und ehemalige Bedienstete der Agentur, also (ehemalige) Bedienstete, Beamte/Administratoren, abgeordnete nationale Sachverständige und Praktikanten sowie (ehemalige) Auftragnehmer der Agentur.
(5) Vorbehaltlich der in diesem Beschluss aufgeführten Bedingungen können die Beschränkungen auf folgende Rechte angewandt werden: Unterrichtung und Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person gemäß den Artikeln 16 und 35 der Verordnung (EU) 2018/1725; Auskunftsrecht der betroffenen Person gemäß Artikel 17 der Verordnung (EU) 2018/1725; Recht auf Berichtigung, Löschung, Einschränkung der Verarbeitung und Mitteilung im Zusammenhang mit der Berichtigung oder Löschung gemäß Artikel 18, Artikel 19 Absatz 1, Artikel 20 und 21 der Verordnung (EU) 2018/1725,
Artikel 2
Angaben zu den Verantwortlichen und Garantien
(1) Die Europäische Arzneimittel-Agentur, vertreten durch ihren Exekutivdirektor, fungiert als der für die Verarbeitung Verantwortliche. Intern wurde der Leiter der Abteilung „Administration and Corporate Management“ als bevollmächtigter Verantwortlicher für die unter diesen Beschluss fallenden Tätigkeiten ernannt. Betrifft die Verwaltungsuntersuchung oder das Disziplinarverfahren den Leiter der Abteilung „Administration and Corporate Management“, fungiert der stellvertretende Exekutivdirektor als Verantwortlicher mit Blick auf diese Untersuchung bzw. dieses Verfahren.
(2) Die personenbezogenen Daten werden in einer elektronischen Datei und/oder auf Papier gespeichert. Zur Vermeidung von Verletzungen des Schutzes personenbezogener Daten, Datenverlusten oder unbefugtem Zugang bestehen folgende Garantien:
a) |
Die Papierfassung wird in einem verschlossenen Schrank aufbewahrt, zu dem nur von der Führungsebene ermächtigte Bedienstete nach dem Grundsatz „Kenntnis nur, wenn nötig“ Zugang haben. Ferner gibt es für die Räumlichkeiten ein Sicherheitssystem, Strategien für das interne Management von Aufzeichnungen, Schulungen für Mitarbeiter und Audits, die ebenfalls angemessene Garantien bieten. |
b) |
Die elektronischen Dateien werden in einem sicheren elektronischen Umfeld gespeichert, das darauf angelegt ist und auch so instandgehalten wird, dass einer zufälligen oder unrechtmäßigen Vernichtung, einem zufälligen Verlust oder einer Veränderung, Übermittlung, unbefugten Weitergabe von personenbezogenen Daten und dem Zugriff auf diese durch interne und externer Partner vorgebeugt ist, die zu einem Zugriff auf diese Daten nicht befugt sind. |
c) |
Die für die ernannten Untersuchungsbeauftragten und/oder alle anderen an der Verwaltungsuntersuchung oder dem Disziplinarverfahren beteiligten Personen geltenden strengen Vorschriften zur Wahrung der Vertraulichkeit und des Berufsgeheimnisses, wie sie in den Durchführungsbestimmungen der EMA über die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren vom 8. Juni 2012 sowie im Statut und in den BBSB verlangt werden, gewährleisten ein hohes Maß an Schutz gegen die Risiken für die Rechte und Freiheiten von durch die Verarbeitung betroffenen Personen. |
d) |
Gemäß dem Grundsatz der Datenminimierung erhebt und verarbeitet die Agentur nur personenbezogene Daten, die dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sind. Weitere Garantien kommen zur Anwendung, wenn besondere Kategorien personenbezogener Daten sowie strafrechtliche Verurteilungen und Straftaten und damit zusammenhängende Sicherungsmaßregeln betreffende Daten verarbeitet werden. |
(3) Es gelten die folgenden Speicherungs- und Aufbewahrungsfristen:
a) |
Gemäß Artikel 13 der Durchführungsbestimmungen der EMA über die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren vom 8. Juni 2012 werden in dem Fall, dass keine Anklage gegen den Bediensteten erhoben wird oder dass Anklage erhoben wird, aber keine Disziplinarmaßnahme ergriffen wurde, die Papierausgabe und die elektronische Datei des Verfahrens im Zusammenhang mit der Verwaltungsuntersuchung sowie die Kopie der Erstmitteilung an den Bediensteten gemäß Artikel 5 dieser Durchführungsbestimmungen in der Personalakte fünf Jahre nach dem Datum der Entscheidung, dass keine Anklage oder Disziplinarmaßnahme erforderlich ist, aufbewahrt. Diese Bestimmung gilt nicht für die Entscheidung, die auf Antrag des Bediensteten gemäß Artikel 1 Absatz 3 von Anhang IX des Statuts und Artikel 5 Absatz 5 der Durchführungsbestimmungen der EMA über die Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren vom 8. Juni 2012 zu seiner Personalakte genommen wurde. Eine solche Entscheidung wird nur auf Antrag des betreffenden Bediensteten aus der Personalakte entfernt. |
b) |
Wenn gegen den Bediensteten Klage erhoben wird, werden die Unterlagen auf Papier und die elektronischen Dateien sowie die zur Personalakte genommene Kopie der Erstmitteilung an den Bediensteten ab dem Datum der Entscheidung über die Disziplinarmaßnahme zehn Jahre lang aufbewahrt. In Ausnahmefällen, in denen es im Interesse der Agentur liegt, die Akte zur Verwaltungsuntersuchung nach Ablauf der zehn Jahre weiter aufzubewahren, ergeht sechs Monate vor Ablauf des Zehnjahreszeitraums eine mit Gründen versehene Entscheidung, die dem betreffenden Bediensteten mitgeteilt wird. In der mit Gründen versehenen Entscheidung ist der weitere Zeitraum festgelegt, während dessen die Akte zur Verwaltungsuntersuchung aufbewahrt wird. In derartigen Fällen wird auch die zur Personalakte des Bediensteten genommene Mitteilung aufbewahrt. |
(4) Das Risiko für die Rechte und Freiheiten der betroffenen Person kann Risiken für das Recht auf Wahrung der Vertraulichkeit ihrer privaten Kommunikation, das Recht auf freie Meinungsäußerung und Information und das Recht auf Verteidigung und auf rechtliches Gehör nach sich ziehen. Diese Risiken werden abgewogen gegen die Gründe und Zwecke, die eine Anwendung der in diesem Beschluss vorgesehenen Beschränkungen rechtfertigen. Dieses Abwägen ist ordnungsgemäß zu dokumentieren und nach einer Prüfung des Einzelfalls vorzunehmen, damit sichergestellt ist, dass eine Beschränkung nur angewandt wird, wenn sie notwendig ist und auf verhältnismäßige Weise sowie im Einklang mit den in diesem Beschluss niedergelegten Vorschriften erfolgt.
Artikel 3
Beschränkungen
(1) Gemäß Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 nur angewandt werden, wenn sie Folgendes sicherstellt:
a) |
die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder der Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; |
b) |
sonstige wichtige Ziele des allgemeinen öffentlichen Interesses der Union oder eines Mitgliedstaats, insbesondere ein wichtiges wirtschaftliches oder finanzielles Interesse der Union oder eines Mitgliedstaats, darunter öffentliche Gesundheit und soziale Sicherheit; |
c) |
die innere Sicherheit der Organe und Einrichtungen der Union einschließlich ihrer elektronischen Kommunikationsnetze; |
d) |
die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe; |
e) |
Kontroll-, Überwachungs- und Ordnungsfunktionen, die dauernd oder zeitweise mit der Ausübung öffentlicher Gewalt für die unter den Buchstaben a bis c genannten Zwecke verbunden sind; |
f) |
den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen. |
(2) Als eine spezifische Anwendung der vorstehend in Absatz 1 beschriebenen Zwecke kann die Agentur unter folgenden Umständen Beschränkungen in Bezug auf personenbezogene Daten, die mit Dienststellen der Kommission oder anderen Organen, Einrichtungen und sonstigen Stellen der Union, zuständigen Behörden von Mitgliedstaaten oder Drittländern oder internationalen Organisation ausgetauscht werden, auferlegen:
a) |
wenn die Ausübung dieser Rechte und Pflichten durch Dienststellen der Kommission oder andere Organe, Einrichtungen und sonstige Stellen der Union auf der Grundlage von anderen in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehenen Rechtsakten oder gemäß Kapitel IX dieser Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen und sonstigen Stellen der Union beschränkt werden könnte; |
b) |
wenn die Ausübung dieser Rechte und Pflichten durch zuständige Behörden von Mitgliedstaaten auf der Grundlage von in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (5) genannten Rechtsakten oder unter nationalen Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates (6) beschränkt werden könnte; |
c) |
wenn die Ausübung dieser Rechte und Pflichten die Zusammenarbeit der Agentur mit Drittländern oder internationalen Organisationen bei der Durchführung ihrer Aufgaben gefährden könnte. |
Vor der Auflage von Beschränkungen unter den in den Buchstaben a und b des ersten Unterabsatzes genannten Umständen konsultiert die Agentur die relevanten Dienststellen der Kommission, die Organe, Einrichtungen und sonstigen Stellen der Union oder die zuständigen Behörden von Mitgliedstaaten, es sei denn, für die Agentur ist klar, dass die Auflage einer Beschränkung durch einen der in diesen Punkten genannten Rechtsakte vorgesehen ist.
(3) Jede Beschränkung muss in einer demokratischen Gesellschaft notwendig und verhältnismäßig sein und den Wesensgehalt der Grundrechte und Grundfreiheiten wahren.
(4) Auf der Grundlage der vorliegenden Vorschriften wird eine Prüfung von Notwendigkeit und Verhältnismäßigkeit vorgenommen. Zu Rechenschaftszwecken wird dies von Fall zu Fall mittels einer internen Beurteilungsmitteilung dokumentiert.
(5) Beschränkungen sind angemessen zu überwachen, und spätestens alle sechs Monate hat eine regelmäßige Prüfung zu erfolgen, bei der beurteilt wird, ob die Bedingungen, die eine bestimmte Beschränkung rechtfertigen, noch immer gegeben sind.
(6) Beschränkungen sind aufzuheben, sobald die Voraussetzungen für ihre Anwendung nicht länger gegeben sind, wenn beispielsweise die Wahrnehmung der Rechte der betroffenen Person (z. B. Information über die Datenverarbeitung und Akteneinsicht) den Zweck der betreffenden Untersuchung oder des betreffenden Verfahrens nicht länger gefährdet.
Artikel 4
Information des Datenschutzbeauftragten und Überprüfung
(1) Der Verantwortliche informiert (im Namen der Agentur) den DSB der Agentur unverzüglich, sobald er die Wahrnehmung der Rechte der betroffenen Person im Einklang mit diesem Beschluss beschränkt, und gewährt Zugang zu den Aufzeichnungen und Unterlagen bezüglich der Notwendigkeit und Verhältnismäßigkeit der Beschränkung (einschließlich aller Dokumente, die zugrundeliegende sachliche und rechtliche Elemente enthalten). Dieses Erfordernis gilt ebenfalls für alle späteren Prüfungen der Beschränkung.
(2) Der DSB kann den Verantwortlichen schriftlich dazu auffordern, die Anwendung der Beschränkungen zu prüfen. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der angeforderten Prüfung.
(3) Der Informationsaustausch mit dem DSB während des gesamten Verfahrens wird aufgezeichnet und schriftlich dokumentiert.
Artikel 5
Beschränkung der Unterrichtung der betroffenen Person
(1) Die Agentur nimmt in die in ihrem Intranet veröffentlichte Datenschutzerklärung für Verwaltungsuntersuchungen und Disziplinarverfahren eine Unterrichtung über eine mögliche Beschränkung dieser Rechte auf. Die Unterrichtung bezieht sich darauf, welche Rechte beschränkt werden können, die Gründe für diese Beschränkung und ihre mögliche Dauer.
(2) Darüber hinaus informiert die Agentur unverzüglich und in Schriftform und unbeschadet der folgenden Absätze einzelne betroffene Personen über ihre Rechte im Zusammenhang mit bestehenden oder künftigen Beschränkungen.
(3) Wenn die Agentur ganz oder teilweise die Unterrichtung betroffener Personen nach diesem Beschluss beschränkt, zeichnet sie die Gründe für die Beschränkung auf, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung. Zu diesem Zweck wird in der Aufzeichnung festgehalten, inwiefern die Unterrichtung den Zweck der betreffenden Untersuchung oder des betreffenden Verfahrens gefährden oder sich nachteilig auf die Rechte und Freiheiten anderer auswirken würde. Die Aufzeichnung und gegebenenfalls die Dokumente, die zugrundeliegende sachliche und rechtliche Elemente enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt.
(4) Die in Absatz 3 erwähnte Beschränkung gilt so lange, wie die sie rechtfertigenden Gründe dafür gelten. Gelten die Gründe für die Beschränkung nicht mehr, stellt die Agentur der betroffenen Person die entsprechenden Informationen zur Verfügung und gibt ihr Auskunft über die Gründe der Beschränkung. Die betroffenen Personen können sich jederzeit mit Fragen an den DSB wenden.
(5) Gleichzeitig informiert die Agentur die betroffene Person über die Möglichkeit, jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen.
(6) Die Agentur prüft die Anwendung der Beschränkung alle sechs Monate nach ihrer Auferlegung sowie am Ende des Verfahrens.
Artikel 6
Beschränkung des Auskunftsrechts der betroffenen Person
(1) Wenn betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten im Zusammenhang mit einem oder mehreren spezifischen Fällen oder über einen bestimmten Verarbeitungsvorgang beantragen, begrenzt die Agentur ihre Prüfung des Antrags ausschließlich auf diese personenbezogenen Daten.
(2) Wenn die Agentur das in Artikel 17 der Verordnung (EU) 2018/1725 genannte Auskunftsrecht ganz oder teilweise beschränkt, ergreift sie folgende Maßnahmen:
a) |
In ihrer Stellungnahme zu dem Antrag informiert sie die betroffene Person über die auferlegte Beschränkung und über die Hauptgründe dafür insoweit, als dies den Zweck der betreffenden Untersuchung oder des betreffenden Verfahrens nicht gefährdet, sowie über die Möglichkeit des Einlegens einer Beschwerde beim Europäischen Datenschutzbeauftragten oder eines Rechtsbehelfs beim Gerichtshof der Europäischen Union; |
b) |
sie zeichnet die Gründe für die Beschränkung einschließlich einer Prüfung der Notwendigkeit und der Verhältnismäßigkeit der Beschränkung auf; zu diesem Zweck wird in der Aufzeichnung dargestellt, inwieweit die Gewährung von Auskünften die betreffende Untersuchung oder das betreffende Verfahren gefährden oder die Rechte und Freiheiten anderer beeinträchtigen würde. |
Die in Buchstabe a erwähnte Unterrichtung kann gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 zurückgestellt, unterlassen oder abgelehnt werden.
(3) Die in Buchstabe b von Absatz 2 erwähnte Aufzeichnung und gegebenenfalls die Dokumente, die zugrundeliegende sachliche und rechtliche Elemente enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anfrage zur Verfügung gestellt. Es gilt Artikel 25 Absatz 7 der Verordnung (EU) 2018/1725.
Artikel 7
Beschränkung des Rechts auf Berichtigung, Löschung und Einschränkung der Verarbeitung
Wenn die Agentur die Anwendung des in Artikel 18, Artikel 19 Absatz 1, Artikel 20 Absatz 1 und Artikel 21 der Verordnung (EU) 2018/1725 genannten Rechts auf Berichtigung, Löschung und Einschränkung der Verarbeitung ganz oder teilweise beschränkt, ergreift sie die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert die Aufzeichnung gemäß Artikel 6 Absatz 3.
Artikel 8
Beschränkung der Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten an betroffene Personen und Vertraulichkeit der elektronischen Kommunikation
(1) Wenn die Agentur die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person gemäß Artikel 35 der Verordnung (EU) 2018/1725 beschränkt, zeichnet sie gemäß Artikel 5 Absätze 3 bis 6 dieses Beschlusses die Gründe für die Beschränkung auf und registriert sie.
(2) Wenn die Agentur das in Artikel 36 der Verordnung (EU) 2018/1725 erwähnte Recht auf Vertraulichkeit der elektronischen Kommunikation einer betroffenen Person beschränkt, zeichnet sie gemäß Artikel 5 Absätze 3 6 dieses Beschlusses die Gründe für die Beschränkung auf und registriert sie.
Artikel 9
Inkrafttreten
Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Amsterdam, den 12. Juni 2019
Christa WIRTHUMER-HOCHE
Vorsitzende des Verwaltungsrats der EMA
(1) ABl. L 295 vom 21.11.2018, S. 39.
(2) ABl. L 248 vom 18.9.2013, S. 1.
(3) Dok.-Nr. 7.20/08.
(4) Verordnung (EG) Nr. 726/2004 des Europäischen Parlaments und des Rates vom 31. März 2004 zur Festlegung von Unionsverfahren für die Genehmigung und Überwachung von Human- und Tierarzneimitteln und zur Errichtung einer Europäischen Arzneimittel-Agentur (ABl. L 136 vom 30.4.2004, S. 1).
(5) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1).
(6) Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89).