EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 32020Q0331(01)
Decision of the Management Board of the European Centre for Disease Prevention and Control of 9 September 2019 on internal rules concerning restrictions of certain rights of data subjects in relation to processing of personal data in the framework of the functioning of the European Centre for Disease Prevention and Control
Beschluss des Verwaltungsrats des Europäischen Zentrums für die Prävention und die Kontrolle von Krankheiten vom 9. September 2019 über interne Vorschriften in Bezug auf Beschränkungen bestimmter Rechte von betroffenen Personen in Verbindung mit der Verarbeitung personenbezogener Daten im Rahmen der Arbeit des Europäischen Zentrums für die Prävention und die Kontrolle von Krankheiten
Beschluss des Verwaltungsrats des Europäischen Zentrums für die Prävention und die Kontrolle von Krankheiten vom 9. September 2019 über interne Vorschriften in Bezug auf Beschränkungen bestimmter Rechte von betroffenen Personen in Verbindung mit der Verarbeitung personenbezogener Daten im Rahmen der Arbeit des Europäischen Zentrums für die Prävention und die Kontrolle von Krankheiten
ABl. L 98 vom 31.3.2020, p. 38–44
(BG, ES, CS, DA, DE, ET, EL, EN, FR, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
31.3.2020 |
DE |
Amtsblatt der Europäischen Union |
L 98/38 |
BESCHLUSS DES VERWALTUNGSRATS DES EUROPÄISCHEN ZENTRUMS FÜR DIE PRÄVENTION UND DIE KONTROLLE VON KRANKHEITEN
vom 9. September 2019
über interne Vorschriften in Bezug auf Beschränkungen bestimmter Rechte von betroffenen Personen in Verbindung mit der Verarbeitung personenbezogener Daten im Rahmen der Arbeit des Europäischen Zentrums für die Prävention und die Kontrolle von Krankheiten
DER VERWALTUNGSRAT DES EUROPÄISCHEN ZENTRUMS FÜR DIE PRÄVENTION UND DIE KONTROLLE VON KRANKHEITEN (im Folgenden „ECDC“) —
gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union,
gestützt auf Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates vom 23. Oktober 2018 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union, zum freien Datenverkehr und zur Aufhebung der Verordnung (EG) Nr. 45/2001 und des Beschlusses Nr. 1247/2002/EG (1), insbesondere Artikel 25,
gestützt auf Verordnung (EG) Nr. 851/2004 des europäischen Parlaments und des Rates vom 21. April 2004 zur Errichtung eines Europäischen Zentrums für die Prävention und die Kontrolle von Krankheiten (2), insbesondere auf Artikel 20 Absatz 4,
gestützt auf die Geschäftsordnung des Verwaltungsrats des ECDC, insbesondere Artikel 10,
gestützt auf die Stellungnahme des EDSB vom 22. Juli 2019 und auf die EDSB-Leitlinien zu Artikel 25 der neuen Verordnung und den internen Vorschriften,
nach Anhörung der Personalvertretung, in Erwägung nachstehender Gründe:
(1) |
Das ECDC führt seine Aktivitäten in Übereinstimmung mit Verordnung (EG) Nr. 851/2004 aus. |
(2) |
Gemäß Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 sollten Beschränkungen der Anwendung der Artikel 14 bis 22, 35 und 36 sowie des Artikels 4 dieser Verordnung, insofern dessen Bestimmungen den in den Artikeln 14 bis 22 vorgesehenen Rechten und Pflichten entsprechen, auf von dem ECDC zu erlassenden internen Vorschriften beruhen, wenn diese nicht auf Rechtsakten beruhen, die auf der Grundlage der Verträge erlassen worden sind. |
(3) |
Diese internen Vorschriften, einschließlich ihrer Bestimmungen über die Beurteilung der Notwendigkeit und Verhältnismäßigkeit einer Beschränkung, sollten nicht gelten, wenn eine Beschränkung von Rechten betroffener Personen durch einen auf der Grundlage der Verträge erlassenen Rechtsakt vorgesehen ist. |
(4) |
Wenn das ECDC seine Pflichten bezüglich Rechten betroffener Personen gemäß Verordnung (EU) 2018/1725 erfüllt, ist zu berücksichtigen, ob etwaige der in dieser Verordnung vorgesehenen Ausnahmen Geltung haben. |
(5) |
Im Rahmen seiner administrativen Tätigkeit kann das ECDC Verwaltungsuntersuchungen, Disziplinarverfahren und erste Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden, durchführen, Meldungen von Missständen bearbeiten, (formelle und informelle) Verfahren in Bezug auf Mobbing und sexuelle Belästigung bearbeiten, interne und externe Beschwerden bearbeiten, interne Prüfungen durchführen, Gesundheitsdaten von ECDC-Mitarbeitern verarbeiten, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725 und interne (IT-)Sicherheitsüberprüfungen durchführen. |
(6) |
Das ECDC verarbeitet mehrere Kategorien personenbezogener Daten, einschließlich harter Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikations- und Verkehrsdaten) und/oder weicher Daten (fallbezogene „subjektive“ Daten wie Begründungen, verhaltensbezogene Daten, Bewertungen, Leistungs- und Verhaltensdaten und Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang mit diesem Gegenstand übertragen werden). |
(7) |
Das durch seinen Direktor vertretene ECDC wirkt als der Verantwortliche, unabhängig von weiteren Delegierungen dieser Rolle innerhalb des ECDC zur Berücksichtigung betrieblicher Zuständigkeiten für spezifische Verarbeitungsvorgänge an personenbezogenen Daten. |
(8) |
Die personenbezogenen Daten sind sicher in einer elektronischen Umgebung oder auf Papier gespeichert, wodurch unrechtmäßiger Zugang oder unrechtmäßige Übermittlung von Daten an Personen, die keine Kenntnis dieser Daten haben müssen, verhindert wird. Die verarbeiteten personenbezogenen Daten werden nur so lange gespeichert, wie dies für die Datenverarbeitungszwecke notwendig und angemessen ist, und für die in den Datenschutzhinweisen, Datenschutzerklärungen oder Aufzeichnungen des ECDC angegebene Dauer. |
(9) |
Die internen Vorschriften sollten für sämtliche Verarbeitungsvorgänge gelten, die von dem ECDC zur Durchführung von Verwaltungsuntersuchungen, Disziplinarverfahren, ersten Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden, Meldungen von Missständen, (formellen und informellen) Verfahren in Bezug auf Mobbing und sexuelle Belästigung, zur Bearbeitung von internen und externen Beschwerden, zur Durchführung von internen Prüfungen, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725, intern oder extern abgewickelten (z. B. durch das CERT-EU) (IT-)Sicherheitsüberprüfungen und in Bezug auf den Umgang mit Personalakten von Mitarbeitern ausgeführt werden. |
(10) |
Sie sollten für Verarbeitungsvorgänge gelten, die vor der Einleitung der vorstehend genannten Verfahren, während dieser Verfahren und bei der Überwachung der aufgrund des Ergebnisses dieser Verfahren getroffenen Folgemaßnahmen vorgenommen werden. Unterstützung und Zusammenarbeit, die das ECDC nationalen Behörden und internationalen Organisationen außerhalb ihrer Verwaltungsuntersuchungen gewährt, sollten ebenfalls mit eingeschlossen sein. |
(11) |
Wo diese internen Vorschriften greifen, muss das ECDC begründen, warum die Beschränkungen in einer demokratischen Gesellschaft unbedingt notwendig und verhältnismäßig sind, und das Wesen der Grundrechte und Grundfreiheiten respektieren. |
(12) |
Innerhalb dieses Rahmens ist das ECDC verpflichtet, die Grundrechte der betroffenen Personen, insbesondere jene bezüglich des Rechts auf Unterrichtung, Auskunft und Berichtigung, des Rechts auf Löschung, die Einschränkung der Verarbeitung, des Rechts zu Mitteilungen über eine Verletzung des Schutzes personenbezogener Daten an die betroffene Person oder Vertraulichkeit von Kommunikationen, wie in Verordnung (EU) 2018/1725 verankert, während der obigen Vorgänge so weit wie möglich zu respektieren. |
(13) |
Das ECDC kann jedoch verpflichtet sein, die Informationen über die Rechte der betroffenen Person und anderer betroffener Personen zu beschränken, um insbesondere seine eigenen Ermittlungen, die Ermittlungen und Verfahren anderer Behörden sowie die Rechte anderer Personen, mit denen seine Ermittlungen oder andere Verfahren in Beziehung stehen, zu schützen. |
(14) |
Das ECDC kann somit die Informationen zum Zwecke des Schutzes der Ermittlung und der Grundrechte und Grundfreiheiten anderer betroffener Personen beschränken. |
(15) |
Das ECDC sollte in regelmäßigen Abständen prüfen, dass die Bedingungen, auf denen die Beschränkung beruht, noch gelten, und die Beschränkung aufheben, falls sie nicht mehr gelten. |
(16) |
Der Verantwortliche sollte den Datenschutzbeauftragten zum Zeitpunkt einer Zurückstellung und während der Überprüfungen unterrichten — |
HAT FOLGENDEN BESCHLUSS ERLASSEN:
Artikel 1
Gegenstand und Umfang
(1) In diesem Beschluss werden die Vorschriften für die Bedingungen festgelegt, unter denen das ECDC im Rahmen seiner in Absatz 2 dargelegten Verfahren die Anwendung der Rechte gemäß Artikel 14 bis 21, 35 und 36 sowie Artikel 4 davon unter Beachtung von Artikel 25 der Verordnung (EU) 2018/1725 beschränken kann.
(2) Im Rahmen der administrativen Tätigkeit des ECDC gilt dieser Beschluss für Vorgänge zur Verarbeitung personenbezogener Daten durch das ECDC zum Zweck der Durchführung von Verwaltungsuntersuchungen, Disziplinarverfahren, ersten Maßnahmen im Zusammenhang mit Fällen möglicher Unregelmäßigkeiten, die dem OLAF gemeldet werden, Meldungen von Missständen, (formellen und informellen) Verfahren in Bezug auf Mobbing und sexuelle Belästigung, der Bearbeitung von internen und externen Beschwerden, der Durchführung von internen Prüfungen, Untersuchungen durch den Datenschutzbeauftragten gemäß Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725, intern oder extern abgewickelten (z. B. durch das CERT-EU) (IT-)Sicherheitsüberprüfungen und in Bezug auf den Umgang mit Personalakten von Mitarbeitern (wenn diese Daten psychologischer oder psychiatrischer Art enthalten können).
(3) Die betroffenen Datenkategorien sind harte Daten („objektive“ Daten wie Identifikationsdaten, Kontaktdaten, berufsbezogene Daten, Verwaltungsdaten, Daten aus bestimmten Quellen, elektronische Kommunikation- und Verkehrsdaten) und/oder weiche Daten (fallbezogene „subjektive“ Daten wie Beweisführung, verhaltensbezogene Daten, Beurteilungen, Leistungs- und Verhaltensdaten sowie Daten, die sich auf den Gegenstand des Verfahrens oder der Tätigkeit beziehen oder im Zusammenhang mit diesem Gegenstand übertragen werden).
(4) Wenn das ECDC seine Pflichten bezüglich Rechten betroffener Personen gemäß Verordnung (EU) 2018/1725 erfüllt, ist zu berücksichtigen, ob etwaige der in dieser Verordnung vorgesehenen Ausnahmen Geltung haben.
(5) Vorbehaltlich der in dem Beschluss festgelegten Bedingungen können die Beschränkungen für die folgenden Rechte gelten: Recht auf Unterrichtung der betroffenen Personen, Auskunft und Berichtigung von personenbezogenen Daten, Löschung, Einschränkung der Verarbeitung, Recht zu Mitteilungen über eine Verletzung des Schutzes personenbezogener Daten an die betroffene Person oder Vertraulichkeit von Kommunikationen.
Artikel 2
Spezifizierung des Verantwortlichen und Garantien
(1) Zur Vermeidung von Verletzungen des Schutzes personenbezogener Daten, Datenverlusten oder unbefugtem Zugang zu personenbezogenen Daten bestehen die folgenden Garantien:
a) |
Papierdokumente werden in gesicherten Schränken aufbewahrt und sind nur befugten Mitarbeitern zugänglich; |
b) |
alle elektronischen Daten werden in sicheren IT-Anwendungen in Übereinstimmung mit den Sicherheitsnormen des ECDC sowie in spezifischen elektronischen Ordnern gespeichert, die nur befugten Mitarbeitern zugänglich sind. Angemessener Zugang wird auf individueller Basis erteilt; |
c) |
die Datenbank ist passwortgeschützt und nur befugten Benutzern zugänglich. E-Aufzeichnungen werden sicher aufbewahrt, um die Vertraulichkeit und den Schutz der darin enthaltenen Daten zu garantieren; |
d) |
alle Personen, die Zugang zu den Daten haben, sind zur Verschwiegenheit verpflichtet oder an Geheimhaltungsvereinbarungen gebunden. |
(2) Der Verantwortliche ist das ECDC, das von seinem Direktor vertreten wird, der die Funktion des Verantwortlichen delegieren kann. Betroffene Personen werden im Wege der auf der Website und/oder im Intranet des ECDC veröffentlichten Datenschutzmitteilungen oder Aufzeichnungen über den delegierten Verantwortlichen informiert.
(3) Der in Artikel 1 Absatz 3 genannte Speicherungszeitraum der personenbezogenen Daten ist nicht länger als für die Datenverarbeitungszwecke notwendig und angemessen ist. Auf jeden Fall ist er nicht länger als der in den Datenschutzhinweisen, Datenschutzerklärungen oder Aufzeichnungen gemäß Artikel 5 Absatz 1 angegebene Speicherungszeitraum.
(4) Wenn das ECDC eine Beschränkung in Erwägung zieht, werden die Risiken für die Rechte und Freiheiten der betroffenen Person insbesondere gegen die Risiken für die Rechte und Freiheiten anderer betroffener Personen und die Gefahr der Aufhebung der Wirkung von ECDC-Ermittlungen oder -Verfahren beispielsweise durch das Vernichten von Beweismitteln abgewogen. Die Risiken für die Rechte und Freiheiten der betroffenen Person betreffen in erster Linie Reputationsrisiken und Risiken für das Verteidigungsrecht und den Anspruch auf rechtliches Gehör, ohne darauf beschränkt zu sein.
Artikel 3
Beschränkungen
(1) Beschränkungen werden von dem ECDC nur vorgenommen, um Folgendes zu garantieren:
a) |
die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; |
b) |
die interne Sicherheit von Organen und Einrichtungen der Union, einschließlich ihrer elektronischen Kommunikationsnetzwerke; |
c) |
die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen Berufsstandsregeln bei reglementierten Berufen; |
d) |
eine Kontroll-, Überwachungs- oder Ordnungsfunktion, die — wenn auch nur zeitweise — mit der Ausübung öffentlicher Gewalt in unter Buchstabe a genannten Fällen verbunden sind; |
e) |
den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen. |
(2) Als eine spezifische Anwendung der in obigem Absatz 1 beschriebenen Zwecke kann das ECDC unter folgenden Umständen Beschränkungen in Bezug auf personenbezogene Daten, die mit Kommissionsdienststellen oder anderen Organen, Einrichtungen, Agenturen und Ämtern der Union, zuständigen Behörden von Mitgliedstaaten oder Drittländern oder internationalen Organisationen ausgetauscht werden, auferlegen:
a) |
wo die Ausübung dieser Rechte und Pflichten durch Kommissionsdienststellen oder andere Organe, Einrichtungen, Agenturen und Ämter der Union auf der Grundlage von anderen in Artikel 25 der Verordnung (EU) 2018/1725 vorgesehenen Rechtsakten oder gemäß Kapitel IX dieser Verordnung oder gemäß den Gründungsakten anderer Organe, Einrichtungen, Agenturen und Ämtern der Union beschränkt werden könnte; |
b) |
wo die Ausübung dieser Rechte und Pflichten durch zuständige Behörden von Mitgliedstaaten auf der Grundlage von in Artikel 23 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (3) genannten Rechtsakten oder unter nationalen Maßnahmen zur Umsetzung von Artikel 13 Absatz 3, Artikel 15 Absatz 3 oder Artikel 16 Absatz 3 der Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates (4) beschränkt werden könnte; |
c) |
wo die Ausübung dieser Rechte und Pflichten die Zusammenarbeit des ECDC mit Drittländern oder internationalen Organisationen bei der Durchführung seiner Aufgaben gefährden könnte. |
Vor der Auflage von Beschränkungen unter den in Punkten a und b des ersten Unterabsatzes genannten Umständen konsultiert das ECDC die relevanten Kommissionsdienststellen, Organe, Einrichtungen, Agenturen, Ämter der Union oder die zuständigen Behörden von Mitgliedstaaten, es sei denn, für das ECDC ist klar, dass die Auflage einer Beschränkung durch einen der in diesen Punkten genannten Rechtsakte vorgesehen ist.
(3) Jede Beschränkung muss eine notwendige und verhältnismäßige Maßnahme darstellen und die Risiken für die Rechte und Freiheiten betroffener Personen und den Wesensgehalt der Grundrechte und -freiheiten in einer demokratischen Gesellschaft achten.
(4) Wenn die Auflage einer Beschränkung in Erwägung gezogen wird, wird auf der Grundlage der vorliegenden Vorschriften eine Prüfung von Notwendigkeit und Verhältnismäßigkeit vorgenommen. Zu Rechenschaftszwecken wird dies von Fall zu Fall mittels einer internen Beurteilungsmitteilung dokumentiert.
(5) Sobald die die Beschränkungen rechtfertigenden Umstände nicht mehr vorliegen, werden diese aufgehoben. Insbesondere wenn gilt, dass die Wirkung der auferlegten Beschränkung durch die Ausübung des beschränkten Rechts nicht mehr aufgehoben wird oder die Rechte oder Freiheiten anderer betroffener Personen dadurch nicht mehr in Mitleidenschaft gezogen werden.
Artikel 4
Prüfung durch den Datenschutzbeauftragten
(1) Das ECDC informiert seinen Datenschutzbeauftragten („DSB“) unverzüglich, wenn der Verantwortliche in Übereinstimmung mit diesem Beschluss die Geltung von Rechten betroffener Personen beschränkt oder die Beschränkung verlängert. Der Verantwortliche verschafft dem DSB Zugang zu der Aufzeichnung, die die Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung enthält, und dokumentiert das Datum, an dem der DSB informiert wurde, in der Aufzeichnung.
(2) Der DSB kann den Verantwortlichen schriftlich dazu auffordern, die Geltung der Beschränkungen zu prüfen. Der Verantwortliche informiert den DSB schriftlich über das Ergebnis der angeforderten Prüfung.
(3) Der Verantwortliche informiert den DSB, wenn die Beschränkung aufgehoben worden ist.
Artikel 5
Unterrichtung der betroffenen Person
(1) In angemessen begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Unterrichtung durch den Verantwortlichen im Zusammenhang mit den folgenden Verarbeitungsvorgängen beschränkt werden:
a) |
der Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; |
b) |
vorläufigen Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten; |
c) |
Verfahren in Bezug auf Meldungen von Missständen (Whistleblowing); |
d) |
(formellen und informellen) Verfahren in Bezug auf Mobbing und sexuelle Belästigung; |
e) |
Bearbeitung von internen und externen Beschwerden; |
f) |
internen Audits; |
g) |
den Untersuchungen durch den Datenschutzbeauftragten in Übereinstimmung mit Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; |
h) |
intern oder mit externer Beteiligung (z. B. CERT-EU) gehandhabten (IT-)Sicherheitsuntersuchungen. |
In die auf der Website und/oder im Intranet des ECDC veröffentlichten Datenschutzhinweise, Datenschutzerklärungen oder Aufzeichnungen im Sinne von Artikel 31 der Verordnung (EU) 2018/1725, in denen betroffene Personen über ihre Rechte im Rahmen eines gegebenen Verfahrens informiert werden, nimmt das ECDC Informationen über die potenzielle Beschränkung dieser Rechte auf. Die Unterrichtung bezieht sich darauf, welche Rechte beschränkt werden können, die Gründe dafür und die mögliche Dauer.
(2) Unbeschadet der Bestimmungen von Absatz 3 informiert das ECDC, falls verhältnismäßig, auch alle betroffenen Personen, die als von den spezifischen Verarbeitungsvorgängen betroffene Personen gelten, einzeln, unverzüglich und schriftlich über ihre Rechte in Bezug auf gegenwärtige oder künftige Beschränkungen.
(3) Wenn das ECDC die in Absatz 2 erwähnte Bereitstellung von Informationen an die betroffenen Personen gänzlich oder teilweise beschränkt, zeichnet es die Gründe für die Beschränkung und die Rechtsgrundlage gemäß Artikel 3 dieses Beschlusses, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung auf.
Die Aufzeichnung und gegebenenfalls die Dokumente, die zugrunde liegende sachliche und rechtliche Elemente enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.
(4) Die in Absatz 3 erwähnte Beschränkung gilt so lange, wie die sie rechtfertigenden Gründe dafür gelten.
Wenn die Gründe für die Beschränkung nicht mehr gelten, informiert das ECDC die betroffene Person über die Hauptgründe, auf denen das Auferlegen einer Beschränkung basiert. Gleichzeitig teilt das ECDC der betroffenen Person mit, dass sie jederzeit Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einlegen kann.
Das ECDC prüft das Gelten der Beschränkung alle sechs Monate nach ihrer Auferlegung sowie nach Abschluss der relevanten Ermittlung, des relevanten Verfahrens oder der relevanten Untersuchung. Danach überwacht der Verantwortliche alle sechs Monate die Notwendigkeit der Aufrechterhaltung einer Beschränkung.
Artikel 6
Auskunftsrechte der betroffenen Person
(1) In angemessen begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Auskunftsrecht durch den Verantwortlichen im Zusammenhang mit den folgenden Verarbeitungsvorgängen, wenn nötig und verhältnismäßig, beschränkt werden:
a) |
der Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; |
b) |
vorläufigen Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten; |
c) |
Verfahren in Bezug auf Meldungen von Missständen (Whistleblowing); |
d) |
(formellen und informellen) Verfahren in Bezug auf Mobbing und sexuelle Belästigung; |
e) |
Bearbeitung von internen und externen Beschwerden; |
f) |
internen Audits; |
g) |
den Untersuchungen durch den Datenschutzbeauftragten in Übereinstimmung mit Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; |
h) |
intern oder mit externer Beteiligung (z. B. CERT-EU) gehandhabten (IT-)Sicherheitsuntersuchungen; |
i) |
in Bezug auf direkten Zugriff auf Dokumente im Zusammenhang mit medizinischen Daten psychologischer oder psychiatrischer Art, die in den Personalakten von ECDC-Mitarbeitern enthalten sind. |
Wenn betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten im Zusammenhang mit einem oder mehreren spezifischen Fällen oder über einen bestimmten Verarbeitungsvorgang beantragen, begrenzt das ECDC seine Beurteilung des Antrags auf ausschließlich diese personenbezogenen Daten.
(2) Wenn das ECDC das in Artikel 17 der Verordnung (EU) 2018/1725 genannte Auskunftsrecht gänzlich oder teilweise beschränkt, ergreift es die folgenden Maßnahmen:
a) |
es unterrichtet die jeweils betroffene Person in seiner Antwort auf den Antrag über die angewandte Beschränkung und die Hauptgründe hierfür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen; |
b) |
in einem internen Beurteilungsvermerk notiert es die Gründe für die Beschränkung, einschließlich einer Beurteilung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung und ihrer Dauer. |
Die in Punkt a erwähnte Unterrichtung kann zurückgestellt, unterlassen oder abgelehnt werden, wenn sie die Wirkung der gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 angewendeten Beschränkung zunichtemachen würde.
Das ECDC prüft das Gelten der Beschränkung alle sechs Monate nach ihrer Auferlegung sowie nach Abschluss der relevanten Untersuchung. Danach überwacht der Verantwortliche alle sechs Monate die Notwendigkeit der Aufrechterhaltung einer Beschränkung.
(3) Die Aufzeichnung und gegebenenfalls die Dokumente, die zugrunde liegende sachliche und rechtliche Elemente enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Anforderung zur Verfügung gestellt.
Artikel 7
Recht auf Berichtigung, Löschung und Einschränkung der Verarbeitung
(1) In angemessen begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Berichtigung, Löschung und Einschränkung durch den Verantwortlichen im Zusammenhang mit den folgenden Verarbeitungsvorgängen, wenn nötig und verhältnismäßig, beschränkt werden:
a) |
der Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; |
b) |
vorläufigen Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten; |
c) |
Verfahren in Bezug auf Meldungen von Missständen (Whistleblowing); |
d) |
(formellen und informellen) Verfahren in Bezug auf Mobbing und sexuelle Belästigung; |
e) |
Bearbeitung von internen und externen Beschwerden; |
f) |
internen Audits; |
g) |
den Untersuchungen durch den Datenschutzbeauftragten in Übereinstimmung mit Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; |
h) |
intern oder mit externer Beteiligung (z. B. CERT-EU) gehandhabten (IT-)Sicherheitsuntersuchungen. |
(2) Wenn das ECDC die Geltung des in Artikeln 18, 19 Absatz 1 und 20 Absatz 1 der Verordnung (EU) 2018/1725 genannten Rechts auf Berichtigung, Löschung und Einschränkung der Verarbeitung gänzlich oder teilweise beschränkt, ergreift es die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert die Aufzeichnung gemäß Artikel 6 Absatz 3 davon.
Artikel 8
Mitteilungen über eine Verletzung des Schutzes personenbezogener Daten an den Betroffenen und Vertraulichkeit von elektronischen Kommunikationen
(1) In angemessen begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Mitteilung über eine Verletzung des Schutzes personenbezogener Daten durch den Verantwortlichen im Zusammenhang mit den folgenden Verarbeitungsvorgängen, wenn nötig und verhältnismäßig, beschränkt werden:
a) |
der Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; |
b) |
vorläufigen Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten; |
c) |
Verfahren in Bezug auf Meldungen von Missständen (Whistleblowing); |
d) |
(formellen und informellen) Verfahren in Bezug auf Mobbing und sexuelle Belästigung; |
e) |
Bearbeitung von internen und externen Beschwerden; |
f) |
internen Audits; |
g) |
den Untersuchungen durch den Datenschutzbeauftragten in Übereinstimmung mit Artikel 45 Absatz 2 der Verordnung (EU) 2018/1725; |
h) |
intern oder mit externer Beteiligung (z. B. CERT-EU) gehandhabten (IT-)Sicherheitsuntersuchungen. |
(2) In angemessen begründeten Fällen und unter den in diesem Beschluss festgelegten Bedingungen kann das Recht auf Vertraulichkeit der elektronischen Kommunikation durch den Verantwortlichen im Zusammenhang mit den folgenden Verarbeitungsvorgängen, wenn nötig und angemessen, beschränkt werden:
a) |
der Durchführung von Verwaltungsuntersuchungen und Disziplinarverfahren; |
b) |
vorläufigen Aktivitäten im Zusammenhang mit potenziellen, dem OLAF gemeldeten Unregelmäßigkeiten; |
c) |
Verfahren in Bezug auf Meldungen von Missständen (Whistleblowing); |
d) |
formellen Verfahren in Bezug auf Mobbing und sexuelle Belästigung; |
e) |
Bearbeitung von internen und externen Beschwerden; |
f) |
intern oder mit externer Beteiligung (z. B. CERT-EU) gehandhabten (IT-)Sicherheitsuntersuchungen. |
(3) Wenn das ECDC die Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person oder die Vertraulichkeit der elektronischen Kommunikation, wie in Artikel 35 und 36 der Verordnung (EU) 2018/1725 erwähnt, beschränkt, zeichnet es gemäß Artikel 5 Absatz 3 dieses Beschlusses die Gründe für die Beschränkung auf und registriert sie. Es gilt Artikel 5 Absatz 4 dieses Beschlusses.
Artikel 9
Inkrafttreten
Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Geschehen zu Stockholm am 9. September 2019.
Für das Europäische Zentrum für die Prävention und die Kontrolle von Krankheiten
Anni VIROLAINEN-JULKUNEN
Vorsitzende des Verwaltungsrats
(1) ABl. L 295, 21.11.2018, S. 39.
(2) ABl. L 142, 30.4.2004, S. 1.
(3) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1).
(4) Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (ABl. L 119 vom 4.5.2016, S. 89).