(1)

Het Europees Uitvoerend Agentschap voor gezondheid en digitaal beleid (HaDEA) (“het Agentschap”) is opgericht bij Uitvoeringsbesluit (EU) 2021/173 van met het oog op het verrichten van taken in verband met de uitvoering van Unieprogramma’s op het gebied van EU4Health, eengemaakte markt, onderzoek en innovatie, Digitaal Europa, Connecting Europe Facility — Digitaal (3).

(2)

In het kader van zijn administratieve en operationele werking is het Agentschap bevoegd om administratieve onderzoeken, inleidende tuchtprocedures, tucht- en schorsingsprocedures uit te voeren overeenkomstig het Statuut van de ambtenaren van de Europese Unie en de regeling welke van toepassing is op de andere personeelsleden van de Europese Unie, vastgelegd in Verordening (EEG, Euratom, EGKS) nr. 259/68 van de Raad (hierna “Statuut van de ambtenaren”) (4), en overeenkomstig de uitvoeringsvoorschriften voor het uitvoeren van administratieve onderzoeken en tuchtprocedures. Indien nodig kan het Agentschap voorbereidende activiteiten verrichten in verband met mogelijke gevallen van fraude en onregelmatigheden en kan het gevallen melden aan OLAF.

(3)

Personeelsleden van het Agentschap zijn verplicht om mogelijk illegale activiteiten te melden, met inbegrip van fraude en corruptie, die de belangen van de Unie schaden. De personeelsleden zijn ook verplicht om gedrag te melden dat verband houdt met de uitvoering van de taken van het ambt, die een ernstig plichtsverzuim van de ambtenaren van de Unie kunnen opleveren. Dit wordt geregeld door de interne regels of beleidsmaatregelen inzake klokkenluiden.

(4)

Het Agentschap heeft een beleid opgezet om feitelijke of potentiële gevallen van psychologische of seksuele intimidatie op de werkplek te voorkomen en doeltreffend aan te pakken overeenkomstig de uitvoeringsmaatregelen op grond van het Statuut van de ambtenaren die voorzien in een informele procedure volgens welke het vermeende slachtoffer van de intimidatie contact kan opnemen met de vertrouwenspersonen van het Agentschap.

(5)

Het Agentschap kan ook interne (IT-)veiligheidsonderzoeken uitvoeren en onderzoek doen naar mogelijke inbreuken op de beveiligingsvoorschriften voor gerubriceerde informatie van de Europese Unie (“EUCI”).

(6)

De activiteiten van het Agentschap worden onderworpen aan interne en externe audits, waaronder audits die worden uitgevoerd door de interne auditdiensten van de Europese Commissie en de Europese Rekenkamer.

(7)

Het Agentschap kan verzoeken van het Europees Openbaar Ministerie (EOM) en verzoeken om toegang tot medische dossiers van personeelsleden van het Agentschap behandelen en onderzoeken uitvoeren via de functionaris voor gegevensbescherming in overeenstemming met artikel 45, lid 2, van de verordening.

(8)

In het kader van dergelijke administratieve onderzoeken, audits, onderzoeken of verzoeken werkt het Agentschap samen met andere instellingen, organen en instanties van de Unie.

(9)

Het Agentschap kan op verzoek of op eigen initiatief samenwerken met nationale autoriteiten en internationale organisaties van derde landen.

(10)

Het Agentschap kan op verzoek of op eigen initiatief ook samenwerken met de overheidsinstanties van de EU-lidstaten.

(11)

Het Agentschap kan het voorwerp uitmaken van klachten, procedures of onderzoeken via klokkenluiders of de Europese Ombudsman.

(12)

Het Agentschap kan betrokken zijn bij zaken die aanhangig zijn bij het Hof van Justitie van de Europese Unie wanneer het een zaak aan het Hof voorlegt, een beslissing verdedigt die het heeft genomen en waartegen bij het Hof is opgekomen, of wanneer het intervenieert in voor zijn taken relevante gevallen. In dit verband kan het Agentschap verplicht zijn de vertrouwelijkheid van de persoonsgegevens in door de partijen of interveniënten verstrekte documenten te bewaren.

(13)

In het kader van zijn activiteiten verwerkt het Agentschap verschillende categorieën persoonsgegevens, waaronder identificatiegegevens van natuurlijke personen, contactinformatie, professionele rollen en taken, informatie over privé- en professioneel gedrag en prestaties, en financiële gegevens, alsook, in sommige specifieke gevallen, gevoelige gegevens (bv. gezondheidsgegevens). Persoonsgegevens omvatten feitelijke “harde” gegevens en “zachte” beoordelingsgegevens.

“Harde gegevens” zijn objectieve feitelijke gegevens zoals identificatiegegevens, contactgegevens, professionele gegevens, administratieve gegevens, metagegevens met betrekking tot elektronische communicatie en verkeersgegevens.

“Zachte gegevens” zijn subjectieve gegevens en omvatten met name de beschrijving en beoordeling van situaties en omstandigheden, adviezen, opmerkingen met betrekking tot betrokkenen, evaluatie van het gedrag en de prestaties van betrokkenen en de motivering van individuele besluiten in verband met het voorwerp van de procedure of de activiteit die door het Agentschap overeenkomstig het toepasselijke wettelijke kader wordt uitgevoerd.

Beoordelingen, opmerkingen en adviezen worden beschouwd als persoonsgegevens in de zin van artikel 3, lid 1, van de verordening.

(14)

Krachtens de verordening is het Agentschap derhalve verplicht de betrokkenen informatie over deze verwerkingsactiviteiten te verstrekken en hun rechten als betrokkene te eerbiedigen.

(15)

Het Agentschap verbindt zich ertoe de grondrechten van de betrokkenen zoveel mogelijk te eerbiedigen, met name het recht op informatieverstrekking, toegang en rectificatie, het recht op wissing, beperking van de verwerking, het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of de vertrouwelijkheid van communicatie, zoals vastgelegd in de verordening. Het Agentschap kan echter ook worden verplicht de rechten en plichten van de betrokkene te beperken met het oog op de bescherming van zijn activiteiten en de grondrechten en de fundamentele vrijheden van anderen.

(16)

Daarom biedt artikel 25, leden 1 en 5, van de verordening het Agentschap de mogelijkheid om onder voorwaarden de toepassing van de artikelen 14 tot en met 22, 35 en 36, en artikel 4 voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 20 voorzien, te beperken. Deze beperking gebeurt door middel van interne regels die op het hoogste bestuursniveau van het Agentschap worden vastgesteld en in het Publicatieblad van de Europese Unie moeten worden bekendgemaakt, voor zover zij niet gebaseerd zijn op rechtshandelingen die zijn vastgesteld op basis van de Verdragen.

(17)

Er kunnen beperkingen van toepassing zijn op verschillende rechten van de betrokkenen, waaronder het verstrekken van informatie aan de betrokkenen, het recht op toegang, rectificatie, wissing, beperking van verwerking, mededeling van een inbreuk op de persoonsgegevens aan de betrokkene of vertrouwelijkheid van communicatie zoals vastgelegd in de verordening.

(18)

Het Agentschap kan gehouden zijn deze rechten in overeenstemming te brengen met de doelstellingen van administratieve onderzoeken, audits, onderzoeken en gerechtelijke procedures. Het kan ook nodig zijn om de rechten van de betrokkene in evenwicht te brengen met de grondrechten en de fundamentele vrijheden van andere betrokkenen.

(19)

Zo kan het bijvoorbeeld noodzakelijk zijn dat het Agentschap de informatie die het aan een betrokkene over de verwerking van zijn of haar persoonsgegevens verstrekt, beperkt tijdens de inleidende fase van een administratief onderzoek of tijdens het onderzoek zelf, voorafgaand aan een eventuele seponering van een zaak of in de fase voorafgaand aan de tuchtprocedure. In bepaalde omstandigheden kan het verstrekken van dergelijke informatie ernstig afbreuk doen aan het vermogen van het Agentschap om een doeltreffend onderzoek te verrichten, wanneer er bijvoorbeeld een risico bestaat dat de betrokkene bewijsmateriaal vernietigt of mogelijke getuigen beïnvloedt voordat zij worden gehoord. Tevens kan het Agentschap gehouden zijn de rechten en vrijheden van getuigen en andere betrokkenen te beschermen.

(20)

Mogelijk is het Agentschap verplicht de anonimiteit van een getuige of een klokkenluider te beschermen die heeft gevraagd om niet geïdentificeerd te worden. In dat geval kan het Agentschap besluiten een beperking op te leggen voor de toegang tot de identiteit, verklaringen en andere persoonsgegevens van zulke personen of de verdachte, teneinde hun rechten en vrijheden te beschermen.

(21)

Het Agentschap kan verplicht zijn de vertrouwelijkheid te beschermen van een personeelslid dat de vertrouwenspersonen van het Agentschap heeft benaderd in verband met een intimidatieprocedure. In zulke gevallen moet het Agentschap mogelijk een beperking opleggen voor de toegang tot de identiteit, verklaringen en andere persoonsgegevens van het vermeende slachtoffer, de vermeende dader en andere betrokkenen, teneinde hun rechten en vrijheden te beschermen.

(22)

Met betrekking tot de selectie- en aanwervingsprocedures, de evaluatie van het personeel en de procedures voor overheidsopdrachten kan het recht op toegang, rectificatie, wissing en beperking slechts op bepaalde momenten en onder de voorwaarden zoals bepaald in de relevante procedures worden uitgeoefend om de rechten van andere betrokkenen te waarborgen en de beginselen van gelijke behandeling en geheimhouding van beraadslagingen in acht te nemen.

(23)

Het Agentschap kan ook de toegang van personen tot hun medische gegevens van bijvoorbeeld psychologische of psychiatrische aard beperken, vanwege de mogelijke gevoeligheid van deze gegevens, en de medische dienst van de Commissie kan beslissen om de betrokkenen slechts indirect toegang te geven via hun eigen arts. De betrokkene kan gebruik maken van het recht op rectificatie van beoordelingen of adviezen van de medische dienst van de Commissie door zijn opmerkingen of een verslag van een arts van zijn keuze te verstrekken.

(24)

Het Agentschap, vertegenwoordigd door zijn directeur, treedt op als de verwerkingsverantwoordelijke ongeacht verdere delegaties van deze rol van verwerkingsverantwoordelijke binnen het Agentschap aan “gedelegeerde verwerkingsverantwoordelijken” voor de specifieke operationele verwerking van persoonsgegevens.

(25)

De persoonsgegevens worden veilig opgeslagen in een elektronische omgeving die voldoet aan Besluit (EU, Euratom) 2017/46 van de Commissie (5) over de beveiliging van communicatie- en informatiesystemen binnen de Europese Commissie of op papier, om onrechtmatige toegang of doorgifte van gegevens aan personen die niet beantwoorden aan het “need-to-know”-criterium, te voorkomen. De verwerkte persoonsgegevens worden niet langer bewaard dan noodzakelijk en passend voor de doeleinden waarvoor de gegevens worden verwerkt gedurende de periode die is gespecificeerd in de gegevensbeschermingsmededelingen en het register van het Agentschap.

(26)

Het Agentschap legt enkel beperkingen op wanneer deze de essentie van de grondrechten en fundamentele vrijheden eerbiedigen, strikt noodzakelijk zijn en een evenredige maatregel vormen in een democratische samenleving. Het Agentschap motiveert de redenen voor deze beperkingen en brengt de betrokkenen op de hoogte van deze redenen en van hun recht om een klacht in te dienen bij de EDPS, zoals bepaald in artikel 25, lid 6, van de verordening.

(27)

Overeenkomstig het verantwoordingsbeginsel houdt het Agentschap een register bij van de toepassing van de beperkingen.

(28)

Bij de verwerking van administratieve persoonsgegevens die het Agentschap met andere organisaties in het kader van zijn taken heeft uitgewisseld, pleegt het met die organisaties overleg over mogelijke redenen voor het opleggen van beperkingen en de noodzaak en evenredigheid van deze beperkingen, tenzij dit de activiteiten van het Agentschap in gevaar zou brengen.

(29)

Deze interne regels zijn dus van toepassing op alle verwerkingsactiviteiten van het Agentschap met betrekking tot persoonsgegevens in het kader van administratieve onderzoeken, tuchtprocedures, voorbereidende activiteiten in verband met aan OLAF gemelde mogelijke onregelmatigheden, onderzoeken van het Europees Openbaar Ministerie (EOM), klokkenluidersprocedures, (formele en informele) procedures voor gevallen van intimidatie, verwerking van interne en externe klachten, verzoeken om toegang tot of rectificatie van eigen medische dossiers, de onderzoeken die de functionaris voor gegevensbescherming overeenkomstig artikel 45, lid 2, van de verordening uitvoert, (IT-)veiligheidsonderzoeken die intern of met externe betrokkenen (bv. CERT-EU) worden uitgevoerd, audits, procedures voor het Hof van Justitie van de Europese Unie of nationale overheden, selectie- en aanwervingsprocedures, personeelsevaluatie en overheidsopdrachten, zoals hierboven opgesomd.

(30)

Deze interne voorschriften zijn van toepassing op verwerkingsactiviteiten voorafgaand aan het instellen van de bovengenoemde procedures, tijdens deze procedures en tijdens het toezicht op de follow-up van deze procedures. Hieronder valt ook bijstand door het Agentschap aan, en zijn samenwerking met, andere EU-instellingen, nationale autoriteiten en internationale organisaties buiten het kader van zijn administratieve onderzoeken.

(31)

Ingevolge artikel 25, lid 8, van de verordening heeft het Agentschap het recht om het verstrekken van informatie over de redenen voor de toepassing van een beperking aan de betrokkene op te schorten, achterwege te laten of te weigeren, indien dit het effect van de beperking op enigerlei wijze teniet zou doen. Het Agentschap beoordeelt per geval of een mededeling van de beperking het effect ervan tenietdoet.

(32)

Het Agentschap heft de beperking op zodra de beperkingsvoorwaarden niet langer van toepassing zijn, en beoordeelt deze voorwaarden regelmatig.

(33)

Teneinde de maximale bescherming van de rechten en vrijheden van betrokkenen te waarborgen en in overeenstemming met artikel 44, lid 1, van de verordening, wordt de functionaris voor gegevensbescherming van het Agentschap tijdig geraadpleegd over enigerlei beperkingen die kunnen worden toegepast of beoordeeld en zal hij/zij controleren of deze in overeenstemming zijn met dit besluit.

(34)

De artikelen 16, lid 5 en 17, lid 4 van de verordening voorzien in uitzonderingen op het recht van de betrokkene op informatie en het recht van toegang. Indien deze uitzonderingen gelden, hoeft het Agentschap geen beperking in het kader van dit besluit toe te passen,