(1)

Med hänsyn till unionens internationella åtaganden för att säkerställa en hållbar förvaltning av de marina biologiska resurserna (1) har det genom rådets förordning (EG) nr 1005/2008 (2) upprättats ett system för att förebygga, motverka och undanröja olagligt, orapporterat och oreglerat fiske (IUU). I kommissionens förordning (EG) nr 1010/2009 (3) fastställs tillämpningsföreskrifter för rådets förordning (EG) nr 1005/2008. Systemet för att förebygga, motverka och undanröja IUU-fiske utgör en viktig del av unionens gemensamma fiskeripolitik (4) och är i sig ett viktigt mål av allmänt intresse för unionen och EU-medlemsstaterna.

(2)

Enligt artiklarna 25–28 i förordning (EG) nr 1005/2008 ska kommissionen göra analyser för att identifiera fiskefartyg som bedriver IUU-fiske, och enligt artiklarna 31–33 i samma förordning ska kommissionen följa vissa förfaranden för att identifiera icke-samarbetande tredjeländer när det gäller bekämpning av IUU-fiske. Enligt artikel 51 i förordning (EG) nr 1005/2008 och artiklarna 49 och 50 i förordning (EG) nr 1010/2009 ska kommissionen och medlemsstaterna kommunicera och utbyta information för att underlätta medlemsstaternas genomförande av förordning (EG) nr 1005/2008. Enligt artikel 51 i förordning (EG) nr 1005/2008 och artikel 51 i förordning (EG) nr 1010/2009 får de utbyta information om IUU-fiske med tredjeländer och internationella organisationer. Kommissionens analyser och förfaranden samt dess informationsutbyte med medlemsstater och med tredjeländer eller internationella organisationer kan vara inriktade på fiskefartyg, inbegripet deras ägare och, vid behov, deras operatörer som kan vara juridiska eller fysiska personer, samt på tredjeländer.

(3)

Personuppgifter i den mening som avses i artikel 3.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (5) behandlas oundvikligen under analyserna och förfarandena samt vid ömsesidigt bistånd enligt artikel 51 i förordning (EG) nr 1005/2008 och artiklarna 49–51 i förordning (EG) nr 1010/2009 i samband med påstått IUU-fiske. Kommissionen måste behandla sådana uppgifter för att utföra de uppgifter som den tilldelats i egenskap av en offentlig myndighet enligt förordningarna (EG) nr 1005/2008 och (EG) nr 1010/2009. De analyser och förfaranden som genomförs i fråga om IUU-fiske utgör en tillsyns-, inspektions- eller regleringsfunktion som har samband med myndighetsutövning i de fall som avses i artikel 25.1 c, g och h i förordning (EU) 2018/1725.

(4)

För de analyser och förfaranden som kommissionen genomför, det stöd och den information som ges till medlemsstaterna och den information som utbyts med tredjeländer eller organisationer i fråga om IUU-fiske behandlar kommissionen information som har förvärvats eller erhållits från juridiska personer, fysiska personer, myndigheter i medlemsstaterna (t.ex. behöriga nationella myndigheter som anmälts till kommissionen enligt artiklarna 15.2, 17.8, 21.3 och 39.4 i förordning (EG) nr 1005/2008, myndigheter i tredjeländer, i synnerhet flaggstater, samt internationella organ och organisationer, framför allt regionala fiskeriorganisationer och fiskeriarrangemang. Under sina analyser och förfaranden kan kommissionen också hantera lämpligt dokumenterad dokumentation som har förvärvats eller erhållits från allmänt tillgängliga källor, anonyma källor (t.ex. uppgiftslämnare) eller andra källor (t.ex. medborgare, icke-statliga organisationer eller företag inom fiskerisektorn) vilkas identitet måste skyddas.

(5)

Kommissionen överför information och sina analyser till behöriga myndigheter i medlemsstaterna samt andra myndigheter och organ inom ramen för bilaterala eller multilaterala samarbeten med medlemsstater eller myndigheter och organisationer i tredjeländer, särskilt regionala fiskeriorganisationer eller fiskeriarrangemang, enligt vad som krävs i förordningarna (EG) nr 1005/2008 och (EG) nr 1010/2009 eller enligt vad som är nödvändigt och lämpligt inom ramen för analyser och förfaranden. Kommissionen uppmanar flaggstater eller flaggmedlemsstater att vidta åtgärder och överföra information om förmodat IUU-fiske till fartygsägarna och, vid behov, fartygsoperatörerna för att skydda deras rätt till försvar och säkerställa en effektiv och verkningsfull tillämpning av EU:s regler för att förebygga, motverka och undanröja IUU-fiske.

(6)

Behandling av personuppgifter, i den mening som avses i artikel 3.3 i förordning (EU) 2018/1725, som utförs under analyser och förfaranden i fråga om IUU-fiske sker innan kommissionen formellt identifierar fartyg som förmodas bedriva IUU-fiske och inleder förfaranden för att uppföra ett fartyg på unionens förteckning över IUU-fartyg och innan kommissionen formellt identifierar tredjeländer som bedöms vara icke-samarbetande tredjeländer när det gäller bekämpning av IUU-fiske. Behandlingen fortsätter under hela analys- och förfarandeprocessen, i all dialog som förs med tredjeländernas myndigheter och även efter att analyserna och förfarandena har avslutats (t.ex. för att bedöma behovet av att inleda nya analyser och förfaranden på grund av ny information som har förmedlats till kommissionen). När det gäller personuppgifter som utbyts med medlemsstater, tredjeländer eller internationella organisationer behandlas personuppgifterna från det att kommissionen erhåller dem, under all analys som utförs av medlemsstater, tredjeländer eller internationella organisationer och till och med efter detta. Uppgifterna lagras så länge som de behövs för att slutföra analyser och förfaranden som pågår i medlemsstater, tredjeländer och internationella organisationer. I undantagsfall kan de lagras även efter detta, om så krävs för att säkerställa att unionen fullgör sina skyldigheter.

(7)

De kategorier av personuppgifter som behandlas av kommissionen är till exempel uppgifter om identitet, kontaktuppgifter, yrkesrelaterade uppgifter och uppgifter som rör eller har lämnats in i samband med analyserna eller förfarandet. Här avses framför allt uppgifter om fiskefartygen, deras geografiska belägenhet och fiskeriverksamhet, uppgifter om fartygsägare, befälhavare och besättningsmedlemmar, uppgifter om personer som är involverade i bearbetning och saluföring av fiskeriprodukter samt uppgifter om uppgiftslämnare.

(8)

Personuppgifterna lagras i en säker elektronisk eller fysisk miljö för att förhindra olaglig åtkomst eller överföring av uppgifter till personer som inte behöver känna till dem. Personuppgifterna lagras vid de avdelningar vid kommissionen som är behöriga för havsfrågor och fiske och som ansvarar för analyserna och förfarandena samt för att ge stöd och information till medlemsstater, tredjeländer och internationella organisationer. De lagras så länge som krävs för analyserna och förfarandena samt för de analyser som medlemsstater, tredjeländer och internationella organisationer gör för att ta itu med uppenbara fall med IUU-fiske, uppföljande analyser och den administrativa lagringsperiod som följer efter det slutgiltiga avslutandet av ärendet (6).

(9)

När kommissionen utför sina uppgifter är den skyldig att respektera fysiska personers rättigheter i samband med den behandling av personuppgifter som erkänns i artikel 8.1 i stadgan om de grundläggande rättigheterna och i artikel 16.1 i EUF-fördraget och som genomförts genom förordning (EU) 2018/1725. Samtidigt har kommissionen särskilda skyldigheter enligt förordning (EG) nr 1005/2008 att förebygga, motverka och undanröja IUU-fiske, vilket innebär att kommissionen måste genomföra analyser och förfaranden, samtidigt som den respekterar reglerna om konfidentialitet och tystnadsplikt (7) samt rätten till försvar för fysiska eller juridiska personer som är föremål för analyser och förfaranden (8).

(10)

Under vissa omständigheter är det nödvändigt att sammanjämka de registrerades rättigheter enligt förordning (EU) 2018/1725 med behoven av att genomföra analyser och förfaranden i fråga om IUU-fiske, samt att säkra att andra registrerades rättigheter och friheter respekteras fullt ut. Artikel 25 i förordning (EU) 2018/1725 ger därför kommissionen möjlighet att begränsa tillämpningen av artiklarna 14–17, 19, 20 och 35 samt artikel 4 i den förordningen, i den mån bestämmelserna motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–17, 19 och 20 i den förordningen.

(11)

Unionens gemensamma fiskeripolitik innebär att kommissionen måste tillämpa unionens bestämmelser på ett effektivt och ändamålsenligt sätt för att förebygga, motverka och undanröja IUU-fiske. Därför måste interna regler antas enligt vilka kommissionen får begränsa registrerades rättigheter i enlighet med artikel 25 i förordning (EU) 2018/1725, samtidigt som den höga skyddsnivån för personuppgifter som föreskrivs i den förordningen upprätthålls.

(12)

Dessa interna regler bör omfatta all uppgiftsbehandling som utförs av kommissionen inom ramen för dess befogenheter och skyldigheter enligt förordningarna (EG) nr 1005/2008 och (EG) nr 1010/2009. Reglerna bör omfatta uppgiftsbehandling som utförs under hela analys- och förfarandeprocessen i fråga om IUU-fiske, från det att kommissionen tar emot personuppgifter som kan vara relevanta för att identifiera fiskefartyg som är inblandade i IUU-fiske eller icke-samarbetande tredjeländer, under hela analys- och förfarandeprocessen och under all dialog som förs med tredjeländers myndigheter och även efter detta, så snart fartyg eller tredjeländer formellt har identifierats enligt artikel 27 eller 33 i förordning (EG) nr 1005/2008, om detta krävs för att göra uppföljande analyser eller för att säkerställa att unionen fullgör sina skyldigheter.

(13)

De interna reglerna bör inte längre omfatta behandling av personuppgifter som har lämnats till registrerade i enlighet med artikel 26.2 d eller 26.3 d och artikel 27.6 a i förordning (EG) nr 1005/2008. När det gäller uppgiftsbehandling som utförs med avseende på stöd som ges till medlemsstaterna och information som utbyts med tredjeländer och organisationer, bör reglerna gälla från det att kommissionen tar emot personuppgifter som den senare ger till medlemsstater, tredjeländer eller internationella organisationer och fram till och genomgående under de analyser och förfaranden som genomförs i medlemsstaterna, tredjeländerna eller de internationella organisationerna för att ta itu med uppenbara fall av IUU-fiske, samt även efter detta, om så krävs för uppföljande analyser och för att säkerställa att unionen fullgör sina skyldigheter.

(14)

För att uppfylla kraven i artiklarna 14, 15 och 16 i förordning (EU) 2018/1725 bör kommissionen informera alla enskilda personer om verksamhet som innebär behandling av personuppgifter och om deras rättigheter på ett tydligt och konsekvent sätt i form av dataskyddsmeddelanden som offentliggörs på kommissionens webbplats. Kommissionen bör när så är relevant tillgripa ytterligare skyddsåtgärder för att se till att registrerade informeras enskilt på lämpligt sätt.

(15)

Utan att det påverkar tillämpningen av artiklarna 14.5 och 16.5 i förordning (EU) 2018/1725 kan kommissionen, på grundval av artikel 25 i den förordningen, begränsa tillhandahållandet av information till registrerade och tillämpningen av deras övriga rättigheter i syfte att skydda kommissionens befogenheter att genomföra analyser och förfaranden enligt förordning (EG) nr 1005/2008. Kommissionen kan i detta avseende behöva begränsa tillämpningen av dessa rättigheter och skyldigheter enligt artikel 25.1 c och g i den förordningen, om detta skulle äventyra syftet med dess tillsyns-, inspektions- eller regleringsfunktion i samband med det effektiva genomförandet av unionens gemensamma fiskeripolitik.

(16)

För att upprätthålla ett effektivt samarbete kan det vidare vara nödvändigt för kommissionen att begränsa tillämpningen av de registrerades rättigheter för att skydda behandling av unionens övriga institutioner, organ och byråer eller av medlemsstaternas myndigheter. Kommissionen kan göra detta i en situation där syftet med en sådan begränsning som görs av unionens övriga institutioner, organ och byråer eller av medlemsstaternas myndigheter skulle äventyras om kommissionen inte skulle tillämpa en motsvarande begränsning i fråga om samma personuppgifter. Kommissionen bör därför samråda med dessa institutioner, organ, byråer och myndigheter för att fastställa vilka skäl som ska anses vara relevanta för att införa begränsningar samt behovet av begränsningen och dess proportionalitet.

(17)

Kommissionen kan också behöva begränsa tillhandahållandet av information till registrerade och tillämpningen av andra registrerades rättigheter i samband med personuppgifter som mottagits från tredjeländer eller internationella organisationer, för att samarbeta med dessa länder eller organisationer och därigenom trygga viktiga mål av allmänt intresse för unionen, i enlighet med artikel 25.1 c i förordning (EU) 2018/1725. I vissa fall kan dock den registrerades intresse eller grundläggande rättigheter väga tyngre än intresset av internationellt samarbete.

(18)

Kommissionen kan dessutom behöva begränsa tillhandahållandet av information till registrerade och tillämpningen av andra registrerades rättigheter i samband med personuppgifter som mottagits från anonyma eller identifierade källor (t.ex. uppgiftslämnare) vars rättigheter och friheter måste skyddas, enligt artikel 25.1 h i förordning (EU) 2018/1725.

(19)

Kommissionen har därför fastställt att de grunder som anges i artikel 25.1 c, g och h i förordning (EU) 2018/1725 utgör grunder för begränsningar som kan behöva tillämpas på databehandling som utförs inom ramen för kommissionens analyser och förfaranden i fråga om IUU-fiske.

(20)

Alla begränsningar som tillämpas utifrån detta beslut bör vara nödvändiga och proportionella med hänsyn till de registrerades rättigheter och friheter.

(21)

Kommissionen bör hantera alla begränsningar på ett öppet sätt och registrera varje tillämpning i motsvarande register.

(22)

Den personuppgiftsansvarige är kommissionen, via sina behöriga avdelningar för havsfrågor och fiske, som ansvarar för de analyser och förfaranden som genomförs i fråga om IUU-fiske och för att ge stöd till medlemsstater och information till tredjeländer och internationella organisationer om fall med påstått IUU-fiske.

(23)

I enlighet med artikel 25.8 i förordning (EU) 2018/1725 får de personuppgiftsansvariga skjuta upp eller avstå från att informera den registrerade om skälen till tillämpningen av en begränsning, om tillhandahållandet av denna information på något sätt skulle äventyra syftet med begränsningen. Detta gäller i synnerhet sådana begränsningar som anges i artiklarna 16 och 35 i den förordningen.

(24)

Kommissionen bör regelbundet se över införda begränsningar för att säkerställa att de registrerades rätt att bli informerade i enlighet med artiklarna 16 och 35 i förordning (EU) 2018/1725 endast begränsas så länge som är nödvändigt för att kommissionen ska kunna genomföra analyser och förfaranden i fråga om IUU-fiske.

(25)

Om den registrerades övriga rättigheter begränsas bör den personuppgiftsansvarige bedöma från fall till fall huruvida information om begränsningen skulle äventyra dess syfte.

(26)

Kommissionens dataskyddsombud bör genomföra en oberoende översyn av tillämpningen av begränsningar för att säkerställa efterlevnad av detta beslut.

(27)

Detta beslut antas för tillämpningen av artikel 25 i förordning (EU) 2018/1725 och bör träda i kraft tre dagar efter att det har offentliggjorts i Europeiska unionens officiella tidning, så att kommissionen omedelbart kan begränsa tillämpningen av vissa rättigheter och skyldigheter i enlighet med artikel 25 i den förordningen för att inte äventyra analyser och förfaranden som genomförs för att ta itu med fall av IUU-fiske.

(28)

Europeiska datatillsynsmannen har hörts och avgav ett yttrande den 17 juli 2019.