(1)

Genomförandeorganet för små och medelstora företag (Easme) (nedan kallat organet) inrättades genom genomförandebeslut 2013/771/EU i syfte att utföra uppgifter som hänger samman med genomförandet av unionsprogram inom energi, miljö, klimatåtgärder, konkurrenskraft och små och medelstora företag, forskning och innovation och IKT (3).

(2)

Inom ramen för sin administrativa och operativa verksamhet får organet utföra administrativa utredningar, förfaranden som föregår disciplinära förfaranden, disciplinära förfaranden och avstängningsförfaranden i enlighet med tjänsteföreskrifterna för tjänstemän i Europeiska unionen och anställningsvillkor för övriga anställda i Europeiska unionen, som fastställs i rådets förordning (EEG, Euratom, EKSG) nr 259/68 (nedan kallade tjänsteföreskrifterna) (4) och i enlighet med genomförandebestämmelser för utförandet av administrativa utredningar och disciplinära förfaranden. Om så behövs får organet utföra förberedande åtgärder i samband med fall av potentiella bedrägerier och oegentligheter liksom anmäla ärenden till Olaf.

(3)

Organets personal är skyldig att rapportera potentiellt olaglig verksamhet, inklusive bedrägeri och korruption, som kan skada unionens intressen. Personalen är även skyldig att rapportera uppträdande i tjänsten som kan innebära ett allvarligt avsteg från skyldigheterna för unionens tjänstemän. Detta regleras genom interna regler eller intern policy för visselblåsning.

(4)

Organet har antagit en policy för att förebygga och hantera faktiska eller eventuella fall av mobbning och sexuella trakasserier på arbetsplatsen. Denna åtgärd föreskrivs i tjänsteföreskrifterna, som fastställer ett informellt förfarande där den som påstår sig ha utsatts för trakasserierna kan kontakta organets konfidentiella rådgivare.

(5)

Organet kan även utföra interna utredningar av (it-)säkerhet och av potentiella överträdelser av säkerhetsbestämmelser för säkerhetsskyddsklassificerade EU-uppgifter.

(6)

Organets verksamhet är föremål för både interna och externa revisioner, inräknat revisioner som utförs av tjänsten för internrevision vid Europeiska kommissionen och Europeiska revisionsrätten.

(7)

Organet får hantera begäranden från Europeiska åklagarmyndigheten (Eppo), begäranden om tillgång till de anställdas patientjournaler, samt genomföra utredningar tillsammans med dataskyddsombudet i enlighet med artikel 45.2 i förordningen.

(8)

I samband med sådana administrativa utredningar, revisioner, undersökningar eller begäranden samarbetar organet med unionens övriga institutioner, organ och byråer.

(9)

Organet får samarbeta med nationella myndigheter i tredjeländer och internationella organisationer, på deras begäran eller på eget initiativ.

(10)

Organet får även samarbeta med medlemsstaternas offentliga myndigheter, på deras begäran eller på eget initiativ.

(11)

Organet kan bli föremål för klagomål, förfaranden eller undersökningar genom visselblåsare eller Europeiska ombudsmannen.

(12)

Organet kan ingripa i mål vid Europeiska unionens domstol när organet antingen hänskjuter en fråga till domstolen, försvarar ett beslut det har fattat och som har överklagats till domstolen eller intervenerar i ärenden som är relevanta för dess arbetsuppgifter. I samband med detta kan organet behöva säkerställa konfidentialiteten för personuppgifter som finns i handlingar från parterna eller intervenienterna.

(13)

I sin verksamhet behandlar organet flera olika kategorier av personuppgifter, däribland identifikationsuppgifter för fysiska personer, kontaktinformation, yrkesroller och yrkesuppgifter, information om privat och yrkesmässig etik och prestation samt finansiella uppgifter, samt känsliga data (t.ex. hälsodata) i vissa specifika fall. I personuppgifter ingår ”hårddata” och ”mjuka data”.

”Hårddata” är objektiva faktauppgifter såsom identifikationsuppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, metadata från elektronisk kommunikation och trafikuppgifter.

”Mjukdata” är subjektiva uppgifter och omfattar i synnerhet beskrivning och bedömning av situationer och omständigheter, yttranden, iakttagelser i samband med de registrerade, utvärdering av de registrerades uppförande och prestation samt motiveringar till enskilda beslut i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller den verksamhet som utförs av organet i enlighet med den tillämpliga rättsliga ramen.

Bedömningar, iakttagelser och yttranden betraktas som personuppgifter i den mening som avses i artikel 3.1 i förordningen.

(14)

Enligt förordningen ska organet därför förse de registrerade med information om denna behandling och respektera deras rättigheter som registrerade.

(15)

Organet har åtagit sig att i största möjliga mån respektera de registrerades grundläggande rättigheter, särskilt rätten att få ta del av information, rätten att få tillgång till och kunna rätta, radera och begränsa behandlingen av uppgifter, rätten att bli underrättad om personuppgiftsincidenser och till konfidentiell behandling av korrespondens i enlighet med förordningen. Organet kan dock även behöva begränsa den registrerades rättigheter och skyldigheter i syfte att skydda sin verksamhet och andras grundläggande rättigheter och friheter.

(16)

Artikel 25.1 och 25.5 i förordningen ger därför organet möjlighet att under vissa villkor begränsa tillämpningen av artiklarna 14–22, 35 och 36, samt artikel 4 i förordningen i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–20 och basera dessa på interna regler som ska antas på högsta ledningsnivå i organet och offentliggöras i Europeiska unionens officiella tidning, om begränsningarna inte baseras på rättsakter som antas på grundval av fördragen.

(17)

Begränsningar kan gälla olika registranters rättigheter, däribland tillhandahållande av information till registranter, rätten att få tillgång till och erhålla rättelse eller radering av personuppgifter, information till den registrerade om en personuppgiftsincidens eller konfidentiell behandling av kommunikation i enlighet med förordningen.

(18)

Organet kan behöva förena dessa rättigheter med syftena med administrativa utredningar, revisioner, undersökningar och domstolsförfaranden. Organet kan även behöva ställa de registrerades rättigheter mot andra registrerades grundläggande rättigheter och friheter.

(19)

Organet kan exempelvis behöva begränsa sitt tillhandahållande av information om behandling av personuppgifter till en registrerad vid den preliminära bedömningsfasen i en administrativ utredning eller under själva utredningen, före en eventuell avvisning av ärendet eller i ett skede som föregår ett disciplinärt förfarande. Under vissa omständigheter kan ett tillhandahållande av sådan information få betydande negativ inverkan på organets förmåga att genomföra utredningen på ett effektivt sätt, t.ex. när det finns en risk att den berörda personen kan förstöra bevisning eller påverka eventuella vittnen innan de kan förhöras. Organet kan också behöva skydda rättigheterna och friheterna för såväl vittnen som andra berörda personer.

(20)

Organet kan behöva garantera sekretesskyddet för ett vittne eller en visselblåsare som har bett om att inte bli identifierad. I ett sådant fall kan organet besluta att begränsa åtkomsten vad gäller identitet, uttalanden och andra personuppgifter från sådana personer eller den misstänkte för att skydda deras rättigheter och friheter.

(21)

Organet kan behöva skydda konfidentiella uppgifter om en anställd som har kontaktat organets konfidentiella rådgivare inom ramen för ett förfarande beträffande trakasserier. I sådana fall kan organet besluta att begränsa åtkomsten vad gäller identitet, uttalanden och andra personuppgifter från det påstådda offret, den påstådda gärningsmannen och andra involverade personer för att skydda alla berörda personers rättigheter och friheter.

(22)

I samband med urvals- och rekryteringsförfaranden, personalutvärdering och offentlig upphandling kan rätten till tillgång, rättelse, radering och begränsning bara utövas vid särskilda tidpunkter och enligt de villkor som fastställts för de relevanta förfarandena, i syfte att skydda andra registrerades rättigheter och respektera principerna om likabehandling och konfidentiella överläggningar.

(23)

Organet kan även begränsa enskilda personers tillgång till hälsouppgifter av t.ex. psykologisk eller psykiatrisk natur på grund den känslighet som dessa uppgifter kan ha, och kommissionens läkartjänst kanske bara vill ge de registrerade indirekt tillgång genom deras egen läkare. De registrerade kan utöva rätten till rättelse av bedömningar eller yttranden från kommissionens läkartjänst genom att lämna in sina synpunkter eller en rapport från en valfri läkare.

(24)

Organet, som företräds av sin direktör, fungerar som personuppgiftsansvarig, oavsett om ansvaret har delegerats inom myndigheten utifrån ansvarsfördelning för olika operativa arbetsuppgifter som inbegriper personuppgiftsbehandling till behöriga ”delegerade personuppgiftsansvariga”.

(25)

Personuppgifterna lagras på ett säkert sätt i en elektronisk miljö, i enlighet med kommissionens beslut (EU, Euratom) 2017/46 (5), eller på papper, vilket förhindrar olaglig åtkomst eller överföring av uppgifter till personer som inte har behov av att ta del av dem. De personuppgifter som behandlas behålls inte längre än vad som är nödvändigt och lämpligt för det syfte som uppgifterna behandlas för under en tidsperiod som anges i organets dataskyddsmeddelanden eller register.

(26)

Organet bör endast tillämpa begränsningar om de respekterar andemeningen i de grundläggande rättigheterna och friheterna, är absolut nödvändiga och är en proportionell åtgärd i ett demokratiskt samhälle. Organet ska motivera skälen för dessa begränsningar och informera de registrerade om dessa grunder och om deras rätt att lämna in ett klagomål till Europeiska datatillsynsmannen såsom fastställts i artikel 25.6 i förordningen.

(27)

Med tillämpning av principen om ansvarsskyldighet ska organet registrera tillämpningen av begränsningar.

(28)

När organet behandlar personuppgifter som utbyts med andra organisationer i samband med dess arbetsuppgifter, ska organet samråda med dessa organisationer om potentiella grunder för att införa begränsningar och om frågan huruvida begränsningarna är nödvändiga och proportionella, såvida detta inte kan äventyra organets verksamhet.

(29)

Dessa interna regler ska därför gälla all personuppgiftsbehandling som organet utför, inräknat personuppgifter vid utförandet av administrativa utredningar, disciplinära förfaranden, förberedande åtgärder i samband med fall av potentiella oegentligheter som rapporteras till Olaf, undersökningar av Europeiska åklagarmyndigheten (Eppo), visselblåsningsförfaranden, (formella och informella) förfaranden för fall av trakasserier, behandling av interna och externa klagomål, begäranden om tillgång till eller rättelse av egna patientjournaler, undersökningar som utförs av dataskyddsombudet i enlighet med artikel 45.2 i förordningen, utredningar om (it-)säkerhet som sköts internt eller med extern hjälp (t.ex. CERT-EU), revisioner, rättsliga förfaranden vid Europeiska unionens domstol eller nationella offentliga myndigheter, urval och rekrytering, personalutvärdering och offentlig upphandling, enligt ovan.

(30)

Dessa interna regler ska gälla personuppgiftsbehandling som utförs innan ovanstående förfaranden inleds, under dessa förfaranden och under uppföljningen av resultaten från dessa förfaranden. Även stöd och samarbete som organet bistår andra EU-institutioner, nationella myndigheter och internationella organisationer med vid sidan av sina administrativa utredningar omfattas.

(31)

Enligt artikel 25.8 i förordningen får organet skjuta upp, utelämna eller neka tillhandahållande av information till den registrerade om skälen till begränsningen om detta på något sätt skulle upphäva verkan av begränsningen. Organet ska i varje enskilt fall bedöma om meddelandet av begränsningen skulle upphäva dess verkan.

(32)

Organet ska upphäva begränsningen så snart som de förhållanden som motiverar begränsningen inte längre är tillämpliga och bedöma dessa med jämna mellanrum.

(33)

För att garantera maximalt skydd för de registrerades rättigheter och friheter och i enlighet med artikel 44.1 i förordningen, ska dataskyddsombudet rådfrågas i tid innan någon begränsning kan tillämpas eller ses över samt kontrollera efterlevnaden av detta beslut.

(34)

I artiklarna 16.5 och 17.4 i förordningen föreskrivs undantag för registrerades rätt till information och rätt till tillgång. Om dessa undantag är tillämpliga behöver organet inte tillämpa en begränsning enligt detta beslut.