Besluit van het Europees Comité voor systeemrisico’s van 13 juli 2012 houdende invoering van regels inzake de bescherming van persoonsgegevens bij het Europees Comité voor systeemrisico’s (ESRB/2012/1) 2012/C 286/11
Grade B
mapped from publisher markup. A grade says how a document's structure was obtained, not how reliable the law is.
Not the law itself: Notice
Address https://gelex.eu/eli/EU/notice/oj/C/2012/286/11@2012-07-13/nl
DE ALGEMENE RAAD VAN HET EUROPEES COMITÉ VOOR SYSTEEMRISICO’S,
Gelet op artikel 16 van het Verdrag betreffende de werking van de Europese Unie,
Gelet op Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens, inzonderheid op artikel 24, lid 8, en de bijlage,
Na raadpleging van de Europese Toezichthouder voor gegevensbescherming (EDPS),
Overwegende:
(1) Verordening (EG) nr. 45/2001 zet beginselen en regels uiteen die van toepassing zijn op alle instellingen en organen van de Europese Unie, en voorziet in de benoeming van een functionaris voor gegevensbescherming (DPO) door elke instelling en elk orgaan van de Unie.
(2) Ingevolge artikel 24, lid 8 van Verordening (EG) nr. 45/2001 moet elke instelling of elk orgaan van de Unie overeenkomstig de bijlage bij die verordening nadere uitvoeringsvoorschriften betreffende de DPO vastleggen.
(3) Het is aangewezen om bepalingen op te nemen betreffende verantwoordelijken voor de verwerking en betreffende coördinatoren gegevensbescherming, wier taken en plichten verband houden met die van de DPO, en betreffende de regeling van de rechten van betrokkenen,
HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
AFDELING 1 ALGEMENE BEPALINGEN
Artikel 1 Onderwerp en werkingssfeer
Dit besluit legt regels vast betreffende:
a) de benoeming en status van de DPO van het Europees Comité voor systeemrisico’s (ESRB), alsook betreffende de taken, plichten en bevoegdheden van de DPO;
b) de rollen, taken en verplichtingen van verwerkingsverantwoordelijken en coördinatoren gegevensbescherming
c) de uitoefening van rechten door betrokkenen.
Artikel 2 Definities
Voor de toepassing van dit besluit gelden de volgende definities: a) verwerkingsverantwoordelijke een manager die verantwoordelijk is voor een organisatie-eenheid die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; b) coördinator gegevensbescherming een personeelslid dat de verwerkingsverantwoordelijke bij de vervulling van diens gegevensbeschermingsverplichtingen bijstaat. Deze persoon is een specialist in bestandsbeheer.
AFDELING 2 DE FUNCTIONARIS VOOR GEGEVENSBESCHERMING
Artikel 3 Benoeming, status en organisatorische aangelegenheden
1. De algemene raad:
a) benoemt een DPO die voldoende senior is om te voldoen aan de vereisten van artikel 24 van Verordening (EG) nr. 45/2001;
b) bepaalt een ambtstermijn voor de DPO van tussen twee en vijf jaar.
2. De algemene raad garandeert dat de DPO zijn DPO-taken en -plichten onafhankelijk kan vervullen. Onverminderd een dergelijke onafhankelijkheid, raadplegen de beoordelaars van de DPO de EDPS vooraleer de vervulling van de DPO-taken en -plichten te beoordelen.
3. De desbetreffende verwerkingsverantwoordelijke garandeert dat de DPO onverwijld geïnformeerd wordt:
a) wanneer zich een probleem voordoet dat implicaties heeft of zou kunnen hebben op het gebied van gegevensbescherming; en
b) betreffende alle contacten tussen het ESRB en externe partijen die verband houden met de toepassing van de Verordening (EG) nr. 45/2001, met name een eventuele interactie met de EDPS.
4. De algemene raad kan een plaatsvervangende DPO benoemen, op wie lid 1, 2 en 6 van artikel 24 van Verordening (EG) nr. 45/2001 van toepassing zijn. De plaatsvervangende DPO staat de DPO bij de vervulling van DPO-taken en -plichten bij en vervangt hem bij diens afwezigheid.
5. Een personeelslid dat de DPO ondersteunt met betrekking tot gegevensbeschermingsaangelegenheden, handelt uitsluitend op instructie van de DPO.
6. De DPO kan met de instemming van de EDPS worden ontslagen, indien hij niet langer voldoet aan de voorwaarden die vereist zijn voor de vervulling van zijn taken en plichten.
Artikel 4 Taken en plichten van de DPO
Rekening houdend met de input van het secretariaat van het ESRB, kwijt de DPO zich bij de vervulling van de in artikel 24 van Verordening (EG) nr. 45/2001 en in de bijlage bij die verordening bepaalde taken van het volgende:
a) bevorderen van de bewustwording ten aanzien van kwesties op het gebied van gegevensbescherming en aanmoedigen van een cultuur van bescherming van persoonsgegevens binnen het ESRB;
b) verlenen van advies aan de algemene raad, het stuurcomité, het secretariaat, de verwerkingsverantwoordelijke en de coördinator gegevensbescherming over de toepassing van de gegevensbeschermingsbepalingen bij het ESRB. De algemene raad, het stuurcomité, het secretariaat, de betrokken verwerkingsverantwoordelijke of elke natuurlijke persoon kunnen de DPO raadplegen over elke aangelegenheid betreffende de uitleg of toepassing van Verordening (EG) nr. 45/2001;
c) samenwerken met de EDPS op diens verzoek of op eigen initiatief en ingaan op verzoeken die de EDPS tot de DPO van het ESRB richt;
d) bepalen of een verwerking specifieke risico’s met zich mee kan brengen in de zin van artikel 27 van Verordening (EG) nr. 45/2001 en derhalve onderworpen is aan voorafgaande controle. Indien nodig, raadpleegt de DPO de betrokken verwerkingsverantwoordelijke. In geval van twijfel ten aanzien van de noodzaak voor voorafgaande controle wordt de EDPS geraadpleegd, overeenkomstig artikel 27, lid 3 van Verordening (EG) nr. 45/2001;
e) op verzoek van de algemene raad, het stuurcomité, het secretariaat of van elke natuurlijke person, of op eigen initiatief, onderzoek uitvoeren naar zaken en gebeurtenissen die rechtstreeks verband houden met de taken en plichten van de DPO en verslag uitbrengen aan de verzoeker. De DPO behandelt aangelegenheden en feiten onpartijdig en rekening houdend met de rechten van de betrokkene. Indien de DPO zulks aangewezen acht, informeert hij alle overige betrokken partijen dienovereenkomstig. Indien de verzoeker een natuurlijk persoon is of namens een natuurlijk persoon optreedt, zorgt de DPO er voor zover mogelijk voor dat het verzoek vertrouwelijk blijft, tenzij de betrokkene ondubbelzinnig toestemming verleent om het verzoek anders te behandelen;
f) samenwerken met de DPO’s van andere instellingen of organen van de Unie, in het bijzonder door ervaringen uit te wisselen en kennis te delen en het ESRB te vertegenwoordigen in alle discussies — behoudens rechtszaken — betreffende gegevensbescherming; en
g) jaarlijks aan de algemene raad en de EDPS een werkschema en een verslag indienen over de DPO-activiteiten.
Artikel 5 Bevoegdheden van de DPO
1. De DPO kan:
a) van het secretariaat van het ESRB een advies vragen over aangelegenheden betreffende DPO-taken en -plichten;
b) een advies uitbrengen over de rechtmatigheid van actuele of voorgestelde verwerkingen of een aangelegenheid betreffende de kennisgeving van verwerkingen;
c) de aandacht van het hoofd van het secretariaat van het ESRB vestigen op elke niet-naleving door een personeelslid van de verplichtingen onder Verordening (EG) nr. 45/2001;
d) te allen tijde toegang hebben tot de gegevens die het voorwerp van verwerkingen van persoonsgegevens vormen en tot alle kantoren, gegevensverwerkingsapparatuur en gegevensdragers;
e) erbij betrokken worden telkens wanneer het ESRB interne regels opstelt betreffende de bescherming van persoonsgegevens;
f) een anonieme lijst bijhouden van de schriftelijke verzoeken van betrokkenen verbandhoudend met de uitoefening van hun rechten; en
g) de andere in de bijlage bij Verordening (EG) nr. 45/2001 bepaalde taken uitvoeren.
2. Onverminderd de taken en bevoegdheden van de verwerkingsverantwoordelijke, heeft de DPO tekenbevoegdheid voor de door de DPO opgestelde correspondentie binnen de grenzen van zijn mandaat.
AFDELING 3 VERWERKINGSVERANTWOORDELIJKE EN COÖRDINATOR GEGEVENSBESCHERMING
Artikel 6 Taken en plichten van verwerkingsverantwoordelijken en coördinatoren gegevensbescherming
1. De verwerkingsverantwoordelijken dragen er zorg voor dat de binnen hun verantwoordelijkheid uitgevoerde verwerkingen van persoonsgegevens voldoen aan Verordening (EG) nr. 45/2001.
2. Als de verwerkingsverantwoordelijken de DPO en de EDPS bij de uitvoering van hun taken bijstaan, verstrekken de eerstgenoemden alle informatie, verlenen toegang tot persoonsgegevens en beantwoorden vragen binnen 20 werkdagen na de ontvangst van het verzoek daartoe.
3. De verwerkingsverantwoordelijken stellen de DPO tijdig in kennis na ontvangst van een verzoek om toegang tot, of rectificatie, afscherming, of schrapping van persoonsgegevens, of betreffende het recht van bezwaar van de betrokkene, of een klacht in verband met gegevensbeschermingsaangelegenheden.
4. Onverminderd de verantwoordelijkheden van de verwerkingsverantwoordelijken:
a) staan de coördinatoren gegevensbescherming de verwerkingsverantwoordelijken bij in de vervulling van hun taken, hetzij op verzoek van de verwerkingsverantwoordelijken, hetzij op eigen initiatief. Daarbij onderhouden de coördinatoren gegevensbescherming contact met het personeel van de verwerkingsverantwoordelijken, die hun alle nodige informatie verschaffen. Dit kan, ter beoordeling van de desbetreffende verwerkingsverantwoordelijke, toegang tot onder de verantwoordelijkheid van die verwerkingsverantwoordelijke verwerkte gegevens omvatten.
b) de coördinatoren gegevensbescherming staan de DPO bij:
i) bij de identificatie van de desbetreffende verwerkingsverantwoordelijke inzake verwerkingen van persoonsgegevens;
ii) het bekendmaken van het advies van de DPO en het steunen van de verwerkingsverantwoordelijke onder leiding van de DPO;
iii) overige aspecten van het werkprogramma van de DPO zoals overeengekomen tussen de DPO en het management van de coördinatoren gegevensbescherming.
Artikel 7 Meldingsprocedure
1. Voor de invoering van nieuwe verwerkingen betreffende persoonsgegevens, stelt de desbetreffende verwerkingsverantwoordelijke de DPO daarvan in kennis middels de via de DPO-website op het intranet van het ESRB toegankelijke online interface. Elke ingevolge artikel 27, lid 3 van Verordening (EG) nr. 45/2001 aan voorafgaande controle onderworpen verwerking wordt tijdig voor invoering ervan meegedeeld zodat een voorafgaande controle door de EDPS mogelijk is.
2. De betreffende verwerkingsverantwoordelijke informeert de DPO onmiddellijk over informatiewijzigingen betreffende een al aan de DPO meegedeelde kennisgeving.
AFDELING 4 RECHTEN VAN BETROKKENEN
Artikel 8 Register
Het door de DPO ingevolge artikel 26 van Verordening (EG) nr. 45/2001 bijgehouden register dient als een index van alle bij het ESRB uitgevoerde verwerkingen van persoonsgegevens. Betrokkenen kunnen de informatie in het register gebruiken om hun rechten onder artikel 13 tot en met 19 van Verordening (EG) nr. 45/2001 uit te oefenen.
Artikel 9 Uitoefening van rechten door betrokkenen
1. Naast het recht van betrokkenen om naar behoren te worden geïnformeerd over elke verwerking van hun persoonsgegevens, kunnen betrokkenen de betreffende verwerkingsverantwoordelijke benaderen om hun in de artikelen 13 tot en met 19 van Verordening (EG) nr. 45/2001 genoemde rechten uit te oefenen, zoals hierna bepaald.
a) deze rechten mogen uitsluitend worden uitgeoefend door de betrokkenen of hun rechtsgeldig bevoegde vertegenwoordiger. Deze personen mogen deze rechten kosteloos uitoefenen;
b) verzoeken tot uitoefening van deze rechten worden schriftelijk gericht tot de desbetreffende verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke willigt het verzoek pas in indien de identiteit van de verzoeker en, indien toepasselijk, diens recht om de betrokkene te vertegenwoordigen, naar behoren zijn geverifieerd. De verwerkingsverantwoordelijke deelt de betrokkene onverwijld schriftelijk mee of het verzoek al dan niet is ingewilligd. Bij afwijzing van het verzoek vermeldt de verwerkingsverantwoordelijke de redenen voor de afwijzing;
c) de verwerkingsverantwoordelijke verleent de betrokkene in ieder geval binnen drie kalendermaanden na ontvangst van het verzoek ingevolge artikel 13 van Verordening (EG) nr. 45/2001 toegang om deze gegevens ter plaatse te kunnen raadplegen of een kopie ervan te ontvangen, al naargelang de voorkeur van de aanvrager;
d) betrokkenen kunnen contact opnemen met de DPO indien de verwerkingsverantwoordelijke zich niet houdt aan de termijnen onder b) of c). Bij kennelijk misbruik door een betrokkene in de uitoefening van zijn rechten, kan de verwerkingsverantwoordelijke de betrokkene doorverwijzen naar de DPO. Indien de zaak naar de DPO wordt doorverwezen, besluit deze over de gegrondheid van het verzoek en het passende vervolg daarop. Bij gebrek aan overeenstemming tussen de betrokkene en de verwerkingsverantwoordelijke, hebben beide partijen het recht de DPO te raadplegen.
2. Personeel kan de DPO raadplegen alvorens een klacht in te dienen bij de EDPS.
Artikel 10 Uitzondering en beperkingen
1. Op voorwaarde dat de DPO vooraf is geraadpleegd, kan de verwerkingsverantwoordelijke de in artikel 13 tot en met 17 van Verordening (EG) nr. 45/2001 bedoelde rechten beperken op de gronden en overeenkomstig de in artikel 20 van Verordening (EG) nr. 45/2001 uiteengezette voorwaarden.
2. Elke betrokken persoon kan de EDPS om toepassing van artikel 47, lid 1, onder c), van Verordening (EG) nr. 45/2001 vragen.
Artikel 11 Onderzoek
1. Een verzoek voor een onderzoek op grond van paragraaf 1 van de bijlage bij Verordening (EG) nr. 45/2001 wordt schriftelijk gericht tot de DPO.
2. Binnen 20 werkdagen na de ontvangst van het verzoek, stuurt de DPO de verzoeker een ontvangstbevestiging.
3. De DPO kan de aangelegenheid ter plaatse onderzoeken en een schriftelijke verklaring van de desbetreffende verwerkingsverantwoordelijke verlangen. De desbetreffende verwerkingsverantwoordelijke antwoordt de DPO binnen 20 werkdagen na ontvangst van diens verzoek. De DPO kan het secretariaat om aanvullende informatie of bijstand vragen. Deze informatie of bijstand wordt binnen 20 werkdagen na ontvangst van het verzoek van de DPO verschaft.
4. Binnen 3 kalendermaanden na de ontvangst van het verzoek brengt de DPO aan de verzoeker verslag uit.
AFDELING 5 INWERKINGTREDING
Artikel 12 Inwerkingtreding
Dit besluit treedt in werking op de 20e dag na bekendmaking ervan in het Publicatieblad van de Europese Unie.
Gedaan te Frankfurt am Main, 13 juli 2012. De voorzitter van het ESRB Mario Draghi