Europeiska systemrisknämndens beslut av den 13 juli 2012 om genomförandebestämmelser avseende uppgiftsskydd vid Europeiska systemrisknämnden (ESRB/2012/1) 2012/C 286/11
Grade B
mapped from publisher markup. A grade says how a document's structure was obtained, not how reliable the law is.
Not the law itself: Notice
Address https://gelex.eu/eli/EU/notice/oj/C/2012/286/11@2012-07-13/sv
EUROPEISKA SYSTEMRISKNÄMNDENS STYRELSE HAR ANTAGIT DETTA BESLUT
med beaktande av artikel 16 i fördraget om Europeiska unionens funktionssätt,
med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter, särskilt artikel 24.8 och bilagan,
efter samråd med Europeiska datatillsynsmannen, och
av följande skäl:
(1) I förordning (EG) nr 45/2001 fastställs de principer och regler som är tillämpliga på alla Europeiska unionens institutioner och organ och föreskrivs att varje institution och organ ska utse ett uppgiftsskyddsombud.
(2) Enligt artikel 24.8 i förordning (EG) nr 45/2001 ska varje EU-institution och EU-organ anta ytterligare genomförandebestämmelser avseende uppgiftsskyddsombudet i enlighet med bilagan till den förordningen.
(3) Det bör införas bestämmelser om registeransvariga och uppgiftsskyddssamordnare, vars arbetsuppgifter och åligganden berör uppgiftsskyddsombudets arbetsuppgifter och åligganden, samt om regleringen av de registrerades rättigheter.
HÄRIGENOM FÖRESKRIVS FÖLJANDE.
AVSNITT 1 ALLMÄNNA BESTÄMMELSER
Artikel 1 Syfte och tillämpningsområde
I detta beslut fastställs bestämmelser om
a) utnämning och ställning för Europeiska systemrisknämndens uppgiftsskyddsombud samt dennes arbetsuppgifter, åligganden och befogenheter,
b) registeransvarigas och uppgiftsskyddssamordnares roller, arbetsuppgifter och åligganden,
c) de registrerades utövande av rättigheter.
Artikel 2 Definitioner
I detta beslut avses med a) registeransvarig en anställd i ledande ställning som är ansvarig för en organisatorisk enhet som bestämmer ändamålet och medlen för behandling av personuppgifter. b) uppgiftsskyddssamordnare en anställd som bistår en registeransvarig med att uppfylla den senares skyldigheter avseende uppgiftsskydd. Denna person ska vara specialist på registerföring.
AVSNITT 2 UPPGIFTSSKYDDSOMBUDET
Artikel 3 Utnämning, ställning och organisatoriska frågor
1. Styrelsen ska
a) utnämna ett uppgiftsskyddsombud med tillräcklig erfarenhet för att uppfylla de krav som uppställs i artikel 24 i förordning (EG) nr 45/2001,
b) fastställa en mandatperiod för uppgiftsskyddsombudet på mellan två och fem år.
2. Styrelsen ska säkerställa att uppgiftsskyddsombudet kan utföra sina arbetsuppgifter och åligganden som uppgiftsskyddsombud på oberoende sätt. Utan att det påverkar detta oberoende ska uppgiftsskyddsombudets bedömare samråda med Europeiska datatillsynsmannen innan de utför sin bedömning av hur uppgiftsskyddsombudet har utfört sina arbetsuppgifter och åligganden som uppgiftsskyddsombud.
3. Den berörde registeransvarige ska säkerställa att uppgiftsskyddsombudet informeras utan dröjsmål
a) när det uppstår en fråga som har, eller kan få, konsekvenser ur uppgiftsskyddssynpunkt, och
b) om alla kontakter mellan ESRB och utomstående parter vad gäller tillämpningen av förordning (EG) nr 45/2001, i synnerhet alla kontakter med Europeiska datatillsynsmannen.
4. Styrelsen får utse ett vice uppgiftsskyddsombud för vilken artikel 24.1, 24.2 och 24.6 i förordning (EG) nr 45/2001 är tillämplig. Vice uppgiftsskyddsombud ska bistå uppgiftsskyddsombudet vid utförandet av dennes arbetsuppgifter och åligganden samt agera som ställföreträdare i uppgiftsskyddsombudets frånvaro.
5. Personal som utför stöduppgifter åt uppgiftsskyddsombudet i frågor om uppgiftsskydd ska uteslutande följa uppgiftsskyddsombudets instruktioner.
6. Uppgiftsskyddsombudet får sägas upp med Europeiska datatillsynsmannens medgivande, om han eller hon inte längre uppfyller kraven för att kunna utföra sina arbetsuppgifter och åligganden.
Artikel 4 Uppgiftsskyddsombudets arbetsuppgifter och åligganden
När uppgiftsskyddsombudet utför de arbetsuppgifter som avses i artikel 24 i förordning (EG) nr 45/2001 och bilagan till den förordningen, ska uppgiftsskyddsombudet fullgöra följande åligganden och beakta synpunkter från ESRB-sekretariatet:
a) Öka kunskaperna om uppgiftsskyddsfrågor och främja en kultur för skydd av personuppgifter inom ESRB.
b) Ge råd till styrelsen, styrkommittén, sekretariatet, den registeransvarige och uppgiftsskyddssamordnaren i frågor som rör tillämpningen av uppgiftsskyddsbestämmelser hos ESRB. Styrelsen, styrkommittén, sekretariatet, den berörde registeransvarige eller enskilda får samråda med uppgiftsskyddsombudet i alla frågor som rör tolkningen eller tillämpningen av förordning (EG) nr 45/2001.
c) Samarbeta med Europeiska datatillsynsmannen på dennes begäran eller på eget initiativ samt besvara datatillsynsmannens förfrågningar till ESRB:s uppgiftsskyddsombud.
d) Fastställa om en behandling kan innebära särskilda risker i den mening som avses i artikel 27 i förordning (EG) nr 45/2001 och därför ska omfattas av förhandskontroll. Uppgiftsskyddsombudet ska vid behov rådfråga den berörde registeransvarige. När det råder tveksamhet om behovet av förhandskontroll ska samråd ske med Europeiska datatillsynsmannen i enlighet med artikel 27.3 i förordning (EG) nr 45/2001.
e) På styrelsens, styrkommitténs, sekretariatets eller enskildas begäran eller på eget initiativ utreda frågor och händelser som har ett direkt samband med uppgiftsskyddsombudets arbetsuppgifter och åligganden, samt rapportera tillbaka till den person som begärde undersökningen. Uppgiftsskyddsombudet ska opartiskt undersöka frågor och fakta samt visa hänsyn till den registrerades rättigheter. Om uppgiftsskyddsombudet anser det vara lämpligt ska ombudet informera alla övriga berörda parter i enlighet därmed. Om en begäran kommer från en enskild person, eller om sökanden agerar å en enskild persons vägnar, ska uppgiftsskyddsombudet i möjligaste mån säkerställa att begäran förblir sekretessbelagd såvida inte den registrerade ger sitt otvetydiga samtycke till att den behandlas på annat sätt.
f) Samarbeta med uppgiftsskyddsombud vid andra EU-institutioner och EU-organ, särskilt genom att utbyta erfarenheter och kunskaper samt företräda ESRB vid alla diskussioner – utom mål vid domstolen – som avser uppgiftsskyddsfrågor.
g) Lämna in ett årligt arbetsprogram och en årlig rapport om sin verksamhet till styrelsen och Europeiska datatillsynsmannen.
Artikel 5 Uppgiftsskyddsombudets befogenheter
1. Uppgiftsskyddsombudet får
a) begära ett yttrande från ESRB-sekretariatet om varje fråga som rör uppgiftsskyddsombudets arbetsuppgifter och åligganden,
b) avge ett yttrande om lagligheten i en pågående eller föreslagen behandling eller om en fråga som rör anmälan om behandling,
c) underrätta ESRB-sekretariatets chef om en anställd inte följer förordning (EG) nr 45/2001,
d) ha ständig tillgång till de personuppgifter som behandlas samt tillträde till alla kontor, installationer för behandling av uppgifter och databärare,
e) delta när ESRB upprättar interna regler om skydd av personuppgifter,
f) föra en anonym förteckning över skriftliga förfrågningar från registrerade personer som rör utövandet av deras rättigheter, och
g) utföra övriga arbetsuppgifter som framgår av bilagan till förordning (EG) nr 45/2001.
2. Utan att det påverkar den registeransvariges arbetsuppgifter och befogenheter ska uppgiftsskyddsombudet vara behörig att underteckna korrespondens som han eller hon har utarbetat inom ramen för sitt uppdrag.
AVSNITT 3 DEN REGISTERANSVARIGE OCH UPPGIFTSSKYDDSSAMORDNAREN
Artikel 6 Arbetsuppgifter och åligganden för registeransvariga och uppgiftsskyddssamordnare
1. De registeransvariga ska säkerställa att alla behandlingar som involverar personuppgifter och som utförs inom deras ansvarsområde står i överensstämmelse med förordning (EG) nr 45/2001.
2. När registeransvariga utför sina skyldigheter att bistå uppgiftsskyddsombudet och Europeiska datatillsynsmannen vid utförandet av deras arbetsuppgifter, ska de registeransvariga ge dem fullständig information, bevilja dem tillgång till personuppgifter samt svara på frågor inom 20 arbetsdagar från mottagandet av begäran.
3. Registeransvariga ska i god tid underrätta uppgiftsskyddsombudet när de får en begäran om tillgång till eller rättelse, blockering eller utplåning av personuppgifter, en begäran som avser den registrerades rätt att göra invändningar eller ett klagomål som rör uppgiftsskyddsfrågor.
4. Utan att det påverkar de registeransvarigas ansvar ska
a) uppgiftsskyddssamordnarna bistå de registeransvariga vid utförandet av deras skyldigheter, antingen på de registeransvarigas begäran eller på eget initiativ. Inom ramen för detta ska uppgiftsskyddssamordnarna upprätthålla kontakt med de registeransvarigas personal som ska ge dem all nödvändig information. Detta kan, om den berörde registeransvarige så önskar, innefatta tillgång till personuppgifter som behandlats under den registeransvariges ledning.
b) uppgiftsskyddssamordnarna bistå uppgiftsskyddsombudet med
i) att identifiera den berörde registeransvarige för behandlingar avseende personuppgifter,
ii) att offentliggöra uppgiftsskyddsombudets råd och stödja den registeransvarige enligt uppgiftsskyddsombudets vägledning,
iii) andra aspekter av uppgiftsskyddsombudets arbetsprogram enligt överenskommelse mellan uppgiftsskyddsombudet och uppgiftsskyddssamordnarnas ledning.
Artikel 7 Anmälningsförfarande
1. Innan en ny behandling av personuppgifter påbörjas, ska den berörde registeransvarige underrätta uppgiftsskyddsombudet om detta via det onlinegränssnitt som finns på uppgiftsskyddsombudets webbsidor på ESRB:s intranät. All behandling som omfattas av förhandskontroll enligt artikel 27.3 i förordning (EG) nr 45/2001 ska meddelas i tillräckligt god tid innan behandlingen påbörjas så att Europeiska datatillsynsmannen ges möjlighet att utföra en förhandskontroll.
2. Den berörde registeransvarige ska omedelbart informera uppgiftsskyddsombudet om ändringar som påverkar informationen i en anmälan som redan har överlämnats till uppgiftsskyddsombudet.
AVSNITT 4 DE REGISTRERADES RÄTTIGHETER
Artikel 8 Register
Det register som förs av uppgiftsskyddsombudet enligt artikel 26 i förordning (EG) nr 45/2001 ska tjäna som en förteckning över alla behandlingar som rör personuppgifter som utförs hos ESRB. De registrerade får använda den information som finns i registret för att utöva sina rättigheter enligt artiklarna 13–19 i förordning (EG) nr 45/2001.
Artikel 9 Utövande av de registrerades rättigheter
1. De registrerade får, utöver sin rättighet att bli informerade om varje behandling av deras personuppgifter, ta kontakt med den berörde registeransvarige för att utöva sina rättigheter enligt artiklarna 13–19 i förordning (EG) nr 45/2001 enligt vad som framgår nedan.
a) Dessa rättigheter kan endast utövas av den registrerade eller dennes befullmäktigade ombud. Dessa personer får utöva alla dessa rättigheter utan kostnad.
b) En begäran om att utöva dessa rättigheter ska skriftligen riktas till den berörde registeransvarige. Den registeransvarige ska endast godkänna begäran om sökandens identitet kan fastställas och, om tillämpligt, deras rätt att representera den registrerade har fastställts på ett lämpligt sätt. Den registeransvarige ska utan dröjsmål skriftligen informera den registrerade huruvida en begäran har godkänts eller inte. Om en begäran avslås ska den registeransvarige ange orsaken för detta.
c) Den registeransvarige ska när som helst inom tre kalendermånader från det att begäran mottagits bevilja tillgång i enlighet med artikel 13 i förordning (EG) nr 45/2001 genom att ge den registrerade valmöjlighet att antingen ta del av uppgifterna på plats eller erhålla en kopia av dem.
d) De registrerade får kontakta uppgiftsskyddsombudet om den registeransvarige inte iakttar någon av tidsfristerna i punkterna b eller c. Om en registrerad person uppenbart missbrukar sina rättigheter, får den registeransvarige hänvisa den registrerade till uppgiftsskyddsombudet. Om fallet hänvisas till uppgiftsskyddsombudet, ska uppgiftsskyddsombudet med utgångspunkt i fakta kring begäran besluta om lämpliga åtgärder. Om det råder delade meningar mellan den registrerade och den registeransvarige, har båda parter rätt att rådfråga uppgiftsskyddsombudet.
2. Anställda får rådfråga uppgiftsskyddsombudet innan de framför klagomål till Europeiska datatillsynsmannen.
Artikel 10 Undantag och begränsningar
1. Förutsatt att uppgiftsskyddsombudet har rådfrågats i förväg kan den registeransvarige begränsa de rättigheter som avses i artiklarna 13–17 i förordning (EG) nr 45/2001 på de grunder, och i enlighet med de villkor, som framgår av artikel 20 i förordning (EG) nr 45/2001.
2. En person som berörs av detta kan be Europeiska datatillsynsmannen att tillämpa artikel 47.1 c i förordning (EG) nr 45/2001.
Artikel 11 Utredning
1. En begäran om en utredning enligt punkt 1 i bilagan till förordning (EG) nr 45/2001 ska skriftligen riktas till uppgiftsskyddsombudet.
2. Uppgiftsskyddsombudet ska skriftligen, inom 20 arbetsdagar från det att begäran mottas, bekräfta mottagandet till sökanden.
3. Uppgiftsskyddsombudet får utreda frågan på plats och begära en skriftlig förklaring från den berörde registeransvarige. Den berörde registeransvarige ska ge uppgiftsskyddsombudet sitt svar inom 20 arbetsdagar från det att den registeransvarige mottagit uppgiftsskyddsombudets begäran. Uppgiftsskyddsombudet får begära ytterligare information eller bistånd från sekretariatet. Sådan ytterligare information eller sådant bistånd ska ges inom 20 arbetsdagar från mottagandet av uppgiftsskyddsombudets begäran.
4. Uppgiftsskyddsombudet ska återkomma med svar till sökanden inom tre kalendermånader från det att begäran mottas.
AVSNITT 5 IKRAFTTRÄDANDE
Artikel 12 Ikraftträdande
Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.
Utfärdat i Frankfurt am Main den 13 juli 2012. Mario Draghi ESRB:s ordförande