4.5.2007

SV

Europeiska unionens officiella tidning

L 116/64

---

EUROPEISKA CENTRALBANKENS BESLUT

av den 17 april 2007

om antagande av genomförandebestämmelser om uppgiftsskydd vid Europeiska centralbanken

(ECB/2007/1)

(2007/279/EG)

EUROPEISKA CENTRALBANKENS DIREKTION HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286,

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (1), särskilt artikel 24.8, och

av följande skäl:

(1)	Av förordning (EG) nr 45/2001 framgår de principer och bestämmelser för uppgiftsskydd som gäller för alla gemenskapsinstitutioner och gemenskapsorgan samt att ett uppgiftsskyddsombud skall utses av varje gemenskapsinstitution och gemenskapsorgan.

(2)	Enligt artikel 24.8 i förordning (EG) nr 45/2001 skall varje gemenskapsinstitution och gemenskapsorgan anta ytterligare genomförandebestämmelser avseende uppgiftsskyddsombudet i enlighet med bestämmelserna i bilagan till den förordningen.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

AVSNITT 1

ALLMÄNNA BESTÄMMELSER

Artikel 1

Syfte och omfattning

1.   Detta beslut fastställer de allmänna bestämmelser som genomför förordning (EG) nr 45/2001 vad gäller Europeiska centralbanken (ECB). I synnerhet kompletterar det bestämmelserna i förordning (EG) nr 45/2001 avseende uppgiftsskyddsombudets utnämning och ställning liksom dess arbetsuppgifter, åligganden och befogenheter.

2.   Detta beslut klargör också vilka roller, arbetsuppgifter och åligganden som registeransvariga och uppgiftsskyddssamordnare har, samt genomför de bestämmelser enligt vilka de registrerade kan utöva sina rättigheter.

Artikel 2

Definitioner

I detta beslut, och utan att det påverkar tillämpningen av definitionerna i förordning (EG) nr 45/2001, skall följande definitioner tillämpas:

a)   registeransvarig: en anställd i ledande ställning som är ansvarig för en organisatorisk enhet som bestämmer ändamålet och medlen för behandling av personuppgifter;

b)   uppgiftsskyddssamordnare: en anställd som bistår en registeransvarig med att uppfylla den senares skyldigheter avseende uppgiftsskydd. Denna person skall vara specialist på registerföring.

AVSNITT 2

UPPGIFTSSKYDDSOMBUDET

Artikel 3

Utnämning, ställning och organisatoriska frågor

1.   Direktionen skall

a)	bland ECB:s anställda med tillräcklig hög erfarenhet för att uppfylla de krav som uppställs i artikel 24 i förordning (EG) nr 45/2001 utnämna ett uppgiftsskyddsombud;

b)	fastställa en mandatperiod för uppgiftsskyddsombudet på mellan två och fem år; och

c)	inregistrera uppgiftsskyddsombudet hos europeiska datatillsynsmannen.

2.   Direktionen skall säkerställa att uppgiftsskyddsombudet kan utföra sina arbetsuppgifter och åligganden som uppgiftsskyddsombud på oberoende sätt. Utan att det påverkar detta oberoende skall

a)	ECB:s anställningsvillkor gälla för uppgiftsskyddsombudet;

b)	uppgiftsskyddsombudet i administrativt hänseende tillhöra ett av ECB:s affärsområden; och

c)	uppgiftsskyddsombudets bedömare samråda med europeiska datatillsynsmannen innan de utför sin bedömning av hur uppgiftsskyddsombudet har utfört sina arbetsuppgifter och åligganden som uppgiftsskyddsombud.

3.   Den berörda registeransvarige skall säkerställa att uppgiftsskyddsombudet omedelbart informeras

a)	när det uppstår en fråga som har, eller kan få, konsekvenser ur uppgiftsskyddssynpunkt; och

b)	om alla kontakter med utomstående parter vad gäller tillämpningen av förordning (EG) nr 45/2001, i synnerhet alla kontakter med europeiska datatillsynsmannen.

4.   Direktionen får utse ett vice uppgiftsskyddsombud för vilken punkterna 1 och 2 är tillämpliga. Vice uppgiftsskyddsombud skall bistå uppgiftsskyddsombudet vid utförandet av dennes arbetsuppgifter och åligganden samt agera som ställföreträdare i uppgiftsskyddsombudets frånvaro.

5.   Personal som utför stöduppgifter åt uppgiftsskyddsombudet i frågor om uppgiftsskydd skall uteslutande följa uppgiftsskyddsombudets instruktioner.

Artikel 4

Uppgiftsskyddsombudets arbetsuppgifter och åligganden

När uppgiftsskyddsombudet utför de arbetsuppgifter som avses i artikel 24 i förordning (EG) nr 45/2001 och bilagan till den förordningen, skall uppgiftsskyddsombudet fullgöra följande åligganden och, om så är nödvändigt, beakta synpunkter från relevanta avdelningar inom ECB:

a)

Ge råd till direktionen, de registeransvariga och uppgiftsskyddssamordnarna i frågor som rör tillämpningen av uppgiftsskyddsbestämmelser hos ECB. Direktionen, de berörda registeransvariga, personalkommittén eller enskilda får samråda med uppgiftsskyddsombudet i alla frågor som rör tolkningen eller tillämpningen av förordning EG) nr 45/2001.

b)

På eget initiativ eller på direktionens, en registeransvarigs, personalkommitténs eller enskildas begäran utreda frågor och händelser som kommer till ombudets kännedom och som har ett direkt samband med uppgiftsskyddsombudets arbetsuppgifter och åligganden, samt rapportera tillbaka till den person som begärde undersökningen. Uppgiftsskyddsombudet skall opartiskt undersöka frågor och fakta samt visa hänsyn till den registrerades rättigheter. Om uppgiftsskyddsombudet anser det vara lämpligt skall det informera alla övriga berörda parter i enlighet därmed. Om en begäran kommer från en enskild person, eller om sökanden agerar å en enskild persons vägnar, skall uppgiftsskyddsombudet i möjligaste mån säkerställa att begäran förblir sekretessbelagd såvida inte den registrerade ger sitt otvetydiga samtycke till att den behandlas på annat sätt.

c)	Samarbeta med uppgiftsskyddsombud vid andra gemenskapsinstitutioner och gemenskapsorgan, särskilt genom att utbyta erfarenheter och kunskaper samt företräda ECB vid alla diskussioner – utom mål vid domstolen – som avser uppgiftsskyddsfrågor.

d)	Lämna in ett årligt arbetsprogram och en årlig rapport om sin verksamhet till direktionen och europeiska datatillsynsmannen.

Artikel 5

Uppgiftsskyddsombudets befogenheter

Uppgiftsskyddsombudet får

a)	begära ett yttrande från en avdelning inom ECB om varje fråga som rör uppgiftsskyddsombudets arbetsuppgifter och åligganden,

b)	avge ett yttrande om lagligheten av en faktisk eller föreslagen behandling av personuppgifter eller om en fråga som rör anmälan om behandling,

c)	underrätta direktionen om en anställd inte följer förordning (EG) nr 45/2001, och

d)	utföra övriga arbetsuppgifter som framgår av bilagan till förordning (EG) nr 45/2001.

AVSNITT 3

REGISTERANSVARIGA OCH UPPGIFTSSKYDDSSAMORDNARE

Artikel 6

Arbetsuppgifter och åligganden för registeransvariga och uppgiftsskyddssamordnare

1.   De registeransvariga skall säkerställa att alla behandlingar som involverar personuppgifter och som utförs inom deras ansvarsområde står i överensstämmelse med förordning (EG) nr 45/2001.

2.   När registeransvariga utför sina skyldigheter att bistå uppgiftsskyddsombudet och den europeiska datatillsynsmannen vid utförandet av deras arbetsuppgifter, skall de registeransvariga ge dem fullständig information, bevilja dem tillgång till personuppgifter samt svara på frågor inom 20 arbetsdagar från mottagandet av begäran.

3.   Utan att det påverkar de registeransvarigas ansvar skall

a)

uppgiftsskyddssamordnarna bistå de registeransvariga vid utförandet av deras skyldigheter, antingen på de registeransvarigas begäran eller på eget initiativ. Inom ramen för detta skall uppgiftsskyddssamordnarna upprätthålla kontakt med registeransvariges personal som skall ge dem all nödvändig information. Detta kan, om den berörde registeransvarige så önskar, innefatta tillgång till personuppgifter som behandlats under den registeransvariges ledning.

b)

uppgiftsskyddssamordnarna skall bistå uppgiftsskyddsombudet med i) att identifiera de relevanta registeransvariga för behandlingar avseende personuppgifter, ii) att offentliggöra uppgiftsskyddsombudets råd och stödja de registeransvariga enligt uppgiftsskyddsombudets vägledning, iii) andra aspekter av uppgiftsskyddsombudets arbetsprogram enligt överenskommelse mellan uppgiftsskyddsombudet och samordnarnas ledning.

Artikel 7

Anmälningsförfarande

1.   Innan en ny behandling av personuppgifter påbörjas, skall den berörde registeransvarige underrätta uppgiftsskyddsombudet om detta via det onlinegränssnitt som finns på uppgiftsskyddsombudets webbplats på ECB:s intranät. All behandling som omfattas av förhandskontroll enligt artikel 27.3 i förordning (EG) nr 45/2001 skall meddelas i tillräckligt god tid innan behandlingen påbörjas så att europeiska datatillsynsmannen ges möjlighet att utföra en kontroll.

2.   De registeransvariga skall omedelbart informera uppgiftsskyddsombudet om ändringar som påverkar informationen i ett meddelande som redan har överlämnats till uppgiftsskyddsombudet.

AVSNITT 4

DE REGISTRERADES RÄTTIGHETER

Artikel 8

Register

Det register som förs av uppgiftsskyddsombudet enligt artikel 26 i förordning (EG) nr 45/2001 skall tjäna som en förteckning över alla behandlingar som rör personuppgifter som utförs hos ECB. De registrerade får använda den information som finns i registret för att utöva sina rättigheter enligt artiklarna 13–19 i förordning (EG) nr 45/2001.

Artikel 9

Utövande av de registrerades rättigheter

1.   De registrerade får, utöver sin rättighet att bli informerade om varje behandling av deras personuppgifter, ta kontakt med den berörde registeransvarige för att utöva sina rättigheter enligt artiklarna 13–19 i förordning (EG) nr 45/2001 enligt vad som framgår nedan.

a)	Dessa rättigheter kan endast utövas av den registrerade eller dennes befullmäktigade ombud. Dessa personer får utöva alla dessa rättigheter utan kostnad.

b)

En begäran om att utöva dessa rättigheter skall skriftligen riktas till den berörde registeransvarige. Den registeransvarige skall endast godkänna begäran om sökandens identitet kan fastställas, och om tillämpligt, deras rätt att representera den registrerade har fastställts på ett lämpligt sätt. Den registeransvarige skall utan dröjsmål skriftligen informera den registrerade huruvida en begäran har godkänts eller inte. Om en begäran avslås skall den registeransvarige ange orsaken för detta.

c)	Den registeransvarige skall när som helst inom tre kalendermånader från det att begäran mottagits bevilja tillgång i enlighet med artikel 13 i förordning (EG) nr 45/2001 genom att ge den registrerade valmöjlighet att antingen ta del av uppgifterna på plats eller erhålla en kopia av dem.

d)

De registrerade får kontakta uppgiftsskyddsombudet om den registeransvarige inte iakttar någon av tidsfristerna i punkterna b eller c. Om en registrerad person uppenbart missbrukar sina rättigheter får den registeransvarige hänvisa den registrerade till uppgiftsskyddsombudet. Om fallet hänvisas till uppgiftsskyddsombudet, kommer uppgiftsskyddsombudet med utgångspunkt i fakta kring begäran besluta om lämpliga åtgärder. Om det råder delade meningar mellan den registrerade och den registeransvarige, har båda parter rätt att rådfråga uppgiftsskyddsombudet.

2.   ECB-anställda får rådfråga uppgiftsskyddsombudet innan de framför klagomål till den europeiska datatillsynsmannen i enligt med artikel 33 i förordning (EG) nr 45/2001.

Artikel 10

Undantag och begränsningar

1.   Förutsatt att uppgiftsskyddsombudet har rådfrågats i förväg kan den registeransvarige begränsa de rättigheter som avses i artiklarna 13–17 i förordning (EG) nr 45/2001 på de grunder, och i enlighet med de villkor, som framgår av artikel 20 i förordning (EG) nr 45/2001.

2.   En person som berörs av detta kan be den europeiska datatillsynsmannen att tillämpa artikel 47.1 c i förordning (EG) nr 45/2001.

Artikel 11

Utredningsförfarande

1.   En begäran om en utredning enligt artikel 4 b skall skriftligen riktas till uppgiftsskyddsombudet.

2.   Uppgiftsskyddsombudet skall skriftligen, inom 20 arbetsdagar från det att begäran mottas, bekräfta mottagandet till sökanden.

3.   Uppgiftsskyddsombudet får utreda frågan på plats och begära en skriftlig förklaring från den registeransvarige. Den registeransvarige skall ge uppgiftsskyddsombudet sitt svar inom 20 arbetsdagar från det att den registeransvarige mottagit uppgiftsskyddsombudets begäran. Uppgiftsskyddsombudet får begära ytterligare information eller bistånd från ECB:s avdelningar. Avdelningen skall ge sådan ytterligare information eller ge sådant bistånd inom 20 arbetsdagar från uppgiftsskyddsombudets begäran.

4.   Uppgiftsskyddsombudet skall återkomma med svar till sökanden inom tre kalendermånader från det att begäran mottas.

Artikel 12

Rättslig prövning

Utöver de möjligheter till rättslig prövning som framgår av artikel 32 i förordning (EG) nr 45/2001 som gäller för alla registrerade, har sådana registrerade som tillhör ECB:s personal även möjlighet att utnyttja de möjligheter som framgår av ECB:s anställningsvillkor.

AVSNITT 5

IKRAFTTRÄDANDE

Artikel 13

Slutbestämmelse

Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

---

(1)  EGT L 8, 12.1.2001, s. 1.

---