BESCHLUSS DES EINHEITLICHEN ABWICKLUNGSAUSSCHUSSES vom 18. September 2019 über interne Vorschriften zur Beschränkung bestimmter Rechte betroffener Personen in Bezug auf die Verarbeitung personenbezogener Daten im Rahmen der vom Einheitlichen Abwicklungsausschuss durchgeführten internen Untersuchungen von Sicherheitsvorfällen (SRB/ES/2019/34)

1 In diesem Beschluss werden die internen Vorschriften für die Bedingungen festgelegt, unter denen der SRB im Rahmen der internen Untersuchungen von Sicherheitsvorfällen die Anwendung der Rechte gemäß Artikel 14 bis 21, Artikel 35 sowie Artikel 4 davon unter Beachtung von Artikel 25 der Verordnung (EU) 2018/1725 beschränken kann.

2 Dieser Beschluss gilt für Verarbeitungen personenbezogener Daten, die vom SRB zum Zwecke interner Untersuchungen von Sicherheitsvorfällen sowie während der Überwachung der zu den Untersuchungsergebnissen ergriffenen Folgemaßnahmen durchgeführt werden.

3 Bei den betreffenden Datenkategorien kann es sich um harte Daten (Verwaltungsdaten, Telefonnummern, Privatanschriften, elektronische Kommunikation und Verkehrsdaten) und/oder weiche Daten (Beurteilungsberichte, Eröffnung von Untersuchungen, Berichte über Voruntersuchungen) usw. handeln.

4 Vorbehaltlich der in diesem Beschluss genannten Bedingungen können die Beschränkungen auf die folgenden Rechte Anwendung finden: Rechte auf Auskunft, Berichtigung, Löschung und Übertragbarkeit, Rechte auf Unterrichtung, Vertraulichkeit der Kommunikation sowie auf die Grundsätze des Datenverarbeitungsvorgangs, soweit sich diese auf ein Recht beziehen.

1 Verletzungen des Schutzes personenbezogener Daten, Datenverluste oder die unbefugte Weitergabe werden durch die folgenden Schutzmaßnahmen verhindert: Beschränkung der Zugangsrechte zu elektronischen Ordnern und zur funktionalen Mailbox für die Einreichung von Beschwerden; durch Schlüssel abschließbare Schränke sowie eine besondere Schulung der mit vertraulichen Informationen befassten Personen.

2 Der für die Verarbeitung Verantwortliche ist der SRB, hier vertreten durch den Referatsleiter des SRB für Corporate Services und IKT.

3 Die Speicherung und Aufbewahrung der erhobenen personenbezogenen Daten erfolgt gemäß den Unionsvorschriften über die Datenaufbewahrung sowie im Einklang mit dem belgischen Gesetz vom 21. März 2007 zur Regelung der Installation und des Einsatzes von Überwachungskameras. Die Aufbewahrungsfrist trägt dem Grundsatz Rechnung, dass die Aufbewahrung nicht länger andauern darf, als sie zur Erfüllung des Verarbeitungszwecks sowie gegebenenfalls zur Durchführung gerichtlicher oder verwaltungsrechtlicher Streitigkeiten erforderlich ist.

1 Gemäß Artikel 25 Absatz 1 der Verordnung (EU) 2018/1725 kommen Beschränkungen nur in Betracht, um Folgendes sicherzustellen: die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten oder die Strafvollstreckung, einschließlich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit; die innere Sicherheit der Organe und Einrichtungen der Union einschließlich ihrer elektronischen Kommunikationsnetze; den Schutz von Gerichtsverfahren; die Verhütung, Ermittlung, Aufdeckung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe; den Schutz der betroffenen Person oder der Rechte und Freiheiten anderer Personen.

2 Jede Beschränkung muss eine in einer demokratischen Gesellschaft notwendige und verhältnismäßige Maßnahme darstellen, die den Wesensgehalt der Grundrechte und Grundfreiheiten achtet.

3 Die Prüfung von Notwendigkeit und Verhältnismäßigkeit erfolgt auf Grundlage der vorliegenden internen Vorschriften. Zu Rechenschaftszwecken ist dies in jedem Fall durch einen internen Bewertungsvermerk zu dokumentieren.

4 Beschränkungen unterliegen angemessener Überwachung und werden alle sechs Monate einer regelmäßigen Prüfung unterzogen.

5 Beschränkungen werden aufgehoben, sobald die Umstände, die sie rechtfertigen, nicht mehr vorliegen.

6 Das Risiko für die Rechte und Freiheiten der betroffenen Person ist, dass die wirksame Ausübung der der betroffenen Person zustehenden Rechte auf unter anderem Unterrichtung, Löschung oder Verteidigung, so wie diese durch die Verordnung (EU) 2018/1725 garantiert sind, vorübergehend eingeschränkt ist. Diese Risiken sind im Rahmen der in Absatz 3 dieses Artikels genannten Prüfung von Notwendigkeit und Verhältnismäßigkeit zu berücksichtigen.

1 Während des Beschränkungsverfahrens muss der SRB den Datenschutzbeauftragten des SRB („DSB“) unverzüglich unterrichten, wann immer er die Anwendung von Rechten betroffener Personen gemäß diesem Beschluss beschränkt. Er gewährt Zugang zu den Aufzeichnungen und zur Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung.

2 Der DSB kann den für die Verarbeitung Verantwortlichen schriftlich zur Überprüfung der vorgenommenen Beschränkungen auffordern. Der DSB wird vom SRB schriftlich über das Ergebnis der angeforderten Überprüfung und den Zeitpunkt der Aufhebung der Beschränkung unterrichtet.

1 Der SRB nimmt in die auf seinem Intranet und seiner Website veröffentlichten Datenschutzhinweise, die die betroffenen Personen über ihre Rechte im Rahmen eines bestimmten Verfahrens informieren, Informationen über die mögliche Beschränkung dieser Rechte auf. Die Informationen umfassen, welche Rechte beschränkt werden können, die Gründe für solche Beschränkungen sowie deren mögliche Dauer.

2 Darüber hinaus informiert der SRB jede einzelne betroffene Person unverzüglich schriftlich über ihre Rechte in Bezug auf gegenwärtige oder künftige Beschränkungen; der folgende Absatz bleibt unberührt.

3 Die betroffenen Personen werden über die Hauptgründe, auf denen die Anwendung einer Beschränkung beruht, und ihr Recht, Beschwerde beim Europäischen Datenschutzbeauftragten einzulegen, unterrichtet.

1 Wenn betroffene Personen gemäß Artikel 17 der Verordnung (EU) 2018/1725 Auskunft über ihre personenbezogenen Daten, die im Zusammenhang mit einem oder mehreren spezifischen Fällen verarbeitet wurden, oder über einen spezifischen Datenverarbeitungsvorgang beantragen, beschränkt der SRB seine Prüfung des Antrags auf die betreffenden personenbezogenen Daten.

2 Wenn der SRB das in Artikel 17 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Auskunft ganz oder teilweise beschränkt, ergreift er die folgenden Maßnahmen: a) Er unterrichtet die jeweils betroffene Person in seiner Antwort auf den Antrag über die vorgenommene Beschränkung und die Hauptgründe dafür sowie über die Möglichkeit, Beschwerde beim Europäischen Datenschutzbeauftragten oder einen gerichtlichen Rechtsbehelf beim Gerichtshof der Europäischen Union einzulegen; b) er erstellt eine Aufzeichnung über die Gründe für die Beschränkung einschließlich einer Bewertung der Notwendigkeit und Verhältnismäßigkeit der Beschränkung, wobei in der Aufzeichnung festgehalten wird, inwieweit die Auskunftserteilung die Untersuchungstätigkeiten des SRB oder die Vornahme von Beschränkungen gemäß Artikel 2 Absatz 3 gefährden oder die Rechte und Freiheiten anderer von der Datenverarbeitung betroffener Personen beeinträchtigen würde. Die in Unterabsatz a erwähnte Unterrichtung kann gemäß Artikel 25 Absatz 8 der Verordnung (EU) 2018/1725 zurückgestellt, unterlassen oder abgelehnt werden.

3 Die in Unterabsatz b von Absatz 2 erwähnte Aufzeichnung sowie gegebenenfalls die Dokumente, die zugrunde liegende sachliche und rechtliche Elemente enthalten, werden registriert. Sie werden dem Europäischen Datenschutzbeauftragten auf Verlangen zur Verfügung gestellt. Artikel 25 Absatz 7 der Verordnung (EU) 2018/1725 findet Anwendung.

Wenn der SRB das in den Artikeln 18, 19 Absatz 1 und 20 Absatz 1 der Verordnung (EU) 2018/1725 vorgesehene Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung ganz oder teilweise beschränkt, ergreift er die in Artikel 6 Absatz 2 dieses Beschlusses genannten Maßnahmen und registriert die Aufzeichnung gemäß Artikel 6 Absatz 3 dieses Beschlusses.

Wenn der SRB das in Artikel 35 der Verordnung (EU) 2018/1725 genannte Recht auf Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person beschränkt, erfasst und registriert sie die Gründe dafür gemäß Artikel 3 Absatz 3 dieses Beschlusses. Es gilt Artikel 3 Absatz 4 dieses Beschlusses.

Dieser Beschluss tritt am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.