4.5.2007

DA

Den Europæiske Unions Tidende

L 116/64

---

DEN EUROPÆISKE CENTRALBANKS AFGØRELSE

af 17. april 2007

om vedtagelse af gennemførelsesbestemmelser vedrørende databeskyttelse i Den Europæiske Centralbank

(ECB/2007/1)

(2007/279/EF)

DIREKTIONEN FOR DEN EUROPÆISKE CENTRALBANK HAR —

under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab, særlig artikel 286, og

Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (1), og især artikel 24, stk. 8 heri, og

ud fra følgende betragtninger:

(1)	Forordning (EF) nr. 45/2001 fastsætter principper for databeskyttelse og bestemmelser anvendelige for alle fællesskabsinstitutioner og -organer og bestemmer, at hver fællesskabsinstitution og hvert fællesskabsorgan skal udpege en databeskyttelsesansvarlig.

(2)	Artikel 24, stk. 8, i forordning (EF) nr. 45/2001 fastsætter, at yderligere gennemførelsesbestemmelser vedrørende den databeskyttelsesansvarlige vedtages af de enkelte fællesskabsinstitutioner eller organer i overensstemmelse med bestemmelserne i bilaget til forordningen —

TRUFFET FØLGENDE AFGØRELSE:

AFSNIT 1

ALMINDELIGE BESTEMMELSER

Artikel 1

Formål og anvendelsesområde

1.   Denne afgørelse fastlægger generelle gennemførelsesbestemmelser til forordning (EF) nr. 45/2001, for så vidt angår Den Europæiske Centralbank. Især supplerer den bestemmelserne i forordning (EF) 45/2001 for så vidt angår den databeskyttelsesansvarliges udpegning og status samt dennes hverv, opgaver og beføjelser.

2.   Denne afgørelse præciserer også rollerne, opgaverne og hvervene for de registeransvarlige og for databeskyttelseskoordinatorer og gennemfører de bestemmelser, hvorefter de registrerede kan udøve deres rettigheder.

Artikel 2

Definitioner

I denne afgørelse og med forbehold af definitionerne i forordning (EF) nr. 45/2001 gælder følgende definitioner:

a)	»den registeransvarlige«: den leder med ansvar for en organisatorisk enhed, som afgør til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger

b)	»databeskyttelseskoordinator«: en ansat, som bistår en registeransvarlig med at opfylde sidstnævntes pligter m.h.t. databeskyttelse. Denne skal have særlig erfaring med hensyn til arkivbehandling.

AFSNIT 2

DEN DATABESKYTTELSESANSVARLIGE

Artikel 3

Udpegning, status og organisatoriske forhold

1.   Direktionen:

a)	udpeger den databeskyttelsesansvarlige blandt ECB’s ansatte med en position, som er tilstrækkelig til at opfylde kravene i artikel 24 i forordning (EF) nr. 45/2001

b)	fastsætter en embedsperiode for den databeskyttelsesansvarlige fra to til fem år, og

c)	foretager registrering af den databeskyttelsesansvarlige hos den europæiske tilsynsførende for databeskyttelse.

2.   Direktionen sikrer, at den databeskyttelsesansvarlige kan udføre sine opgaver og hverv på uafhængig vis. Uden at det berører denne uafhængighed:

a)	er den databeskyttelsesansvarlige underlagt ECB’s ansættelsesvilkår

b)	henhører den databeskyttelsesansvarlige af administrative grunde under et af ECB’s forretningsområder, og

c)	skal den databeskyttelsesansvarliges bedømmere høre den europæiske tilsynsførende for databeskyttelse før de bedømmer dennes udførelse af sine opgaver og hverv som databeskyttelsesansvarlig.

3.   Pågældende registeransvarlige skal drage omsorg for, at den databeskyttelsesansvarlige uopholdeligt underrettes:

a)	når et spørgsmål opstår, som har eller kan have konsekvenser i relation til databeskyttelse, og

b)	i forbindelse med kontakt til tredjeparter, som angår anvendelsen af forordning (EF) nr. 45/2001, især en hvilken som helst forbindelse til den europæiske tilsynsførende for databeskyttelse.

4.   Direktionen kan udpege en suppleant for den databeskyttelsesansvarlige, for hvem stk. 1 og 2 gælder. Suppleanten for den databeskyttelsesansvarlige bistår den databeskyttelsesansvarlige i udførelsen af dennes hverv og opgaver som databeskyttelsesansvarlig og fungerer i tilfælde af dennes fravær.

5.   Enhver ansat, som yder den databeskyttelsesansvarlige hjælp med hensyn til spørgsmål om databeskyttelse, skal alene følge den databeskyttelsesansvarliges anvisninger.

Artikel 4

Den databeskyttelsesansvarliges hverv og opgaver

Ved udførelsen af de hverv, som er omtalt i artikel 24 i forordning (EF) nr. 45/2001 og i bilag hertil, har den databeskyttelsesansvarlige følgende opgaver, under hensyntagen til input fra relevante forretningsområder i ECB, hvor dette er nødvendigt:

a)

rådgive Direktionen, de registeransvarlige og databeskyttelseskoordinatorerne om forhold, der vedrører anvendelsen af databeskyttelsesbestemmelser i ECB. Direktionen, enhver af de pågældende registeransvarlige, Personaleudvalget og enhver fysisk person kan høre den databeskyttelsesansvarlige om ethvert forhold, der angår fortolkningen og anvendelsen af forordning nr. 45/2001

b)

på eget initiativ eller efter anmodning fra Direktionen, de registeransvarlige, Personaleudvalget og enhver fysisk person at undersøge anliggender og forhold, der har direkte tilknytning til den databeskyttelsesansvarliges hverv og opgaver, og som kommer til dennes kendskab, og aflægge tilbagemelding til den, der anmodede om undersøgelsen. Den databeskyttelsesansvarlige vurderer problemer og kendsgerninger upartisk og med behørigt hensyn til de registreredes rettigheder. Hvis den databeskyttelsesansvarlige skønner det hensigtsmæssigt, underrettes alle andre berørte parter tilsvarende. Såfremt klageren er en enkeltperson eller handler på vegne af en enkeltperson, skal den databeskyttelsesansvarlige i videst muligt omfang sikre, at anmodningen behandles fortroligt, medmindre den registrerede utvetydigt har givet sit samtykke til, at anmodningen behandles på anden måde

c)	samarbejde med de databeskyttelsesansvarlige i andre fællesskabsinstitutioner og -organer, navnlig gennem udveksling af erfaringer og viden og som repræsentant for ECB i alle forhandlinger, bortset fra retssager, som vedrører spørgsmål om databeskyttelse, og

d)	forelægge et årligt arbejdsprogram og en årlig rapport om sin virksomhed til Direktionen og den europæiske tilsynsførende for databeskyttelse.

Artikel 5

Den databeskyttelsesansvarliges beføjelser

Den databeskyttelsesansvarlige kan:

a)	anmode ethvert af ECB’s forretningsområder om en udtalelse om alle forhold, der angår den databeskyttelsesansvarliges hverv og opgaver

b)	afgive udtalelse om lovligheden af faktiske eller påtænkte behandlinger og om ethvert spørgsmål vedrørende anmeldelse om behandling af oplysninger

c)	gøre Direktionen bekendt med, hvis en ansat har undladt at overholde forordning (EF) nr. 45/2001, og

d)	udføre andre opgaver som nævnt i bilaget til forordning (EF) 45/2001.

AFSNIT 3

REGISTERANSVARLIGE OG DATABESKYTTELSESKOORDINATORER

Artikel 6

Registeransvarliges og databeskyttelseskoordinatorers opgaver og hverv

1.   De registeransvarlige skal drage omsorg for, at alle behandlinger, som omfatter personoplysninger og som udføres inden for deres ansvarsområde, er i overensstemmelse med forordning (EF) nr. 45/2001.

2.   I forbindelse med opfyldelse af deres pligt til at bistå den databeskyttelsesansvarlige og den europæiske tilsynsførende for databeskyttelse ved udførelse af deres opgaver, skal de registeransvarlige give disse fuldstændige oplysninger, give adgang til personoplysninger og besvare spørgsmål inden for 20 arbejdsdage fra modtagelse af anmodningen herom.

3.   Uden at det berører de registeransvarliges ansvar:

a)

skal databeskyttelseskoordinatorerne bistå de registeransvarlige i opfyldelsen af disses pligter, enten efter anmodning fra de registeransvarlige eller på eget initiativ. I forbindelse hermed skal databeskyttelseskoordinatorerne samarbejde med den registeransvarliges ansatte, som skal udlevere alle nødvendige oplysninger til disse. Dette kan efter den pågældende registeransvarliges skøn omfatte adgang til personoplysninger, som er behandlet under denne registeransvarliges ansvar.

b)

Databeskyttelseskoordinatorerne skal bistå den databeskyttelsesansvarlige: i) med at finde frem til den rette registeransvarlige for behandlinger, der angår personoplysninger ii) med at videreformidle den databeskyttelsesansvarliges rådgivning og bistå de registeransvarlige under den databeskyttelsesansvarliges anvisning iii) med andre aspekter af den databeskyttelsesansvarliges arbejdsprogram i henhold til aftale mellem den databeskyttelsesansvarlige og de registeransvarliges ledelse.

Artikel 7

Anmeldelsesprocedure

1.   Forud for indførelse af ny behandling, der angår persondata, skal vedkommende registeransvarlige indgive en anmeldelse til den databeskyttelsesansvarlige herom ved anvendelse af den online brugerflade, som er til rådighed gennem den databeskyttelsesanvarliges webside på ECB’s intranet. Enhver behandling, som er omfattet af forhåndskontrol i følge artikel 27, stk. 3, i forordning nr. 45/2001, skal anmeldes i så god tid forud for indførelsen, at det muliggør forudgående kontrol af den europæiske tilsynsførende for databeskyttelse.

2.   De registeransvarlige skal straks oplyse den databeskyttelsesanvarlige om enhver ændring af de oplysninger, som er indeholdt i den anmeldelse, som allerede er fremsendt til den databeskyttelsesanvarlige.

AFSNIT 4

DEN REGISTREREDES RETTIGHEDER

Artikel 8

Register

Det register, som den databeskyttelsesansvarlige fører i henhold til artikel 26 i forordning (EF) nr. 45/2001, skal være en fortegnelse over de behandlinger vedrørende personoplysninger, der finder sted i ECB. De registrerede kan benytte oplysningerne i registret med henblik på at udøve deres rettigheder efter artikel 13 til 19 i forordning (EF) nr. 45/2001.

Artikel 9

De registreredes udøvelse af deres rettigheder

1.   Som led i deres ret til at blive behørigt informeret om enhver behandling af personoplysninger, der vedrører dem, kan de registrerede henvende sig til vedkommende registeransvarlige med henblik på at udøve deres rettigheder efter artikel 13 til 19 i forordning (EF) nr. 45/2001 som angivet nedenfor.

a)	Disse rettigheder kan kun udøves af den registrerede eller dennes behørigt bemyndigede repræsentant. Disse personer kan udøve deres rettigheder uden betaling.

b)

Anmodning om udøvelse af disse rettigheder fremsættes skriftligt over for vedkommende registeransvarlige. Den registeransvarlige imødekommer kun anmodningen, hvis klagerens identitet, og hvor relevant, en bemyndigelse til at repræsentere den registrerede, er blevet behørigt verificeret. Den registeransvarlige underretter omgående den registrerede skriftligt, hvorvidt anmodningen er imødekommet. Hvis anmodningen afvises, skal den registeransvarlige angive en begrundelse for afvisningen.

c)

Den registeransvarlige skal inden for tre kalendermåneder efter modtagelse af anmodning herom, til enhver tid give den registrerede ret til indsigt i henhold til artikel 13 i forordning (EF) nr. 45/2001, enten ved at give den registrerede mulighed for at konsultere disse oplysninger på stedet eller ved at få udleveret en kopi, alt efter den registreredes ønske.

d)

Den registrerede kan henvende sig til den databeskyttelsesansvarlige i tilfælde af, at den registeransvarlige ikke overholder en af tidsfristerne i litra b) eller c). Hvor der er tale om åbenlyst misbrug fra den registreredes side med hensyn til udøvelsen af dennes rettigheder, kan den registeransvarlige henvise den registrerede til den databeskyttelsesansvarlige. Hvis der er tale om henvisning, træffer den databeskyttelsesansvarlige på grundlag af anmodningens omstændigheder afgørelse, og afgør, hvordan sagen skal følges op. I tilfælde af uenighed mellem den registrerede og den registeransvarlige har begge parter ret til at høre den databeskyttelsesansvarlige.

2.   Ansatte i ECB kan rette henvendelse til den databeskyttelsesansvarlige før indgivelse af indgive en klage til den europæiske tilsynsførende for databeskyttelse i henhold til artikel 33 i forordning (EF) nr. 45/2001.

Artikel 10

Undtagelser og begrænsninger

1.   Under forudsætning af at den databeskyttelsesansvarlige på forhånd er hørt herom, kan den registeransvarlige begrænse de rettigheder, der er omhandlet i artikel 13 til 17 i forordning (EF) nr. 45/2001, af de grunde og på de betingelser, der er angivet i forordningens artikel 20.

2.   Enhver berørt person kan anmode den europæiske tilsynsførende for databeskyttelse om at anvende artikel 47, stk. 1, litra c) i forordning (EF) nr. 45/2001.

Artikel 11

Undersøgelsesprocedure

1.   Anmodning om en undersøgelse i henhold til artikel 4, litra b), fremsættes skriftligt til den databeskyttelsesansvarlige

2.   Den databeskyttelsesansvarlige sender senest 20 arbejdsdage efter modtagelse af anmodningen en kvittering for modtagelsen til den, der har indgivet anmodningen.

3.   Den databeskyttelsesansvarlige kan undersøge sagen på stedet og anmode den registeransvarlige om en skriftlig erklæring. Den registeransvarlige sender sit svar til den databeskyttelsesansvarlige senest 20 dage efter anmodningen. Den databeskyttelsesansvarlige kan anmode om supplerende oplysninger eller bistand fra ethvert forretningsområde i ECB. Forretningsområdet skal sende sådanne supplerende oplysninger eller yde bistand senest 20 arbejdsdage efter den databeskyttelsesansvarliges anmodning herom.

4.   Den databeskyttelsesansvarlige afgiver tilbagemelding til den, der fremsatte anmodningen, senest tre kalendermåneder efter modtagelsen af anmodningen.

Artikel 12

Klager

Som supplement til de klagemuligheder, som er omtalt i artikel 32 i forordning (EF) nr. 45/2001, og som gælder for alle registrerede, har registrerede, som er ansatte i ECB, tillige de klagemuligheder til rådighed, som er indeholdt i ECB’s ansættelsesvilkår.

AFSNIT 5

IKRAFTTRÆDEN

Artikel 13

Afsluttende bestemmelser

Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

---

(1)  EFT L 8 af 12.1.2001, s. 1.

---