Manche Verfahren, die EU-Institutionen eingeführt haben, bringen Risiken für das Recht auf Datenschutz und die Grundfreiheiten des Einzelnen mit sich.
Der frühere Rechtsrahmen (Verordnung (EG) Nr. 45/2001) verpflichtete die EU-Institutionen, uns eine Meldung zu machen, bevor sie risikobehaftete Datenverarbeitungsverfahren einführten.
Im Allgemeinen waren unsere Stellungnahmen zu Vorabkontrollen öffentlich.
Die Verordnung (EU) 2018/1725 stützt sich auf die frühere Verordnung und entspricht der Datenschutzgrundverordnung (EU) 2016/679 (DSGVO), die für die meisten Organisationen gilt, die personenbezogene Daten in den Mitgliedstaaten verarbeiten. Im Vergleich zu den früheren Vorschriften werden durch die Verordnung (EU) 2018/1725 die Dokumentationspflichten stärker an den Risiken ausgerichtet, die die Verarbeitung personenbezogener Daten mit sich bringen. Dies bedeutet beispielsweise, dass die Dokumentationsanforderungen für das Abonnieren eines Newsletters von EU-Institutionen niedriger sind als etwa für ein intelligentes Videoüberwachungssystem, das öffentlich zugänglichen Raum überwacht, oder für eine Datenbank, die Profile von Reisenden zu Kontrollzwecken erstellt.
Je nach Verfahren müssen die EU-Institutionen bei der Verarbeitung von personenbezogenen Daten (als „Verantwortliche“) nicht unbedingt alle nachstehend aufgeführten Schritte durchlaufen (diese Schritte sind im Leitfaden „Rechenschaftspflicht vor Ort“ beschrieben):
Artikel 39 der Verordnung 2016/794 über Europol sieht für neue Arten von Verarbeitungsvorgängen in Bezug auf operative Daten – Daten, die von Europol zur Unterstützung der Mitgliedstaaten bei der Verhütung und Bekämpfung von schwerer Kriminalität und Terrorismus verarbeitet werden – eine vorherige Ad-hoc-Konsultation vor. Entsprechend sieht Artikel 72 der Verordnung 2017/1939 über die Europäische Staatsanwaltschaft (EuStA) einen besonderen Mechanismus zur vorherigen Konsultation für die Verarbeitung von operativen Daten vor, nämlich von Daten, die im Zusammenhang mit strafrechtlichen Ermittlungen und Strafverfolgungsmaßnahmen der EuStA verarbeitet werden. Die Verordnung 2018/1725, einschließlich des Standardmechanismus für die vorherige Konsultation, ist für die Verarbeitung von verwaltungstechnischen Daten durch Europol und die EuStA anwendbar, wozu beispielsweise auch Daten über Mitarbeiter und Besucher gehören.
Wenn eine EU-Institution unsicher ist, ob sie uns eine Verarbeitung zwecks vorheriger Konsultation melden muss, kann ihr DSB uns in dieser Frage konsultieren.
Wie auch bei den früheren Stellungnahmen zur Vorabkontrolle sind die Stellungnahmen im Allgemeinen öffentlich. Allerdings können wir sensible Elemente erforderlichenfalls, wie etwa im Zusammenhang mit Sicherheitsaspekten, löschen. Einige Stellungnahmen, die naturgemäß sensibel sind, insbesondere im Bereich Polizei und Justiz, werden gegebenenfalls nicht veröffentlicht. Aus Gründen der Transparenz enthält unser Jahresbericht eine Zusammenfassung dieser Stellungnahmen.
Brief vom 27. Juli 2010 über eine Meldung zur Vorabkontrolle betreffend die Auswahl und Einstellung von Bediensteten auf Zeit und Vertragsbediensteten, abgeordneten nationalen Sachverständigen und Praktikanten bei der ECHA (Fall 2010-0109)
On 26 July, the EDPS adopted an opinion on the processing of personal data in the context of a Quality Process Monitoring at the General Secretariat of the Council (GSC). The particularity of the processing lies in the fact that the GSC decided to deploy its tool in two different steps. In a first phase, called pilot phase which ran for several months, the tool was deployed only among a few language units. Then, as a second step, the full deployment of the tool within the GSC was foreseen.
Following his established approach as regards pilot projects, the EDPS analysed the procedure implemented in the context of the pilot project and provided specific recommendations relating to the pilot project before its launch. The EDPS also provided recommendations that should be taken into account for the full launch of the tool, in order to avoid any contradictions between the two phases (pilot phase and full launch of the system) that could have an impact on the protection of personal data.
The purpose of the processing is to systematically evaluate, through sampling, the linguistic and technical quality of documents produced by the Translation Department. The tool enables individual members of staff to monitor their own performance; the head of the data subject's unit to monitor the performance of any given member of their unit; individual members of staff to compare their own performance with the unit's average; and better planning and monitoring.
In his conclusions of the prior-check opinion, the EDPS considered that the recommendations made in the analysis of the pilot project had been implemented by the GSC. Based on the foregoing, the EDPS considered that the follow-up of this opinion had been carried out and decided to close the case.
Brief vom 22. Juli 2010 über eine Meldung zur Vorabkontrolle betreffend die Verarbeitung im Rahmen des Bescheinigungsverfahrens für Bedienstete der EBDD (Fall 2010-0407)
Stellungnahme vom 22. Juli 2010 über die Meldung einer Vorabkontrolle in Bezug auf das Dossier "Administrative Maßnahmen im Falle eines unbefugten krankheitsbedingten Fernbleibens vom Dienst" (Fall 2009-0687)
Stellungnahme vom 20. Juli 2010 zur Meldung über die Vorabkontrolle im Zusammenhang mit der „360-Grad-Feedback“-Methode (Fall 2009-0215)