Print

Vorabkontrolle

Manche Verfahren, die EU-Institutionen eingeführt haben, bringen Risiken für das Recht auf Datenschutz und die Grundfreiheiten des Einzelnen mit sich.

Der frühere Rechtsrahmen (Verordnung (EG) Nr. 45/2001) verpflichtete die EU-Institutionen, uns eine Meldung zu machen, bevor sie risikobehaftete Datenverarbeitungsverfahren einführten.

Im Allgemeinen waren unsere Stellungnahmen zu Vorabkontrollen öffentlich.

Die Verordnung (EU) 2018/1725 stützt sich auf die frühere Verordnung und entspricht der Datenschutzgrundverordnung (EU) 2016/679 (DSGVO), die für die meisten Organisationen gilt, die personenbezogene Daten in den Mitgliedstaaten verarbeiten. Im Vergleich zu den früheren Vorschriften werden durch die Verordnung (EU) 2018/1725 die Dokumentationspflichten stärker an den Risiken ausgerichtet, die die Verarbeitung personenbezogener Daten mit sich bringen. Dies bedeutet beispielsweise, dass die Dokumentationsanforderungen für das Abonnieren eines Newsletters von EU-Institutionen niedriger sind als etwa für ein intelligentes Videoüberwachungssystem, das öffentlich zugänglichen Raum überwacht, oder für eine Datenbank, die Profile von Reisenden zu Kontrollzwecken erstellt.

Je nach Verfahren müssen die EU-Institutionen bei der Verarbeitung von personenbezogenen Daten (als „Verantwortliche“) nicht unbedingt alle nachstehend aufgeführten Schritte durchlaufen (diese Schritte sind im Leitfaden „Rechenschaftspflicht vor Ort“ beschrieben):

    • Erstellung der grundlegenden Dokumentation („Verzeichnis“) aller Verarbeitungsvorgänge;
    • Prüfung der Wahrscheinlichkeit, dass der Vorgang ein hohes Risiko für die Personen darstellt, deren Daten verarbeitet werden, und Konsultation des DSB, wenn dies der Fall zu sein scheint;
    • Muss die EU-Institution eine Datenschutz-Folgenabschätzung durchführen, so sind dabei diese Risiken eingehender zu untersuchen und spezifische Garantien/Kontrollen zu ihrer Bewältigung zu entwickeln;
    • Deuten die Ergebnisse der Datenschutz-Folgenabschätzung auf hohe Restrisiken für den Datenschutz hin, muss die EU-Institution beim EDSB eine vorherige Konsultation beantragen (siehe Artikel 40 bzw. Artikel 90 der Verordnung (EU) 2018/1725 für verwaltungstechnische und operative personenbezogene Daten).

Artikel 39 der Verordnung 2016/794 über Europol sieht für neue Arten von Verarbeitungsvorgängen in Bezug auf operative Daten – Daten, die von Europol zur Unterstützung der Mitgliedstaaten bei der Verhütung und Bekämpfung von schwerer Kriminalität und Terrorismus verarbeitet werden – eine vorherige Ad-hoc-Konsultation vor. Entsprechend sieht Artikel 72 der Verordnung 2017/1939 über die Europäische Staatsanwaltschaft (EuStA) einen besonderen Mechanismus zur vorherigen Konsultation für die Verarbeitung von operativen Daten vor, nämlich von Daten, die im Zusammenhang mit strafrechtlichen Ermittlungen und Strafverfolgungsmaßnahmen der EuStA verarbeitet werden. Die Verordnung 2018/1725, einschließlich des Standardmechanismus für die vorherige Konsultation, ist für die Verarbeitung von verwaltungstechnischen Daten durch Europol und die EuStA anwendbar, wozu beispielsweise auch Daten über Mitarbeiter und Besucher gehören.

Wenn eine EU-Institution unsicher ist, ob sie uns eine Verarbeitung zwecks vorheriger Konsultation melden muss, kann ihr DSB uns in dieser Frage konsultieren.

Wie auch bei den früheren Stellungnahmen zur Vorabkontrolle sind die Stellungnahmen im Allgemeinen öffentlich. Allerdings können wir sensible Elemente erforderlichenfalls, wie etwa im Zusammenhang mit Sicherheitsaspekten, löschen. Einige Stellungnahmen, die naturgemäß sensibel sind, insbesondere im Bereich Polizei und Justiz, werden gegebenenfalls nicht veröffentlicht. Aus Gründen der Transparenz enthält unser Jahresbericht eine Zusammenfassung dieser Stellungnahmen.

Filters

3
Jul
2009
Opinions Prior Check and Prior Consultations

Hearings of the Commissioners-designate - Parliament

Opinion of 3 July 2009 on a notification for prior checking on the processing of personal data in the hearings of the Commissioners-designate (Case 2009-0332)

On 3 July 2009, the EDPS issued a prior checking opinion focusing on the processing of personal data in the hearings at the European Parliament of the Commissioners-designate.

During the hearings, the appropriate committee or committees shall invite the Commissioner-designate to make a statement and answer questions. The hearings shall be organised in such a way as to enable Commissioners-designate to disclose to Parliament all relevant information. All hearings will be web-streamed on the website of the EP. An indexed video recording of the hearings shall be made available for the public record within twenty-four hours. All CVs and additional documents will be part of the meeting documents of the committee and published on the EP website and available in the meeting room. The period of conservation of the data is five years. The data are subsequently transmitted to the central archives (CARDOC) for indefinite conservation.

In his opinion, the EDPS underlined that data could be kept after the initial conservation period for historical purposes, but that there should be a selection and verification process on the basis of criteria determined at an institutional level so as to only retain data of historical value. Appropriate safeguards must be put into place to ensure that the data kept on the basis of their historical value are not processed for any other purposes or used in support of measures or decisions regarding a particular individual. As for data which, after selection, are not considered as of historical value, they may only be stored for longer than the initial 5 year period of retention, if they are made anonymous or, if this is not possible, with the identity of the data subjects encrypted. Furthermore, although the Commissioners-designate are probably aware of the public nature of the data provided and the fact that the hearings will be made public notably through web-streaming, in order to ensure fairness of the processing further information could be provided on this in the Privacy statement.  The EDPS also invited the Parliament to ensure that the integrity of the data transmitted from the Council is respected.

Verfügbare Sprachen: Englisch, Französisch
Topics
Privacy in the EU Institutions
Recruitment
30
Jun
2009
Opinions Prior Check and Prior Consultations

Call for tender procedures - EESC

Opinion of 30 June 2009 on the call for tender procedures and management of contracts (Case 2009-323)

See EDPS prior checking opinion (2008-346) of 15 September 2008.

Verfügbare Sprachen: Englisch, Französisch
Topics
Privacy in the EU Institutions
Procurements, Grants, Experts
22
Jun
2009
Opinions Prior Check and Prior Consultations

Time and absence management - ECDC

Opinion of 22 June 2009 on the notification for prior checking concerning "Time and absence management" (Case 2009-072)
On 22 June 2009, the EDPS adopted an opinion on time and absence management at the European Center for Disease Prevention and Control (ECDC). The EDPS considers that the processing is lawful to the extent that it is limited to the purpose of time and absence management and that it does not lead to monitor on a regular basis the staff to evaluate personal aspects of the data subject, such as his/her ability, efficiency or conduct. Specific guarantees should be implemented as regards the processing of sensitive data, and in particular the ECDC should ensure that certificates containing medical data are sent by data subjects to an external medical service. The EDPS stresses that the right of an individual to access and rectify personal data concerning him or her should be ensured to all data subjects whom data are processed including trainees and family members, whatever the format in which such data are processed. The EDPS insists that ECDC must determine appropriate periods for the conservation of personal data.

Verfügbare Sprachen: Englisch, Französisch
Topics
Privacy in the EU Institutions
Working Conditions
17
Jun
2009
Opinions Prior Check and Prior Consultations

Selection of middle management and advisers - Commission

Opinion of 17 June 2009 on a notification for prior checking regarding the selection of middle management staff and advisers in the Commission (Case 2008-751)

DG ADMIN organizes and manages the selection process of middle management staff and advisers in the Commission in order to select the best suited candidates for a particular position.   In order to select the best suited candidates, applicants have to follow various procedures (interviews with pre-selection panel, interview of shortlisted with the Director General and the Rapporteur, in some cases, opinion of the Consultative Committee on Appointments, etc). Such procedures entail the collection and further processing of candidates' personal data for the purposes of evaluating their competences for a given position.

In his opinion, the EDPS concluded that the DG ADMIN has substantially followed all the principles of the Regulation. Nevertheless the EDPS recommended, among others, that DG ADMIN:

  • Ensures that no data related to closed disciplinary proceedings is collected and further processed.
  • Reconsiders the storage periods.
  • Limits the amount of information transferred during the second phase.
  • Provides an information notice to applicants for all middle management and adviser posts, including those published at level AD 9 / AD 14.
Verfügbare Sprachen: Englisch, Französisch
Topics
Privacy in the EU Institutions
Recruitment