Print

Vorabkontrolle

Manche Verfahren, die EU-Institutionen eingeführt haben, bringen Risiken für das Recht auf Datenschutz und die Grundfreiheiten des Einzelnen mit sich.

Der frühere Rechtsrahmen (Verordnung (EG) Nr. 45/2001) verpflichtete die EU-Institutionen, uns eine Meldung zu machen, bevor sie risikobehaftete Datenverarbeitungsverfahren einführten.

Im Allgemeinen waren unsere Stellungnahmen zu Vorabkontrollen öffentlich.

Die Verordnung (EU) 2018/1725 stützt sich auf die frühere Verordnung und entspricht der Datenschutzgrundverordnung (EU) 2016/679 (DSGVO), die für die meisten Organisationen gilt, die personenbezogene Daten in den Mitgliedstaaten verarbeiten. Im Vergleich zu den früheren Vorschriften werden durch die Verordnung (EU) 2018/1725 die Dokumentationspflichten stärker an den Risiken ausgerichtet, die die Verarbeitung personenbezogener Daten mit sich bringen. Dies bedeutet beispielsweise, dass die Dokumentationsanforderungen für das Abonnieren eines Newsletters von EU-Institutionen niedriger sind als etwa für ein intelligentes Videoüberwachungssystem, das öffentlich zugänglichen Raum überwacht, oder für eine Datenbank, die Profile von Reisenden zu Kontrollzwecken erstellt.

Je nach Verfahren müssen die EU-Institutionen bei der Verarbeitung von personenbezogenen Daten (als „Verantwortliche“) nicht unbedingt alle nachstehend aufgeführten Schritte durchlaufen (diese Schritte sind im Leitfaden „Rechenschaftspflicht vor Ort“ beschrieben):

    • Erstellung der grundlegenden Dokumentation („Verzeichnis“) aller Verarbeitungsvorgänge;
    • Prüfung der Wahrscheinlichkeit, dass der Vorgang ein hohes Risiko für die Personen darstellt, deren Daten verarbeitet werden, und Konsultation des DSB, wenn dies der Fall zu sein scheint;
    • Muss die EU-Institution eine Datenschutz-Folgenabschätzung durchführen, so sind dabei diese Risiken eingehender zu untersuchen und spezifische Garantien/Kontrollen zu ihrer Bewältigung zu entwickeln;
    • Deuten die Ergebnisse der Datenschutz-Folgenabschätzung auf hohe Restrisiken für den Datenschutz hin, muss die EU-Institution beim EDSB eine vorherige Konsultation beantragen (siehe Artikel 40 bzw. Artikel 90 der Verordnung (EU) 2018/1725 für verwaltungstechnische und operative personenbezogene Daten).

Artikel 39 der Verordnung 2016/794 über Europol sieht für neue Arten von Verarbeitungsvorgängen in Bezug auf operative Daten – Daten, die von Europol zur Unterstützung der Mitgliedstaaten bei der Verhütung und Bekämpfung von schwerer Kriminalität und Terrorismus verarbeitet werden – eine vorherige Ad-hoc-Konsultation vor. Entsprechend sieht Artikel 72 der Verordnung 2017/1939 über die Europäische Staatsanwaltschaft (EuStA) einen besonderen Mechanismus zur vorherigen Konsultation für die Verarbeitung von operativen Daten vor, nämlich von Daten, die im Zusammenhang mit strafrechtlichen Ermittlungen und Strafverfolgungsmaßnahmen der EuStA verarbeitet werden. Die Verordnung 2018/1725, einschließlich des Standardmechanismus für die vorherige Konsultation, ist für die Verarbeitung von verwaltungstechnischen Daten durch Europol und die EuStA anwendbar, wozu beispielsweise auch Daten über Mitarbeiter und Besucher gehören.

Wenn eine EU-Institution unsicher ist, ob sie uns eine Verarbeitung zwecks vorheriger Konsultation melden muss, kann ihr DSB uns in dieser Frage konsultieren.

Wie auch bei den früheren Stellungnahmen zur Vorabkontrolle sind die Stellungnahmen im Allgemeinen öffentlich. Allerdings können wir sensible Elemente erforderlichenfalls, wie etwa im Zusammenhang mit Sicherheitsaspekten, löschen. Einige Stellungnahmen, die naturgemäß sensibel sind, insbesondere im Bereich Polizei und Justiz, werden gegebenenfalls nicht veröffentlicht. Aus Gründen der Transparenz enthält unser Jahresbericht eine Zusammenfassung dieser Stellungnahmen.

Filters

27
Apr
2009

Medical data of children attending inter-institutional crèches - Commission

Opinion of 27 April 2009 on a notification for prior checking on the management of the medical data of children attending the inter-institutional crèches and kindergartens managed by the OIB (Case 2009-088)
On 27 April 2009, the EDPS adopted an opinion on the prior checking of the management of the medical data of children attending the inter-institutional crèches and kindergartens managed by the OIB. Given the particularly sensitive nature of the data being processed, the EDPS recommends that a specific legal basis should be put in place for the processing of data relating to health in the context of the crèches and kindergartens, and that at the very least the unambiguous consent of data subjects should be obtained to the medical monitoring of the children and the processing the data relating to their health by the medical service in the crèches and kindergartens. The EDPS also recommends that only data which is strictly necessary for the purposes of the processing operation should be collected, and therefore invites the medical service to re-evaluate whether the data collected on the medical form and during attendance at the crèches and kindergartens is proportionate. Regarding the storage of the medical files, the EDPS recommends that a storage period which is in proportionate to achieving the purposes of the processing operation should be adopted.

Verfügbare Sprachen: Englisch, Französisch
22
Apr
2009

Junior experts in delegation - Commission

Opinion of 22 April 2009 on the notification for prior checking regarding "Junior Experts in Delegation" (Case 2008-754)

The purpose of the processing operation in this case is to examine the eligibility of candidates put forward by the Member States for the Junior Experts in Delegation (hereinafter "JED") programme, select JEDs, determine who will be offered a posting to a delegation, ensure proper implementation of all aspects of their two-year contract and evaluate their performance in discharging their duties within the delegation. This processing operation therefore falls within the scope of the prior checking procedure within the meaning of Article 27(2)(b) of Regulation (EC) No 45/2001.

Any person who submits an application for a JED post, any referees named by applicants or any person indicated by the JED as the person to contact in the event of an accident/emergency and, where applicable, the JED's spouse.

In its recommendations, the EDPS emphasised inter alia that the Commission should:

  • reword as soon as possible the sentence on the candidates' right of appeal against the decision of the selection panel, in order to indicate more clearly the available channels and procedures for appeal;
  • remove the requirement to submit a photograph with the application form without prejudice to the formal identification of the data subject at a later stage in the selection process; 
  • indicate that the sentence "Other elements to be taken into consideration" on the application form is optional and reword it so that it specifies that the information provided should be strictly relevant to the candidate's university and professional career;
  • insert a note in both the application form and in the information sheets stating that the data subjects themselves should inform their referees, the persons to be contacted in the event of an emergency and their spouses that their data might be processed in the course of the processing operation.
Verfügbare Sprachen: Englisch, Französisch
1
Apr
2009

Early retirement - Economic and Social Committee

Opinion of 1 April 2009 on the notification for prior checking on the annual exercise for early retirement without reduction of pension rights (Case 2008-719)

The purpose of the processing operation is to implement annual exercises for early retirement without reduction of pension rights in compliance with Article 9 of Annex VIII to the Staff Regulations and the second and third subparagraphs of Article 39(1) of the CEOS. Implementation is based on Decisions No 271/07 A of 13 June 2007 and No 144/08 A of 4 April 2008 on the possibility of not applying the reduction in pension rights to officials and other servants who leave the service before the age of 63 and request that their retirement pension be paid immediately.

The proposed processing operation would not appear to involve any breach of the provisions of Regulation (EC) No 45/2001, provided that the European Economic and Social Committee ensures that applicants' family members and dependants whose data might be processed by the EESC have rights of access and rectification and that it reviews the content of the information supplied and the arrangements for supplying it.

Verfügbare Sprachen: Englisch, Französisch
25
Mar
2009

Waiver of immunity from legal proceedings and inviolability of Commission premises and archives - Commission

Opinion of 25 March 2009 on the notification for prior checking concerning "the processing of requests for waiver of immunity from legal proceedings and of the inviolability of Commission premises and archives" (Case 2008-645)

The European Commission has entrusted the Investigation and Disciplinary Office of the Commission (IDOC) with the processing of data for the purpose of deciding, in response to a request from a national court or any other national body entitled to carry out an investigation, whether to authorise or refuse to authorise the appearance in court of an official or other servant and/or access to the premises and/or archives of the European Commission.

The EDPS recommends in particular that appropriate retention periods be established for files relating to requests for waiver of immunity in the light of developments, taking into account any discontinuation of disciplinary and/or dispute procedures or the data subject's acquittal in court.  As regards transfer of data to recipients other than Community institutions, the nature of the data exchanged requires that a list of such transfers be drawn up and the legal justification for them indicated.

Verfügbare Sprachen: Englisch, Französisch