Print

Vorabkontrolle

Manche Verfahren, die EU-Institutionen eingeführt haben, bringen Risiken für das Recht auf Datenschutz und die Grundfreiheiten des Einzelnen mit sich.

Der frühere Rechtsrahmen (Verordnung (EG) Nr. 45/2001) verpflichtete die EU-Institutionen, uns eine Meldung zu machen, bevor sie risikobehaftete Datenverarbeitungsverfahren einführten.

Im Allgemeinen waren unsere Stellungnahmen zu Vorabkontrollen öffentlich.

Die Verordnung (EU) 2018/1725 stützt sich auf die frühere Verordnung und entspricht der Datenschutzgrundverordnung (EU) 2016/679 (DSGVO), die für die meisten Organisationen gilt, die personenbezogene Daten in den Mitgliedstaaten verarbeiten. Im Vergleich zu den früheren Vorschriften werden durch die Verordnung (EU) 2018/1725 die Dokumentationspflichten stärker an den Risiken ausgerichtet, die die Verarbeitung personenbezogener Daten mit sich bringen. Dies bedeutet beispielsweise, dass die Dokumentationsanforderungen für das Abonnieren eines Newsletters von EU-Institutionen niedriger sind als etwa für ein intelligentes Videoüberwachungssystem, das öffentlich zugänglichen Raum überwacht, oder für eine Datenbank, die Profile von Reisenden zu Kontrollzwecken erstellt.

Je nach Verfahren müssen die EU-Institutionen bei der Verarbeitung von personenbezogenen Daten (als „Verantwortliche“) nicht unbedingt alle nachstehend aufgeführten Schritte durchlaufen (diese Schritte sind im Leitfaden „Rechenschaftspflicht vor Ort“ beschrieben):

    • Erstellung der grundlegenden Dokumentation („Verzeichnis“) aller Verarbeitungsvorgänge;
    • Prüfung der Wahrscheinlichkeit, dass der Vorgang ein hohes Risiko für die Personen darstellt, deren Daten verarbeitet werden, und Konsultation des DSB, wenn dies der Fall zu sein scheint;
    • Muss die EU-Institution eine Datenschutz-Folgenabschätzung durchführen, so sind dabei diese Risiken eingehender zu untersuchen und spezifische Garantien/Kontrollen zu ihrer Bewältigung zu entwickeln;
    • Deuten die Ergebnisse der Datenschutz-Folgenabschätzung auf hohe Restrisiken für den Datenschutz hin, muss die EU-Institution beim EDSB eine vorherige Konsultation beantragen (siehe Artikel 40 bzw. Artikel 90 der Verordnung (EU) 2018/1725 für verwaltungstechnische und operative personenbezogene Daten).

Artikel 39 der Verordnung 2016/794 über Europol sieht für neue Arten von Verarbeitungsvorgängen in Bezug auf operative Daten – Daten, die von Europol zur Unterstützung der Mitgliedstaaten bei der Verhütung und Bekämpfung von schwerer Kriminalität und Terrorismus verarbeitet werden – eine vorherige Ad-hoc-Konsultation vor. Entsprechend sieht Artikel 72 der Verordnung 2017/1939 über die Europäische Staatsanwaltschaft (EuStA) einen besonderen Mechanismus zur vorherigen Konsultation für die Verarbeitung von operativen Daten vor, nämlich von Daten, die im Zusammenhang mit strafrechtlichen Ermittlungen und Strafverfolgungsmaßnahmen der EuStA verarbeitet werden. Die Verordnung 2018/1725, einschließlich des Standardmechanismus für die vorherige Konsultation, ist für die Verarbeitung von verwaltungstechnischen Daten durch Europol und die EuStA anwendbar, wozu beispielsweise auch Daten über Mitarbeiter und Besucher gehören.

Wenn eine EU-Institution unsicher ist, ob sie uns eine Verarbeitung zwecks vorheriger Konsultation melden muss, kann ihr DSB uns in dieser Frage konsultieren.

Wie auch bei den früheren Stellungnahmen zur Vorabkontrolle sind die Stellungnahmen im Allgemeinen öffentlich. Allerdings können wir sensible Elemente erforderlichenfalls, wie etwa im Zusammenhang mit Sicherheitsaspekten, löschen. Einige Stellungnahmen, die naturgemäß sensibel sind, insbesondere im Bereich Polizei und Justiz, werden gegebenenfalls nicht veröffentlicht. Aus Gründen der Transparenz enthält unser Jahresbericht eine Zusammenfassung dieser Stellungnahmen.

Filters

6
Dec
2007
Opinions Prior Check and Prior Consultations

Social counsellor - European Central Bank

Opinion of 6 December 2007 on a notification for prior checking regarding the data processed by the Social Counsellor (Case 2007-489)

The Social Counsellor is an external consultant who offers professional counselling services aiming at resolution of work-related problems at the ECB (including private problems having impact on the work situation).
 
The data processed within these activities consist of information provided by the persons seeking assistance of the Social Counsellors (during a bilateral meeting, in the emails exchanged), as well as the Counsellor's own minutes. The Counsellor is bound by strict statutory and contractual confidentiality obligations with respect to the personal data processed.
 

The EDPS recommendations provided in this opinion aim to ensure the full compliance with the Regulation 45/2001, in particular, as regards the information to be provided to the data subjects, the scope of the right of rectification, the data protection principles to be observed, as well as the security of the processing.

Verfügbare Sprachen: Englisch, Französisch
Topics
Privacy in the EU Institutions
Working Conditions
6
Dec
2007
Opinions Prior Check and Prior Consultations

Dossiers sociaux - CESE et CdR

Avis du 6 décembre 2007 sur la notification d'un contrôle préalable à propos du dossier "Dossiers sociaux" (Dossier 2007-355)

Le traitement intitulé "dossiers sociaux" par le CESE et le CdR" concerne l'aide, le soutien et l'accompagnement du personnel du CESE et du CdR en difficulté. Cela se fait avec leur accord et parfois en étroite collaboration avec le service médical en vue de faire progresser une situation. Le cas échéant, cela conduit à leur orientation vers les ressources adéquates internes ou externes aux institutions européennes avec l'accord du demandeur dans la mesure du possible.
 
D'après la procédure, aucun formulaire type à remplir n'existe. Dans le cadre du traitement des différentes catégories de données sont collectées, notamment des données administratives, médicales, professionnelles, financières, juridiques et familiales ainsi que toutes les pièces justificatives nécessaires destinées à argumenter toute demande d'aide soumise à l'AIPN. L'assistant social examine la situation en collectant les données nécessaires et sur cette base propose une aide appropriée. Dans le cadre d'une demande d'intervention de l'organe concerné un rapport social est rédigé et il est soumis à l'AIPN de l'organe concerné afin qu'une décision soit prise.
 
Dans le cas des aides complémentaires aux handicapés ou des remboursements des frais dans le cas des gardes d'enfants malades, des données relatives à la santé sont traitées. En outre, afin de pouvoir accorder le droit à une aide sociale, un certain nombre d'aspects de la personnalité de la personne concernée est évalué, à savoir des données relatives à son état financier, familial, professionnel et social. C'est pourquoi, ce traitement entre dans le champ d'application de la procédure de contrôle préalable sur la base des articles 27.2.a) et 27.2.b) du règlement 45/2001 respectivement.
 

Dans le cadre de ses recommandations, le CEPD a notamment souligné qu'à titre de règle générale, le droit d'accès et de rectification soit accordé à la personne concernée au regard de son dossier ainsi que des notes personnelles de l'assistant social, sauf des exceptions légitimes. Il a été aussi recommandé que le CESE et le CdR mentionnent dans la note d'information qu'il revient au personnel demandeur d'une aide et qu'ils informent les personnes auxquelles il fait référence de leurs propres droits relatifs aux articles 11 et 12. Il revient également au demandeur d'aide de fournir à ces personnes l'information disponible sur le site intranet afin qu'elles soient informées de leurs droits. La note d'information doit aussi faire référence à la possibilité du fait que, dans certains cas, le droit des personnes concernées d'avoir accès à certaines données relatives à leur dossier soit limité à la lumière de l'article 20.1.c du règlement, mais qu'elles seront informées des principales raisons qui motivent cette limitation en conformité avec l'article 20.3 du règlement.

Verfügbare Sprachen: Französisch
Topics
Privatsphäre in den EU-Organen
Arbeitsbedingungen
4
Dec
2007
Opinions Prior Check and Prior Consultations

Reporting procedure - Comité des Régions

Opinion of 4 December 2007 on the notification for prior checking regarding the "reporting procedure for officials and other servants" (Case 2007-356)

The purpose of the performance report (procedure provided for in Article 43 of the Staff Regulations) is to enable the assessor to review, inter alia, the reportee's knowledge and ability, output, efficiency, work and conduct in the service. The Committee of the Regions introduced a staff reporting procedure via Decision No 287/04.

The report is prepared in several stages and the reportee is kept informed throughout the procedure. A specific privacy statement is also made available.

The EDPS's recommendations relate to length of the period during which data are stored in the personal file, the obligations of data recipients, the provision of full information for reportees, the exercise of their rights and the implementation of the security measures relating to the data.

Verfügbare Sprachen: Englisch, Französisch
Topics
Privacy in the EU Institutions
Staff Evaluation
29
Nov
2007
Opinions Prior Check and Prior Consultations

Strikes and equivalent action - Council

Opinion of 29 November 2007 concerning administrative management in the event of strikes and equivalent action: deductions from salaries and requisitions (Case 2004-249)
Arrangements concerning the right to strike at the Council are governed by a Staff Note (43/203) dated 2 April 2003 on measures to be applied in the event of strikes and equivalent action and by a record of agreement following consultation dated 24 May 2004. The purpose of the data processing operation is to establish a reliable list of strike participants in order to apply a salary deduction to them and to ensure the requisition of the staff necessary for the operation of certain essential services.
The main recommendations made by the EDPS in the context of his opinion on the procedure for the management of data relating to participation in strikes concern the provision of information to data recipients on the occasion of transfers and to data subjects.

Verfügbare Sprachen: Englisch, Französisch
Topics
Privacy in the EU Institutions
Working Conditions