Print

Vorabkontrolle

Manche Verfahren, die EU-Institutionen eingeführt haben, bringen Risiken für das Recht auf Datenschutz und die Grundfreiheiten des Einzelnen mit sich.

Der frühere Rechtsrahmen (Verordnung (EG) Nr. 45/2001) verpflichtete die EU-Institutionen, uns eine Meldung zu machen, bevor sie risikobehaftete Datenverarbeitungsverfahren einführten.

Im Allgemeinen waren unsere Stellungnahmen zu Vorabkontrollen öffentlich.

Die Verordnung (EU) 2018/1725 stützt sich auf die frühere Verordnung und entspricht der Datenschutzgrundverordnung (EU) 2016/679 (DSGVO), die für die meisten Organisationen gilt, die personenbezogene Daten in den Mitgliedstaaten verarbeiten. Im Vergleich zu den früheren Vorschriften werden durch die Verordnung (EU) 2018/1725 die Dokumentationspflichten stärker an den Risiken ausgerichtet, die die Verarbeitung personenbezogener Daten mit sich bringen. Dies bedeutet beispielsweise, dass die Dokumentationsanforderungen für das Abonnieren eines Newsletters von EU-Institutionen niedriger sind als etwa für ein intelligentes Videoüberwachungssystem, das öffentlich zugänglichen Raum überwacht, oder für eine Datenbank, die Profile von Reisenden zu Kontrollzwecken erstellt.

Je nach Verfahren müssen die EU-Institutionen bei der Verarbeitung von personenbezogenen Daten (als „Verantwortliche“) nicht unbedingt alle nachstehend aufgeführten Schritte durchlaufen (diese Schritte sind im Leitfaden „Rechenschaftspflicht vor Ort“ beschrieben):

    • Erstellung der grundlegenden Dokumentation („Verzeichnis“) aller Verarbeitungsvorgänge;
    • Prüfung der Wahrscheinlichkeit, dass der Vorgang ein hohes Risiko für die Personen darstellt, deren Daten verarbeitet werden, und Konsultation des DSB, wenn dies der Fall zu sein scheint;
    • Muss die EU-Institution eine Datenschutz-Folgenabschätzung durchführen, so sind dabei diese Risiken eingehender zu untersuchen und spezifische Garantien/Kontrollen zu ihrer Bewältigung zu entwickeln;
    • Deuten die Ergebnisse der Datenschutz-Folgenabschätzung auf hohe Restrisiken für den Datenschutz hin, muss die EU-Institution beim EDSB eine vorherige Konsultation beantragen (siehe Artikel 40 bzw. Artikel 90 der Verordnung (EU) 2018/1725 für verwaltungstechnische und operative personenbezogene Daten).

Artikel 39 der Verordnung 2016/794 über Europol sieht für neue Arten von Verarbeitungsvorgängen in Bezug auf operative Daten – Daten, die von Europol zur Unterstützung der Mitgliedstaaten bei der Verhütung und Bekämpfung von schwerer Kriminalität und Terrorismus verarbeitet werden – eine vorherige Ad-hoc-Konsultation vor. Entsprechend sieht Artikel 72 der Verordnung 2017/1939 über die Europäische Staatsanwaltschaft (EuStA) einen besonderen Mechanismus zur vorherigen Konsultation für die Verarbeitung von operativen Daten vor, nämlich von Daten, die im Zusammenhang mit strafrechtlichen Ermittlungen und Strafverfolgungsmaßnahmen der EuStA verarbeitet werden. Die Verordnung 2018/1725, einschließlich des Standardmechanismus für die vorherige Konsultation, ist für die Verarbeitung von verwaltungstechnischen Daten durch Europol und die EuStA anwendbar, wozu beispielsweise auch Daten über Mitarbeiter und Besucher gehören.

Wenn eine EU-Institution unsicher ist, ob sie uns eine Verarbeitung zwecks vorheriger Konsultation melden muss, kann ihr DSB uns in dieser Frage konsultieren.

Wie auch bei den früheren Stellungnahmen zur Vorabkontrolle sind die Stellungnahmen im Allgemeinen öffentlich. Allerdings können wir sensible Elemente erforderlichenfalls, wie etwa im Zusammenhang mit Sicherheitsaspekten, löschen. Einige Stellungnahmen, die naturgemäß sensibel sind, insbesondere im Bereich Polizei und Justiz, werden gegebenenfalls nicht veröffentlicht. Aus Gründen der Transparenz enthält unser Jahresbericht eine Zusammenfassung dieser Stellungnahmen.

Filters

10
Sep
2007
Opinions Prior Check and Prior Consultations

Medical service - Commission

Opinion of 10 September 2007 on the notification for prior checking on the "Management of the activities of the Medical Service in Brussels and Luxembourg, in particular via the SERMED computer application" (Case 2004-232)

The Medical Services in Brussels and Luxembourg use the SERMED database for the day-to-day management of their activities. This database supports the management of medical activities in the fields of preventive and occupational medicine as well as medical check-ups. SERMED can be used to record certain information necessary for the procedures which the Medical Service must carry out: medical examinations, the management of medical absences and check-ups, invalidity procedures and occupational accidents. This information is sorted into lists over a certain period of time (the "reporting" module). As well as SERMED, the Medical Service in Brussels uses another application (DREC) to follow up requests for the reimbursement of additional tests and other medical expenses.

The EDPS concluded in his prior checking that the proposed processing operation does not appear to involve any infringement of the provisions of Regulation (EC) No 45/2001 provided account is taken of the comments made below. In particular, this implies that the Commission:

  • having regard to the particularly sensitive nature of the information included in SERMED, should remind persons having access to SERMED of the confidentiality requirement;
  • should point out to SERMED users that the field "comment" must contain only administrative data;
  • should remove the reference to the doctor's specialisation as indicated on the medical certificate in SERMED;
  • should keep the EDPS informed of the introduction of the module facilitating access to information relating to the person concerned.
Verfügbare Sprachen: Englisch, Französisch
Topics
Privacy in the EU Institutions
Health Data in the Workplace
7
Sep
2007
Opinions Prior Check and Prior Consultations

Security clearance - European Central Bank

Opinion of 7 September 2007 on a notification for prior checking related to the application of the security clearance rules (Case 2007-371)

This prior check concerns the data processing activities which the ECB carries out in the context of running security clearance procedures in order to ascertain whether or not a person is eligible for a security clearance. Towards this end, the ECB collects and further processes the legal/criminal history related to those who are subject to such procedures which include those selected for employment at the ECB, non-staff members and unescorted visitors who have to move within the premises of the ECB. 
 
In his opinion, the EDPS concluded that the ECB has substantially followed all the principles of the Regulation. Nevertheless the EDPS recommended that the ECB:
  • Redefines the nomenclature (mainly with respect to the "certificate of good conduct"), and its definition in order to prevent the collection of information that goes beyond the recollection of criminal convictions.
  • Includes a limit in the first question of the self-declaration form so that individuals are not required to provide information on crimes that would not be included in a criminal record. Also, in this question, delete the reference to imprisonments and consider rephrasing the question as suggested in this Opinion.
  • Amends the self-declaration form so that traffic offences are excluded from the scope of the question (which asks whether there are criminal cases pending against the individualSets up a system to ensure the effective application of the rectification right and data quality and conservation principles as far as the certificates of good conduct are concerned.
  • Amends the privacy statement as recommended in the Opinion.
Verfügbare Sprachen: Englisch, Französisch
Topics
Privacy in the EU Institutions
Security & Access to Premises
4
Sep
2007
Opinions Prior Check and Prior Consultations

Assessment of the third language - EPSO

Opinion of 4 September 2007 on the notification for prior checking on the "Assessment of the ability to work in a third language (application of Article 45(2) of the Staff Regulations" (Case 2007-88)

Article 45(2) of the Staff Regulations, which entered into force on 1 May 2004, provided for a process of assessment of staff's ability to work in a third language before the first promotion after recruitment. "Officials shall be required to demonstrate before their first promotion the ability to work in a third language among those referred to in Article 314 of the EC Treaty. The institutions shall adopt common rules by agreement between them for implementing this paragraph (…)."  The common rules laying down the procedure for implementing Article 45(2) of the Staff Regulations were adopted by all institutions at the end of December 2006. The assessment, based on tests or on certificates/diplomas, is carried out by EPSO in conjunction with assessment committees or by processors.

The EDPS made a number of recommendations in his opinion on EPSO's assessment of the ability to work in a third language; these chiefly concern the transfer -of data, the wording of contracts between EPSO and processors, and reviewing automated individual decisions.

Verfügbare Sprachen: Englisch, Französisch
Topics
Privacy in the EU Institutions
Staff Evaluation
3
Aug
2007
Opinions Prior Check and Prior Consultations

Staff assessment - Ombudsman

Opinion of 3 August 2007 on the notification for prior checking regarding staff assessment (Case 2007-406)

The appraisal procedure is a processing operation intended to evaluate the ability, efficiency and conduct of the statutory personnel in line with Article 43 of the Staff Regulations and Article 15.2 of the Conditions of employment of other servants of the EC.
 
In his prior checking opinion, the EDPS basically approved the new procedure as foreseen by the European Ombudsman (that shall replace the current procedure dating of 2001). However,  the EDPS made some recommendation, in particular concerning the storage of the appraisal reports in the personal files, as well as the information to be provided to the persons concerned.
Verfügbare Sprachen: Englisch, Französisch
Topics
Privacy in the EU Institutions
Staff Evaluation