Europese Ombudsman

Openbaar register van verwerkingsactiviteiten:

Beheer van de procedure voor de goedkeuring van de persoonlijke veiligheid bij het Bureau van de Europese Ombudsman

1. Laatste update van dit record: 30/11/2023

2. Referentienummer: 06/2022

Ref. Ares(2023)8217182 - 01/12/2023

3. Naam en contactgegevens van de verwerkingsverantwoordelijke:

Europese Ombudsman, 1 avenue du Président Robert Schuman, CS 30403, F-67001 Straatsburg Cedex -

post: EO@ombudsman.europa.eu

Verantwoordelijk team: Procesbeheer, bedrijfscontinuïteit & Infrastructuur

Functionele mailbox: EO-SecurityOfficer@ombudsman.europa.eu

4. Naam en contactgegevens van de functionaris voor gegevensbescherming:

mevrouw Francesca Pavesi

Plaatsvervangende functionaris voor gegevensbescherming: De heer Nicholas Hernanz

DPO-Euro-Ombudsman@ombudsman.europa.eu

5. Naam en contactgegevens van de verwerker: n.v.t.

6. Naam en contactgegevens van de gezamenlijke verwerkingsverantwoordelijke(n): n.v.t.

7. Doeleinde(n) van de verwerking:

Persoonsgegevens worden verwerkt in het kader van verzoeken en verlengingen voor een veiligheidsmachtiging voor personeel (PSC) voor EO-personeelsleden die toegang tot gerubriceerde EU-informatie (EUCI) nodig hebben.

De gegevens worden zowel op papier als elektronisch verwerkt (afhankelijk van de procedure die met de betrokken nationale veiligheidsinstantie is vastgesteld).

Verschillende stappen van de procedure:

De veiligheidsfunctionaris (SO)

• controleert, op verzoek van de secretaris-generaal (SG) voor nieuwe ambtenaren en de hiërarchische meerdere van ambtenaren en andere personeelsleden die reeds in functie zijn, de opdrachten waarvoor toestemming vereist is;
• zendt het aanvraagformulier voor de door ambtenaren en andere personeelsleden in te vullen nationale screening toe;
• het ingevulde dossier ontvangt en doorstuurt naar de bevoegde nationale veiligheidsinstantie;
• de vergunning ontvangt en registreert in Ares;
• beheert de verlenging van vergunningen voor ambtenaren en functionarissen.

Elke NVI verzoekt op haar eigen formulier om verschillende informatie op basis van het nationale recht en het niveau van de gevraagde vergunning (RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL of SECRET UE/EU SECRET).

Rechtsgrondslag van de verwerking:

• artikel 5, lid 1, punt a), van Verordening (EU) 2018/1725;
• Besluit van de Europese Ombudsman van 30 maart 2021 tot vaststelling van de beveiligingsvoorschriften en -procedures voor de toegang van de Europese Ombudsman tot gerubriceerde EU-informatie in het kader van zijn onderzoeken;
• Richtsnoeren inzake de beveiligingsvoorschriften en -procedures voor de bescherming van gerubriceerde informatie van de Europese Unie door het Bureau van de Europese Ombudsman in het kader van zijn onderzoeken van 8 juni 2022;
• Besluit van de Europese Ombudsman betreffende de veiligheidsautoriteit van het Bureau van 12 juli 2022.

8. Beschrijving van de categorieën betrokkenen en van de categorieën persoonsgegevens:

- Categorieën betrokkenen:

alle personeelsleden van het Bureau voor extern optreden die in het kader van hun taken toegang moeten hebben tot EUCI; ambtenaren, tijdelijke functionarissen of arbeidscontractanten, gedetacheerde nationale deskundigen, met uitzondering van stagiairs en externe functionarissen [1].

- Categorieën persoonsgegevens:

‎De persoonsgegevens die zowel op papier als elektronisch worden verwerkt, zijn de volgende:

1) in het besluit van het PVC

• voornaam en achternaam
• geboortedatum en -plaats
• nationaliteit,
• opdracht in het EO Office (departement/eenheid) en functie ,
• Vergunningsniveau
• datum van geldigheid van het EUCI-autorisatie-/PSC-besluit.

2) Elke NVI verzoekt, in haar eigen vorm, om verschillende informatie op basis van het nationale recht en het niveau van de gevraagde vergunning. De mededeling van punten van bezwaar controleert of alle velden zijn ingevuld, maar bewaart geen kopieën (op papier of in elektronische versie) van de formulieren die aan de NVI’s worden toegezonden.

3) In de mededeling van punten van bezwaar wordt voorts een bijgewerkte lijst [2] bijgehouden en beheerd van alle personeelsleden van de organisatie die houder zijn van een PVM of tijdelijke machtigingen en toegang hebben gekregen tot EUCI.

Deze tabel bevat de volgende gegevens:

• voornaam en achternaam;
• entiteit in het EO-bureau;
• verschillende data van de lopende procedure (bv. datum van toezending van de formulieren aan de NSA, datum van verlenging van het één-loket enz.)

9. Termijn voor het bewaren van de gegevens en, indien mogelijk, voor het wissen:

1) De besluiten van het PVC/tijdelijke machtigingen om toegang te krijgen tot EUCI worden bewaard in het persoonsdossier van het personeelslid en in ARES zolang het PVC geldig is. Zodra de geldigheidsdatum van het één-loket verstrijkt of het betrokken personeelslid met pensioen gaat, worden zij gedurende vijf jaar bewaard voor controledoeleinden. Zij worden nadien verwijderd. Als het personeelslid wordt overgeplaatst naar een andere EU-instelling, wordt de EUCI-autorisatie samen met zijn/haar persoonlijk dossier overgedragen.

2) De door de mededeling van punten van bezwaar beheerde follow-uptabel wordt regelmatig bijgehouden en bijgewerkt om de veiligheidsautoriteit op de hoogte te brengen van de stand van zaken met betrekking tot de verschillende verzoeken om een PVM/tijdelijke machtigingen voor toegang tot EUCI. De gegevens over PSC-besluiten worden bewaard gedurende een jaar nadat de personeelsleden van de EO met pensioen zijn gegaan. Zij worden nadien verwijderd.

10. Ontvangers van de gegevens:

De Ombudsman, de SG (als veiligheidsautoriteit), de mededeling van punten van bezwaar, de directeur Administratie (bij afwezigheid van de SG), de directeur Onderzoeken [3], het hoofd van de eenheid Behandeling van zaken, de betrokken NSA, het betrokken personeelslid van de EO.

11. Zijn er doorgiften van persoonsgegevens naar derde landen en/of internationale organisaties?

n.v.t.

12. Algemene beschrijving van de beveiligingsmaatregelen:

Persoonsgegevens betreffende de één-loketprocedure (bv. PSC-beslissingen, vervolgtabel) wordt gearchiveerd in een specifieke map. De toegang tot persoonsgegevens wordt beschermd door het beheer van toegangsrechten, die volgens het “need-to-know”-beginsel strikt worden beperkt door de bevoegdheid van de gebruiker. Het is alleen toegankelijk voor relevante medewerkers.

De gegevens worden beschermd door tal van veiligheidsmaatregelen die door het personeel voor informatie- en communicatietechnologie zijn ingesteld om de integriteit en vertrouwelijkheid van de elektronische eigendommen van de instelling te beschermen.

De mededeling van punten van bezwaar heeft in beginsel geen toegang tot de doorlichtingsformulieren, behalve in beperkte gevallen, bijvoorbeeld wanneer de nationale screeningprocedure vereist dat de mededeling van punten van bezwaar het eerste deel van het formulier invult.

13. Informatie over de wijze waarop betrokkenen hun recht op toegang en rectificatie en, in voorkomend geval, op wissing, beperking en overdraagbaarheid van gegevens kunnen uitoefenen:

Personeelsleden kunnen vragen om toegang tot hun eigen persoonsgegevens en tot relevante informatie over hoe de marktdeelnemer deze gebruikt. Zij kunnen ook verzoeken om rectificatie van onvolledige of onjuiste gegevens die op hen betrekking hebben. Onder bepaalde voorwaarden hebben zij het recht om te allen tijde bezwaar te maken tegen het gebruik van hun gegevens door de EO om redenen die verband houden met hun specifieke situatie, alsook het recht om de EO te verzoeken hun persoonsgegevens te verwijderen of het gebruik ervan te beperken.

Personeelsleden kunnen het kantoor te allen tijde informatie vragen over de verwerking van hun persoonsgegevens per e-mail (EO-SecurityOfficer@ombudsman.europa.eu) of door contact op te nemen met het directoraat Administratie (Procesbeheer, Business Continuity & Infrastructuurteam). De diensten zullen zo spoedig mogelijk en uiterlijk binnen een maand op hun verzoeken reageren. Zij kunnen ook contact opnemen met de functionaris voor gegevensbescherming van het bureau op:

DPO-Euro-Ombudsman@ombudsman.europa.eu

Indien zij een klacht willen indienen over de verwerking van hun persoonsgegevens door de marktdeelnemer, kunnen zij contact opnemen met de Europese Toezichthouder voor gegevensbescherming (www.edps.europa.eu) op het volgende adres: EDPS@edps.europa.eu

Privacyverklaring betreffende het beheer van de procedure voor persoonlijke veiligheidsmachtiging bij het Bureau van de Europese Ombudsman

Ref. Ares(2023)8217182 - 01/12/2023

In deze privacyverklaring wordt uitgelegd waarom de gegevens worden verwerkt, hoe de Europese Ombudsman alle verstrekte persoonsgegevens verzamelt, verwerkt en beschermt, hoe die informatie wordt gebruikt en welke rechten de betrokkenen met betrekking tot hun gegevens kunnen uitoefenen.

De verwerkingsverantwoordelijke is de Europese Ombudsman.

1. Welke persoonsgegevens zal de Europese Ombudsman verwerken?

Wij verwerken persoonsgegevens van alle personeelsleden van het Bureau EO die in het kader van hun taken toegang moeten hebben tot EUCI; ambtenaren, tijdelijke functionarissen of arbeidscontractanten, gedetacheerde nationale deskundigen, met uitzondering van stagiairs en externe functionarissen.

De persoonsgegevens die zowel op papier als elektronisch worden verwerkt, zijn de volgende:

1) in de besluiten van het PVC:

• voornaam en achternaam
• geboortedatum en -plaats
• nationaliteit,
• opdracht in het EO Office (departement/eenheid) en functie ,
• Vergunningsniveau
• datum van geldigheid van het EUCI-autorisatie-/PSC-besluit.

2) Elke NVI verzoekt, in haar eigen vorm, om verschillende informatie op basis van het nationale recht en het niveau van de gevraagde vergunning.

De mededeling van punten van bezwaar controleert of alle velden zijn ingevuld, maar bewaart geen kopieën (op papier of in elektronische versie) van de formulieren die aan de NVI’s worden toegezonden.

3) In de mededeling van punten van bezwaar wordt voorts een bijgewerkte lijst ^[4] bijgehouden en beheerd van alle personeelsleden van de organisatie die houder zijn van een PVM of tijdelijke machtigingen en die een machtiging hebben gekregen om toegang te krijgen tot EUCI.

Deze tabel bevat de volgende gegevens:

• voornaam en achternaam;
• entiteit in het EO-bureau;
• verschillende data van de lopende procedure (bv. datum van toezending van de formulieren aan de NSA, datum van verlenging van het één-loket enz.)

2. Waarom verwerkt de Europese Ombudsman deze persoonsgegevens?

Persoonsgegevens worden verwerkt in het kader van verzoeken om een veiligheidsmachtiging voor personeel (Personnel Security Clearance, PSC) voor personeelsleden van de EO die toegang tot gerubriceerde EU-informatie (EUCI) nodig hebben.

3. Wat zijn de rechtsgrondslagen en de noodzaak voor het verwerken van deze gegevens?

De verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang (artikel 5, lid 1, punt a), van Verordening (EU) 2018/1725).

De rechtsgrondslag is

• Besluit van de Europese Ombudsman van 30 maart 2021 tot vaststelling van de beveiligingsvoorschriften en -procedures voor de toegang van de Europese Ombudsman tot gerubriceerde EU-informatie in het kader van zijn onderzoeken;
• Richtsnoeren inzake de beveiligingsvoorschriften en -procedures voor de bescherming van gerubriceerde informatie van de Europese Unie door het Bureau van de Europese Ombudsman in het kader van zijn onderzoeken van 8 juni 2022;

• Besluit van de Europese Ombudsman betreffende de veiligheidsautoriteit van het Bureau van 12 juli 2022.

4. Wie is verantwoordelijk voor de verwerking van de gegevens?

De gegevens worden verwerkt door het Directoraat Administratie, Process Management, Business Continuity & Infrastructuurteam en de Security Officer.

5. Wie zijn de ontvangers van de gegevens?

De Ombudsman, de SG (als veiligheidsautoriteit), de mededeling van punten van bezwaar, de directeur Administratie (bij afwezigheid van de SG), de directeur Onderzoeken ,, het hoofd van de eenheid Behandeling van zaken, de betrokken NSA, het betrokken personeelslid van de EO.

6. Hoe lang worden de gegevens bewaard?

De besluiten van het PVC/tijdelijke machtigingen om toegang te krijgen tot EUCI worden bewaard in het persoonsdossier van het personeelslid en in ARES zolang het PVC geldig is.

Zodra de geldigheidsdatum van het één-loket verstrijkt of het betrokken personeelslid met pensioen gaat, worden zij gedurende vijf jaar bewaard voor controledoeleinden. Zij worden nadien verwijderd. Als het personeelslid wordt overgeplaatst naar een andere EU-instelling, wordt de EUCI-autorisatie samen met zijn/haar persoonlijk dossier overgedragen.

De door de mededeling van punten van bezwaar beheerde follow-uptabel wordt regelmatig bijgehouden en bijgewerkt om de veiligheidsautoriteit op de hoogte te brengen van de stand van zaken met betrekking tot de verschillende verzoeken om een PVM/tijdelijke machtigingen voor toegang tot EUCI.

De gegevens over PSC-besluiten worden bewaard gedurende een jaar nadat EO-personeelsleden met pensioen zijn gegaan. Zij worden nadien verwijderd.

7. Hoe beschermen we de gegevens van de betrokkene?

Persoonsgegevens betreffende de één-loketprocedure (bv. PSC-beslissingen, follow-uptabel) wordt gearchiveerd in een specifieke map; De toegang tot persoonsgegevens wordt beschermd door het beheer van toegangsrechten, die volgens het “need-to-know”-beginsel strikt worden beperkt door de bevoegdheid van de gebruiker.

De gegevens worden beschermd door tal van veiligheidsmaatregelen die door het personeel voor informatie- en communicatietechnologie zijn ingesteld om de integriteit en vertrouwelijkheid van de elektronische eigendommen van de instelling te beschermen.

De mededeling van punten van bezwaar heeft in beginsel geen toegang tot de doorlichtingsformulieren, behalve in beperkte gevallen, bijvoorbeeld wanneer de nationale screeningprocedure vereist dat de mededeling van punten van bezwaar het eerste deel van het formulier invult.

8. Wat zijn uw rechten en hoe kunt u deze uitoefenen?

U hebt recht op toegang tot uw eigen persoonsgegevens en tot relevante informatie over hoe de EO deze gebruikt.

U hebt ook het recht om de EO te verzoeken om rectificatie van onvolledige of onjuiste gegevens over u in uw medisch dossier.

U hebt te allen tijde het recht om bezwaar te maken tegen het gebruik van uw gegevens door de EO om redenen die verband houden met uw specifieke situatie. Onder bepaalde voorwaarden hebt u het recht om de EO te verzoeken uw persoonsgegevens te verwijderen of het gebruik ervan te beperken.

De EO zal zo spoedig mogelijk en uiterlijk binnen een maand op uw verzoek reageren.

9. Met wie kunt u contact opnemen in geval van vragen of klachten over gegevensbeschermingskwesties?

U kunt te allen tijde vragen over gegevensbescherming in verband met de PSC-procedure richten aan de Europese Ombudsman, op het volgende adres:

Europese Ombudsman

1 avenue du Président Robert Schuman

CS 30403

F-67001 Straatsburg Cedex

E-mail: EO-SecurityOfficer@ombudsman.europa.eu

U kunt ook contact opnemen met de functionaris voor gegevensbescherming van de Europese Ombudsman op het volgende adres: DPO-Euro-Ombudsman@ombudsman.europa.eu

U kunt te allen tijde een klacht indienen bij de Europese Toezichthouder voor gegevensbescherming op het volgende adres: EDPS@edps.europa.eu

 

[1] Stagiairs en externe functionarissen hebben geen toegang tot EUCI overeenkomstig de richtsnoeren inzake de beveiligingsvoorschriften en -procedures voor de bescherming van gerubriceerde EU-informatie van het Bureau van de Europese Ombudsman in het kader van zijn onderzoeken van 8 juni 2022.

[2] Zie artikel 5, lid 6, punt e), van het besluit van de Europese Ombudsman tot vaststelling van de beveiligingsvoorschriften en -procedures voor toegang tot gerubriceerde EU-informatie door de Europese Ombudsman in het kader van zijn onderzoeken van 30 maart 2021.

[3] Zie artikel 1 van het besluit van de Europese Ombudsman betreffende de veiligheidsautoriteit van het Bureau van 12 juli 2022.

[4] Zie artikel 5, lid 6, punt e), van het besluit van de Europese Ombudsman tot vaststelling van de beveiligingsvoorschriften en -procedures voor toegang tot gerubriceerde EU-informatie door de Europese Ombudsman in het kader van zijn onderzoeken van 30 maart 2021.