Art. 11 Behandling av personuppgifter i Agora | Information sharing system | DSA

This is the core data protection article governing how personal data may be processed within AGORA.

It sets strict boundaries on the purposes, categories of data subjects, and types of personal data that are permitted in the system, tying all permissible processing directly to supervisory, investigative, enforcement, and monitoring activities under Regulation (EU) 2022/2065.

Beyond defining these limits, the article also establishes key operational rules: data must be stored within the European Economic Area, AGORA actors are responsible for enabling data subjects to exercise their rights, and coordinated oversight of the system falls to national Supervisory Authorities and the European Data Protection Supervisor.

Important points:

Only process personal data in AGORA for the permitted purposes and within the defined categories of data subjects and personal data types — anything beyond this is not allowed.
All AGORA actors are responsible for ensuring data subjects can exercise their rights under Regulation (EU) 2016/679 and Regulation (EU) 2018/1725.
Data storage must use IT infrastructure located within the European Economic Area, and national Supervisory Authorities together with the European Data Protection Supervisor are responsible for coordinated supervision of AGORA.

1. Överföring, lagring och annan behandling av personuppgifter i Agora får endast ske i den mån det är nödvändigt och proportionellt och endast för följande ändamål:
  1. Stödja kommunikation mellan Agora-aktörer i samband med tillsyn, undersökning, efterlevnadskontroll och övervakning enligt förordning (EU) 2022/2065.
  2. Hantera ärenden när Agora-aktörer utför sin egen verksamhet i samband med tillsyn, undersökning, efterlevnadskontroll och övervakning enligt förordning (EU) 2022/2065.
  3. Utföra de verksamhetsrelaterade och tekniska omvandlingar av uppgifter som förtecknas i denna förordning, när detta är nödvändigt för att möjliggöra det informationsutbyte som avses i leden a och b.
1. Behandling av personuppgifter får ske i Agora endast avseende följande kategorier av registrerade:
  1. Fysiska personer vars personuppgifter ingår i dokument som erhållits i samband med tillsyn, undersökning, efterlevnadskontroll och övervakning enligt förordning (EU) 2022/2065.
  2. Agora-administratörer och Agora-användare som har beviljats åtkomst till Agora.
1. Behandling av personuppgifter får ske i Agora endast avseende följande kategorier av personuppgifter:
  1. Identifieringsuppgifter, kontaktuppgifter, uppgifter om involvering i ärendet, ärenderelaterade uppgifter och all annan information som anses nödvändig för tillsyn, undersökning, efterlevnadskontroll och övervakning enligt förordning (EU) 2022/2065.
  2. Namn, adress, kontaktuppgifter, kontaktnummer och användarnamn för Agora-administratörer och Agora-användare som avses i punkt 2 b.
1. Agora ska lagra de kategorier av personuppgifter som förtecknas i artikel 11.3 i denna förordning och loggar som anger information om flödet och förflyttningar av utbytta uppgifter i samband med tillsyn, undersökning, efterlevnadskontroll och övervakning enligt förordning (EU) 2022/2065.
1. Lagring av uppgifter som avses i punkt 2 ska utföras med hjälp av it-infrastruktur som finns i Europeiska ekonomiska samarbetsområdet.
1. Varje Agora-aktör ska säkerställa att registrerade kan utöva sina rättigheter i enlighet med förordning (EU) 2016/679 och förordning (EU) 2018/1725 och ska ansvara för efterlevnaden av dessa förordningar när det gäller behandling av personuppgifter som utförs för dess räkning.
1. De nationella tillsynsmyndigheterna och Europeiska datatillsynsmannen ska, inom ramen för sina respektive befogenheter, säkerställa en samordnad tillsyn av Agora och Agora-administratörernas och Agora-användarnas användning av systemet.