1.   С настоящото решение се определят правила относно условията, при които Органът, в рамките на своите процедури, посочени в параграфи 2—5, може да ограничи прилагането на правата, заложени в членове 14—21 и 36, както и в член 4 от него, като се спазва член 25 от Регламент (ЕС) 2018/1725. Тези ограничения не засягат изключенията от правата на субектите на данни, предвидени в Регламент (ЕС) 2018/1725.

2.   В рамките на административното функциониране на Органа, ограниченията, предвидени в точка 1 от настоящия член, се прилагат за обработката на лични данни от Органа за целите на:

3.   В рамките на изпълнението на мисията на Органа, ограниченията, предвидени в точка 1 от настоящия член, се прилагат за обработката на лични данни от Органа за целите на:

4.   В допълнение, ограниченията се прилагат по отношение на помощта, координацията и/или сътрудничеството, предоставяни от Органа на националните органи за ценни книжа и пазари, включително органи на трети страни, и международните организации в контекста на проучванията, провеждани за изпълнение на законоустановените им мисии.

5.   Ограниченията, посочени в параграф 1 от настоящия член, се прилагат за операциите по обработване, извършвани преди започването на проучванията или другите административни проверки, изброени в параграфи 2 до 4 по-горе, по време на тях и по време на проследяването на последващите действия във връзка с резултатите от тези проучвания.

6.   Настоящото решение е приложимо за всяка категория лични данни, обработвани в контекста на дейностите, посочени в параграфи 2 до 5 по-горе.

7.   При спазване на условията, определени в настоящото решение, ограничения могат да се прилагат по отношение на следните права: предоставяне на информация на субектите на данни, право на достъп, коригиране, изтриване, ограничаване на обработването на данни и информиране на субекта за нарушение на сигурността на личните данни.

1.   Въведените предпазни мерки за избягване на нарушения по отношение на сигурността на данните, изтичане на информация или неразрешено оповестяване в контекста на проучванията, посочени в член 1, са следните:

2.   Администратор на операциите по обработване е Органът, представляван от своя изпълнителен директор, който може да делегира функцията на администратор. Субектите на данни се уведомяват относно делегирания администратор чрез регистри за защита на данните, публикувани на уебсайта на Органа.

3.   Срокът на запазване на обработваните лични данни не може да бъде по-дълъг от срока, който е необходим и подходящ за целите, за които се обработват данните. Срокът на запазване се посочва в регистрите за защита на данните и декларациите за поверителност, посочени в член 5, параграф 1.

4.   Когато Органът обмисля налагането на ограничение, рискът за правата и свободите на субекта на данни се преценява, по-специално въз основа на риска за правата и свободите на други субекти на данни и риска от премахване на ефекта от проучванията или процедурите на Органа, например чрез унищожаване на доказателства. Рисковете за правата и свободите на субекта на данни са свързани предимно, но не само, с рискове за репутацията, както и с рискове за правото на защита и правото на изслушване.

1.   Всички ограничения се прилагат от Органа единствено с цел да се гарантира:

2.   Конкретно за целите, описани в параграф 1 по-горе, Органът може да прилага ограничения по отношение на личните данни, обменяни със службите на Комисията или други институции, органи, агенции и служби на Съюза, с компетентните органи на държавите членки или трети държави или с международни организации при следните обстоятелства:

3.   Всяко ограничение трябва да бъде необходимо и пропорционално предвид рисковете за правата и свободите на субектите на данни и да зачита същността на основните права и свободи в демократичното общество.

4.   Ако се обмисля налагането на ограничение, се извършва проверка на необходимостта и пропорционалността въз основа на настоящите правила. Проверката се документира за всеки отделен случай чрез вътрешна бележка за оценка за целите на отчетността.

5.   Ограниченията се отменят веднага след като обстоятелствата, послужили като основание за налагането им, престанат да съществуват. По-специално когато бъде преценено, че упражняването на ограниченото право вече няма да премахва ефекта от наложеното ограничение или няма да засяга неблагоприятно правата или свободите на други субекти на данни.

1.   Администраторът уведомява своевременно длъжностното лице за защита на данните („ДЛЗД“) всеки път, когато администраторът ограничава прилагането на правата на субектите на данни или разширява обхвата на ограничението съгласно настоящото решение. Администраторът предоставя на ДЛЗД достъп до вътрешната бележка, съдържаща оценката на необходимостта и пропорционалността на ограничението, както и, ако е приложимо, до основните фактически и правни елементи, и документира датата на уведомяване на ДЛЗД.

2.   ДЛЗД може да поиска от администратора да направи преглед на прилагането на ограниченията в писмен вид. Администраторът информира писмено ДЛЗД относно резултата от поискания преглед.

3.   Администраторът информира ДЛЗД, когато ограничението е отменено.

4.   Администраторът документира участието на ДЛЗД в различните етапи на процеса, като се започне от датата на уведомяване на ДЛЗД.

5.   Вътрешната бележка и, ако е приложимо, основните фактически и правни елементи се предоставят при поискване на Европейския надзорен орган по защита на данните.

1.   Органът публикува на своя уебсайт регистри за защита на личните данни, които информират всички субекти на данни за дейностите на Органа, свързани с обработването на лични данни, включително информация за потенциалното ограничаване на правата на субектите на данни.

2.   Органът уведомява поотделно всички субекти на данни, за които счита, че са засегнати от проучването или проверката, относно регистъра за защита на личните данни във връзка със специфичните операции по обработване, без ненужно забавяне и в писмена форма.

3.   В надлежно обосновани случаи и при условията, предвидени в настоящото решение, Органът може да ограничи изцяло или частично предоставянето на информация на субектите на данни, посочени в параграф 2. В този случай той документира във вътрешна бележка причините за ограничаването, законовото основание в съответствие с член 3 от настоящото решение, включително оценката на необходимостта и пропорционалността на ограничението.

4.   Ограничението, посочено в параграф 3, продължава да се прилага, докато причините за него продължават да бъдат валидни.

Когато причините за ограничението вече не са валидни, Органът уведомява засегнатия субект на данни относно съответния регистър за защита на данните и основните причини за прилагането на ограничение. Уведомлението може да съдържа покана за представяне на резултатите от текущото проучване или проверката, като част от упражняването на правото на защита на засегнатия субект на данни. В същото време Органът информира субекта на данни за правото да подаде жалба до Европейския надзорен орган по защита на данните по всяко време или да търси защита по съдебен ред пред Съда на Европейския съюз.

Органът преразглежда прилагането на ограничението на всеки шест месеца, считано от неговото приемане, и при приключване на съответната проверка или проучване.

1.   В допълнение към искането на субект на данни, Органът може да ограничи изцяло или частично правото на този субект да получи потвърждение дали отнасящите се до него/нея лични данни се обработват от Органа в контекста на проучване или проверка, посочени в член 1 от настоящото решение, и ако случаят е такъв, правото на достъп до тези данни и друга информация, посочена в член 17 от Регламент (ЕС) 2018/1725.

2.   Когато ограничава правото на достъп, в отговор на съответното искане, Органът информира засегнатия субект на данни за наложеното ограничение и за основните причини за него, както и за възможността за подаване на жалба до Европейския надзорен орган по защита на данните или за търсенето на защита по съдебен ред пред Съда на Европейския съюз;

3.   Предоставянето на информацията, посочена в параграф 2, може да бъде отложено, пропуснато или отказано, ако предоставянето би премахнало ефекта от ограничението в съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725. В такъв случай Органът документира във вътрешна бележка за оценка причините за ограничаването, включително оценката на необходимостта, пропорционалността на ограничението и продължителността му.

4.   Органът преразглежда прилагането на ограничението на всеки шест месеца, считано от неговото приемане, и при приключване на съответната проверка или проучване.

1.   В допълнение към искането на субект на данни, Органът може, в контекста на проучване или проверка, посочени в член 1 от настоящото решение, да ограничи изцяло или частично правото на този субект на коригиране на лични данни, свързани с него или нея, на изтриване или ограничаване на обработването на неговите или нейните лични данни, както е предвидено в членове 18, 19 и 20 от Регламент (ЕС) 2018/1725.

2.   Когато ограничава прилагането на правото на коригиране, изтриване или ограничаване на обработването, посочено по-горе, Органът предприема стъпките, посочени в член 6, параграф 2 и член 6, параграф 3 от настоящото решение.

3.   Органът преразглежда прилагането на ограничението на всеки шест месеца, считано от неговото приемане, и при приключване на съответната проверка или проучване.

1.   Органът съобщава на засегнатия субект на данни за нарушение на сигурността на личните данни, когато има вероятност това нарушение да доведе до висок риск за правата и свободите на физическите лица, както е предвидено в член 35 от Регламент (ЕС) 2018/1725.

2.   В надлежно обосновани случаи и при условията, предвидени в настоящото решение, Органът може да ограничи изцяло или частично предоставянето на информация на субектите на данни, посочени в параграф 1 от настоящия член. В този случай той документира във вътрешна бележка причините за ограничаването, законовото основание в съответствие с член 3 от настоящото решение, включително оценката на необходимостта и пропорционалността на ограничението.

3.   Ограничението, посочено в параграф 2, продължава да се прилага, докато причините за него продължават да бъдат валидни.

Когато причините за ограничението вече не са валидни, Органът съобщава за нарушението на сигурността на личните данни на засегнатия субект на данни и информира субекта на данните за основните причини за ограничението. В същото време Органът информира субекта на данни за правото да подаде жалба до Европейския надзорен орган по защита на данните по всяко време или да търси защита по съдебен ред пред Съда на Европейския съюз.

Органът преразглежда прилагането на ограничението на всеки шест месеца, считано от неговото приемане, и при приключване на съответната проверка или проучване.