1.   С настоящото решение се определят правила относно условията, при които Агенцията в рамките на своите процедури, посочени в параграф 2, може да ограничава прилагането на правата, заложени в членове 14—21, 35 и 36, както и в член 4 от него, като се спазва член 25 от Регламент (ЕС) 2018/1725.

2.   В рамките на функционирането на Агенцията настоящото решение се прилага за операциите по обработване на лични данни, извършвани от Агенцията за целите на административни проучвания, дисциплинарни производства, предварителни действия във връзка със случаи на потенциални нередности, докладвани на OLAF, обработване на сигнали за нередности, (официални и неофициални) процедури, свързани с тормоз, обработване на вътрешни и външни жалби, провеждане на вътрешни одити, разследвания от страна на длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, както и разследвания в областта на сигурността на ИТ, извършвани вътрешно или с външно участие (напр. CERT-EU).

3.   Засегнатите категории данни са потвърдени данни („обективни“ данни, например данни за идентификация, данни за контакт, професионални данни, административни данни, данни, получени от специфични източници, електронни съобщения и данни за трафик) и/или непотвърдени данни („субективни“ данни, свързани със случая, например мотиви, данни относно поведението, оценки, данни за работната ефективност и действия, както и данни, свързани или предоставени във връзка с предмета на процедурата или дейността).

4.   Когато изпълнява задълженията си във връзка с правата на субект на данни съгласно Регламент (ЕС) 2018/1725, Агенцията преценява дали е приложимо някое от изключенията, предвидени в този регламент.

5.   Ограниченията, които са предмет на изложените в настоящото решение условия, може да се прилагат към следните права: предоставяне на информация на субектите на данни, право на достъп, коригиране, изтриване, ограничаване на обработването, съобщаване на субекта на данните за нарушение на сигурността на личните данни или поверителност на съобщаването. В съответствие с член 5, параграф 4 от Правилника за персонала се одобряват таблиците, с които се установява еквивалентността между видовете длъжности и наименованията на длъжностите, използвани за длъжностните лица и срочно наетите служители на ЕАМБ, които се съдържат в приложението към настоящото решение.

1.   Администратор на операциите по обработване е Агенцията, представлявана от своя изпълнителен директор, който може да делегира функцията на администратор. Субектите на данни се уведомяват относно упълномощения администратор чрез информацията за защита на личните данни или чрез регистрите, публикувани на уебсайта и/или в интранета на Агенцията.

2.   Срокът на запазване на личните данни, посочен в член 1, параграф 3, не може да бъде по-дълъг от срока, който е необходим и подходящ за целите, за които се обработват данните. При всички случаи той не е по-дълъг от срока на запазване, посочен в информацията за защита на личните данни, декларациите за защита на личните данни или регистрите, посочени в член 5, параграф 1.

3.   В случаите, когато Агенцията обмисля да наложи ограничение, рисковете за правата и свободите на субектите на данни се оценяват по-специално спрямо риска за правата и свободите на други субекти на данни и риска от анулиране на ефекта от разследванията или процедурите на Агенцията, например чрез унищожаване на доказателства. Рисковете за правата и свободите на субекта на данни засягат главно, но не се ограничават до рискове за репутацията и рискове за правото на защита и правото на изслушване.

1.   Всяко ограничение се прилага от Агенцията единствено с цел да се гарантират:

2.   Като специфично приложение на целите, описани в параграф 1 по-горе, Агенцията може да прилага ограничения при следните обстоятелства:

Преди да приложи ограниченията в обстоятелствата, посочени в букви а) и б) от първа алинея, Агенцията се консултира със съответните служби на Комисията, институции, органи, агенции, служби на Съюза или компетентните органи на държавите членки, освен ако за Агенцията не е ясно, че налагането на ограничение е предвидено в един от актовете, посочен в тези букви.

3.   Всяко ограничение е необходимо и пропорционално спрямо рисковете за правата и свободите на субектите на данни и е съобразено със същността на основните права и свободи в демократичното общество.

4.   Ако се обмисля налагане на ограничение, въз основа на настоящите правила на всеки 6 (шест) месеца се извършва проверка на необходимостта и пропорционалността. Това се документира чрез записка за вътрешна оценка за целите на отчетността за всеки отделен случай.

5.   Ограничението се отменя, когато обосноваващите го обстоятелства вече не се прилагат. По-специално, когато се счита, че с упражняването на ограничено право вече не би се отменил ефектът на наложеното ограничение или то не би имало неблагоприятно въздействие върху правата или свободите на други субекти на данни.

1.   Агенцията уведомява своевременно своето длъжностно лице по защита на данните („ДЛЗД“) всеки път, когато администраторът ограничава прилагането на правата на субектите на данни или разширява обхвата на ограничението съгласно настоящото решение. Администраторът предоставя на ДЛЗД достъп до регистъра, съдържащ оценката на необходимостта и пропорционалността на ограничението, и документира в регистъра датата, на която е уведомил ДЛЗД.

2.   ДЛЗД може да изиска от администратора в писмен вид да преразгледа прилагането на ограниченията. Администраторът уведомява ДЛЗД относно резултата от искането за преразглеждане.

3.   Администраторът уведомява ДЛЗД, когато ограничението е отменено.

1.   В надлежно обосновани случаи и при условията, предвидени в настоящото решение, администраторът може да ограничава правото на информация в контекста на следните операции по обработване:

В информацията за защита на личните данни, декларациите за поверителност или регистрите по смисъла на член 31 от Регламент (ЕС) 2018/1725, публикувани на нейния уебсайт и/или в интранет, от който субектите на данни получават информация за своите права в рамките на дадена процедура, Агенцията включва информация, свързана с потенциалното ограничаване на тези права. Информацията обхваща правата, които може да бъдат ограничени, причините и потенциалния срок.

2.   Без да се засягат разпоредбите на параграф 3, Агенцията също така уведомява без ненужно забавяне и в писмена форма, ако е целесъобразно, индивидуално всички субекти на данни, считани за лица, заинтересовани от специфичната операция по обработване, за техните права във връзка с настоящи или бъдещи ограничения.

3.   Когато ограничава изцяло или частично предоставянето на информация на субектите на данни, посочени в параграф 2, Агенцията записва причините за ограничението и правното основание в съответствие с член 3 от настоящото решение, както и оценка на необходимостта и пропорционалността на ограничението.

Този документ и, ако е приложимо, документите, съдържащи основните фактологични и правни елементи, се вписват в регистъра. При поискване те се предоставят на Европейския надзорен орган по защита на данните.

4.   Ограничението, посочено в параграф 3, продължава да се прилага, докато причините за него продължават да са валидни.

Когато причините за ограничението вече не са приложими, Агенцията предоставя информация на субекта на данните за основните причини, на които се основава прилагането на ограничението. В същото време Агенцията информира субекта на данни за правото да подаде жалба до Европейския надзорен орган по защита на данните по всяко време или да търси защита по съдебен ред пред Съда на Европейския съюз.

Агенцията преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, и при приключване на съответното проучване, процедура или разследване. След това на всеки шест месеца администраторът осъществява наблюдение върху необходимостта от запазване на всяко едно ограничение.

1.   В надлежно обосновани случаи и при условията, определени в настоящото решение, ако е необходимо и пропорционално, администраторът може да ограничава правото на достъп в контекста на следните операции по обработване:

Когато субектите на данни поискат достъп до личните си данни, обработвани в контекста на един или повече конкретни случаи или за конкретна операция по обработване, в съответствие с член 17 от Регламент (ЕС) 2018/1725 Агенцията ограничава оценката си на искането единствено до тези лични данни.

2.   Когато ограничава изцяло или частично правото на достъп, посочено в член 17 от Регламент (ЕС) 2018/1725, Агенцията предприема следните стъпки:

Предоставянето на информацията, посочена в буква а), може да бъде отложено, пропуснато или отказано, ако предоставянето би премахнало ефекта от ограничението в съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725.

Агенцията преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, и при приключване на съответното разследване. След това на всеки шест месеца администраторът осъществява наблюдение върху необходимостта от запазване на всяко едно ограничение.

3.   Този документ и, ако е приложимо, документите, съдържащи основните фактологични и правни елементи, се вписват в регистъра. При поискване те се предоставят на Европейския надзорен орган по защита на данните.

1.   В надлежно обосновани случаи и при условията, определени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правото на коригиране, изтриване и ограничаване в контекста на следните операции по обработване:

2.   Когато Агенцията ограничава изцяло или частично прилагането на правото на коригиране, изтриване или ограничаване на обработването, посочено в член 18, член 19, параграф 1 и член 20, параграф 1 от Регламент (ЕС) 2018/1725, тя предприема стъпките, посочени в член 6, параграф 2 от настоящото решение, и регистрира записа в съответствие с член 6, параграф 3 от него. Независимо от горепосочените стъпки, всяко ограничение подлежи на преразглеждане съгласно условията на член 3, параграф 4 от настоящото решение.

1.   В надлежно обосновани случаи и при условията, предвидени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правото на съобщаване за нарушение на сигурността на личните данни в контекста на следните операции по обработване:

2.   В надлежно обосновани случаи и при условията, предвидени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правото на поверителност на електронните съобщения в контекста на следните операции по обработване:

3.   Когато Агенцията ограничава съобщаването за нарушение на сигурността на личните данни на субекта на данни или поверителността на електронните съобщения, посочени в членове 35 и 36 от Регламент (ЕС) 2018/1725, тя записва и регистрира причините за ограничението в съответствие с член 5, параграф 3 от настоящото решение. Прилага се член 5, параграф 4 от настоящото решение. Независимо от горепосочените стъпки, всяко ограничение подлежи на преразглеждане съгласно условията на член 3, параграф 4 от настоящото решение.