1.   Държавите членки, морските пристанища, летищата и международните превозвачи поставят плакати с посочената в приложението информация на всички входни пунктове на Съюза или във всички транспортни средства, влизащи в Съюза, на вниманието на пътниците, пристигащи от трети държави.

Държавите членки, морските пристанища, летищата и международните превозвачи могат да поставят плакатите, предвидени в първата алинея, и на местата за отпътуване от Съюза.

2.   Пощенските служби и професионалните оператори, участващи в продажби въз основа на договори, сключени от разстояние, предоставят на разположение на своите клиенти — поне чрез интернет — посочената в приложението информация.

3.   Посочената в приложението информация се поставя на лесно видими места, както на физическите местоположения, така и в интернет.

1.   С настоящото решение се определят правила относно условията, при които ENISA, в рамките на своите процедури, посочени в параграф 2, може да ограничи прилагането на правата, заложени в членове 14—21, 35 и 36, както и в член 4 от него, като се спазва член 25 от Регламент (ЕС) 2018/1725.

2.   В рамките на административното функциониране на ENISA настоящото решение се прилага към операции по обработване на лични данни от страна на ENISA за целите на: провеждане на административни проучвания, дисциплинарни производства, предварителни дейности, свързани със случаи на потенциални нередности, докладвани на OLAF, обработване на случаи на подаване на сигнали за нередности, (формални и неформални) процедури за предотвратяване на тормоз, обработване на вътрешни и външни оплаквания, провеждане на вътрешни одити, оценки на инциденти, свързани с киберсигурността, съгласно член 7, параграф 4 от Регламент (ЕС) 2019/881, разследвания, извършвани от длъжностното лице по защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, разследвания на сигурността (на ИТ), провеждани на вътрешно ниво или с участието на външни служители (напр. CERT-EU).

3.   Категориите на въпросните данни са потвърдени данни („обективни“ данни, например данни за идентификация, данни за контакт, професионални данни, административни данни, данни получени от специфични източници, електронни съобщения и данни за трафик) и/или непотвърдени данни („субективни“ данни, свързани със случая, например мотиви, данни за поведението, оценки, данни за работната ефективност и действия, както и данни, свързани или представени във връзка с предмета на процедурата или дейността).

4.   Когато изпълнява задълженията си във връзка с правата на субект на данни съгласно Регламент (ЕС) 2018/1725, ENISA преценява дали е приложимо някое от изключенията, предвидени в този регламент.

5.   При спазване на условията, определени в настоящото решение, ограниченията могат да се прилагат по отношение на следните права: предоставяне на информация на субектите на данни, право на достъп, коригиране, изтриване, ограничаване на обработването, съобщаване на субекта на данните за нарушение на сигурността на личните данни или право на поверителност на съобщенията.

1.   Въведените предпазни мерки за избягване на нарушения на сигурността, изтичане или неразрешено оповестяване са следните:

2.   Администраторът на операциите по обработване е ENISA, представлявана от своя изпълнителен директор, който може да делегира функцията на администратор. Субектите на данни се информират за делегирания администратор чрез информацията за защита на данните или чрез регистри, публикувани на уебсайта и/или в интранета на ENISA.

3.   Срокът на запазване на личните данни, посочен в член 1, параграф 3, не е по-дълъг от необходимото и е подходящ за целите, за които се обработват данните. При всички случаи той не е по-дълъг от срока на запазване, посочен в информацията за политиката за защита на личните данни, декларациите за защита на личните данни или регистрите, посочени в член 5, параграф 1.

4.   Когато ENISA обмисля да приложи ограничение, рискът за правата и свободите на субекта на данни се преценява по-специално въз основа на риска за правата и свободите на други субекти на данни и риска да бъде отменено въздействието от разследванията или процедурите на ENISA, например чрез унищожаване на доказателства. Рисковете за правата и свободите на субекта на данни са свързани предимно, но не само, с рискове за репутацията и рискове за правото на защита и правото на изслушване.

1.   Всяко ограничение се прилага от ENISA единствено за да се гарантира:

2.   Оценката на инцидентите, свързани с киберсигурността, която се провежда от ENISA по силата на член 7, параграф 4 от Регламент (ЕС) 2019/881 (Акт за киберсигурността), попада в приложното поле на параграф 1, буква б) от настоящия член.

3.   Конкретно за целите, описани в параграф 1 по-горе, ENISA може да прилага ограничения във връзка с личните данни, обменени със службите на Комисията или други институции, органи, агенции и служби на Съюза, компетентни органи на държавите членки или трети държави или международни организации, съответно при следните обстоятелства:

Преди да приложи ограниченията в обстоятелствата, посочени в букви а) и б) от първа алинея, ENISA се консултира със съответните служби на Комисията, институции, органи, агенции, служби на Съюза или компетентните органи на държавите членки, освен ако за ENISA не е ясно, че налагането на ограничение е предвидено в един от актовете, посочен в този букви.

4.   Всяко ограничение е необходимо и пропорционално, като се имат предвид рисковете за правата и свободите на субектите на данни, и е съобразено със същността на основните права и свободи в демократичното общество.

5.   Ако се обмисля прилагане на ограничение, трябва да бъде извършена проверка на необходимостта и пропорционалността въз основа на настоящите правила. Това се документира чрез записка за вътрешна оценка за целите на отчетността за всеки отделен случай.

6.   Ограничението се отменя, когато обосноваващите го обстоятелства вече не съществуват. По-специално, когато бъде преценено, че упражняването на ограниченото право вече няма да възпрепятства ефективността на наложеното ограничение или няма да засяга неблагоприятно правата или свободите на други субекти на данни.

1.   ENISA уведомява своевременно своето длъжностно лице по защита на данните (ДЛЗД) всеки път, когато администраторът ограничава прилагането на правата на субектите на данни или разширява обхвата на ограничението съгласно настоящото решение. Администраторът предоставя на ДЛЗД достъп до регистъра, съдържащ оценката на необходимостта и пропорционалността на ограничението, и документира в регистъра датата, на която е уведомил длъжностното лице за защита на данните. ENISA включва ДЛЗД във всички съответни процедури, като участието на ДЛЗД се документира.

2.   ДЛЗД може да поиска писмено от администратора да направи преглед на прилагането на ограниченията. Администраторът уведомява ДЛЗД относно резултата от искането за преразглеждане.

3.   Администраторът уведомява ДЛЗД, когато ограничението е отменено.

1.   В надлежно обосновани случаи и в условията, предвидени в настоящото решение, администраторът може да ограничава правото на информация в контекста на следните операции по обработване:

В информацията за защита на данните, декларациите за защита на личните данни или регистрите по смисъла на член 31 от Регламент (ЕС) 2018/1725, публикувани на уебсайта и/или в интранета на Агенцията, от който субектите на данни получават информация за своите права в рамките на дадена процедура, ENISA включва информация, свързана с потенциалното ограничаване на тези права. Информацията обхваща правата, които може да бъдат ограничени, причините и потенциален срок.

2.   Без да се засягат разпоредбите на параграф 3 от настоящия член, ENISA също така уведомява без ненужно забавяне и в писмена форма, ако е целесъобразно, индивидуално всички субекти на данни, считани за лица, заинтересовани от специфичната операция по обработване, за техните права във връзка с настоящи или бъдещи ограничения.

3.   Когато ограничава изцяло или частично предоставянето на информация на субектите на данни, посочени в параграф 2 от настоящия член, ENISA посочва причините за ограничението, правното основание в съответствие с член 3 от настоящото решение, включително оценка на необходимостта и пропорционалността на ограничението.

Записът и, ако е приложимо, документите, съдържащи основните фактологични и правни елементи, се вписват в регистъра. Те се предоставят на Европейския надзорен орган по защита на данните при поискване.

4.   Ограничението, посочено в параграф 3 от настоящия член, продължава да се прилага, докато причините за него продължават да са валидни.

Когато причините за ограничението вече не са валидни, ENISA предоставя информация на субекта на данните за основните причини, на които се основава прилагането на ограничението. Същевременно ENISA уведомява субекта на данните за правото да подаде жалба до Европейския надзорен орган по защита на данните по всяко време или да потърси защита по съдебен ред пред Съда на Европейския съюз.

ENISA преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, както и при приключване на съответното проучване, процедура или разследване. След това администраторът разглежда необходимостта от поддържане на всяко ограничение на всеки шест месеца.

1.   В надлежно обосновани случаи и при условията, предвидени в настоящото решение, ако е пропорционално необходимо, администраторът може да ограничава правото на достъп в контекста на следните операции по обработване:

Когато субектите на данни поискат достъп до личните си данни, обработвани в контекста на един или повече конкретни случаи или за конкретна операция по обработване, в съответствие с член 17 от Регламент (ЕС) 2018/1725, ENISA ограничава оценката на искането единствено до тези лични данни.

2.   Когато ограничава изцяло или частично правото на достъп, посочено в член 17 от Регламент (ЕС) 2018/1725, ENISA предприема следните стъпки:

Предоставянето на информацията, посочена в буква а), може да бъде отложено, пропуснато или отказано, ако има вероятност да отмени ефекта на ограничението в съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725.

ENISA преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, и при приключване на съответното разследване. След това на всеки шест месеца администраторът осъществява наблюдение върху необходимостта от запазване на всяко едно ограничение.

3.   Този документ и, ако е приложимо, документите, съдържащи основните фактологични и правни елементи, се вписват в регистъра. Те се предоставят на Европейския надзорен орган по защита на данните при поискване.

1.   В надлежно обосновани случаи и при условията, предвидени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правото на коригиране, изтриване и ограничаване в контекста на следните операции по обработване:

2.   Когато ограничава изцяло или частично прилагането на правото на коригиране, изтриване или ограничаване на обработването, посочено в член 18, член 19, параграф 1 и член 20, параграф 1 от Регламент (ЕС) 2018/1725, ENISA предприема необходимите стъпки, посочени в член 6, параграф 2 от настоящото решение, и съгласно член 6, параграф 3 от него.

1.   В надлежно обосновани случаи и при условията, предвидени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правото на съобщаване на лични данни в контекста на следните операции по обработване:

2.   В надлежно обосновани случаи и при условията, предвидени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правото на поверителност на електронните съобщения в контекста на следните операции по обработване:

3.   Когато ограничава съобщаването за нарушение на сигурността на личните данни на субекта на данните или поверителността на електронните съобщения, посочени в членове 35 и 36 от Регламент (ЕС) 2018/1725, ENISA прилага разпоредбите на член 5, параграф 3 от настоящото решение. Прилага се член 5, параграф 4 от настоящото решение.

1.   В настоящото решение са изложени правилата, свързани с условията, при които предприятие „Термоядрен синтез за енергия“ в рамките на своите процедури, изложени в параграф 2, може да ограничи прилагането на правата, предвидени в членове 14—21, 35 и 36, както и член 4 от него, съгласно член 25 от Регламент (ЕС) 2018/1725.

2.   В рамките на административното функциониране на предприятие „Термоядрен синтез за енергия“ настоящото решение се прилага към операции по обработване на лични данни от предприятието за целите на: провеждане на административни проучвания и дисциплинарни производства, както и извършване на предварителни дейности, свързани със случаи на потенциални нередности, докладвани на OLAF, обработване на случаи на подаване на сигнали за нередности, обработване на (официални и неофициални) процедури при случаи на тормоз, обработване на вътрешни и външни жалби, обработване на медицински данни, провеждане на вътрешни одити, извършване на разследвания от длъжностното лице за защита на данните в съответствие с член 45, параграф 2 от Регламент (ЕС) 2018/1725, разследвания в областта на сигурността (на ИТ), извършвани вътрешно или с външно участие (напр. CERT-EU).

Това решение следва да се прилага и към дейностите на предприятие „Термоядрен синтез за енергия“ за съдействие и сътрудничество, предоставяни от предприятието извън неговите административни разследвания, на национални органи и вътрешни организации.

Освен това настоящото решение се прилага за дейности, свързани със сътрудничеството с институциите и органите на ЕС и предаването на информация към тях относно административно разследване или дисциплинарно производство, когато такава информация е необходима на получателя, за да прецени основанията за започване на официално разследване или производство.

3.   Засегнатите категории данни са потвърдени данни („обективни“, напр. данни за идентификация, данни за контакт, професионални данни, административни данни, данни, получени от специфични източници, електронни съобщения и данни за трафик) и/или непотвърдени данни („субективни“, свързани със случая, напр. мотиви, данни за поведението, оценки, данни за работната ефективност и действия, както и данни, свързани или представени във връзка с предмета на процедурата или дейността).

4.   Когато изпълнява задълженията си във връзка с правата на субект на данни съгласно Регламент (ЕС) 2018/1725, предприятие „Термоядрен синтез за енергия“ преценява дали е приложимо някое от изключенията, предвидени в този регламент.

5.   Ограниченията, които са предмет на изложените в настоящото решение условия, може да се прилагат към следните права: предоставяне на информация на субектите на данни, право на достъп, коригиране, изтриване, ограничаване на обработването, съобщаване на субекта на данните за нарушение на сигурността на личните данни или поверителност на съобщаването.

1.   Въведените предпазни мерки за избягване на нарушения на сигурността, изтичане или неразрешено разкриване са следните:

2.   Администраторът на операциите по обработване е предприятието, представлявано от своя директор, който може да делегира функцията на администратор. Субектите на данни с се уведомяват относно упълномощения администратор чрез информацията за политиката за защита на личните данни или чрез регистрите, публикувани на уебсайта и/или в интранет на предприятието.

3.   Срокът на запазване на личните данни, посочен в член 1, параграф 3, не е по-дълъг от необходимото и е подходящ за целите, за които се обработват данните. При всички случаи той не е по-дълъг от срока на запазване, посочен в информацията за политиката за защита на личните данни, декларациите за поверителност или регистрите, посочени в член 5, параграф 1.

4.   В случаите, когато предприятие „Термоядрен синтез за енергия“ обмисля да наложи ограничение, рисковете за правата и свободите на субектите на данни се оценяват по-специално спрямо риска за правата и свободите на други субекти на данни и риска от анулиране на ефекта от разследванията или процедурите на предприятието например чрез унищожаване на доказателства. Рисковете за правата и свободите на другия субект на данни засягат главно, но не се ограничават до рискове за репутацията и рискове за правото на защита и правото на изслушване.

1.   Всяко ограничение се прилага от предприятие „Термоядрен синтез за енергия“ единствено за да се гарантира:

2.   Като специфично прилагане за целите, описани в параграф 1 по-горе, предприятие „Термоядрен синтез за енергия“ може да налага ограничения във връзка с личните данни, обменени със службите на Комисията или други институции, органи, агенции и служби на Съюза, компетентни органи на държавите членки или трети държави или международни организации при следните обстоятелства:

Преди да наложи ограниченията в обстоятелствата, посочени в букви а) и б) от първа алинея, предприятие „Термоядрен синтез за енергия“ се консултира със съответните служби на Комисията, институции, органи, агенции, служби на Съюза или компетентните органи на държавите членки, освен ако за предприятието не е ясно, че налагането на ограничение е предвидено в един от актовете, посочен в този букви.

3.   Всяко ограничение е необходимо и пропорционално, като се имат предвид рисковете за правата и свободите на субектите на данни, и е съобразено със същността на основните права и свободи в демократичното общество.

4.   4. Ако се обмисля налагане на ограничение, извършва се тест на необходимостта и пропорционалността въз основа на настоящите правила. Проверката се документира във всеки случай чрез вътрешна бележка за оценка за целите на отчетността.

5.   Ограниченията се отменят веднага след като обстоятелствата, послужили като основание за налагането им, престанат да съществуват. По-специално, когато бъде преценено, че упражняването на ограниченото право вече няма да възпрепятства ефективността на наложеното ограничение или няма да засяга неблагоприятно правата или свободите на други субекти на данни.

1.   Без ненужно забавяне предприятие „Термоядрен синтез за енергия“ уведомява своето длъжностно лице за защита на данните при всяко ограничаване от администратора на прилагането на правата на субектите на данни или разширяване на ограничението в съответствие с настоящото решение. Администраторът предоставя на ДЗД достъп до регистъра, съдържащ оценката на необходимостта и пропорционалността на ограничението, и документира в регистъра датата, на която е уведомил длъжностното лице за защита на данните.

2.   ДЗД може да изиска от администратора в писмен вид да преразгледа прилагането на ограниченията. Администраторът уведомява ДЗД относно резултата от искането за преразглеждане.

3.   Администраторът уведомява ДЗД, когато ограничението е отменено.

1.   В надлежно обосновани случаи и в условията, предвидени в настоящото решение, администраторът може да ограничава правото на информация в контекста на следните операции по обработване:

Предприятие „Термоядрен синтез за енергия“ включва информация, свързана с потенциалното ограничаване на тези права, в информацията за политиката за защита на личните данни, декларациите за защита на личните данни или регистрите по смисъла на член 31 от Регламент (ЕС) 2018/1725, публикувани на неговия уебсайт и/или в интранет, с които се уведомяват субектите на данни за техните права в рамките на дадена процедура. Информацията обхваща правата, които може да бъде ограничавани.

2.   Без да се засягат разпоредбите на параграф 3, когато това е целесъобразно, предприятие „Термоядрен синтез за енергия“ също информира в писмена форма индивидуално всички субекти на данни, които се считат за засегнати при конкретната операция по обработване, относно правата им във връзка с настоящите или бъдещите ограничения без ненужно забавяне.

3.   Когато ограничава изцяло или частично предоставянето на информация на субектите на данни, посочени в параграф 2, предприятие „Термоядрен синтез за енергия“ посочва причините за ограничението, правното основание в съответствие с член 3 от настоящото решение, включително оценка на необходимостта и пропорционалността на ограничението.

Този документ и, ако е приложимо, документите, съдържащи основните фактологични и правни елементи, се вписват в регистъра. При поискване те се предоставят на Европейския надзорен орган по защита на данните.

4.   Ограничението, посочено в параграф 3, продължава да се прилага, докато причините за него продължават да са валидни.

Предприятие „Термоядрен синтез за енергия“ предоставя информация на субекта на данните за основните причини, на които се основава прилагането на ограничението. Същевременно предприятие „Термоядрен синтез за енергия“ уведомява субекта на данните за правото да подаде жалба до Европейския надзорен орган по защита на данните по всяко време или да потърси защита по съдебен ред пред Съда на Европейския съюз.

Предприятие „Термоядрен синтез за енергия“ преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, и при приключване на съответната проверка, процедура или разследване. След това на всеки шест месеца администраторът осъществява наблюдение върху необходимостта от поддържане на всяко едно ограничение.

1.   В надлежно обосновани случаи и в условията, предвидени в настоящото решение, ако е необходимо и пропорционално, администраторът може да ограничава правото на достъп в контекста на следните операции по обработване:

Когато субектите на данни поискат достъп до личните си данни, обработвани в контекста на един или повече конкретни случаи или за конкретна операция по обработване, в съответствие с член 17 от Регламент (ЕС) 2018/1725, предприятие „Термоядрен синтез за енергия“ ограничава оценката си на искането единствено до тези лични данни.

2.   Когато ограничава изцяло или частично правото на достъп, посочено в член 17 от Регламент (ЕС) 2018/1725, предприятие „Термоядрен синтез за енергия“ предприема следните стъпки:

Предоставянето на информацията, посочена в буква а), може да бъде отложено, пропуснато или отказано, ако има вероятност да отмени ефекта на ограничението в съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725.

Предприятие „Термоядрен синтез за енергия“ преразглежда прилагането на ограничението на всеки шест месеца, считано от приемането му, и при приключване на съответната проверка, процедура или разследване. След това на всеки шест месеца администраторът осъществява наблюдение върху необходимостта от поддържане на всяко едно ограничение.

3.   Този документ и, ако е приложимо, документите, съдържащи основните фактологични и правни елементи, се вписват в регистъра. При поискване те се предоставят на Европейския надзорен орган по защита на данните.

1.   В надлежно обосновани случаи и в условията, предвидени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правото на коригиране, изтриване и ограничаване в контекста на следните операции по обработване:

2.   Когато предприятие „Термоядрен синтез за енергия“ ограничава изцяло или частично прилагането на правото на коригиране, изтриване или ограничаване на обработването, посочено в член 18, член 19, параграф 1 и член 20, параграф 1 от Регламент (ЕС) 2018/1725, се прилага член 6, параграфи 2 и 3 от настоящото Решение.

1.   В надлежно обосновани случаи и в условията, предвидени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правото на съобщаване на лични данни в контекста на следните операции по обработване:

2.   В надлежно обосновани случаи и в условията, предвидени в настоящото решение, ако е необходимо и целесъобразно, администраторът може да ограничава правото на поверителност на електронните съобщения в контекста на следните операции по обработване:

3.   Когато предприятие „Термоядрен синтез за енергия“ ограничава съобщаването за нарушение на сигурността на личните данни на субекта на данните или поверителността на електронните съобщения, посочени в членове 35 и 36 от Регламент (ЕС) 2018/1725, се прилага член 5, параграфи 3 и 4 от настоящото Решение.