1.   La siguiente decisión establece las normas internas relativas a las condiciones en las que la AEVM, en el marco de las actividades establecidas en los apartados 2 a 5, puede limitar la aplicación de los derechos previstos en los artículos 14 a 21, y 35, y también del artículo 4 del mismo, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725. Estas limitaciones se entienden sin perjuicio de las excepciones a los derechos de los interesados previstas en el Reglamento (UE) 2018/1725.

2.   En el marco del funcionamiento administrativo de la AEVM, las limitaciones previstas en el punto 1 del presente artículo se aplicarán al tratamiento de los datos personales por parte de la AEVM a efectos de:

3.   En el ejercicio de las misiones de la AEVM, las limitaciones previstas en el punto 1 del presente artículo se aplicarán al tratamiento de datos personales por parte de la AEVM a efectos de:

4.   Además, estas limitaciones se aplican a la asistencia, coordinación y/o cooperación que la AEVM presta a las autoridades nacionales de valores y mercados, incluidas las autoridades de terceros países, y a las organizaciones internacionales en el contexto de las investigaciones realizadas para el ejercicio de sus misiones estatutarias.

5.   Las limitaciones mencionadas en el apartado 1 del presente artículo se aplicarán también a las operaciones de tratamiento llevadas a cabo antes de la apertura de las investigaciones u otras investigaciones administrativas mencionadas en los apartados 2 a 4 anteriores, durante estas investigaciones y durante el seguimiento de la actuación consecutiva a los resultados de estas investigaciones.

6.   La presente Decisión se aplicará a cualquier categoría de datos personales tratados en el contexto de las actividades mencionadas en los apartados 2 a 5.

7.   Con arreglo a las condiciones previstas en la presente Decisión, las limitaciones pueden aplicarse a los siguientes derechos: la comunicación de información a los interesados, el derecho de acceso, la rectificación, la supresión, la limitación del tratamiento y la comunicación de una violación de la seguridad de los datos personales al interesado.

1.   Las salvaguardias establecidas para evitar las violaciones de datos personales, las fugas o la divulgación no autorizada en el contexto de las investigaciones mencionadas en el artículo 1 son las siguientes:

2.   El responsable de las operaciones de tratamiento será la AEVM, representada por su director ejecutivo, que podrá delegar la función de responsable del tratamiento de datos. Se informará a los interesados sobre la identidad del responsable del tratamiento que se haya delegado por medio de los registros de protección de datos publicados en el sitio web de la AEVM.

3.   El período de retención de los datos personales no se prolongará más allá de lo necesario y adecuado para los fines que justifiquen el tratamiento de los datos. El período de retención se especificará en los registros de protección de datos y en las declaraciones de confidencialidad a las que se hace referencia en el artículo 5, apartado 1.

4.   Cuando la AEVM estudie aplicar una limitación, deberá cotejarse el riesgo para los derechos y las libertades del interesado, en particular, por lo que se refiere al riesgo para los derechos y las libertades de otros interesados y el riesgo de dejar sin efecto las investigaciones o los procedimientos emprendidos por la AEVM, por ejemplo, mediante la destrucción de pruebas. Los riesgos para los derechos y las libertades del interesado consisten principal, pero no exclusivamente, en riesgos para la reputación y riesgos para el derecho a la defensa y a ser oído.

1.   La AEVM solo adoptará limitaciones para salvaguardar:

2.   Como aplicación concreta de los fines descritos en el apartado 1 anterior, la AEVM puede introducir limitaciones en relación con los datos personales intercambiados con los servicios de la Comisión u otras instituciones, organismos, agencias y oficinas de la Unión, autoridades competentes de los Estados miembros o de terceros países u organizaciones internacionales, en las siguientes circunstancias:

3.   Toda limitación deberá ser necesaria y proporcionada teniendo en cuenta los riesgos para los derechos y las libertades de los interesados y el respeto del contenido esencial de los derechos y las libertades fundamentales en una sociedad democrática.

4.   Si se estudia aplicar una limitación, deberá llevarse a cabo una prueba de la necesidad y la proporcionalidad basada en las presentes normas. Esta se documentará con una nota interna de evaluación para cumplir con la obligación de rendir cuentas en cada caso.

5.   Las limitaciones serán levantadas tan pronto como dejen de concurrir las circunstancias que las hubieran justificado. En particular, cuando se considere que el ejercicio del derecho limitado ya no anula el efecto de la limitación impuesta ni afecta negativamente a los derechos o las libertades de los demás interesados.

1.   La AEVM informará a su Responsable de protección de datos (RPD), sin dilaciones indebidas, de toda situación en la que el responsable del tratamiento limite la aplicación de los derechos de los interesados o extienda la limitación de conformidad con la presente Decisión. El responsable del tratamiento facilitará al RPD el acceso a la nota interna que contenga la evaluación de la necesidad y proporcionalidad de la limitación, así como, en su caso, los elementos de hecho y de derecho subyacentes, y documentará la fecha en que se informó al RPD.

2.   El RPD podrá solicitar por escrito al responsable del tratamiento que revise la aplicación de las limitaciones. Este notificará por escrito al RPD el resultado de la revisión solicitada.

3.   El responsable del tratamiento notificará al RPD el levantamiento de las limitaciones.

4.   El responsable del tratamiento documentará la participación del RPD a lo largo de las distintas fases del proceso, a partir de la fecha en que se informe al RPD.

5.   La nota interna y, en su caso, los elementos de hecho y de derecho subyacentes se pondrán a disposición del Supervisor Europeo de Protección de Datos previa solicitud.

1.   La AEVM publicará en su sitio web registros de protección de datos que informen a todos los interesados sobre sus actividades que impliquen el tratamiento de datos personales, incluida la información relativa a la posible limitación de los derechos de los interesados.

2.   La AEVM notificará individualmente, a todos los interesados a los que considere afectados por la investigación, el registro de la protección de datos de las operaciones de tratamiento específicas de que se trate, sin demoras indebidas y por escrito.

3.   En casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, la AEVM podrá limitar, total o parcialmente, el suministro de información a los interesados a que se refiere el apartado 2. En este caso, documentará en una nota interna de evaluación los motivos de la limitación, el fundamento jurídico de conformidad con el artículo 3 de la presente Decisión, incluida una evaluación de la necesidad y la proporcionalidad de la limitación.

4.   La limitación a que se refiere el apartado 3 seguirá en vigor mientras los motivos que la justifiquen sigan siendo aplicables.

Cuando las razones de la limitación dejen de ser aplicables, la AEVM notificará al interesado el registro de protección de datos pertinente y las principales razones de la limitación. Esta notificación podrá combinarse con una invitación a presentar observaciones sobre los resultados de la investigación en curso, como parte del ejercicio de los derechos a la defensa del interesado de que se trate. Al mismo tiempo, la AEVM informará al interesado en cuestión sobre el derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o a interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

La AEVM revisará cada seis meses la aplicación de la limitación desde la fecha de su adopción y al cierre de la investigación pertinente.

1.   A raíz de una solicitud de un interesado, la AEVM podrá limitar, total o parcialmente, su derecho a obtener confirmación de si los datos personales que le conciernen están siendo tratados por la AEVM en el contexto de una investigación contemplada en el artículo 1 de la presente Decisión y, en su caso, el derecho de acceso a dichos datos y a otra información contemplada en el artículo 17 del Reglamento (UE) 2018/1725.

2.   Cuando la AEVM limite el derecho de acceso, informará al interesado, en su respuesta a la solicitud, sobre la limitación y sobre los principales motivos de la misma, así como sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

3.   La comunicación de la información mencionada en el apartado 2 podrá aplazarse, omitirse o denegarse en caso de que pudiera dejar sin efecto la limitación, con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) 2018/1725. Cuando así sea, la AEVM documentará en una nota interna de evaluación los motivos de la limitación, incluida una evaluación de la necesidad, la proporcionalidad y la duración de la limitación.

4.   La AEVM revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre de la investigación o consulta pertinentes.

1.   A raíz de la solicitud de un interesado, la AEVM podrá, en el contexto de una investigación contemplada en el artículo 1 de la presente Decisión, limitar, total o parcialmente, el derecho de la persona interesada a obtener la rectificación de los datos personales que le conciernan, a suprimir o limitar el tratamiento de sus datos personales con arreglo a lo dispuesto en los artículos 18, 19 y 20 del Reglamento (UE) 2018/1725.

2.   Cuando la AEVM limite la aplicación del derecho de rectificación, supresión o limitación del tratamiento antes mencionado, adoptará las medidas establecidas en el artículo 6, apartados 2 y 3, de la presente Decisión.

3.   La AEVM revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre de la investigación o consulta pertinentes.

1.   La AEVM comunicará, sin demora injustificada, cualquier violación de los datos personales a la persona interesada en cuestión cuando dicha violación pueda suponer un riesgo elevado para los derechos y libertades de las personas físicas, tal como se establece en el artículo 35 del Reglamento (UE) 2018/1725.

2.   En casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, la AEVM podrá restringir, total o parcialmente, el suministro de información a los interesados a que se refiere el apartado 1 del presente artículo. En tal caso, documentará en una nota interna de evaluación los motivos de la limitación, el fundamento jurídico de la conformidad con el artículo 3 de la presente Decisión, incluida una evaluación de la necesidad y la proporcionalidad de la limitación.

3.   La limitación a que se refiere el apartado 2 seguirá en vigor mientras los motivos que la justifiquen sigan siendo aplicables.

Cuando las razones de la limitación dejen de ser aplicables, la AEVM notificará al interesado la violación de la seguridad de los datos personales y le informará de las principales razones de la limitación. Al mismo tiempo, la AEVM informará al interesado en cuestión del derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o a interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

La AEVM revisará cada seis meses la aplicación de la limitación desde la fecha de su adopción y al cierre de la investigación pertinente.