1.   Los Estados miembros, los puertos de mar, los aeropuertos y los operadores de empresas de transporte internacional colocarán carteles con la información que figura en el anexo en todos los puntos de entrada en la Unión, o en todos los medios de transporte que se desplacen a la Unión, destinados a los viajeros procedentes de terceros países.

Los Estados miembros, los puertos de mar, los aeropuertos y los operadores de empresas de transporte internacional podrán mostrar los carteles previstos en el párrafo primero también en los puntos de salida de la Unión.

2.   Los servicios postales y los operadores profesionales que practican la venta mediante contratos a distancia pondrán a disposición de sus clientes, al menos en internet, la información que figura en el anexo.

3.   La información que figura en el anexo se colocará en puntos fácilmente visibles, tanto en ubicaciones físicas como en internet.

1.   La siguiente Decisión establece las normas relativas a las condiciones en las que la ENISA, en el marco de sus procedimientos establecidos en el apartado 2, puede limitar el ejercicio de los derechos consagrados en los artículos 14 a 21, 35 y 36, y la aplicación del artículo 4, del Reglamento (UE) 2018/1725, de conformidad con el artículo 25 de este.

2.   En el marco del funcionamiento administrativo de la ENISA, esta Decisión se aplica a las operaciones de tratamiento de datos personales llevadas a cabo por la ENISA a los efectos de hacer indagaciones administrativas, incoar procedimientos disciplinarios, llevar a cabo actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF, tramitar casos de denuncia de irregularidades (whistleblowing), procedimientos (formales e informales) para la prevención del acoso, así como reclamaciones internas y externas, realizar auditorías internas, evaluaciones de incidentes de ciberseguridad con arreglo al artículo 7, apartado 4, del Reglamento (UE) n.o 2019/881, investigaciones emprendidas por el responsable de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) n.o 2018/1725 e investigaciones en materia de seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE).

3.   Las categorías de datos de que se trata son los datos sólidos (datos «objetivos», como los datos de identificación, los datos de contacto, los datos profesionales, los datos administrativos, los datos recibidos de determinadas fuentes y los datos de las comunicaciones y el tráfico electrónicos) y los datos frágiles (datos «subjetivos» relacionados con el caso, como el razonamiento, los datos de comportamiento, las valoraciones, los datos de actuación y conducta, y los datos relacionados con el objeto del procedimiento o la actividad o presentados en relación con estos).

4.   Cuando la ENISA ejerza sus funciones en relación con los derechos de los interesados en virtud del Reglamento (UE) n.o 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho Reglamento.

5.   Con arreglo a las condiciones previstas en la presente Decisión, las limitaciones pueden aplicarse a los siguientes derechos: la comunicación de información a los interesados, el derecho de acceso, la rectificación, la supresión, la limitación del tratamiento, la comunicación de una violación de la seguridad de los datos personales al interesado y la confidencialidad de las comunicaciones.

1.   Las garantías establecidas para evitar las violaciones de la seguridad de los datos, las filtraciones o las divulgaciones no autorizadas son las siguientes:

2.   El responsable de las operaciones de tratamiento será la ENISA, representada por su director ejecutivo, quien podrá delegar la función de responsable del tratamiento de datos. Se informará a los interesados de la identidad del responsable del tratamiento delegado por medio de avisos de protección de datos o de registros publicados en el sitio web o la intranet de la ENISA.

3.   El período de conservación de los datos personales al que hace referencia el artículo 1, apartado 3, no superará el necesario ni el adecuado para los fines que justifiquen el tratamiento de los datos. En ningún caso deberá superar el período de conservación especificado en los avisos de protección de datos, las declaraciones de confidencialidad o los registros a los que se hace referencia en el artículo 5, apartado 1.

4.   Cuando la ENISA estudie aplicar una limitación, deberá sopesarse el riesgo para los derechos y las libertades del interesado, en particular, con el riesgo para los derechos y las libertades de otros interesados y el riesgo de dejar sin efecto las investigaciones o los procedimientos emprendidos por la ENISA, por ejemplo, por la destrucción de pruebas. Los riesgos para los derechos y las libertades del interesado consisten principalmente, aunque no de manera exclusiva, en riesgos para la reputación y riesgos para el derecho a la defensa y a ser oído.

1.   La ENISA solo adoptará limitaciones para salvaguardar:

2.   La evaluación de incidentes de ciberseguridad realizada por la ENISA con arreglo al artículo 7, apartado 4, del Reglamento (UE) n.o 2019/881 («Reglamento sobre la Ciberseguridad») incluida en el apartado 1, letra b), del presente artículo.

3.   Como aplicación concreta de los fines descritos en el apartado 1 anterior, la ENISA podrá introducir limitaciones en relación con los datos personales compartidos con los servicios de la Comisión u otras instituciones, órganos y organismos de la Unión, autoridades competentes de los Estados miembros o de terceros países u organizaciones internacionales, respectivamente en las siguientes circunstancias:

Antes de aplicar las limitaciones en las circunstancias mencionadas en el párrafo primero, letras a) y b), la ENISA consultará a los servicios pertinentes de la Comisión; a las instituciones, órganos y organismos pertinentes de la Unión; o a las autoridades competentes de los Estados miembros, a menos que para la ENISA resulte evidente que la aplicación de una limitación está prevista en uno de los actos a que se hace referencia en dichas letra s).

4.   Toda limitación deberá ser necesaria y proporcionada teniendo en cuenta los riesgos para los derechos y las libertades de los interesados y el respeto, en lo esencial, de los derechos y libertades fundamentales en una sociedad democrática.

5.   Si se estudia aplicar una limitación, deberá llevarse a cabo una evaluación de la necesidad y la proporcionalidad basada en las presentes normas. Esta se documentará con una nota interna de evaluación para cumplir con la obligación de rendir cuentas en cada caso.

6.   Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hubieran justificado; en particular, cuando se considere que el ejercicio del derecho limitado ya no anula el efecto de la limitación impuesta ni afecta negativamente a los derechos o las libertades de los demás interesados.

1.   La ENISA informará al responsable de protección de datos de la agencia (en lo sucesivo, «RPD»), sin dilaciones indebidas, de toda situación en que el responsable del tratamiento limite la aplicación de los derechos de los interesados o prorrogue la limitación de conformidad con la presente Decisión. El responsable del tratamiento proporcionará al RPD acceso al registro que contenga la evaluación de la necesidad y la proporcionalidad de la limitación y documentará en dicho registro la fecha de la notificación al RPD. La ENISA deberá involucrar al RPD en los procedimientos pertinentes y la intervención de este último deberá documentarse.

2.   El RPD podrá solicitar por escrito al responsable del tratamiento que revise la aplicación de las limitaciones. Este notificará por escrito al RPD el resultado de la revisión solicitada.

3.   El responsable del tratamiento notificará al RPD el levantamiento de las limitaciones.

1.   En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho a la información en el contexto de las siguientes operaciones de tratamiento:

En los avisos de protección de datos, las declaraciones de confidencialidad o los registros, en el sentido del artículo 31 del Reglamento (UE) n.o 2018/1725, publicados en el sitio web o en la intranet de la ENISA, donde se informe a los interesados de sus derechos en el marco de determinado procedimiento, la ENISA incluirá información sobre la posible limitación de dichos derechos. Esta información abarcará los derechos que pueden limitarse, las razones de la limitación y la posible duración de esta.

2.   Sin perjuicio de lo dispuesto en el apartado 3 del presente artículo, cuando resulte proporcionado, la ENISA también notificará de manera individualizada a todos los titulares de datos que se consideren interesados en la operación de tratamiento concreta cuáles son sus derechos con respecto a las limitaciones presentes o futuras, sin dilaciones indebidas y por escrito.

3.   Cuando la ENISA limite, total o parcialmente, la comunicación de información a los interesados a que se refiere el apartado 2 del presente artículo, hará constar los motivos de la limitación y el fundamento jurídico con arreglo al artículo 3 de la presente Decisión, incluida una evaluación de la necesidad y la proporcionalidad de la limitación.

La consignación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Previa solicitud, se pondrán a disposición del Supervisor Europeo de Protección de Datos.

4.   La limitación a que se refiere el apartado 3 del presente artículo seguirá aplicándose mientras persistan los motivos que la justifiquen.

Cuando desaparezcan los motivos que justifiquen la limitación, la ENISA informará al interesado de los principales motivos en que se hubiera basado la aplicación de la limitación. Al mismo tiempo, la ENISA informará al interesado del derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o a interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

La ENISA revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre de la investigación o el procedimiento pertinentes. Posteriormente, el responsable del tratamiento deberá supervisar cada seis meses la necesidad de mantener cualquier limitación.

1.   En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho de acceso, cuando resulte necesario y proporcionado, en el contexto de las siguientes operaciones de tratamiento:

Cuando los interesados soliciten el acceso a sus datos personales tratados en el contexto de uno o varios casos específicos o a una determinada operación de tratamiento, de conformidad con el artículo 17 del Reglamento (UE) n.o 2018/1725, la ENISA deberá circunscribir su evaluación de la solicitud exclusivamente a dichos datos personales.

2.   Cuando la ENISA limite, en su totalidad o en parte, el derecho de acceso a que se refiere el artículo 17 del Reglamento (UE) n.o 2018/1725, deberá adoptar las siguientes medidas:

La comunicación de la información mencionada en la letra a) podrá aplazarse, omitirse o denegarse en caso de que pudiera dejar sin efecto la limitación, con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) n.o 2018/1725.

La ENISA revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre de la investigación. Posteriormente, el responsable del tratamiento deberá supervisar cada seis meses la necesidad de mantener cualquier limitación.

3.   La consignación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

1.   En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho de rectificación, supresión y limitación, cuando resulte necesario y proporcionado, en el contexto de las siguientes operaciones de tratamiento:

2.   Cuando la ENISA limite, total o parcialmente, el ejercicio del derecho de rectificación, supresión o limitación del tratamiento a que se refieren el artículo 18; el artículo 19, apartado 1; y el artículo 20, apartado 1, del Reglamento (UE) n.o 2018/1725, adoptará las medidas contempladas en el artículo 6, apartado 2, de la presente Decisión y de conformidad con lo dispuesto en su artículo 6, apartado 3.

1.   En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho a la comunicación de una violación de la seguridad de los datos personales, cuando resulte necesario y proporcionado, en el contexto de las siguientes operaciones de tratamiento:

2.   En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas, cuando resulte necesario y proporcionado, en el contexto de las siguientes operaciones de tratamiento:

3.   Cuando la ENISA limite la comunicación de una violación de la seguridad de los datos personales al interesado o la confidencialidad de las comunicaciones electrónicas a que se refieren los artículos 35 y 36 del Reglamento (UE) n.o 2018/1725, deberá aplicar las disposiciones del artículo 5, apartado 3, de la presente Decisión. Será de aplicación el artículo 5, apartado 4, de la presente Decisión.

1.   La siguiente decisión establece las normas relativas a las condiciones en las que Fusión para la Energía, en el marco de sus procedimientos establecidos en el apartado 2, puede limitar la aplicación de los derechos previstos en los artículos 14 a 21, 35 y 36, y también de su artículo 4, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725.

2.   En el marco del funcionamiento administrativo de Fusión para la Energía, esta decisión se aplica a las operaciones de tratamiento de datos personales llevadas a cabo por Fusión para la Energía a los efectos de hacer indagaciones administrativas, incoar procedimientos disciplinarios, así como llevar a cabo actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF, tramitar casos de denuncia de irregularidades (whistleblowing), tratar procedimientos (formales e informales) para la prevención del acoso, tratar reclamaciones internas y externas, tratar datos médicos, realizar auditorías internas e investigaciones emprendidas por el delegado de protección de datos en consonancia con el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones en materia de seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE).

La presente Decisión también debe aplicarse a las actividades de ayuda y cooperación de Fusión para la Energía realizadas al margen de sus investigaciones administrativas para las autoridades nacionales y las organizaciones internacionales.

Además, esta decisión se aplica a las actividades relacionadas con la cooperación con las instituciones y organismos de la UE y con la transmisión de información relativa a una investigación administrativa o a un procedimiento disciplinario, cuando dicha información sea necesaria para que el destinatario evalúe los motivos para incoar un procedimiento o investigación formal.

3.   Las categorías de datos de que se trata son los datos sólidos (datos «objetivos», como los datos de identificación, los datos de contacto, los datos profesionales, los datos administrativos, los datos recibidos de determinadas fuentes y los datos de las comunicaciones y el tráfico electrónicos) y los datos frágiles (datos «subjetivos» relacionados con el caso, como el razonamiento, los datos de comportamiento, las valoraciones, los datos de actuación y conducta, y los datos relacionados con el objeto del procedimiento o la actividad o presentados en relación con estos).

4.   Cuando Fusión para la Energía realice sus funciones en relación con los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho reglamento.

5.   Con arreglo a las condiciones previstas en la presente Decisión, las limitaciones pueden aplicarse a los siguientes derechos: la comunicación de información a los interesados, el derecho de acceso, de rectificación, de supresión, la limitación del tratamiento, la comunicación de una violación de la seguridad de los datos personales al interesado y la confidencialidad de las comunicaciones.

1.   Las salvaguardas adoptadas para evitar las violaciones de datos, las filtraciones o las revelaciones no autorizadas son las siguientes:

2.   El responsable de las operaciones de tratamiento será Fusión para la Energía, representada por su director, quien podrá delegar la función de responsable del tratamiento de datos. Se informará a los interesados de la identidad del responsable del tratamiento delegado por medio de anuncios de protección de datos o de registros publicados en el sitio web o la intranet de Fusión para la Energía.

3.   El período de retención de los datos personales al que hace referencia el artículo 1, apartado 3, no superará el necesario ni el adecuado para los fines que justifiquen el tratamiento de los datos. En ningún caso deberá superar el período de retención especificado en los avisos sobre la protección de datos, las declaraciones de confidencialidad o los registros a los que se hace referencia en el artículo 5, apartado 1.

4.   Cuando Fusión para la Energía estudie aplicar una limitación, deberá sopesar el riesgo para los derechos y las libertades del interesado, en particular, respecto al riesgo para los derechos y las libertades de otros interesados y al riesgo de dejar sin efecto las investigaciones o los procedimientos emprendidos por Fusión para la Energía, por ejemplo, por la destrucción de pruebas. Los riesgos para los derechos y las libertades del interesado consisten principalmente, aunque no de manera exclusiva, en riesgos para la reputación y riesgos para el derecho a la defensa y a ser oído.

1.   Fusión para la Energía solo adoptará limitaciones para salvaguardar:

2.   Como aplicación concreta de los fines descritos en el apartado 1 anterior, Fusión para la Energía puede introducir limitaciones en relación con los datos personales compartidos con los servicios de la Comisión o demás instituciones, organismos, agencias y oficinas de la Unión, las autoridades competentes de los Estados miembros o de terceros países u organizaciones internacionales, en las siguientes circunstancias:

Antes de aplicar las limitaciones en las circunstancias mencionadas en el apartado 1, letras a) y b), Fusión para la Energía consultará a los servicios pertinentes de la Comisión, a las instituciones, a los organismos, las agencias y las oficinas pertinentes de la Unión o a las autoridades competentes de los Estados miembros, a menos que para Fusión para la Energía resulte evidente que la aplicación de una limitación está prevista en uno de los actos a que se hace referencia en esas disposiciones.

3.   Toda limitación deberá ser necesaria y proporcionada teniendo en cuenta los riesgos para los derechos y las libertades de los interesados y el respeto del contenido esencial de los derechos y las libertades fundamentales en una sociedad democrática.

4.   Si se estudia aplicar una limitación, deberá llevarse a cabo una prueba de la necesidad y la proporcionalidad basada en las presentes normas. Esta se documentará con una nota interna de evaluación para cumplir con la obligación de rendir cuentas en cada caso.

5.   Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hubieran justificado; en particular, cuando se considere que el ejercicio del derecho limitado ya no anula el efecto de la limitación impuesta ni afecta negativamente a los derechos o las libertades de los demás interesados.

1.   (El responsable de protección de datos de) Fusión para la Energía informará a su delegado de protección de datos (en lo sucesivo, «DPD»), sin dilaciones indebidas, de toda situación en la que el responsable del tratamiento limite la aplicación de los derechos de los interesados o prorrogue la limitación de conformidad con la presente Decisión. El responsable del tratamiento proporcionará al DPD acceso al registro que contenga la evaluación de la necesidad y la proporcionalidad de la limitación y documentará en dicho registro la fecha de la notificación al DPD.

2.   El DPD podrá solicitar por escrito al responsable del tratamiento que revise la aplicación de las limitaciones. Este notificará por escrito al DPD el resultado de la revisión solicitada.

3.   El responsable del tratamiento notificará al DPD el levantamiento de las limitaciones.

1.   En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho a la información en el contexto de las siguientes operaciones de tratamiento:

En los avisos de protección de datos, las declaraciones de confidencialidad y privacidad o los registros, en el sentido del artículo 31 del Reglamento (UE) 2018/1725, publicados en el sitio web o en la intranet donde se informe a los interesados de sus derechos en el marco de determinado procedimiento, Fusión para la Energía incluirá información relativa a la posible limitación de dichos derechos. La comunicación indicará qué derechos pueden ser objeto de limitaciones.

2.   Sin perjuicio de lo dispuesto en el apartado 3, cuando resulte proporcionado, Fusión para la Energía también notificará de manera individualizada a todos los titulares de datos que se consideren interesados en la operación de tratamiento concreta, cuáles son sus derechos con respecto a las limitaciones presentes o futuras, sin dilaciones indebidas y por escrito.

3.   Cuando Fusión para la Energía limite, total o parcialmente, la comunicación de información a los interesados a que se refiere el apartado 2, hará constar los motivos de la limitación y el fundamento jurídico con arreglo al artículo 3 de la presente Decisión, incluida una evaluación de la necesidad y la proporcionalidad de la limitación.

Se deberá registrar la consignación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes. Dicha consignación y dichos documentos se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

4.   La limitación a que se refiere el apartado 3 seguirá en vigor mientras los motivos que la justifiquen sigan siendo aplicables.

Cuando los motivos que justifiquen la limitación dejen de ser aplicables, Fusión para la Energía informará al interesado de los principales motivos en que se hubiera basado la aplicación de la limitación. Al mismo tiempo, Fusión para la Energía informará al interesado del derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o a interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

Fusión para la Energía revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre de la investigación o el procedimiento pertinentes. Posteriormente, el responsable del tratamiento deberá supervisar cada seis meses la necesidad de mantener cualquier limitación.

1.   En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho de acceso, cuando resulte necesario y proporcionado, en el contexto de las siguientes operaciones de tratamiento:

Cuando los interesados soliciten el acceso a sus datos personales tratados en el contexto de uno o varios casos específicos o respecto a una determinada operación de tratamiento, de conformidad con el artículo 17 del Reglamento (UE) 2018/1725, Fusión para la Energía deberá circunscribir su evaluación de la solicitud a dichos datos personales únicamente.

2.   Cuando Fusión para la Energía limite, en su totalidad o en parte, el derecho de acceso a que se refiere el artículo 17 del Reglamento (UE) 2018/1725, deberá adoptar las siguientes medidas:

La comunicación de la información mencionada en la letra a) podrá aplazarse, omitirse o denegarse en caso de que pudiera dejar sin efecto la limitación, con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) 2018/1725.

Fusión para la Energía revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre de la investigación o el procedimiento pertinentes. Posteriormente, el responsable del tratamiento deberá supervisar cada seis meses la necesidad de mantener cualquier limitación.

3.   Se deberá registrar la consignación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes. Dicha consignación y dichos documentos se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

1.   En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho de rectificación, supresión y limitación, cuando resulte necesario y proporcionado, en el contexto de las siguientes operaciones de tratamiento:

2.   Cuando Fusión para la Energía limite, total o parcialmente, la aplicación del derecho a la rectificación, supresión o limitación del tratamiento a que se refieren el artículo 18; el artículo 19, apartado 1, y el artículo 20, apartado 1, del Reglamento (UE) 2018/1725, adoptará las medidas contempladas en el artículo 6, apartados 2 y 3, de la presente Decisión.

1.   En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho a la comunicación de una violación de la seguridad de los datos personales, cuando resulte necesario y adecuado, en el contexto de las siguientes operaciones de tratamiento:

2.   En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas, cuando resulte necesario y proporcionado, en el contexto de las siguientes operaciones de tratamiento:

3.   Cuando Fusión para la Energía limite la comunicación de una violación de la seguridad de los datos personales al interesado o la confidencialidad de las comunicaciones electrónicas a que se refieren los artículos 35 y 36 del Reglamento (UE) 2018/1725, se aplicará lo dispuesto en el artículo 5, apartados 3 y 4, de la presente Decisión.