1.   Tällä päätöksellä vahvistetaan säännöt edellytyksistä, joiden mukaisesti virasto voi hallinnollisten tutkimustensa ja kurinpitomenettelyjensä yhteydessä, kun se ilmoittaa tapauksista Euroopan petostentorjuntavirastolle asetuksen (EU, Euratom) N:o 883/2013 mukaisesti, rajoittaa asetuksen (EU) 2018/1725 25 artiklan nojalla 14–21, 35 ja 36 artiklassa sekä 4 artiklassa säädettyjen oikeuksien soveltamista siltä osin kuin sen säännökset vastaavat 14–21 artiklassa säädettyjä velvollisuuksia.

2.   Tätä päätöstä sovelletaan henkilötietojen käsittelytoimiin, joita virasto tekee suorittaessaan hallinnollisia tutkimuksiaan ja kurinpitomenettelyjään sekä alustavia toimiaan, jotka liittyvät Euroopan petostentorjuntavirastolle (asetuksen (EU, Euratom) N:o 883/2013 mukaisesti) ilmoitettuihin mahdollisiin sääntöjenvastaisuuksiin, käsitellessään väärinkäytösten paljastamismenettelyjä, (virallisia ja epävirallisia) häirintätapauksia koskevia menettelyjä sekä sisäisiä ja ulkoisia valituksia ja suorittaessaan sisäisiä tarkastuksia, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemiään tutkimuksia ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltyjä (tieto)turvatutkimuksia.

Tätä päätöstä olisi sovellettava myös viraston toimiin, jotka liittyvät viraston hallinnollisten tutkimustensa ulkopuolella unionin muille toimielimille, elimille ja laitoksille, jäsenvaltioiden toimivaltaisille viranomaisille ja kansainvälisille organisaatioille tarjoamaan apuun ja yhteistyöhön niiden toteuttamien käsittelytoimien suojaamiseksi.

Lisäksi tätä päätöstä sovelletaan toimiin, jotka liittyvät yhteistyöhön EU:n toimielinten ja elinten kanssa ja hallinnollista tutkimusta tai kurinpitomenettelyjä koskevien tietojen siirtämiseen EU:n toimielimille ja elimille silloin, kun vastaanottaja tarvitsee tällaisia tietoja arvioidakseen perusteita virallisen tutkimuksen tai virallisten menettelyjen käynnistämiseksi.

3.   Virasto käsittelee useita erilaisia henkilötietoryhmiä, kuten yksilöintitietoja, yhteystietoja ja työhön tai ammattiin liittyviä tietoja. Käsiteltävät tiedot voivat olla luotettavia tietoja (esimerkiksi hallinnolliset tiedot, puhelinnumero, yksityinen osoite, sähköiset viestit ja liikennetiedot) ja/tai varmentamattomia tietoja (esimerkiksi arviointiraportit, tutkimusten käynnistäminen, alustavia tutkimuksia koskevat raportit, todistajanlausuntojen ja tutkimuksiin liittyvien kuulemistilaisuuksien nauhoitukset/pöytäkirjat, henkilöstön jäsenten sosiaalinen toiminta ja käyttäytyminen, kommentit asianosaisen henkilöstön jäsenen kyvyistä ja tehokkuudesta jne.).

4.   Rekisteröityjen ryhmät, joihin tätä päätöstä voidaan soveltaa, ovat viraston nykyiset ja entiset työntekijät eli (entiset) toimihenkilöt, virkamiehet, kansalliset asiantuntijat ja harjoittelijat sekä viraston (entiset) toimeksisaajat.

5.   Tässä päätöksessä vahvistettujen edellytysten mukaisesti rajoituksia voidaan soveltaa seuraaviin oikeuksiin: tietojen antaminen ja ilmoittaminen henkilötietojen tietoturvaloukkauksesta rekisteröidyille asetuksen (EU) 2018/1725 16 ja 35 artiklan mukaisesti, rekisteröidyn oikeus saada pääsy tietoihin asetuksen (EU) 2018/1725 17 artiklan nojalla, oikeus tietojen oikaisemiseen, poistamiseen ja käsittelyn rajoittamiseen sekä oikaisua tai poistoa koskeva ilmoitusvelvollisuus asetuksen (EU) 2018/1725 18 artiklan, 19 artiklan 1 kohdan, 20 artiklan ja 21 artiklan nojalla.

1.   Euroopan lääkevirasto, jota edustaa sen toimitusjohtaja, on vastuussa oleva rekisterinpitäjä. Hallintoyksikön päällikkö on nimitetty sisäisesti toimimaan valtuutuksen nojalla tähän päätökseen liittyvien toimien rekisterinpitäjänä. Jos hallinnolliset tutkimukset tai kurinpitomenettelyt koskevat hallintoyksikön päällikköä, varatoimitusjohtaja toimii rekisterinpitäjänä kyseessä olevan tutkimuksen tai kyseessä olevien menettelyjen osalta.

2.   Henkilötietoja säilytetään sähköisinä tiedostoina ja/tai paperimuodossa. Henkilötietojen tietoturvaloukkausten, tietovuotojen tai luvattoman luovuttamisen välttämiseksi käytössä ovat seuraavat takeet:

3.   Sovellettavat säilytysajat ovat seuraavat:

4.   Rekisteröidyn oikeuksiin ja vapauksiin kohdistuvaan riskiin voi liittyä riskejä, jotka koskevat kyseessä olevan henkilön oikeutta yksityisten viestien luottamuksellisuuden kunnioittamiseen, oikeutta sananvapauteen ja tiedonvälityksen vapauteen sekä puolustautumisoikeutta ja oikeutta tulla kuulluksi. Näitä riskejä punnitaan tässä päätöksessä säädettyjen rajoitusten soveltamisen perusteita ja tarkoituksia vasten. Tämä punnitseminen dokumentoidaan asianmukaisesti ja toteutetaan tapauskohtaisen analyysin perusteella sen varmistamiseksi, että rajoitusta sovelletaan vain tarvittaessa ja oikeasuhteisesti sekä tässä päätöksessä vahvistettujen sääntöjen mukaisesti.

1.   Asetuksen (EU) 2018/1725 25 artiklan 1 kohdan nojalla rajoituksia sovelletaan ainoastaan seuraavien asioiden takaamiseksi:

2.   Virasto voi edellä 1 kohdassa kuvatun rajoituksen erityisenä soveltamistapana soveltaa rajoituksia komission yksiköiden tai muiden unionin toimielinten, elinten ja laitosten, jäsenvaltioiden toimivaltaisten viranomaisten tai kolmansien maiden tai kansainvälisten järjestöjen kanssa vaihdettaviin henkilötietoihin seuraavissa olosuhteissa:

Ennen rajoitusten soveltamista ensimmäisen alakohdan a ja b luetelmakohdassa tarkoitetuissa olosuhteissa viraston on kuultava asianomaisia komission yksiköitä, unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia paitsi, jos virastolle on selvää, että rajoituksen soveltamisesta säädetään jossakin kyseisissä luetelmakohdissa tarkoitetussa säädöksessä.

3.   Rajoitusten on oltava välttämättömiä ja oikeasuhteisia demokraattisessa yhteiskunnassa ja noudatettava keskeisiltä osin perusoikeuksia ja -vapauksia.

4.   Näiden sääntöjen perusteella on tehtävä tarpeellisuuden ja oikeasuhteisuuden testi. Se on dokumentoitava sisäisessä arviointimuistiossa tapauskohtaisesti vastuuvelvollisuutta varten.

5.   Rajoituksia on seurattava asianmukaisesti, ja vähintään kuuden kuukauden välein on suoritettava säännöllinen tarkistus, jossa arvioidaan, ovatko kunkin rajoituksen perusteena olleet edellytykset yhä voimassa.

6.   Rajoitukset on poistettava heti, kun niiden perusteena olleet edellytykset eivät ole enää voimassa, kuten tilanteessa, jossa rekisteröityjen oikeuksien käyttäminen (esimerkiksi tietojen antaminen tietojenkäsittelystä ja oikeus saada pääsy asiakirjoihin) ei enää vaaranna kyseessä olevan tutkimuksen tai menettelyn tarkoitusta.

1.   Rekisterinpitäjän on (viraston puolesta) ilman aiheetonta viivytystä ilmoitettava viraston tietosuojavastaavalle aina, kun se rajoittaa rekisteröityjen oikeuksia tämän päätöksen mukaisesti, ja tarjottava saataville rajoituksen välttämättömyyden ja suhteellisuuden arvioimista koskevat tiedot ja asiakirjat (mukaan lukien kaikki asiakirjat, jotka sisältävät taustalla olevia tosiasiallisia ja oikeudellisia seikkoja). Tätä vaatimusta sovelletaan myös myöhempiin rajoitusta koskeviin arviointeihin.

2.   Tietosuojavastaava voi pyytää rekisterinpitäjää kirjallisesti tarkastelemaan uudelleen rajoitusten soveltamista. Viraston on ilmoitettava tietosuojavastaavalle kirjallisesti pyydetyn uudelleentarkastelun tuloksista.

3.   Tiedonvaihto tietosuojavastaavan kanssa on tallennettava ja dokumentoitava kirjallisesti koko menettelyn ajalta.

1.   Viraston on sisällytettävä hallinnollisiin tutkimuksiin ja kurinpitomenettelyihin liittyvään ja viraston intranetissä julkaistavaan tietosuojaselosteeseen tiedot näiden oikeuksien mahdollisista rajoituksista. Tiedoissa on ilmoitettava, mitä oikeuksia voidaan rajoittaa, rajoittamisen syyt ja mahdollinen kesto.

2.   Lisäksi viraston on annettava ilman tarpeetonta viivytystä ja kirjallisesti yksilöllistä tietoa rekisteröidyille heidän oikeuksistaan liittyen nykyisiin tai tuleviin rajoituksiin, sanotun kuitenkaan rajoittamatta seuraavia kohtia.

3.   Jos virasto rajoittaa kokonaan tai osittain tietojen toimittamista rekisteröidyille tämän päätöksen mukaisesti, sen on kirjattava rajoituksen syyt sekä arvio rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta. Kirjatuissa tiedoissa on tällöin ilmoitettava, miten tietojen antaminen vaarantaisi kyseessä olevien tutkintatoimien tarkoituksen tai vaikuttaisi haitallisesti muiden oikeuksiin ja vapauksiin. Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on pyynnöstä annettava Euroopan tietosuojavaltuutetun käyttöön.

4.   Edellä 3 kohdassa tarkoitettua rajoitusta sovelletaan niin kauan kuin sen perusteet ovat voimassa. Kun rajoituksen syyt eivät enää ole voimassa, viraston on annettava kyseiset tiedot ja ilmoitettava rajoituksen syyt rekisteröidylle. Rekisteröidyt voivat esittää tietosuojavastaavalle kysymyksiä.

5.   Viraston on samalla ilmoitettava rekisteröidylle mahdollisuudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa.

6.   Viraston on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä menettelyn päättämisen yhteydessä.

1.   Jos rekisteröidyt pyytävät pääsyä yhden tai useamman erityistapauksen yhteydessä käsiteltäviin henkilötietoihinsa tai tiettyyn käsittelytoimeen asetuksen (EU) 2018/1725 17 artiklan mukaisesti, virasto rajoittaa pyynnön arvioinnin vain kyseisiin henkilötietoihin.

2.   Kun virasto kokonaan tai osittain rajoittaa asetuksen (EU) 2018/1725 17 artiklassa tarkoitettua rekisteröityjen oikeutta päästä henkilötietoihin, sen on toteutettava seuraavat toimenpiteet:

Edellä a alakohdassa tarkoitettua tietojen antamista voidaan lykätä, se voidaan jättää tekemättä tai se voidaan evätä asetuksen (EU) 2018/1725 25 artiklan 8 kohdan mukaisesti.

3.   Edellä 2 kohdan b alakohdassa tarkoitetut kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on pyynnöstä annettava Euroopan tietosuojavaltuutetun käyttöön. Tällöin sovelletaan asetuksen (EU) 2018/1725 25 artiklan 7 kohtaa.

1.   Jos virasto rajoittaa asetuksen (EU) 2018/1725 35 artiklan mukaista henkilötietojen tietoturvaloukkauksesta ilmoittamista rekisteröidylle, sen on kirjattava ja rekisteröitävä rajoituksen syyt tämän päätöksen 5 artiklan 3–6 kohdan mukaisesti.

2.   Jos virasto rajoittaa asetuksen (EU) 2018/1725 36 artiklassa tarkoitettua rekisteröidyn oikeutta sähköisen viestinnän luottamuksellisuuteen, sen on kirjattava ja rekisteröitävä syyt tähän rajoitukseen tämän päätöksen 5 artiklan 3–6 kohdan mukaisesti.