1.   Asetuksen (EU) 2018/1725, jäljempänä ’asetus’, 25 artiklan mukaisesti tässä päätöksessä vahvistetaan sellaisia edellytyksiä koskevat säännöt, joiden nojalla EUH voi 2 kohdassa tarkoitetun toimintansa yhteydessä rajoittaa asetuksen 14–21, 35 ja 36 artiklassa vahvistettujen oikeuksien ja velvollisuuksien soveltamista sekä 4 artiklan soveltamista, siltä osin kuin sen säännökset vastaavat 14–21 artiklassa säädettyjä oikeuksia ja velvollisuuksia.

2.   Päätöstä sovelletaan henkilötietojen käsittelyyn, jota EUH suorittaa seuraavia toimia varten:

Tässä päätöksessä edellä mainittuihin toimiin kuuluvat myös niihin suoraan liittyvät valmistelu- ja seurantatoimet.

3.   Edellä mainittujen toimien yhteydessä käsiteltävät henkilötiedot voivat sisältää asiatietoja ja arviointitietoja. Asiatietoihin kuuluvat henkilön tunnistamiseen liittyvät tiedot ja muut hallinnolliset yksityiskohdat, sähköisen viestinnän metatiedot ja liikennetiedot. Arviointitietoihin kuuluvat tilanteiden ja olosuhteiden kuvaus ja arviointi, lausunnot, rekisteröityihin liittyvät havainnot, rekisteröityjen käyttäytymisen tai suoriutumisen arviointi ja EUH:n hallinnolliseen toimintaan liittyvien yksittäisten päätösten perustelut.

1.   EUH ottaa rajoituksen kohteena olevia tietoja koskevien tietosuojaloukkausten, vuotojen ja luvattoman luovuttamisen välttämiseksi käyttöön erityisiä suojatoimia, joita ovat esimerkiksi

2.   Tietojenkäsittelytoimien yhteydessä rekisterinpitäjänä toimii EUH. Organisatoriset kokonaisuudet, jotka voivat rajoittaa 1 artiklan 1 kohdassa tarkoitettuja oikeuksia ja velvollisuuksia, ovat ne yksiköt, jotka vastaavat 1 artiklan 2 kohdassa kuvatuista toimista.

3.   Henkilötietoihin liittyvien oikeuksien ja velvollisuuksien rajoitusten olisi oltava voimassa ainoastaan rajoituksen tarkoituksen täyttymisen edellyttämän ajan. Rajoituksen kohteena olevien henkilötietojen säilytysaikaa määritettäessä on otettava huomioon käsittelyn tarkoitus sekä hallinnolliseen ja oikeudelliseen tarkasteluun tarvittava aika.

1.   EUH voi soveltaa tämän päätöksen mukaista rajoitusta tapauskohtaisesti seuraavien seikkojen turvaamiseksi:

2.   Jollei tämän päätöksen 4–8 artiklasta muuta johdu, EUH voi rajoittaa 1 artiklan 1 kohdassa tarkoitettuja oikeuksia ja velvollisuuksia siltä osin kuin on kyse toiselta unionin toimielimeltä, elimeltä tai laitokselta, jäsenvaltion tai kolmannen maan toimivaltaisilta viranomaisilta tai kansainväliseltä järjestöltä saaduista henkilötiedoista seuraavissa tapauksissa:

Ennen tämän kohdan mukaisen rajoituksen soveltamista EUH:n on kuultava asianomaista unionin toimielintä, elintä tai laitosta, kansainvälistä järjestöä tai jäsenvaltion toimivaltaisia viranomaisia, paitsi jos on aivan selvää, että rajoituksen soveltamisesta säädetään tässä kohdassa tarkoitetussa säädöksessä tai tällainen kuuleminen vaarantaisi EUH:n toiminnan.

3.   Ennen rajoituksen soveltamista EUH:n on harkittava, onko se tarpeen ja oikeasuhteista demokraattisessa yhteiskunnassa ja kunnioitetaanko siinä keskeisiltä osin rekisteröityjen perusoikeuksia ja -vapauksia.

Arvioidessaan kussakin tapauksessa rajoituksen tarpeellisuutta ja oikeasuhteisuutta EUH:n on

Tarpeellisuuden ja oikeasuhteisuuden arviointi samoin kuin rajoituksen syyt on dokumentoitava. Tätä varten jokainen rajoitus on kirjattava erikseen rekisterinpitäjän hallinnoimaan luetteloon, johon on merkittävä, miten 1 artiklan 1 kohdassa tarkoitettujen rajoitettujen oikeuksien ja velvollisuuksien käyttö vaarantaisi 1 artiklan 2 kohdassa tarkoitettujen toimien tarkoituksen tai vaikuttaisi haitallisesti muiden henkilöiden oikeuksiin ja vapauksiin. Asiakirjat, joista rajoituksen perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on myös rekisteröitävä. Näiden tietojen on oltava pyynnöstä Euroopan tietosuojavaltuutetun saatavilla.

Pääsyn luettelossa oleviin tietoihin, myös arviointimuistioon, on oltava rajattu niin kauan kuin sen perustelema rajoitus on voimassa 4 ja 5 kohdan mukaisesti.

4.   Rajoitus on poistettava heti, kun sitä oikeuttavat olosuhteet eivät enää ole voimassa.

5.   Tarvetta pitää rajoitus voimassa on tarkasteltava uudelleen sopivin väliajoin, vähintään kuuden kuukauden välein sen hyväksymisestä lähtien, ja joka tapauksessa 1 artiklan 2 kohdassa tarkoitettuihin toimiin liittyvän asiaankuuluvan menettelyn päättämisen yhteydessä.

1.   Jokaisen organisatorisen kokonaisuuden on ilman tarpeetonta viivytystä ilmoitettava tietosuojavastaavalle kirjallisesti, kun se rajoittaa 1 artiklan 1 kohdassa tarkoitettujen oikeuksien ja velvollisuuksien käyttöä, kun se tarkastelee rajoitusta uudelleen ja kun se pidentää rajoituksen voimassaoloa tai poistaa sen. Tietosuojavastaavalla on oltava pääsy 3 artiklan 3 kohdan mukaisiin tietoihin.

2.   Tietosuojavastaava voi pyytää rekisterinpitäjää kirjallisesti tarkastelemaan uudelleen rajoituksen soveltamista. Rekisterinpitäjän on ilmoitettava pyydetyn uudelleentarkastelun tuloksista kirjallisesti tietosuojavastaavalle.

3.   Tämän artiklan mukaiset asiakirjat on annettava pyynnöstä Euroopan tietosuojavaltuutetun käyttöön.

1.   EUH:n on julkaistava verkkosivustollaan tai intranetissä tietosuoja- ja tietoturvaseloste, joissa rekisteröidyille ilmoitetaan EUH:n toimista, joihin liittyy henkilötietojen käsittelyä, sekä rekisteröityjen oikeuksista ja näitä mahdollisesti koskevista rajoituksista.

2.   Rekisterinpitäjä voi rajoittaa tiedonsaantioikeutta 1 artiklan 2 kohdan i, ii, iii, iv, v, vi, viii, xi, xii ja xiii alakohdan mukaisten toimien osalta. Sanotun rajoittamatta 4 kohdan soveltamista ja kun se on oikeasuhteista, EUH:n on ilmoitettava rajoituksen soveltamisesta ilman aiheetonta viivytystä ja kirjallisesti erikseen jokaiselle asianomaiselle rekisteröidylle. Jos rekisteröidyn esittämä pyyntö hylätään rajoituksen vuoksi, rekisteröidyille on ilmoitettava rajoituksen pääasialliset syyt sekä se, että heillä on oikeus tehdä kantelu Euroopan tietosuojavaltuutetulle.

3.   Tämän artiklan mukaista rajoitusta on sovellettava 3 ja 4 artiklan mukaisesti.

4.   Ilmoitusta tämän päätöksen mukaisesta rajoituksesta voidaan lykätä, se voidaan jättää antamatta tai se voidaan evätä, jos se poistaisi rajoituksen vaikutuksen. Lykkäystä, antamatta jättämistä tai epäämistä sovelletaan 3 ja 4 artiklan säännösten mukaisesti.

1.   Asetuksen 17 artiklan mukaista pääsyä tietoihin voidaan rajoittaa 1 artiklan 2 kohdan i, ii, iii, iv, v, vi, vii, viii, x, xi, xii ja xiii alakohdan mukaisten toimien osalta.

2.   Jos rekisteröidyt pyytävät pääsyä tietyn 1 artiklan 2 kohdassa tarkoitetun toimen yhteydessä käsiteltäviin henkilötietoihinsa, EUH rajoittaa vastauksensa kyseisen toimen yhteydessä käsiteltyihin henkilötietoihin.

3.   Kun EUH rajoittaa kokonaan tai osittain asetuksen (EU) 2018/1725 17 artiklassa tarkoitettua rekisteröityjen oikeutta päästä henkilötietoihin, se ilmoittaa tietoihin pääsyä koskevaan rekisteröidyn pyyntöön antamassaan vastauksessa sovelletusta rajoituksesta ja sen pääasiallisista syistä kirjallisesti ja ilman aiheetonta viivytystä. Ilmoitusta rajoituksen syistä voidaan lykätä, se voidaan jättää antamatta tai se voidaan evätä niin kauan kuin se vaarantaisi rajoituksen tarkoituksen.

4.   EUH voi tapauskohtaisesti rajoittaa rekisteröityjen oikeutta saada suoraan pääsy luonteeltaan psykologisiin tai psykiatrisiin potilastietoihin, jos pääsy tällaisiin tietoihin on omiaan aiheuttamaan riskin rekisteröidyn terveydelle. Tämän rajoituksen on oltava oikeassa suhteessa siihen, mikä on ehdottoman välttämätöntä rekisteröidyn suojelemiseksi. Tällaisissa tapauksissa pääsy tietoihin on annettava rekisteröidyn valitsemalle lääkärille.

5.   Tämän artiklan mukaista rajoitusta on sovellettava 3, 4 ja 5 artiklan mukaisesti.

1.   Asetuksen 18 artiklan, 19 artiklan 1 kohdan ja 20 artiklan 1 kohdan mukaista oikeutta tietojen oikaisemiseen, tietojen poistamiseen ja käsittelyn rajoittamiseen voidaan rajoittaa 1 artiklan 2 kohdan i, ii, iii, iv, v, vi, vii, viii, ix, x, xi, xii ja xiii alakohdan mukaisten toimien osalta.

2.   Potilastietojen osalta rekisteröidyt voivat käyttää oikeuttaan oikaista EUH:n asiantuntijalääkärien tai lääketieteellisten neuvonantajien arviointeja tai lausuntoja esittämällä omat huomautuksensa tai valitsemansa lääkärin lausunnon.

3.   Tämän artiklan mukaista rajoitusta on sovellettava 3, 4 ja 5 artiklan mukaisesti.

1.   Asetuksen 35 artiklan mukaista oikeutta siihen, että rekisteröidylle ilmoitetaan henkilötietojen tietoturvaloukkauksesta, voidaan rajoittaa 1 artiklan 2 kohdan i, ii, iii, iv, v, vi, viii, xi, xii ja xiii alakohdan mukaisten toimien osalta.

2.   Tämän artiklan mukaista rajoitusta on sovellettava 3, 4 ja 5 artiklan mukaisesti.

1.   Velvollisuutta varmistaa sähköisen viestinnän luottamuksellisuus voidaan rajoittaa ainoastaan 1 artiklan 2 kohdan i, ii, iii, iv, xi, xii ja xiii alakohdan mukaisten toimien osalta seuraavissa poikkeustapauksissa:

2.   Tämän artiklan mukaista rajoitusta on sovellettava 3, 4 ja 5 artiklan mukaisesti.