1.   Tässä päätöksessä vahvistetaan sisäiset säännöt edellytyksille, joiden täyttyessä ESMA voi 2–5 kohdassa esitettyjen toimiensa yhteydessä rajoittaa 14–21 ja 35 artiklassa sekä 4 artiklassa vahvistettujen oikeuksien soveltamista asetuksen (EU) 2018/1725 25 artiklan mukaisesti. Nämä rajoitukset eivät vaikuta asetuksessa (EU) 2018/1725 säädettyihin rekisteröityjen oikeuksia koskeviin poikkeuksiin.

2.   Tämän artiklan 1 kohdassa tarkoitettuja rajoituksia sovelletaan ESMAn hallinnollisen toiminnan yhteydessä, kun ESMA käsittelee henkilötietoja seuraavia tarkoituksia varten:

3.   Tämän artiklan 1 kohdassa tarkoitettuja rajoituksia sovelletaan ESMAn tehtävien suorittamisen yhteydessä, kun ESMA käsittelee henkilötietoja seuraavia tarkoituksia varten:

4.   Lisäksi näitä rajoituksia sovelletaan apuun, koordinointiin ja/tai yhteistyöhön, jota ESMA tarjoaa kansallisille arvopaperi- ja markkinaviranomaisille, myös kolmansien maiden viranomaisille, ja kansainvälisille järjestöille niiden lakisääteisten tehtävien täyttämiseksi tehtävien tutkimusten yhteydessä.

5.   Tämän artiklan 1 kohdassa tarkoitettuja rajoituksia sovelletaan myös käsittelytoimiin, joita toteutetaan ennen edellä mainittujen tutkimusten aloittamista, tai muihin edellä 2–4 kohdassa tarkoitettuihin hallinnollisiin tutkimuksiin näiden tutkimusten aikana sekä tutkimusten tuloksista johtuvien jatkotoimien seurannan aikana.

6.   Tätä päätöstä sovelletaan kaikkiin edellä 2–5 kohdassa tarkoitettujen toimien yhteydessä käsiteltyjen tietojen ryhmiin.

7.   Rajoitukset voivat koskea seuraavia oikeuksia, jos tässä päätöksessä esitetyistä edellytyksistä ei muuta johdu: tietojen antaminen rekisteröidyille, oikeus saada pääsy tietoihin, oikaista tiedot, poistaa tiedot, rajoittaa käsittelyä ja oikeus henkilötietojen tietoturvaloukkauksesta ilmoittamiseen rekisteröidylle.

1.   Seuraavat suojatoimet ovat käytössä, jotta voidaan välttää henkilötietojen tietoturvaloukkaukset, vuodot tai luvaton luovuttaminen 1 artiklassa tarkoitettujen tutkimusten yhteydessä:

2.   Käsittelytoimien rekisterinpitäjä on ESMA, jota edustaa sen pääjohtaja, joka voi siirtää rekisterinpitäjän tehtävän eteenpäin. Rekisteröidyille ilmoitetaan rekisterinpitäjän tehtävän siirtämisestä tietosuojaselosteissa, jotka julkaistaan ESMAn verkkosivustolla.

3.   Käsiteltäviä henkilötietoja on säilytettävä ainoastaan niin kauan kuin on tarpeellista ja asianmukaista tietojenkäsittelyn tarkoitusta varten.Säilytysaika ilmoitetaan 5 artiklan 1 kohdassa tarkoitetuissa tietosuojaselosteissa ja tietoturvaselosteissa.

4.   Jos ESMA aikoo soveltaa rajoitusta, rekisteröidyn oikeuksia ja vapauksia koskevia riskejä punnitaan erityisesti muiden rekisteröityjen oikeuksia ja vapauksia koskevan riskin perusteella sekä sen riskin perusteella, että ESMAn tutkimusten tai menettelyjen vaikutus poistuu esimerkiksi sen vuoksi, että todisteita tuhotaan. Rekisteröidyn oikeuksia ja vapauksia koskevat riskit liittyvät etupäässä muun muassa maineriskeihin sekä riskeihin, jotka koskevat oikeutta puolustautua ja oikeutta tulla kuulluksi.

1.   ESMAn on sovellettava rajoituksia vain seuraavien takaamiseksi:

2.   ESMA voi edellä 1 kohdassa kuvatun rajoituksen erityisenä soveltamistapana soveltaa rajoituksia komission yksiköiden tai muiden unionin toimielinten, elinten ja laitosten, jäsenvaltioiden toimivaltaisten viranomaisten tai kolmansien maiden tai kansainvälisten järjestöjen kanssa vaihdettaviin henkilötietoihin seuraavissa olosuhteissa:

3.   Kaikkien rajoitusten on oltava tarpeellisia ja oikeasuhteisia, ja niissä on otettava huomioon riskit rekisteröityjen oikeuksille ja vapauksille ja noudatettava olennaisilta osin perusoikeuksia ja -vapauksia demokraattisessa yhteiskunnassa.

4.   Jos rajoituksen soveltamista harkitaan, on tehtävä tarpeellisuuden ja oikeasuhteisuuden testi näiden sääntöjen perusteella. Se on dokumentoitava sisäisessä arviointimuistiossa tapauskohtaisesti vastuuvelvollisuutta varten.

5.   Rajoitukset on poistettava heti, kun niitä oikeuttavat olosuhteet eivät enää ole voimassa. Tämä pätee etenkin, jos katsotaan, että rajoitetun oikeuden käyttö ei enää poistaisi säädetyn rajoituksen vaikutusta tai että se vaikuttaa haitallisesti muiden rekisteröityjen oikeuksiin tai vapauksiin.

1.   Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle ilman aiheetonta viivytystä aina, kun rekisterinpitäjä rajoittaa tämän päätöksen mukaisesti rekisteröityjen oikeuksien soveltamista tai jatkaa rajoitusta. Rekisterinpitäjän on annettava tietosuojavastaavalle pääsy sisäiseen muistioon, jossa on arviointi rajoituksen tarpeellisuudesta ja oikeasuhteisuudesta ja tarvittaessa perustana oleva tosiseikat ja lakisääteiset tiedot, sekä kirjattava päivämäärä, jona tietosuojavastaavalle ilmoitettiin.

2.   Tietosuojavastaava voi pyytää kirjallisesti rekisterinpitäjää tarkastelemaan uudelleen rajoitusten soveltamista. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle kirjallisesti pyydetyn uudelleentarkastelun tuloksista.

3.   Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle, kun rajoitus on poistettu.

4.   Rekisterinpitäjän on dokumentoitava tietosuojavastaavan osallistuminen prosessin eri vaiheisiin alkaen päivästä, jona tietosuojavastaavalle ilmoitettiin.

5.   Sisäinen muistio ja tarvittaessa perustana olevat tosiseikat ja lakisääteiset tiedot on annettava Euroopan tietosuojavaltuutetun saataville pyynnöstä.

1.   ESMAn on julkaistava verkkosivustollaan tietosuojaselosteet, joilla tiedotetaan kaikille rekisteröidyille sen toimista, joihin liittyy henkilötietojen käsittelyä, ja annettava myös tiedot rekisteröityjen oikeuksien mahdollisesta rajoittamisesta.

2.   ESMAn on erikseen ilmoitettava kaikille tutkimuksen tai tutkinnan kohteena oleville rekisteröidyille kyseessä olevien erityisten käsittelytoimien tietosuojaselosteesta ilman aiheetonta viivytystä ja kirjallisesti.

3.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä määrätyin ehdoin ESMA voi rajoittaa kokonaan tai osittain tietojen antamista 2 kohdassa tarkoitetuille rekisteröidyille. Tässä tapauksessa sen on dokumentoitava sisäiseen muistioon rajoituksen perusteet, oikeusperusta tämän päätöksen 3 artiklan mukaisesti, sekä rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointi.

4.   Edellä 3 kohdassa tarkoitettua rajoitusta sovelletaan niin kauan kuin sen perusteet ovat voimassa.

Kun rajoituksen perusteet eivät enää ole voimassa, ESMAn on ilmoitettava kyseessä olevalle rekisteröidylle asiaankuuluvasta tietosuojaselosteesta ja rajoituksen pääasiallisista syistä. Tähän ilmoitukseen voidaan liittää pyyntö esittää huomautuksia käynnissä olevan tutkimuksen tai tutkinnan havainnoista osana kyseessä olevan rekisteröidyn puolustusoikeuksien käyttämistä. ESMAn on samalla ilmoitettava rekisteröidylle mahdollisuudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa.

ESMAn on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkimuksen tai tutkinnan päättämisen yhteydessä.

1.   Rekisteröidyn pyynnön jälkeen ESMA voi rajoittaa kokonaan tai osittain kyseisen rekisteröidyn oikeutta saada vahvistus siitä, käsitteleekö ESMA häntä koskevia henkilötietoja tämän päätöksen 1 artiklassa tarkoitetun tutkimuksen tai tutkinnan yhteydessä, ja jos käsittelee, näihin tietoihin ja muihin asetuksen (EU) 2018/1725 17 artiklassa tarkoitettuihin tietoihin pääsyä koskevaa oikeutta.

2.   Jos ESMA rajoittaa oikeutta päästä tietoihin, sen on asianomaisen rekisteröidyn pyyntöön antamassaan vastauksessa ilmoitettava sovellettavasta rajoituksesta ja sen pääasiallisista syistä sekä mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa.

3.   Edellä 2 kohdassa tarkoitettua ilmoitusta voidaan lykätä, se voidaan jättää antamatta tai se voidaan evätä, jos se poistaisi asetuksen (EU) 2018/1725 25 artiklan 8 kohdan nojalla asetetun rajoituksen vaikutuksen. Jos on kyse tästä, ESMAn on dokumentoitava sisäiseen arviointimuistioon rajoituksen syyt, myös rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointi sekä sen kesto.

4.   ESMAn on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkimuksen tai menettelyn päättämisen yhteydessä.

1.   Rekisteröidyn pyynnön jälkeen ESMA voi tämän päätöksen 1 artiklassa tarkoitetun tutkimuksen tai tutkinnan yhteydessä rajoittaa kokonaan tai osittain kyseisen rekisteröidyn oikeutta saada häneen liittyvät henkilötiedot oikaistuiksi tai oikeutta poistaa henkilötiedot tai rajoittaa niiden käsittelyä asetuksen (EU) 2018/1725 18, 19 ja 20 artiklan mukaisesti.

2.   Jos ESMA rajoittaa edellä mainitun käsittelyn oikaisua, poistamista tai rajoittamista koskevan oikeuden soveltamista, sen on toteutettava tämän päätöksen 6 artiklan 2 ja 3 kohdassa esitetyt toimenpiteet.

3.   ESMAn on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkimuksen tai menettelyn päättämisen yhteydessä.

1.   ESMAn on ilmoitettava henkilötietojen tietoturvaloukkauksesta kyseessä olevalle rekisteröidylle ilman aiheetonta viivytystä, kun tietoturvaloukkaus todennäköisesti aiheuttaa suuren riskin luonnollisen henkilön oikeuksille ja vapauksille asetuksen (EU) 2018/1725 35 artiklan mukaisesti.

2.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä määrätyin ehdoin ESMA voi rajoittaa kokonaan tai osittain tietojen antamista tämän artiklan 1 kohdassa tarkoitetuille rekisteröidyille. Tässä tapauksessa sen on dokumentoitava sisäiseen muistioon rajoituksen perusteet, oikeusperusta tämän päätöksen 3 artiklan mukaisesti, sekä rajoituksen tarpeellisuuden ja oikeasuhteisuuden arviointi.

3.   Edellä 2 kohdassa tarkoitettua rajoitusta sovelletaan niin kauan kuin sen perusteet ovat voimassa.

Kun rajoituksen perusteet eivät enää ole voimassa, ESMAn on ilmoitettava kyseessä olevalle rekisteröidylle henkilötietojen tietoturvaloukkauksesta ja rajoituksen pääasiallisista syistä. ESMAn on samalla ilmoitettava rekisteröidylle mahdollisuudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai käyttää muita oikeussuojakeinoja Euroopan unionin tuomioistuimessa.

ESMAn on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen käyttöön ottamisesta sekä asiaankuuluvan tutkimuksen tai tutkinnan päättämisen yhteydessä.