”Lissabonin sopimuksen tultua voimaan 1 päivänä joulukuuta 2009 Euroopan unioni on korvannut Euroopan yhteisön, jonka seuraaja se on, ja käyttää mainitusta päivästä alkaen kaikkia Euroopan yhteisön oikeuksia ja ottaa vastatakseen kaikki Euroopan yhteisön velvoitteet. Pöytäkirjassa ja sopimuksessa olevat viittaukset ’Euroopan yhteisöön’ tai ’yhteisöön’ on siten ymmärrettävä viittauksiksi ’Euroopan unioniin’ tai ’unioniin’.”

1.   Tässä päätöksessä vahvistetaan niitä edellytyksiä koskevat säännöt, joiden mukaan virasto voi 2 kohdassa määritetyissä menettelyissään rajoittaa asetuksen (EU) 2018/1725 14–21, 35 ja 36 sekä 4 artiklan mukaisten oikeuksien soveltamista saman asetuksen 25 artiklan nojalla.

2.   Viraston toiminnan yhteydessä tätä päätöstä sovelletaan viraston seuraavia tarkoituksia varten suorittamiin henkilötietojen käsittelytoimiin: hallinnollisten tutkimusten tekeminen, kurinpitomenettelyt, alustavat toimet, jotka liittyvät Euroopan petostentorjuntavirastolle ilmoitettuihin mahdollisiin säännönvastaisuuksiin, väärinkäytösten paljastamismenettelyjen käsittely, (viralliset ja epäviralliset) häirintätapauksia koskevat menettelyt, sisäisten ja ulkoisten valitusten käsittely, sisäisten tarkastusten tekeminen, tietosuojavastaavan asetuksen (EU) 2018/1725 45 artiklan 2 kohdan mukaisesti tekemät tutkimukset ja sisäisesti tai ulkoisella tuella (esim. EU:n toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän avulla) käsiteltävät (tieto)turvatutkimukset.

3.   Kyseessä olevat tietoryhmät ovat kovia tietoja (”objektiivisia” tietoja, kuten tunnistetietoja, yhteystietoja, ammatillisia tietoja, hallinnollisia tietoja, erityisistä lähteistä saatuja tietoja, sähköistä viestintää ja liikennettä koskevia tietoja) ja/tai pehmeitä tietoja (tapaukseen liittyviä ”subjektiivisia” tietoja, kuten päättelyä, käyttäytymistietoja, arviointeja, suorituskykyä ja suoriutumista koskevia tietoja ja menettelyn tai toimen aiheeseen liittyviä tai sen yhteydessä esitettyjä tietoja).

4.   Kun virasto suorittaa rekisteröityjen oikeuksia koskevia velvollisuuksiaan asetuksen (EU) 2018/1725 mukaisesti, sen on otettava huomioon, sovelletaanko jotakin kyseisessä asetuksessa säädettyä poikkeusta.

5.   Rajoitukset voivat koskea seuraavia oikeuksia, jos tässä päätöksessä esitetyistä ehdoista ei muuta johdu: tietojen antaminen rekisteröidyille, oikeus saada pääsy tietoihin, oikaista tiedot, poistaa tiedot, rajoittaa käsittelyä, oikeus henkilötietojen tietoturvaloukkauksesta ilmoittamiseen rekisteröidylle tai oikeus tietojen luottamuksellisuuteen. Henkilöstösääntöjen 5 artiklan 4 kohdan mukaisesti hyväksytään täten tämän päätöksen liitteessä olevat taulukot, joissa esitetään vastaavuus toimien tyyppien ja Euroopan meriturvallisuusviraston virkamiehiä ja väliaikaisia toimihenkilöitä varten käytettävien toimien nimikkeiden välillä.

1.   Käsittelytoimissa rekisterinpitäjänä on virasto, jota edustaa sen pääjohtaja, ja tämä voi delegoida rekisterinpitäjän tehtävän eteenpäin. Rekisteröidyille on ilmoitettava valtuutetusta rekisterinpitäjästä tietosuojaselosteissa tai viraston verkkosivuilla ja/tai intranetissä julkaistavissa selosteissa.

2.   Edellä 1 artiklan 3 kohdassa tarkoitettuja henkilötietoja on säilytettävä ainoastaan niin kauan kuin on tarpeellista ja asianmukaista tietojenkäsittelyn tarkoitusta varten. Säilytysaika ei saa missään tapauksessa olla pidempi kuin tietoturvaselosteissa, tietosuojaselosteissa tai 5 artiklan 1 kohdassa tarkoitetuissa tiedoissa määritetty säilytysaika.

3.   Jos virasto aikoo soveltaa rajoitusta, rekisteröidyn oikeuksia ja vapauksia koskevia riskejä punnitaan erityisesti muiden rekisteröityjen oikeuksia ja vapauksia koskevan riskin perusteella sekä sen riskin perusteella, että viraston tutkimusten tai menettelyjen vaikutus poistuu esimerkiksi todisteiden tuhoutumisen vuoksi. Rekisteröidyn oikeuksia ja vapauksia koskevat riskit liittyvät etupäässä muun muassa maineriskeihin sekä riskeihin, jotka koskevat oikeutta puolustautua ja oikeutta tulla kuulluksi.

1.   Virasto soveltaa rajoituksia vain, jotta voitaisiin taata

2.   Virasto voi edellä 1 kohdassa kuvatun rajoituksen erityisenä soveltamistapana soveltaa rajoituksia seuraavissa olosuhteissa:

Ennen rajoitusten soveltamista ensimmäisen alakohdan a ja b luetelmakohdassa tarkoitetuissa olosuhteissa viraston on kuultava asianomaisia komission yksiköitä, unionin toimielimiä, elimiä ja laitoksia tai jäsenvaltioiden toimivaltaisia viranomaisia paitsi, jos virastolle on selvää, että rajoituksen soveltamisesta säädetään jossakin kyseisissä luetelmakohdissa tarkoitetussa säädöksessä.

3.   Kaikkien rajoitusten on oltava tarpeellisia ja oikeasuhteisia rekisteröityjen oikeuksille ja vapauksille koituviin riskeihin nähden, ja niissä on noudatettava olennaisilta osin perusoikeuksia ja -vapauksia demokraattisessa yhteiskunnassa.

4.   Jos rajoituksen soveltamista harkitaan, on tehtävä tarpeellisuuden ja oikeasuhteisuuden testi kuuden (6) kuukauden välein näiden sääntöjen perusteella. Se on dokumentoitava sisäisessä arviointimuistiossa tapauskohtaisesti vastuuvelvollisuutta varten.

5.   Rajoitukset on poistettava heti, kun niitä oikeuttavat olosuhteet eivät enää ole voimassa. Tämä pätee etenkin, jos katsotaan, että rajoitetun oikeuden käyttö ei enää poistaisi säädetyn rajoituksen vaikutusta tai että se vaikuttaisi haitallisesti muiden rekisteröityjen oikeuksiin tai vapauksiin.

1.   Viraston on ilmoitettava viraston tietosuojavastaavalle viipymättä aina, kun rekisterinpitäjä rajoittaa rekisteröidyn henkilön oikeuksia tai laajentaa rajoitusta tämän päätöksen mukaisesti. Rekisterinpitäjän on annettava tietosuojavastaavalle pääsy kirjattuihin tietoihin, jotka sisältävät rajoituksen tarpeellisuuden ja oikeasuhteisuuden arvioinnin, ja dokumentoitava päivämäärä, jona tietosuojavastaavalle ilmoitettiin kirjatuista tiedoista.

2.   Tietosuojavastaava voi pyytää kirjallisesti rekisterinpitäjää tarkastelemaan uudelleen rajoitusten soveltamista. Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle kirjallisesti pyydetyn uudelleentarkastelun tuloksista.

3.   Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle, kun rajoitus on poistettu.

1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä määrätyin ehdoin rekisterinpitäjä voi rajoittaa oikeutta saada tietoja seuraavien käsittelytoimien yhteydessä:

Viraston on sisällytettävä tietosuojaselosteisiin, tietosuojaperiaatteisiin tai asetuksen (EU) 2018/1725 31 artiklassa tarkoitettuun käsittelytoimia koskevaan selosteisiin, jotka julkaistaan sen verkkosivuilla ja/tai intranetissä ja joissa kerrotaan rekisteröidyille näiden oikeuksista tietyssä menettelyssä, myös tietoa näiden oikeuksien mahdollisesta rajoittamisesta. Tiedoissa on ilmoitettava, mitä oikeuksia voidaan rajoittaa, rajoittamisen syyt ja mahdollinen kesto.

2.   Sen estämättä, mitä 3 kohdan määräyksissä määrätään, viraston on, aina kun se on asianmukaista, ilmoitettava erikseen kaikille rekisteröidyille, jotka ovat asianosaisia henkilöitä tietyssä käsittelytoimessa, heidän oikeuksistaan, jotka liittyvät nykyisiin tai tuleviin rajoituksiin, viipymättä ja kirjallisesti.

3.   Jos virasto rajoittaa, kokonaan tai osittain, 2 kohdassa tarkoitettujen rekisteröityjen tiedonsaantia, sen on dokumentoitava rajoituksen syyt ja oikeusperusta tämän päätöksen 3 artiklan mukaisesti sekä arviointi rajoituksen välttämättömyydestä ja oikeasuhteisuudesta.

Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on annettava pyynnöstä Euroopan tietosuojavaltuutetun käyttöön.

4.   Edellä 3 kohdassa tarkoitettua rajoitusta sovelletaan niin kauan kuin sen perusteet ovat voimassa.

Jos rajoituksen perusteita ei voida enää soveltaa, viraston on annettava rekisteröidylle tietoa tärkeimmistä perusteista, joihin rajoituksen soveltaminen pohjautuu. Viraston on samalla ilmoitettava rekisteröidylle tämän oikeudesta tehdä milloin tahansa kantelu Euroopan tietosuojavaltuutetulle tai oikeudesta käyttää oikeussuojakeinoja Euroopan unionin tuomioistuimessa.

Viraston on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen määräämisestä ja asianmukaisen tutkimuksen, menettelyn tai tutkinnan päättyessä. Tämän jälkeen rekisterinpitäjän on seurattava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa.

1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta saada pääsy tietoihin seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja oikeasuhteista:

Jos rekisteröidyt pyytävät pääsyä yhden tai useamman asian yhteydessä tai tietyssä käsittelytoimessa käsiteltäviin henkilötietoihinsa asetuksen (EU) 2018/1725 17 artiklan mukaisesti, viraston on rajattava pyynnön arviointi vain näihin henkilötietoihin.

2.   Kun virasto kokonaan tai osittain rajoittaa asetuksen (EU) 2018/1725 17 artiklassa tarkoitettua rekisteröityjen oikeutta päästä henkilötietoihin, sen on toteutettava seuraavat toimenpiteet:

Edellä a luetelmakohdassa tarkoitettua ilmoitusta voidaan lykätä, se voidaan jättää antamatta tai se voidaan evätä, jos se poistaisi asetuksen (EU) 2018/1725 25 artiklan 8 kohdan nojalla asetetun rajoituksen vaikutuksen.

Viraston on tarkasteltava rajoituksen soveltamista uudelleen kuuden kuukauden välein sen määräämisestä ja asianmukaisen tutkinnan päättyessä. Tämän jälkeen rekisterinpitäjän on seurattava kuuden kuukauden välein, onko rajoitus tarpeen pitää voimassa.

3.   Kirjatut tiedot ja tarvittaessa asiakirjat, joista perusteena olevat seikat tai oikeudelliset syyt käyvät ilmi, on rekisteröitävä. Ne on annettava pyynnöstä Euroopan tietosuojavaltuutetun käyttöön.

1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta tietojen oikaisemiseen, tietojen poistamiseen ja käsittelyn rajoittamiseen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:

2.   Jos virasto rajoittaa, kokonaan tai osittain, oikeutta oikaista tai poistaa tietoja ja rajoittaa niiden käsittelyä asetuksen (EU) 2018/1725 18 artiklan, 19 artiklan 1 kohdan ja 20 artiklan 1 kohdan mukaisesti, sen on toimittava tämän päätöksen 6 artiklan 2 kohdassa määrätyllä tavalla ja merkittävä tiedot rekisteriin tämän päätöksen 6 artiklan 3 kohdan mukaisesti. Sanotun rajoittamatta edellä mainittuja toimenpiteitä kaikki rajoitukset on tarkastettava tämän päätöksen 3 artiklan 4 kohdan mukaisesti.

1.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta saada ilmoitus henkilötietojen tietoturvaloukkauksesta seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:

2.   Asianmukaisesti perustelluissa tapauksissa ja tässä päätöksessä esitetyin edellytyksin rekisterinpitäjä voi rajoittaa oikeutta sähköisen viestinnän luottamuksellisuuteen seuraavien käsittelytoimien yhteydessä, kun se on tarpeellista ja asianmukaista:

3.   Jos virasto rajoittaa rekisteröidyn oikeutta saada ilmoitus henkilötietojen tietoturvaloukkauksesta tai oikeutta luottamukselliseen sähköiseen viestintään asetuksen (EU) 2018/1725 35 ja 36 artiklan mukaisesti, sen on dokumentoitava ja ilmoitettava rajoituksen syyt tämän päätöksen 5 artiklan 3 kohdan mukaisesti. Tämän päätöksen 5 artiklan 4 kohtaa on sovellettava. Sanotun rajoittamatta edellä mainittuja toimenpiteitä kaikki rajoitukset on tarkastettava tämän päätöksen 3 artiklan 4 kohdan mukaisesti.