1.   La presente decisione stabilisce le norme interne relative alle condizioni alle quali l’ESMA, nel quadro delle attività stabilite nei paragrafi da 2 a 5, può limitare l’applicazione dei diritti sanciti negli articoli da 14 a 21 e 35, nonché nell’articolo 4 della presente, in base all’articolo 25 del regolamento (UE) 2018/1725. Dette limitazioni non pregiudicano le deroghe relative ai diritti degli interessati previste dal regolamento (UE) 2018/1725.

2.   Nel quadro del funzionamento amministrativo dell’ESMA, le limitazioni previste al paragrafo 1 del presente articolo si applicano al trattamento dei dati personali da parte dell’ESMA per i seguenti scopi:

3.   Nell’esercizio delle funzioni dell’ESMA, le limitazioni previste al paragrafo 1 del presente articolo si applicano al trattamento dei dati personali da parte dell’ESMA per i seguenti scopi:

4.   Inoltre, queste limitazioni si applicano all’assistenza, al coordinamento e/o alla cooperazione forniti dall’ESMA alle autorità nazionali e dei mercati, comprese le autorità di paesi terzi e le organizzazioni internazionali nel contesto delle indagini condotte per lo svolgimento delle relative funzioni statutarie.

5.   Le limitazioni citate al paragrafo 1 del presente articolo si applicano anche alle operazioni di trattamento effettuate prima dell’apertura delle indagini o altre inchieste amministrative di cui ai precedenti paragrafi da 2 a 4, durante tali indagini e durante il monitoraggio del seguito dato al relativo risultato finale.

6.   La presente decisione si applica a qualsiasi categoria di dati personali trattati nell’ambito delle attività di cui ai precedenti paragrafi da 2 a 5.

7.   Fatte salve le condizioni stabilite nella presente decisione, le limitazioni sono applicabili ai seguenti diritti: comunicazione di informazioni agli interessati, accesso, rettifica, cancellazione, limitazione del trattamento e comunicazione di una violazione dei dati personali all’interessato.

1.   Le garanzie predisposte per prevenire violazioni, sottrazioni o divulgazioni di dati personali non autorizzate nell’ambito delle indagini di cui all’articolo 1 sono le seguenti:

2.   Il titolare del trattamento è l’ESMA, rappresentata dal suo direttore esecutivo, il quale può delegare la funzione di titolare. Gli interessati sono informati dei titolari del trattamento delegati attraverso i registri relativi alla protezione dei dati personali pubblicati sul sito Internet dell’ESMA.

3.   Il periodo di conservazione dei dati personali non deve essere superiore a quanto necessario e opportuno per le finalità del trattamento. Il periodo di conservazione deve essere specificato nei registri relativi alla protezione dei dati personali e nelle informative sulla privacy di cui all’articolo 5, paragrafo 1.

4.   Qualora l’ESMA consideri di applicare una limitazione, [necessario valutare il rischio per i diritti e le libertà dell’interessato, in particolare rispetto al rischio per i diritti e le libertà degli altri interessati e al rischio di annullare gli effetti delle indagini o delle procedure dell’ESMA, ad esempio distruggendo elementi di prova. I rischi per i diritti e le libertà dell’interessato riguardano principalmente, ma non esclusivamente, i rischi legati alla reputazione e i rischi per il diritto di difesa e al contraddittorio.

1.   Eventuali limitazioni vengono applicate dall’ESMA esclusivamente per salvaguardare:

2.   Come applicazione specifica delle finalità descritte nel precedente paragrafo 1, l’ESMA può applicare limitazioni riguardanti i dati personali scambiati con i servizi della Commissione o altre istituzioni, organi e organismi dell’Unione, autorità competenti degli Stati membri o paesi terzi o organizzazioni internazionali nei seguenti casi:

3.   Le eventuali limitazioni sono necessarie e proporzionate tenuto conto dei rischi per i diritti e le libertà degli interessati e rispettano l’essenza dei diritti e delle libertà fondamentali in una società democratica.

4.   Se si considera l’applicazione di limitazioni, deve essere effettuata una verifica della necessità e della proporzionalità sulla base delle presenti regole. Tale procedura è documentata mediante una nota di valutazione interna ed è effettuata caso per caso.

5.   Le limitazioni sono revocate non appena le condizioni che le giustificano cessino di sussistere. In particolare, laddove si ritenga che l’esercizio del diritto ristretto non annullerebbe più l’effetto della limitazione imposta né lederebbe i diritti e le libertà degli altri interessati.

1.   Il titolare del trattamento informa senza indebito ritardo il responsabile della protezione dei dati (RDP) ogniqualvolta il suddetto limiti l’applicazione dei diritti degli interessati o estenda la limitazione a norma della presente decisione. Il titolare del trattamento fornisce al RPD l’accesso alla nota interna contenente la valutazione della necessità e della proporzionalità della limitazione nonché, ove applicabile, i relativi elementi di fatto e di diritto che ne costituiscono la base e documenta la data in cui ha informato il RPD.

2.   Il RPD può chiedere per iscritto al titolare del trattamento di riesaminare l’applicazione della limitazione. Il titolare del trattamento informa per iscritto il RPD circa l’esito del riesame richiesto.

3.   Il titolare del trattamento informa il RPD quando la limitazione viene revocata.

4.   Il titolare del trattamento documenta il coinvolgimento del RPD durante le varie fasi del processo, a partire dalla data in cui ha informato il RPD.

5.   La nota interna e, ove applicabile, gli elementi di fatto e di diritto che ne costituiscono la base vengono messi a disposizione del Garante europeo della protezione dei dati su richiesta.

1.   L’ESMA pubblica, sul proprio sito web, i registri relativi alla protezione dei dati che informano tutti gli interessati delle proprie attività che comportano il trattamento di dati personali, comprese le informazioni relative alla potenziale limitazione dei diritti degli interessati.

2.   L’ESMA notifica a tutti gli interessati, ovvero le persone che considera interessate dall’indagine o dall’inchiesta, la documentazione relativa alla protezione dei dati personali delle specifiche operazioni di trattamento in questione, senza indebito ritardo e per iscritto.

3.   In casi debitamente giustificati e alle condizioni prescritte dalla presente decisione, l’ESMA può limitare, in tutto o in parte, la comunicazione di informazioni agli interessati di cui al paragrafo 2. In tal caso, registra in una nota interna i motivi della limitazione e la base giuridica conformemente all’articolo 3 della presente decisione, compresa una valutazione della necessità e della proporzionalità della limitazione.

4.   La limitazione di cui al paragrafo 3 continua ad applicarsi finché permangono i motivi che la giustificano.

Laddove i motivi della limitazione non si applichino più, l’ESMA notifica alla persona interessata la relativa documentazione sulla protezione dei dati personali e le ragioni principali della limitazione. Tale notifica può essere accompagnata da un invito a presentare i risultati dell’indagine o dell’inchiesta in corso, nell’ambito dell’esercizio dei diritti di difesa della persona interessata. Nel contempo, l’ESMA informa l’interessato in merito al diritto di presentare reclamo al Garante europeo della protezione dei dati in qualsiasi momento o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

L’ESMA riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.

1.   A seguito di una richiesta dell’interessato, l’ESMA può limitare, in tutto o in parte, il diritto dell’interessato di ottenere la conferma se i dati personali che lo riguardano sono stati o meno trattati dall’ESMA nel contesto di un’indagine o di un’inchiesta di cui all’articolo 1 della presente decisione e, in tal caso, il diritto di accesso a tali dati e altre informazioni di cui all’articolo 17 del regolamento (UE) 2018/1725.

2.   Nel caso in cui l’ESMA limiti il diritto di accesso, deve informare l’interessato, nella propria risposta alla richiesta, in merito alla limitazione applicata e ai principali motivi della stessa, nonché della possibilità di presentare reclamo al Garante europeo della protezione dei dati o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

3.   La comunicazione di informazioni di cui al paragrafo 2 può essere rinviata, omessa o negata se annullasse l’effetto della limitazione in conformità dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725. Nel qual caso, l’ESMA registra in una nota di valutazione interna i motivi della limitazione, compresa un esame della necessità, della proporzionalità della limitazione e della sua durata.

4.   L’ESMA riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.

1.   A seguito di una richiesta dell’interessato, l’ESMA può, nel contesto di un’indagine o di un’inchiesta di cui all’articolo 1 della presente decisione, limitare, in tutto o in parte, il diritto di tale interessato ad ottenere la rettifica dei dati personali che lo riguardano, a cancellare o a limitare il trattamento dei suoi dati personali come previsto dagli articoli 18, 19 e 20 del regolamento (UE) 2018/1725.

2.   Laddove l’ESMA limiti l’applicazione del diritto di rettifica, cancellazione o limitazione del trattamento di cui sopra, adotta i provvedimenti di cui all’articolo 6, paragrafi 2 e 3, della presente decisione.

3.   L’ESMA riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.

1.   L’ESMA comunica una violazione dei dati personali all’interessato senza indebito ritardo qualora tale violazione presenti verosimilmente un rischio elevato per i diritti e le libertà delle persone fisiche, come previsto dall’articolo 35 del regolamento (UE) 2018/1725.

2.   In casi debitamente giustificati e alle condizioni previste nella presente decisione, l’ESMA può limitare, in tutto o in parte, la comunicazione di informazioni ai soggetti interessati di cui al paragrafo 1 del presente articolo. In tal caso, registra in una nota interna i motivi della limitazione e la base giuridica conformemente all’articolo 3 della presente decisione, compresa una valutazione della necessità e della proporzionalità della limitazione.

3.   La limitazione di cui al paragrafo 2 continua ad applicarsi finché permangono i motivi che la giustificano.

Laddove i motivi della limitazione non si applichino più, l’ESMA comunica la violazione dei dati personali al soggetto interessato in questione informandolo dei motivi principali della limitazione. Nel contempo, l’ESMA informa l’interessato in merito al diritto di presentare reclamo al Garante europeo della protezione dei dati in qualsiasi momento o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

L’ESMA riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.