1.   La presente decisione stabilisce norme interne relative alle condizioni alle quali l’ABE, nel quadro delle attività di cui ai paragrafi da 2 a 5, può limitare l’applicazione dei diritti sanciti negli articoli da 14 a 21 e nell’articolo 35, nonché nell’articolo 4 della presente, sulla base dell’articolo 25 del regolamento (UE) 2018/1725. Dette limitazioni non pregiudicano le deroghe relative ai diritti degli interessati previste dal regolamento (UE) 2018/1725.

2.   Nell’ambito dell’operato dell’ABE, le limitazioni previste al paragrafo 1 si applicano al trattamento dei dati personali da parte dell’Autorità per i seguenti scopi:

3.   Nell’esercizio delle funzioni dell’ABE, le limitazioni previste al paragrafo 1 si applicano al trattamento dei dati personali da parte dell’Autorità per uno dei seguenti scopi:

4.   Inoltre, queste limitazioni si applicano all’assistenza, al coordinamento e/o alla cooperazione forniti dall’ABE alle autorità competenti definite all’articolo 4, punto 2), del regolamento (UE) n. 1093/2010, comprese le autorità di paesi terzi e le organizzazioni internazionali nel contesto delle indagini condotte per lo svolgimento delle relative funzioni statutarie.

5.   Le limitazioni menzionate al paragrafo 1 si applicano anche alle operazioni di trattamento effettuate prima dell’apertura delle indagini o altre indagini amministrative di cui ai paragrafi da 2 a 4, durante tali indagini e durante il monitoraggio del seguito dato al relativo risultato finale.

6.   La presente decisione si applica a qualsiasi categoria di dati personali trattati nell’ambito delle attività di cui ai paragrafi da 2 a 5.

7.   Fatte salve le condizioni stabilite nella presente decisione, le limitazioni sono applicabili ai seguenti diritti: comunicazione di informazioni agli interessati, accesso, rettifica, cancellazione, limitazione del trattamento e comunicazione di una violazione dei dati personali all’interessato.

1.   Le garanzie predisposte per prevenire abusi o l’accesso o il trasferimento illeciti nell’ambito delle indagini di cui all’articolo 1 sono le seguenti:

2.   Il titolare del trattamento è l’ABE, rappresentata dal suo direttore esecutivo. Gli interessati sono informati in merito ai titolari del trattamento delegati mediante i registri relativi alla protezione dei dati pubblicati sul sito internet dell’ABE.

3.   Il periodo di conservazione dei dati personali non è superiore a quanto necessario e opportuno per le finalità del trattamento. Il periodo di conservazione è specificato nei registri relativi alla protezione dei dati e nelle informative sulla privacy di cui all’articolo 5, paragrafo 1.

4.   Qualora l’ABE consideri di applicare una limitazione, si valuta il rischio per i diritti e le libertà dell’interessato, in particolare a fronte del rischio per i diritti e le libertà di altri interessati e del rischio di annullare gli effetti delle indagini o delle procedure dell’ABE, ad esempio distruggendo gli elementi di prova. I rischi per i diritti e le libertà dell’interessato riguardano principalmente, ma non esclusivamente, i rischi legati alla reputazione e i rischi per il diritto di difesa e il diritto di essere ascoltato.

1.   A norma dell’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725, eventuali limitazioni vengono applicate dall’ABE esclusivamente per salvaguardare:

2.   Come applicazione specifica delle finalità descritte nel precedente paragrafo 1, l’ABE può applicare limitazioni riguardanti i dati personali scambiati con i servizi della Commissione o altre istituzioni, organi e organismi dell’Unione, autorità competenti degli Stati membri o paesi terzi o organizzazioni internazionali, qualora si verifichino una o più delle seguenti circostanze:

Prima di applicare limitazioni nei casi di cui al primo comma, lettere a) e b), l’ABE consulta i servizi della Commissione, le istituzioni, gli organi e gli organismi pertinenti dell’Unione o le autorità competenti degli Stati membri, a meno che all’ABE non risulti evidente che l’applicazione di una limitazione è prevista in virtù di uno degli atti di cui alle summenzionate lettere.

3.   Le eventuali limitazioni sono necessarie e proporzionate tenuto conto dei rischi per i diritti e le libertà degli interessati e rispettano l’essenza dei diritti e delle libertà fondamentali in una società democratica.

4.   Se è presa in considerazione la possibilità di applicare limitazioni, è effettuata una verifica della necessità e della proporzionalità sulla base delle presenti norme. Tale procedura è documentata mediante una nota di valutazione interna ed è effettuata caso per caso.

5.   Le limitazioni sono revocate non appena le condizioni che le giustificano cessino di sussistere, in particolare laddove si ritenga che l’esercizio del diritto ristretto non annullerebbe più l’effetto della limitazione imposta o lederebbe i diritti e le libertà degli altri interessati.

1.   Ogniqualvolta intenda limitare l’applicazione dei diritti degli interessati o estenda la limitazione a norma della presente decisione, il titolare del trattamento ne informa senza indebito ritardo il RPD. Il titolare del trattamento fornisce al RPD l’accesso alla nota interna contenente la valutazione della necessità e della proporzionalità della limitazione nonché, ove applicabile, i relativi elementi di fatto e di diritto che ne costituiscono la base e documenta la data in cui ha informato il RPD.

2.   Il RPD può chiedere per iscritto al titolare del trattamento di riesaminare l’applicazione della limitazione. Il titolare del trattamento informa per iscritto il RPD circa l’esito del riesame richiesto.

3.   Il titolare del trattamento informa il RPD quando la limitazione viene revocata.

4.   Il titolare del trattamento documenta il coinvolgimento del RPD durante le varie fasi del processo, a partire dalla data in cui ha informato il RPD.

5.   La nota interna e, ove applicabile, gli elementi di fatto e di diritto che ne costituiscono la base sono messi a disposizione del Garante europeo della protezione dei dati su richiesta.

1.   L’ABE pubblica sul proprio sito web i registri relativi alla protezione dei dati che informano tutti gli interessati delle proprie attività che comportano il trattamento di dati personali, comprese le informazioni relative alla potenziale limitazione dei diritti degli interessati a norma dell’articolo 3 della presente decisione. Tali informazioni riguardano i diritti che possono essere oggetto di limitazioni, i motivi per cui possono essere applicate tali limitazioni e la durata potenziale delle stesse.

2.   L’ABE notifica a tutti gli interessati, ovvero le persone che considera interessate dall’indagine o dall’inchiesta, la documentazione relativa alla protezione dei dati personali riguardante i trattamenti specifici in questione, senza indebito ritardo e per iscritto.

3.   In casi debitamente giustificati e alle condizioni prescritte dalla presente decisione, l’ABE può limitare, in tutto o in parte, la comunicazione di informazioni agli interessati di cui al paragrafo 2. In tal caso, l’Autorità registra in una nota interna i motivi della limitazione e la base giuridica conformemente all’articolo 3 della presente decisione, compresa una valutazione della necessità e della proporzionalità della limitazione.

4.   La limitazione di cui al paragrafo 3 continua ad applicarsi finché permangono i motivi che la giustificano.

Laddove i motivi della limitazione non siano più d’applicazione, l’ABE notifica all’interessato la pertinente documentazione relativa alla protezione dei dati e le ragioni principali della limitazione. Tale notifica può essere accompagnata da un invito a presentare le conclusioni dell’indagine o dell’inchiesta in corso, nell’ambito dell’esercizio dei diritti di difesa dell’interessato in questione. Nel contempo, l’ABE informa l’interessato in merito al diritto di presentare reclamo al Garante europeo della protezione dei dati in qualsiasi momento o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

L’ABE riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.

1.   A seguito di una richiesta dell’interessato, l’ABE può limitare, in tutto o in parte, il diritto dell’interessato in questione di ottenere la conferma se i dati personali che lo riguardano vengono o non vengono trattati dall’ABE nell’ambito di un’indagine o di un’inchiesta di cui all’articolo 1 della presente decisione e, in tal caso, il diritto di accesso a tali dati e ad altre informazioni di cui all’articolo 17 del regolamento (UE) 2018/1725.

2.   Nel caso in cui l’ABE limiti il diritto di accesso, l’Autorità informa l’interessato, nella propria risposta alla richiesta, in merito alla limitazione applicata e ai principali motivi della stessa, nonché alla possibilità di presentare reclamo al Garante europeo della protezione dei dati o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

3.   La comunicazione di informazioni di cui al paragrafo 2 può essere rinviata, omessa o negata se annullasse l’effetto della limitazione imposta in conformità dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725. Nel qual caso, l’ABE registra in una nota di valutazione interna i motivi della limitazione, compresa una valutazione della necessità, della proporzionalità della limitazione e della sua durata.

4.   L’ABE riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.

1.   A seguito di una richiesta dell’interessato, l’ABE può, nell’ambito di un’indagine o di un’inchiesta di cui all’articolo 1 della presente decisione, limitare, in tutto o in parte, il diritto di tale interessato a ottenere la rettifica dei dati personali che lo riguardano, a cancellare o a limitare il trattamento dei suoi dati personali come previsto dagli articoli 18, 19 e 20 del regolamento (UE) 2018/1725.

2.   Laddove l’ABE limiti l’applicazione del diritto di rettifica, cancellazione o limitazione del trattamento di cui sopra, l’Autorità adotta i provvedimenti di cui all’articolo 6, paragrafo 2 e documenta i motivi della limitazione a norma dell’articolo 6, paragrafo 3.

3.   L’ABE riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.

1.   L’ABE comunica una violazione dei dati personali all’interessato senza indebito ritardo qualora tale violazione presenti verosimilmente un rischio elevato per i diritti e le libertà delle persone fisiche, come previsto dall’articolo 35 del regolamento (UE) 2018/1725.

2.   In casi debitamente giustificati e alle condizioni previste nella presente decisione, l’ABE può limitare, in tutto o in parte, la comunicazione di informazioni agli interessati di cui al paragrafo 1 del presente articolo. In tal caso, l’Autorità registra in una nota interna i motivi della limitazione e la base giuridica conformemente all’articolo 3 della presente decisione, compresa una valutazione della necessità e della proporzionalità della limitazione.

3.   La limitazione di cui al paragrafo 2 continua ad applicarsi finché permangono i motivi che la giustificano.

Laddove i motivi della limitazione non siano più d’applicazione, l’ABE comunica la violazione dei dati personali all’interessato in questione informandolo dei motivi principali della limitazione. Nel contempo, l’ABE informa l’interessato in merito al diritto di presentare reclamo al Garante europeo della protezione dei dati in qualsiasi momento o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

L’ABE riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta o dell’indagine pertinente.