1.   Dit besluit stelt algemene regels vast met betrekking tot de voorwaarden waaronder, overeenkomstig artikel 25, lid 1, van de EUDPR, verwerkingsverantwoordelijken beperkingen mogen opleggen aan de toepassing, naargelang van het geval, van de artikelen 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 en 36 van de EUDPR, alsook van artikel 4 van de EUDPR, voor zover de bepalingen hiervan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 22 van de EUDPR voorzien.

2.   Voor de toepassing van dit besluit wordt verstaan onder:

3.   Dit besluit is van toepassing op de verwerking van persoonsgegevens ten behoeve van de activiteiten en procedures van het Comité. Het is niet van toepassing wanneer een op grond van de Verdragen vastgestelde rechtshandeling voorziet in een beperking van de rechten van betrokkenen.

4.   De verwerkingsverantwoordelijke in de zin van artikel 3, lid 8, van de EUDPR is het Comité, dat de verantwoordelijkheid voor het bepalen van het doel van en de middelen voor de verwerking van persoonsgegevens kan delegeren.

5.   Voor elke verwerking, beperking, opschorting, achterwegelating of weigering van informatie wordt een verwerkingsverantwoordelijke aangewezen overeenkomstig de relevante interne besluiten, procedures en uitvoeringsvoorschriften van het Comité.

1.   Alvorens krachtens artikel 3, lid 1, beperkingen toe te passen gaan verwerkingsverantwoordelijken na of in de verordening vastgestelde uitzonderingen of afwijkingen van toepassing zijn, met name die waarin artikel 15, lid 4, artikel 16, lid 5, artikel 19, lid 3, artikel 25, leden 3 en 4, en artikel 35, lid 3, van de EUDPR voorzien.

2.   Voor de toepassing van afwijkingen gelden passende waarborgen in overeenstemming met artikel 13 van de EUDPR en artikel 6 van dit besluit.

1.   Verwerkingsverantwoordelijken kunnen beperkingen opleggen aan de toepassing van de artikelen 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 en 36 van de EUDPR, en van artikel 4 van de EUDPR, voor zover de bepalingen hiervan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 22 van de EUDPR voorzien, indien de uitoefening van hun rechten door betrokkenen een negatieve weerslag zou hebben op het doel of het resultaat van een of meer activiteiten of procedures van het Comité, met name:

2.   De in lid 1 bedoelde beperkingen kunnen betrekking hebben op zowel objectieve (“harde gegevens”) als subjectieve (“zachte gegevens”) persoonsgegevens. Het gaat hierbij met name, maar niet uitsluitend, om een of meer van de volgende categorieën:

3.   Beperkingen moeten het wezen van de grondrechten en fundamentele vrijheden eerbiedigen, een noodzakelijke en evenredige maatregel vormen in een democratische samenleving en beperkt blijven tot wat strikt noodzakelijk is om het doel ervan te verwezenlijken.

4.   Elke volledige of gedeeltelijke beperking van de toepassing van artikel 36 van de EUDPR (Vertrouwelijkheid van elektronische communicatie) moet overeenkomstig lid 1 in overeenstemming zijn met het toepasselijke EU-recht inzake de privacy van elektronische communicatie (15).

5.   Verwerkingsverantwoordelijken evalueren periodiek de toepassing van de in lid 1 bedoelde beperkingen: ten minste om de zes maanden na de vaststelling ervan, maar ook wanneer essentiële en doorslaggevende elementen van de zaak veranderen en bij het afronden of beëindigen van de activiteit of procedure die de aanleiding vormde voor de beperkingen. Daarna gaan zij jaarlijks na of een beperking moet worden gehandhaafd.

6.   De in lid 1 bedoelde beperkingen blijven van kracht zolang de redenen ter rechtvaardiging ervan van toepassing zijn. Wanneer de redenen voor een beperking als bedoeld in lid 1 vervallen, heffen de verwerkingsverantwoordelijken die beperking op.

7.   Bij de verwerking van persoonsgegevens die het Comité in het kader van zijn taken van derden krijgt, dienen deze door verwerkingsverantwoordelijken geraadpleegd te worden over mogelijke redenen voor het opleggen van beperkingen en over de noodzakelijkheid en evenredigheid van deze beperkingen, tenzij dit de activiteiten van het Comité negatief zou beïnvloeden.

1.   Alvorens beperkingen toe te passen, beoordelen verwerkingsverantwoordelijken per geval of die noodzakelijk en evenredig zijn.

2.   Telkens wanneer verwerkingsverantwoordelijken de noodzaak en de evenredigheid van een beperking beoordelen, houden zij rekening met de potentiële risico’s voor de rechten en vrijheden van de betrokkenen.

3.   De beoordeling van de risico’s voor de rechten en vrijheden van de betrokkenen die voortvloeien uit het opleggen van beperkingen, met name het risico dat hun persoonsgegevens zonder hun medeweten verder worden verwerkt en dat zij ervan weerhouden worden om hun rechten overeenkomstig de verordening uit te oefenen, alsmede de looptijd van deze beperkingen, worden geregistreerd in het register van de verwerkingsactiviteiten dat door verwerkingsverantwoordelijken op grond van artikel 31, lid 1, van de EUDPR wordt bijgehouden. De risicobeoordeling wordt ook opgenomen in eventuele effectbeoordelingen van de gegevensbescherming met betrekking tot die beperkingen die krachtens artikel 39 van de EUDPR worden uitgevoerd.

1.   Wanneer verwerkingsverantwoordelijken beperkingen toepassen, registreren zij het volgende:

2.   De in lid 1 genoemde registers worden ondergebracht in het in artikel 31, lid 5, van de EUDPR genoemde centrale register en de EDPS krijgt daar desgevraagd toegang toe.

3.   Wanneer verwerkingverantwoordelijken de toepassing van artikel 35 van de EUDPR (Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene) beperken, wordt het in lid 1 genoemde register opgenomen in de melding aan de EDPS waarin artikel 34, lid 1, van de EUDPR voorziet.

1.   Verwerkingsverantwoordelijken voeren waarborgen in om misbruik en onrechtmatige toegang tot of doorgifte van persoonsgegevens waarvoor overeenkomstig artikel 3, lid 1, beperkingen kunnen gelden, te voorkomen. Deze waarborgen omvatten passende technische en organisatorische maatregelen en worden voor zover noodzakelijk uitvoerig gespecificeerd in interne besluiten, procedures en uitvoeringsvoorschriften van het Comité.

2.   De waarborgen als bedoeld in lid 1 omvatten:

3.   De persoonsgegevens worden bewaard overeenkomstig de van toepassing zijnde regels van het Comité voor bewaring (16), die moeten worden gedefinieerd in het overeenkomstig artikel 31, lid 1, van de EUDPR door verwerkingsverantwoordelijken bij te houden register. Aan het einde van de bewaringstermijn worden de persoonsgegevens indien nodig op zo’n manier gewist, geanonimiseerd dat de betrokkene niet of niet meer identificeerbaar is, of overeenkomstig artikel 13 van de EUDPR naar de archieven van het Comité overgeheveld.

1.   De gegevensbeschermingsmededelingen op de openbare website en het intranet van het Comité dienen een onderdeel te bevatten waarin betrokkenen algemene informatie krijgen over de mogelijke beperking van hun rechten in het kader van activiteiten en procedures van het Comité die betrekking hebben op de verwerking van hun persoonsgegevens. In dit onderdeel worden de rechten opgesomd die kunnen worden beperkt, de grondslagen voor de eventuele beperkingen, de mogelijke duur van die beperkingen en de administratieve en rechtsmiddelen waarover betrokkenen beschikken.

2.   Wanneer verwerkingsverantwoordelijken beperkingen toepassen, stellen zij elke betrokkene onverwijld en in de meest geschikte vorm rechtstreeks in kennis van:

3.   Niettegenstaande lid 2 stellen verwerkingsverantwoordelijken, wanneer zij in uitzonderlijke gevallen de toepassing van artikel 35 van de EUDPR (Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene) beperken, betrokkenen op de hoogte van een inbreuk in verband met hun persoonsgegevens en verstrekken zij de informatie als bedoeld in lid 2, punten b), d) en e), zodra de redenen voor het beperken van die communicatie komen te vervallen.

4.   Niettegenstaande lid 2 verstrekken verwerkingsverantwoordelijken, wanneer zij in uitzonderlijke gevallen de toepassing van artikel 36 van de EUDPR (Vertrouwelijkheid van elektronische communicatie) beperken, de informatie als bedoeld in lid 2 in hun antwoord op enigerlei verzoek van de betrokkene.

5.   Verwerkingsverantwoordelijken kunnen het verstrekken van de informatie als bedoeld in lid 2 uitstellen, achterwege laten of weigeren (“uitstel, achterwegelating of weigering van informatie”) indien dit het effect van de beperking teniet zou doen. Zij verstrekken de betrokkene de informatie als bedoeld in lid 2 zodra de beperking hierdoor niet meer haar effectiviteit verliest.

6.   Artikelen 4 en 5 zijn van overeenkomstige toepassing op elk geval waarin de verstrekking van informatie wordt uitgesteld, achterwege gelaten of geweigerd.

1.   Verwerkingverantwoordelijken stellen de DPO zonder onnodige vertraging schriftelijk in kennis wanneer zij de rechten van een betrokkene beperken op grond van artikel 3, lid 1, de periodieke toetsingen als bedoeld in artikel 3, lid 5, verrichten, beperkingen opheffen zoals bepaald in artikel 3, lid 6, of overeenkomstig artikel 7, lid 5, de verstrekking van informatie als bedoeld in artikel 7, lid 2, uitstellen, achterwege laten of weigeren. Desgevraagd krijgt de DPO toegang tot de bijbehorende registers en tot alle documenten die onderliggende feitelijke en juridische elementen bevatten.

2.   De DPO kan verwerkingsverantwoordelijken verzoeken om enigerlei bestaande beperkingen alsmede gevallen waarin informatie is uitgesteld achterwege gelaten of geweigerd, en de toepassing daarvan, tegen het licht te houden. De DPO wordt schriftelijk in kennis gesteld van het resultaat hiervan.

3.   De betrokkenheid van de functionaris voor gegevensbescherming als bedoeld in de leden 1 en 2 met betrekking tot de toepassing van beperkingen en het uitstellen, achterwege laten of weigeren van informatie, ook informatie die met de DPO wordt gedeeld, wordt naar behoren gedocumenteerd door de verwerkingsverantwoordelijken.

4.   Desgevraagd verstrekt de DPO aan de verwerkingsverantwoordelijken advies over de vaststelling van hun verantwoordelijkheden in het kader van een regeling voor gezamenlijke verwerkingsverantwoordelijkheid overeenkomstig artikel 28, lid 1, van de EUDPR.

1.   In voorkomend geval geeft de secretaris-generaal instructies of stelt hij of zij uitvoeringsmaatregelen vast om indien nodig de bepalingen van dit besluit, met inachtneming daarvan, nader te specificeren en te implementeren.

2.   Dit besluit treedt in werking op de twintigste dag na de bekendmaking ervan in het Publicatieblad van de Europese Unie.