1.   Dit besluit bevat interne voorschriften betreffende de voorwaarden waaronder ESMA in het kader van de in de paragrafen 2 tot en met 5 beschreven activiteiten de toepassing kan beperken van de in de artikelen 14 tot en met 21, en artikel 35 vervatte rechten, alsmede van artikel 4, in overeenstemming met artikel 25 van Verordening (EU) 2018/1725. Deze beperkingen laten de vrijstellingen van de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 onverlet.

2.   In het kader van de administratieve werking van ESMA zijn de in lid 1 van dit artikel bedoelde beperkingen van toepassing op de verwerking van persoonsgegevens door ESMA met het oog op:

3.   In het kader van de uitvoering van de taakopdrachten van ESMA, zijn de in lid 1 van dit artikel bedoelde beperkingen van toepassing op de verwerking van persoonsgegevens door ESMA met het oog op:

4.   Bovendien zijn deze beperkingen van toepassing op de bijstand, coördinatie en/of samenwerking die ESMA verleent aan nationale effecten- en marktautoriteiten, met inbegrip van autoriteiten van derde landen, en aan internationale organisaties in het kader van de onderzoeken die voor de uitvoering van hun wettelijke taken worden verricht.

5.   De in lid 1 van dit artikel bedoelde beperkingen gelden ook voor verwerkingen voorafgaand aan de opening van onderzoeken of andere administratieve enquêtes als bedoeld in de leden 2 tot en met 4 hierboven, tijdens deze onderzoeken en tijdens het toezicht op de follow-up van deze onderzoeken.

6.   Dit besluit is van toepassing op alle categorieën van persoonsgegevens die worden verwerkt in het kader van de in de leden 2 tot en met 5 beschreven activiteiten.

7.   Onder voorbehoud van de voorwaarden van dit besluit kunnen de beperkingen van toepassing zijn op de volgende rechten: informatieverstrekking aan betrokkenen, recht van toegang, rectificatie, uitwissing, beperking van de verwerking, mededeling van een inbreuk in verband met de persoonsgegevens aan de betrokkene.

1.   De bestaande waarborgen ter voorkoming van inbreuken op persoonsgegevens, lekken of ongeoorloofde bekendmaking in het kader van de in artikel 1 bedoelde onderzoeken zijn:

2.   De verantwoordelijke voor de verwerkingsactiviteiten is ESMA, vertegenwoordigd door haar uitvoerend directeur, die deze verantwoordelijkheid kan delegeren.Betrokkenen worden geïnformeerd over de gedelegeerde verantwoordelijke door middel van gegevensbeschermingsaantekeningen die op de website van ESMA worden gepubliceerd.

3.   De verwerkte persoonsgegevens worden niet langer bewaard dan noodzakelijk en passend is voor de doeleinden waarvoor de gegevens worden verwerkt. De bewaringstermijn wordt gespecificeerd in de in artikel 5, lid 1, bedoelde gegevensbeschermingsaantekeningen en privacyverklaringen.

4.   Wanneer ESMA overweegt een beperking in te stellen, wordt het risico voor de rechten en vrijheden van de betrokkene in het bijzonder afgewogen tegen het risico voor de rechten en vrijheden van andere betrokkenen en het risico van teloorgang van het effect van de onderzoeken of procedures van ESMA, bijvoorbeeld door het vernietigen van bewijsmateriaal. De risico’s voor de rechten en vrijheden van de betrokkene hebben voornamelijk betrekking op, maar zijn niet beperkt tot, reputatieschade en het recht zich te verdedigen en gehoord te worden.

1.   ESMA zal iedere beperking uitsluitend toepassen om het volgende te waarborgen:

2.   Als een specifieke toepassing van de in lid 1 beschreven doeleinden, kan ESMA beperkingen opleggen met betrekking tot persoonsgegevens die worden uitgewisseld met de diensten van de Commissie of andere instellingen, organen en instanties van de Unie, bevoegde autoriteiten van lidstaten of derde landen of internationale organisaties, in de volgende situaties:

3.   Elke beperking is noodzakelijk en evenredig, waarbij rekening wordt gehouden met de risico’s voor de rechten en vrijheden van betrokkenen, en de essentie van de fundamentele rechten en vrijheden in een democratische samenleving in acht wordt genomen.

4.   Als de toepassing van een beperking wordt overwogen, wordt een noodzakelijkheids- en evenredigheidsonderzoek verricht op basis van onderhavige voorschriften. Ieder geval wordt voor verantwoordingsdoeleinden gedocumenteerd in een interne beoordelingsnota.

5.   Beperkingen worden opgeheven zodra de omstandigheden die deze rechtvaardigen niet meer van toepassing zijn. Dit geldt in het bijzonder wanneer wordt geoordeeld dat de uitoefening van het beperkte recht niet langer het effect van de opgelegde beperking zou opheffen of de rechten of vrijheden van andere betrokkenen zou schaden.

1.   De verwerkingsverantwoordelijke informeert de functionaris voor gegevensbescherming (“de DPO”) onverwijld wanneer de verwerkingsverantwoordelijke de toepassing van rechten van betrokkenen beperkt of de beperking verlengt overeenkomstig dit besluit. De verwerkingsverantwoordelijke geeft de DPO toegang tot de beoordeling van de noodzaak en evenredigheid van de beperking en legt daarbij ook de datum vast waarop de DPO werd geïnformeerd.

2.   De DPO kan de verwerkingsverantwoordelijke schriftelijk verzoeken de toepassing van de beperkingen opnieuw te beoordelen. De verwerkingsverantwoordelijke informeert de DPO schriftelijk over de uitkomst van de gevraagde beoordeling.

3.   De verwerkingsverantwoordelijke informeert de DPO wanneer de beperking is opgeheven.

4.   De verantwoordelijke voor de verwerking legt de betrokkenheid van de functionaris voor gegevensbescherming vast in de verschillende fasen van het proces, te beginnen met de datum waarop de functionaris voor gegevensbescherming is geïnformeerd.

5.   De interne nota, en, indien van toepassing, de onderliggende feitelijke en juridische elementen worden op verzoek ter beschikking gesteld van de Europese Toezichthouder voor gegevensbescherming.

1.   ESMA maakt op haar website aantekeningen van gegevensbescherming bekend die alle betrokkenen in kennis stellen van haar verwerkingen van persoonsgegevens, met inbegrip van informatie over de mogelijke beperking van de rechten van betrokkenen.

2.   ESMA informeert alle betrokkenen die bij het onderzoek of de enquête betrokken zijn onverwijld en in schriftelijke vorm van de gegevensbeschermingsaantekeningen van de specifieke verwerkingen.

3.   In naar behoren gemotiveerde gevallen en onder de in dit besluit vastgestelde voorwaarden mag ESMA de verstrekking van informatie aan de in lid 2 bedoelde betrokkenen geheel of gedeeltelijk beperken. In dat geval legt zij in een interne nota de redenen voor de beperking vast, de rechtsgrond overeenkomstig artikel 3 van dit besluit, met inbegrip van een beoordeling van de noodzaak en de evenredigheid van de beperking.

4.   De in lid 3 bedoelde beperking blijft van toepassing zolang de redenen die deze rechtvaardigen geldig zijn.

Wanneer de redenen voor de beperking niet langer van toepassing zijn, stelt ESMA de betrokkene in kennis van het desbetreffende gegevensbeschermingsniveau en de voornaamste redenen voor de beperking. Deze kennisgeving kan worden gecombineerd met een uitnodiging tot indiening van de bevindingen van het onderzoek of de lopende enquête, in het kader van de uitoefening van de rechten van verdediging van de betrokkene. Tegelijkertijd informeert ESMA de betrokkene over het recht om op elk moment een klacht bij de Europese Toezichthouder voor gegevensbescherming in te dienen of om een beroep in rechte bij het Hof van Justitie van de Europese Unie te doen.

ESMA herziet de toepassing van de beperking iedere zes maanden na vaststelling en bij de afsluiting van de enquête of het onderzoek in kwestie.

1.   Naar aanleiding van een verzoek van betrokkene kan ESMA zijn of haar recht om bevestiging te verkrijgen of ESMA al dan niet hem of haar betreffende persoonsgegevens verwerkt in het kader van een onderzoek of enquête als bedoeld in artikel 1 van dit besluit, en wanneer dit het geval is, het recht toegang te krijgen tot deze gegevens en andere informatie als bedoeld in artikel 17 van Verordening (EU) 2018/1725, geheel of gedeeltelijk beperken.

2.   Wanneer ESMA het recht van toegang beperkt, stelt zij de betrokkene in haar antwoord op de hoogte van de opgelegde beperking, van de belangrijkste redenen daarvoor, en van de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of om eenberoep in rechte te doen bij het Hof van Justitie van de Europese Unie.

3.   De verstrekking van de onder lid 2 bedoelde informatie kan worden opgeschort, achterwege gelaten of geweigerd als daardoor het effect van de beperking overeenkomstig artikel 25, lid 8, van Verordening (EU) 2018/1725 verloren zou gaan. Wanneer dit het geval is, legt ESMA in een interne beoordelingsnota de redenen voor de beperking vast, alsmede een beoordeling van de noodzaak, de evenredigheid van de beperking en de duur ervan.

4.   ESMA herziet de toepassing van de beperking iedere zes maanden na vaststelling en bij de afsluiting van de enquête of het onderzoek in kwestie.

1.   Naar aanleiding van een verzoek van betrokkene kan ESMA in het kader van een onderzoek of enquête als bedoeld in artikel 1 van dit besluit zijn of haar recht op rectificatie van hem of haar betreffende persoonsgegevens, op uitwissing of op beperking van de verwerking van zijn of haar persoonsgegevens overeenkomstig de artikelen 18, 19 en 20 van Verordening (EU) 2018/1725 geheel of gedeeltelijk beperken.

2.   Wanneer ESMA de toepassing van het recht op rectificatie, uitwissing of beperking van de bovengenoemde verwerking beperkt, neemt zij de in artikel 6, leden 2 en 3 van dit besluit genoemde stappen.

3.   ESMA herziet de toepassing van de beperking iedere zes maanden na vaststelling en bij de afsluiting van de enquête of het onderzoek in kwestie.

1.   ESMA deelt de betrokkene in kwestie onverwijld een inbreuk in verband met persoonsgegevens mee wanneer deze waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen als bedoeld in artikel 35 van Verordening (EU) 2018/1725.

2.   In naar behoren gemotiveerde gevallen en onder de in dit besluit vastgestelde voorwaarden kan ESMA de verstrekking van informatie aan de in lid 1 van dit artikel bedoelde betrokkenen geheel of gedeeltelijk beperken. In dat geval legt zij in een interne nota de redenen voor de beperking vast, de rechtsgrond overeenkomstig artikel 3 van dit besluit, met inbegrip van een beoordeling van de noodzaak en de evenredigheid van de beperking.

3.   De in lid 2 bedoelde beperking blijft van toepassing zolang de redenen die deze rechtvaardigen geldig zijn.

Indien de redenen voor de beperking niet langer van toepassing zijn, deelt ESMA de inbreuk in verband met persoonsgegevens aan de betrokkene in kwestie mee en stelt zij de betrokkene in kennis van de voornaamste redenen voor de beperking. Tegelijkertijd informeert ESMA de betrokkene over het recht om op elk moment een klacht bij de Europese Toezichthouder voor gegevensbescherming in te dienen of om een beroep in rechte bij het Hof van Justitie van de Europese Unie te doen.

ESMA herziet de toepassing van de beperking iedere zes maanden na vaststelling en bij de afsluiting van de enquête of het onderzoek in kwestie.