1.   A presente decisão estabelece regras internas relativas às condições em que a ESMA, no âmbito das atividades descritas nos n.os 2 a 5, pode limitar a aplicação dos direitos consagrados nos artigos 14.o a 21.o e 35.o, bem como no seu artigo 4.o, com base no artigo 25.o do Regulamento (UE) 2018/1725. Estas limitações não prejudicam as exceções aos direitos dos titulares dos dados previstas no Regulamento (UE) 2018/1725.

2.   No âmbito do funcionamento administrativo da ESMA, as limitações previstas no n.o 1 do presente artigo aplicam-se ao tratamento de dados pessoais pela ESMA para efeitos de:

3.   No âmbito da prossecução da missão da ESMA, as limitações previstas no n.o 1 do presente artigo aplicam-se ao tratamento de dados pessoais pela ESMA para efeitos de:

4.   Além disso, estas limitações aplicam-se à assistência, coordenação e/ou cooperação prestada pela ESMA às autoridades nacionais dos valores mobiliários e dos mercados, incluindo as autoridades de países terceiros, e a organizações internacionais no contexto das investigações realizadas na prossecução da sua missão legal.

5.   As limitações a que se refere o n.o 1 do presente artigo aplicam-se igualmente às operações de tratamento efetuadas antes do início das investigações ou de outros inquéritos administrativos referidos nos n.os 2 a 4, ao longo dessas investigações e durante a supervisão do seguimento dado aos seus resultados.

6.   A presente decisão aplica-se a qualquer categoria de dados pessoais tratados no contexto das atividades previstas nos n.os 2 a 5.

7.   Sob reserva das condições estabelecidas na presente decisão, as limitações podem aplicar-se aos seguintes direitos: comunicação de informações a titulares de dados, direito de acesso, retificação, apagamento, limitação do tratamento e comunicação de uma violação de dados pessoais ao titular dos dados.

1.   As salvaguardas em vigor para evitar violações de dados pessoais, fugas ou divulgação não autorizada no contexto das investigações referidas no artigo 1.o são as seguintes:

2.   O responsável pelas operações de tratamento é a ESMA, representada pelo seu diretor-executivo, que pode delegar a função de responsável pelo tratamento. Os titulares dos dados devem ser informados acerca do responsável pelo tratamento delegado por meio dos registos sobre proteção de dados publicados no sítio Web da ESMA.

3.   O período de conservação dos dados pessoais tratados não deve exceder o necessário e adequado para os fins a que se destina o tratamento dos dados. O período de conservação deve ser especificado nos registos sobre proteção de dados e nas declarações de privacidade a que se refere o artigo 5.o, n.o 1.

4.   Sempre que a ESMA pondere aplicar uma limitação, os riscos para os direitos e as liberdades do titular dos dados devem ser avaliados, em especial, em face dos riscos para os direitos e liberdades de outros titulares dos dados e do risco de anular o efeito de investigações ou procedimentos da ESMA, nomeadamente através da destruição de provas. Os riscos para os direitos e liberdades do titular dos dados dizem respeito sobretudo, mas não exclusivamente, a riscos para a reputação e a riscos para o direito de defesa e o direito a ser ouvido.

1.   Qualquer limitação só deverá ser aplicada pela ESMA a fim de salvaguardar:

2.   Enquanto aplicação específica dos fins descritos no n.o 1, a ESMA pode aplicar limitações em relação a dados pessoais trocados com serviços da Comissão ou com outras instituições, órgãos, agências e serviços da União, autoridades competentes dos Estados-Membros ou de países terceiros ou organizações internacionais, nas seguintes circunstâncias:

3.   Qualquer limitação deve ser necessária e proporcionada, tendo em conta os riscos para os direitos e liberdades dos titulares dos dados, devendo ainda respeitar a essência dos direitos e liberdades fundamentais numa sociedade democrática.

4.   Se for ponderada a aplicação de uma limitação, deve ser realizado um teste de necessidade e de proporcionalidade baseado nas presentes regras. Esse teste deve ser documentado, caso a caso, mediante uma nota de avaliação interna, para efeitos de responsabilização.

5.   As limitações devem ser levantadas assim que cessarem as circunstâncias que as justificam. Em especial, é esse o caso quando se considera que o exercício do direito limitado já não anula o efeito da limitação imposta nem afeta negativamente os direitos ou liberdades de outros titulares dos dados.

1.   A ESMA deve, sem demora injustificada, informar o encarregado da proteção de dados («EPD») sempre que o responsável pelo tratamento limite a aplicação de direitos dos titulares dos dados, ou prorrogue a limitação, em conformidade com a presente decisão. O responsável pelo tratamento deve facultar ao EPD o acesso à nota interna que contém a avaliação da necessidade e da proporcionalidade da limitação, bem como, se for caso disso, aos elementos factuais e jurídicos subjacentes, e documentar a data em que informou o EPD.

2.   O EPD pode pedir, por escrito, ao responsável pelo tratamento o reexame da aplicação das limitações. O responsável pelo tratamento deve informar o EPD, por escrito, acerca do resultado do reexame solicitado.

3.   O responsável pelo tratamento deve informar o EPD quando a limitação for levantada.

4.   O responsável pelo tratamento deve documentar a participação do EPD ao longo das diferentes fases do processo, começando pela data de informação do EPD.

5.   A nota interna e, se for caso disso, os elementos factuais e jurídicos subjacentes devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados, a pedido desta.

1.   A ESMA deve publicar, no seu sítio Web, registos sobre proteção de dados que informem todos os titulares dos dados das suas atividades que envolvam o tratamento de dados pessoais, incluindo informações relativas à potencial limitação dos direitos dos titulares dos dados.

2   A ESMA deve notificar individualmente todos os titulares dos dados que considere serem afetados pela investigação ou inquérito do registo sobre proteção de dados relativo às operações de tratamento específicas em causa, sem demora injustificada e por escrito.

3.   Em casos devidamente justificados e nas condições estabelecidas na presente decisão, a ESMA pode limitar, total ou parcialmente, a comunicação de informações aos titulares dos dados a que se refere o n.o 2. Neste caso, deve documentar numa nota interna as razões da limitação e a base jurídica em conformidade com o artigo 3.o da presente decisão, incluindo uma avaliação da necessidade e da proporcionalidade da limitação.

4.   A limitação a que se refere o n.o 3 continuará a aplicar-se enquanto se mantiverem as razões que a justificam.

Quando as razões para a limitação deixarem de se aplicar, a ESMA deve notificar o titular dos dados em causa do registo sobre proteção de dados relevante e das principais razões da limitação. Esta notificação pode ser acompanhada de um convite à apresentação de observações sobre as conclusões da investigação ou do inquérito em curso, no âmbito do exercício dos direitos de defesa do titular dos dados em causa. A ESMA deve, simultaneamente, informar o titular dos dados em causa do direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados em qualquer altura, ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia.

A ESMA deve reexaminar a aplicação da limitação de seis em seis meses após a sua adoção e aquando do encerramento do inquérito ou investigação pertinentes.

1.   Na sequência de um pedido apresentado por um titular de dados, a ESMA pode limitar, total ou parcialmente, o direito desse titular de dados de obter a confirmação de que os dados pessoais que lhe dizem respeito estão ou não a ser tratados pela ESMA no contexto de uma investigação ou inquérito a que se refere o artigo 1.o da presente decisão e, em caso afirmativo, o direito de acesso a esses dados e a outras informações a que se refere o artigo 17.o do Regulamento (UE) 2018/1725.

2.   Se a ESMA limitar o direito de acesso, deve informar o titular dos dados em causa, na sua resposta ao pedido, da limitação aplicada e das principais razões para tal, bem como da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia.

3.   A comunicação das informações a que se refere o n.o 2 pode ser adiada, omitida ou recusada caso cancele o efeito da limitação, em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725. Neste caso, a ESMA deve documentar, numa nota de avaliação interna, as razões da limitação, incluindo uma avaliação da necessidade e proporcionalidade da limitação e da respetiva duração.

4.   A ESMA deve reexaminar a aplicação da limitação de seis em seis meses após a sua adoção e aquando do encerramento do inquérito ou investigação pertinentes.

1.   Na sequência de um pedido apresentado por um titular de dados, a ESMA pode, no contexto de uma investigação ou inquérito a que se refere o artigo 1.o da presente decisão, limitar, total ou parcialmente, o direito desse titular de dados de obter a retificação de dados pessoais que lhe digam respeito, de apagar ou de limitar o tratamento dos seus dados pessoais, tal como previsto nos artigos 18.o, 19.o e 20.o do Regulamento (UE) 2018/1725.

2.   Caso a ESMA limite a aplicação do direito de retificação, apagamento ou limitação do tratamento acima referido, deve adotar as medidas previstas no artigo 6.o, n.os 2 e 3, da presente decisão.

3.   A ESMA deve reexaminar a aplicação da limitação de seis em seis meses após a sua adoção e aquando do encerramento do inquérito ou investigação pertinentes.

1.   A ESMA deve comunicar uma violação de dados pessoais ao titular dos dados em causa, sem demora injustificada, sempre que tal violação seja suscetível de constituir um elevado risco para os direitos e para as liberdades das pessoas singulares, tal como previsto no artigo 35.o do Regulamento (UE) 2018/1725.

2.   Em casos devidamente justificados e nas condições estabelecidas na presente decisão, a ESMA pode limitar, total ou parcialmente, a comunicação de informações aos titulares dos dados a que se refere o n.o 1 do presente artigo. Neste caso, deve documentar numa nota interna as razões da limitação e a base jurídica em conformidade com o artigo 3.o da presente decisão, incluindo uma avaliação da necessidade e da proporcionalidade da limitação.

3.   A limitação a que se refere o n.o 2 continuará a aplicar-se enquanto se mantiverem as razões que a justificam.

Quando as razões para a limitação deixarem de se aplicar, a ESMA deve comunicar a violação dos dados pessoais ao titular dos dados em causa e informá-lo das principais razões da limitação. A ESMA deve, simultaneamente, informar o titular dos dados em causa do direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados em qualquer altura, ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia.

A ESMA deve reexaminar a aplicação da limitação de seis em seis meses após a sua adoção e aquando do encerramento do inquérito ou investigação pertinentes.