1.   A presente decisão estabelece regras internas relativas às condições em que a EBA, no âmbito das atividades descritas nos n.os 2 a 5, pode limitar a aplicação dos direitos consagrados nos artigos 14.o a 21.o e 35.o, bem como no seu artigo 4.o, com base no artigo 25.o do Regulamento (UE) 2018/1725. Estas limitações não prejudicam as exceções aos direitos dos titulares dos dados previstas no Regulamento (UE) 2018/1725.

2.   No âmbito do funcionamento administrativo da EBA, as limitações previstas no n.o 1 aplicam-se ao tratamento de dados pessoais pela EBA para efeitos de:

3.   No âmbito da prossecução da missão da EBA, as limitações previstas no n.o 1 aplicam-se ao tratamento de dados pessoais pela EBA para qualquer um dos seguintes efeitos:

4.   Além disso, estas limitações aplicam-se à assistência, coordenação e/ou cooperação prestada pela EBA às autoridades competentes, na aceção do artigo 4.o, ponto 2, do Regulamento (UE) n.o 1093/2010, incluindo as autoridades de países terceiros, e a organizações internacionais no contexto das investigações realizadas na prossecução da sua missão legal.

5.   As limitações a que se refere o n.o 1 aplicam-se igualmente às operações de tratamento efetuadas antes do início das investigações ou de outros inquéritos administrativos referidos nos n.os 2 a 4, ao longo dessas investigações e durante a supervisão do seguimento dado aos seus resultados.

6.   A presente decisão aplica-se a qualquer categoria de dados pessoais tratados no contexto das atividades previstas nos n.os 2 a 5.

7.   Sob reserva das condições estabelecidas na presente decisão, as limitações podem aplicar-se aos seguintes direitos: comunicação de informações a titulares de dados, direito de acesso, retificação, apagamento, limitação do tratamento e comunicação de uma violação de dados pessoais ao titular dos dados.

1.   As salvaguardas existentes para evitar o abuso ou o acesso ou transferência ilícitos no contexto das investigações referidas no artigo 1.o são as seguintes:

2.   O responsável pelas operações de tratamento é a EBA, representada pelo seu diretor executivo. Os titulares dos dados devem ser informados acerca do responsável pelo tratamento delegado por meio dos registos sobre proteção de dados publicados no sítio Web da EBA.

3.   O período de conservação dos dados pessoais tratados não deve exceder o necessário e adequado para os fins a que se destina o tratamento dos dados. O período de conservação deve ser especificado nos registos sobre proteção de dados e nas declarações de privacidade a que se refere o artigo 5.o, n.o 1.

4.   Sempre que a EBA pondere aplicar uma limitação, os riscos para os direitos e liberdades do titular dos dados devem ser avaliados, em especial, face aos riscos para os direitos e liberdades de outros titulares dos dados e ao risco de anular o efeito de investigações ou procedimentos da EBA, nomeadamente através da destruição de provas. Os riscos para os direitos e liberdades de outros titulares dos dados dizem respeito sobretudo, mas não exclusivamente, a riscos para a reputação e a riscos para o direito de defesa e para o direito a ser ouvido.

1.   Em conformidade com o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, qualquer limitação apenas é aplicada pela EBA para salvaguardar:

2.   Enquanto aplicação específica dos fins descritos no n.o 1 acima, a EBA pode aplicar limitações em relação a dados pessoais trocados com serviços da Comissão ou com outras instituições, órgãos, agências e serviços da União, autoridades competentes dos Estados-Membros ou de países terceiros ou organizações internacionais, quando se verifique uma ou mais das seguintes circunstâncias:

Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do primeiro parágrafo, a EBA deve consultar os serviços competentes da Comissão, outras instituições, órgãos, agências e serviços da União ou as autoridades competentes dos Estados-Membros, salvo se for claro para a EBA que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas.

3.   Qualquer limitação deve ser necessária e proporcionada, tendo em conta os riscos para os direitos e liberdades dos titulares dos dados, e deve respeitar a essência dos direitos e liberdades fundamentais numa sociedade democrática.

4.   Se for ponderada a aplicação de uma limitação, será realizado um teste de necessidade e de proporcionalidade baseado nas presentes regras. Esse teste deve ser documentado, caso a caso, mediante uma nota de avaliação interna, para efeitos de responsabilização.

5.   As limitações serão levantadas logo que cessarem as circunstâncias que as justificam. Em especial, é esse o caso quando se considera que o exercício do direito limitado já não anula o efeito da limitação imposta nem afeta negativamente os direitos ou liberdades de outros titulares de dados.

1.   O responsável pelo tratamento deve informar o seu EPD, sem demora injustificada, sempre que o responsável pelo tratamento tencione limitar a aplicação de direitos dos titulares dos dados ou prorrogar a limitação, nos termos da presente decisão. O responsável pelo tratamento deve facultar ao EPD o acesso à nota interna que contém a avaliação da necessidade e da proporcionalidade da limitação, bem como, se for caso disso, aos elementos factuais e jurídicos subjacentes, e documentar a data em que informou o EPD.

2.   O EPD pode pedir por escrito, ao responsável pelo tratamento, o reexame da aplicação das limitações. O responsável pelo tratamento deve informar o EPD, por escrito, acerca do resultado do reexame solicitado.

3.   O responsável pelo tratamento deve informar o EPD aquando do levantamento da limitação.

4.   O responsável pelo tratamento deve documentar a participação do EPD ao longo das diferentes fases do processo, começando pela data de informação do EPD.

5.   A nota interna e, se for caso disso, os elementos factuais e jurídicos subjacentes devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados, a pedido desta.

1.   A EBA deve publicar, no seu sítio Web, registos sobre proteção de dados que informem todos os titulares dos dados das suas atividades que envolvam o tratamento de dados pessoais, incluindo informações relativas à potencial limitação dos direitos dos titulares dos dados, nos termos do artigo 3.o da presente decisão. As informações devem abranger os direitos que podem ser limitados, os motivos que podem justificar a aplicação das limitações e a duração da eventual limitação.

2.   A EBA deve notificar individualmente todos os titulares dos dados que considere serem afetados pela investigação ou inquérito do registo sobre proteção de dados relativo às operações de tratamento específicas em causa, sem demora injustificada e por escrito.

3.   Em casos devidamente justificados e nas condições estabelecidas na presente decisão, a EBA pode limitar, total ou parcialmente, a comunicação de informações aos titulares dos dados a que se refere o n.o 2. Neste caso, deve documentar numa nota interna as razões da limitação e a base jurídica em conformidade com o artigo 3.o da presente decisão, incluindo uma avaliação da necessidade e da proporcionalidade da limitação.

4.   A limitação a que se refere o n.o 3 continua a aplicar-se enquanto se mantiverem os motivos que a justificam.

Quando as razões para a limitação deixarem de se aplicar, a EBA deve notificar o titular dos dados em causa do registo sobre proteção de dados relevante e das principais razões da limitação. Esta notificação pode ser acompanhada de um convite à apresentação de observações sobre as conclusões da investigação ou do inquérito em curso, no âmbito do exercício dos direitos de defesa do titular dos dados em causa. A EBA deve, simultaneamente, informar o titular dos dados em causa do direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados em qualquer altura, ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia.

A EBA deve reexaminar a aplicação da limitação de seis em seis meses após a sua adoção e aquando do encerramento do inquérito ou investigação pertinentes.

1.   Na sequência de um pedido apresentado por um titular de dados, a EBA pode limitar, total ou parcialmente, o direito desse titular de dados de obter a confirmação de que os dados pessoais que lhe dizem respeito estão ou não a ser tratados pela EBA no contexto de uma investigação ou inquérito a que se refere o artigo 1.o da presente decisão e, em caso afirmativo, o direito de acesso a esses dados e a outras informações a que se refere o artigo 17.o do Regulamento (UE) 2018/1725.

2.   Se a EBA limitar o direito de acesso, deve informar o titular dos dados em causa, na sua resposta ao pedido, da limitação aplicada e das principais razões para tal, bem como da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia.

3.   A comunicação das informações a que se refere o n.o 2 pode ser adiada, omitida ou recusada caso cancele o efeito da limitação imposta em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725. Neste caso, a EBA deve documentar, numa nota de avaliação interna, os motivos da limitação, incluindo uma avaliação da necessidade e proporcionalidade da limitação e da respetiva duração.

4.   A EBA deve reexaminar a aplicação da limitação de seis em seis meses após a sua adoção e aquando do encerramento do inquérito ou investigação pertinentes.

1.   Na sequência de um pedido apresentado por um titular de dados, a EBA pode, no contexto de uma investigação ou inquérito a que se refere o artigo 1.o da presente decisão, limitar, total ou parcialmente, o direito desse titular de dados de obter a retificação de dados pessoais que lhe digam respeito, de apagar ou de limitar o tratamento dos seus dados pessoais, tal como previsto nos artigos 18.o, 19.o e 20.o do Regulamento (UE) 2018/1725.

2.   Caso a EBA limite a aplicação do direito de retificação, apagamento ou limitação do tratamento acima referido, deve adotar as medidas previstas no artigo 6.o, n.o 2, e documentar esse facto em conformidade com o artigo 6.o, n.o 3.

3.   A EBA deve reexaminar a aplicação da limitação de seis em seis meses após a sua adoção e aquando do encerramento do inquérito ou investigação pertinentes.

1.   A EBA deve comunicar uma violação de dados pessoais ao titular dos dados em causa, sem demora injustificada, sempre que tal violação seja suscetível de constituir um elevado risco para os direitos e para as liberdades das pessoas singulares, tal como previsto no artigo 35.o do Regulamento (UE) 2018/1725.

2.   Em casos devidamente justificados e nas condições estabelecidas na presente decisão, a EBA pode limitar, total ou parcialmente, a comunicação de informações aos titulares dos dados a que se refere o n.o 1 do presente artigo. Neste caso, deve documentar numa nota interna as razões da limitação e a base jurídica em conformidade com o artigo 3.o da presente decisão, incluindo uma avaliação da necessidade e da proporcionalidade da limitação.

3.   A limitação a que se refere o n.o 2 continua a aplicar-se enquanto se mantiverem os motivos que a justificam.

Quando as razões para a limitação deixarem de se aplicar, a EBA deve comunicar a violação dos dados pessoais ao titular dos dados em causa e informá-lo das principais razões da limitação. A EBA deve, simultaneamente, informar o titular dos dados em causa do direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados em qualquer altura, ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia.

A EBA deve reexaminar a aplicação da limitação de seis em seis meses após a sua adoção e aquando do encerramento do inquérito ou investigação pertinentes.