(1)   Prezenta decizie stabilește normele privind condițiile în care Eurojust poate restricționa aplicarea articolelor 4, 14-22, 35 și 36, în temeiul articolului 25 din regulament.

(2)   Sub rezerva condițiilor prevăzute în prezenta decizie, restricțiile pot fi aplicabile următoarelor drepturi: de furnizare de informații persoanelor vizate, dreptul de acces, de rectificare, de ștergere, de restricționare a prelucrării, de comunicare a unei încălcări a securității datelor cu caracter personal către persoana vizată sau dreptul la confidențialitatea comunicării.

(3)   Prezenta decizie se aplică prelucrării datelor cu caracter personal de către Eurojust în măsura în care prelucrează date cu caracter personal în scopuri legate de anchete administrative, proceduri predisciplinare, disciplinare și suspendări, activități preliminare legate de cazurile de eventuale nereguli raportate la OLAF, prelucrarea cazurilor de avertizare în interes public, în cadrul procedurilor (oficiale și neoficiale) în cazuri de hărțuire, tratarea plângerilor interne și externe, în desfășurarea auditurilor interne, a investigațiilor desfășurate de responsabilul cu protecția datelor conform articolului 45 alineatul (2) din Regulamentul (UE) 2018/1725 și a investigațiilor de securitate (informatică) gestionate pe plan intern sau cu implicare din exterior (de exemplu, CERT-UE).

(4)   Categoriile de date cu caracter personal vizate de prezenta decizie cuprind datele de identificare, de contact, de comportament și financiare.

(5)   Eurojust, în calitate de operator, este reprezentat de directorul administrativ.

(1)   Eurojust poate restricționa aplicarea articolelor 14-22, 35 și 36, precum și a articolului 4, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-20:

(2)   Aceste restricții trebuie să respecte esența drepturilor și libertăților fundamentale și să constituie o măsură necesară și proporțională într-o societate democratică.

(3)   Înainte de aplicarea restricțiilor și după caz, se efectuează un test de necesitate și proporționalitate. Restricțiile se limitează la ceea ce este strict necesar pentru atingerea obiectivelor lor.

(4)   În scopul asigurării răspunderii, Eurojust întocmește o evidență în care sunt descrise motivele care stau la baza restricțiilor aplicate, care anume dintre motivele enumerate la alineatul (1) se aplică și rezultatul testului de necesitate și proporționalitate. Evidența respectivă se introduce într-un registru, care este pus, la cerere, la dispoziția AEPD. Eurojust elaborează rapoarte periodice privind aplicarea articolului 25 din regulament.

(5)   Atunci când prelucrează date cu caracter personal primite de la alte organizații în contextul sarcinilor care îi revin, Eurojust se consultă cu organizațiile respective cu privire la potențialele motive pentru impunerea de restricții și cu privire la necesitatea și proporționalitatea restricțiilor vizate, cu excepția cazului în care acest lucru ar pune în pericol activitățile Eurojust.

(1)   Evaluările riscurilor pentru drepturile și libertățile persoanelor vizate de impunerea de restricții și detaliile referitoare la perioada de aplicare a acestor restricții se înregistrează în evidența activităților de prelucrare desfășurate de Eurojust în temeiul articolului 31 din regulament. Acestea sunt înregistrate, de asemenea, în orice evaluare a impactului restricțiilor asupra protecției datelor, efectuată în temeiul articolului 39 din regulament.

(2)   La evaluarea necesității și proporționalității unei restricții, Eurojust ia în considerare riscurile potențiale pentru drepturile și libertățile persoanei vizate. Dacă Eurojust ia în considerare aplicarea unei restricții, se examinează riscul pentru drepturile și libertățile persoanei vizate, în special în raport cu riscul pentru drepturile și libertățile altor persoane vizate și cu riscul de anulare a efectului anchetelor sau al procedurilor Eurojust, de exemplu prin distrugerea probelor. Riscurile pentru drepturile și libertățile persoanei vizate se referă în primul rând la riscurile reputaționale și la riscurile pentru dreptul la apărare și pentru dreptul de a fi audiat, fără a se limita însă la acestea.

(1)   Eurojust instituie garanții pentru a preveni abuzul sau accesul ilegal sau transferul de date cu caracter personal care fac sau ar putea face obiectul unor restricții. Astfel de garanții conțin măsuri tehnice și organizatorice, iar dacă este necesar, sunt prezentate în detaliu în deciziile interne, în procedurile și normele de punere în aplicare ale Eurojust. Garanțiile cuprind:

Revizuirile menționate la litera (d) se efectuează cel puțin o dată la șase luni.

(2)   Restricțiile sunt ridicate imediat ce situațiile care le justifică nu mai sunt aplicabile.

(3)   Perioada de păstrare a datelor cu caracter personal la care se face referire la articolul 1 alineatul (4) nu va fi mai lungă decât este necesar și adecvat în scopul în care se prelucrează datele. Datele cu caracter personal sunt păstrate în conformitate cu normele aplicabile ale Eurojust privind păstrarea datelor, prevăzute la articolul 18 și în anexa la Regulamentul de procedură privind prelucrarea și protecția datelor cu caracter personal în cadrul Eurojust (3), care urmează să fie definite în evidența privind protecția datelor ținută în conformitate cu articolul 31 din regulament. La sfârșitul perioadei de păstrare, datele cu caracter personal sunt șterse, anonimizate sau transferate în arhive conform articolului 13 din regulament.

(1)   Responsabilul cu protecția datelor al Eurojust este informat fără întârzieri nejustificate ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie. Acesta are acces la evidența asociată și la orice document referitor la contextul faptic sau juridic.

(2)   Responsabilul cu protecția datelor al Eurojust poate solicita revizuirea aplicării restricției. Eurojust îl informează în scris pe responsabilul cu protecția datelor cu privire la rezultatul analizei.

(3)   Eurojust documentează implicarea responsabilului cu protecția datelor în aplicarea restricțiilor, inclusiv informațiile care îi sunt comunicate.

(1)   Eurojust include în anunțurile privind protecția datelor publicate pe site-ul/intranetul său o secțiune în care persoanelor vizate li se furnizează informații generale cu privire la posibilitatea ca drepturile lor să fie restricționate în temeiul articolului 2 alineatul (1). Informațiile se referă la drepturile care pot fi restricționate, la motivele pentru care se pot aplica restricții și la durata potențială a acestora.

(2)   Eurojust informează fiecare persoană vizată în parte, în scris și fără întârzieri nejustificate, cu privire la restricțiile prezente sau viitoare ale drepturilor lor. Eurojust informează persoana vizată cu privire la principalele motive care stau la baza aplicării restricției, la dreptul său de a se consulta cu responsabilul cu protecția datelor în vederea contestării restricției și la dreptul său de a depune o plângere la AEPD.

(3)   Eurojust poate amâna, omite sau refuza furnizarea de informații privind motivele restricției și dreptul de a depune o plângere la AEPD, atâta timp cât aceasta ar anula efectul restricției. Evaluarea caracterului justificat al acestor măsuri se efectuează de la caz la caz. Imediat ce aceasta nu ar mai anula efectul restricției, Eurojust furnizează informațiile persoanei vizate.

(1)   În cazul în care Eurojust are obligația de a comunica o încălcare a securității datelor în temeiul articolului 35 alineatul (1) din regulament, acesta poate, în circumstanțe excepționale, să restricționeze integral sau parțial această comunicare. Eurojust trebuie să consemneze într-o notă motivele restricției, temeiul juridic al acesteia, în conformitate cu articolul 2, și o evaluare a necesității și proporționalității acesteia. Nota este comunicată la AEPD în momentul notificării încălcării securității datelor cu caracter personal.

(2)   În cazul în care motivele restricției nu se mai aplică, Eurojust comunică persoanei vizate încălcarea securității datelor cu caracter personal și o informează cu privire la motivele principale ale restricției și cu privire la dreptul său de a depune o plângere la AEPD.

(1)   În circumstanțe excepționale, Eurojust poate restricționa dreptul la confidențialitatea comunicațiilor electronice în temeiul articolului 36 din regulament. Astfel de restricții sunt în conformitate cu Directiva 2002/58/CE a Parlamentului European și a Consiliului (4).

(2)   În cazul în care Eurojust restricționează dreptul la confidențialitatea comunicațiilor electronice, acesta informează persoana vizată, în răspunsul său la o eventuală cerere a persoanei vizate, cu privire la principalele motive pe care se bazează aplicarea restricției și cu privire la dreptul său de a depune o plângere la AEPD.

(3)   Eurojust poate amâna, omite sau refuza furnizarea de informații privind motivele restricției și dreptul de a depune o plângere la AEPD, atâta timp cât aceasta ar anula efectul restricției. Evaluarea caracterului justificat al acestor măsuri se efectuează de la caz la caz.