1.   Ta sklep določa splošna pravila v zvezi s pogoji, pod katerimi lahko upravljavci podatkov v skladu s členom 25(1) EUDPR po potrebi omejijo uporabo členov 14 do 22 ter 35 in 36 EUDPR, kot tudi člena 4 EUDPR, v kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 14 do 22 EUDPR.

2.   V tem sklepu se uporabljajo naslednje opredelitve pojmov:

3.   Ta sklep se uporablja za obdelavo osebnih podatkov za namene dejavnosti in postopkov, ki jih izvaja Odbor. Ne uporablja se, kadar pravni akt, sprejet na podlagi Pogodb, določa omejitev pravic posameznika, na katerega se nanašajo osebni podatki.

4.   Upravljavec v smislu člena 3(8) EUDPR je Odbor, ki lahko prenese pristojnost za določitev namenov in sredstev obdelave osebnih podatkov.

5.   Za namene vsake obdelave informacij, omejitve in odloga, izpustitve ali zavrnitve posredovanja informacij se pristojni upravljavec podatkov določi v skladu z ustreznimi notranjimi sklepi, postopki in izvedbenimi pravili Odbora.

1.   Upravljavci podatkov pred uvedbo kakršnihkoli omejitev v skladu s členom 3(1) preučijo, ali velja katera od izjem ali odstopanj iz Uredbe, zlasti izjema ali odstopanje iz člena 15(4), člena 16(5), člena 19(3), člena 25(3) in (4) ter člena 35(3) EUDPR.

2.   Odstopanje je mogoče uveljaviti le z uporabo ustreznih zaščitnih ukrepov v skladu s členom 13 EUDPR in členom 6 tega sklepa.

1.   Upravljavci podatkov lahko po potrebi omejijo uporabo členov 14 do 22, 35 in 36 EUDPR, kot tudi člena 4 EUDPR, v kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 14 do 22 EUDPR, in sicer kadar bi uveljavljanje pravic posameznikov, na katere se nanašajo osebni podatki, škodljivo vplivalo na namen ali izid ene ali več dejavnosti ali postopkov, ki jih izvaja Odbor, zlasti:

2.   Omejitve iz odstavka 1 se lahko nanašajo na objektivne in subjektivne osebne podatke, ki sodijo zlasti, vendar ne izključno, v eno ali več naslednjih kategorij:

3.   Pri vseh omejitvah se spoštuje bistvo temeljnih pravic in svoboščin, omejitve pa morajo biti potreben in sorazmeren ukrep v demokratični družbi. Ne smejo presegati tega, kar je nujno potrebno za dosego zastavljenega cilja.

4.   Vse – celotne ali delne – omejitve uporabe člena 36 EUDPR (Zaupnost elektronskih sporočil) v skladu z odstavkom 1 morajo biti skladne z veljavno zakonodajo Unije o zasebnosti na področju elektronskih komunikacij (15).

5.   Upravljavci podatkov redno pregledujejo uporabo omejitev iz odstavka 1 vsaj vsakih šest mesecev od njihovega sprejetja, pa tudi kadar se spremenijo bistveni in odločilni elementi primera ter ob zaključku ali koncu dejavnosti ali postopka, zaradi katerega so bile omejitve uvedene. Enkrat na leto nato preučijo potrebo po ohranitvi kakršnihkoli omejitev.

6.   Omejitve iz odstavka 1 se uporabljajo, dokler obstajajo razlogi, ki jih upravičujejo. Če razlogi za omejitev iz odstavka 1 ne obstajajo več, upravljavci podatkov to omejitev odpravijo.

7.   Upravljavci podatkov se pri obdelavi osebnih podatkov, prejetih od tretjih strani v okviru nalog Odbora, s temi tretjimi stranmi posvetujejo o morebitnih razlogih za uvedbo omejitev ter o potrebnosti in sorazmernosti zadevnih omejitev, razen če bi to škodilo dejavnostim ali postopkom Odbora.

1.   Upravljavci podatkov pred uvedbo kakršnihkoli omejitev za vsak primer posebej ocenijo, ali so predvidene omejitve potrebne in sorazmerne.

2.   Pri presoji potrebnosti in sorazmernosti omejitve upravljavci podatkov upoštevajo morebitna tveganja za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki.

3.   Ocene tveganj za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, ki izhajajo iz uvedbe omejitev, zlasti tveganje, da bi se njihovi osebni podatki lahko nadalje obdelovali brez njihove vednosti in da bi se jim lahko preprečilo uveljavljanje njihovih pravic v skladu z Uredbo, ter podrobnosti o obdobju uporabe teh omejitev se zabeležijo v evidenci dejavnosti obdelave, ki jo vodijo upravljavci podatkov v skladu s členom 31(1) EUDPR. Zabeležijo se tudi v vsaki oceni učinka v zvezi z varstvom podatkov, opravljeni v zvezi z navedenimi omejitvami v skladu s členom 39 EUDPR.

1.   Kadar upravljavci podatkov uvedejo omejitve, evidentirajo:

2.   Evidence iz odstavka 1 so del centralnega registra v skladu s členom 31(5) EUDPR. Evropskemu nadzorniku za varstvo podatkov se na zahtevo omogoči dostop do teh evidenc.

3.   Kadar upravljavci podatkov omejijo uporabo člena 35 EUDPR (Sporočilo posamezniku, na katerega se nanašajo osebni podatki, o kršitvi varnosti osebnih podatkov), se evidenca iz odstavka 1 vključi v obvestilo Evropskemu nadzorniku za varstvo podatkov v skladu s členom 34(1) EUDPR.

1.   Upravljavci podatkov uvedejo zaščitne ukrepe za preprečevanje zlorabe osebnih podatkov, za katere bi se lahko uporabljale omejitve v skladu s členom 3(1), nezakonitega dostopa do teh podatkov ali njihovega nezakonitega prenosa. Taki zaščitni ukrepi vključujejo ustrezne tehnične in organizacijske ukrepe ter so po potrebi podrobno opisani v notranjih sklepih, postopkih in izvedbenih pravilih Odbora.

2.   Zaščitni ukrepi iz odstavka 1 vključujejo:

3.   Osebni podatki se hranijo v skladu z veljavnimi pravili Odbora o hrambi (16), ki se določijo v evidencah, ki jih vodijo upravljavci podatkov v skladu s členom 31(1) EUDPR. Ob koncu obdobja hrambe se osebni podatki izbrišejo, anonimizirajo tako, da identifikacija posameznika, na katerega se nanašajo osebni podatki, ni (več) mogoča, ali prenesejo v arhiv Odbora v skladu s členom 13 EUDRP.

1.   Obvestila o varstvu podatkov, objavljena na javnem spletišču Odbora ali na njegovem intranetu vključujejo razdelek, ki posameznikom, na katere se nanašajo osebni podatki, nudi splošne informacije o morebitni omejitvi njihovih pravic v okviru dejavnosti in postopkov Odbora, ki vključujejo obdelavo njihovih osebnih podatkov. V tem razdelku se navedejo pravice, ki se lahko omejijo, podlaga za morebitno uvedbo omejitev, morebitno trajanje teh omejitev ter upravna in pravna sredstva, ki so na voljo posameznikom, na katere se nanašajo osebni podatki.

2.   Kadar upravljavci podatkov uvedejo omejitve, vsakega posameznika, na katerega se nanašajo osebni podatki, brez nepotrebnega odlašanja in v najustreznejši obliki neposredno obvestijo o:

3.   Kadar upravljavci podatkov, ne glede na odstavek 2, v izjemnih primerih omejijo uporabo člena 35 EUDPR (Sporočilo posamezniku, na katerega se nanašajo osebni podatki, o kršitvi varnosti osebnih podatkov), obvestijo posameznika, na katerega se nanašajo osebni podatki, da je prišlo do kršitve varnosti osebnih podatkov, in mu posredujejo informacije iz točk (b), (d) in (e) odstavka 2, takoj ko razlogi za omejitev takšnega sporočila ne obstajajo več.

4.   Kadar upravljavci podatkov, ne glede na odstavek 2, v izjemnih primerih omejijo uporabo člena 36 EUDPR (Zaupnost elektronskih sporočil), informacije iz odstavka 2 posredujejo posamezniku, na katerega se nanašajo osebni podatki, v odgovoru na njegovo morebitno zahtevo.

5.   Upravljavci podatkov lahko odložijo, izpustijo ali zavrnejo posredovanje informacij iz odstavka 2 (v nadaljnjem besedilu: odlog, izpustitev ali zavrnitev posredovanja informacij) tako dolgo, kolikor je potrebno, da se s tem ohrani učinek omejitve. Posamezniku, na katerega se nanašajo osebni podatki, informacije iz odstavka 2 posredujejo takoj, ko to ne bi več vplivalo na učinek omejitve.

6.   Člen 4 in člen 5 se smiselno uporabljata za vsak primer odloga, izpustitve ali zavrnitve posredovanja informacij.

1.   Upravljavci podatkov brez nepotrebnega odlašanja pisno obvestijo pooblaščeno osebo za varstvo podatkov vsakič, ko omejijo pravice posameznika, na katerega se nanašajo osebni podatki, v skladu s členom 3(1), izvajajo redne preglede iz člena 3(5), odpravljajo omejitve v skladu s členom 3(6) ali odložijo, izpustijo ali zavrnejo posredovanje informacij iz člena 7(2) v skladu s členom 7(5). Pooblaščeni osebi za varstvo podatkov se na zahtevo omogoči dostop do povezanih evidenc in vseh dokumentov z dejstvi in pravnimi elementi, na katerih zadeva temelji.

2.   Pooblaščena oseba za varstvo podatkov lahko od upravljavcev podatkov zahteva, da pregledajo vse obstoječe omejitve ter odloge, izpustitve ali zavrnitve posredovanja informacij ter njihovo uporabo. Pooblaščeno osebo za varstvo podatkov se pisno obvesti o rezultatih zahtevanega pregleda.

3.   Upravljavci podatkov ustrezno dokumentirajo vključitev pooblaščene osebe za varstvo podatkov, kot to določata odstavka 1 in 2 v zvezi z uvedbo omejitev ter odloga, izpustitve ali zavrnitve posredovanja informacij, pri čemer navedejo tudi informacije, ki so ji bile dane na voljo.

4.   Pooblaščena oseba za varstvo podatkov upravljavcem podatkov na zahtevo posreduje svoje mnenje o določitvi njihovih obveznosti v okviru dogovora skupnih upravljavcev v skladu s členom 28(1) EUDPR.

1.   Generalni sekretar lahko da navodila ali sprejme izvedbene ukrepe, s katerimi po potrebi podrobneje opredeli in uveljavi določbe tega sklepa v skladu s tem sklepom.

2.   Ta sklep začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.