1.   I detta beslut fastställs bestämmelser om de villkor på vilka Eurojust får begränsa tillämpningen av artiklarna 4, 14–22, 35 och 36, i enlighet med artikel 25 i förordningen.

2.   Enligt villkoren som beskrivs i detta beslut kan begränsningarna gälla följande rättigheter: de registrerades rätt att få ta del av information, rätten till tillgång, rättelse eller radering av personuppgifter, rätten till begränsning av behandlingen, rätten att bli underrättad om personuppgiftsincidenter och rätten till konfidentiell behandling av elektronisk kommunikation.

3.   Detta beslut är tillämpligt på Eurojusts behandling av personuppgifter för följande ändamål: administrativa utredningar, förfaranden som föregår disciplinära förfaranden, disciplinära förfaranden, avstängningsförfaranden, förberedande åtgärder vid fall av eventuella oegentligheter som rapporterats till Olaf, handläggning av visselblåsarärenden, (formella och informella) förfaranden för att hantera trakasserier, handläggning av interna och externa klagomål, internrevisioner, utredningar som dataskyddsombudet genomför i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om (it-)säkerhet som hanteras internt eller med extern hjälp (till exempel av CERT-EU).

4.   De kategorier av personuppgifter som omfattas av detta beslut inbegriper uppgifter om identitet, kontakter, beteende och ekonomi.

5.   Eurojust företräds, i dess funktion som personuppgiftsansvarig, av sin administrativa direktör.

1.   Eurojust får begränsa tillämpningen av artiklarna 14–22, 35 och 36 samt artikel 4, i den mån bestämmelserna motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–20, när byrån

2.   Eventuella begränsningar ska respektera andemeningen i de grundläggande rättigheterna och friheterna och vara nödvändiga och proportionella i ett demokratiskt samhälle.

3.   En bedömning av behovet och proportionaliteten ska göras i varje enskilt fall innan begränsningar börjar tillämpas. Begränsningar ska endast tillämpas där det är absolut nödvändigt för att uppnå målet med dem.

4.   Eurojust ska i redovisningssyfte registrera skälen för de begränsningar som tillämpas, vilka av de grunder som anges i punkt 1 som är tillämpliga och resultatet av bedömningen av behovet och proportionaliteten. Dessa uppgifter ska utgöra del av ett register som på begäran ska göras tillgängligt för Europeiska datatillsynsmannen. Eurojust ska sammanställa regelbundna rapporter om tillämpningen av artikel 25 i förordningen.

5.   När Eurojust behandlar personuppgifter som mottagits från andra organisationer i samband med dess arbetsuppgifter, ska byrån samråda med dessa organisationer om potentiella grunder för att införa begränsningar och om frågan huruvida begränsningarna är nödvändiga och proportionella, såvida detta inte skulle äventyra Eurojusts verksamhet.

1.   Bedömningar av riskerna med begränsningar för de registrerades rättigheter och friheter samt uppgifter om tillämpningsperioden för begränsningarna ska anges i det register över behandling som förs av Eurojust enligt artikel 31 i förordningen. De ska även anges i de konsekvensbedömningar avseende uppgiftsskydd som görs för dessa begränsningar och som utförs enligt artikel 39 i förordningen.

2.   Vid bedömning av en begränsnings nödvändighet och proportionalitet ska Eurojust alltid beakta de potentiella riskerna för den registrerades rättigheter och friheter. När Eurojust överväger att tillämpa en begränsning ska risken för den registrerades rättigheter och friheter vägas mot i synnerhet risken för andra registrerades rättigheter och friheter samt risken för att upphäva verkningarna av Eurojusts utredningar eller förfaranden, till exempel genom förstörande av bevismaterial. Riskerna för den registrerades rättigheter och friheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras.

1.   Eurojust ska genomföra skyddsåtgärder för att förhindra missbruk och olaglig tillgång till eller överföring av personuppgifter som är eller kan vara föremål för begränsningar. Dessa skyddsåtgärder ska omfatta tekniska och organisatoriska åtgärder och ska, om så behövs, specificeras i Eurojusts interna beslut, förfaranden och genomförandebestämmelser. Skyddsåtgärderna ska omfatta följande:

De översyner som avses i led d ska genomföras åtminstone var sjätte månad.

2.   Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre gäller.

3.   De personuppgifter som avses i artikel 1.4 får inte lagras längre än vad som är nödvändigt och lämpligt för det syfte som personuppgifterna behandlas för. Personuppgifterna ska lagras i enlighet med de lagringsbestämmelser som är tillämpliga för Eurojust, i enlighet med bilagan till arbetsordningen för behandling och skydd av personuppgifter vid Eurojust (3) samt artikel 18, såsom de definieras i de dataskyddsregister som förs enligt artikel 31 i förordningen. I slutet av lagringsperioden ska personuppgifterna raderas, anonymiseras eller överföras till arkiv i enlighet med artikel 13 i förordningen.

1.   Eurojusts dataskyddsombud ska informeras utan onödigt dröjsmål när registrerades rättigheter begränsas i enlighet med detta beslut. Han eller hon ska få tillgång till de tillhörande registren och alla dokument som rör faktiska och rättsliga delar.

2.   Eurojusts dataskyddsombud får begära en översyn av tillämpningen av en begränsning. Eurojust ska skriftligen informera sitt dataskyddsombud om resultatet av översynen.

3.   Eurojust ska dokumentera dataskyddsombudets deltagande i tillämpningen av begränsningar, inklusive vilken information som delas med honom eller henne.

1.   Eurojust ska i meddelanden om uppgiftsskydd som offentliggörs på dess webbplats/intranät införa ett avsnitt med allmän information till de registrerade om att deras rättigheter kan komma att begränsas i enlighet med artikel 2.1. Informationen ska omfatta vilka rättigheter som kan komma att begränsas, skälen till detta och möjlig varaktighet.

2.   Eurojust ska skriftligen och utan onödigt dröjsmål informera de registrerade individuellt om nuvarande eller framtida begränsningar av deras rättigheter. Eurojust ska informera de registrerade om de huvudsakliga skälen till begränsningen, om deras rätt att rådfråga dataskyddsombudet i syfte att överklaga begränsningen och om deras rätt att ge in ett klagomål till Europeiska datatillsynsmannen.

3.   Eurojust får skjuta upp, utelämna eller neka tillhandahållande av information om skälen till en begränsning och rätten att ge in ett klagomål till Europeiska datatillsynsmannen, så länge som det skulle upphäva verkan av begränsningen. En bedömning av huruvida detta är motiverat ska göras i varje enskilt fall. Eurojust ska tillhandahålla de registrerade denna information så snart detta inte längre skulle upphäva verkan av begränsningen.

1.   Om Eurojust är skyldig att informera om en personuppgiftsincident enligt artikel 35.1 i förordningen får byrån under exceptionella omständigheter begränsa sådan information helt eller delvis. Eurojust ska i en not ange skälen till begränsningen, den rättsliga grunden för den enligt artikel 2 och en bedömning av begränsningens nödvändighet och proportionalitet. Noten ska överlämnas till Europeiska datatillsynsmannen vid tidpunkten för anmälan av personuppgiftsincidenten.

2.   När skälen till begränsningen inte längre är tillämpliga ska Eurojust meddela den registrerade i fråga om personuppgiftsincidenten och informera honom eller henne om de huvudsakliga skälen till begränsningen och om rätten att ge in ett klagomål till Europeiska datatillsynsmannen.

1.   Under exceptionella omständigheter får Eurojust begränsa rätten till konfidentialitet för elektronisk kommunikation enligt artikel 36 i förordningen. Sådana begränsningar ska vara förenliga med Europaparlamentets och rådets direktiv 2002/58/EG (4).

2.   Om Eurojust begränsar rätten till konfidentialitet för elektronisk kommunikation ska Eurojust i sitt svar på begäran informera den berörda registrerade om de huvudsakliga skälen till begränsningen och om dennes rätt att ge in ett klagomål till Europeiska datatillsynsmannen.

3.   Eurojust får skjuta upp, utelämna eller neka tillhandahållande av information om skälen till en begränsning och rätten att ge in ett klagomål till Europeiska datatillsynsmannen, så länge som det skulle upphäva verkan av begränsningen. En bedömning av huruvida detta är motiverat ska göras i varje enskilt fall.