1.   Genom detta beslut fastställs interna regler gällande villkoren för hur Esma inom ramen för den verksamhet som anges i punkterna 2–5 får begränsa tillämpningen av de rättigheter som fastställs i artiklarna 14–21 och 35 samt artikel 4, i överensstämmelse med artikel 25 i förordning (EU) 2018/1725. Dessa begränsningar påverkar inte de undantag för registrerades rättigheter som fastställs i förordning (EU) 2018/1725.

2.   Inom ramen för Esmas administrativa verksamhet gäller de begränsningar som anges i punkt 1 i denna artikel för behandling av personuppgifter i följande syften:

3.   Inom ramen för Esmas uppdrag gäller de begränsningar som anges i punkt 1 i denna artikel för behandling av personuppgifter i följande syften:

4.   Därutöver gäller dessa begränsningar för bistånd, samordning och/eller samarbete som Esma tillhandahåller till nationella värdepappers- och marknadsmyndigheter, däribland myndigheter i tredjeländer, och internationella organisationer inom ramen för utredningar som genomförs inom ramen för utövandet av dess lagstadgade uppdrag.

5.   De begränsningar som avses i punkt 1 i denna artikel gäller också för uppgiftsbehandling som utförs innan utredningarna eller de andra administrativa utredningar som avses i artiklarna 2–4 inleds och under övervakningen av uppföljning av resultatet av dessa utredningar.

6.   Detta beslut gäller för alla kategorier av personuppgifter som behandlas inom ramen för den verksamhet som beskrivs i punkterna 2–5.

7.   Begränsningarna kan på de villkor som anges i detta beslut gälla för följande rättigheter: tillhandahållande av information till registrerade, rätten att få tillgång till och erhålla rättelse eller radering av personuppgifter, begränsning av behandling och information till den registrerade om en personuppgiftsincident.

1.   Följande skyddsåtgärder har vidtagits för att förhindra personuppgiftsincidenter, dataläckor och obehörigt röjande inom ramen för de utredningar som avses i artikel 1:

2.   Esma fungerar, företrädd av sin verkställande direktör, som personuppgiftsansvarig vid behandlingen och får vidaredelegera denna uppgift. Registrerade ska underrättas om delegeringen via dataskyddsregistren som publiceras på Esmas webbplats.

3.   Lagringsperioden för de personuppgifter som behandlas får inte vara längre än vad som är nödvändigt och rimligt med tanke på de ändamål för vilka uppgifterna behandlas. Lagringsperioden ska anges i de dataskyddsregister och integritetsmeddelanden som avses i artikel 5.1.

4.   När Esma överväger att tillämpa en begränsning ska risken för den registrerades rättigheter och friheter vägas mot i synnerhet risken för andra registrerades rättigheter och friheter samt risken för att upphäva verkningarna av Esmas utredningar eller förfaranden, t.ex. genom förstörande av bevismaterial. Riskerna för den registrerades rättigheter och friheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras.

1.   Eventuella begränsningar ska endast tillämpas av Esma i syfte att säkerställa

2.   Esma får, i specifika fall inom ramen för de ändamål som anges i punkt 1, begränsa rättigheter och skyldigheter vad gäller personuppgifter som utbyts med kommissionens avdelningar eller unionens övriga institutioner, organ och byråer, behöriga myndigheter i medlemsstaterna eller tredjeländer, eller med internationella organisationer, om

3.   Eventuella begränsningar ska vara nödvändiga och proportionella med beaktande av riskerna för de registrerades rättigheter och friheter och förenliga med andemeningen i de grundläggande rättigheterna och friheterna i ett demokratiskt samhälle.

4.   Om myndigheten överväger att tillämpa begränsningar ska ett behovs- och proportionalitetstest genomföras på grundval av gällande bestämmelser. Detta ska dokumenteras genom en intern bedömningsnotering, i redovisningssyfte, i varje enskilt fall.

5.   Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre gäller. Detta gäller i synnerhet om myndigheten inte längre anser att utövandet av den begränsade rättigheten skulle upphäva verkan av en införd begränsning eller inverka menligt på andra registrerades rättigheter och friheter.

1.   Den personuppgiftsansvarige ska utan onödigt dröjsmål underrätta sitt dataskyddsombud när den personuppgiftsansvarige begränsar tillämpningen av de registrerades rättigheter eller utvidgar begränsningen med stöd i detta beslut. Den personuppgiftsansvarige ska ge dataskyddsombudet tillgång till den interna notering som innehåller bedömningen av behovet och proportionaliteten för begränsningen samt, i tillämpliga fall, bakomliggande faktiska och rättsliga omständigheter och dokumentera datumet då man informerat dataskyddsombudet.

2.   Dataskyddsombudet kan skriftligen begära att den personuppgiftsansvarige omprövar tillämpningen av begränsningarna. Den personuppgiftsansvarige ska skriftligen underrätta dataskyddsombudet om resultatet av omprövningen.

3.   Den personuppgiftsansvarige ska även underrätta dataskyddsombudet när begränsningen har upphävts.

4.   Den personuppgiftsansvarige ska dokumentera dataskyddsombudets inblandning i de olika stegen i behandlingen med början vid det datum då dataskyddsombudet informeras.

5.   Den interna noteringen och, i tillämpliga fall, bakomliggande faktiska och rättsliga omständigheter ska göras tillgängliga för den europeiska datatillsynsmannen på begäran.

1.   Esma ska på sin webbplats offentliggöra dataskyddsregister för att informera alla registrerade om sin verksamhet rörande personuppgiftsbehandling, däribland information om potentiella begränsningar av registrerades rättigheter.

2.   Esma ska, skriftligen och utan onödigt dröjsmål, enskilt meddela alla registrerade som man anser vara personer som berörs av utredningen eller undersökningen om dataskyddsregistren för den specifika behandlingsverksamhet det gäller.

3.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får Esma helt eller delvis begränsa det tillhandahållande av information till registrerade som avses i punkt 2. I detta fall ska man i en intern notering dokumentera skälen för begränsningen och den rättsliga grunden i enlighet med artikel 3 i detta beslut, inklusive en bedömning av om begränsningen är nödvändig och proportionerlig.

4.   Den begränsning som avses i punkt 3 ska fortsätta vara tillämplig så länge som skälen som motiverar den föreligger.

När skälen till begränsningen inte längre är tillämpliga ska Esma meddela den berörda registrerade om den relevanta dataskyddsdokumentationen och om de huvudsakliga skälen till begränsningen. Detta meddelande kan kombineras med en inbjudan att yttra sig om resultatet av den pågående utredningen eller undersökningen, som en del av den berörda registrerades utövande av sin rätt till försvar. Samtidigt ska Esma informera den berörda registrerade om rätten att när som helst inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.

Esma ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när undersökningen eller utredningen avslutas.

1.   Efter en registrerads begäran får Esma, helt eller delvis, begränsa denna registrerades rätt att få information om huruvida personuppgifter som berör honom eller henne behandlas av Esma inom ramen för en sådan utredning eller undersökning som avses i artikel 1 i detta beslut och, när så är fallet, rätten till tillgång till dessa uppgifter och till annan information som avses i artikel 17 i förordning (EU) 2018/1725.

2.   När Esma begränsar rätten till tillgång ska man informera berörd registrerad, i sitt svar på dennes begäran, om den begränsning som tillämpas och de huvudsakliga skälen till denna samt om möjligheten att inge klagomål till Europeiska datatillsynsmannen eller att begära rättslig prövning vid Europeiska unionens domstol.

3.   Tillhandahållandet av information som avses i punkt 2 får skjutas upp, utelämnas eller nekas om det skulle upphäva verkan av en begränsning i enlighet med artikel 25.8 i förordning (EU) 2018/1725.Om så är fallet ska Esma genom en intern bedömningsnotering dokumentera skälen till begränsningen, däribland en bedömning av begränsningens nödvändighet och proportionalitet samt dess varaktighet.

4.   Esma ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när utredningen eller undersökningen avslutas.

1.   Efter en registrerads begäran får Esma, inom ramen för en sådan utredning eller undersökning som avses i artikel 1 i detta beslut, helt eller delvis, begränsa denna registrerades rätt att rätta personuppgifter som berör honom eller henne, att radera eller begränsa behandlingen av hans eller hennes personuppgifter såsom fastställs i artiklarna 18, 19 och 20 i förordning (EU) 2018/1725.

2.   Om Esma begränsar tillämpningen av den rätt till rättelse, radering eller begränsning av behandling som avses ovan, ska man vidta de åtgärder som fastställs i artiklarna 6.2 och 6.3 i detta beslut.

3.   Esma ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när utredningen eller undersökningen avslutas.

1.   Esma ska meddela en personuppgiftsincident till den berörda registrerade utan onödigt dröjsmål när det är troligt att en personuppgiftsincident kan innebära en hög risk för fysiska personers rättigheter och friheter, såsom anges i artikel 35 i förordning (EU) 2018/1725.

2.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får Esma, helt eller delvis, begränsa det tillhandahållande av information till de registrerade som avses i punkt 1 i denna artikel. I detta fall ska man i en intern notering dokumentera skälen för begränsningen och den rättsliga grunden i enlighet med artikel 3 i detta beslut, däribland en bedömning av behovet och proportionaliteten av begränsningen.

3.   Den begränsning som avses i punkt 2 ska fortsätta vara tillämplig så länge som skälen som motiverar den föreligger.

När skälen för begränsningen inte längre är tillämpliga ska Esma meddela den registrerade om personuppgiftsincidenten och informera den registrerade om de huvudsakliga skälen för begränsningen. Samtidigt ska Esma informera den berörda registrerade om rätten att när som helst inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.

Esma ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när undersökningen eller utredningen avslutas.