1.   Detta beslut innehåller regler om de villkor som måste vara uppfyllda för att det gemensamma företaget inom ramen för de förfaranden som anges i punkt 2 ska få begränsa rättigheterna som avses i artiklarna 14–21, 35 och 36, samt artikel 4 i förordning (EU) 2018/1725, i enlighet med artikel 25 i den förordningen.

2.   Inom ramen för det gemensamma företagets administrativa verksamhet är detta beslut tillämpligt på dess behandling av personuppgifter för följande ändamål: genomförande av administrativa utredningar och disciplinära förfaranden samt förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf, handläggning av visselblåsarärenden, genomförande av (formella och informella) förfaranden mot trakasserier, behandling av interna och externa klagomål, behandling av hälsouppgifter, genomförande av internrevisioner, genomförande av utredningar tillsammans med dataskyddsombudet i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (t.ex. av incidenthanteringsorganisationen för EU:s institutioner och byråer).

Detta beslut bör även gälla för stöd och samarbete som det gemensamma företaget bistår nationella myndigheter och internationella organisationer med vid sidan av sina administrativa utredningar.

Vidare gäller detta beslut för verksamhet med anknytning till samarbete med EU:s institutioner och organ, och överföring av uppgifter om en administrativ utredning eller disciplinära förfaranden till dessa institutioner och organ, när sådana uppgifter krävs för att mottagaren ska kunna utvärdera skälen för att inleda en formell utredning eller ett formellt förfarande.

3.   De kategorier av uppgifter som omfattas är hårddata (”objektiva” data såsom identifikationsuppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter) och/eller mjukdata (”subjektiva” data som rör ärendet såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter med anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten).

4.   Det gemensamma företaget ska, vid fullgörandet av sina skyldigheter med avseende på den registrerades rättigheter enligt förordning (EU) 2018/1725, överväga om några av de undantag som anges i den förordningen är tillämpliga.

5.   Begränsningarna kan på de villkor som anges i detta beslut gälla för följande rättigheter: tillhandahållande av information till registrerade, rätten att få tillgång till och erhålla rättelse eller radering av personuppgifter, begränsning av behandling, information till den registrerade om en personuppgiftsincident eller konfidentiell behandling av kommunikation.

1.   Följande skyddsåtgärder har vidtagits för att förhindra personuppgiftsincidenter, dataläckor och obehörigt utlämnande:

2.   Det gemensamma företaget fungerar, företrädd av sin direktör, som personuppgiftsansvarig vid behandlingen och får vidaredelegera denna uppgift. Registrerade ska underrättas om delegeringen via dataskyddsmeddelanden eller dokumentation som publiceras på det gemensamma företagets webbplats och/eller intranät.

3.   Lagringsperioden för de personuppgifter som anges i artikel 1.3 får inte vara längre än vad som är nödvändigt och rimligt med tanke på de ändamål för vilka uppgifterna behandlas. Den får i alla händelser inte överstiga den lagringsperiod som anges i de dataskyddsmeddelanden, meddelanden om behandling av personuppgifter eller register som nämns i artikel 5.1.

4.   När det gemensamma företaget överväger att tillämpa en begränsning ska risken för den registrerades rättigheter och friheter vägas mot i synnerhet risken för andra registrerades rättigheter och friheter samt risken för att upphäva verkningarna av det gemensamma företagets utredningar och förfaranden, t.ex. genom förstörande av bevismaterial. Riskerna för andra registrerades rättigheter och friheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras.

1.   Eventuella begränsningar ska endast tillämpas av det gemensamma företaget i syfte att säkerställa

2.   Det gemensamma företaget får, i specifika fall inom ramen för de ändamål som anges i punkt 1 ovan, begränsa rättigheter och skyldigheter vad gäller personuppgifter som utbyts med kommissionens avdelningar eller unionens övriga institutioner, organ och byråer, behöriga myndigheter i medlemsstaterna eller tredjeländer, eller med internationella organisationer, om

Innan det gemensamma företaget tillämpar begränsningar i de fall som avses i första stycket leden a och b ska man samråda med kommissionens berörda avdelningar, unionens institutioner, organ och byråer eller medlemsstaternas behöriga myndigheter, såvida det inte är uppenbart för det gemensamma företaget att tillämpningen av en begränsning föreskrivs genom någon av de rättsakter som det hänvisas till i dessa led.

3.   Eventuella begränsningar ska vara nödvändiga och proportionella med beaktande av riskerna för de registrerades rättigheter och friheter och förenliga med andemeningen i de grundläggande rättigheterna och friheterna i ett demokratiskt samhälle.

4.   Om det gemensamma företaget överväger att tillämpa en begränsning ska en bedömning av nödvändigheten och proportionaliteten göras på grundval av dessa regler. Bedömningen ska dokumenteras i redovisningssyfte genom en intern bedömningsnotering i varje enskilt fall.

5.   Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre gäller. Detta gäller särskilt i de fall då utövandet av den begränsade rättigheten inte längre anses upphäva verkan av en införd begränsning eller inverka menligt på andra registrerades rättigheter och friheter.

1.   Det gemensamma företaget ska som personuppgiftsansvarig utan onödigt dröjsmål underrätta sitt dataskyddsombud när företaget begränsar tillämpningen av de registrerades rättigheter eller utvidgar begränsningen med stöd i detta beslut. Den personuppgiftsansvarige ska ge dataskyddsombudet tillgång till den dokumentation som innehåller bedömningen av begränsningens nödvändighet och proportionalitet, och i dokumentationen ange det datum då dataskyddsombudet underrättades.

2.   Dataskyddsombudet kan skriftligen begära att den personuppgiftsansvarige omprövar tillämpningen av begränsningarna. Den personuppgiftsansvarige ska skriftligen underrätta dataskyddsombudet om resultatet av omprövningen.

3.   Den personuppgiftsansvarige ska även underrätta dataskyddsombudet när begränsningen har upphävts.

1.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvarige begränsa rätten till information i samband med följande typ av uppgiftsbehandling:

I dataskyddsmeddelandena, meddelandena om skydd av personuppgifter eller de register som avses i artikel 31 i förordning (EU) 2018/1725, som publiceras på det gemensamma företagets webbplats och/eller intranät och som innehåller information till registrerade om deras rättigheter i olika förfaranden, ska det gemensamma företaget informera de registrerade om att dessa rättigheter kan komma att inskränkas. Informationen ska omfatta vilka rättigheter som kan komma att begränsas.

2.   Utan att det påverkar tillämpningen av bestämmelserna i punkt 3 ska det gemensamma företaget där så är proportionellt informera alla registrerade som anses vara berörda i den specifika behandlingen om deras rättigheter vad gäller aktuella eller framtida begränsningar. Informationen ska ges utan onödigt dröjsmål, skriftligen och individuellt.

3.   I de fall då det gemensamma företaget helt eller delvis begränsar informationen till registrerade enligt punkt 2 ska företaget dokumentera skälen till begränsningen och den rättsliga grunden enligt artikel 3 i detta beslut samt en bedömning av nödvändigheten och proportionaliteten i begränsningen.

Dokumentationen och, i tillämpliga fall, handlingarna som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.

4.   Den begränsning som avses i punkt 3 ska fortsätta vara tillämplig så länge som skälen som motiverar den föreligger.

Det gemensamma företaget ska underrätta den registrerade om de huvudsakliga skälen till att en begränsning tillämpas. Samtidigt ska det gemensamma företaget informera den registrerade om dennes rätt att när som helst inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.

Det gemensamma företaget ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när undersökningen, utredningen eller förfarandet avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar.

1.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvarige begränsa rätten till tillgång vid följande typ av uppgiftsbehandling, om det är nödvändigt och proportionellt:

Om registrerade, i överensstämmelse med artikel 17 i förordning (EU) 2018/1725, begär tillgång till sina personuppgifter som behandlas i samband med ett eller flera specifika fall eller ärenden som inbegriper uppgiftsbehandling, ska det gemensamma företaget begränsa sin bedömning av denna begäran till att endast avse dessa personuppgifter.

2.   Om det gemensamma företaget helt eller delvis begränsar rätten till tillgång, som avses i artikel 17 i förordning (EU) 2018/1725, ska följande åtgärder vidtas:

Tillhandahållandet av den information som avses i led a får skjutas upp, utelämnas eller nekas om det skulle upphäva verkan av en begränsning som införts i enlighet med artikel 25.8 i förordning (EU) 2018/1725.

Det gemensamma företaget ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs, och när undersökningen, utredningen eller förfarandet avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar.

3.   Dokumentationen och, i tillämpliga fall, handlingarna som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.

1.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvarige begränsa rätten till rättelse, radering och begränsning av behandling vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:

2.   Artikel 6.2 och 6.3 i detta beslut är tillämplig om det gemensamma företaget helt eller delvis begränsar den rätt till rättelse, radering eller begränsning av behandling som avses i artiklarna 18, 19.1 och 20.1 i förordning (EU) 2018/1725.

1.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvarige begränsa rätten till information om en personuppgiftsincident vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:

2.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvarige begränsa rätten till konfidentiell behandling av elektronisk kommunikation vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:

3.   Artikel 5.3 och 5.4 i detta beslut är tillämplig om det gemensamma företaget begränsar informationen till den registrerade om en personuppgiftsincident eller konfidentialiteten vid elektronisk kommunikation i enlighet med artiklarna 35 och 36 i förordning (EU) 2018/1725.