1.   I detta beslut fastställs allmänna regler om de villkor enligt vilka personuppgiftsansvariga i enlighet med artikel 25.1 i förordningen får begränsa tillämpningen av, allt efter omständigheterna, artiklarna 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 och 36 i förordningen, samt artikel 4 i förordningen i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22 i förordningen.

2.   I detta beslut gäller följande definitioner:

3.   Detta beslut ska tillämpas på behandling av personuppgifter inom ramen för kommitténs verksamhet och förfaranden. Det ska inte tillämpas om en begränsning av registrerades rättigheter föreskrivs i en rättsakt som antagits på grundval av fördragen.

4.   Den personuppgiftsansvarige i den mening som avses i artikel 3.8 i förordningen är kommittén, som får delegera ansvaret för att fastställa ändamålen och medlen för behandlingen av personuppgifter.

5.   För varje behandling, begränsning och uppskjutande, utelämnande eller nekande av information ska ansvarig personuppgiftsansvarig fastställas i enlighet med kommitténs relevanta interna beslut, förfaranden och genomföranderegler.

1.   Innan begränsningar enligt artikel 3.1 tillämpas ska de personuppgiftsansvariga överväga om några av de undantag som fastställs i förordningen är tillämpliga, särskilt de som fastställs i artiklarna 15.4, 16.5, 19.3, 25.3, 25.4 och 35.3 i förordningen.

2.   Tillämpningen av undantag ska omfattas av lämpliga skyddsåtgärder i enlighet med artikel 13 i förordningen och artikel 6 i detta beslut.

1.   Personuppgiftsansvariga får, allt efter omständigheterna, begränsa tillämpningen av artiklarna 14, 15, 16, 17, 18, 19, 20, 21, 22, 35 och 36 i förordningen, samt artikel 4 i förordningen i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22 i förordningen, om registrerades utövande av sina rättigheter skulle inverka negativt på syftet med eller resultatet av en eller flera av kommitténs verksamheter eller förfaranden, särskilt

2.   De begränsningar som avses i punkt 1 kan avse både objektiva personuppgifter (”hårddata”) och subjektiva personuppgifter (”mjukdata”), särskilt men inte uteslutande tillhörande en eller flera av följande kategorier:

3.   Varje begränsning ska vara förenlig med andemeningen i de grundläggande rättigheterna och friheterna samt vara nödvändig och proportionell i ett demokratiskt samhälle, och ska begränsas till vad som är absolut nödvändigt för att dess mål ska kunna uppnås.

4.   Varje begränsning av tillämpningen av artikel 36 i förordningen (Konfidentialitet för elektronisk kommunikation), fullständig eller partiell, i enlighet med punkt 1 ska vara förenlig med tillämplig unionslagstiftning om integritet i samband med elektronisk kommunikation (15).

5.   De personuppgiftsansvariga ska regelbundet se över tillämpningen av de begränsningar som avses i punkt 1, minst var sjätte månad från deras respektive antagande, men även när väsentliga och avgörande inslag i ärendet ändras och när den verksamhet eller det förfarande som ledde till begränsningarna slutförs eller avslutas. Därefter ska de på årsbasis kontrollera behovet av att behålla en begränsning.

6.   De begränsningar som avses i punkt 1 ska förbli tillämpliga så länge som de skäl som ligger till grund för dem föreligger. Om skälen till en begränsning som avses i punkt 1 inte längre föreligger ska de personuppgiftsansvariga upphäva begränsningen.

7.   När personuppgiftsansvariga behandlar personuppgifter som mottagits från tredje part i samband med kommitténs uppgifter, ska de samråda med denna tredje part om potentiella grunder för att införa begränsningar och om huruvida de berörda begränsningarna är nödvändiga och proportionella, såvida detta inte skulle inverka negativt på kommitténs verksamhet eller förfaranden.

1.   Innan begränsningar tillämpas ska de personuppgiftsansvariga från fall till fall bedöma om de aktuella begränsningarna är nödvändiga och proportionerliga.

2.   När de personuppgiftsansvariga bedömer behovet av och proportionaliteten hos en begränsning ska de beakta de potentiella riskerna för registrerades rättigheter och friheter.

3.   Bedömningar av de risker för registrerades rättigheter och friheter som uppstår till följd av att begränsningarna införs, särskilt risken för att deras personuppgifter kan komma att behandlas ytterligare utan deras vetskap och att de kan hindras från att utöva sina rättigheter i enlighet med förordningen, samt uppgifter om tillämpningsperioden för dessa begränsningar, ska registreras i det register över behandling som de personuppgiftsansvariga för i enlighet med artikel 31.1 i förordningen. De ska även anges i eventuella konsekvensbedömningar avseende dataskydd beträffande dessa begränsningar som utförs i enlighet med artikel 39 i förordningen.

1.   När personuppgiftsansvariga tillämpar begränsningar ska de registrera

2.   De upplysningar som avses i punkt 1 ska ingå i det centrala register som föreskrivs i artikel 31.5 i förordningen och ska på begäran göras tillgängliga för datatillsynsmannen.

3.   Om personuppgiftsansvariga begränsar tillämpningen av artikel 35 i förordningen (Information till den registrerade om en personuppgiftsincident) ska de upplysningar som avses i punkt 1 ingå i den anmälan till datatillsynsmannen som föreskrivs i artikel 34.1 i förordningen.

1.   De personuppgiftsansvariga ska vidta skyddsåtgärder för att förhindra missbruk av och olaglig åtkomst till eller överföring av personuppgifter som kan vara föremål för begränsningar enligt artikel 3.1. Sådana skyddsåtgärder ska omfatta lämpliga tekniska och organisatoriska åtgärder och ska vid behov specificeras i kommitténs relevanta interna beslut, förfaranden och genomföranderegler.

2.   De skyddsåtgärder som avses i punkt 1 ska omfatta

3.   Personuppgifterna ska lagras i enlighet med kommitténs tillämpliga lagringsregler (16), som ska fastställas i de register som de personuppgiftsansvariga för i enlighet med artikel 31.1 i förordningen. Vid lagringsperiodens utgång ska personuppgifterna, allt efter omständigheterna, raderas, anonymiseras på ett sådant sätt att den registrerade inte, eller inte längre, är identifierbar eller överföras till kommitténs arkiv i enlighet med artikel 13 i förordningen.

1.   De dataskyddsmeddelanden som offentliggörs på kommitténs offentliga webbplats och på dess intranät ska omfatta ett avsnitt där de registrerade får allmän information om den eventuella begränsningen av deras rättigheter i samband med kommitténs verksamhet och förfaranden som inbegriper behandling av deras personuppgifter. I detta avsnitt ska det anges vilka rättigheter som kan komma att begränsas, på vilka grunder begränsningar kan komma att tillämpas, begränsningarnas potentiella varaktighet samt vilka administrativa och rättsliga medel som står till de registrerades förfogande.

2.   När personuppgiftsansvariga tillämpar begränsningar ska de utan onödigt dröjsmål och i det lämpligaste formatet direkt informera varje berörd registrerad om

3.   Trots vad som anges i punkt 2 ska personuppgiftsansvariga, om de i undantagsfall begränsar tillämpningen av artikel 35 i förordningen (Information till den registrerade om en personuppgiftsincident), informera den berörda registrerade om personuppgiftsincidenten och tillhandahålla den information som avses i punkt 2 b, d och e, så snart skälen för att begränsa denna information inte längre föreligger.

4.   Trots vad som anges i punkt 2 ska personuppgiftsansvariga, om de i undantagsfall begränsar tillämpningen av artikel 36 i förordningen (Konfidentialitet för elektronisk kommunikation), tillhandahålla den information som avses i punkt 2 i sitt svar på en begäran från den berörda registrerade.

5.   De personuppgiftsansvariga får skjuta upp, utelämna eller neka tillhandahållandet av den information som avses i punkt 2 (nedan kallat uppskjutande, utelämnande eller nekande av information) så länge som tillhandahållandet skulle upphäva begränsningens verkan. De ska förse den berörda registrerade med den information som avses i punkt 2 så snart detta inte längre skulle göra begränsningen verkningslös.

6.   Artiklarna 4 och 5 ska i tillämpliga delar gälla för alla fall av uppskjutande, utelämnande eller nekande av information.

1.   Personuppgiftsansvariga ska utan onödigt dröjsmål skriftligen informera dataskyddsombudet när de begränsar en registrerads rättigheter i enlighet med artikel 3.1, genomför de regelbundna översyner som avses i artikel 3.5, upphäver begränsningar i enlighet med artikel 3.6 eller skjuter upp, utelämnar eller nekar tillhandahållandet av den information som avses i artikel 7.2 i enlighet med artikel 7.5. Dataskyddsombudet ska på begäran få tillgång till tillhörande register och alla handlingar som innehåller underliggande faktiska och rättsliga omständigheter.

2.   Dataskyddsombudet kan uppmana personuppgiftsansvariga att se över befintliga begränsningar samt uppskjutanden, utelämnanden eller nekanden av information och tillämpningen av dessa. Dataskyddsombudet ska informeras skriftligen om resultatet av den begärda översynen.

3.   Dataskyddsombudets medverkan enligt punkterna 1 och 2 i samband med tillämpningen av begränsningar samt uppskjutanden, utelämnanden eller nekanden av information ska vederbörligen dokumenteras av de personuppgiftsansvariga, inbegripet den information som delats med dataskyddsombudet.

4.   Dataskyddsombudet ska på begäran lämna synpunkter till de personuppgiftsansvariga om fastställandet av deras ansvar i samband med ett arrangemang med gemensamt personuppgiftsansvar i enlighet med artikel 28.1 i förordningen.

1.   Generalsekreteraren får i förekommande fall utfärda anvisningar eller anta genomförandebestämmelser för att vid behov ytterligare specificera och ge verkan åt alla bestämmelser i detta beslut, i överensstämmelse med beslutet.

2.   Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.