1.   Genom detta beslut fastställs interna regler gällande villkoren för hur EBA inom ramen för den verksamhet som anges i punkterna 2–5 får begränsa tillämpningen av de rättigheter som fastställs i artiklarna 14–21 och 35 samt i artikel 4, i enlighet med artikel 25 i förordning (EU) 2018/1725. Dessa begränsningar påverkar inte de undantag för registrerades rättigheter som fastställs i förordning (EU) 2018/1725.

2.   Inom ramen för EBA:s administrativa verksamhet gäller de begränsningar som anges i punkt 1 för EBA:s behandling av personuppgifter i följande syften:

3.   Vid utförandet av EBA:s uppdrag gäller de begränsningar som anges i punkt 1 för EBA:s behandling av personuppgifter i något av följande syften:

4.   Dessutom gäller dessa begränsningar för bistånd, samordning och/eller samarbete som EBA tillhandahåller behöriga myndigheter enligt definitionen i artikel 4.2 i förordning (EU) nr 1093/2010, inklusive myndigheter i tredjeland och internationella organisationer, inom ramen för utredningar som genomförs inom ramen för utövandet av deras lagstadgade uppdrag.

5.   De begränsningar som avses i punkt 1 gäller även för den uppgiftsbehandling som utförs före inledandet av de utredningar eller andra administrativa utredningar som avses i punkterna 2–4, under dessa utredningar och under kontrollen av uppföljningen av utredningarnas resultat.

6.   Detta beslut gäller för alla kategorier av personuppgifter som behandlas inom ramen för den verksamhet som beskrivs i punkterna 2–5.

7.   Begränsningarna kan på de villkor som anges i detta beslut gälla för följande rättigheter: tillhandahållande av information till registrerade, rätten att få tillgång till och erhålla rättelse eller radering av personuppgifter, begränsning av behandling och information till den registrerade om en personuppgiftsincident.

1.   Följande skyddsåtgärder har vidtagits för att förhindra missbruk av eller olaglig åtkomst till eller överföring av uppgifter inom ramen för de utredningar som avses i artikel 1:

2.   Den personuppgiftsansvarige vid behandlingsverksamheten är EBA, företrädd av sin verkställande direktör. De registrerade ska underrättas om den delegerade personuppgiftsansvarige via de dataskyddsregister som publiceras på EBA:s webbplats.

3.   Lagringsperioden för de personuppgifter som behandlas får inte vara längre än vad som är nödvändigt och lämpligt med tanke på de ändamål för vilka uppgifterna behandlas. Lagringsperioden ska anges i de dataskyddsregister och meddelanden om behandling av personuppgifter som avses i artikel 5.1.

4.   När EBA överväger att tillämpa en begränsning ska risken för den registrerades rättigheter och friheter vägas mot i synnerhet risken för andra registrerades rättigheter och friheter samt risken för att upphäva verkningarna av EBA:s utredningar eller förfaranden till exempel genom förstörande av bevismaterial. Riskerna för den registrerades rättigheter och friheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras.

1.   Enligt artikel 25.1 i förordning (EU) 2018/1725 får EBA endast tillämpa en begränsning för att skydda följande:

2.   EBA får i specifika fall inom ramen för de ändamål som anges i punkt 1 ovan tillämpa begränsningar vad gäller personuppgifter som utbyts med kommissionens avdelningar eller EU:s övriga institutioner, organ och byråer, behöriga myndigheter i medlemsstaterna eller tredjeländer eller med internationella organisationer, om minst en av följande omständigheter föreligger:

Innan begränsningar tillämpas under de omständigheter som det hänvisas till i första stycket led a och b ska EBA samråda med kommissionens berörda avdelningar, EU:s institutioner, organ och byråer eller medlemsstaternas behöriga myndigheter, såvida det inte är uppenbart för EBA att tillämpningen av en begränsning föreskrivs genom någon av de rättsakter som det hänvisas till i dessa led.

3.   Eventuella begränsningar ska vara nödvändiga och proportionerliga med beaktande av riskerna för de registrerades rättigheter och friheter och förenliga med andemeningen i de grundläggande rättigheterna och friheterna i ett demokratiskt samhälle.

4.   Om tillämpning av begränsningar övervägs ska ett behovs- och proportionalitetstest genomföras på grundval av gällande regler. Detta ska dokumenteras genom en intern bedömningsnotering, i redovisningssyfte, och genomföras i varje enskilt fall.

5.   Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre gäller. Detta gäller i synnerhet om det anses att utövandet av den begränsade rättigheten inte längre skulle upphäva verkan av den införda begränsningen eller inverka menligt på andra registrerades rättigheter och friheter.

1.   Den personuppgiftsansvarige ska utan onödigt dröjsmål underrätta sitt dataskyddsombud om den personuppgiftsansvarige avser att begränsa utövandet av de registrerades rättigheter eller utvidgar begränsningen, i enlighet med detta beslut. Den personuppgiftsansvarige ska ge dataskyddsombudet tillgång till den interna notering som innehåller bedömningen av behovet och proportionaliteten avseende begränsningen såväl som, i tillämpliga fall, bakomliggande faktiska och rättsliga omständigheter samt dokumentera datumet då man informerat dataskyddsombudet.

2.   Dataskyddsombudet kan skriftligen begära att den personuppgiftsansvarige omprövar tillämpningen av begränsningarna. Den personuppgiftsansvarige ska skriftligen underrätta dataskyddsombudet om resultatet av omprövningen.

3.   Den personuppgiftsansvarige ska underrätta dataskyddsombudet när begränsningen har upphävts.

4.   Den personuppgiftsansvarige ska dokumentera dataskyddsombudets inblandning i de olika stegen i processen från och med det datum då dataskyddsombudet informeras.

5.   Den interna noteringen och i tillämpliga fall de bakomliggande faktiska och rättsliga omständigheterna ska på begäran göras tillgängliga för Europeiska datatillsynsmannen.

1.   EBA ska på sin webbplats offentliggöra dataskyddsregister för att informera alla registrerade om sin verksamhet som rör behandling av personuppgifter, inbegripet information om potentiella begränsningar av registrerades rättigheter enligt artikel 3 i detta beslut. Informationen ska omfatta vilka rättigheter som kan komma att begränsas, skälen till detta och möjlig varaktighet.

2.   EBA ska utan onödigt dröjsmål skriftligen och enskilt meddela alla registrerade, som man anser vara personer som berörs av utredningen, om dataskyddsregistret för den specifika behandlingsverksamheten i fråga.

3.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får EBA helt eller delvis begränsa det tillhandahållande av information till registrerade som avses i punkt 2. I detta fall ska man i en intern notering dokumentera skälen för begränsningen, den rättsliga grunden i enlighet med artikel 3 i detta beslut, inbegripet en bedömning av behovet och proportionaliteten avseende begränsningen.

4.   Den begränsning som avses i punkt 3 ska fortsätta att gälla så länge som skälen som motiverar den föreligger.

När skälen till begränsningen upphör ska EBA meddela den berörda registrerade om det relevanta dataskyddsregistret och om de huvudsakliga skälen till begränsningen. Detta meddelande kan kombineras med en inbjudan att yttra sig om resultatet av den pågående utredningen som en del av den berörda registrerades utövande av sin rätt till försvar. Samtidigt ska EBA underrätta den berörda registrerade om rätten att när som helst inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.

EBA ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs och när relevant utredning avslutas.

1.   Efter en registrerads begäran får EBA antingen helt eller delvis begränsa den registrerades rätt att erhålla bekräftelse om huruvida personuppgifter som rör honom eller henne behandlas av EBA inom ramen för en utredning som avses i artikel 1 i detta beslut och, när så är fallet, rätten till tillgång till dessa uppgifter och till annan information som avses i artikel 17 i förordning (EU) 2018/1725.

2.   När EBA begränsar rätten till tillgång ska den i sitt svar på den berörda registrerades begäran informera den registrerade om den begränsning som tillämpas och de huvudsakliga skälen till denna samt om möjligheten att inge klagomål till Europeiska datatillsynsmannen eller att begära rättslig prövning vid Europeiska unionens domstol.

3.   Tillhandahållandet av information som avses i punkt 2 får skjutas upp, utelämnas eller nekas om det skulle upphäva verkan av en begränsning som införts i enlighet med artikel 25.8 i förordning (EU) 2018/1725. Om så är fallet ska EBA genom en intern bedömningsnotering dokumentera skälen till begränsningen, inbegripet en bedömning av behovet och proportionaliteten avseende begränsningen samt dess varaktighet.

4.   EBA ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs och när relevant utredning avslutas.

1.   Efter en registrerads begäran får EBA inom ramen för en utredning som avses i artikel 1 i detta beslut antingen helt eller delvis begränsa den registrerades rätt till rättelse av personuppgifter som rör honom eller henne, radering eller begränsning av behandling av hans eller hennes personuppgifter i enlighet med artiklarna 18, 19 och 20 i förordning (EU) 2018/1725.

2.   Om EBA begränsar tillämpningen av den rätt till rättelse, radering eller begränsning av behandling som avses ovan ska de åtgärder som fastställs i artikel 6.2 vidtas, vilket ska dokumenteras i enlighet med artikel 6.3.

3.   EBA ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs och när relevant utredning avslutas.

1.   EBA ska meddela en personuppgiftsincident till den berörda registrerade utan onödigt dröjsmål om det är troligt att en personuppgiftsincident kan innebära en hög risk för fysiska personers rättigheter och friheter enligt artikel 35 i förordning (EU) 2018/1725.

2.   I vederbörligen motiverade fall och enligt de villkor som anges i detta beslut får EBA antingen helt eller delvis begränsa det tillhandahållande av information till de registrerade som avses i punkt 1 i denna artikel. I detta fall ska man i en intern notering dokumentera skälen för begränsningen, den rättsliga grunden i enlighet med artikel 3 i detta beslut, inbegripet en bedömning av behovet och proportionaliteten avseende begränsningen.

3.   Den begränsning som avses i punkt 2 ska fortsätta att gälla så länge som skälen som motiverar den föreligger.

När skälen till begränsningen upphör ska EBA informera den berörda registrerade om personuppgiftsincidenten och underrätta den registrerade om de huvudsakliga skälen till begränsningen. Samtidigt ska EBA underrätta den berörda registrerade om rätten att när som helst inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.

EBA ska ompröva tillämpningen av begränsningen var sjätte månad från det att den antogs och när relevant utredning avslutas.