”I och med att Lissabonfördraget trädde i kraft den 1 december 2009 har Europeiska unionen ersatt och efterträtt Europeiska gemenskapen och från den dagen utövar den alla gemenskapens rättigheter och fullgör alla gemenskapens skyldigheter. Därför ska hänvisningar till ’Europeiska gemenskapen’ eller ’gemenskapen’ i texten till avtalet och protokollet läsas som ’Europeiska unionen’ eller ’unionen’.”

1.   Detta beslut innehåller regler om vilka villkor som måste vara uppfyllda för att byrån inom ramen för de förfaranden som anges i punkt 2 ska få begränsa rättigheterna som avses i artiklarna 14–21, 35 och 36, liksom artikel 4 i förordning (EU) 2018/1725, i enlighet med artikel 25 i den förordningen.

2.   Inom ramen för byråns verksamhet är detta beslut tillämpligt på byråns behandling av personuppgifter för följande ändamål: administrativa utredningar, disciplinära förfaranden, förberedande åtgärder vid fall av eventuella oegentligheter som anmälts till Olaf, hantering av visselblåsarärenden, (formella och informella) förfaranden för att hantera trakasserier, handläggning av interna och externa klagomål, internrevisioner, utredningar som dataskyddsombudet genomför i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt utredningar om it-säkerhet som hanteras internt eller med extern hjälp (till exempel av CERT-EU).

3.   De kategorier av uppgifter som omfattas är hårddata (”objektiva” data såsom identifikationsuppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från specifika källor, elektronisk kommunikation och trafikuppgifter) och/eller mjukdata (”subjektiva” data som rör ärendet, såsom motivering, beteendedata, bedömningar, uppgifter om prestationer och uppförande samt uppgifter i anknytning till eller som lagts fram i samband med föremålet för förfarandet eller verksamheten).

4.   Byrån ska, vid fullgörandet av sina skyldigheter med avseende på den registrerades rättigheter enligt förordning (EU) 2018/1725, överväga om några av de undantag som anges i den förordningen är tillämpliga.

5.   Begränsningarna kan på de villkor som anges i detta beslut gälla för följande rättigheter: tillhandahållande av information till registrerade, rätten att få tillgång till och erhålla rättelse eller radering av personuppgifter, begränsning av behandling, information till den registrerade om en personuppgiftsincident eller konfidentiell behandling av kommunikation. I enlighet med artikel 5.4 i tjänsteföreskrifterna godkänns härmed de tabeller som fastställer likvärdigheten mellan de typer av tjänster och de befattningar som används för tjänstemän och tillfälligt anställda vid Emsa och som återfinns i bilagan till detta beslut.

1.   Personuppgiftsansvarig för behandlingen av personuppgifter är myndigheten, företrädd av sin verkställande direktör, som kan delegera personuppgiftsansvaret till någon annan. Registrerade ska informeras om vem som delegerats personuppgiftsansvaret genom dataskyddsmeddelanden eller register på myndighetens webbplats och/eller intranät.

2.   Lagringsperioden för de personuppgifter som anges i artikel 1.3 får inte vara längre än vad som är nödvändigt och rimligt med tanke på de ändamål för vilka uppgifterna behandlas. Den får i alla händelser inte överstiga den lagringsperiod som anges i de dataskyddsmeddelanden, meddelanden om behandling av personuppgifter eller register som nämns i artikel 5.1.

3.   Om byrån överväger att tillämpa en begränsning ska risken för den registrerades fri- och rättigheter vägas särskilt mot risken för andra registrerades fri- och rättigheter samt mot risken att verkningarna av byråns utredningar eller förfaranden upphävs, till exempel genom att bevis förstörs. Riskerna för den registrerades rättigheter och friheter omfattar i första hand, men är inte begränsade till, risker som rör anseende, rätten till försvar och rätten att höras.

1.   Eventuella begränsningar ska endast tillämpas av byrån i syfte att säkerställa

2.   Inom ramen för de ändamål som anges i punkt 1 ovan får byrån tillämpa begränsningar i följande fall:

Innan byrån tillämpar begränsningar i de fall som avses i första stycket leden a och b ska den samråda med kommissionens berörda avdelningar, unionens institutioner, organ och byråer eller medlemsstaternas behöriga myndigheter, såvida det inte är uppenbart för byrån att tillämpningen av en begränsning föreskrivs genom någon av de rättsakter som det hänvisas till i dessa led.

3.   Eventuella begränsningar ska vara nödvändiga och stå i proportion till riskerna för de registrerades rättigheter och friheter och vara förenliga med andemeningen i de grundläggande rättigheterna och friheterna i ett demokratiskt samhälle.

4.   Om man överväger att tillämpa en begränsning ska en bedömning av nödvändigheten och proportionaliteten göras var sjätte månad på grundval av dessa regler. Bedömningen ska dokumenteras i redovisningssyfte genom en intern bedömningsnotering i varje enskilt fall.

5.   Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre gäller. Detta gäller särskilt i de fall då utövandet av den begränsade rättigheten inte längre anses upphäva verkan av en införd begränsning eller inverka menligt på andra registrerades rättigheter och friheter.

1.   Myndigheten ska i enlighet med detta beslut utan onödigt dröjsmål informera myndighetens dataskyddsombud om alla fall då den personuppgiftsansvarige begränsar registrerades rättigheter eller förlänger en begränsning. Den personuppgiftsansvarige ska ge dataskyddsombudet tillgång till den dokumentation som innehåller bedömningen av begränsningens nödvändighet och proportionalitet och ange i densamma det datum när dataskyddsombudet underrättades.

2.   Dataskyddsombudet kan skriftligen begära att den personuppgiftsansvarige omprövar tillämpningen av begränsningarna. Den personuppgiftsansvarige ska skriftligen underrätta dataskyddsombudet om resultatet av den begärda omprövningen.

3.   Den personuppgiftsansvarige ska även underrätta dataskyddsombudet när begränsningen har upphävts.

1.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvarige begränsa rätten till information i samband med följande typ av uppgiftsbehandling:

I de dataskyddsmeddelanden, meddelanden om skydd av personuppgifter, eller det register som avses i artikel 31 i förordning (EU) 2018/1725, som publiceras på byråns webbplats och/eller intranät och som innehåller information till registrerade om deras rättigheter i olika förfaranden, ska byrån informera de registrerade om att dessa rättigheter kan komma att inskränkas. Informationen ska omfatta vilka rättigheter som kan komma att begränsas, skälen och möjlig varaktighet.

2.   Utan att det påverkar tillämpningen av bestämmelserna i punkt 3 ska byrån, där så är proportionerligt, utan onödigt dröjsmål skriftligen även personligen informera alla registrerade som anses vara berörda i respektive behandlingsfall om deras rättigheter vad gäller pågående eller framtida inskränkningar.

3.   I de fall då byrån helt eller delvis begränsar informationen till registrerade enligt punkt 2 ska byrån dokumentera anledningarna till begränsningen och den rättsliga grunden enligt artikel 3 i detta beslut samt inkludera en bedömning av nödvändigheten och proportionaliteten i begränsningen.

Dokumentationen och, i tillämpliga fall, handlingarna som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.

4.   Den begränsning som avses i punkt 3 ska fortsätta vara tillämplig så länge som skälen som motiverar den föreligger.

Om skälen till begränsning inte längre föreligger ska byrån underrätta den registrerade om de huvudsakliga skälen till varför en begränsning tillämpas. Samtidigt ska byrån informera den registrerade om dennes rätt att när som helst inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.

Myndigheten ska ompröva begränsningen var sjätte månad från det att den beslutats samt när utredningen eller förfarandet i fråga avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar.

1.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvarige begränsa rätten till tillgång vid följande typ av uppgiftsbehandling, om det är nödvändigt och proportionellt:

Om registrerade, i överensstämmelse med artikel 17 i förordning (EU) 2018/1725, begär tillgång till sina personuppgifter som behandlas i samband med ett eller flera specifika fall eller ärenden som inbegriper uppgiftsbehandling ska byrån begränsa sin bedömning av denna begäran till att endast avse dessa personuppgifter.

2.   Om byrån helt eller delvis begränsar rätten till tillgång, som avses i artikel 17 i förordning (EU) 2018/1725, ska följande åtgärder vidtas:

Tillhandahållandet av den information som avses i led a får skjutas upp, utelämnas eller nekas om det skulle upphäva verkan av en begränsning som införts i enlighet med artikel 25.8 i förordning (EU) 2018/1725.

Myndigheten ska ompröva begränsningen var sjätte månad från det att beslut om den fattats, samt när utredningen i fråga avslutas. Därefter ska den personuppgiftsansvarige på halvårsbasis övervaka behovet av att behålla eventuella begränsningar.

3.   Dokumentationen och, i tillämpliga fall, handlingarna som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.

1.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvarige begränsa rätten till rättelse, radering och begränsning av behandling vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:

2.   Om myndigheten helt eller delvis inskränker den rätt till rättelse, radering eller begränsning av behandling som avses i artiklarna 18, 19.1 och 20.1 i förordning (EU) 2018/1725 ska myndigheten vidta de åtgärder som anges i artikel 6.2 i föreliggande beslut och registrera dokumentationen i enlighet med artikel 6.3 i detsamma. Utan att det påverkar ovanstående åtgärder ska varje begränsning ses över i enlighet med villkoren i artikel 3.4 i detta beslut.

1.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvarige begränsa rätten till information om en personuppgiftsincident vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:

2.   I vederbörligen motiverade fall och enligt de villkor som anges i föreliggande beslut, får den personuppgiftsansvarige begränsa rätten till konfidentiell behandling av elektronisk kommunikation vid följande typ av uppgiftsbehandling, om det är nödvändigt och lämpligt:

3.   Om byrån inskränker en registrerads rätt att få information om personuppgiftsincidenter eller rätt till konfidentiell behandling av elektronisk korrespondens i enlighet med artiklarna 35 och 36 i förordning (EU) 2018/1725 ska den personuppgiftsansvarige notera och registrera skälen till inskränkningen i enlighet med artikel 5.3 i detta beslut. Artikel 5.4 i detta beslut ska tillämpas. Utan att det påverkar ovanstående åtgärder ska varje begränsning ses över i enlighet med villkoren i artikel 3.4 i detta beslut.