# Επίσημη Εφημερίδα L 221/2019

| | ISSN 1977-0669 |
| --- | --- |
| Επίσημη Εφημερίδα
  της Ευρωπαϊκής Ένωσης | L 221 |
| | |
| Έκδοση στην ελληνική γλώσσα | Νομοθεσία | 62ό έτος26 Αυγούστου 2019 |

ISSN 1977-0669

Επίσημη Εφημερίδα

της Ευρωπαϊκής Ένωσης

L 221

Έκδοση στην ελληνική γλώσσα

Νομοθεσία

62ό έτος26 Αυγούστου 2019

---

| Περιεχόμενα | | II   Μη νομοθετικές πράξεις | Σελίδα |
| --- | --- | --- | --- |
| | | ΕΣΩΤΕΡΙΚΟΙ ΚΑΙ ΔΙΑΔΙΚΑΣΤΙΚΟΙ ΚΑΝΟΝΙΣΜΟΙ |
| | * | Απόφαση του Συμβουλίου Διοίκησης της Ευρωπαϊκής Αρχής Ασφαλίσεων και Επαγγελματικών Συντάξεων, της 23ης Μαΐου 2019, σχετικά με τους εσωτερικούς κανόνες που αφορούν τους περιορισμούς ορισμένων δικαιωμάτων των υποκειμένων των δεδομένων αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας της EIOPA | 1 |

Περιεχόμενα

II   Μη νομοθετικές πράξεις

Σελίδα

ΕΣΩΤΕΡΙΚΟΙ ΚΑΙ ΔΙΑΔΙΚΑΣΤΙΚΟΙ ΚΑΝΟΝΙΣΜΟΙ

*

Απόφαση του Συμβουλίου Διοίκησης της Ευρωπαϊκής Αρχής Ασφαλίσεων και Επαγγελματικών Συντάξεων, της 23ης Μαΐου 2019, σχετικά με τους εσωτερικούς κανόνες που αφορούν τους περιορισμούς ορισμένων δικαιωμάτων των υποκειμένων των δεδομένων αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας της EIOPA

1

| EL | Οι πράξεις των οποίων οι τίτλοι έχουν τυπωθεί με λευκά στοιχεία αποτελούν πράξεις τρεχούσης διαχειρίσεως που έχουν θεσπισθεί στο πλαίσιο της γεωργικής πολιτικής και είναι γενικά περιορισμένης χρονικής ισχύος.
  Οι τίτλοι όλων των υπολοίπων πράξεων έχουν τυπωθεί με μαύρα στοιχεία και επισημαίνονται με αστερίσκο. |
| --- | --- |

EL

Οι πράξεις των οποίων οι τίτλοι έχουν τυπωθεί με λευκά στοιχεία αποτελούν πράξεις τρεχούσης διαχειρίσεως που έχουν θεσπισθεί στο πλαίσιο της γεωργικής πολιτικής και είναι γενικά περιορισμένης χρονικής ισχύος.

Οι τίτλοι όλων των υπολοίπων πράξεων έχουν τυπωθεί με μαύρα στοιχεία και επισημαίνονται με αστερίσκο.

---

II Μη νομοθετικές πράξεις

ΕΣΩΤΕΡΙΚΟΙ ΚΑΙ ΔΙΑΔΙΚΑΣΤΙΚΟΙ ΚΑΝΟΝΙΣΜΟΙ

| 26.8.2019 | EL | Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης | L 221/1 |
| --- | --- | --- | --- |

26.8.2019

EL

Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης

L 221/1

---

ΑΠΟΦΑΣΗ ΤΟΥ ΣΥΜΒΟΥΛΙΟΥ ΔΙΟΙΚΗΣΗΣ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΑΡΧΗΣ ΑΣΦΑΛΙΣΕΩΝ ΚΑΙ ΕΠΑΓΓΕΛΜΑΤΙΚΩΝ ΣΥΝΤΑΞΕΩΝ

της 23ης Μαΐου 2019

σχετικά με τους εσωτερικούς κανόνες που αφορούν τους περιορισμούς ορισμένων δικαιωμάτων των υποκειμένων των δεδομένων αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας της EIOPA

ΤΟ ΣΥΜΒΟΥΛΙΟ ΔΙΟΙΚΗΣΗΣ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΑΡΧΗΣ ΑΣΦΑΛΙΣΕΩΝ ΚΑΙ ΕΠΑΓΓΕΛΜΑΤΙΚΩΝ ΣΥΝΤΑΞΕΩΝ,

Έχοντας υπόψη:

τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,

τον κανονισμό (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (1), και ιδίως το άρθρο 25,

τον κανονισμό (ΕΕ) αριθ. 1094/2010 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Νοεμβρίου 2010, σχετικά με τη σύσταση Ευρωπαϊκής Εποπτικής Αρχής (Ευρωπαϊκή Αρχή Ασφαλίσεων και Επαγγελματικών Συντάξεων), την τροποποίηση της απόφασης αριθ. 716/2009/ΕΚ και την κατάργηση της απόφασης 2009/79/ΕΚ της Επιτροπής (2) (εφεξής «EIOPA»), και ιδίως το άρθρο 47 παράγραφος 1,

τη γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων («ΕΕΠΔ») της 14ης Μαΐου 2019,

Εκτιμώντας τα ακόλουθα:

| (1) | Σύμφωνα με το άρθρο 25 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, οι περιορισμοί της εφαρμογής των άρθρων 14 έως 22 και των άρθρων 35 και 36, καθώς και του άρθρου 4 του εν λόγω κανονισμού, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 14 έως 22, πρέπει να βασίζονται σε εσωτερικούς κανόνες που θεσπίζονται από την EIOPA, εφόσον δεν βασίζονται σε νομικές πράξεις που εκδίδονται βάσει των Συνθηκών. |
| --- | --- |

(1)

Σύμφωνα με το άρθρο 25 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, οι περιορισμοί της εφαρμογής των άρθρων 14 έως 22 και των άρθρων 35 και 36, καθώς και του άρθρου 4 του εν λόγω κανονισμού, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 14 έως 22, πρέπει να βασίζονται σε εσωτερικούς κανόνες που θεσπίζονται από την EIOPA, εφόσον δεν βασίζονται σε νομικές πράξεις που εκδίδονται βάσει των Συνθηκών.

| (2) | Οι εν λόγω εσωτερικοί κανόνες, συμπεριλαμβανομένων των διατάξεων σχετικά με την εκτίμηση της αναγκαιότητας και της αναλογικότητας ενός περιορισμού, δεν πρέπει να εφαρμόζονται όταν μια νομική πράξη που έχει εκδοθεί βάσει των Συνθηκών προβλέπει περιορισμό των δικαιωμάτων των υποκειμένων των δεδομένων. |
| --- | --- |

(2)

Οι εν λόγω εσωτερικοί κανόνες, συμπεριλαμβανομένων των διατάξεων σχετικά με την εκτίμηση της αναγκαιότητας και της αναλογικότητας ενός περιορισμού, δεν πρέπει να εφαρμόζονται όταν μια νομική πράξη που έχει εκδοθεί βάσει των Συνθηκών προβλέπει περιορισμό των δικαιωμάτων των υποκειμένων των δεδομένων.

| (3) | Η EIOPA, κατά την άσκηση των καθηκόντων της όσον αφορά τα δικαιώματα των υποκειμένων των δεδομένων βάσει του κανονισμού (ΕΕ) 2018/1725, εξετάζει κατά πόσον εφαρμόζονται τυχόν εξαιρέσεις που ορίζονται στον εν λόγω κανονισμό. |
| --- | --- |

(3)

Η EIOPA, κατά την άσκηση των καθηκόντων της όσον αφορά τα δικαιώματα των υποκειμένων των δεδομένων βάσει του κανονισμού (ΕΕ) 2018/1725, εξετάζει κατά πόσον εφαρμόζονται τυχόν εξαιρέσεις που ορίζονται στον εν λόγω κανονισμό.

| (4) | Στο πλαίσιο της διοικητικής λειτουργίας της, η EIOPA μπορεί να διεξάγει διοικητικές έρευνες και πειθαρχικές διαδικασίες, να εκτελεί προκαταρκτικές δραστηριότητες που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης, να επεξεργάζεται υποθέσεις καταγγελίας δυσλειτουργιών, να επεξεργάζεται (επίσημες και ανεπίσημες) διαδικασίες παρενόχλησης, να επεξεργάζεται εσωτερικές και εξωτερικές καταγγελίες, να διενεργεί εσωτερικούς ελέγχους, να διεξάγει έρευνες μέσω του Υπεύθυνου Προστασίας Δεδομένων («ΥΠΔ»), σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725 και εσωτερικές έρευνες ασφαλείας (ΤΠ). |
| --- | --- |

(4)

Στο πλαίσιο της διοικητικής λειτουργίας της, η EIOPA μπορεί να διεξάγει διοικητικές έρευνες και πειθαρχικές διαδικασίες, να εκτελεί προκαταρκτικές δραστηριότητες που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης, να επεξεργάζεται υποθέσεις καταγγελίας δυσλειτουργιών, να επεξεργάζεται (επίσημες και ανεπίσημες) διαδικασίες παρενόχλησης, να επεξεργάζεται εσωτερικές και εξωτερικές καταγγελίες, να διενεργεί εσωτερικούς ελέγχους, να διεξάγει έρευνες μέσω του Υπεύθυνου Προστασίας Δεδομένων («ΥΠΔ»), σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725 και εσωτερικές έρευνες ασφαλείας (ΤΠ).

| (5) | Η EIOPA επεξεργάζεται διάφορες κατηγορίες δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων των τεκμηριωμένων δεδομένων («αντικειμενικά» δεδομένα όπως στοιχεία ταυτότητας, στοιχεία επικοινωνίας, επαγγελματικά στοιχεία, διοικητικά στοιχεία, δεδομένα που λαμβάνονται από συγκεκριμένες πηγές, ηλεκτρονικές επικοινωνίες και δεδομένα κίνησης) και/ή μη τεκμηριωμένα δεδομένα («υποκειμενικά» δεδομένα σχετικά με την υπόθεση, όπως σκεπτικό, δεδομένα συμπεριφοράς, αξιολογήσεις, στοιχεία σχετικά με την απόδοση και συμπεριφορά και δεδομένα που σχετίζονται ή υποβάλλονται σε σχέση με το αντικείμενο της διαδικασίας ή δραστηριότητας). |
| --- | --- |

(5)

Η EIOPA επεξεργάζεται διάφορες κατηγορίες δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων των τεκμηριωμένων δεδομένων («αντικειμενικά» δεδομένα όπως στοιχεία ταυτότητας, στοιχεία επικοινωνίας, επαγγελματικά στοιχεία, διοικητικά στοιχεία, δεδομένα που λαμβάνονται από συγκεκριμένες πηγές, ηλεκτρονικές επικοινωνίες και δεδομένα κίνησης) και/ή μη τεκμηριωμένα δεδομένα («υποκειμενικά» δεδομένα σχετικά με την υπόθεση, όπως σκεπτικό, δεδομένα συμπεριφοράς, αξιολογήσεις, στοιχεία σχετικά με την απόδοση και συμπεριφορά και δεδομένα που σχετίζονται ή υποβάλλονται σε σχέση με το αντικείμενο της διαδικασίας ή δραστηριότητας).

| (6) | Η EIOPA, η οποία εκπροσωπείται από τον Εκτελεστικό Διευθυντή της, ενεργεί ως υπεύθυνος επεξεργασίας δεδομένων, ανεξάρτητα από περαιτέρω ανάθεση των καθηκόντων του υπεύθυνου επεξεργασίας εντός της EIOPA ώστε να αντικατοπτρίζει επιχειρησιακές αρμοδιότητες για συγκεκριμένες περιπτώσεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα. |
| --- | --- |

(6)

Η EIOPA, η οποία εκπροσωπείται από τον Εκτελεστικό Διευθυντή της, ενεργεί ως υπεύθυνος επεξεργασίας δεδομένων, ανεξάρτητα από περαιτέρω ανάθεση των καθηκόντων του υπεύθυνου επεξεργασίας εντός της EIOPA ώστε να αντικατοπτρίζει επιχειρησιακές αρμοδιότητες για συγκεκριμένες περιπτώσεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα.

| (7) | Τα δεδομένα προσωπικού χαρακτήρα φυλάσσονται με ασφάλεια σε ηλεκτρονικό περιβάλλον ή σε έντυπη μορφή ώστε να αποτρέπεται η παράνομη πρόσβαση σε αυτά ή η διαβίβασή τους σε πρόσωπα που δεν απαιτείται να τα γνωρίζουν. Τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία διατηρούνται μόνο για το διάστημα που είναι αναγκαίο και κατάλληλο για τους σκοπούς για τους οποίους τα δεδομένα υποβάλλονται σε επεξεργασία, για την περίοδο που καθορίζεται στις ανακοινώσεις προστασίας δεδομένων, στις δηλώσεις απορρήτου ή στα αρχεία της EIOPA. |
| --- | --- |

(7)

Τα δεδομένα προσωπικού χαρακτήρα φυλάσσονται με ασφάλεια σε ηλεκτρονικό περιβάλλον ή σε έντυπη μορφή ώστε να αποτρέπεται η παράνομη πρόσβαση σε αυτά ή η διαβίβασή τους σε πρόσωπα που δεν απαιτείται να τα γνωρίζουν. Τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία διατηρούνται μόνο για το διάστημα που είναι αναγκαίο και κατάλληλο για τους σκοπούς για τους οποίους τα δεδομένα υποβάλλονται σε επεξεργασία, για την περίοδο που καθορίζεται στις ανακοινώσεις προστασίας δεδομένων, στις δηλώσεις απορρήτου ή στα αρχεία της EIOPA.

| (8) | Οι εν λόγω εσωτερικοί κανόνες θα πρέπει να εφαρμόζονται σε όλες τις πράξεις επεξεργασίας που διεξάγονται από την EIOPA κατά την εκτέλεση διοικητικών ερευνών, πειθαρχικών διαδικασιών, προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης, διαδικασιών καταγγελίας δυσλειτουργιών, (επίσημων και ανεπίσημων) διαδικασιών για υποθέσεις παρενόχλησης, επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών, εσωτερικών ελέγχων, των ερευνών που διεξάγονται από τον ΥΠΔ σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725, εσωτερικών ερευνών ασφαλείας (ΤΠ) που διεκπεραιώνονται εσωτερικά ή με εξωτερική συμμετοχή (π.χ. CERT-EE). |
| --- | --- |

(8)

Οι εν λόγω εσωτερικοί κανόνες θα πρέπει να εφαρμόζονται σε όλες τις πράξεις επεξεργασίας που διεξάγονται από την EIOPA κατά την εκτέλεση διοικητικών ερευνών, πειθαρχικών διαδικασιών, προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης, διαδικασιών καταγγελίας δυσλειτουργιών, (επίσημων και ανεπίσημων) διαδικασιών για υποθέσεις παρενόχλησης, επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών, εσωτερικών ελέγχων, των ερευνών που διεξάγονται από τον ΥΠΔ σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725, εσωτερικών ερευνών ασφαλείας (ΤΠ) που διεκπεραιώνονται εσωτερικά ή με εξωτερική συμμετοχή (π.χ. CERT-EE).

| (9) | Οι εν λόγω εσωτερικοί κανόνες θα πρέπει να εφαρμόζονται σε πράξεις επεξεργασίας που διενεργούνται πριν από την έναρξη των διαδικασιών που αναφέρονται ανωτέρω, κατά τη διάρκεια των εν λόγω διαδικασιών και κατά την παρακολούθηση του αποτελέσματος των εν λόγω διαδικασιών. Επίσης, θα πρέπει να περιλαμβάνεται η συνδρομή και η συνεργασία που παρέχει η EIOPA σε εθνικές αρχές και διεθνείς οργανισμούς εκτός των διοικητικών ερευνών που διενεργεί. |
| --- | --- |

(9)

Οι εν λόγω εσωτερικοί κανόνες θα πρέπει να εφαρμόζονται σε πράξεις επεξεργασίας που διενεργούνται πριν από την έναρξη των διαδικασιών που αναφέρονται ανωτέρω, κατά τη διάρκεια των εν λόγω διαδικασιών και κατά την παρακολούθηση του αποτελέσματος των εν λόγω διαδικασιών. Επίσης, θα πρέπει να περιλαμβάνεται η συνδρομή και η συνεργασία που παρέχει η EIOPA σε εθνικές αρχές και διεθνείς οργανισμούς εκτός των διοικητικών ερευνών που διενεργεί.

| (10) | Στις περιπτώσεις όπου εφαρμόζονται οι εν λόγω εσωτερικοί κανόνες, η EIOPA πρέπει να αιτιολογεί γιατί οι περιορισμοί είναι απολύτως αναγκαίοι και αναλογικοί σε μια δημοκρατική κοινωνία και να τηρεί την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών. |
| --- | --- |

(10)

Στις περιπτώσεις όπου εφαρμόζονται οι εν λόγω εσωτερικοί κανόνες, η EIOPA πρέπει να αιτιολογεί γιατί οι περιορισμοί είναι απολύτως αναγκαίοι και αναλογικοί σε μια δημοκρατική κοινωνία και να τηρεί την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών.

| (11) | Στο πλαίσιο αυτό, η EIOPA υποχρεούται να σέβεται, στον μέγιστο δυνατό βαθμό, τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων κατά τη διεξαγωγή των ανωτέρω διαδικασιών, ιδίως αυτά που αφορούν το δικαίωμα παροχής πληροφοριών, πρόσβασης και διόρθωσης, το δικαίωμα διαγραφής, περιορισμού επεξεργασίας, το δικαίωμα γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ή το απόρρητο των επικοινωνιών, όπως θεσπίζονται στον κανονισμό (ΕΕ) 2018/1725. |
| --- | --- |

(11)

Στο πλαίσιο αυτό, η EIOPA υποχρεούται να σέβεται, στον μέγιστο δυνατό βαθμό, τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων κατά τη διεξαγωγή των ανωτέρω διαδικασιών, ιδίως αυτά που αφορούν το δικαίωμα παροχής πληροφοριών, πρόσβασης και διόρθωσης, το δικαίωμα διαγραφής, περιορισμού επεξεργασίας, το δικαίωμα γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ή το απόρρητο των επικοινωνιών, όπως θεσπίζονται στον κανονισμό (ΕΕ) 2018/1725.

| (12) | Ωστόσο, η EIOPA μπορεί να υποχρεωθεί να περιορίσει τις πληροφορίες στο υποκείμενο των δεδομένων και άλλα δικαιώματα του υποκειμένου των δεδομένων για την προστασία, κυρίως, των δικών της ερευνών, των ερευνών και διαδικασιών άλλων δημόσιων αρχών, καθώς και των δικαιωμάτων άλλων προσώπων που σχετίζονται με τις έρευνες ή άλλες διαδικασίες της. |
| --- | --- |

(12)

Ωστόσο, η EIOPA μπορεί να υποχρεωθεί να περιορίσει τις πληροφορίες στο υποκείμενο των δεδομένων και άλλα δικαιώματα του υποκειμένου των δεδομένων για την προστασία, κυρίως, των δικών της ερευνών, των ερευνών και διαδικασιών άλλων δημόσιων αρχών, καθώς και των δικαιωμάτων άλλων προσώπων που σχετίζονται με τις έρευνες ή άλλες διαδικασίες της.

| (13) | Η EIOPA μπορεί επομένως να περιορίσει τις πληροφορίες για λόγους προστασίας της έρευνας και των θεμελιωδών δικαιωμάτων και ελευθεριών άλλων υποκειμένων δεδομένων. |
| --- | --- |

(13)

Η EIOPA μπορεί επομένως να περιορίσει τις πληροφορίες για λόγους προστασίας της έρευνας και των θεμελιωδών δικαιωμάτων και ελευθεριών άλλων υποκειμένων δεδομένων.

| (14) | Η EIOPA θα πρέπει να παρακολουθεί περιοδικά την τήρηση των όρων που δικαιολογούν τον περιορισμό και να αίρει τον περιορισμό όταν αυτοί δεν ισχύουν πλέον. |
| --- | --- |

(14)

Η EIOPA θα πρέπει να παρακολουθεί περιοδικά την τήρηση των όρων που δικαιολογούν τον περιορισμό και να αίρει τον περιορισμό όταν αυτοί δεν ισχύουν πλέον.

| (15) | Ο υπεύθυνος επεξεργασίας θα πρέπει να ενημερώνει τον ΥΠΔ κατά τη στιγμή της αναβολής και κατά τη διάρκεια των αναθεωρήσεων, |
| --- | --- |

(15)

Ο υπεύθυνος επεξεργασίας θα πρέπει να ενημερώνει τον ΥΠΔ κατά τη στιγμή της αναβολής και κατά τη διάρκεια των αναθεωρήσεων,

ΕΞΕΔΩΣΕ ΤΗΝ ΑΠΟΦΑΣΗ:

Άρθρο 1

Αντικείμενο και πεδίο εφαρμογής

1.   Η παρούσα απόφαση θεσπίζει κανόνες σχετικά με τους όρους υπό τους οποίους η EIOPA, στο πλαίσιο των διαδικασιών της που ορίζονται στην παράγραφο 2, μπορεί να περιορίζει την εφαρμογή των δικαιωμάτων που θεσπίζονται στα άρθρα 14, 21, 35 και 36, καθώς και στο άρθρο 4, σύμφωνα με το άρθρο 25 του κανονισμού (ΕΕ) 2018/1725.

2.   Στο πλαίσιο της διοικητικής λειτουργίας της EIOPA, η παρούσα απόφαση ισχύει για τις πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα από την Αρχή για τους εξής σκοπούς: διεξαγωγή διοικητικών ερευνών, πειθαρχικών διαδικασιών, προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών οι οποίες αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης, διεκπεραίωση υποθέσεων καταγγελίας δυσλειτουργιών, (επίσημων και ανεπίσημων) διαδικασιών για υποθέσεις παρενόχλησης, επεξεργασία εσωτερικών και εξωτερικών καταγγελιών, διενέργεια εσωτερικών ελέγχων, ερευνών που διεξάγονται από τον ΥΠΔ σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725, εσωτερικών ερευνών ασφαλείας (ΤΠ) που διεκπεραιώνονται εσωτερικά ή με εξωτερική συμμετοχή (π.χ. CERT-EE).

3.   Οι σχετικές κατηγορίες δεδομένων περιλαμβάνουν τα τεκμηριωμένα δεδομένα («αντικειμενικά» δεδομένα όπως στοιχεία ταυτότητας, στοιχεία επικοινωνίας, επαγγελματικά στοιχεία, διοικητικά στοιχεία, δεδομένα που λαμβάνονται από συγκεκριμένες πηγές, ηλεκτρονικές επικοινωνίες και δεδομένα κίνησης) και/ή μη τεκμηριωμένα δεδομένα («υποκειμενικά» δεδομένα σχετικά με την υπόθεση, όπως σκεπτικό, δεδομένα συμπεριφοράς, αξιολογήσεις, στοιχεία σχετικά με την απόδοση και συμπεριφορά και δεδομένα που σχετίζονται ή υποβάλλονται σε σχέση με το αντικείμενο της διαδικασίας ή δραστηριότητας).

4.   Η EIOPA, κατά την άσκηση των καθηκόντων της όσον αφορά τα δικαιώματα των υποκειμένων των δεδομένων βάσει του κανονισμού (ΕΕ) 2018/1725, εξετάζει κατά πόσον εφαρμόζονται τυχόν εξαιρέσεις που ορίζονται στον εν λόγω κανονισμό.

5.   Με την επιφύλαξη των όρων που καθορίζονται στην παρούσα απόφαση, οι περιορισμοί μπορεί να ισχύουν για τα ακόλουθα δικαιώματα: παροχή πληροφοριών σε υποκείμενα των δεδομένων, δικαίωμα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού επεξεργασίας, γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ή απορρήτου επικοινωνιών.

Άρθρο 2

Προδιαγραφές του υπεύθυνου επεξεργασίας και εγγυήσεις

1.   Οι εγγυήσεις που ισχύουν για την αποφυγή παραβιάσεων δεδομένων προσωπικού χαρακτήρα, διαρροών ή μη εξουσιοδοτημένης δημοσιοποίησης είναι οι εξής:

| α) | τα έγγραφα φυλάσσονται σε ασφαλισμένα ντουλάπια και είναι προσβάσιμα μόνο από εξουσιοδοτημένο προσωπικό· |
| --- | --- |

α)

τα έγγραφα φυλάσσονται σε ασφαλισμένα ντουλάπια και είναι προσβάσιμα μόνο από εξουσιοδοτημένο προσωπικό·

| β) | όλα τα ηλεκτρονικά δεδομένα αποθηκεύονται σε ασφαλή εφαρμογή ΤΠ σύμφωνα με τα πρότυπα ασφαλείας της EIOPA, καθώς και σε συγκεκριμένους ηλεκτρονικούς φακέλους οι οποίοι είναι προσβάσιμοι μόνο από εξουσιοδοτημένο προσωπικό. Τα κατάλληλα επίπεδα πρόσβασης παρέχονται μεμονωμένα· |
| --- | --- |

β)

όλα τα ηλεκτρονικά δεδομένα αποθηκεύονται σε ασφαλή εφαρμογή ΤΠ σύμφωνα με τα πρότυπα ασφαλείας της EIOPA, καθώς και σε συγκεκριμένους ηλεκτρονικούς φακέλους οι οποίοι είναι προσβάσιμοι μόνο από εξουσιοδοτημένο προσωπικό. Τα κατάλληλα επίπεδα πρόσβασης παρέχονται μεμονωμένα·

| γ) | η βάση δεδομένων προστατεύεται με κωδικό πρόσβασης σε ένα σύστημα ενιαίας πρόσβασης και συνδέεται αυτόματα με το αναγνωριστικό και τον κωδικό πρόσβασης του χρήστη. Η αντικατάσταση των χρηστών απαγορεύεται αυστηρά. Τα ηλεκτρονικά αρχεία φυλάσσονται με ασφάλεια για τη διασφάλιση της εμπιστευτικότητας και του απορρήτου των δεδομένων που περιέχονται σε αυτά· |
| --- | --- |

γ)

η βάση δεδομένων προστατεύεται με κωδικό πρόσβασης σε ένα σύστημα ενιαίας πρόσβασης και συνδέεται αυτόματα με το αναγνωριστικό και τον κωδικό πρόσβασης του χρήστη. Η αντικατάσταση των χρηστών απαγορεύεται αυστηρά. Τα ηλεκτρονικά αρχεία φυλάσσονται με ασφάλεια για τη διασφάλιση της εμπιστευτικότητας και του απορρήτου των δεδομένων που περιέχονται σε αυτά·

| δ) | όλα τα πρόσωπα που έχουν πρόσβαση στα δεδομένα δεσμεύονται από την υποχρέωση εμπιστευτικότητας. |
| --- | --- |

δ)

όλα τα πρόσωπα που έχουν πρόσβαση στα δεδομένα δεσμεύονται από την υποχρέωση εμπιστευτικότητας.

2.   Ο υπεύθυνος επεξεργασίας είναι η EIOPA, εκπροσωπούμενη από τον Εκτελεστικό Διευθυντή της, ο οποίος μπορεί να μεταβιβάσει την αρμοδιότητα του υπεύθυνου επεξεργασίας. Τα υποκείμενα των δεδομένων ενημερώνονται σχετικά με τον εξουσιοδοτημένο υπεύθυνο επεξεργασίας μέσω ανακοινώσεων για την προστασία των δεδομένων ή αρχείων που δημοσιεύονται στον δικτυακό τόπο και/ή στο εσωτερικό δίκτυο της EIOPA.

3.   Η περίοδος διατήρησης των δεδομένων προσωπικού χαρακτήρα που αναφέρεται στο άρθρο 1 παράγραφος 3 δεν υπερβαίνει το διάστημα που είναι αναγκαίο και κατάλληλο για τους σκοπούς για τους οποίους τα δεδομένα υποβάλλονται σε επεξεργασία. Σε κάθε περίπτωση δεν υπερβαίνει την περίοδο διατήρησης που ορίζεται στις ανακοινώσεις προστασίας των δεδομένων, στις δηλώσεις απορρήτουή στα αρχεία που αναφέρονται στο άρθρο 5 παράγραφος 1.

4.   Στις περιπτώσεις που η EIOPA προτίθεται να εφαρμόσει έναν περιορισμό, σταθμίζεται ο κίνδυνος για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων, ιδίως, σε σχέση με τον κίνδυνο για τα δικαιώματα και τις ελευθερίες άλλων υποκειμένων δεδομένων και τον κίνδυνο της ακύρωσης του αποτελέσματος των ερευνών ή διαδικασιών της EIOPA, για παράδειγμα μέσω της καταστροφής αποδεικτικών στοιχείων. Οι κίνδυνοι για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων αφορούν κατά κύριο λόγο, αλλά δεν περιορίζονται, στους κινδύνους φήμης και τους κινδύνους για το δικαίωμα υπεράσπισης και το δικαίωμα ακρόασης.

Άρθρο 3

Περιορισμοί

1.   Οποιοσδήποτε περιορισμός εφαρμόζεται μόνο από την EIOPA για τη διασφάλιση:

| α) | της πρόληψης, της διερεύνησης, της ανίχνευσης και της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένης της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της πρόληψης αυτών· |
| --- | --- |

α)

της πρόληψης, της διερεύνησης, της ανίχνευσης και της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένης της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της πρόληψης αυτών·

| β) | άλλων σημαντικών στόχων γενικού δημόσιου συμφέροντος της Ένωσης ή κράτους μέλους, ιδίως των στόχων της κοινής εξωτερικής πολιτικής και πολιτικής ασφαλείας της Ένωσης ή σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος της Ένωσης ή κράτους μέλους, συμπεριλαμβανομένων των νομισματικών, δημοσιονομικών και φορολογικών θεμάτων, της δημόσιας υγείας και της κοινωνικής ασφάλισης· |
| --- | --- |

β)

άλλων σημαντικών στόχων γενικού δημόσιου συμφέροντος της Ένωσης ή κράτους μέλους, ιδίως των στόχων της κοινής εξωτερικής πολιτικής και πολιτικής ασφαλείας της Ένωσης ή σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος της Ένωσης ή κράτους μέλους, συμπεριλαμβανομένων των νομισματικών, δημοσιονομικών και φορολογικών θεμάτων, της δημόσιας υγείας και της κοινωνικής ασφάλισης·

| γ) | της εσωτερικής ασφάλειας των οργάνων και οργανισμών της Ένωσης, συμπεριλαμβανομένων των δικτύων ηλεκτρονικών επικοινωνιών τους· |
| --- | --- |

γ)

της εσωτερικής ασφάλειας των οργάνων και οργανισμών της Ένωσης, συμπεριλαμβανομένων των δικτύων ηλεκτρονικών επικοινωνιών τους·

| δ) | της πρόληψης, διερεύνησης, ανίχνευσης και δίωξης παραβάσεων της δεοντολογίας των νομοθετικά κατοχυρωμένων επαγγελμάτων· |
| --- | --- |

δ)

της πρόληψης, διερεύνησης, ανίχνευσης και δίωξης παραβάσεων της δεοντολογίας των νομοθετικά κατοχυρωμένων επαγγελμάτων·

| ε) | της παρακολούθησης, της επιθεώρησης ή της κανονιστικής λειτουργίας που συνδέεται, έστω περιστασιακά, με την άσκηση δημόσιας εξουσίας στις περιπτώσεις που αναφέρονται στα σημεία α) έως γ) · |
| --- | --- |

ε)

της παρακολούθησης, της επιθεώρησης ή της κανονιστικής λειτουργίας που συνδέεται, έστω περιστασιακά, με την άσκηση δημόσιας εξουσίας στις περιπτώσεις που αναφέρονται στα σημεία α) έως γ) ·

| στ) | της προστασίας του υποκειμένου των δεδομένων ή των δικαιωμάτων και των ελευθεριών τρίτων. |
| --- | --- |

στ)

της προστασίας του υποκειμένου των δεδομένων ή των δικαιωμάτων και των ελευθεριών τρίτων.

2.   Στο πλαίσιο της ειδικής εφαρμογής των σκοπών που περιγράφονται στην παράγραφο 1 ανωτέρω, η EIOPA μπορεί να εφαρμόσει περιορισμούς σε σχέση με δεδομένα προσωπικού χαρακτήρα που ανταλλάσσονται με τις υπηρεσίες της Επιτροπής ή με άλλα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης, με αρμόδιες αρχές των κρατών μελών ή τρίτων χωρών ή με διεθνείς οργανισμούς, στις εξής περιπτώσεις:

| α) | όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να περιοριστεί από τις υπηρεσίες της Επιτροπής ή από άλλα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης βάσει άλλων πράξεων οι οποίες προβλέπονται στο άρθρο 25 του κανονισμού (ΕΕ) 2018/1725 ή σύμφωνα με το κεφάλαιο IX του εν λόγω κανονισμού ή με τις ιδρυτικές πράξεις άλλων θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης· |
| --- | --- |

α)

όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να περιοριστεί από τις υπηρεσίες της Επιτροπής ή από άλλα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης βάσει άλλων πράξεων οι οποίες προβλέπονται στο άρθρο 25 του κανονισμού (ΕΕ) 2018/1725 ή σύμφωνα με το κεφάλαιο IX του εν λόγω κανονισμού ή με τις ιδρυτικές πράξεις άλλων θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης·

| β) | όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να περιοριστεί από αρμόδιες αρχές των κρατών μελών βάσει πράξεων που αναφέρονται στο άρθρο 23 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (3), ή δυνάμει εθνικών μέτρων για τη μεταφορά των άρθρων 13 παράγραφος 3, 15 παράγραφος 3 ή 16 παράγραφος 3 της οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4)· |
| --- | --- |

β)

όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να περιοριστεί από αρμόδιες αρχές των κρατών μελών βάσει πράξεων που αναφέρονται στο άρθρο 23 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (3), ή δυνάμει εθνικών μέτρων για τη μεταφορά των άρθρων 13 παράγραφος 3, 15 παράγραφος 3 ή 16 παράγραφος 3 της οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4)·

| γ) | όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να θέσει σε κίνδυνο τη συνεργασία της EIOPA με τρίτες χώρες ή διεθνείς οργανισμούς κατά την άσκηση των καθηκόντων της. |
| --- | --- |

γ)

όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να θέσει σε κίνδυνο τη συνεργασία της EIOPA με τρίτες χώρες ή διεθνείς οργανισμούς κατά την άσκηση των καθηκόντων της.

Προτού εφαρμόσει περιορισμούς στις περιπτώσεις που αναφέρονται στα σημεία α) και β) του πρώτου εδαφίου, η EIOPA ζητάει τη γνώμη των οικείων υπηρεσιών της Επιτροπής, των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης ή των αρμόδιων αρχών των κρατών μελών, εκτός αν έχει καταστεί σαφές στην EIOPA ότι η εφαρμογή ενός περιορισμού προβλέπεται σε κάποια από τις πράξεις που αναφέρονται στα εν λόγω σημεία.

3.   Οποιοσδήποτε περιορισμός οφείλει να είναι αναγκαίος και αναλογικός, λαμβάνοντας υπόψη τους κινδύνους για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων και να τηρεί την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών σε μια δημοκρατική κοινωνία.

4.   Αν εξετάζεται η εφαρμογή περιορισμού, διενεργείται δοκιμή αναγκαιότητας και αναλογικότητας με βάση τους ισχύοντες κανόνες. Πρέπει να τεκμηριώνεται μέσω ενός εσωτερικού σημειώματος αξιολόγησης για λόγους λογοδοσίας κατά περίπτωση.

5.   Οι περιορισμοί αίρονται αμέσως μόλις οι περιστάσεις που τους αιτιολογούν δεν ισχύον πλέον. Ειδικότερα, όταν κρίνεται ότι η άσκηση του περιορισμένου δικαιώματος δεν θα στερεί πλέον από τον περιορισμό που επιβάλλεται την ισχύ του, ούτε θα θίγει τα δικαιώματα ή τις ελευθερίες άλλων υποκειμένων δεδομένων.

Άρθρο 4

Επανεξέταση από τον Υπεύθυνο Προστασίας Δεδομένων

1.   Η EIOPA ενημερώνει χωρίς αδικαιολόγητη καθυστέρηση τον Υπεύθυνο Προστασίας Δεδομένων της, κάθε φορά που ο υπεύθυνος επεξεργασίας περιορίζει την εφαρμογή των δικαιωμάτων των υποκειμένων των δεδομένων ή επεκτείνει τον περιορισμό, σύμφωνα με την παρούσα απόφαση. Ο υπεύθυνος επεξεργασίας παρέχει στον ΥΠΔ πρόσβαση στο αρχείο που περιέχει την αξιολόγηση της αναγκαιότητας και της αναλογικότητας του περιορισμού και καταγράφει την ημερομηνία ενημέρωσης του ΥΠΔ στο αρχείο.

2.   Ο ΥΠΔ μπορεί να ζητήσει γραπτώς από τον υπεύθυνο επεξεργασίας να εξετάσει την εφαρμογή των περιορισμών. Ο υπεύθυνος επεξεργασίας ενημερώνει γραπτώς τον ΥΠΔ σχετικά με το αποτέλεσμα της αιτούμενης επανεξέτασης.

3.   Ο υπεύθυνος επεξεργασίας ενημερώνει τον ΥΠΔ για την άρση του περιορισμού.

Άρθρο 5

Παροχή πληροφοριών σε υποκείμενο δεδομένων

1.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, το δικαίωμα ενημέρωσης μπορεί να περιοριστεί από τον υπεύθυνο επεξεργασίας στο πλαίσιο των ακόλουθων περιπτώσεων επεξεργασίας:

| α) | διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών· |
| --- | --- |

α)

διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·

| β) | προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης· |
| --- | --- |

β)

προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης·

| γ) | διαδικασιών καταγγελίας δυσλειτουργιών· |
| --- | --- |

γ)

διαδικασιών καταγγελίας δυσλειτουργιών·

| δ) | (επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης· |
| --- | --- |

δ)

(επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης·

| ε) | επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών· |
| --- | --- |

ε)

επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·

| στ) | εσωτερικών ελέγχων· |
| --- | --- |

στ)

εσωτερικών ελέγχων·

| ζ) | ερευνών που διενεργούνται από τον ΥΠΔ σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725· |
| --- | --- |

ζ)

ερευνών που διενεργούνται από τον ΥΠΔ σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725·

| η) | ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ). |
| --- | --- |

η)

ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ).

Η EIOPA περιλαμβάνει στις ανακοινώσεις προστασίας δεδομένων, στις δηλώσεις απορρήτου ή στα αρχεία κατά την έννοια του άρθρου 31 του κανονισμού (ΕΕ) 2018/1725, που δημοσιεύονται στον δικτυακό της τόπο και/ή στο εσωτερικό δίκτυο για την ενημέρωση των υποκειμένων δεδομένων σχετικά με τα δικαιώματά τους στο πλαίσιο μιας συγκεκριμένης διαδικασίας, πληροφορίες σχετικά με τον ενδεχόμενο περιορισμό των εν λόγω δικαιωμάτων. Οι πληροφορίες καλύπτουν τα δικαιώματα που ενδέχεται να περιοριστούν, τους λόγους, καθώς και την πιθανή διάρκεια του περιορισμού.

2.   Με την επιφύλαξη των διατάξεων της παραγράφου 3, η EIOPA, όπου αναλογικό, ενημερώνει επίσης μεμονωμένα όλα τα υποκείμενα των δεδομένων, τα οποία θεωρούνται πρόσωπα που τα αφορά η συγκεκριμένη επεξεργασία, για τα δικαιώματά τους σχετικά με υφιστάμενους ή μελλοντικούς περιορισμούς, χωρίς αδικαιολόγητη καθυστέρηση και σε γραπτή μορφή.

3.   Όταν η EIOPA περιορίζει, εν όλω ή εν μέρει, την παροχή πληροφοριών στα υποκείμενα των δεδομένων που αναφέρονται στην παράγραφο 2, καταγράφει τους λόγους του περιορισμού, τη νομική βάση σύμφωνα με το άρθρο 3 της παρούσας απόφασης, συμπεριλαμβανομένης εκτίμησης της αναγκαιότητας και της αναλογικότητας του περιορισμού.

4.   Το αρχείο και, κατά περίπτωση, τα έγγραφα που περιέχουν υποκείμενα πραγματικά και νομικά στοιχεία καταχωρίζονται. Όλα αυτά τίθενται, κατόπιν αιτήματος, στη διάθεση του ΕΕΠΔ.

5.   Ο περιορισμός που αναφέρεται στην παράγραφο 3 εξακολουθεί να εφαρμόζεται όσο εξακολουθούν να ισχύουν οι λόγοι που τον αιτιολογούν.

6.   Όταν οι λόγοι του περιορισμού δεν ισχύουν πλέον, η EIOPA παρέχει πληροφορίες στο υποκείμενο των δεδομένων σχετικά με τους κύριους λόγους στους οποίους βασίζεται η εφαρμογή ενός περιορισμού. Παράλληλα, η EIOPA ενημερώνει το υποκείμενο των δεδομένων για το δικαίωμά του να προβεί ανά πάσα στιγμή σε καταγγελία στον ΕΕΠΔ ή να ασκήσει δικαστική προσφυγή ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης.

7.   Η EIOPA επανεξετάζει την εφαρμογή του περιορισμού ανά έξι μήνες μετά την έγκρισή του και κατά το κλείσιμο της σχετικής έρευνας, διαδικασίας ή διερεύνησης. Στη συνέχεια, ο υπεύθυνος επεξεργασίας παρακολουθεί την ανάγκη διατήρησης οποιουδήποτε περιορισμού σε εξαμηνιαία βάση.

Άρθρο 6

Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων

1.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, το δικαίωμα πρόσβασης μπορεί να περιοριστεί από τον υπεύθυνο επεξεργασίας στο πλαίσιο των ακόλουθων περιπτώσεων επεξεργασίας, όπου είναι αναγκαίο και αναλογικό:

| α) | διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών· |
| --- | --- |

α)

διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·

| β) | προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης· |
| --- | --- |

β)

προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης·

| γ) | διαδικασιών καταγγελίας δυσλειτουργιών· |
| --- | --- |

γ)

διαδικασιών καταγγελίας δυσλειτουργιών·

| δ) | (επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης· |
| --- | --- |

δ)

(επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης·

| ε) | επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών· |
| --- | --- |

ε)

επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·

| στ) | εσωτερικών ελέγχων· |
| --- | --- |

στ)

εσωτερικών ελέγχων·

| ζ) | ερευνών που διενεργούνται από τον ΥΠΔ σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725· |
| --- | --- |

ζ)

ερευνών που διενεργούνται από τον ΥΠΔ σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725·

| η) | ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ). |
| --- | --- |

η)

ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ).

Όταν τα υποκείμενα των δεδομένων αιτούνται πρόσβαση στα προσωπικά δεδομένα τους τα οποία υποβάλλονται σε επεξεργασία στο πλαίσιο μίας ή περισσότερων συγκεκριμένων υποθέσεων ή σε συγκεκριμένη πράξη επεξεργασίας, σύμφωνα με το άρθρο 17 του κανονισμού (ΕΕ) 2018/1725, η EIOPA περιορίζεται κατά την αξιολόγηση του αιτήματος μόνο στα εν λόγω δεδομένα προσωπικού χαρακτήρα.

2.   Όταν η EIOPA περιορίζει, εν όλω ή εν μέρει, το δικαίωμα πρόσβασης που αναφέρεται στο άρθρο 17 του κανονισμού (ΕΕ) 2018/1725, ακολουθεί τα εξής στάδια:

| α) | ενημερώνει το υποκείμενο των δεδομένων, στην απάντησή της στο αίτημά του, σχετικά με τον περιορισμό που εφαρμόζεται και τους κύριους λόγους του περιορισμού, καθώς και σχετικά με τη δυνατότητά του να προβεί ανά πάσα στιγμή σε καταγγελία στον ΕΕΠΔ ή να ασκήσει δικαστική προσφυγή ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης· |
| --- | --- |

α)

ενημερώνει το υποκείμενο των δεδομένων, στην απάντησή της στο αίτημά του, σχετικά με τον περιορισμό που εφαρμόζεται και τους κύριους λόγους του περιορισμού, καθώς και σχετικά με τη δυνατότητά του να προβεί ανά πάσα στιγμή σε καταγγελία στον ΕΕΠΔ ή να ασκήσει δικαστική προσφυγή ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης·

| β) | τεκμηριώνει σε εσωτερικό σημείωμα αξιολόγησης τους λόγους του περιορισμού, συμπεριλαμβανομένης μιας αξιολόγησης της αναγκαιότητας και της αναλογικότητας του περιορισμού, καθώς και της διάρκειάς του. |
| --- | --- |

β)

τεκμηριώνει σε εσωτερικό σημείωμα αξιολόγησης τους λόγους του περιορισμού, συμπεριλαμβανομένης μιας αξιολόγησης της αναγκαιότητας και της αναλογικότητας του περιορισμού, καθώς και της διάρκειάς του.

Η παροχή πληροφοριών που αναφέρεται στο στοιχείο α) μπορεί να αναβάλλεται, να παραλείπεται ή να απορρίπτεται στο μέτρο που στερεί από τον περιορισμό την ισχύ του σύμφωνα με το άρθρο 25 παράγραφος 8 του κανονισμού (ΕΕ) 2018/1725.

3.   Η EIOPA επανεξετάζει την εφαρμογή του περιορισμού ανά έξι μήνες μετά την έγκρισή του και κατά το κλείσιμο της οικείας έρευνας. Στη συνέχεια, ο υπεύθυνος επεξεργασίας παρακολουθεί την ανάγκη διατήρησης οποιουδήποτε περιορισμού σε εξαμηνιαία βάση. Ο ΥΠΔ ενημερώνεται αναλόγως.

4.   Το αρχείο και, κατά περίπτωση, τα έγγραφα που περιέχουν υποκείμενα πραγματικά και νομικά στοιχεία καταχωρίζονται. Όλα αυτά τίθενται, κατόπιν αιτήματος, στη διάθεση του ΕΕΠΔ.

Άρθρο 7

Δικαίωμα διόρθωσης, διαγραφής και περιορισμού της επεξεργασία

1.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, το δικαίωμα διόρθωσης, διαγραφής και περιορισμού μπορεί να περιοριστεί από τον υπεύθυνο επεξεργασίας στο πλαίσιο των ακόλουθων περιπτώσεων επεξεργασίας, όπου είναι αναγκαίο και κατάλληλο:

| α) | διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών· |
| --- | --- |

α)

διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·

| β) | προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης· |
| --- | --- |

β)

προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης·

| γ) | διαδικασιών καταγγελίας δυσλειτουργιών· |
| --- | --- |

γ)

διαδικασιών καταγγελίας δυσλειτουργιών·

| δ) | (επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης· |
| --- | --- |

δ)

(επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης·

| ε) | επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών· |
| --- | --- |

ε)

επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·

| στ) | εσωτερικών ελέγχων· |
| --- | --- |

στ)

εσωτερικών ελέγχων·

| ζ) | ερευνών που διενεργούνται από τον ΥΠΔ σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725· |
| --- | --- |

ζ)

ερευνών που διενεργούνται από τον ΥΠΔ σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725·

| η) | ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ). |
| --- | --- |

η)

ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ).

2.   Όταν η EIOPA περιορίζει, εν όλω ή εν μέρει, την εφαρμογή των δικαιωμάτων διόρθωσης, διαγραφής και περιορισμού της επεξεργασίας, τα οποία αναφέρονται στα άρθρα 18, 19 παράγραφος 1 και 20 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, ακολουθεί τα στάδια που περιγράφονται στο άρθρο 6 παράγραφος 2 της παρούσας απόφασης και καταχωρίζει το αρχείο σύμφωνα με το άρθρο 6 παράγραφος 3.

Άρθρο 8

Ανακοίνωση της παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων και απόρρητο των ηλεκτρονικών επικοινωνιών

1.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, το δικαίωμα γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα μπορεί να περιοριστεί από τον υπεύθυνο επεξεργασίας στο πλαίσιο των ακόλουθων περιπτώσεων επεξεργασίας, όπου είναι αναγκαίο και κατάλληλο:

| α) | διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών· |
| --- | --- |

α)

διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·

| β) | προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης· |
| --- | --- |

β)

προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης·

| γ) | διαδικασιών καταγγελίας δυσλειτουργιών· |
| --- | --- |

γ)

διαδικασιών καταγγελίας δυσλειτουργιών·

| δ) | (επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης· |
| --- | --- |

δ)

(επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης·

| ε) | επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών· |
| --- | --- |

ε)

επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·

| στ) | εσωτερικών ελέγχων· |
| --- | --- |

στ)

εσωτερικών ελέγχων·

| ζ) | των ερευνών που διενεργούνται από τον ΥΠΔ σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725· |
| --- | --- |

ζ)

των ερευνών που διενεργούνται από τον ΥΠΔ σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725·

| η) | των ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ). |
| --- | --- |

η)

των ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ).

2.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, το δικαίωμα του απορρήτου των ηλεκτρονικών επικοινωνιών μπορεί να περιοριστεί από τον υπεύθυνο επεξεργασίας στο πλαίσιο των ακόλουθων εργασιών επεξεργασίας, όπου είναι αναγκαίο και κατάλληλο:

| α) | της διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών· |
| --- | --- |

α)

της διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·

| β) | προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης· |
| --- | --- |

β)

προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης·

| γ) | διαδικασιών καταγγελίας δυσλειτουργιών· |
| --- | --- |

γ)

διαδικασιών καταγγελίας δυσλειτουργιών·

| δ) | επίσημων διαδικασιών σε περιπτώσεις παρενόχλησης· |
| --- | --- |

δ)

επίσημων διαδικασιών σε περιπτώσεις παρενόχλησης·

| ε) | της επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών· |
| --- | --- |

ε)

της επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·

| στ) | των ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ). |
| --- | --- |

στ)

των ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ).

3.   Όταν η EIOPA περιορίζει την ανακοίνωση της παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ή το απόρρητο των ηλεκτρονικών επικοινωνιών, όπως αναφέρονται στα άρθρα 35 και 36 του κανονισμού (ΕΕ) 2018/1725, αρχειοθετεί και καταχωρίζει τους λόγους του περιορισμού σύμφωνα με το άρθρο 5 παράγραφος 3 της παρούσας απόφασης. Εφαρμόζεται το άρθρο 5 παράγραφος 4 της παρούσας απόφασης.

Άρθρο 9

Θέση σε ισχύ

Η παρούσα απόφαση τίθεται σε ισχύ την επομένη της δημοσίευσής της στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης

Φρανκφούρτη, 23 Μαΐου 2019.

Για την EIOPA

Gabriel BERNARDINO

Πρόεδρος του Διοικητικού Συμβουλίου

---

(1)  
  ΕΕ L 295 της 21.11.2018, σ. 39.

1

(2)  
  ΕΕ L 331 της 15.12.2010, σ. 48.

2

(3)  Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ L 119 της 4.5.2016, σ. 1).

3

(4)  Οδηγία (EE) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου (ΕΕ L 119 της 4.5.2016, σ. 89).

4

---