CELEX: 32018D1962
Language: el
Date: 2018-12-11 00:00:00
Title: Απόφαση (ΕΕ) 2018/1962 της Επιτροπής, της 11ης Δεκεμβρίου 2018, για τη θέσπιση εσωτερικών κανόνων σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα από την Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης (OLAF) σε σχέση με την παροχή πληροφοριών στα υποκείμενα των δεδομένων και τον περιορισμό ορισμένων δικαιωμάτων τους σύμφωνα με το άρθρο 25 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου

12.12.2018   
               
               
                  EL
               
               
                  Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης
               
               
                  L 315/41
               
            
         ΑΠΟΦΑΣΗ (ΕΕ) 2018/1962 ΤΗΣ ΕΠΙΤΡΟΠΗΣ
         της 11ης Δεκεμβρίου 2018
         για τη θέσπιση εσωτερικών κανόνων σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα από την Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης (OLAF) σε σχέση με την παροχή πληροφοριών στα υποκείμενα των δεδομένων και τον περιορισμό ορισμένων δικαιωμάτων τους σύμφωνα με το άρθρο 25 του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου
         Η ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ,
         Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης και ιδίως το άρθρο 249 παράγραφος 1,
         Εκτιμώντας τα ακόλουθα:
         
                     (1)
                  
                  
                     Η Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης («η Υπηρεσία») ιδρύθηκε με την απόφαση 1999/352/ΕΚ, ΕΚΑΧ, Ευρατόμ της Επιτροπής (1) ως υπηρεσία της Επιτροπής. Η Υπηρεσία διενεργεί έρευνες με πλήρη ανεξαρτησία.
                  
               
                     (2)
                  
                  
                     Η Υπηρεσία διενεργεί διοικητικές έρευνες με σκοπό την καταπολέμηση της απάτης, της διαφθοράς και κάθε άλλης παράνομης δραστηριότητας εις βάρος των οικονομικών συμφερόντων της Ένωσης σύμφωνα με τον κανονισμό (ΕΕ, Ευρατόμ) αριθ. 883/2013 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (2). Για τον σκοπό αυτό, ασκεί αφενός στα κράτη μέλη τις εξουσίες διενέργειας ερευνών που ανατίθενται στην Επιτροπή από τις σχετικές πράξεις της Ένωσης, και αφετέρου σε τρίτες χώρες και σε εγκαταστάσεις διεθνών οργανισμών τις εν λόγω εξουσίες που απορρέουν από τις σχετικές συμφωνίες συνεργασίας και αμοιβαίας συνδρομής και από κάθε άλλο ισχύον νομικό μέσο.
                  
               
                     (3)
                  
                  
                     Η Υπηρεσία διενεργεί επίσης διοικητικές έρευνες εντός των θεσμικών και λοιπών οργάνων και οργανισμών που ιδρύθηκαν από τις Συνθήκες ή βάσει αυτών. Στο πλαίσιο των ερευνητικών της καθηκόντων, η Υπηρεσία συγκεντρώνει πληροφορίες ερευνητικού ενδιαφέροντος, περιλαμβανομένων των δεδομένων προσωπικού χαρακτήρα, από ποικίλες πηγές —δημόσιες αρχές, ιδιωτικούς φορείς και φυσικά πρόσωπα— τις οποίες ανταλλάσσει με θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης, με αρμόδιες αρχές των κρατών μελών και τρίτων χωρών, καθώς και με διεθνείς οργανισμούς πριν και μετά από δραστηριότητες έρευνας και συντονισμού αλλά και κατά τη διάρκεια αυτών.
                  
               
                     (4)
                  
                  
                     Στο πλαίσιο των δραστηριοτήτων της, η Υπηρεσία επεξεργάζεται αρκετές κατηγορίες δεδομένων προσωπικού χαρακτήρα, ιδίως στοιχεία ταυτότητας, στοιχεία επικοινωνίας, επαγγελματικά στοιχεία και στοιχεία εμπλοκής σε υποθέσεις. Η Υπηρεσία, που εκπροσωπείται από τον γενικό διευθυντή της, ενεργεί ως υπεύθυνη επεξεργασίας. Τα δεδομένα προσωπικού χαρακτήρα αποθηκεύονται σε ασφαλές ηλεκτρονικό περιβάλλον, το οποίο αποτρέπει την παράνομη πρόσβαση ή τη διαβίβαση δεδομένων σε άτομα που δεν χρειάζεται να έχουν γνώση των δεδομένων αυτών. Τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία τηρούνται επί δεκαπέντε έτη μετά την απόρριψη μιας υπόθεσης ή μετά την περάτωση μιας υπόθεσης έρευνας ή συντονισμού με απόφαση του γενικού διευθυντή. Στο τέλος της περιόδου διατήρησης, οι πληροφορίες που σχετίζονται με την υπόθεση, περιλαμβανομένων των δεδομένων προσωπικού χαρακτήρα, μεταφέρονται σε ιστορικά αρχεία.
                  
               
                     (5)
                  
                  
                     Κατά την άσκηση των καθηκόντων της, η Υπηρεσία δεσμεύεται να σέβεται τα δικαιώματα των φυσικών προσώπων όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αναγνωρίζονται από το άρθρο 8 παράγραφος 1 του Χάρτη Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης και από το άρθρο 16 παράγραφος 1 της Συνθήκης, καθώς και από νομικές πράξεις που βασίζονται στις εν λόγω διατάξεις. Ταυτόχρονα, η Υπηρεσία υποχρεούται να συμμορφώνεται προς αυστηρούς κανόνες σχετικά με την εμπιστευτικότητα και το επαγγελματικό απόρρητο, που αναφέρονται στο άρθρο 10 του κανονισμού (ΕΕ, Ευρατόμ) αριθ. 883/2013, και να διασφαλίζει τον σεβασμό των δικονομικών δικαιωμάτων των ενδιαφερόμενων προσώπων και των μαρτύρων, που αναφέρονται στο άρθρο 9 του εν λόγω κανονισμού, ιδίως του δικαιώματος των ενδιαφερόμενων προσώπων στο τεκμήριο αθωότητας.
                  
               
                     (6)
                  
                  
                     Το ασφαλές ηλεκτρονικό περιβάλλον στο οποίο αποθηκεύονται τα δεδομένα προσωπικού χαρακτήρα, καθώς και οι δικονομικές εγγυήσεις και οι αυστηροί κανόνες εμπιστευτικότητας και επαγγελματικού απορρήτου που αναφέρονται αντίστοιχα στα άρθρα 9 και 10 του κανονισμού (ΕΕ, Ευρατόμ) αριθ. 883/2013 διασφαλίζουν υψηλό επίπεδο προστασίας έναντι των κινδύνων που ενέχει η επεξεργασία για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων.
                  
               
                     (7)
                  
                  
                     Σε ορισμένες περιπτώσεις, είναι αναγκαίο τα δικαιώματα των υποκειμένων των δεδομένων δυνάμει του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (3) να καθίστανται συμβατά με τις ανάγκες των ερευνών και την εμπιστευτικότητα των ανταλλαγών πληροφοριών με άλλες αρμόδιες δημόσιες αρχές, καθώς και με τον πλήρη σεβασμό των θεμελιωδών δικαιωμάτων και ελευθεριών άλλων υποκειμένων των δεδομένων. Για τον σκοπό αυτό, το άρθρο 25 του εν λόγω κανονισμού παρέχει στην Υπηρεσία τη δυνατότητα να περιορίζει την εφαρμογή των άρθρων 14 έως 22, 35 και 36, καθώς και του άρθρου 4, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 14 έως 22.
                  
               
                     (8)
                  
                  
                     Η Υπηρεσία έχει ορίσει, σύμφωνα με το άρθρο 10 παράγραφος 4 του κανονισμού (ΕΕ, Ευρατόμ) αριθ. 883/2013, έναν υπεύθυνο προστασίας δεδομένων σύμφωνα με το άρθρο 24 του κανονισμού (ΕΚ) αριθ. 45/2001 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4).
                  
               
                     (9)
                  
                  
                     Προκειμένου να διασφαλίζεται η εμπιστευτικότητα και η αποτελεσματικότητα των ερευνών και άλλων επιχειρησιακών δραστηριοτήτων που διενεργεί η Υπηρεσία και, παράλληλα, να τηρούνται οι προδιαγραφές της προστασίας δεδομένων προσωπικού χαρακτήρα του κανονισμού (ΕΕ) 2018/1725, είναι αναγκαίο να θεσπιστούν εσωτερικοί κανόνες σύμφωνα με τους οποίους η Υπηρεσία μπορεί να περιορίζει τα δικαιώματα των υποκειμένων των δεδομένων σύμφωνα με το άρθρο 25 του εν λόγω κανονισμού.
                  
               
                     (10)
                  
                  
                     Το πεδίο εφαρμογής της παρούσας νομικής πράξης θα πρέπει να καλύπτει όλες τις πράξεις επεξεργασίας που διενεργεί η Υπηρεσία κατά την άσκηση των ερευνητικών καθηκόντων της. Οι κανόνες θα πρέπει να εφαρμόζονται σε πράξεις επεξεργασίας που διενεργούνται πριν από την έναρξη μιας έρευνας, κατά τη διάρκεια εσωτερικών και εξωτερικών ερευνών, όπως αναφέρεται στα άρθρα 3 και 4 του κανονισμού (ΕΕ, Ευρατόμ) αριθ. 883/2013, και κατά την παρακολούθηση της έκβασης των ερευνών. Θα πρέπει να εφαρμόζονται σε πράξεις επεξεργασίας που αποτελούν μέρος δραστηριοτήτων οι οποίες συνδέονται με τα ερευνητικά καθήκοντα, όπως το σύστημα αναφοράς απάτης, οι επιχειρησιακές αναλύσεις, οι βάσεις δεδομένων διεθνούς συνεργασίας, καθώς και σε πράξεις που ενδέχεται να περιέχουν ερευνητικά δεδομένα, λόγου χάρη κατά τον χειρισμό ερευνών από τον υπεύθυνο προστασίας δεδομένων ή σε άλλες διαδικασίες καταγγελιών που διεξάγει η Υπηρεσία. Επίσης, θα πρέπει να περιλαμβάνεται η συνδρομή και η συνεργασία που παρέχει η Υπηρεσία σε εθνικές αρχές και διεθνείς οργανισμούς εκτός των διοικητικών ερευνών που διενεργεί.
                  
               
                     (11)
                  
                  
                     Προκειμένου να συμμορφώνεται προς τα άρθρα 14, 15 και 16 του κανονισμού (ΕΕ) 2018/1725, η Υπηρεσία θα πρέπει να ενημερώνει όλα τα πρόσωπα σχετικά με δραστηριότητές της, οι οποίες ενέχουν την επεξεργασία των δεδομένων τους προσωπικού χαρακτήρα, και με τα δικαιώματά τους κατά τρόπο διάφανο και συνεκτικό, υπό τη μορφή γνωστοποιήσεων σχετικά με την προστασία των δεδομένων οι οποίες δημοσιεύονται στον δικτυακό τόπο της Υπηρεσίας, καθώς και να ενημερώνει μεμονωμένα τα υποκείμενα των δεδομένων που σχετίζονται με την έρευνα —ενδιαφερόμενα πρόσωπα, μάρτυρες και πληροφοριοδότες— με τον κατάλληλο μορφότυπο.
                  
               
                     (12)
                  
                  
                     Με την επιφύλαξη της εφαρμογής των εξαιρέσεων που προβλέπονται στον κανονισμό (ΕΕ) 2018/1725, η Υπηρεσία ενδέχεται να χρειαστεί να περιορίσει την παροχή πληροφοριών στα υποκείμενα των δεδομένων και την εφαρμογή άλλων δικαιωμάτων των υποκειμένων των δεδομένων με σκοπό την προστασία των ερευνών της, των ερευνών και διαδικασιών δημόσιων αρχών των κρατών μελών, των ερευνητικών εργαλείων και μεθόδων, καθώς και την προστασία άλλων προσώπων που σχετίζονται με τις έρευνές της.
                  
               
                     (13)
                  
                  
                     Σε ορισμένες περιπτώσεις, η παροχή συγκεκριμένων πληροφοριών στα υποκείμενα των δεδομένων ή η αποκάλυψη της ύπαρξης έρευνας θα μπορούσε να καταστήσει αδύνατη την επεξεργασία ή να βλάψει σε μεγάλο βαθμό τον σκοπό της και τη δυνατότητα της Υπηρεσίας ή των αρμόδιων εθνικών αρχών και των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης να διενεργούν έρευνες κατά τρόπο αποτελεσματικό στο μέλλον.
                  
               
                     (14)
                  
                  
                     Επιπλέον, η Υπηρεσία υποχρεούται να προστατεύει την ταυτότητα των πληροφοριοδοτών, περιλαμβανομένων των μαρτύρων δημοσίου συμφέροντος, και των μαρτύρων, οι οποίοι δεν θα πρέπει να υφίστανται αρνητικές επιπτώσεις που σχετίζονται με τη συνεργασία τους με την Υπηρεσία.
                  
               
                     (15)
                  
                  
                     Για τους λόγους αυτούς, η Υπηρεσία ενδέχεται να χρειαστεί να εφαρμόσει ορισμένους λόγους για την επιβολή των περιορισμών του άρθρου 25 του κανονισμού (ΕΕ) 2018/1725 σε πράξεις επεξεργασίας δεδομένων που διενεργούνται στο πλαίσιο των αρμοδιοτήτων της Υπηρεσίας, οι οποίες περιγράφονται στο άρθρο 2 της απόφασης 1999/352/ΕΚ, ΕΚΑΕ, Ευρατόμ.
                  
               
                     (16)
                  
                  
                     Επιπροσθέτως, για λόγους διατήρησης της αποτελεσματικής συνεργασίας, η Υπηρεσία ενδέχεται να χρειαστεί να εφαρμόσει περιορισμούς στα δικαιώματα των υποκειμένων των δεδομένων, με σκοπό την προστασία πληροφοριών που περιέχουν δεδομένα προσωπικού χαρακτήρα και οι οποίες προέρχονται από υπηρεσίες της Επιτροπής ή άλλα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης, από αρμόδιες αρχές κρατών μελών και τρίτων χωρών, καθώς και από διεθνείς οργανισμούς. Προς τούτο, η Υπηρεσία θα πρέπει να ζητάει τη γνώμη των εν λόγω θεσμικών και λοιπών οργάνων και οργανισμών, αρχών και διεθνών οργανισμών σχετικά με τους συναφείς λόγους, καθώς και με την αναγκαιότητα και την αναλογικότητα των περιορισμών.
                  
               
                     (17)
                  
                  
                     Στο πλαίσιο των ερευνητικών καθηκόντων της, η Υπηρεσία συχνά ανταλλάσσει πληροφορίες, περιλαμβανομένων δεδομένων προσωπικού χαρακτήρα, μεταξύ άλλων με υπηρεσίες της Επιτροπής και εκτελεστικούς οργανισμούς που συνεπικουρούν τις υπηρεσίες της Επιτροπής στην εφαρμογή των προγραμμάτων τους. Σύμφωνα με το άρθρο 25 παράγραφος 5 του κανονισμού (ΕΕ) 2018/1725 —το οποίο απαιτεί οι εσωτερικοί κανονισμοί να θεσπίζονται στο ανώτατο διοικητικό επίπεδο των οικείων οργάνων και οργανισμών της Ένωσης— η παρούσα απόφαση περιλαμβάνει την επεξεργασία δεδομένων προσωπικού χαρακτήρα που περιέχονται σε πληροφορίες οι οποίες διαβιβάζονται υποχρεωτικά στην Υπηρεσία. Συνεπώς, προκειμένου να προστατεύονται οι πράξεις επεξεργασίας που διενεργεί η Υπηρεσία, οι κανόνες που θεσπίζονται στην παρούσα απόφαση θα πρέπει να εφαρμόζονται από όλες οι υπηρεσίες και τους εκτελεστικούς οργανισμούς της Επιτροπής που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα δυνάμει της υποχρέωσής τους να ενημερώνουν την Υπηρεσία, σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ, Ευρατόμ) αριθ. 883/2013, ή όταν τα εν λόγω δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία από την Υπηρεσία κατά την άσκηση των καθηκόντων της. Στις περιπτώσεις αυτές, οι οικείες υπηρεσίες και οι εκτελεστικοί οργανισμοί της Επιτροπής θα πρέπει να ζητούν τη γνώμη της Υπηρεσίας σχετικά με τους συναφείς λόγους επιβολής των περιορισμών καθώς και σχετικά με την αναγκαιότητα και την αναλογικότητά τους, ώστε να διασφαλίζεται η συνεκτική εφαρμογή τους.
                  
               
                     (18)
                  
                  
                     Η Υπηρεσία —και, εφόσον συντρέχει λόγος, οι υπηρεσίες και οι εκτελεστικοί οργανισμοί της Επιτροπής— θα πρέπει να χειρίζεται όλους τους περιορισμούς με διαφάνεια και να καταχωρεί κάθε αίτηση για εφαρμογή περιορισμών στο αντίστοιχο σύστημα τήρησης αρχείων.
                  
               
                     (19)
                  
                  
                     Σύμφωνα με το άρθρο 25 παράγραφος 8 του κανονισμού (ΕΕ) 2018/1725, οι υπεύθυνοι επεξεργασίας μπορούν να αναβάλλουν ή να απέχουν από την παροχή πληροφοριών σχετικά με τους λόγους εφαρμογής ενός περιορισμού στο υποκείμενο των δεδομένων, σε περίπτωση που τούτο θα μπορούσε να θίξει με οποιονδήποτε τρόπο τον σκοπό του περιορισμού. Πιο συγκεκριμένα, όταν εφαρμόζεται περιορισμός στα δικαιώματα που προβλέπονται στα άρθρα 16 και 35, η γνωστοποίηση του εν λόγω περιορισμού θα έθετε σε κίνδυνο τον σκοπό του περιορισμού. Προκειμένου να διασφαλίζεται ότι το δικαίωμα του υποκειμένου των δεδομένων να ενημερώνεται, σύμφωνα με τα άρθρα 16 και 38 του κανονισμού (ΕΕ) 2018/1725, περιορίζεται μόνο για όσο διάστημαισχύουν οι λόγοι αναβολής, η Υπηρεσία θα πρέπει να επανεξετάζει τακτικά τη θέση της.
                  
               
                     (20)
                  
                  
                     Όταν εφαρμόζεται περιορισμός άλλων δικαιωμάτων του υποκειμένου των δεδομένων, ο υπεύθυνος επεξεργασίας θα πρέπει να εκτιμά κατά περίπτωση κατά πόσον η ανακοίνωση του περιορισμού μπορεί να θέτει σε κίνδυνο τον σκοπό του περιορισμού.
                  
               
                     (21)
                  
                  
                     Ο υπεύθυνος προστασίας δεδομένων της Υπηρεσίας —και, εφόσον συντρέχει λόγος, ο υπεύθυνος προστασίας δεδομένων της Επιτροπής ή του οικείου εκτελεστικού οργανισμού— θα πρέπει επίσης να διενεργεί ανεξάρτητη επανεξέταση της εφαρμογής των περιορισμών, προκειμένου να διασφαλίζεται η συμμόρφωση προς την παρούσα απόφαση.
                  
               
                     (22)
                  
                  
                     Ο κανονισμός (ΕΕ) 2018/1725 αντικαθιστά τον κανονισμό (ΕΚ) αριθ. 45/2001 χωρίς καμία μεταβατική περίοδο, από την ημερομηνία κατά την οποία τίθεται σε ισχύ. Η δυνατότητα εφαρμογής περιορισμών σε ορισμένα δικαιώματα προβλεπόταν στον κανονισμό (ΕΚ) αριθ. 45/2001. Προκειμένου να μην τεθεί σε κίνδυνο ο σκοπός των ερευνών που υπάγονται στην αρμοδιότητα της Υπηρεσίας και επηρεαστούν αρνητικά τα δικαιώματα και οι ελευθερίες των τρίτων, η παρούσα απόφαση θα πρέπει να εφαρμοστεί από την ημερομηνία έναρξης ισχύος του κανονισμού (ΕΕ) 2018/1725.
                  
               
                     (23)
                  
                  
                     Η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων ζητήθηκε στις 23 Νοεμβρίου 2018.
                  
               ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:
         
            Άρθρο 1
            Αντικείμενο και πεδίο εφαρμογής
            
               1.   Η απόφαση θεσπίζει τους κανόνες που πρέπει να ακολουθεί η Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης («η Υπηρεσία») προκειμένου να ενημερώνει τα υποκείμενα των δεδομένων σχετικά με την επεξεργασία των δεδομένων τους σύμφωνα με τα άρθρα 14, 15 και 16 του κανονισμού (ΕΕ) 2018/1725.
               Επίσης, ορίζει τις προϋποθέσεις υπό τις οποίες η Υπηρεσία μπορεί να περιορίζει την εφαρμογή των άρθρων 4, 14 έως 20 και 35 του κανονισμού (ΕΕ) 2018/1725, σύμφωνα με το άρθρο 25 του εν λόγω κανονισμού.
            
            
               2.   Η παρούσα απόφαση εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από την Υπηρεσία για τον σκοπό των δραστηριοτήτων ή σε σχέση με τις δραστηριότητες που διενεργούνται για την εκπλήρωση των καθηκόντων της Υπηρεσίας, τα οποία αναφέρονται στο άρθρο 2 της απόφασης 1999/352/ΕΚ, ΕΚΑΕ, Ευρατόμ και στον κανονισμό (ΕΕ, Ευρατόμ) αριθ. 883/2013.
            
            
               3.   Η παρούσα απόφαση εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα από τις υπηρεσίες και τους εκτελεστικούς οργανισμούς της Ένωσης στον βαθμό που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα που περιέχονται σε πληροφορίες τις οποίες υποχρεούνται να διαβιβάσουν στην Υπηρεσία σύμφωνα με το άρθρο 8 παράγραφος 1 του κανονισμού (ΕΕ, Ευρατόμ) αριθ. 883/2013 ή δεδομένα προσωπικού χαρακτήρα που έχουν ήδη υποβληθεί σε επεξεργασία από την Υπηρεσία για τον σκοπό των δραστηριοτήτων ή σε σχέση με τις δραστηριότητες που αναφέρονται στην παράγραφο 2 του παρόντος άρθρου.
            
         
         
            Άρθρο 2
            Εφαρμοστέες εξαιρέσεις και περιορισμοί
            
               1.   Όταν η Υπηρεσία ασκεί τα καθήκοντά της σε σχέση με τα δικαιώματα του υποκειμένου των δεδομένων δυνάμει του κανονισμού (ΕΕ) 2018/1725, εξετάζει κατά πόσον εφαρμόζεται οποιαδήποτε από τις εξαιρέσεις που προβλέπονται στον εν λόγω κανονισμό.
            
            
               2.   Με την επιφύλαξη των άρθρων 3 έως 6 της παρούσας απόφασης, η Υπηρεσία μπορεί να περιορίζει την εφαρμογή των άρθρων 14 έως 20 και 35 του κανονισμού (ΕΕ) 2018/1725, καθώς και του άρθρου 4 στον βαθμό που οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 14 έως 20 και 35 του κανονισμού (ΕΕ) 2018/1725 όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα έθετε σε κίνδυνο τον σκοπό των ερευνητικών δραστηριοτήτων της Υπηρεσίας, μεταξύ άλλων, αποκαλύπτοντας τα ερευνητικά εργαλεία και μεθόδους της, ή θα επηρέαζε δυσμενώς τα δικαιώματα και τις ελευθερίες τρίτων.
            
            
               3.   Με την επιφύλαξη των άρθρων 3 έως 6 της παρούσας απόφασης, η Υπηρεσία μπορεί να περιορίζει τα δικαιώματα και τις υποχρεώσεις που αναφέρονται στην παράγραφο 2 του παρόντος άρθρου σε σχέση με δεδομένα προσωπικού χαρακτήρα που αποκτώνται από υπηρεσίες της Επιτροπής ή από άλλα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης, από αρμόδιες αρχές των κρατών μελών ή τρίτων χωρών ή από διεθνείς οργανισμούς, στις εξής περιπτώσεις:
               
                           α)
                        
                        
                           όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να περιοριστεί από τις υπηρεσίες της Επιτροπής ή από άλλα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης βάσει άλλων πράξεων οι οποίες προβλέπονται στο άρθρο 25 του κανονισμού (ΕΕ) 2018/1725 ή σύμφωνα με το κεφάλαιο IX του εν λόγω κανονισμού ή με τις ιδρυτικές πράξεις άλλων θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης·
                        
                     
                           β)
                        
                        
                           όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να περιοριστεί από αρμόδιες αρχές των κρατών μελών βάσει πράξεων που αναφέρονται στο άρθρο 23 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5), ή δυνάμει εθνικών μέτρων για τη μεταφορά των άρθρων 13 παράγραφος 3, 15 παράγραφος 3 ή 16 παράγραφος 3 της οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (6)·
                        
                     
                           γ)
                        
                        
                           όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να θέσει σε κίνδυνο τη συνεργασία της Υπηρεσίας με τρίτες χώρες ή διεθνείς οργανισμούς κατά την άσκηση των καθηκόντων της.
                        
                     Προτού εφαρμόσουν περιορισμούς στις περιπτώσεις που αναφέρονται στα στοιχεία α) και β) του πρώτου εδαφίου, η Υπηρεσία ζητάει τη γνώμη των οικείων υπηρεσιών της Επιτροπής, των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης ή των αρμόδιων αρχών των κρατών μελών, εκτός αν είναι σαφές στην Υπηρεσία ότι η εφαρμογή ενός περιορισμού προβλέπεται σε κάποια από τις πράξεις που αναφέρονται στα εν λόγω στοιχεία.
               Το στοιχείο γ) του πρώτου εδαφίου δεν εφαρμόζεται όταν τα συμφέροντα ή θεμελιώδη δικαιώματα και ελευθερίες των υποκειμένων των δεδομένων υπερισχύουν του συμφέροντος της Ένωσης να συνεργαστεί με τρίτες χώρες ή διεθνείς οργανισμούς.
            
            
               4.   Όταν οι υπηρεσίες και οι εκτελεστικοί οργανισμοί της Επιτροπής επεξεργάζονται δεδομένα προσωπικού χαρακτήρα στις περιπτώσεις που αναφέρονται στο άρθρο 1 παράγραφος 3, δύνανται, εφόσον κρίνεται απαραίτητο, να εφαρμόζουν περιορισμούς σύμφωνα με την παρούσα απόφαση. Για τον σκοπό αυτό, ζητούν τη γνώμη της Υπηρεσίας, εκτός αν είναι σαφές για την οικεία υπηρεσία ή τον οικείο εκτελεστικό οργανισμό της Επιτροπής ότι η αίτηση περιορισμού αιτιολογείται δυνάμει της παρούσα απόφασης.
            
         
         
            Άρθρο 3
            Παροχή πληροφοριών σε υποκείμενα των δεδομένων
            
               1.   Η Υπηρεσία δημοσιεύει στον δικτυακό της τόπο γνωστοποιήσεις σχετικά με την προστασία δεδομένων με τις οποίες ενημερώνει όλα τα υποκείμενα των δεδομένων για τις δραστηριότητές της που ενέχουν επεξεργασία των προσωπικών τους δεδομένων.
            
            
               2.   Η Υπηρεσία ενημερώνει μεμονωμένα όλα τα υποκείμενα των δεδομένων τα οποία θεωρεί ενδιαφερόμενα πρόσωπα, μάρτυρες ή πληροφοριοδότες κατά την έννοια του κανονισμού (ΕΕ, Ευρατόμ) αριθ. 883/2013.
            
            
               3.   Όταν η Υπηρεσία περιορίζει, εν όλω ή εν μέρει, την παροχή πληροφοριών στα υποκείμενα των δεδομένων που αναφέρονται στην παράγραφο 2, καταγράφει τους λόγους του περιορισμού, συμπεριλαμβανομένης εκτίμησης της αναγκαιότητας και της αναλογικότητας του περιορισμού.
               Για τον σκοπό αυτό, στο αρχείο αναφέρεται ο τρόπος με τον οποίο η παροχή των πληροφοριών θα έθετε σε κίνδυνο τον σκοπό των ερευνητικών δραστηριοτήτων της Υπηρεσίας ή των περιορισμών που εφαρμόζονται σύμφωνα με το άρθρο 2 παράγραφος 3, ή θα έθιγε τα δικαιώματα και τις ελευθερίες τρίτων.
               Το αρχείο και, κατά περίπτωση, τα έγγραφα που περιέχουν υποκείμενα πραγματικά και νομικά στοιχεία καταχωρίζονται. Όλα αυτά τίθενται, κατόπιν αιτήματος, στη διάθεση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων.
            
            
               4.   Ο περιορισμός που αναφέρεται στην παράγραφο 3 εξακολουθεί να εφαρμόζεται όσο εξακολουθούν να ισχύουν οι λόγοι που τον αιτιολογούν.
               Όταν οι λόγοι του περιορισμού παύσουν να ισχύουν, η Υπηρεσία παρέχει τις σχετικές πληροφορίες και τους λόγους του περιορισμού στο υποκείμενο των δεδομένων. Παράλληλα, η Υπηρεσία ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητά του να προβεί ανά πάσα στιγμή σε καταγγελία στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ή να ασκήσει δικαστική προσφυγή ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης.
               Η Υπηρεσία επανεξετάζει την αίτηση περιορισμού ανά έξι μήνες μετά την έγκρισή της και κατά το κλείσιμο της οικείας έρευνας. Στη συνέχεια, ο υπεύθυνος επεξεργασίας παρακολουθεί την ανάγκη διατήρησης οποιουδήποτε περιορισμού σε ετήσια βάση.
            
         
         
            Άρθρο 4
            Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων
            
               1.   Όταν τα υποκείμενα των δεδομένων αιτούνται πρόσβαση στα προσωπικά δεδομένα τους τα οποία υποβάλλονται σε επεξεργασία στο πλαίσιο μίας ή περισσότερων συγκεκριμένων υποθέσεων ή σε συγκεκριμένη πράξη επεξεργασίας, σύμφωνα με το άρθρο 17 του κανονισμού (ΕΕ) 2018/1725, η Υπηρεσία περιορίζεται κατά την αξιολόγηση του αιτήματος μόνο στα εν λόγω δεδομένα προσωπικού χαρακτήρα.
            
            
               2.   Όταν η Υπηρεσία περιορίζει, εν όλω ή εν μέρει, το δικαίωμα πρόσβασης που αναφέρεται στο άρθρο 17 του κανονισμού (ΕΕ) 2018/1725, ακολουθεί τα εξής στάδια:
               
                           α)
                        
                        
                           ενημερώνει το υποκείμενο των δεδομένων, στην απάντησή της στο αίτημά του, σχετικά με τον περιορισμό που εφαρμόζεται και τους κύριους λόγους του περιορισμού, καθώς και με τη δυνατότητά του να προβεί ανά πάσα στιγμή σε καταγγελία στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ή να ασκήσει δικαστική προσφυγή ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης·
                        
                     
                           β)
                        
                        
                           καταγράφει τους λόγους του περιορισμού, περιλαμβανομένης εκτίμησης της αναγκαιότητας και της αναλογικότητας του περιορισμού· για τον σκοπό αυτό, στο αρχείο αναφέρεται ο τρόπος με τον οποίο η παροχή πρόσβασης θα έθετε σε κίνδυνο τον σκοπό των ερευνητικών δραστηριοτήτων της Υπηρεσίας ή των περιορισμών που εφαρμόζονται σύμφωνα με το άρθρο 2 παράγραφος 3, ή θα επηρέαζε δυσμενώς τα δικαιώματα και τις ελευθερίες άλλων.
                        
                     Η παροχή πληροφοριών που αναφέρεται στο στοιχείο α) μπορεί να αναβάλλεται, να παραλείπεται ή να απορρίπτεται σύμφωνα με το άρθρο 25 παράγραφος 8 του κανονισμού (ΕΕ) 2018/1725.
            
            
               3.   Το αρχείο που αναφέρεται στην παράγραφο 2 στοιχείο β) και, κατά περίπτωση, τα έγγραφα που περιέχουν τα υποκείμενα πραγματικά και νομικά στοιχεία καταχωρίζονται. Όλα αυτά τίθενται, κατόπιν αιτήματος, στη διάθεση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων. Εφαρμόζεται το άρθρο 25 παράγραφος 7 του κανονισμού (ΕΕ) αριθ. 2018/1725.
            
         
         
            Άρθρο 5
            Δικαίωμα διόρθωσης, διαγραφής και περιορισμού ως προς την επεξεργασία
            Όταν η Υπηρεσία περιορίζει, εν όλω ή εν μέρει, την εφαρμογή των δικαιωμάτων διόρθωσης, διαγραφής ή περιορισμού της επεξεργασίας, τα οποία αναφέρονται στα άρθρα 18, 19 παράγραφος 1 και 20 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, ακολουθεί τα στάδια που περιγράφονται στο άρθρο 4 παράγραφος 2 της παρούσας απόφασης και καταχωρίζει το αρχείο σύμφωνα με το άρθρο 4 παράγραφος 3.
         
         
            Άρθρο 6
            Ανακοίνωση της παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων
            Όταν η Υπηρεσία περιορίζει την ανακοίνωση της παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων, όπως αναφέρεται στο άρθρο 35 του κανονισμού (ΕΕ) 2018/1725, αρχειοθετεί και καταχωρίζει τους λόγους του περιορισμού σύμφωνα με το άρθρο 3 παράγραφος 3 της παρούσας απόφασης. Εφαρμόζεται το άρθρο 3 παράγραφος 4 της παρούσας απόφασης.
         
         
            Άρθρο 7
            Επανεξέταση από τον υπεύθυνο προστασίας δεδομένων
            
               1.   Ο υπεύθυνος προστασίας δεδομένων της Υπηρεσίας («ο ΥΠΔ της Υπηρεσίας») ενημερώνεται αμελλητί κάθε φορά που περιορίζονται τα δικαιώματα των υποκειμένων των δεδομένων σύμφωνα με την παρούσα απόφαση. Στον ΥΠΔ της Υπηρεσίας παρέχεται πρόσβαση στο αρχείο καταχώρισης και σε οποιαδήποτε έγγραφα που περιλαμβάνουν τα υποκείμενα πραγματικά και νομικά στοιχεία.
               Ο ΥΠΔ της Υπηρεσίας μπορεί να ζητήσει επανεξέταση των περιορισμών. Ο ΥΠΔ της Υπηρεσίας ενημερώνεται γραπτώς σχετικά με το αποτέλεσμα της αιτούμενης επανεξέτασης.
            
            
               2.   Όταν οι υπηρεσίες της Επιτροπής και οι εκτελεστικοί οργανισμοί επεξεργάζονται δεδομένα προσωπικού χαρακτήρα στις περιπτώσεις που αναφέρονται στο άρθρο 1 παράγραφος 3, ο υπεύθυνος προστασίας δεδομένων της Επιτροπής («ο ΥΠΔ της Επιτροπής») ή, κατά περίπτωση, ο υπεύθυνος προστασίας δεδομένων του σχετικού εκτελεστικού οργανισμού («ο ΥΠΔ του Οργανισμού»), ενημερώνεται αμελλητί κάθε φορά που περιορίζονται τα δικαιώματα των υποκειμένων των δεδομένων σύμφωνα με την παρούσα απόφαση. Στον ΥΠΔ της Επιτροπής ή, κατά περίπτωση, στον ΥΠΔ του Οργανισμού παρέχεται, κατόπιν αιτήματος, πρόσβαση στο αρχείο καταχώρισης και σε οποιαδήποτε έγγραφα που περιλαμβάνουν τα υποκείμενα πραγματικά και νομικά στοιχεία.
               Ο ΥΠΔ της Επιτροπής ή, κατά περίπτωση, ο ΥΠΔ του Οργανισμού, δύναται να ζητήσει επανεξέταση των περιορισμών. Ο ΥΠΔ της Επιτροπής ή ο ΥΠΔ του Οργανισμού ενημερώνεται γραπτώς σχετικά με το αποτέλεσμα της αιτούμενης επανεξέτασης.
            
            
               3.   Όλες οι ανταλλαγές πληροφοριών με τον ΥΠΔ καθ' όλη τη διάρκεια της διαδικασίας καταχωρίζονται στην κατάλληλη μορφή.
            
         
         
            Άρθρο 8
            Έναρξη ισχύος
            Η παρούσα απόφαση αρχίζει να ισχύει την ημέρα της δημοσίευσής της στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.
            Εφαρμόζεται από τις 11 Δεκεμβρίου 2018.
         
         
            Βρυξέλλες, 11 Δεκεμβρίου 2018.
            
               
                  Για την Επιτροπή
               
               
                  Ο Πρόεδρος
               
               Jean-Claude JUNCKER
            
         
         
            (1)  Απόφαση 1999/352/ΕΚ, ΕΚΑΕ, Ευρατόμ της Επιτροπής, της 28ης Απριλίου 1999, για την ίδρυση της Ευρωπαϊκής Υπηρεσίας Καταπολέμησης της Απάτης (OLAF) (ΕΕ L 136 της 31.5.1999, σ. 20).
         
            (2)  Κανονισμός (ΕΕ, Ευρατόμ) αριθ. 883/2013 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 11ης Σεπτεμβρίου 2013, σχετικά με τις έρευνες που πραγματοποιούνται από την Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης (OLAF) και την κατάργηση του κανονισμού (ΕΚ) αριθ. 1073/1999 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου και του κανονισμού (Ευρατόμ) αριθ. 1074/1999 του Συμβουλίου (ΕΕ L 248 της 18.9.2013, σ. 1).
         
            (3)  Κανονισμός (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (ΕΕ L 295 της 21.11.2018, σ. 39).
         
            (4)  Κανονισμός (ΕΚ) αριθ. 45/2001 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 18ης Δεκεμβρίου 2000, σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα όργανα και τους οργανισμούς της Κοινότητας και σχετικά με την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ L 8 της 12.1.2001, σ. 1).
         
            (5)  Κανονισμός (EΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ L 119 της 4.5.2016, σ. 1).
         
            (6)  Οδηγία (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου (ΕΕ L 119 της 4.5.2016, σ. 89).