CELEX: 32020Q1113(01)
Language: el
Date: 2020-03-26 00:00:00
Title: Απόφαση του διοικητικού συμβουλίου της κοινής επιχείρησης βιομηχανιών βιοπροϊόντων της 26ης Μαρτίου 2020 για τον καθορισμό εσωτερικών κανόνων περί περιορισμού ορισμένων δικαιωμάτων των υποκειμένων των δεδομένων αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας της ΚΕ BBI

13.11.2020   
               
               
                  EL
               
               
                  Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης
               
               
                  L 379/96
               
            
         ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΟΙΚΗΤΙΚΟΥ ΣΥΜΒΟΥΛΙΟΥ ΤΗΣ ΚΟΙΝΗΣ ΕΠΙΧΕΙΡΗΣΗΣ ΒΙΟΜΗΧΑΝΙΩΝ ΒΙΟΠΡΟΪΟΝΤΩΝ
         της 26ης Μαρτίου 2020
         για τον καθορισμό εσωτερικών κανόνων περί περιορισμού ορισμένων δικαιωμάτων των υποκειμένων των δεδομένων αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας της ΚΕ BBI
         ΤΟ ΔΙΟΙΚΗΤΙΚΟ ΣΥΜΒΟΥΛΙΟ ΤΗΣ ΚΟΙΝΗΣ ΕΠΙΧΕΙΡΗΣΗΣ ΒΙΟΜΗΧΑΝΙΩΝ ΒΙΟΠΡΟΪΟΝΤΩΝ (εφεξής αναφέρεται ως «ΚΕ BBI»)
         Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,
         Έχοντας υπόψη τον κανονισμό (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (1) και ιδίως το άρθρο 25,
         Έχοντας υπόψη τον κανονισμό (ΕΕ) αριθ. 560/2014 του Συμβουλίου, της 6ης Μαΐου 2014, σχετικά με την κοινή επιχείρηση βιομηχανιών βιοπροϊόντων (2), και ιδίως το άρθρο 7 παράγραφος 3 στοιχείο ιθ),
         Έχοντας υπόψη τις κατευθυντήριες γραμμές του Ευρωπαίου Επόπτη Προστασίας Δεδομένων σχετικά με το άρθρο 25 του νέου κανονισμού και τους εσωτερικούς κανόνες,
         Κατόπιν διαβούλευσης με τον ΕΕΠΔ, σύμφωνα με το άρθρο 41 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725,
         Εκτιμώντας τα ακόλουθα:
         
                     (1)
                  
                  
                     Η ΚΕ BBI εκτελεί τις δραστηριότητές της σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 560/2014.
                  
               
                     (2)
                  
                  
                     Σύμφωνα με το άρθρο 25 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, οι περιορισμοί της εφαρμογής των άρθρων 14 έως 22 και των άρθρων 35 και 36, καθώς και του άρθρου 4 του εν λόγω κανονισμού, στον βαθμό που οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 14 έως 22, πρέπει να βασίζονται σε εσωτερικούς κανόνες που θεσπίζονται από την ΚΕ BBI, εφόσον δεν βασίζονται σε νομικές πράξεις που εκδίδονται με βάση τις Συνθήκες.
                  
               
                     (3)
                  
                  
                     Οι εν λόγω εσωτερικοί κανόνες, συμπεριλαμβανομένων των διατάξεων σχετικά με την εκτίμηση της αναγκαιότητας και της αναλογικότητας ενός περιορισμού, δεν πρέπει να εφαρμόζονται όταν μια νομική πράξη που έχει εκδοθεί βάσει των Συνθηκών προβλέπει περιορισμό των δικαιωμάτων των υποκειμένων των δεδομένων.
                  
               
                     (4)
                  
                  
                     Η ΚΕ BBI, κατά την άσκηση των καθηκόντων της όσον αφορά τα δικαιώματα των υποκειμένων των δεδομένων βάσει του κανονισμού (ΕΕ) 2018/1725, εξετάζει εάν εφαρμόζονται τυχόν εξαιρέσεις που ορίζονται στον εν λόγω κανονισμό.
                  
               
                     (5)
                  
                  
                     Στο πλαίσιο της διοικητικής λειτουργίας της, η ΚΕ BBI μπορεί να διεξάγει διοικητικές έρευνες και πειθαρχικές διαδικασίες, προκαταρκτικές δραστηριότητες που σχετίζονται με περιπτώσεις ενδεχόμενων παρατυπιών που έχουν καταγγελθεί στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης (OLAF), να επεξεργάζεται υποθέσεις καταγγελίας δυσλειτουργιών, να επεξεργάζεται (επίσημες και ανεπίσημες) διαδικασίες παρενόχλησης, να επεξεργάζεται εσωτερικές και εξωτερικές καταγγελίες, να διενεργεί εσωτερικούς ελέγχους, να διεξάγει έρευνες μέσω του υπευθύνου προστασίας δεδομένων, σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725 και να διενεργεί εσωτερικές έρευνες ασφαλείας (ΤΠ).
                  
               
                     (6)
                  
                  
                     Η ΚΕ BBI επεξεργάζεται διάφορες κατηγορίες δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων των τεκμηριωμένων δεδομένων («αντικειμενικά» δεδομένα όπως στοιχεία ταυτότητας, στοιχεία επικοινωνίας, επαγγελματικά στοιχεία, διοικητικά στοιχεία, δεδομένα που λαμβάνονται από συγκεκριμένες πηγές, ηλεκτρονικές επικοινωνίες και δεδομένα κίνησης) και των μη τεκμηριωμένων δεδομένων («υποκειμενικά» δεδομένα σχετικά με την υπόθεση, όπως σκεπτικό, δεδομένα συμπεριφοράς, εκτιμήσεις, στοιχεία απόδοσης και συμπεριφοράς και δεδομένα που σχετίζονται ή υποβάλλονται σε σχέση με το αντικείμενο της διαδικασίας ή δραστηριότητας) (3).
                  
               
                     (7)
                  
                  
                     Η ΚΕ BBI, εκπροσωπούμενη από τον εκτελεστικό διευθυντή της, ενεργεί ως υπεύθυνη επεξεργασίας ανεξάρτητα από τις περαιτέρω εξουσιοδοτήσεις που παρέχονται στον ρόλο του ελεγκτή στο πλαίσιο της ΚΕ BBI, αναλαμβάνοντας τις επιχειρησιακές ευθύνες για συγκεκριμένες πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα.
                  
               
                     (8)
                  
                  
                     Τα δεδομένα προσωπικού χαρακτήρα φυλάσσονται με ασφάλεια σε ηλεκτρονικό περιβάλλον ή σε έντυπη μορφή ώστε να αποτρέπεται η παράνομη πρόσβαση σε αυτά ή η διαβίβασή τους σε πρόσωπα που δεν απαιτείται να τα γνωρίζουν. Τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία διατηρούνται μόνο για το διάστημα που είναι αναγκαίο και κατάλληλο για τους σκοπούς για τους οποίους τα δεδομένα υποβάλλονται σε επεξεργασία, για την περίοδο που καθορίζεται στις ανακοινώσεις προστασίας δεδομένων, στις δηλώσεις απορρήτου ή στα αρχεία της ΚΕ BBI.
                  
               
                     (9)
                  
                  
                     Οι εν λόγω εσωτερικοί κανόνες θα πρέπει να εφαρμόζονται σε όλες τις πράξεις επεξεργασίας που διεξάγονται από την ΚΕ BBI κατά την εκτέλεση διοικητικών ερευνών, πειθαρχικών διαδικασιών, προκαταρκτικών δραστηριοτήτων που σχετίζονται με περιπτώσεις ενδεχόμενων παρατυπιών που έχουν καταγγελθεί στην OLAF, διαδικασιών καταγγελίας από μάρτυρες δημοσίου συμφέροντος, (επίσημων και ανεπίσημων) διαδικασιών για υποθέσεις παρενόχλησης, επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών, εσωτερικών ελέγχων, ερευνών που διεξάγονται από τον Υπεύθυνο Προστασίας Δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725, εσωτερικών ερευνών ασφαλείας (ΤΠ) που διεκπεραιώνονται εσωτερικά ή με τη συμμετοχή τρίτων (π.χ. CERT-EE).
                  
               
                     (10)
                  
                  
                     Οι εν λόγω κανόνες θα πρέπει να εφαρμόζονται στις πράξεις επεξεργασίας που πραγματοποιούνται πριν από την έναρξη των διαδικασιών που αναφέρονται ανωτέρω, κατά τη διάρκεια των εν λόγω διαδικασιών και κατά την παρακολούθηση της συνέχειας των αποτελεσμάτων αυτών των διαδικασιών. Επίσης, θα πρέπει να περιλαμβάνεται η συνδρομή και η συνεργασία που παρέχει η ΚΕ BBI σε εθνικές αρχές και διεθνείς οργανισμούς εκτός των διοικητικών ερευνών που διενεργεί.
                  
               
                     (11)
                  
                  
                     Στις περιπτώσεις όπου εφαρμόζονται οι εν λόγω εσωτερικοί κανόνες, η ΚΕ BBI πρέπει να αιτιολογεί γιατί οι περιορισμοί είναι απολύτως αναγκαίοι και αναλογικοί σε μια δημοκρατική κοινωνία και να τηρεί την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών.
                  
               
                     (12)
                  
                  
                     Στο πλαίσιο αυτό, η ΚΕ BBI υποχρεούται να σέβεται, στον μέγιστο δυνατό βαθμό, τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων κατά τη διεξαγωγή των ανωτέρω διαδικασιών, ιδίως αυτά που αφορούν το δικαίωμα παροχής πληροφοριών, πρόσβασης και διόρθωσης, το δικαίωμα διαγραφής, περιορισμού επεξεργασίας, το δικαίωμα γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ή το απόρρητο των επικοινωνιών, όπως θεσπίζονται στον κανονισμό (ΕΕ) 2018/1725.
                  
               
                     (13)
                  
                  
                     Ωστόσο, η ΚΕ BBI μπορεί να υποχρεωθεί να περιορίσει τις πληροφορίες στα υποκείμενα των δεδομένων και άλλα δικαιώματα των υποκειμένων των δεδομένων για την προστασία, κυρίως, των δικών της ερευνών, των ερευνών και διαδικασιών άλλων δημόσιων αρχών, καθώς και των δικαιωμάτων άλλων προσώπων που σχετίζονται με τις έρευνες ή άλλες διαδικασίες της.
                  
               
                     (14)
                  
                  
                     Η ΚΕ BBI μπορεί επομένως να περιορίσει τις πληροφορίες για λόγους προστασίας της έρευνας και των θεμελιωδών δικαιωμάτων και ελευθεριών άλλων υποκειμένων δεδομένων.
                  
               
                     (15)
                  
                  
                     Η ΚΕ BBI θα πρέπει να παρακολουθεί περιοδικά την τήρηση των όρων που δικαιολογούν τον περιορισμό και να αίρει τον περιορισμό όταν αυτοί δεν ισχύουν πλέον.
                  
               
                     (16)
                  
                  
                     Ο υπεύθυνος επεξεργασίας θα πρέπει να ενημερώνει τον υπεύθυνο προστασίας δεδομένων κατά τον χρόνο της αναβολής και κατά τις αναθεωρήσεις,
                  
               ΕΧΕΙ ΕΓΚΡΙΝΕΙ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:
         
            Άρθρο 1
            Αντικείμενο και πεδίο εφαρμογής
            
               1.   Η παρούσα απόφαση θεσπίζει κανόνες σχετικά με τους όρους υπό τους οποίους η ΚΕ BBI, στο πλαίσιο των διαδικασιών της που ορίζονται στην παράγραφο 2, μπορεί να περιορίζει την εφαρμογή των δικαιωμάτων που θεσπίζονται στα άρθρα 14 έως 21, 35 και 36, καθώς και στο άρθρο 4, σύμφωνα με το άρθρο 25 του κανονισμού (ΕΕ) 2018/1725.
            
            
               2.   Στο πλαίσιο της διοικητικής λειτουργίας της ΚΕ BBI, η παρούσα απόφαση ισχύει για τις πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα από το Γραφείο Προγράμματος για τους εξής σκοπούς: διεξαγωγή διοικητικών ερευνών, πειθαρχικών διαδικασιών, προκαταρκτικών δραστηριοτήτων που σχετίζονται με περιπτώσεις ενδεχόμενων παρατυπιών οι οποίες έχουν καταγγελθεί στην OLAF, διεκπεραίωση υποθέσεων καταγγελίας από μάρτυρες δημοσίου συμφέροντος, (επίσημων και ανεπίσημων) διαδικασιών για υποθέσεις παρενόχλησης, επεξεργασία εσωτερικών και εξωτερικών καταγγελιών, διενέργεια εσωτερικών ελέγχων, ερευνών που διεξάγονται από τον Υπεύθυνο Προστασίας Δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725, εσωτερικών ερευνών ασφαλείας (ΤΠ) που διεκπεραιώνονται εσωτερικά ή με τη συμμετοχή τρίτων (π.χ. CERT-EE).
            
            
               3.   Οι σχετικές κατηγορίες δεδομένων περιλαμβάνουν τα τεκμηριωμένα δεδομένα («αντικειμενικά» δεδομένα όπως στοιχεία ταυτότητας, στοιχεία επικοινωνίας, επαγγελματικά στοιχεία, διοικητικά στοιχεία, δεδομένα που λαμβάνονται από συγκεκριμένες πηγές, ηλεκτρονικές επικοινωνίες και δεδομένα κίνησης) και μη τεκμηριωμένα δεδομένα («υποκειμενικά» δεδομένα σχετικά με την υπόθεση, όπως σκεπτικό, δεδομένα συμπεριφοράς, εκτιμήσεις, στοιχεία απόδοσης και συμπεριφοράς και δεδομένα που σχετίζονται ή υποβάλλονται σε σχέση με το αντικείμενο της διαδικασίας ή δραστηριότητας).
            
            
               4.   Η ΚΕ BBI, κατά την άσκηση των καθηκόντων της όσον αφορά τα δικαιώματα των υποκειμένων των δεδομένων βάσει του κανονισμού (ΕΕ) 2018/1725, εξετάζει εάν εφαρμόζονται τυχόν εξαιρέσεις που ορίζονται στον εν λόγω κανονισμό.
            
            
               5.   Με την επιφύλαξη των όρων που καθορίζονται στην παρούσα απόφαση, οι περιορισμοί μπορεί να ισχύουν για τα ακόλουθα δικαιώματα: παροχή πληροφοριών σε υποκείμενα των δεδομένων, δικαίωμα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού επεξεργασίας, γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ή απορρήτου επικοινωνιών.
            
         
         
            Άρθρο 2
            Τεχνικές προδιαγραφές του υπεύθυνου επεξεργασίας
            Υπεύθυνος επεξεργασίας για τις πράξεις επεξεργασίας είναι η ΚΕ BBI, εκπροσωπούμενη από τον εκτελεστικό διευθυντή της, ο οποίος μπορεί να μεταβιβάσει την αρμοδιότητα του υπευθύνου επεξεργασίας. Τα υποκείμενα των δεδομένων ενημερώνονται σχετικά με τον εντεταλμένο υπεύθυνο επεξεργασίας μέσω των ανακοινώσεων ή των αρχείων προστασίας δεδομένων που δημοσιεύονται στον ιστότοπο ή/και στο ενδοδίκτυο της ΚΕ BBI.
         
         
            Άρθρο 3
            Προδιαγραφές των εγγυήσεων
            
               1.   Η ΚΕ BBI εφαρμόζει τις παρακάτω εγγυήσεις που αποσκοπούν στην πρόληψη της κατάχρησης ή της παράνομης πρόσβασης ή διαβίβασης δεδομένων προσωπικού χαρακτήρα (4):
               
                           α)
                        
                        
                           Τα έγγραφα φυλάσσονται σε ασφαλισμένα ντουλάπια και είναι προσβάσιμα μόνο από εξουσιοδοτημένο προσωπικό·
                        
                     
                           β)
                        
                        
                           όλα τα ηλεκτρονικά δεδομένα αποθηκεύονται σε ασφαλή εφαρμογή ΤΠ σύμφωνα με τα πρότυπα ασφαλείας της ΚΕ BBI, καθώς και σε συγκεκριμένους ηλεκτρονικούς φακέλους στους οποίους πρόσβαση έχει μόνο εξουσιοδοτημένο προσωπικό. Τα κατάλληλα επίπεδα πρόσβασης παρέχονται μεμονωμένα·
                        
                     
                           γ)
                        
                        
                           Η βάση δεδομένων προστατεύεται με κωδικό πρόσβασης σε ένα σύστημα ενιαίας πρόσβασης μέσω ταυτοποίησης και συνδέεται αυτόματα με το αναγνωριστικό και τον κωδικό πρόσβασης του χρήστη. Η αντικατάσταση των χρηστών απαγορεύεται αυστηρά. Τα ηλεκτρονικά αρχεία φυλάσσονται με ασφάλεια για τη διασφάλιση της εμπιστευτικότητας και του απορρήτου των δεδομένων που περιέχονται σε αυτά·
                        
                     
                           δ)
                        
                        
                           Όλα τα πρόσωπα που έχουν πρόσβαση στα δεδομένα δεσμεύονται από την υποχρέωση εμπιστευτικότητας.
                        
                     
            
               2.   Η περίοδος διατήρησης των δεδομένων προσωπικού χαρακτήρα που αναφέρεται στο άρθρο 1 παράγραφος 3 δεν υπερβαίνει το διάστημα που είναι αναγκαίο και κατάλληλο για τους σκοπούς για τους οποίους τα δεδομένα υποβάλλονται σε επεξεργασία. Σε κάθε περίπτωση δεν υπερβαίνει την περίοδο διατήρησης που ορίζεται στις ανακοινώσεις προστασίας των δεδομένων, στις δηλώσεις προστασίας των δεδομένων προσωπικού χαρακτήρα ή στα αρχεία που αναφέρονται στο άρθρο 6.
            
            
               3.   Στις περιπτώσεις που η ΚΕ BBI προτίθεται να εφαρμόσει έναν περιορισμό, σταθμίζεται ο κίνδυνος για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων, ιδίως ο κίνδυνος για τα δικαιώματα και τις ελευθερίες άλλων υποκειμένων δεδομένων και ο κίνδυνος της ακύρωσης του αποτελέσματος των ερευνών ή διαδικασιών της ΚΕ BBI, για παράδειγμα μέσω της καταστροφής αποδεικτικών στοιχείων. Οι κίνδυνοι για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων αφορούν πρωτίστως, μεταξύ άλλων, τους κινδύνους φήμης και τους κινδύνους για το δικαίωμα υπεράσπισης και το δικαίωμα ακρόασης.
            
         
         
            Άρθρο 4
            Περιορισμοί
            
               1.   Οποιοσδήποτε περιορισμός εφαρμόζεται μόνο από την ΚΕ BBI για τη διασφάλιση:
               
                           α)
                        
                        
                           της εθνικής ασφάλειας, της δημόσιας ασφάλειας ή της άμυνας των κρατών μελών,
                        
                     
                           β)
                        
                        
                           της πρόληψης, της διερεύνησης, της ανίχνευσης και της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένης της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της αποτροπής τους,
                        
                     
                           γ)
                        
                        
                           άλλων σημαντικών στόχων γενικού δημόσιου συμφέροντος της Ένωσης ή κράτους μέλους, ιδίως των στόχων της κοινής εξωτερικής πολιτικής και πολιτικής ασφαλείας της Ένωσης ή σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος της Ένωσης ή κράτους μέλους, συμπεριλαμβανομένων των νομισματικών, δημοσιονομικών και φορολογικών θεμάτων, της δημόσιας υγείας και της κοινωνικής ασφάλισης,
                        
                     
                           δ)
                        
                        
                           της εσωτερικής ασφάλειας των οργάνων και οργανισμών της Ένωσης, συμπεριλαμβανομένων των δικτύων ηλεκτρονικών επικοινωνιών τους,
                        
                     
                           ε)
                        
                        
                           της πρόληψης, της διερεύνησης, της ανίχνευσης και της δίωξης παραβάσεων δεοντολογίας σε νομοθετικά κατοχυρωμένα επαγγέλματα,
                        
                     
                           στ)
                        
                        
                           της παρακολούθησης, της επιθεώρησης ή της κανονιστικής λειτουργίας που συνδέεται, έστω περιστασιακά, με την άσκηση δημόσιας εξουσίας στις περιπτώσεις που αναφέρονται στα στοιχεία α) έως γ),
                        
                     
                           ζ)
                        
                        
                           της προστασίας του υποκειμένου των δεδομένων ή των δικαιωμάτων και των ελευθεριών τρίτων,
                        
                     
                           η)
                        
                        
                           της εκτέλεσης αστικών αξιώσεων.
                        
                     
            
               2.   Ως ειδική εφαρμογή των σκοπών που περιγράφονται στην παράγραφο 1 ανωτέρω, η ΚΕ BBI μπορεί να εφαρμόζει περιορισμούς στις ακόλουθες περιπτώσεις:
               
                           α)
                        
                        
                           Σε σχέση με δεδομένα προσωπικού χαρακτήρα που ανταλλάσσονται με τις υπηρεσίες της Επιτροπής ή με άλλα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης,
                           
                                       —
                                    
                                    
                                       εφόσον οι εν λόγω υπηρεσίες της Επιτροπής ή τα εν λόγω θεσμικά και λοιπά όργανα Ένωσης δύνανται να περιορίσουν την άσκηση των εν λόγω δικαιωμάτων βάσει άλλων πράξεων που προβλέπονται στο άρθρο 25 του κανονισμού (ΕΕ) 2018/1725 ή σύμφωνα με το κεφάλαιο IX του εν λόγω κανονισμού ή σύμφωνα με τις ιδρυτικές πράξεις άλλων θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης,
                                    
                                 
                                       —
                                    
                                    
                                       εφόσον ο σκοπός ενός τέτοιου περιορισμού από τις εν λόγω υπηρεσίες της Επιτροπής ή τα εν λόγω θεσμικά και λοιπά όργανα της Ένωσης θα κινδύνευε, αν η ΚΕ BBI δεν εφάρμοζε ισοδύναμο περιορισμό όσον αφορά τα ίδια δεδομένα προσωπικού χαρακτήρα.
                                    
                                 
                     
                           β)
                        
                        
                           Σε σχέση με δεδομένα προσωπικού χαρακτήρα που ανταλλάσσονται με αρμόδιες αρχές των κρατών μελών,
                           
                                       —
                                    
                                    
                                       όταν οι εν λόγω αρμόδιες αρχές των κρατών μελών έχουν δικαίωμα να περιορίζουν την άσκηση των αναφερόμενων δικαιωμάτων, βάσει των πράξεων που αναφέρονται στο άρθρο 23 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5), ή δυνάμει εθνικών μέτρων για τη μεταφορά των άρθρων 13 παράγραφος 3, 15 παράγραφος 3 ή 16 παράγραφος 3 της οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (6),
                                    
                                 
                                       —
                                    
                                    
                                       εφόσον ο σκοπός ενός τέτοιου περιορισμού από τις εν λόγω αρμόδιες αρχές θα κινδύνευε, αν η ΚΕ BBI δεν εφάρμοζε ισοδύναμο περιορισμό όσον αφορά τα ίδια δεδομένα προσωπικού χαρακτήρα.
                                    
                                 
                     
                           γ)
                        
                        
                           Σε σχέση με δεδομένα προσωπικού χαρακτήρα που ανταλλάσσονται με τρίτες χώρες ή διεθνείς οργανισμούς, εφόσον υπάρχουν σαφείς αποδείξεις ότι η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να θέσει σε κίνδυνο τη συνεργασία της ΚΕ BBI με τρίτες χώρες ή διεθνείς οργανισμούς κατά την άσκηση των καθηκόντων της.
                        
                     Πριν την εφαρμογή περιορισμών στις περιπτώσεις που αναφέρονται στα σημεία α) και β) του πρώτου εδαφίου, η ΚΕ BBI ζητάει τη γνώμη των οικείων υπηρεσιών της Επιτροπής, των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης ή των αρμόδιων αρχών των κρατών μελών, εκτός εάν έχει καταστεί σαφές στην ΚΕ BBI ότι η εφαρμογή ενός περιορισμού προβλέπεται σε κάποια από τις πράξεις που αναφέρονται στα εν λόγω σημεία.
            
         
         
            Άρθρο 5
            Περιορισμοί δικαιωμάτων των υποκειμένων των δεδομένων
            
               1.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, τα παρακάτω δικαιώματα μπορούν να περιοριστούν από τον υπεύθυνο επεξεργασίας στο πλαίσιο των εργασιών επεξεργασίας που αναφέρονται στην παράγραφο 2 παρακάτω, όπου είναι αναγκαίο και αναλογικό:
               
                           α)
                        
                        
                           το δικαίωμα ενημέρωσης·
                        
                     
                           β)
                        
                        
                           το δικαίωμα πρόσβασης·
                        
                     
                           γ)
                        
                        
                           το δικαίωμα διόρθωσης, διαγραφής και περιορισμού της επεξεργασίας·
                        
                     
                           δ)
                        
                        
                           το δικαίωμα γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων·
                        
                     
                           ε)
                        
                        
                           το δικαίωμα τήρησης του απορρήτου των ηλεκτρονικών επικοινωνιών.
                        
                     
            
               2.   Σύμφωνα με το άρθρο 25 παράγραφος 2 στοιχείο α) του κανονισμού (ΕΕ) 2018/1725, σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, ο υπεύθυνος επεξεργασίας μπορεί να εφαρμόζει περιορισμούς στο πλαίσιο των ακόλουθων πράξεων επεξεργασίας:
               
                           α)
                        
                        
                           της διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·
                        
                     
                           β)
                        
                        
                           προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης (OLAF)·
                        
                     
                           γ)
                        
                        
                           διαδικασιών καταγγελίας από μάρτυρες δημοσίου συμφέροντος·
                        
                     
                           δ)
                        
                        
                           (επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης (7)·
                        
                     
                           ε)
                        
                        
                           της επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·
                        
                     
                           στ)
                        
                        
                           εσωτερικών ελέγχων·
                        
                     
                           ζ)
                        
                        
                           των ερευνών που διενεργούνται από τον υπεύθυνο προστασίας δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725·
                        
                     
                           η)
                        
                        
                           των ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ)·
                        
                     
                           θ)
                        
                        
                           στο πλαίσιο της διαδικασίας διαχείρισης επιχορηγήσεων ή της διαδικασίας σύναψης συμβάσεων, μετά τη λήξη της προθεσμίας υποβολής των προσκλήσεων υποβολής προτάσεων ή της υποβολής προσφορών (8)·
                        
                     Ο περιορισμός εξακολουθεί να εφαρμόζεται όσο εξακολουθούν να ισχύουν οι λόγοι που τον αιτιολογούν.
            
            
               3.   Όταν η ΚΕ BBI περιορίζει, εν όλω ή εν μέρει, την εφαρμογή των δικαιωμάτων που αναφέρονται στην παράγραφο 1 ανωτέρω, ακολουθεί τα στάδια που περιγράφονται στα άρθρα 6 και 7 της παρούσας απόφασης.
            
            
               4.   Όταν τα υποκείμενα των δεδομένων αιτούνται πρόσβαση στα προσωπικά δεδομένα τους τα οποία υποβάλλονται σε επεξεργασία στο πλαίσιο μίας ή περισσότερων συγκεκριμένων υποθέσεων ή σε συγκεκριμένη πράξη επεξεργασίας, σύμφωνα με το άρθρο 17 του κανονισμού (ΕΕ) 2018/1725, η ΚΕ BBI περιορίζεται κατά την αξιολόγηση του αιτήματος μόνο στα εν λόγω δεδομένα προσωπικού χαρακτήρα.
            
         
         
            Άρθρο 6
            Αναγκαιότητα και αναλογικότητα των περιορισμών
            
               1.   Οποιοσδήποτε περιορισμός περιγράφεται στο άρθρο 5 οφείλει να είναι αναγκαίος και αναλογικός, να λαμβάνει υπόψη τους κινδύνους για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων και να τηρεί την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών σε μια δημοκρατική κοινωνία.
            
            
               2.   Αν κριθεί απαραίτητη η εφαρμογή περιορισμού, διενεργείται δοκιμή αναλογικότητας με βάση τους ισχύοντες κανόνες. Η δοκιμή διενεργείται και στο πλαίσιο κάθε περιοδικής αναθεώρησης, κατόπιν αξιολόγησης σχετικά με το κατά πόσον εξακολουθούν να ισχύουν πραγματικοί και νομικοί λόγοι περιορισμού ή όχι. Πρέπει να τεκμηριώνεται μέσω ενός εσωτερικού εγγράφου αξιολόγησης για λόγους λογοδοσίας κατά περίπτωση.
            
            
               3.   Οι περιορισμοί είναι προσωρινοί και αίρονται αμέσως μόλις οι περιστάσεις που τους αιτιολογούν δεν ισχύον πλέον. Ειδικότερα, όταν κρίνεται ότι η άσκηση του περιορισμένου δικαιώματος δεν θα στερεί πλέον από τον περιορισμό που επιβάλλεται την ισχύ του, ούτε θα θίγει τα δικαιώματα ή τις ελευθερίες άλλων υποκειμένων δεδομένων.
               Η ΚΕ BBI επανεξετάζει την αίτηση περιορισμού ανά έξι μήνες μετά την έγκρισή της και κατά το κλείσιμο της σχετικής έρευνας, διαδικασίας ή διερεύνησης. Στη συνέχεια, ο υπεύθυνος επεξεργασίας παρακολουθεί την ανάγκη διατήρησης οποιουδήποτε περιορισμού σε εξαμηνιαία βάση.
            
            
               4.   Σε περίπτωση που η ΚΕ BBI εφαρμόσει, εν όλω ή εν μέρει, τους περιορισμούς που περιλαμβάνονται στο άρθρο 5 της παρούσας απόφασης, καταγράφει τους λόγους του περιορισμού και τον νομικό λόγο σύμφωνα με την παράγραφο 1 ανωτέρω, συμπεριλαμβάνοντας αξιολόγηση της αναγκαιότητας και της αναλογικότητας του περιορισμού.
               Το αρχείο καταγραφής και, κατά περίπτωση, τα έγγραφα που περιέχουν υποκείμενα πραγματικά και νομικά στοιχεία καταχωρίζονται. Όλα αυτά τίθενται, κατόπιν αιτήματος, στη διάθεση του Ευρωπαϊκού Επόπτη Προστασίας Δεδομένων.
            
         
         
            Άρθρο 7
            Υποχρέωση ενημέρωσης
            
               1.   Η ΚΕ BBI περιλαμβάνει στις ανακοινώσεις προστασίας δεδομένων, στις δηλώσεις προστασίας δεδομένων προσωπικού χαρακτήρα ή στα αρχεία κατά την έννοια του άρθρου 31 του κανονισμού (ΕΕ) 2018/1725 που δημοσιεύονται στον ιστότοπό της και/ή στο ενδοδίκτυό της για την ενημέρωση των υποκειμένων των δεδομένων σχετικά με τα δικαιώματά τους στο πλαίσιο μιας δεδομένης διαδικασίας, πληροφορίες σχετικά με τον δυνητικό περιορισμό των εν λόγω δικαιωμάτων. Οι πληροφορίες προσδιορίζουν τα δικαιώματα που ενδέχεται να περιοριστούν, τους λόγους, καθώς και την πιθανή διάρκεια του περιορισμού.
               Με την επιφύλαξη των διατάξεων του άρθρου 6 παράγραφος 4, η ΚΕ BBI, κατά περίπτωση, ενημερώνει επίσης μεμονωμένα όλα τα υποκείμενα των δεδομένων, τα οποία θεωρούνται πρόσωπα που τα αφορά η συγκεκριμένη επεξεργασία, για τα δικαιώματά τους σχετικά με υφιστάμενους ή μελλοντικούς περιορισμούς, χωρίς αδικαιολόγητη καθυστέρηση και σε γραπτή μορφή.
            
            
               2.   Σε περίπτωση που η ΚΕ BBI περιορίζει, εν όλω ή εν μέρει τα δικαιώματα που περιγράφονται στο άρθρο 5, ενημερώνει το ενδιαφερόμενο υποκείμενο των δεδομένων σχετικά με τον περιορισμό που εφαρμόζεται και τους κύριους λόγους του περιορισμού, καθώς και σχετικά με τη δυνατότητά του να προβεί ανά πάσα στιγμή σε καταγγελία στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ή να ασκήσει δικαστική προσφυγή ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης.
               Η ενημέρωση που προβλέπεται στην παράγραφο 2 ανωτέρω μπορεί να αναβάλλεται, να παραλείπεται ή να απορρίπτεται εφόσον στερεί από τον περιορισμό που επιβάλλεται βάσει του άρθρου 25 παράγραφος 8 του κανονισμού (ΕΕ) 2018/1725, την ισχύ του.
            
         
         
            Άρθρο 8
            Επανεξέταση από τον υπεύθυνο προστασίας δεδομένων
            
               1.   Η ΚΕ BBI ενημερώνει αμελλητί τον υπεύθυνο προστασίας δεδομένων της ΚΕ BBI («ΥΠΔ») κάθε φορά που ο υπεύθυνος επεξεργασίας περιορίζει την εφαρμογή των δικαιωμάτων των υποκειμένων των δεδομένων ή παρατείνει τον περιορισμό σύμφωνα με την παρούσα απόφαση. Ο υπεύθυνος επεξεργασίας παρέχει στον ΥΠΔ πρόσβαση στο αρχείο που περιέχει την αξιολόγηση της αναγκαιότητας και της αναλογικότητας του περιορισμού και τεκμηριώνει την ημερομηνία ενημέρωσης του ΥΠΔ στο αρχείο.
            
            
               2.   Ο ΥΠΔ μπορεί να ζητήσει γραπτώς από τον υπεύθυνο επεξεργασίας να ελέγξει την εφαρμογή των περιορισμών. Ο υπεύθυνος επεξεργασίας ενημερώνει γραπτώς τον ΥΠΔ σχετικά με το αποτέλεσμα της αιτούμενης επανεξέτασης.
            
            
               3.   Ο ΥΠΔ συμμετέχει καθ’ όλη τη διάρκεια της διαδικασίας. Ο υπεύθυνος επεξεργασίας ενημερώνει τον ΥΠΔ όταν αρθεί ο περιορισμός.
            
         
         
            Άρθρο 9
            Έναρξη ισχύος
            Η παρούσα απόφαση αρχίζει να ισχύει είκοσι ημέρες μετά τη δημοσίευσή της στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.
         
         
            Βρυξέλλες, 26 Μαρτίου 2020.
            
               
                  Για το Διοικητικό Συμβούλιο της ΚΕ BBI
               
               Mat QUAEDVLIEG
               
                  Ο Πρόεδρος
               
            
         
         
            (1)  ΕΕ L 295 της 21.11.2018, σ. 39.
         
            (2)  ΕΕ L 169 της 7.6.2014, σ. 130.
         
            (3)  Όταν προβλέπεται κοινή ευθύνη επεξεργασίας, η επεξεργασία των δεδομένων πραγματοποιείται σύμφωνα με τα μέσα και τους σκοπούς που καθορίζονται στη σχετική συμφωνία μεταξύ των από κοινού υπευθύνων επεξεργασίας, όπως ορίζεται στο άρθρο 28 του κανονισμού (ΕΕ) 2018/1725.
         
            (4)  Ο κατάλογος αυτός δεν είναι εξαντλητικός.
         
            (5)  Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ L 119 της 4.5.2016, σ. 1).
         
            (6)  Οδηγία (EE) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου (ΕΕ L 119 της 4.5.2016, σ. 89).
         
            (7)  Η εν λόγω πράξη επεξεργασίας δεν ισχύει για το άρθρο 5 παράγραφος 1 στοιχείο δ).
         
            (8)  Η εν λόγω πράξη επεξεργασίας εφαρμόζεται μόνο στο άρθρο 5 παράγραφος 1 στοιχείο γ).