CELEX: 32020Q0116(01)
Language: el
Date: 2019-06-28 00:00:00
Title: Απόφαση του Διοικητικού Συμβουλίου του Ευρωπαϊκού Κέντρου Παρακολούθησης Ναρκωτικών και Τοξικομανίας της 28ης Ιουνίου 2019 σχετικά με τους εσωτερικούς κανόνες περί περιορισμού ορισμένων δικαιωμάτων των υποκειμένων των δεδομένων αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας του ΕΚΠΝΤ

16.1.2020   
               
               
                  EL
               
               
                  Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης
               
               
                  L 12/29
               
            
         ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΟΙΚΗΤΙΚΟΥ ΣΥΜΒΟΥΛΙΟΥ ΤΟΥ ΕΥΡΩΠΑΪΚΟΥ ΚΕΝΤΡΟΥ ΠΑΡΑΚΟΛΟΥΘΗΣΗΣ ΝΑΡΚΩΤΙΚΩΝ ΚΑΙ ΤΟΞΙΚΟΜΑΝΙΑΣ
         της 28ης Ιουνίου 2019
         σχετικά με τους εσωτερικούς κανόνες περί περιορισμού ορισμένων δικαιωμάτων των υποκειμένων των δεδομένων αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας του ΕΚΠΝΤ
         ΤΟ ΔΙΟΙΚΗΤΙΚΟ ΣΥΜΒΟΥΛΙΟ ΤΟΥ ΕΚΠΝΤ
         Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,
         Έχοντας υπόψη τον κανονισμό (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (1) και ιδίως το άρθρο 25,
         Έχοντας υπόψη τον κανονισμό (ΕΚ) αριθ. 1920/2006 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 12ης Δεκεμβρίου 2006, σχετικά με το Ευρωπαϊκό Κέντρο Παρακολούθησης Ναρκωτικών και Τοξικομανίας (2) και ιδίως τα άρθρα 6 και 9,
         Έχοντας υπόψη τη γνωμοδότηση του ΕΕΠΔ της 29ης Μαΐου 2019 και τις οδηγίες του ΕΕΠΔ σχετικά με το άρθρο 25 του νέου κανονισμού και τους εσωτερικούς κανόνες,
         Εκτιμώντας τα ακόλουθα:
         
                     (1)
                  
                  
                     Το ΕΚΠΝΤ διεξάγει τις δραστηριότητές του σύμφωνα με τον ανωτέρω αναφερόμενο κανονισμό (ΕΚ) αριθ. 1920/2006.
                  
               
                     (2)
                  
                  
                     Σύμφωνα με το άρθρο 25 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, οι περιορισμοί της εφαρμογής των άρθρων 14 έως 22 και των άρθρων 35 και 36, καθώς και του άρθρου 4 του εν λόγω κανονισμού, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 14 έως 22, πρέπει να βασίζονται σε εσωτερικούς κανόνες που θεσπίζονται από το ΕΚΠΝΤ, εφόσον δεν βασίζονται σε νομικές πράξεις που εκδίδονται με βάση τις Συνθήκες.
                  
               
                     (3)
                  
                  
                     Οι εν λόγω εσωτερικοί κανόνες, συμπεριλαμβανομένων των διατάξεων σχετικά με την εκτίμηση της αναγκαιότητας και της αναλογικότητας ενός περιορισμού, δεν πρέπει να εφαρμόζονται όταν μια νομική πράξη που έχει εκδοθεί βάσει των Συνθηκών προβλέπει περιορισμό των δικαιωμάτων των υποκειμένων των δεδομένων.
                  
               
                     (4)
                  
                  
                     Το ΕΚΠΝΤ, κατά την άσκηση των καθηκόντων του όσον αφορά τα δικαιώματα των υποκειμένων των δεδομένων βάσει του κανονισμού (ΕΕ) 2018/1725, εξετάζει κατά πόσον εφαρμόζονται τυχόν εξαιρέσεις που ορίζονται στον εν λόγω κανονισμό.
                  
               
                     (5)
                  
                  
                     Στο πλαίσιο της διοικητικής λειτουργίας του, το ΕΚΠΝΤ μπορεί να διεξάγει διοικητικές έρευνες και πειθαρχικές διαδικασίες, προκαταρκτικές δραστηριότητες που σχετίζονται με περιπτώσεις ενδεχόμενων παρατυπιών που έχουν καταγγελθεί στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης (OLAF), να επεξεργάζεται υποθέσεις καταγγελίας δυσλειτουργιών, να επεξεργάζεται (επίσημες και ανεπίσημες) διαδικασίες παρενόχλησης, να επεξεργάζεται εσωτερικές και εξωτερικές καταγγελίες, να διενεργεί εσωτερικούς ελέγχους, να διεξάγει έρευνες μέσω του υπευθύνου προστασίας δεδομένων («ΥΠΔ»), σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725 και να διενεργεί εσωτερικές έρευνες ασφαλείας (ΤΠ).
                  
               
                     (6)
                  
                  
                     Το ΕΚΠΝΤ επεξεργάζεται διάφορες κατηγορίες δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων των τεκμηριωμένων δεδομένων («αντικειμενικά» δεδομένα όπως στοιχεία ταυτότητας, στοιχεία επικοινωνίας, επαγγελματικά στοιχεία, διοικητικά στοιχεία, δεδομένα που λαμβάνονται από συγκεκριμένες πηγές, ηλεκτρονικές επικοινωνίες και δεδομένα κίνησης) και/ή μη τεκμηριωμένα δεδομένα («υποκειμενικά» δεδομένα σχετικά με την υπόθεση, όπως σκεπτικό, δεδομένα συμπεριφοράς, εκτιμήσεις, στοιχεία απόδοσης και συμπεριφοράς και δεδομένα που σχετίζονται ή υποβάλλονται σε σχέση με το αντικείμενο της διαδικασίας ή δραστηριότητας).
                  
               
                     (7)
                  
                  
                     Το ΕΚΠΝΤ, το οποίο εκπροσωπείται από τον διευθυντή του, ενεργεί ως υπεύθυνος επεξεργασίας δεδομένων, ανεξάρτητα από περαιτέρω ανάθεση των καθηκόντων του υπεύθυνου επεξεργασίας εντός του ΕΚΠΝΤ, ώστε να αντικατοπτρίζει επιχειρησιακές αρμοδιότητες για συγκεκριμένες λειτουργίες επεξεργασίας δεδομένων προσωπικού χαρακτήρα.
                  
               
                     (8)
                  
                  
                     Τα δεδομένα προσωπικού χαρακτήρα φυλάσσονται με ασφάλεια σε ηλεκτρονικό περιβάλλον ή σε έντυπη μορφή ώστε να αποτρέπεται η παράνομη πρόσβαση σε αυτά ή η διαβίβασή τους σε πρόσωπα που δεν απαιτείται να τα γνωρίζουν. Τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία διατηρούνται μόνο για το διάστημα που είναι αναγκαίο και κατάλληλο για τους σκοπούς για τους οποίους τα δεδομένα υποβάλλονται σε επεξεργασία, για την περίοδο που καθορίζεται στις ανακοινώσεις προστασίας δεδομένων, στις δηλώσεις απορρήτου ή στα αρχεία του ΕΚΠΝΤ.
                  
               
                     (9)
                  
                  
                     Οι εν λόγω εσωτερικοί κανόνες θα πρέπει να εφαρμόζονται σε όλες τις πράξεις επεξεργασίας που διεξάγονται από το ΕΚΠΝΤ κατά την εκτέλεση διοικητικών ερευνών, πειθαρχικών διαδικασιών, προκαταρκτικών δραστηριοτήτων που σχετίζονται με περιπτώσεις ενδεχόμενων παρατυπιών που έχουν καταγγελθεί στην OLAF, διαδικασιών καταγγελίας δυσλειτουργιών, (επίσημων και ανεπίσημων) διαδικασιών για υποθέσεις παρενόχλησης, επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών, εσωτερικών ελέγχων, ερευνών που διεξάγονται από τον Υπεύθυνο Προστασίας Δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725, εσωτερικών ερευνών ασφαλείας (ΤΠ) που διεκπεραιώνονται εσωτερικά ή με τη συμμετοχή τρίτων (π.χ. CERT-EE).
                  
               
                     (10)
                  
                  
                     Η παρούσα απόφαση θα πρέπει να εφαρμόζεται σε πράξεις επεξεργασίας που διενεργούνται τόσο πριν από την έναρξη των διαδικασιών που αναφέρονται ανωτέρω, όσο και κατά τη διάρκεια των εν λόγω διαδικασιών και κατά την παρακολούθηση της συνέχειας των αποτελεσμάτων αυτών των διαδικασιών. Επίσης, θα πρέπει να περιλαμβάνεται η συνδρομή και η συνεργασία που παρέχει το ΕΚΠΝΤ σε εθνικές αρχές και διεθνείς οργανισμούς εκτός των διοικητικών ερευνών που διενεργεί.
                  
               
                     (11)
                  
                  
                     Στις περιπτώσεις όπου εφαρμόζονται οι εν λόγω εσωτερικοί κανόνες, το ΕΚΠΝΤ πρέπει να αιτιολογεί γιατί οι περιορισμοί είναι απολύτως αναγκαίοι και αναλογικοί σε μια δημοκρατική κοινωνία και να τηρεί την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών.
                  
               
                     (12)
                  
                  
                     Στο πλαίσιο αυτό, το ΕΚΠΝΤ υποχρεούται να σέβεται, στον μέγιστο δυνατό βαθμό, τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων κατά τη διεξαγωγή των ανωτέρω διαδικασιών, ιδίως αυτά που αφορούν το δικαίωμα παροχής πληροφοριών, πρόσβασης και διόρθωσης, το δικαίωμα διαγραφής, περιορισμού επεξεργασίας, το δικαίωμα γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ή το απόρρητο των επικοινωνιών, όπως θεσπίζονται στον κανονισμό (ΕΕ) 2018/1725.
                  
               
                     (13)
                  
                  
                     Ωστόσο, το ΕΚΠΝΤ μπορεί να υποχρεωθεί να περιορίσει τις πληροφορίες στο υποκείμενο των δεδομένων και άλλα δικαιώματα του υποκειμένου των δεδομένων για την προστασία, κυρίως, των δικών του ερευνών, των ερευνών και διαδικασιών άλλων δημόσιων αρχών, καθώς και των δικαιωμάτων άλλων προσώπων που σχετίζονται με τις έρευνες ή άλλες διαδικασίες του.
                  
               
                     (14)
                  
                  
                     Το ΕΚΠΝΤ μπορεί επομένως να περιορίσει τις πληροφορίες για λόγους προστασίας της έρευνας και των θεμελιωδών δικαιωμάτων και ελευθεριών άλλων υποκειμένων δεδομένων.
                  
               
                     (15)
                  
                  
                     Το ΕΚΠΝΤ θα πρέπει να παρακολουθεί περιοδικά την τήρηση των όρων που δικαιολογούν τον περιορισμό και να αίρει τον περιορισμό όταν αυτοί δεν ισχύουν πλέον.
                  
               
                     (16)
                  
                  
                     Ο υπεύθυνος επεξεργασίας θα πρέπει να ενημερώνει τον ΥΠΔ κατά το χρόνο της αναβολής και κατά τις αναθεωρήσεις,
                  
               ΑΠΟΦΑΣΙΖΕΙ:
         
            Άρθρο 1
            Αντικείμενο και πεδίο εφαρμογής
            
               1.   Η παρούσα απόφαση θεσπίζει κανόνες σχετικά με τους όρους υπό τους οποίους το ΕΚΠΝΤ, στο πλαίσιο των διαδικασιών του που ορίζονται στην παράγραφο 2, μπορεί να περιορίζει την εφαρμογή των δικαιωμάτων που θεσπίζονται στα άρθρα 14 έως 21, 35 και 36, καθώς και στο άρθρο 4, σύμφωνα με το άρθρο 25 του κανονισμού (ΕΕ) 2018/1725.
            
            
               2.   Στο πλαίσιο της διοικητικής λειτουργίας του ΕΚΠΝΤ, η παρούσα απόφαση ισχύει για τις πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα από το ΕΚΠΝΤ για τους εξής σκοπούς: διεξαγωγή διοικητικών ερευνών, πειθαρχικών διαδικασιών, προκαταρκτικών δραστηριοτήτων που σχετίζονται με περιπτώσεις ενδεχόμενων παρατυπιών οι οποίες έχουν καταγγελθεί στην OLAF, διεκπεραίωση υποθέσεων καταγγελίας δυσλειτουργιών, (επίσημων και ανεπίσημων) διαδικασιών για υποθέσεις παρενόχλησης, επεξεργασία εσωτερικών και εξωτερικών καταγγελιών, διενέργεια εσωτερικών ελέγχων, ερευνών που διεξάγονται από τον Υπεύθυνο Προστασίας Δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725, εσωτερικών ερευνών ασφαλείας (ΤΠ) που διεκπεραιώνονται εσωτερικά ή με τη συμμετοχή τρίτων (π.χ. CERT-EE)..
            
            
               3.   Οι σχετικές κατηγορίες δεδομένων περιλαμβάνουν τα τεκμηριωμένα δεδομένα («αντικειμενικά» δεδομένα όπως στοιχεία ταυτότητας, στοιχεία επικοινωνίας, επαγγελματικά στοιχεία, διοικητικά στοιχεία, δεδομένα που λαμβάνονται από συγκεκριμένες πηγές, ηλεκτρονικές επικοινωνίες και δεδομένα κίνησης) ή/και μη τεκμηριωμένα δεδομένα («υποκειμενικά» δεδομένα σχετικά με την υπόθεση, όπως σκεπτικό, δεδομένα συμπεριφοράς, εκτιμήσεις, στοιχεία απόδοσης και συμπεριφοράς και δεδομένα που σχετίζονται ή υποβάλλονται σε σχέση με το αντικείμενο της διαδικασίας ή δραστηριότητας).
            
            
               4.   Το ΕΚΠΝΤ, κατά την άσκηση των καθηκόντων του όσον αφορά τα δικαιώματα των υποκειμένων των δεδομένων βάσει του κανονισμού (ΕΕ) 2018/1725, εξετάζει εάν εφαρμόζονται τυχόν εξαιρέσεις που ορίζονται στον εν λόγω κανονισμό.
            
            
               5.   Με την επιφύλαξη των όρων που καθορίζονται στην παρούσα απόφαση, οι περιορισμοί μπορεί να ισχύουν για τα ακόλουθα δικαιώματα: παροχή πληροφοριών σε υποκείμενα των δεδομένων, δικαίωμα πρόσβασης, διόρθωσης, διαγραφής, περιορισμού επεξεργασίας, γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ή απορρήτου επικοινωνιών.
            
         
         
            Άρθρο 2
            Προδιαγραφές του υπεύθυνου επεξεργασίας και εγγυήσεις
            
               1.   Οι εγγυήσεις που ισχύουν για την αποφυγή παραβιάσεων δεδομένων προσωπικού χαρακτήρα, διαρροών ή μη εξουσιοδοτημένης δημοσιοποίησης είναι οι εξής:
               
                           α)
                        
                        
                           Τα έγγραφα σε έντυπη μορφή φυλάσσονται σε ασφαλισμένα ερμάρια και μόνο εξουσιοδοτημένο προσωπικό έχει πρόσβαση σε αυτά·
                        
                     
                           β)
                        
                        
                           Όλα τα ηλεκτρονικά δεδομένα αποθηκεύονται σε ασφαλή εφαρμογή ΤΠ σύμφωνα με τα πρότυπα ασφαλείας του ΕΚΠΝΤ, καθώς και σε συγκεκριμένους ηλεκτρονικούς φακέλους οι οποίοι είναι προσβάσιμοι μόνο σε εξουσιοδοτημένο προσωπικό. Παρέχονται κατάλληλα επίπεδα πρόσβασης μεμονωμένα·
                        
                     
                           γ)
                        
                        
                           η βάση δεδομένων προστατεύεται με κωδικό πρόσβασης σε ένα σύστημα ενιαίας πρόσβασης μέσω ταυτοποίησης και συνδέεται αυτόματα με το αναγνωριστικό και τον κωδικό πρόσβασης του χρήστη. Η αντικατάσταση των χρηστών απαγορεύεται αυστηρά. Τα ηλεκτρονικά αρχεία φυλάσσονται με ασφάλεια για τη διασφάλιση της εμπιστευτικότητας και του απορρήτου των δεδομένων που περιέχονται σε αυτά·
                        
                     
                           δ)
                        
                        
                           Όλα τα πρόσωπα που έχουν πρόσβαση στα δεδομένα δεσμεύονται από την υποχρέωση εμπιστευτικότητας.
                        
                     
            
               2.   Υπεύθυνος επεξεργασίας είναι το ΕΚΠΝΤ, εκπροσωπούμενο από τον διευθυντή του, ο οποίος μπορεί να μεταβιβάσει την αρμοδιότητα του υπεύθυνου επεξεργασίας. Τα υποκείμενα των δεδομένων ενημερώνονται σχετικά με τον εξουσιοδοτημένο υπεύθυνο επεξεργασίας μέσω ανακοινώσεων για την προστασία των δεδομένων ή αρχείων που δημοσιεύονται στον δικτυακό τόπο και/ή στο εσωτερικό δίκτυο του ΕΚΠΝΤ.
            
            
               3.   Η περίοδος διατήρησης των δεδομένων προσωπικού χαρακτήρα που αναφέρεται στο άρθρο 1 παράγραφος 3 δεν υπερβαίνει το διάστημα που είναι αναγκαίο και κατάλληλο για τους σκοπούς για τους οποίους τα δεδομένα υποβάλλονται σε επεξεργασία. Σε κάθε περίπτωση, δεν υπερβαίνει την περίοδο διατήρησης που ορίζεται στις ανακοινώσεις προστασίας των δεδομένων, στις δηλώσεις προστασίας των δεδομένων προσωπικού χαρακτήρα ή στα αρχεία που αναφέρονται στο άρθρο 5 παράγραφος 1.
            
            
               4.   Στις περιπτώσεις που το ΕΚΠΝΤ προτίθεται να εφαρμόσει έναν περιορισμό, σταθμίζεται ο κίνδυνος για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων, ιδίως ο κίνδυνος για τα δικαιώματα και τις ελευθερίες άλλων υποκειμένων δεδομένων και ο κίνδυνος της ακύρωσης του αποτελέσματος των ερευνών ή διαδικασιών του ΕΚΠΝΤ, για παράδειγμα μέσω της καταστροφής αποδεικτικών στοιχείων. Οι κίνδυνοι για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων αφορούν κατά κύριο λόγο, αλλά δεν περιορίζονται σε αυτούς, τους κινδύνους φήμης και τους κινδύνους για το δικαίωμα υπεράσπισης και το δικαίωμα ακρόασης.
            
         
         
            Άρθρο 3
            Περιορισμοί
            
               1.   Οποιοσδήποτε περιορισμός εφαρμόζεται μόνο από το ΕΚΠΝΤ για τη διασφάλιση:
               
                           α)
                        
                        
                           της πρόληψης, της διερεύνησης, της ανίχνευσης και της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένης της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της της αποτροπής τους,
                        
                     
                           β)
                        
                        
                           άλλων σημαντικών στόχων γενικού δημόσιου συμφέροντος της Ένωσης ή κράτους μέλους, ιδίως των στόχων της κοινής εξωτερικής πολιτικής και πολιτικής ασφαλείας της Ένωσης ή σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος της Ένωσης ή κράτους μέλους, συμπεριλαμβανομένων των νομισματικών, δημοσιονομικών και φορολογικών θεμάτων, της δημόσιας υγείας και της κοινωνικής ασφάλισης,
                        
                     
                           γ)
                        
                        
                           της εσωτερικής ασφάλειας των οργάνων και οργανισμών της Ένωσης, συμπεριλαμβανομένων των δικτύων ηλεκτρονικών επικοινωνιών τους,
                        
                     
                           δ)
                        
                        
                           της προστασίας της ανεξαρτησίας της δικαιοσύνης και των δικαστικών διαδικασιών,
                        
                     
                           ε)
                        
                        
                           της πρόληψης, της διερεύνησης, της ανίχνευσης και της δίωξης παραβάσεων δεοντολογίας σε νομοθετικά κατοχυρωμένα επαγγέλματα,
                        
                     
                           στ)
                        
                        
                           της παρακολούθησης, της επιθεώρησης ή της κανονιστικής λειτουργίας που συνδέεται, έστω περιστασιακά, με την άσκηση δημόσιας εξουσίας στις περιπτώσεις που αναφέρονται στα στοιχεία α) έως γ),
                        
                     
                           ζ)
                        
                        
                           της προστασίας του υποκειμένου των δεδομένων ή των δικαιωμάτων και των ελευθεριών τρίτων.
                        
                     
            
               2.   Στο πλαίσιο της ειδικής εφαρμογής των σκοπών που περιγράφονται στην παράγραφο 1 ανωτέρω, το ΕΚΠΝΤ μπορεί να εφαρμόσει περιορισμούς σε σχέση με δεδομένα προσωπικού χαρακτήρα που ανταλλάσσονται με τις υπηρεσίες της Επιτροπής ή με άλλα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης, με αρμόδιες αρχές των κρατών μελών ή τρίτων χωρών ή με διεθνείς οργανισμούς, στις εξής περιπτώσεις:
               
                           α)
                        
                        
                           όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να περιοριστεί από τις υπηρεσίες της Επιτροπής ή από άλλα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης βάσει άλλων πράξεων οι οποίες προβλέπονται στο άρθρο 25 του κανονισμού (ΕΕ) 2018/1725 ή σύμφωνα με το κεφάλαιο IX του εν λόγω κανονισμού ή με τις ιδρυτικές πράξεις άλλων θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης·
                        
                     
                           β)
                        
                        
                           όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να περιοριστεί από αρμόδιες αρχές των κρατών μελών βάσει πράξεων που αναφέρονται στο άρθρο 23 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (3), ή δυνάμει εθνικών μέτρων για τη μεταφορά του άρθρου 13 παράγραφος 3, του άρθρου 15 παράγραφος 3 ή του άρθρου 16 παράγραφος 3 της οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4)·
                        
                     
                           γ)
                        
                        
                           όταν η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων θα μπορούσε να θέσει σε κίνδυνο τη συνεργασία του ΕΚΠΝΤ με τρίτες χώρες ή διεθνείς οργανισμούς κατά την άσκηση των καθηκόντων του.
                        
                     Πριν την εφαρμογή περιορισμών στις περιπτώσεις που αναφέρονται στα σημεία α) και β) του πρώτου εδαφίου, το ΕΚΠΝΤ ζητάει τη γνώμη των οικείων υπηρεσιών της Επιτροπής, των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης ή των αρμόδιων αρχών των κρατών μελών, εκτός εάν έχει καταστεί σαφές στο ΕΚΠΝΤ ότι η εφαρμογή ενός περιορισμού προβλέπεται σε κάποια από τις πράξεις που αναφέρονται στα εν λόγω σημεία.
            
            
               3.   Οποιοσδήποτε περιορισμός οφείλει να είναι αναγκαίος και αναλογικός, να λαμβάνει υπόψη τους κινδύνους για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων και να τηρεί την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών σε μια δημοκρατική κοινωνία.
            
            
               4.   Αν κριθεί απαραίτητη η εφαρμογή περιορισμού, διενεργείται δοκιμή αναλογικότητας με βάση τους ισχύοντες κανόνες. Πρέπει να τεκμηριώνεται μέσω ενός εσωτερικού σημειώματος αξιολόγησης για λόγους λογοδοσίας κατά περίπτωση.
            
            
               5.   Οι περιορισμοί αίρονται αμέσως μόλις οι περιστάσεις που τους αιτιολογούν δεν ισχύον πλέον. Ειδικότερα, όταν κρίνεται ότι η άσκηση του περιορισμένου δικαιώματος δεν θα στερεί πλέον από τον περιορισμό που επιβάλλεται την ισχύ του, ούτε θα θίγει τα δικαιώματα ή τις ελευθερίες άλλων υποκειμένων δεδομένων.
            
         
         
            Άρθρο 4
            Επανεξέταση από τον Υπεύθυνο Προστασίας Δεδομένων
            
               1.   Το ΕΚΠΝΤ ενημερώνει χωρίς αδικαιολόγητη καθυστέρηση τον Υπεύθυνο Προστασίας Δεδομένων του (ΥΠΔ), κάθε φορά που ο υπεύθυνος επεξεργασίας περιορίζει την εφαρμογή των δικαιωμάτων των υποκειμένων των δεδομένων ή επεκτείνει τον περιορισμό, σύμφωνα με την παρούσα απόφαση. Ο υπεύθυνος επεξεργασίας παρέχει στον ΥΠΔ πρόσβαση στο αρχείο που περιέχει την αξιολόγηση της αναγκαιότητας και της αναλογικότητας του περιορισμού και τεκμηριώνει τη συμμετοχή του ΥΠΔ στις διάφορες διαδικασίες.
            
            
               2.   Ο ΥΠΔ μπορεί να ζητήσει γραπτώς από τον υπεύθυνο επεξεργασίας να εξετάσει την εφαρμογή των περιορισμών. Ο υπεύθυνος επεξεργασίας ενημερώνει γραπτώς τον ΥΠΔ σχετικά με το αποτέλεσμα της αιτούμενης επανεξέτασης.
            
            
               3.   Ο υπεύθυνος επεξεργασίας ενημερώνει τον ΥΠΔ για την άρση του περιορισμού.
            
         
         
            Άρθρο 5
            Παροχή πληροφοριών σε υποκείμενο δεδομένων
            
               1.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, το δικαίωμα πληροφόρησης μπορεί να περιοριστεί από τον υπεύθυνο επεξεργασίας στο πλαίσιο των ακόλουθων περιπτώσεων επεξεργασίας:
               
                           α)
                        
                        
                           της διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·
                        
                     
                           β)
                        
                        
                           προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης·
                        
                     
                           γ)
                        
                        
                           διαδικασιών καταγγελίας δυσλειτουργιών·
                        
                     
                           δ)
                        
                        
                           (επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης·
                        
                     
                           ε)
                        
                        
                           της επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·
                        
                     
                           στ)
                        
                        
                           εσωτερικών ελέγχων·
                        
                     
                           ζ)
                        
                        
                           των ερευνών που διενεργούνται από τον Υπεύθυνο Επεξεργασίας Δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725·
                        
                     
                           η)
                        
                        
                           των ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ).
                        
                     Το ΕΚΠΝΤ περιλαμβάνει στις ανακοινώσεις προστασίας δεδομένων, στις δηλώσεις προστασίας δεδομένων προσωπικού χαρακτήρα ή στα αρχεία - κατά την έννοια του άρθρου 31 του κανονισμού (ΕΕ) 2018/1725 - που δημοσιεύονται στον δικτυακό του τόπο και/ή στο εσωτερικό δίκτυο για την ενημέρωση των υποκειμένων δεδομένων σχετικά με τα δικαιώματά τους στο πλαίσιο μιας συγκεκριμένης διαδικασίας πληροφορίες σχετικά με τον ενδεχόμενο περιορισμό των εν λόγω δικαιωμάτων. Οι πληροφορίες καλύπτουν τα δικαιώματα που ενδέχεται να περιοριστούν, τους λόγους, καθώς και την πιθανή διάρκεια του περιορισμού.
            
            
               2.   Με την επιφύλαξη των διατάξεων της παραγράφου 3, το ΕΚΠΝΤ, κατά περίπτωση, ενημερώνει επίσης μεμονωμένα όλα τα υποκείμενα των δεδομένων τα οποία (υποκείμενα) θεωρούνται ότι εμπλέκονται στη συγκεκριμένη επεξεργασία, για τα δικαιώματά τους σχετικά με υφιστάμενους ή μελλοντικούς περιορισμούς, χωρίς αδικαιολόγητη καθυστέρηση και εγγράφως
            
            
               3.   Σε περίπτωση που το ΕΚΠΝΤ περιορίσει, εν όλω ή εν μέρει, την παροχή πληροφοριών στα υποκείμενα των δεδομένων της παραγράφου 2, καταγράφει τους λόγους του περιορισμού και τον νομικό λόγο σύμφωνα με το άρθρο 3 της παρούσας απόφασης, συμπεριλαμβανομένης αξιολόγησης της αναγκαιότητας και της αναλογικότητας του περιορισμού.
               Το αρχείο και, κατά περίπτωση, τα έγγραφα που περιέχουν υποκείμενα πραγματικά και νομικά στοιχεία καταχωρίζονται. Όλα αυτά τίθενται, κατόπιν αιτήματος, στη διάθεση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων.
            
            
               4.   Ο περιορισμός που αναφέρεται στην παράγραφο 3 εξακολουθεί να εφαρμόζεται για όσο χρονικό διάστημα εξακολουθούν να συντρέχουν οι λόγοι που τον αιτιολογούν.
               Όταν οι λόγοι του περιορισμού δεν ισχύουν πλέον, το ΕΚΠΝΤ παρέχει πληροφορίες στο υποκείμενο των δεδομένων σχετικά με τους κύριους λόγους στους οποίους βασίζεται η εφαρμογή ενός περιορισμού. Παράλληλα, το ΕΚΠΝΤ ενημερώνει το υποκείμενο των δεδομένων για τη δυνατότητά του να προβεί ανά πάσα στιγμή σε καταγγελία στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ή να ασκήσει δικαστική προσφυγή ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης.
               Το ΕΚΠΝΤ επανεξετάζει την αίτηση περιορισμού ανά έξι μήνες μετά την έγκρισή της και κατά το κλείσιμο της σχετικής έρευνας, διαδικασίας ή διερεύνησης. Στη συνέχεια, ο υπεύθυνος επεξεργασίας παρακολουθεί την ανάγκη διατήρησης οποιουδήποτε περιορισμού σε εξαμηνιαία βάση.
            
         
         
            Άρθρο 6
            Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων
            
               1.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, το δικαίωμα πρόσβασης μπορεί να περιοριστεί από τον υπεύθυνο επεξεργασίας στο πλαίσιο των ακόλουθων εργασιών επεξεργασίας, όπου είναι αναγκαίο και αναλογικό:
               
                           α)
                        
                        
                           της διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·
                        
                     
                           β)
                        
                        
                           προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης·
                        
                     
                           γ)
                        
                        
                           διαδικασιών καταγγελίας δυσλειτουργιών·
                        
                     
                           δ)
                        
                        
                           (επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης·
                        
                     
                           ε)
                        
                        
                           της επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·
                        
                     
                           στ)
                        
                        
                           εσωτερικών ελέγχων·
                        
                     
                           ζ)
                        
                        
                           έρευνες που διενεργούνται από τον Υπεύθυνο Επεξεργασίας Δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725·
                        
                     
                           η)
                        
                        
                           των ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ).
                        
                     Όταν τα υποκείμενα των δεδομένων αιτούνται πρόσβαση στα προσωπικά δεδομένα τους τα οποία υποβάλλονται σε επεξεργασία στο πλαίσιο μίας ή περισσότερων συγκεκριμένων υποθέσεων ή σε συγκεκριμένη πράξη επεξεργασίας, σύμφωνα με το άρθρο 17 του κανονισμού (ΕΕ) 2018/1725, το ΕΚΠΝΤ περιορίζεται κατά την αξιολόγηση του αιτήματος μόνο στα εν λόγω δεδομένα προσωπικού χαρακτήρα.
            
            
               2.   Όταν το ΕΚΠΝΤ περιορίζει, εν όλω ή εν μέρει, το δικαίωμα πρόσβασης που αναφέρεται στο άρθρο 17 του κανονισμού (ΕΕ) 2018/1725, ακολουθεί τα εξής στάδια:
               
                           α)
                        
                        
                           ενημερώνει το υποκείμενο των δεδομένων, κατά την απάντησή του στο αίτημά του, σχετικά με τον περιορισμό που εφαρμόζεται και τους κύριους λόγους του περιορισμού, καθώς και σχετικά με τη δυνατότητά του να προβεί ανά πάσα στιγμή σε καταγγελία στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ή να ασκήσει δικαστική προσφυγή ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης·
                        
                     
                           β)
                        
                        
                           τεκμηριώνει σε εσωτερικό σημείωμα αξιολόγησης τους λόγους του περιορισμού, συμπεριλαμβανομένης μιας αξιολόγησης της αναγκαιότητας και της αναλογικότητας του περιορισμού, καθώς και της διάρκειάς του.
                        
                     Η παροχή πληροφοριών που αναφέρεται στο στοιχείο α) μπορεί να αναβάλλεται, να παραλείπεται ή να απορρίπτεται στο μέτρο που στερεί από τον περιορισμό την ισχύ του σύμφωνα με το άρθρο 25 παράγραφος 8 του κανονισμού (ΕΕ) 2018/1725.
               Το ΕΚΠΝΤ επανεξετάζει την αίτηση περιορισμού ανά έξι μήνες μετά την έγκρισή της και κατά το κλείσιμο της οικείας έρευνας. Στη συνέχεια, ο υπεύθυνος επεξεργασίας παρακολουθεί την ανάγκη διατήρησης οποιουδήποτε περιορισμού σε εξαμηνιαία βάση.
            
            
               3.   Το αρχείο και, κατά περίπτωση, τα έγγραφα που περιέχουν υποκείμενα πραγματικά και νομικά στοιχεία καταχωρίζονται. Όλα αυτά τίθενται, κατόπιν αιτήματος, στη διάθεση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων.
            
         
         
            Άρθρο 7
            Δικαίωμα διόρθωσης, διαγραφής και περιορισμού της επεξεργασίας
            
               1.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, το δικαίωμα διόρθωσης, διαγραφής και περιορισμού μπορεί να περιοριστεί από τον υπεύθυνο επεξεργασίας στο πλαίσιο των ακόλουθων εργασιών επεξεργασίας, όπου είναι αναγκαίο και σκόπιμο:
               
                           α)
                        
                        
                           της διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·
                        
                     
                           β)
                        
                        
                           προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που κοινοποιούνται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης·
                        
                     
                           γ)
                        
                        
                           διαδικασιών καταγγελίας δυσλειτουργιών·
                        
                     
                           δ)
                        
                        
                           (επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης·
                        
                     
                           ε)
                        
                        
                           της επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·
                        
                     
                           στ)
                        
                        
                           εσωτερικών ελέγχων·
                        
                     
                           ζ)
                        
                        
                           ερευνών που διενεργούνται από τον Υπεύθυνο Επεξεργασίας Δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725·
                        
                     
                           η)
                        
                        
                           των ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ).
                        
                     
            
               2.   Όταν το ΕΚΠΝΤ περιορίζει, εν όλω ή εν μέρει, την εφαρμογή των δικαιωμάτων διόρθωσης, διαγραφής και περιορισμού της επεξεργασίας, τα οποία αναφέρονται στο άρθρο 18, στο άρθρο 19 παράγραφος 1 και στο άρθρο 20 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, ακολουθεί τα στάδια που περιγράφονται στο άρθρο 6 παράγραφος 2 της παρούσας απόφασης και καταχωρίζει το αρχείο σύμφωνα με το άρθρο 6 παράγραφος 3.
            
         
         
            Άρθρο 8
            Ανακοίνωση της παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων και απόρρητο των ηλεκτρονικών επικοινωνιών
            
               1.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, το δικαίωμα γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα μπορεί να περιοριστεί από τον υπεύθυνο επεξεργασίας στο πλαίσιο των ακόλουθων εργασιών επεξεργασίας, όπου είναι αναγκαίο και σκόπιμο:
               
                           α)
                        
                        
                           της διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·
                        
                     
                           β)
                        
                        
                           προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που κοινοποιούνται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης·
                        
                     
                           γ)
                        
                        
                           διαδικασιών καταγγελίας δυσλειτουργιών·
                        
                     
                           δ)
                        
                        
                           (επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης·
                        
                     
                           ε)
                        
                        
                           της επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·
                        
                     
                           στ)
                        
                        
                           εσωτερικών ελέγχων·
                        
                     
                           ζ)
                        
                        
                           των ερευνών που διενεργούνται από τον Υπεύθυνο Επεξεργασίας Δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725·
                        
                     
                           η)
                        
                        
                           των ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ).
                        
                     
            
               2.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, το δικαίωμα του απορρήτου των ηλεκτρονικών επικοινωνιών μπορεί να περιοριστεί από τον υπεύθυνο επεξεργασίας στο πλαίσιο των ακόλουθων εργασιών επεξεργασίας, όπου είναι αναγκαίο και σκόπιμο:
               
                           α)
                        
                        
                           της διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·
                        
                     
                           β)
                        
                        
                           προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που κοινοποιούνται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης·
                        
                     
                           γ)
                        
                        
                           διαδικασιών καταγγελίας δυσλειτουργιών·
                        
                     
                           δ)
                        
                        
                           επίσημων διαδικασιών σε περιπτώσεις παρενόχλησης·
                        
                     
                           ε)
                        
                        
                           της επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·
                        
                     
                           στ)
                        
                        
                           των ερευνών ασφαλείας που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ).
                        
                     
            
               3.   Όταν το ΕΚΠΝΤ περιορίζει την ανακοίνωση της παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ή το απόρρητο των ηλεκτρονικών επικοινωνιών, όπως αναφέρεται στα άρθρα 35 και 36 του κανονισμού (ΕΕ) 2018/1725, καταγράφει και καταχωρίζει τους λόγους του περιορισμού σύμφωνα με το άρθρο 5 παράγραφος 3 της παρούσας απόφασης. Εφαρμόζεται το άρθρο 5 παράγραφος 4 της παρούσας απόφασης.
            
         
         
            Άρθρο 9
            Θέση σε ισχύ
            Η παρούσα απόφαση αρχίζει να ισχύει την επομένη της δημοσίευσής της στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.
         
         
            Λισαβόνα, 28 Ιουνίου 2019.
            
               
                  Για το Διοικητικό Συμβούλιο
               
               
                  Η Πρόεδρος
               
               Laura D’ARRIGO
            
         
         
            (1)  ΕΕ L 295 της 21.11.2018, σ. 39.
         
            (2)  ΕΕ L 376 της 27.12.2006, σ. 1.
         
            (3)  Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ L 119 της 4.5.2016, σ. 1).
         
            (4)  Οδηγία (EE) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου (ΕΕ L 119 της 4.5.2016, σ. 89).