CELEX: 32020Q0722(02)
Language: el
Date: 2020-03-26 00:00:00
Title: Απόφαση αριθ. 1/2020 του διοικητικού συμβουλίου της κοινής επιχείρησης Shift2Rail της 26ης Μαρτίου 2020 σχετικά με τον καθορισμό εσωτερικών κανόνων περί περιορισμού ορισμένων δικαιωμάτων των υποκειμένων των δεδομένων αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας της ΚΕ S2R

22.7.2020   
               
               
                  EL
               
               
                  Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης
               
               
                  L 236/7
               
            
         ΑΠΟΦΑΣΗ αριθ. 1/2020 ΤΟΥ ΔΙΟΙΚΗΤΙΚΟΥ ΣΥΜΒΟΥΛΙΟΥ ΤΗΣ ΚΟΙΝΗΣ ΕΠΙΧΕΙΡΗΣΗΣ SHIFT2RAIL
         της 26ης Μαρτίου 2020
         σχετικά με τον καθορισμό εσωτερικών κανόνων περί περιορισμού ορισμένων δικαιωμάτων των υποκειμένων των δεδομένων αναφορικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της λειτουργίας της ΚΕ S2R
         ΤΟ ΔΙΟΙΚΗΤΙΚΟ ΣΥΜΒΟΥΛΙΟ ΤΗΣ ΚΟΙΝΗΣ ΕΠΙΧΕΙΡΗΣΗΣ SHIFT2RAIL (εφεξής αποκαλούμενης «ΚΕ S2R»)
         Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης (1),
         Έχοντας υπόψη τον κανονισμό (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (2), και ιδίως το άρθρο 25,
         Έχοντας υπόψη τον κανονισμό (ΕΕ) αριθ. 642/2014 του Συμβουλίου, της 16ης Ιουνίου 2014, για τη σύσταση της κοινής επιχείρησης Shift2Rail (3), και ιδίως το άρθρο 8 του καταστατικού που προσαρτάται σε αυτόν τον κανονισμό
         Έχοντας υπόψη τις οδηγίες του Ευρωπαίου Επόπτη Προστασίας Δεδομένων σχετικά με το άρθρο 25 του νέου κανονισμού και τους εσωτερικούς κανόνες,
         Αφού ζήτησε τη γνώμη του ΕΕΠΔ στις 12 Νοεμβρίου 2019 σύμφωνα με το άρθρο 41 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725,
         Έχοντας υπόψη τις συστάσεις του Ευρωπαίου Επόπτη Προστασίας Δεδομένων («ΕΕΠΔ») της 18ης Δεκεμβρίου 2019,
         Αφού ζήτησε τη γνώμη της επιτροπής προσωπικού της ΚΕ S2R,
         Εκτιμώντας τα ακόλουθα:
         
                     (1)
                  
                  
                     Μόνο οι νομικές πράξεις που εκδίδονται βάσει των Συνθηκών προβλέπουν περιορισμούς των δικαιωμάτων των υποκειμένων των δεδομένων. Στις περιπτώσεις που αυτοί οι περιορισμοί δεν μπορούν να βασίζονται σε νομικές πράξεις που εκδίδονται βάσει των Συνθηκών, ο κανονισμός (ΕΕ) 2018/1725 ορίζει ότι, σε θέματα σχετικά με τη λειτουργία της ΚΕ S2R, δύναται να προβλέπονται περιορισμοί με εσωτερικούς κανονισμούς, συμπεριλαμβανομένων των διατάξεών του σχετικά με την αξιολόγηση της αναγκαιότητας και της αναλογικότητας ενός περιορισμού.
                  
               
                     (2)
                  
                  
                     Σύμφωνα με το άρθρο 25 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, οι περιορισμοί της εφαρμογής των άρθρων 14 έως 22 και των άρθρων 35 και 36, καθώς και του άρθρου 4 του εν λόγω κανονισμού, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις που προβλέπονται στα άρθρα 14 έως 22, πρέπει να βασίζονται σε εσωτερικούς κανονισμούς που θεσπίζονται από την ΚΕ S2R.
                  
               
                     (3)
                  
                  
                     Στο πλαίσιο της διοικητικής λειτουργίας της, η ΚΕ S2R μπορεί να διεξάγει διοικητικές έρευνες και πειθαρχικές διαδικασίες, προκαταρκτικές δραστηριότητες που σχετίζονται με περιπτώσεις ενδεχόμενων παρατυπιών που έχουν καταγγελθεί στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης (OLAF), να επεξεργάζεται υποθέσεις καταγγελίας δυσλειτουργιών, να επεξεργάζεται (επίσημες και ανεπίσημες) διαδικασίες παρενόχλησης, να επεξεργάζεται εσωτερικές και εξωτερικές καταγγελίες, να διενεργεί εσωτερικούς ελέγχους, να διεξάγει έρευνες μέσω του υπευθύνου προστασίας δεδομένων («ΥΠΔ»), σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725 και να διενεργεί εσωτερικές έρευνες ασφαλείας (ΤΠ).
                  
               
                     (4)
                  
                  
                     Η ΚΕ S2R επεξεργάζεται διάφορες κατηγορίες δεδομένων προσωπικού χαρακτήρα, όπως στοιχεία ταυτότητας, στοιχεία επικοινωνίας, επαγγελματικά στοιχεία, διοικητικά στοιχεία, δεδομένα που λαμβάνονται από συγκεκριμένες πηγές, ηλεκτρονικές επικοινωνίες και δεδομένα κίνησης, και/ή δεδομένα σχετικά με την υπόθεση (όπως σκεπτικό, δεδομένα συμπεριφοράς, εκτιμήσεις, στοιχεία απόδοσης και συμπεριφοράς και δεδομένα που σχετίζονται ή υποβάλλονται σε σχέση με το αντικείμενο της διαδικασίας ή δραστηριότητας) (4).
                  
               
                     (5)
                  
                  
                     Η ΚΕ S2R, εκπροσωπούμενη από τον Εκτελεστικό Διευθυντή της, ενεργεί ως υπεύθυνος επεξεργασίας των δεδομένων.
                  
               
                     (6)
                  
                  
                     Τα δεδομένα προσωπικού χαρακτήρα φυλάσσονται με ασφάλεια σε ηλεκτρονικό περιβάλλον ή σε έντυπη μορφή ώστε να αποτρέπεται η παράνομη πρόσβαση σε αυτά ή η διαβίβασή τους σε πρόσωπα που δεν απαιτείται να τα γνωρίζουν. Τα δεδομένα προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία διατηρούνται μόνο για το διάστημα που είναι αναγκαίο και κατάλληλο για τους σκοπούς για τους οποίους τα δεδομένα υποβάλλονται σε επεξεργασία, για την περίοδο που καθορίζεται στις ανακοινώσεις προστασίας δεδομένων, στις δηλώσεις προστασίας δεδομένων προσωπικού χαρακτήρα ή στα αρχεία της ΚΕ S2R.
                  
               
                     (7)
                  
                  
                     Οι εσωτερικοί κανονισμοί θα πρέπει να εφαρμόζονται σε όλες τις πράξεις επεξεργασίας που διεξάγονται από την ΚΕ S2R κατά την εκτέλεση διοικητικών ερευνών, πειθαρχικών διαδικασιών, προκαταρκτικών δραστηριοτήτων που σχετίζονται με περιπτώσεις ενδεχόμενων παρατυπιών που έχουν καταγγελθεί στην OLAF, διαδικασιών καταγγελίας δυσλειτουργιών, (επίσημων και ανεπίσημων) διαδικασιών για υποθέσεις παρενόχλησης, επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών, εσωτερικών ελέγχων, ερευνών που διεξάγονται από τον Υπεύθυνο Προστασίας Δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725, εσωτερικών ερευνών ασφαλείας (ΤΠ) που διεκπεραιώνονται εσωτερικά ή με τη συμμετοχή τρίτων (π.χ. CERT-EE).
                  
               
                     (8)
                  
                  
                     Οι εν λόγω κανονισμοί θα πρέπει να εφαρμόζονται στις πράξεις επεξεργασίας που πραγματοποιούνται πριν από την έναρξη των διαδικασιών που αναφέρονται ανωτέρω, κατά τη διάρκεια των εν λόγω διαδικασιών και κατά την παρακολούθηση της συνέχειας των αποτελεσμάτων αυτών των διαδικασιών. Επίσης, θα πρέπει να περιλαμβάνεται η συνδρομή και η συνεργασία που παρέχει η ΚΕ S2R σε εθνικές αρχές και διεθνείς οργανισμούς εκτός των διοικητικών ερευνών που διενεργεί.
                  
               
                     (9)
                  
                  
                     Στις περιπτώσεις όπου εφαρμόζονται οι εν λόγω εσωτερικοί κανονισμοί, η ΚΕ S2R πρέπει να αιτιολογεί γιατί οι περιορισμοί είναι απολύτως αναγκαίοι και αναλογικοί σε μια δημοκρατική κοινωνία και να τηρεί την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών.
                  
               
                     (10)
                  
                  
                     Στο πλαίσιο αυτό, η ΚΕ S2R υποχρεούται να σέβεται, στον μέγιστο δυνατό βαθμό, τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων κατά τη διεξαγωγή των ανωτέρω διαδικασιών, ιδίως αυτά που αφορούν το δικαίωμα παροχής πληροφοριών, πρόσβασης και διόρθωσης, το δικαίωμα διαγραφής, περιορισμού επεξεργασίας, το δικαίωμα γνωστοποίησης παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ή το απόρρητο των επικοινωνιών, όπως θεσπίζονται στον κανονισμό (ΕΕ) 2018/1725.
                  
               
                     (11)
                  
                  
                     Ωστόσο, η ΚΕ S2R μπορεί να υποχρεωθεί να περιορίσει τις πληροφορίες στο υποκείμενο των δεδομένων και άλλα δικαιώματα του υποκειμένου των δεδομένων για την προστασία, κυρίως, των δικών της ερευνών, των ερευνών και διαδικασιών άλλων δημόσιων αρχών, καθώς και των δικαιωμάτων άλλων προσώπων που σχετίζονται με τις έρευνες ή άλλες διαδικασίες της.
                  
               
                     (12)
                  
                  
                     Στις περιπτώσεις που η ΚΕ S2R προτίθεται να εφαρμόσει έναν περιορισμό, σταθμίζεται ο κίνδυνος για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων, ιδίως ο κίνδυνος για τα δικαιώματα και τις ελευθερίες άλλων υποκειμένων δεδομένων και ο κίνδυνος της ακύρωσης του αποτελέσματος των ερευνών ή διαδικασιών της ΚΕ S2R, για παράδειγμα μέσω της καταστροφής αποδεικτικών στοιχείων. Οι κίνδυνοι για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων αφορούν κατά κύριο λόγο, αλλά δεν περιορίζονται σε αυτούς, τους κινδύνους φήμης και τους κινδύνους για το δικαίωμα υπεράσπισης και το δικαίωμα ακρόασης.
                  
               
                     (13)
                  
                  
                     Η ΚΕ S2R μπορεί επομένως να περιορίσει τις πληροφορίες για λόγους προστασίας της έρευνας και των θεμελιωδών δικαιωμάτων και ελευθεριών άλλων υποκειμένων δεδομένων.
                  
               
                     (14)
                  
                  
                     Η ΚΕ S2R θα πρέπει να παρακολουθεί περιοδικά την τήρηση των όρων που δικαιολογούν τον περιορισμό και να άρει τον περιορισμό όταν αυτοί δεν ισχύουν πλέον.
                  
               
                     (15)
                  
                  
                     Ο υπεύθυνος επεξεργασίας θα πρέπει να ενημερώνει τον υπεύθυνο προστασίας δεδομένων κατά τον χρόνο της αναβολής και κατά τις αναθεωρήσεις,
                  
               ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:
         
            Άρθρο 1
            Αντικείμενο και πεδίο εφαρμογής
            
               1.   Η παρούσα απόφαση θεσπίζει κανόνες σχετικά με τους όρους υπό τους οποίους η ΚΕ S2R, στο πλαίσιο των διαδικασιών της που ορίζονται στην παράγραφο 2, μπορεί να περιορίζει την εφαρμογή των δικαιωμάτων που θεσπίζονται στα άρθρα 14 έως 21, 35 και 36, καθώς και στο άρθρο 4, σύμφωνα με το άρθρο 25 του κανονισμού (ΕΕ) 2018/1725.
            
            
               2.   Στο πλαίσιο της διοικητικής λειτουργίας της ΚΕ S2R, η παρούσα απόφαση ισχύει για τις πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα από το γραφείο προγράμματος για τους εξής σκοπούς: διεξαγωγή διοικητικών ερευνών, πειθαρχικών διαδικασιών, προκαταρκτικών δραστηριοτήτων που σχετίζονται με περιπτώσεις ενδεχόμενων παρατυπιών οι οποίες έχουν καταγγελθεί στην OLAF, διεκπεραίωση υποθέσεων καταγγελίας δυσλειτουργιών, (επίσημων και ανεπίσημων) διαδικασιών για υποθέσεις παρενόχλησης, επεξεργασία εσωτερικών και εξωτερικών καταγγελιών, διενέργεια εσωτερικών ελέγχων, ερευνών που διεξάγονται από τον Υπεύθυνο Προστασίας Δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725, εσωτερικών ερευνών ασφαλείας (ΤΠ) που διεκπεραιώνονται εσωτερικά ή με τη συμμετοχή τρίτων (π.χ. CERT-EE).
            
            
               3.   Οι σχετικές κατηγορίες δεδομένων περιλαμβάνουν στοιχεία ταυτότητας, στοιχεία επικοινωνίας, επαγγελματικά στοιχεία, διοικητικά στοιχεία, δεδομένα που λαμβάνονται από συγκεκριμένες πηγές, ηλεκτρονικές επικοινωνίες και δεδομένα κίνησης και δεδομένα σχετικά με την υπόθεση, όπως σκεπτικό, δεδομένα συμπεριφοράς, εκτιμήσεις, στοιχεία απόδοσης και συμπεριφοράς και δεδομένα που σχετίζονται ή υποβάλλονται σε σχέση με το αντικείμενο της διαδικασίας ή δραστηριότητας.
            
            
               4.   Η ΚΕ S2R, κατά την άσκηση των καθηκόντων της όσον αφορά τα δικαιώματα των υποκειμένων των δεδομένων βάσει του κανονισμού (ΕΕ) 2018/1725, εξετάζει εάν εφαρμόζονται τυχόν εξαιρέσεις που ορίζονται στον εν λόγω κανονισμό.
            
         
         
            Άρθρο 2
            Προσδιορισμός του υπεύθυνου επεξεργασίας
            Ο υπεύθυνος επεξεργασίας των πράξεων επεξεργασίας είναι η ΚΕ S2R, εκπροσωπούμενη από τον Εκτελεστικό Διευθυντή της.
         
         
            Άρθρο 3
            Προσδιορισμός των εγγυήσεων
            
               1.   Η ΚΕ S2R θεσπίζει τις ακόλουθες εγγυήσεις με στόχο την πρόληψη της κατάχρησης ή της παράνομης πρόσβασης ή μεταφοράς δεδομένων προσωπικού χαρακτήρα:
               
                           α)
                        
                        
                           Τα έγγραφα φυλάσσονται σε ασφαλισμένα ντουλάπια και είναι προσβάσιμα μόνο από εξουσιοδοτημένο προσωπικό·
                        
                     
                           β)
                        
                        
                           όλα τα ηλεκτρονικά δεδομένα αποθηκεύονται σε ασφαλή εφαρμογή ΤΠ σύμφωνα με τα πρότυπα ασφαλείας της ΚΕ S2R, καθώς και σε συγκεκριμένους ηλεκτρονικούς φακέλους στους οποίους πρόσβαση έχει μόνο εξουσιοδοτημένο προσωπικό. Τα κατάλληλα επίπεδα πρόσβασης παρέχονται μεμονωμένα·
                        
                     
                           γ)
                        
                        
                           η βάση δεδομένων προστατεύεται με κωδικό πρόσβασης σε ένα σύστημα ενιαίας πρόσβασης μέσω ταυτοποίησης και συνδέεται αυτόματα με το αναγνωριστικό και τον κωδικό πρόσβασης του χρήστη, συμπεριλαμβανομένης «ψευδωνυμοποίησης» και/ή «κρυπτογράφησης», όπου απαιτείται. Απαγορεύεται αυστηρά η αντικατάσταση χρηστών. Τα ηλεκτρονικά αρχεία φυλάσσονται με ασφάλεια για τη διασφάλιση της εμπιστευτικότητας και του απορρήτου των δεδομένων που περιέχονται σε αυτά·
                        
                     
                           δ)
                        
                        
                           Όλα τα πρόσωπα που έχουν πρόσβαση στα δεδομένα δεσμεύονται από την υποχρέωση εμπιστευτικότητας.
                        
                     
            
               2.   Σύμφωνα με το άρθρο 6 παράγραφος 3, οι εγγυήσεις που αναφέρονται στην παράγραφο 1 πρέπει να υπόκεινται σε περιοδική επανεξέταση.
            
            
               3.   Η περίοδος διατήρησης των δεδομένων προσωπικού χαρακτήρα που αναφέρονται στο άρθρο 1 παράγραφος 3 αναφέρεται στις αντίστοιχες ανακοινώσεις προστασίας δεδομένων, στις δηλώσεις εχεμύθειας ή στα αρχεία που αναφέρονται στο άρθρο 7 παράγραφος 1. Η περίοδος διατήρησης δεν υπερβαίνει σε καμία περίπτωση το διάστημα που είναι αναγκαίο και εύλογο για τους σκοπούς για τους οποίους τα δεδομένα υποβλήθηκαν σε επεξεργασία (5).
            
         
         
            Άρθρο 4
            Λόγοι επιβολής περιορισμών
            
               1.   Οποιοσδήποτε περιορισμός εφαρμόζεται μόνο από την ΚΕ S2R για τη διασφάλιση:
               
                           α)
                        
                        
                           της εθνικής ασφάλειας, της δημόσιας ασφάλειας ή της άμυνας των κρατών μελών,
                        
                     
                           β)
                        
                        
                           της πρόληψης, της διερεύνησης, της ανίχνευσης και της δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων, περιλαμβανομένης της προστασίας από απειλές κατά της δημόσιας ασφάλειας και της αποτροπής τους,
                        
                     
                           γ)
                        
                        
                           άλλων σημαντικών στόχων γενικού δημόσιου συμφέροντος της Ένωσης ή κράτους μέλους, ιδίως των στόχων της κοινής εξωτερικής πολιτικής και πολιτικής ασφαλείας της Ένωσης ή σημαντικού οικονομικού ή χρηματοοικονομικού συμφέροντος της Ένωσης ή κράτους μέλους, συμπεριλαμβανομένων των νομισματικών, δημοσιονομικών και φορολογικών θεμάτων, της δημόσιας υγείας και της κοινωνικής ασφάλισης,
                        
                     
                           δ)
                        
                        
                           της εσωτερικής ασφάλειας των οργάνων και οργανισμών της Ένωσης, συμπεριλαμβανομένων των δικτύων ηλεκτρονικών επικοινωνιών τους,
                        
                     
                           ε)
                        
                        
                           της πρόληψης, διερεύνησης, διαπίστωσης και δίωξης παραβιάσεων της δεοντολογίας των νομοθετικά κατοχυρωμένων επαγγελμάτων,
                        
                     
                           στ)
                        
                        
                           της παρακολούθησης, της επιθεώρησης ή της κανονιστικής λειτουργίας που συνδέεται, έστω περιστασιακά, με την άσκηση δημόσιας εξουσίας στις περιπτώσεις που αναφέρονται στα σημεία α) έως γ),
                        
                     
                           ζ)
                        
                        
                           της προστασίας του υποκειμένου των δεδομένων ή των δικαιωμάτων και των ελευθεριών άλλων.
                        
                     
                           η)
                        
                        
                           της επιβολής αστικών αγωγών.
                        
                     
            
               2.   Στο πλαίσιο της ειδικής εφαρμογής των σκοπών που περιγράφονται στην παράγραφο 1 ανωτέρω, η ΚΕ S2R δύναται να εφαρμόζει περιορισμούς στις ακόλουθες περιπτώσεις:
               
                           α)
                        
                        
                           όσον αφορά δεδομένα προσωπικού χαρακτήρα που ανταλλάσσονται με υπηρεσίες της Επιτροπής ή άλλα θεσμικά και λοιπά όργανα και οργανισμούς της Ένωσης·
                           
                                       —
                                    
                                    
                                       όταν οι εν λόγω υπηρεσίες της Επιτροπής ή τα εν λόγω άλλα θεσμικά και λοιπά όργανα και οργανισμοί της ΕΕ δικαιούνται να περιορίζουν την άσκηση των αναφερόμενων δικαιωμάτων βάσει άλλων πράξεων οι οποίες προβλέπονται στο άρθρο 25 του κανονισμού (ΕΕ) 2018/1725 ή σύμφωνα με το κεφάλαιο IX του εν λόγω κανονισμού ή με τις ιδρυτικές πράξεις άλλων θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης,
                                    
                                 
                                       —
                                    
                                    
                                       όταν ο σκοπός ενός τέτοιου περιορισμού από τις εν λόγω υπηρεσίες της Επιτροπής ή τα εν λόγω άλλα θεσμικά και λοιπά όργανα και οργανισμούς της ΕΕ θα μπορούσε να τεθεί σε κίνδυνο, εάν η ΚΕ S2R δεν εφάρμοζε ισοδύναμο περιορισμό σε σχέση με τα ίδια δεδομένα προσωπικού χαρακτήρα.
                                    
                                 
                     
                           β)
                        
                        
                           όσον αφορά δεδομένα προσωπικού χαρακτήρα που ανταλλάσσονται με αρμόδιες αρχές κρατών μελών·
                           
                                       —
                                    
                                    
                                       όταν οι εν λόγω αρμόδιες αρχές των κρατών μελών δικαιούνται να περιορίζουν την άσκηση των αναφερόμενων δικαιωμάτων βάσει των πράξεων που αναφέρονται στο άρθρο 23 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (6), ή δυνάμει εθνικών μέτρων για τη μεταφορά του άρθρου 13 παράγραφος 3, του άρθρου 15 παράγραφος 3 ή του άρθρου 16 παράγραφος 3 της οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (7).
                                    
                                 
                                       —
                                    
                                    
                                       όταν ο σκοπός ενός τέτοιου περιορισμού από την εν λόγω αρμόδια αρχή θα μπορούσε να τεθεί σε κίνδυνο, εάν η ΚΕ S2R δεν εφάρμοζε ισοδύναμο περιορισμό σε σχέση με τα ίδια δεδομένα προσωπικού χαρακτήρα.
                                    
                                 
                     
                           γ)
                        
                        
                           όσον αφορά δεδομένα προσωπικού χαρακτήρα που ανταλλάσσονται με τρίτες χώρες ή διεθνείς οργανισμούς, όταν υπάρχουν σαφή αποδεικτικά στοιχεία ότι η άσκηση των εν λόγω δικαιωμάτων και υποχρεώσεων είναι πιθανόν να θέσει σε κίνδυνο τη συνεργασία της ΚΕ S2R με τρίτες χώρες ή διεθνείς οργανισμούς κατά την εκτέλεση των καθηκόντων της.
                        
                     Πριν την εφαρμογή περιορισμών στις περιπτώσεις που αναφέρονται στα σημεία α) και β) του πρώτου εδαφίου, η ΚΕ S2R ζητάει τη γνώμη των οικείων υπηρεσιών της Επιτροπής, των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης ή των αρμόδιων αρχών των κρατών μελών, εκτός εάν έχει καταστεί σαφές στην ΚΕ S2R ότι η εφαρμογή ενός περιορισμού προβλέπεται σε κάποια από τις πράξεις που αναφέρονται στα εν λόγω σημεία.
            
         
         
            Άρθρο 5
            Περιορισμοί και δικαιώματα των υποκειμένων των δεδομένων
            
               1.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, τα παρακάτω δικαιώματα μπορούν να περιοριστούν από τον υπεύθυνο επεξεργασίας στο πλαίσιο των πράξεων επεξεργασίας που αναφέρονται στο άρθρο 1 παράγραφος 2 και στην παράγραφο 2, όπου είναι αναγκαίο και αναλογικό:
               
                           α)
                        
                        
                           το δικαίωμα ενημέρωσης·
                        
                     
                           β)
                        
                        
                           το δικαίωμα πρόσβασης·
                        
                     
                           γ)
                        
                        
                           το δικαίωμα διόρθωσης, διαγραφής και περιορισμού ως προς την επεξεργασία·
                        
                     
                           δ)
                        
                        
                           το δικαίωμα γνωστοποίησης της παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων·
                        
                     
                           ε)
                        
                        
                           το δικαίωμα του απορρήτου των ηλεκτρονικών επικοινωνιών·
                        
                     
            
               2.   Σε δεόντως αιτιολογημένες περιπτώσεις και για τη διασφάλιση των σκοπών που αναφέρονται στο άρθρο 4 παράγραφος 1, μπορεί να εφαρμόζονται περιορισμοί από τον υπεύθυνο επεξεργασίας στο πλαίσιο των παρακάτω πράξεων επεξεργασίας που αναφέρονται στο άρθρο 1 παράγραφος 2:
               
                           α)
                        
                        
                           της διενέργειας διοικητικών ερευνών και πειθαρχικών διαδικασιών·
                        
                     
                           β)
                        
                        
                           προκαταρκτικών δραστηριοτήτων που αφορούν περιπτώσεις ενδεχόμενων παρατυπιών που αναφέρονται στην Ευρωπαϊκή Υπηρεσία Καταπολέμησης της Απάτης·
                        
                     
                           γ)
                        
                        
                           διαδικασιών καταγγελίας δυσλειτουργιών·
                        
                     
                           δ)
                        
                        
                           (επίσημων και ανεπίσημων) διαδικασιών σε περιπτώσεις παρενόχλησης·
                        
                     
                           ε)
                        
                        
                           της επεξεργασίας εσωτερικών και εξωτερικών καταγγελιών·
                        
                     
                           στ)
                        
                        
                           εσωτερικών ελέγχων·
                        
                     
                           ζ)
                        
                        
                           των ελέγχων που διενεργούνται από τον υπεύθυνο προστασίας δεδομένων σύμφωνα με το άρθρο 45 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725·
                        
                     
                           η)
                        
                        
                           των ερευνών ασφαλείας (ΤΠ) που διενεργούνται εσωτερικά ή με συμμετοχή εξωτερικών φορέων (π.χ. CERT-ΕΕ)·
                        
                     
                           θ)
                        
                        
                           στο πλαίσιο της διαχείρισης επιχορηγήσεων ή της διαδικασίας σύναψης συμβάσεων μετά την ημέρα λήξης της προθεσμίας υποβολής των προσκλήσεων υποβολής προτάσεων ή της υποβολής προσφορών.
                        
                     
            
               3.   Στο πλαίσιο διαδικασιών για υποθέσεις παρενόχλησης, τα δικαιώματα που αναφέρονται στην παράγραφο 1 μπορεί να περιοριστούν με βάση τους ίδιους όρους, με την εξαίρεση του δικαιώματος γνωστοποίησης της παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων που αναφέρεται στην παράγραφο 1 στοιχείο δ).
            
            
               4.   Στο πλαίσιο της διαχείρισης επιχορηγήσεων ή της διαδικασίας σύναψης συμβάσεων, τα δικαιώματα που αναφέρονται στην παράγραφο 1 μπορεί να περιοριστούν με βάση τους ίδιους όρους, με την εξαίρεση του δικαιώματος διόρθωσης, διαγραφής και περιορισμού της επεξεργασίας που αναφέρεται στην παράγραφο 1 στοιχείο γ).
            
            
               5.   Σε δεόντως αιτιολογημένες περιπτώσεις και υπό τους όρους που καθορίζονται στην παρούσα απόφαση, το δικαίωμα διόρθωσης, διαγραφής και περιορισμού ως προς την επεξεργασία μπορεί να περιοριστεί από τον υπεύθυνο επεξεργασίας, με τις εξαιρέσεις που προβλέπονται στις παραγράφους 3 και 4.
            
            
               6.   Όταν η ΚΕ S2R περιορίζει, εν όλω ή εν μέρει, την εφαρμογή των δικαιωμάτων που αναφέρονται στις παραγράφους 1, 3, 4 και 5, προβαίνει στις ενέργειες που ορίζονται στα άρθρα 6 και 7 της παρούσας απόφασης.
            
            
               7.   Σε περίπτωση που τα υποκείμενα των δεδομένων ζητήσουν πρόσβαση στα δεδομένα προσωπικού χαρακτήρα τους που υποβάλλονται σε επεξεργασία στο πλαίσιο μίας ή περισσοτέρων συγκεκριμένων περιπτώσεων ή συγκεκριμένης πράξης επεξεργασίας, σύμφωνα με το άρθρο 17 του κανονισμού (ΕΕ) 2018/1725, η ΚΕ S2R περιορίζει την αξιολόγηση της αίτησης στα εν λόγω δεδομένα προσωπικού χαρακτήρα και μόνο.
            
         
         
            Άρθρο 6
            Αναγκαιότητα και αναλογικότητα των περιορισμών
            
               1.   Οποιοσδήποτε περιορισμός βάσει του άρθρου 4 είναι αναγκαίος και αναλογικός, λαμβάνει υπόψη τους κινδύνους για τα δικαιώματα και τις ελευθερίες των υποκειμένων των δεδομένων και τηρεί την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών σε μια δημοκρατική κοινωνία.
            
            
               2.   Αν κριθεί απαραίτητη η εφαρμογή περιορισμού, διενεργείται δοκιμή αναγκαιότητας και αναλογικότητας με βάση τους ισχύοντες κανόνες. Η δοκιμή διενεργείται επίσης στο πλαίσιο της περιοδικής επανεξέτασης, αφού αξιολογηθεί εάν εξακολουθούν να ισχύουν οι πραγματικοί και νομικοί λόγοι εφαρμογής ενός περιορισμού. Ο εν λόγω έλεγχος τεκμηριώνεται με εσωτερικό σημείωμα αξιολόγησης για σκοπούς λογοδοσίας κατά περίπτωση.
            
            
               3.   Οι περιορισμοί είναι προσωρινοί. Ισχύουν για όσο διάστημα εξακολουθούν να ισχύουν οι λόγοι για τους οποίους εφαρμόστηκαν. Ειδικότερα, όταν κρίνεται ότι η άσκηση του περιορισμένου δικαιώματος δεν θα στερεί πλέον από τον περιορισμό που επιβάλλεται την ισχύ του, ούτε θα θίγει τα δικαιώματα ή τις ελευθερίες άλλων υποκειμένων δεδομένων.
               Η ΚΕ S2R επανεξετάζει την εφαρμογή του περιορισμού ανά έξι μήνες μετά την έγκρισή του και κατά το κλείσιμο της σχετικής έρευνας, διαδικασίας ή διερεύνησης. Στη συνέχεια, ο υπεύθυνος επεξεργασίας παρακολουθεί την ανάγκη διατήρησης οποιουδήποτε περιορισμού σε εξαμηνιαία βάση.
            
            
               4.   Σε περίπτωση που η ΚΕ S2R εφαρμόσει , εν όλω ή εν μέρει, περιορισμούς βάσει του άρθρου 4 της παρούσας απόφασης, καταγράφει τους λόγους του περιορισμού και τον νομικό λόγο σύμφωνα με την παράγραφο 1 ανωτέρω, συμπεριλαμβανομένης αξιολόγησης της αναγκαιότητας και της αναλογικότητας του περιορισμού.
               Το αρχείο και, κατά περίπτωση, τα έγγραφα που περιέχουν υποκείμενα πραγματικά και νομικά στοιχεία καταχωρίζονται. Τα ανωτέρω τίθενται, κατόπιν αιτήματος, στη διάθεση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων.
            
         
         
            Άρθρο 7
            Υποχρέωση ενημέρωσης
            
               1.   Η ΚΕ S2R περιλαμβάνει στις ανακοινώσεις προστασίας δεδομένων, στις δηλώσεις προστασίας δεδομένων προσωπικού χαρακτήρα ή στα αρχεία —κατά την έννοια του άρθρου 31 του κανονισμού (ΕΕ) 2018/1725— που δημοσιεύονται στον δικτυακό της τόπο και/ή στο εσωτερικό δίκτυο για την ενημέρωση των υποκειμένων δεδομένων σχετικά με τα δικαιώματά τους στο πλαίσιο μιας συγκεκριμένης διαδικασίας, πληροφορίες σχετικά με τον ενδεχόμενο περιορισμό των εν λόγω δικαιωμάτων. Οι πληροφορίες καλύπτουν τα δικαιώματα που ενδέχεται να περιοριστούν, τους λόγους, καθώς και την πιθανή διάρκεια του περιορισμού.
               Με την επιφύλαξη των διατάξεων του άρθρου 6 παράγραφος 4, η ΚΕ S2R, κατά περίπτωση, ενημερώνει επίσης μεμονωμένα όλα τα υποκείμενα των δεδομένων, τα οποία θεωρούνται πρόσωπα που τα αφορά η συγκεκριμένη πράξη επεξεργασίας, για τα δικαιώματά τους σχετικά με υφιστάμενους ή μελλοντικούς περιορισμούς, χωρίς αδικαιολόγητη καθυστέρηση και σε γραπτή μορφή.
            
            
               2.   Στις περιπτώσεις που η ΚΕ S2R περιορίζει, εν όλω ή εν μέρει, τα δικαιώματα που ορίζονται στο άρθρο 5, ενημερώνει το οικείο υποκείμενο των δεδομένων σχετικά με τον περιορισμό που εφαρμόζεται και τους κύριους λόγους του περιορισμού, καθώς και σχετικά με τη δυνατότητά του να προβεί σε καταγγελία στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ή να ασκήσει δικαστική προσφυγή ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης·
               Η ενημέρωση που προβλέπεται στην παράγραφο 2 ανωτέρω μπορεί να αναβάλλεται, να παραλείπεται ή να απορρίπτεται εφόσον στερεί από τον περιορισμό που επιβάλλεται βάσει του άρθρου 25 παράγραφος 8 του κανονισμού (ΕΕ) 2018/1725, την ισχύ του.
            
         
         
            Άρθρο 8
            Επανεξέταση από τον υπεύθυνο προστασίας δεδομένων
            
               1.   Η ΚΕ S2R ενημερώνει χωρίς αδικαιολόγητη καθυστέρηση τον υπεύθυνο προστασίας δεδομένων της («ο ΥΠΔ»), κάθε φορά που ο υπεύθυνος επεξεργασίας περιορίζει την εφαρμογή των δικαιωμάτων των υποκειμένων των δεδομένων ή επεκτείνει τον περιορισμό, σύμφωνα με την παρούσα απόφαση. Ο υπεύθυνος επεξεργασίας παρέχει στον ΥΠΔ πρόσβαση στο αρχείο που περιέχει την αξιολόγηση της αναγκαιότητας και της αναλογικότητας του περιορισμού και τεκμηριώνει την ημερομηνία ενημέρωσης του ΥΠΔ στο αρχείο.
            
            
               2.   Ο ΥΠΔ μπορεί να ζητήσει γραπτώς από τον υπεύθυνο επεξεργασίας να εξετάσει την εφαρμογή των περιορισμών. Ο υπεύθυνος επεξεργασίας ενημερώνει γραπτώς τον ΥΠΔ σχετικά με το αποτέλεσμα της αιτούμενης επανεξέτασης.
            
            
               3.   Ο ΥΠΔ συμμετέχει καθ’ όλη τη διάρκεια της διαδικασίας. Ο υπεύθυνος επεξεργασίας ενημερώνει τον ΥΠΔ για την άρση του περιορισμού.
            
         
         
            Άρθρο 9
            Θέση σε ισχύ
            Η παρούσα απόφαση αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή της στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.
            
         
         
            Βρυξέλλες, 26 Μαρτίου 2020.
            
               
                  Για το Διοικητικό Συμβούλιο του ΚΕ S2R
               
               Henrik HOLOLEI
               
                  Ο Πρόεδρος
               
            
         
         
            (1)  ΕΕ C 202 της 7.6.2016, σ. 47.
         
            (2)  ΕΕ L 295 της 22.11.2018, σ. 39.
         
            (3)  EE L 177 της 7.6.2014, σ. 9.
         
            (4)  Στις περιπτώσεις κοινής ευθύνης επεξεργασίας, η επεξεργασία των δεδομένων πραγματοποιείται σύμφωνα με τα μέσα και τους σκοπούς που καθορίζονται στη σχετική συμφωνία μεταξύ των από κοινού υπευθύνων επεξεργασίας, όπως ορίζεται στο άρθρο 28 του κανονισμού (ΕΕ) 2018/1725.
         
            (5)  Η πολιτική διατήρησης δεδομένων της ΚΕ S2R βασίζεται στη διατήρηση των φακέλων από την Επιτροπή που διέπεται από τον κοινό κατάλογο διατήρησης αρχείων, ένα κανονιστικό έγγραφο [τελευταία έκδοση SEC(2019)900] με τη μορφή χρονοδιαγράμματος διατήρησης που καθορίζει τις περιόδους διατήρησης για τα διάφορα είδη φακέλων της Επιτροπής.
         
            (6)  Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ L 119 της 4.5.2016, σ. 1).
         
            (7)  Οδηγία (EE) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου (ΕΕ L 119 της 4.5.2016, σ. 89)