1.   Medlemsstaterne vedtager og offentliggør senest den 13. maj 2020 de love og administrative bestemmelser, der er nødvendige for at efterkomme dette direktiv. De tilsender straks Kommissionen disse love og bestemmelser.

De anvender disse love og bestemmelser fra den 13. juni 2020.

Lovene og bestemmelserne skal ved vedtagelsen indeholde en henvisning til dette direktiv eller skal ved offentliggørelsen ledsages af en sådan henvisning. De nærmere regler for henvisningen fastsættes af medlemsstaterne.

2.   Medlemsstaterne meddeler Kommissionen teksten til de vigtigste nationale retsforskrifter, som de udsteder på det område, der er omfattet af dette direktiv.

»1.1.   SI-grundenheder

Definitionerne af SI-grundenhederne er følgende:

1.1.1.   Særligt navn og symbol for den afledte SI-enhed for temperatur ved angivelse af celsius-temperaturer

Celsius-temperaturen t er defineret som differencen t = T - T0 mellem to termodynamiske temperaturer T og T 0, hvor T 0 = 273,15 K. Et interval eller en forskel i temperatur kan udtrykkes enten i kelvin eller i grader celsius. Enheden »grad celsius« er lig enheden »kelvin«.«

1.   Med denne afgørelse fastsættes regler for, under hvilke betingelser agenturet inden for rammerne af sine procedurer, jf. stk. 2, må begrænse anvendelsen af de rettigheder, der er fastsat i artikel 14-21, 35 og 36 samt artikel 4, jf. artikel 25 i forordning (EU) 2018/1725.

2.   Inden for rammerne af agenturets administrative funktionsmåde finder denne afgørelse anvendelse på kontorets behandlingsaktiviteter vedrørende personoplysninger i forbindelse med administrative undersøgelser, disciplinærsager, indledende aktiviteter vedrørende tilfælde af potentielle uregelmæssigheder indberettet til OLAF, behandling af whistleblowingsager, (formelle og uformelle) procedurer for forebyggelse af chikane, behandling af interne og eksterne klager, udførelse af interne revisioner, efterforskninger iværksat af den databeskyttelsesansvarlige i overensstemmelse med artikel 45, stk. 2, i forordning (EU) 2018/1725, og (IT-relaterede) sikkerhedsefterforskninger, der gennemføres internt eller med ekstern deltagelse (f.eks. af CERT-EU).

3.   De pågældende datakategorier er hårde data (»objektive« data såsom identifikationsdata, kontaktdata, faglige data, administrative oplysninger, data fra specifikke kilder, elektronisk kommunikations- og trafikdata) og/eller »bløde« data (»subjektive« data, der vedrører sager, såsom argumenter, adfærdsdata, data fra udviklingssamtaler, præstations- og adfærdsdata samt data, der er knyttet til eller fremsat i forbindelse med genstanden for proceduren eller aktiviteten).

4.   Hvis agenturet udøver sine forpligtelser med hensyn til den registreredes rettigheder i henhold til forordning (EU) 2018/1725, skal det tage stilling til, om nogen af de undtagelser, der er fastsat i nævnte forordning, finder anvendelse.

5.   Med forbehold for de betingelser, der er fastsat i denne afgørelse, kan begrænsningerne gælde for følgende rettigheder: informering af registrerede, ret til indsigt, berigtigelse, sletning, begrænsning af behandlingen, underretning af den registrerede om et brud på persondatasikkerheden eller kommunikationsfortrolighed.

1.   De sikkerhedsforanstaltninger, der er indført for at undgå brud på datasikkerheden, læk eller uautoriseret videregivelse, er som følger:

2.   Den dataansvarlige med hensyn til behandlingsaktiviteter er agenturet repræsenteret ved dets administrerende direktør, som kan uddelegere den dataansvarliges funktion. De registrerede informeres om den delegerede dataansvarlige via de databeskyttelsesmeddelelser eller fortegnelser, der offentliggøres på agenturets websted og/eller intranet.

3.   Opbevaringsperioden for de personoplysninger, der er omhandlet i artikel 1, stk. 3, er ikke længere end nødvendig og er hensigtsmæssig til formålet, med hvilket oplysningerne behandles. Den er under ingen omstændigheder længere end den opbevaringsperiode, der er angivet i de i artikel 5, stk. 1, omhandlede databeskyttelsesmeddelelser, privatlivserklæringer eller fortegnelser.

4.   Hvis agenturet påtænker at gøre en begrænsning gældende, afvejes risikoen for den registreredes grundlæggende rettigheder og frihedsrettigheder i særdeleshed mod risikoen for andre registreredes grundlæggende rettigheder og frihedsrettigheder og risikoen for at undergrave effektiviteten af agenturets efterforskninger eller procedurer, f.eks. ved at ødelægge beviser. Risiciene for den registreredes grundlæggende rettigheder og frihedsrettigheder vedrører primært, men er ikke begrænset til, omdømmemæssige risici og risici for retten til forsvar og retten til at blive hørt.

1.   Begrænsninger anvendes kun af agenturet for at sikre:

2.   Som en særlig anvendelse af de formål, der er beskrevet i stk. 1 ovenfor, kan agenturet anvende begrænsninger i forbindelse med personoplysninger, der er udvekslet med Kommissionens tjenestegrene eller andre EU-institutioner, -organer, -agenturer og -kontorer, medlemsstaternes kompetente myndigheder eller tredjelande eller internationale organisationer, under følgende omstændigheder:

Før agenturet anvender begrænsninger i de tilfælde, der er omhandlet i første afsnit, litra a) og b), konsulterer det de relevante tjenestegrene i Kommissionen, de relevante EU-institutioner, -organer, -agenturer, -kontorer eller de kompetente myndigheder i medlemsstaterne, medmindre det er klart for agenturet, at anvendelsen af en begrænsning er muliggjort ved en af de retsakter, der er omhandlet i disse punkter.

3.   Enhver begrænsning er nødvendig og forholdsmæssig under hensyntagen til risiciene for de registreredes grundlæggende rettigheder og frihedsrettigheder og respekterer kernen i de grundlæggende rettigheder og frihedsrettigheder i et demokratisk samfund.

4.   Hvis anvendelsen af en begrænsning overvejes, foretages der en nødvendigheds- og proportionalitetstest baseret på de nuværende regler. Den dokumenteres i alle tilfælde gennem en intern vurderingsnote med henblik på ansvarlighed.

5.   Begrænsningerne ophæves, så snart de omstændigheder, der begrunder dem, ikke længere gør sig gældende. Navnlig hvis det fastslås, at udøvelsen af den begrænsede ret ikke længere ville underminere effektiviteten af den indførte begrænsning eller have en negativ indvirkning på andre registreredes rettigheder eller friheder.

1.   Agenturet underretter uden unødig forsinkelse agenturets databeskyttelsesansvarlige (»den databeskyttelsesansvarlige«), når den dataansvarlige begrænser anvendelsen af de registreredes rettigheder eller forlænger begrænsningen i overensstemmelse med denne afgørelse. Den dataansvarlige giver den databeskyttelsesansvarlige adgang til fortegnelsen, som indeholder en vurdering af, om begrænsningen er nødvendig og forholdsmæssig, og dokumenterer datoen for underretningen af den databeskyttelsesansvarlige.

2.   Den databeskyttelsesansvarlige kan skriftligt anmode den dataansvarlige om på ny at gennemgå anvendelsen af begrænsningerne. Den dataansvarlige underretter skriftligt den databeskyttelsesansvarlige om udfaldet af den fornyede gennemgang, der anmodes om.

3.   Den dataansvarlige underretter den databeskyttelsesansvarlige, når begrænsningen er blevet ophævet.

1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan den dataansvarlige begrænse retten til information i forbindelse med følgende behandlingsaktiviteter:

De i artikel 31 i forordning (EU) 2018/1725 omhandlede databeskyttelsesmeddelelser, privatlivserklæringer eller fortegnelser, som agenturet offentliggør på sit websted og/eller intranet for at informere de registrerede om deres rettigheder inden for rammerne af en given procedure, indeholder information om den potentielle begrænsning af disse rettigheder. Informationen redegør for, hvilke rettigheder der kan begrænses, årsagerne hertil og den potentielle varighed.

2.   Med forbehold af bestemmelserne i stk. 3, og hvor det er forholdsmæssigt, informerer agenturet også hver registrerede, der betragtes som en person, der er berørt af den specifikke behandling, om dennes rettigheder vedrørende gældende eller kommende begrænsninger, uden unødig forsinkelse og skriftligt.

3.   Hvis agenturet helt eller delvist begrænser videregivelsen af information til de registrerede, jf. stk. 2, registrerer det årsagerne til begrænsningen, retsgrundlaget i overensstemmelse med artikel 3 i denne afgørelse, herunder en vurdering af, om begrænsningen er nødvendig og forholdsmæssig.

Fortegnelsen og, i givet fald, de dokumenter, der indeholder underliggende faktuelle og retlige elementer, registreres. De stilles efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.

4.   Den i stk. 3 omhandlede begrænsning finder fortsat anvendelse, så længe begrundelsen herfor fortsat er til stede.

Hvis begrundelsen for begrænsningen ikke længere er til stede, informerer agenturet den registrerede om de vigtigste begrundelser for anvendelsen af en begrænsning. Agenturet informerer samtidig den registrerede om, at denne til enhver tid har ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller til at indbringe sagen for Den Europæiske Unions Domstol.

Agenturet foretager en fornyet gennemgang af anvendelsen af begrænsningen hvert halve år fra dens vedtagelse og ved afslutningen af den relevante bevisoptagelse, procedure eller efterforskning. Derefter vurderer den dataansvarlige med seks måneders mellemrum, om der er behov for at opretholde en eventuel begrænsning.

1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan den dataansvarlige begrænse retten til indsigt, for så vidt det er nødvendigt og forholdsmæssigt, i forbindelse med følgende behandlingsaktiviteter:

Hvis de registrerede anmoder om indsigt i deres personoplysninger i forbindelse med en eller flere specifikke sager eller en bestemt behandling i overensstemmelse med artikel 17 i forordning (EU) 2018/1725, begrænser agenturet sin vurdering af anmodningen til kun at omfatte sådanne personoplysninger.

2.   Hvis agenturet helt eller delvis begrænser retten til indsigt, jf. artikel 17 i forordning (EU) 2018/1725, tager det følgende skridt:

Leveringen af information omhandlet i litra a) kan udskydes, udelades eller afvises, hvis den ville medføre en ophævelse af virkningen af begrænsningen, i overensstemmelse med artikel 25, stk. 8, i forordning (EU) 2018/1725.

Agenturet tager anvendelsen af begrænsningen op til revision hvert halve år, efter at den er vedtaget, og ved afslutningen af den relevante efterforskning. Derefter vurderer den dataansvarlige med seks måneders mellemrum, om der er behov for at opretholde en eventuel begrænsning.

3.   Fortegnelsen og, i givet fald, de dokumenter, der indeholder underliggende faktuelle og retlige elementer, registreres. De stilles efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.

1.   I behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, kan den dataansvarlige begrænse retten til berigtigelse, sletning og begrænsning, for så vidt det er nødvendigt og forholdsmæssigt, i forbindelse med følgende behandlingsaktiviteter:

2.   Begrænser agenturet helt eller delvist anvendelsen af retten til berigtigelse, sletning og begrænsning af behandling, jf. artikel 18, artikel 19, stk. 1, og artikel 20, stk. 1, i forordning (EU) 2018/1725, træffer det de foranstaltninger, der er fastsat i artikel 6, stk. 2, i denne afgørelse, og registrerer fortegnelsen i overensstemmelse med artikel 6, stk. 3, heri.

1.   Den dataansvarlige kan i behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, begrænse retten til underretning om et brud på persondatasikkerheden, for så vidt det er nødvendigt og forholdsmæssigt, i forbindelse med følgende behandlingsaktiviteter:

2.   Den dataansvarlige kan i behørigt begrundede tilfælde og på de betingelser, der er fastsat i denne afgørelse, begrænse retten til fortrolighed af elektronisk kommunikation, for så vidt det er nødvendigt og forholdsmæssigt, i forbindelse med følgende behandlingsaktiviteter:

3.   Hvis agenturet indfører begrænsninger i underretningen af den registrerede om et brud på persondatasikkerheden eller fortroligheden af elektronisk kommunikation, som omhandlet i artikel 35 og 36 i forordning (EU) 2018/1725, optegner og registrerer det årsagerne til begrænsningen, i overensstemmelse med artikel 5, stk. 3, i denne afgørelse. Artikel 5, stk. 4, i denne afgørelse finder anvendelse.

»1.   Medlemsstaterne fastsætter, at de oplysninger, som en afgiftspligtig person, der gør brug af særordningen i afsnit XII, kapitel 6, afdeling 4, i direktiv 2006/112/EF, eller dennes formidler sender til identifikationsmedlemsstaten ved påbegyndelsen af sin afgiftspligtige virksomhed, jf. direktivets artikel 369p, stk. 1, 2 og 2a, skal fremsendes elektronisk. Enhver ændring i de oplysninger, der er givet i henhold til artikel 369p, stk. 3, i direktiv 2006/112/EF, skal også fremsendes elektronisk.«

»1.   Medlemsstaterne fastsætter, at de oplysninger, som en afgiftspligtig person, der gør brug af særordningen i afsnit XII, kapitel 6, afdeling 4, i direktiv 2006/112/EF, eller dennes formidler sender til identifikationsmedlemsstaten ved påbegyndelsen af sin afgiftspligtige virksomhed, jf. direktivets artikel 369p, stk. 1, 2 og 3, skal fremsendes elektronisk. Enhver ændring i de oplysninger, der er givet i henhold til artikel 369p, stk. 4, i direktiv 2006/112/EF, skal også fremsendes elektronisk.«