1.   Medlemsstaterna ska senast den 13 maj 2020 anta och offentliggöra de lagar och andra författningar som är nödvändiga för att följa detta direktiv. De ska genast överlämna texten till dessa bestämmelser till kommissionen.

De ska tillämpa dessa bestämmelser från och med den 13 juni 2020.

När en medlemsstat antar dessa bestämmelser ska de innehålla en hänvisning till detta direktiv eller åtföljas av en sådan hänvisning när de offentliggörs. Närmare föreskrifter om hur hänvisningen ska göras ska varje medlemsstat själv utfärda.

2.   Medlemsstaterna ska till kommissionen överlämna texten till de centrala bestämmelser i nationell rätt som de antar inom det område som omfattas av detta direktiv.

”1.1   SI-grundenheter

Grundenheterna i SI definieras på följande sätt:

1.1.1   Särskild benämning och beteckning för den härledda SI-enheten för temperatur vid angivelse av Celsiustemperatur

Celsiustemperaturen t definieras som differensen t = T – T0 mellan de två termodynamiska temperaturerna T och T 0 där T 0 = 273,15 K. Ett temperaturintervall eller en temperaturskillnad får uttryckas i antingen kelvin eller grader Celsius. Enheten grad Celsius är lika med enheten kelvin.”

1.   Detta beslut innehåller regler om vilka villkor som måste vara uppfyllda för att myndigheten inom ramen för de förfaranden som anges i punkt 2 ska få begränsa rättigheterna som avses i artiklarna 14–21, 35 och 36, liksom artikel 4 i förordning (EU) 2018/1725, i enlighet med artikel 25 i den förordningen.

2.   Inom ramen för myndighetens administrativa verksamhet gäller detta beslut för personuppgiftsbehandling som myndigheten utför i syfte att genomföra administrativa utredningar och disciplinära förfaranden och förberedande åtgärder i samband med eventuella oegentligheter som anmälts till Olaf samt i syfte att handlägga visselblåsarärenden, genomföra (formella och informella) förfaranden för att förhindra trakasserier, handlägga interna och externa klagomål och genomföra internrevisioner, utredningar som dataskyddsombudet ska genomföra i enlighet med artikel 45.2 i förordning (EU) 2018/1725 samt interna (it-)säkerhetsutredningar som sköts internt eller med extern hjälp (till exempel av CERT-EU).

3.   Typerna av uppgifter som omfattas är objektiva uppgifter (som personidentifierande uppgifter, kontaktuppgifter, yrkesuppgifter, administrativa uppgifter, uppgifter från särskilda källor, elektronisk kommunikation och trafikuppgifter) och/eller subjektiva uppgifter (som rör ärendet, till exempel resonemang, uppgifter om beteende, bedömningar, uppgifter om utfört arbete och uppförande och uppgifter som rör, eller som framkommit, i samband med sakfrågan för förfarandet eller arbetet.

4.   När myndigheten fullgör sina skyldigheter med avseende på registrerades rättigheter enligt förordning (EU) 2018/1725 ska myndigheten undersöka om några av de undantag som anges i den förordningen är tillämpliga.

5.   Enligt villkoren som beskrivs i detta beslut kan begränsningarna gälla följande rättigheter: information till registrerade, registrerades rätt till tillgång, rättelse, radering och begränsning av behandling av uppgifter samt till underrättelse om personuppgiftsincidenter samt rätt till konfidentiell behandling av korrespondens.

1.   Följande skyddsåtgärder ska tillämpas för att undvika personuppgiftsincidenter, dataläckor och obehörigt utlämnande:

2.   Personuppgiftsansvarig för behandlingen av personuppgifter är myndigheten, företrädd av sin verkställande direktör, som kan delegera personuppgiftsansvaret till någon annan. Registrerade ska informeras om vem som delegerats personuppgiftsansvaret genom dataskyddsmeddelanden eller register på myndighetens webbplats och/eller intranät.

3.   De personuppgifter som avses i artikel 1.3 får inte lagras längre än vad som är nödvändigt och lämpligt för det syfte som personuppgifterna behandlas för. De får dock aldrig lagras längre än den tid som anges i de dataskyddsmeddelanden, sekretessinformation eller det register som avses i artikel 5.1.

4.   När myndigheten överväger att tillämpa en begränsning ska risken för den registrerades rättigheter och friheter vägas särskilt mot risken för andra registrerades rättigheter och friheter samt mot risken att ändamålsenligheten i myndighetens utredningar och förfaranden undergrävs, till exempel genom att bevis förstörs. Riskerna för de registrerades rättigheter och friheter rör i första hand anseenderisker och risker för rätten att försvara och yttra sig.

1.   Begränsningar får endast tillämpas av myndigheten för att säkerställa

2.   Som en särskild tillämpning av de syften som beskrivs i punkt 1 ovan kan myndigheten i följande fall tillämpa begränsningar avseende personuppgifter som vidarebefordras till eller från kommissionens avdelningar eller unionens övriga institutioner, organ, byråer eller kontor, behöriga myndigheter i medlemsstaterna eller i tredjeländer eller internationella organisationer:

Innan begränsningar tillämpas i sådana fall som avses i led a och b i första stycket ska myndigheten samråda med berörda kommissionsavdelningar, institutioner, organ, byråer eller kontor i EU eller medlemsstaters behöriga myndigheter såvida det inte är uppenbart för myndigheten att tillämpningen av en begränsning föreskrivs genom någon av de rättsakter som avses i de punkterna.

3.   Alla begränsningar som tillämpas måste var nödvändiga och proportionerliga mot riskerna för de registrerades rättigheter och friheter och överensstämma med andemeningen i de grundläggande fri- och rättigheterna.

4.   Om en begränsning övervägs ska en nödvändighets- och proportionalitetsprövning genomföras i enlighet med dessa regler. I ansvarsutkrävande syfte ska prövningarna i varje enskilt fall dokumenteras genom en intern bedömningsnotering.

5.   Begränsningar ska upphöra så fort omständigheterna som motiverar dem inte längre föreligger. Detta gäller särskilt i de fall då utövandet av den begränsade rättigheten inte längre anses undergräva ändamålsenligheten i den införda begränsningen eller inte längre påverkar andra registrerades rättigheter och friheter negativt.

1.   Myndigheten ska i enlighet med detta beslut utan onödigt dröjsmål informera myndighetens dataskyddsombud om alla fall då den personuppgiftsansvariga begränsar registrerades rättigheter eller förlänger en begränsning. Den personuppgiftsansvariga ska ge dataskyddsombudet tillgång till det register där bedömningen av begränsningens nödvändighet och proportionalitet finns samt i registret ange det datum då ombudet informeras.

2.   Dataskyddsombudet kan skriftligen begära att den personuppgiftsansvariga ska se över tillämpningen av begränsningar. Den personuppgiftsansvariga ska skriftligen informera dataskyddsombudet om resultatet från den begärda översynen.

3.   Den personuppgiftsansvariga ska informera dataskyddsombudet när en begränsning har upphört.

1.   I vederbörligen motiverade fall och enligt villkoren i detta beslut kan rätten till information begränsas av den personuppgiftsansvariga då personuppgifter behandlas i samband med följande:

I de dataskyddsmeddelanden, den sekretessinformation, eller i det register som avses i artikel 31 i förordning (EU) 2018/1725, som publiceras på myndighetens webbplats och/eller intranät och som informerar de registrerade om deras rättigheter i olika förfaranden, ska myndigheten informera de registrerade om att dessa rättigheter kan komma att inskränkas. Informationen ska ange vilka rättigheter som kan inskränkas, av vilka anledningar och hur länge.

2.   Utan att det påverkar tillämpningen av bestämmelserna i punkt 3 ska myndigheten, där så är proportionerligt, utan onödigt dröjsmål skriftligen även personligen informera alla registrerade som anses vara berörda i respektive behandlingsfall om deras rättigheter vad gäller pågående eller framtida inskränkningar.

3.   I de fall då myndigheten helt eller delvis begränsar informationen till registrerade enligt punkt 2 ska myndigheten dokumentera anledningarna till begränsningen och den rättsliga grunden enligt artikel 3 i detta beslut samt en bedömning av nödvändigheten och proportionaliteten i begränsningen.

Dokumentationen och, i tillämpliga fall, handlingar som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.

4.   Den begränsning som avses i punkt 3 ska fortsätta att tillämpas så länge skälen som motiverar den föreligger.

Om skälen till begränsning inte längre föreligger ska myndigheten underrätta den registrerade om de huvudsakliga skälen till varför en begränsning tillämpas. Samtidigt ska myndigheten informera den registrerade om dennes rätt att när som helst inge klagomål till Europeiska datatillsynsmannen eller begära rättslig prövning vid Europeiska unionens domstol.

Myndigheten ska ompröva begränsningen var sjätte månad från det att den beslutats samt när utredningen eller förfarandet i fråga avslutas. Därefter ska den personuppgiftsansvariga ompröva behovet av att behålla begränsningen var sjätte månad.

1.   I vederbörligen motiverade fall och enligt villkoren i detta beslut och kan rätten till tillgång när så är nödvändigt och proportionerligt begränsas av den personuppgiftsansvariga då personuppgifter behandlas i samband med följande:

Om registrerade, i överensstämmelse med artikel 17 i förordning (EU) 2018/1725, begär tillgång till sina personuppgifter som behandlas i samband med ett eller flera specifika fall eller ärenden som inbegriper uppgiftsbehandling ska myndigheten begränsa sin bedömning av denna begäran till att endast avse dessa personuppgifter.

2.   Om myndigheten helt eller delvis begränsar rätten till tillgång, som avses i artikel 17 i förordning (EU) 2018/1725, ska följande åtgärder vidtas:

Det tillhandahållande av information som avses i led a kan skjutas upp, utelämnas eller nekas om tillhandahållandet skulle upphäva begränsningens verkan i enlighet med artikel 25.8 i förordning (EU) 2018/1725.

Myndigheten ska ompröva begränsningen var sjätte månad från det att beslut om den fattats, samt när utredningen i fråga avslutas. Därefter ska den personuppgiftsansvariga ompröva behovet av att behålla begränsningen var sjätte månad.

3.   Dokumentationen och, i tillämpliga fall, handlingar som innehåller de bakomliggande faktiska och rättsliga omständigheterna ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande.

1.   I vederbörligen motiverade fall och enligt villkoren i detta beslut kan rätten till rättelse, radering och begränsning av behandlingen av personuppgifter när så är nödvändigt och lämpligt begränsas av den personuppgiftsansvariga då personuppgifter behandlas i samband med följande:

2.   Om myndigheten helt eller delvis inskränker den rätt till rättelse, radering eller begränsning av behandling som avses i artiklarna 18, 19.1 och 20.1 i förordning (EU) 2018/1725 ska myndigheten vidta de åtgärder som anges i artikel 6.2 i föreliggande beslut och registrera dokumentationen i enlighet med artikel 6.3 i densamma.

1.   I vederbörligen motiverade fall och enligt villkoren i detta beslut kan rätten till upplysning om personuppgiftsincidenter när så är nödvändigt och lämpligt begränsas av den personuppgiftsansvariga då personuppgifter behandlas i samband med följande:

2.   I vederbörligen motiverade fall och enligt villkoren i detta beslut kan rätten till konfidentiell behandling av elektronisk korrespondens när så är nödvändigt och lämpligt begränsas av den personuppgiftsansvariga då personuppgifter behandlas i samband med följande:

3.   Om myndigheten inskränker en registrerads rätt att få information om personuppgiftsincidenter eller till konfidentiell behandling av elektronisk korrespondens i enlighet med artiklarna 35 och 36 i förordning (EU) 2018/1725 ska den personuppgiftsansvariga notera och registrera skälen till inskränkningen i enlighet med artikel 5.3 i detta beslut. Artikel 5.4 i föreliggande beslut ska tillämpas.

”1.   Medlemsstaterna ska föreskriva att den information som den beskattningsbara person som utnyttjar den särskilda ordningen i avsnitt 4 i kapitel 6 i avdelning XII i direktiv 2006/112/EG eller dennes förmedlare lämnar till identifieringsmedlemsstaten enligt artikel 369p.1, 369p.2 och 369p.2a i det direktivet när dennes verksamhet inleds ska lämnas på elektronisk väg. Alla ändringar av den information som lämnats enligt artikel 369p.3 i direktiv 2006/112/EG ska också lämnas på elektronisk väg.”

”1.   Medlemsstaterna ska föreskriva att den information som den beskattningsbara person som utnyttjar den särskilda ordningen i avsnitt 4 i kapitel 6 i avdelning XII i direktiv 2006/112/EG eller dennes förmedlare lämnar till identifieringsmedlemsstaten enligt artikel 369p.1, 369p.2 och 369p.3 i det direktivet när dennes verksamhet inleds ska lämnas på elektronisk väg. Alla ändringar av den information som lämnats enligt artikel 369p.4 i direktiv 2006/112/EG ska också lämnas på elektronisk väg.”.