Decisión N.o 20-w-3 del Consejo de Administración de la Agencia Europea de Control de la Pesca de 22 de abril de 2020 por la que se establecen normas internas relativas a la limitación de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco de las actividades llevadas a cabo por la Agencia Europea de Control de la Pesca

1 La siguiente Decisión establece las normas relativas a las condiciones en las que la Agencia, en el marco de sus procedimientos establecidos en el apartado 2, puede limitar la aplicación de los derechos previstos en los artículos 14 a 21, 35 y 36, y también del artículo 4 del mismo, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725.

2 En el marco del funcionamiento administrativo de la Agencia, esta Decisión se aplica a las operaciones de tratamiento de datos personales realizadas a efectos de llevar a cabo investigaciones administrativas, procedimientos disciplinarios, actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF, tramitaciones de casos de denuncia de irregularidades, procedimientos formales e informales en casos de acoso, tramitaciones de quejas internas y externas, auditorías internas, investigaciones realizadas por el responsable de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE).

3 En el marco de las actividades operativas de la Agencia, la presente Decisión se aplica a las operaciones de tratamiento de datos personales a efectos del cumplimiento de su mandato, en particular la recepción de informes de inspección de conformidad con el artículo 123 del Reglamento de Ejecución (UE) n.o 404/2011, los artículos 18, 19 y 20 del Reglamento (UE) n.o 1236/2010 y los artículos 30, 33 y 34 del Reglamento (UE) 2019/833, así como de la información y los datos recibidos de los Estados miembros en el contexto del análisis proporcionado a la Comisión Europea para la preparación y realización de misiones in situ en terceros países de conformidad con el artículo 20, apartado 4, letra c), del Reglamento (CE) n.o 1005/2008, tal como se establece en la Decisión 2009/988/UE.

4 Las categorías de datos de que se trata son los datos sólidos (datos «objetivos», como los datos de identificación, los datos de contacto, los datos profesionales, los datos administrativos, los datos recibidos de determinadas fuentes y los datos de las comunicaciones y el tráfico electrónicos) y los datos frágiles (datos «subjetivos» relacionados con el caso, como el razonamiento, los datos de comportamiento, las valoraciones, los datos de actuación y conducta, y los datos relacionados con el objeto del procedimiento o la actividad o presentados en relación con estos).

5 Cuando la Agencia ejerza sus funciones en relación con los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho Reglamento.

6 Con arreglo a las condiciones previstas en la presente Decisión, las limitaciones pueden aplicarse a los siguientes derechos: la comunicación de información a los interesados, el derecho de acceso, la rectificación, la supresión, la limitación del tratamiento, la comunicación de una violación de la seguridad de los datos personales al interesado y la confidencialidad de las comunicaciones.

1 Para prevenir el uso, acceso o transferencia ilícitos, la Agencia aplicará las salvaguardias siguientes: a) los documentos en papel deberán conservarse en armarios protegidos a los que únicamente pueda acceder el personal autorizado; b) todos los datos en formato electrónico deberán almacenarse en una aplicación informática segura que respete las normas de seguridad de la Agencia y en carpetas electrónicas específicas a las que únicamente pueda acceder el personal autorizado. Deberán concederse de manera individualizada los niveles de acceso adecuados; c) los sistemas informáticos y sus bases de datos dispondrán de mecanismos para comprobar la identidad del usuario en un sistema de autenticación única y conectada automáticamente al identificador y la contraseña del usuario. Las cuentas de usuario final serán únicas, personales e intransferibles, compartir cuentas de usuario estará estrictamente prohibido. Los registros electrónicos se conservarán de manera segura para salvaguardar la confidencialidad y la privacidad de los datos que contengan; d) todas las personas que dispongan de acceso a los datos quedarán sujetas a una obligación de confidencialidad.

2 El responsable de las operaciones de tratamiento será la Agencia, representada por su director ejecutivo, quien podrá delegar la función de responsable del tratamiento de datos. Se informará a los interesados de la identidad del responsable del tratamiento delegado por medio de avisos de protección de datos, de declaraciones de confidencialidad o de registros publicados en el sitio web o la intranet de la Agencia.

3 El período de conservación de los datos personales al que hace referencia el artículo 1, apartado 3, no superará el necesario ni el adecuado para los fines que justifiquen el tratamiento de los datos. En ningún caso deberá superar el período de conservación especificado en los avisos sobre la protección de datos, las declaraciones de confidencialidad o los registros a los que se hace referencia en el artículo 5, apartado 1.

4 Cuando la Agencia estudie aplicar una limitación, el riesgo para los derechos y las libertades del interesado deberá sopesarse, en particular, con el riesgo para los derechos y las libertades de otros interesados y el riesgo de dejar sin efecto las investigaciones o los procedimientos emprendidos por la Agencia, por ejemplo, por la destrucción de pruebas. Los riesgos para los derechos y las libertades del interesado consisten principalmente, aunque no de manera exclusiva, en riesgos para la reputación y riesgos para el derecho a la defensa y a ser oído.

1 Las limitaciones se aplicarán solo por la Agencia sobre la base de uno o varios motivos de los enumerados en las letras a) a i) del artículo 25, apartado 1, del Reglamento (UE) 2018/1725. En los avisos de protección de datos, las declaraciones de confidencialidad o los registros, en el sentido del artículo 31 del Reglamento (UE) 2018/1725, publicados en el sitio web o en la intranet de la Agencia, donde se informe a los interesados de sus derechos en el marco de determinado procedimiento, la Agencia incluirá información sobre la posible limitación de dichos derechos. Esta información abarcará los derechos que pueden limitarse, las razones de la limitación y la posible duración de esta.

2 Como aplicación específica de los fines descritos en el apartado 1, la Agencia podrá aplicar limitaciones en las siguientes circunstancias: a) cuando el ejercicio de esos derechos y obligaciones sea limitado por los servicios autorizados de la Comisión o por otras instituciones, organismos, agencias y oficinas de la Unión, sobre la base de los actos jurídicos contemplados en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento o con los actos fundacionales de otras instituciones, organismos, agencias y oficinas de la Unión y cuando el objetivo de tal limitación se viera comprometido si la Agencia no aplicara una limitación equivalente respecto de dichos datos personales; b) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones se vea limitado por parte de las autoridades competentes de los Estados miembros sobre la base de los actos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo , o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3; del artículo 15, apartado 3; o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo ; c) cuando el ejercicio de esos derechos y obligaciones comprometería la cooperación de la Agencia con terceros países u organizaciones internacionales en el desempeño de sus funciones, cuando existan pruebas claras de que la cooperación puede verse comprometida. Antes de aplicar las limitaciones en las circunstancias mencionadas en el apartado 1, letras a) y b), la Agencia consultará a los servicios pertinentes de la Comisión, a las instituciones, organismos, agencias y oficinas pertinentes de la Unión o a las autoridades competentes de los Estados miembros, a menos que para la Agencia resulte evidente que la aplicación de una limitación está prevista en uno de los actos a que se hace referencia en dichas letras.

3 Toda limitación deberá ser necesaria y proporcionada a los riesgos para los derechos y las libertades de los interesados y el respeto del contenido esencial de los derechos y las libertades fundamentales en una sociedad democrática.

4 Si se estudia aplicar una limitación, deberá llevarse a cabo una prueba de la necesidad y la proporcionalidad basada en las presentes normas. Esta se documentará con una nota interna de evaluación para cumplir la obligación de rendir cuentas en cada caso. La consignación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Estos se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud. La Agencia dedicará un ciclo de revisión de seis meses a la aplicación de cada limitación desde la fecha de su adopción y al cierre de la indagación o el procedimiento pertinentes. En el marco de esta revisión periódica, se llevará a cabo una prueba de necesidad y proporcionalidad para determinar si siguen siendo aplicables los motivos de hecho y de derecho de la limitación.

5 Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hubieran justificado. En particular, cuando se considere que el ejercicio del derecho limitado ya no anula el efecto de la limitación impuesta ni afecta negativamente a los derechos o las libertades de los demás interesados.

1 La Agencia informará a su responsable de protección de datos, sin dilaciones indebidas, de toda situación en que el responsable del tratamiento limite la aplicación de los derechos de los interesados o prorrogue la limitación de conformidad con la presente Decisión. El responsable del tratamiento proporcionará al responsable de protección de datos acceso al registro que contenga la evaluación de la necesidad y la proporcionalidad de la limitación y documentará en dicho registro la fecha de la notificación al responsable de protección de datos.

2 El responsable de protección de datos podrá solicitar por escrito al responsable del tratamiento que revise la aplicación de las limitaciones. Este notificará por escrito al responsable de protección de datos el resultado de la revisión solicitada.

3 El responsable del tratamiento de datos informará al responsable de protección de datos acerca de cada limitación aplicada a los derechos del interesado y sobre el momento en que dicha limitación se haya levantado.

1 En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho de información, cuando resulte necesario y proporcionado, en el contexto de las siguientes operaciones de tratamiento: a) la realización de investigaciones administrativas y los procedimientos disciplinarios. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), f), g) y h), del Reglamento (UE) 2018/1725; b) las actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; c) los procedimientos de denuncia de irregularidades. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; d) los procedimientos formales e informales en casos de acoso. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; e) las tramitaciones de quejas internas y externas. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), f), g) y h), del Reglamento (UE) 2018/1725; f) las auditorías internas. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento (UE) 2018/1725; g) las investigaciones emprendidas por el responsable de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725; h) las investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE). Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento (UE) 2018/1725; i) el intercambio de información en el marco de las actividades operativas de la Agencia para cumplir su mandato, en particular la recepción de informes de inspección de conformidad con el artículo 123 del Reglamento de Ejecución (UE) n.o 404/2011, los artículos 18, 19 y 20 del Reglamento (UE) n.o 1236/2010 y los artículos 30, 33 y 34 del Reglamento (UE) 2019/833, así como de la información y los datos recibidos de los Estados miembros en el contexto del análisis proporcionado a la Comisión Europea para la preparación y realización de auditorías in situ en terceros países de conformidad con el artículo 20, apartado 4, letra c), del Reglamento (CE) n.o 1005/2008. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento (UE) 2018/1725.

2 Sin perjuicio de lo dispuesto en el apartado 3, cuando resulte proporcionado, la Agencia también notificará de manera individualizada a todos los interesados que se consideren afectados por la operación de tratamiento concreta cuáles son sus derechos con respecto a las limitaciones presentes o futuras, sin dilaciones indebidas y por escrito.

3 Cuando la Agencia limite, total o parcialmente, la comunicación de información a los interesados a que se refiere el apartado 2, hará constar los motivos de la limitación y el fundamento jurídico con arreglo al artículo 3 de la presente Decisión, incluida una evaluación de la necesidad y la proporcionalidad de la limitación.

4 La limitación a que se refiere el apartado 3 seguirá en vigor mientras los motivos que la justifiquen sigan siendo aplicables. Cuando los motivos que justifiquen la limitación dejen de ser aplicables, la Agencia informará al interesado de los principales motivos en que se haya basado la aplicación de la limitación. Al mismo tiempo, la Agencia informará al interesado del derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o a interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

1 En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho de acceso, cuando resulte necesario y proporcionado, en el contexto de las siguientes operaciones de tratamiento: a) la realización de investigaciones administrativas y los procedimientos disciplinarios. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), f), g) y h), del Reglamento (UE) 2018/1725; b) las actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; c) los procedimientos de denuncia de irregularidades. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; d) los procedimientos formales e informales en casos de acoso. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; e) las tramitaciones de quejas internas y externas. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), f), g) y h), del Reglamento (UE) 2018/1725; f) las auditorías internas. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento (UE) 2018/1725; g) las investigaciones emprendidas por el responsable de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725; h) las investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE). Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento (UE) 2018/1725; i) el intercambio de información en el marco de las actividades operativas de la Agencia para cumplir su mandato, en particular la recepción de informes de inspección de conformidad con el artículo 123 del Reglamento de Ejecución (UE) n.o 404/2011, los artículos 18, 19 y 20 del Reglamento (UE) n.o 1236/2010 y los artículos 30, 33 y 34 del Reglamento (UE) 2019/833, así como de la información y los datos recibidos de los Estados miembros en el contexto del análisis proporcionado a la Comisión Europea para la preparación y realización de auditorías in situ en terceros países de conformidad con el artículo 20, apartado 4, letra c), del Reglamento (CE) n.o 1005/2008. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento (UE) 2018/1725. Cuando los interesados soliciten el acceso a sus datos personales tratados en el contexto de uno o varios casos específicos o a una determinada operación de tratamiento, de conformidad con el artículo 17 del Reglamento (UE) 2018/1725, la Agencia deberá circunscribir su evaluación de la solicitud a dichos datos personales únicamente.

2 Cuando la Agencia limite, en su totalidad o en parte, el derecho de acceso a que se refiere el artículo 17 del Reglamento (UE) 2018/1725, deberá adoptar las siguientes medidas: a) informará al interesado, en su respuesta a la solicitud, de la limitación y de los principales motivos de esta, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea; b) documentará en una nota interna de evaluación los motivos de la limitación, incluida una evaluación de la necesidad, la proporcionalidad y la duración de la limitación. La comunicación de la información mencionada en la letra a) podrá aplazarse, omitirse o denegarse en caso de que pudiera dejar sin efecto la limitación, con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) 2018/1725.

1 En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho de rectificación, supresión y limitación, cuando resulte necesario y proporcionado, en el contexto de las siguientes operaciones de tratamiento: a) la realización de investigaciones administrativas y los procedimientos disciplinarios. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), f), g) y h), del Reglamento (UE) 2018/1725; b) las actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; c) los procedimientos de denuncia de irregularidades. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; d) los procedimientos formales e informales en casos de acoso. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; e) las tramitaciones de quejas internas y externas. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), f), g) y h), del Reglamento (UE) 2018/1725; f) las auditorías internas. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento (UE) 2018/1725; g) las investigaciones emprendidas por el responsable de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725; h) las investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE). Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento (UE) 2018/1725; i) el intercambio de información en el marco de las actividades operativas de la Agencia para cumplir su mandato, en particular la recepción de informes de inspección de conformidad con el artículo 123 del Reglamento de Ejecución (UE) n.o 404/2011, los artículos 18, 19 y 20 del Reglamento (UE) n.o 1236/2010 y los artículos 30, 33 y 34 del Reglamento (UE) 2019/833, así como de la información y los datos recibidos de los Estados miembros en el contexto del análisis proporcionado a la Comisión Europea para la preparación y realización de auditorías in situ en terceros países de conformidad con el artículo 20, apartado 4, letra c), del Reglamento (CE) n.o 1005/2008. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento (UE) 2018/1725.

2 Cuando la Agencia limite, total o parcialmente, la aplicación del derecho a la rectificación, supresión o limitación del tratamiento a que se refieren el artículo 18, el artículo 19, apartado 1, y el artículo 20, apartado 1, del Reglamento (UE) 2018/1725, adoptará las medidas contempladas en el artículo 6, apartado 2, de la presente Decisión y las consignará de conformidad con lo dispuesto en su artículo 6, apartado 3.

1 En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho a la comunicación de una violación de la seguridad de los datos personales, cuando resulte necesario y adecuado, en el contexto de las siguientes operaciones de tratamiento: a) la realización de investigaciones administrativas y los procedimientos disciplinarios. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), f), g) y h), del Reglamento (UE) 2018/1725; b) las actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; c) los procedimientos de denuncia de irregularidades. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; d) los procedimientos formales e informales en casos de acoso. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; e) las tramitaciones de quejas internas y externas. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), f), g) y h), del Reglamento (UE) 2018/1725; f) las auditorías internas. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento (UE) 2018/1725; g) las investigaciones emprendidas por el responsable de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725; h) las investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE). Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento (UE) 2018/1725; i) el intercambio de información en el marco de las actividades operativas de la Agencia para cumplir su mandato, en particular la recepción de informes de inspección de conformidad con el artículo 123 del Reglamento de Ejecución (UE) n.o 404/2011, los artículos 18, 19 y 20 del Reglamento (UE) n.o 1236/2010 y los artículos 30, 33 y 34 del Reglamento (UE) 2019/833, así como de la información y los datos recibidos de los Estados miembros en el contexto del análisis proporcionado a la Comisión Europea para la preparación y realización de auditorías in situ en terceros países de conformidad con el artículo 20, apartado 4, letra c), del Reglamento (CE) n.o 1005/2008. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento (UE) 2018/1725.

2 En los casos debidamente justificados y en las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas, cuando resulte necesario y adecuado, en el contexto de las siguientes operaciones de tratamiento: a) la realización de investigaciones administrativas y procedimientos disciplinarios. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), f), g) y h), del Reglamento (UE) 2018/1725; b) actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; c) los procedimientos de denuncia de irregularidades. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; d) los procedimientos formales e informales en casos de acoso. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), d), f) y h), del Reglamento (UE) 2018/1725; e) las tramitaciones de quejas internas y externas. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), f), g) y h), del Reglamento (UE) 2018/1725; f) las investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE). Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento (UE) 2018/1725; g) el intercambio de información en el marco de las actividades operativas de la Agencia para cumplir su mandato, en particular la recepción de los informes de inspección de conformidad con el artículo 123 del Reglamento de Ejecución (UE) n.o 404/2011, así como de la información y los datos recibidos de los Estados miembros en el contexto del análisis proporcionado a la Comisión Europea para la preparación y realización de misiones in situ en terceros países de conformidad con el artículo 20, apartado 4, letras c) y d), del Reglamento (CE) n.o 1005/2008. Las limitaciones podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento (UE) 2018/1725.

3 Cuando la Agencia limite la comunicación de una violación de la seguridad de los datos personales al interesado o de la confidencialidad de las comunicaciones electrónicas a que se refieren los artículos 35 y 36 del Reglamento (UE) 2018/1725, deberá anotar y registrar los motivos de la limitación de conformidad con lo dispuesto en el artículo 5, apartado 3, de la presente Decisión. Será de aplicación el artículo 5, apartado 4, de la presente Decisión.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.