1. Lorsque la Commission a l’obligation de communiquer une violation de données à caractère personnel en application de l’article 35, paragraphe 1, du règlement (UE) 2018/1725, elle peut, dans des cas exceptionnels, limiter cette communication en tout ou en partie. Elle enregistre et consigne les raisons de la limitation, son motif juridique en vertu de l’article 3 et une évaluation de sa nécessité et de sa proportionnalité. Les informations enregistrées sont transmises au Contrôleur européen de la protection des données au moment de la notification de la violation de données à caractère personnel.
2. Lorsque les raisons de la limitation ne s’appliquent plus, la Commission informe la personne concernée de la violation de données à caractère personnel et des principales raisons de la limitation, ainsi que de son droit de saisir le Contrôleur européen de la protection des données.
3. Lorsque la Commission notifie la violation de données à caractère personnel au Contrôleur européen de la protection des données conformément à l’article 34, paragraphe 1, du règlement (UE) 2018/1725, elle joint à la notification l’enregistrement effectué conformément à l’article 7 de la présente décision.