Normas del Reglamento interno de Eurojust relativas al tratamiento y a la protección de datos personales (Texto adoptado por unanimidad por el Colegio de Eurojust en su reunión del 21 de octubre de 2004 y aprobado por el Consejo el 24 de febrero de 2005)

A efectos de las presentes normas y de los textos que las desarrollen, se entenderá por: a) «Decisión Eurojust», la Decisión del Consejo, de 28 de febrero de 2002, por la que se crea Eurojust, para reforzar la lucha contra las formas graves de delincuencia, modificada por la Decisión del Consejo de 18 de junio de 2003; b) «el Colegio», el Colegio de Eurojust, con arreglo a lo dispuesto en el artículo 10 de la Decisión Eurojust; c) «miembro nacional», el miembro nacional destacado en Eurojust por cada Estado miembro, con arreglo a lo dispuesto en el apartado 1 del artículo 2 de la Decisión Eurojust; d) «asistente», la persona que puede asistir a un miembro nacional, con arreglo a lo dispuesto en el apartado 2 del artículo 2 de la Decisión Eurojust; e) «personal de Eurojust», El Director Administrativo, con arreglo a lo dispuesto en el artículo 29 de la Decisión Eurojust, así como el personal a que se refiere el artículo 30 de la Decisión Eurojust; f) «responsable de la protección de datos», la persona designada de conformidad con lo dispuesto en el artículo 17 de la Decisión Eurojust; g) «Autoridad Común de Control», la autoridad independiente creada de conformidad con lo dispuesto en el artículo 23 de la Decisión Eurojust; h) «datos personales», toda información sobre una persona física identificada o identificable («el interesado»); se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social; i) «tratamiento de datos personales» («tratamiento»), cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, aplicadas a datos personales, como la recogida, registro, organización, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que permita el acceso a los mismos, así como la alineación o interconexión, y el bloqueo, supresión o destrucción; j) «fichero de datos personales» («fichero»), todo conjunto estructurado de datos personales accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido según un criterio funcional o geográfico; k) «responsable del tratamiento», la persona que por sí sola o conjuntamente con otras determine los fines y los medios del tratamiento de datos personales; cuando los fines y los medios del tratamiento estén determinados por la legislación o reglamentación nacional o europea, el responsable del tratamiento o los criterios específicos aplicables a su nombramiento podrán determinarse en dicha legislación o reglamentación; l) «encargado del tratamiento», la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que trate datos personales por cuenta del responsable del tratamiento; m) «tercero», la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos bajo la autoridad directa del responsable del tratamiento o del encargado del tratamiento; y n) «destinatario», la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que reciba comunicación de datos, se trate o no de un tercero.

1 Las presentes normas de procedimiento se aplicarán al tratamiento total o parcialmente automatizado de datos personales por parte de Eurojust, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero de conformidad con la Decisión Eurojust.

2 Las presentes normas se aplicarán a toda la información que Eurojust recopile y someta posteriormente a tratamiento, es decir, a la información que Eurojust haya elaborado o recibido o que obre en su poder acerca de asuntos relacionados con las políticas, acciones y decisiones que son de su competencia.

3 Las presentes normas no se aplicarán a la información que se transmita a un miembro nacional de Eurojust únicamente en el contexto de sus competencias judiciales, según se define en el apartado 3 del artículo 9 de la Decisión Eurojust.

1 Todos los datos personales se clasificarán como relativos a casos concretos o no relativos a casos concretos. Se considerará que los datos personales están relacionados con casos concretos cuando estén vinculados a las funciones operativas de Eurojust, según se definen en los artículos 5, 6 y 7 de la Decisión Eurojust.

2 Los datos relativos a casos concretos se tratarán de conformidad con lo dispuesto en los títulos III y IV. Los datos no relativos a casos concretos se tratarán de conformidad con lo dispuesto en los títulos III y V.

Eurojust actuará dentro del pleno respeto de los derechos humanos y las libertades fundamentales de las personas, en particular de su derecho a la intimidad en lo que se refiere al tratamiento de sus datos personales, independientemente de su nacionalidad o lugar de residencia.

1 Los datos personales se tratarán de forma imparcial y conforme a derecho.

2 Eurojust tratará únicamente datos personales que sean necesarios, adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben o sean tratados posteriormente.

3 Eurojust establecerá sus operaciones y sistemas de tratamiento de conformidad con el objetivo de recopilar o tratar con posterioridad exclusivamente datos personales que sean necesarios según lo dispuesto en el apartado 2. Concretamente, deberá recurrirse, en la medida de lo posible, a medios para asignar alias a los datos y darles carácter anónimo, en función de la finalidad del tratamiento y siempre que ello no requiera un trabajo desproporcionado.

1 Eurojust velará por que los datos personales sean exactos y, en caso necesario, estén actualizados; se tomarán todas las medidas razonables para que los datos inexactos o incompletos en relación con los fines para los que fueron recogidos o tratados posteriormente, sean suprimidos o rectificados.

2 Los datos personales se conservarán en una forma que permita la identificación de los interesados durante un período no superior al necesario para la consecución de los fines para los que fueron recogidos o para los que sean tratados posteriormente, con arreglo a lo dispuesto en el apartado 2 del artículo 5.

1 De conformidad con lo dispuesto en el artículo 22 de la Decisión Eurojust y en las presentes normas, Eurojust adoptará las medidas técnicas y los procedimientos de organización necesarios para proteger los datos personales contra la destrucción accidental o ilegal, la pérdida accidental o la difusión no autorizada, la modificación y el acceso y todas las demás formas no autorizadas de tratamiento. En particular, se tomarán medidas para velar por que sólo puedan tener acceso a dichos datos las personas a las que se ha autorizado el acceso a datos personales.

2 Todas las medidas que se adopten habrán de ser apropiadas con respecto a los riesgos que presente el tratamiento y la naturaleza de los datos tratados.

3 Eurojust elaborará una política de seguridad global de conformidad con lo dispuesto en el apartado 2 del artículo 22 de la Decisión Eurojust y en las presentes normas. Esta política tendrá plenamente en cuenta la confidencialidad de la labor que desarrolla la unidad de cooperación judicial e incluirá normas sobre la clasificación de documentos, la investigación de seguridad sobre el personal que trabaja en Eurojust y las medidas que han de tomarse en caso de fallos en la seguridad. Se consultará a la Autoridad Común de Control con respecto a la política de seguridad de Europol.

4 Todo el personal de Eurojust será convenientemente informado de la política de seguridad de la organización y tendrá la obligación de hacer uso de las medidas técnicas y de organización de que dispone con arreglo a los requisitos aplicables en materia de protección y seguridad de los datos.

1 Sin perjuicio de las disposiciones especiales del título IV en lo que se refiere a los datos relativos a casos concretos y del título V en lo que se refiere a los datos no relativos a casos concretos, deberá facilitarse al interesado información sobre los fines del tratamiento y la identidad del responsable del mismo, los destinatarios o las categorías de destinatarios, la existencia del derecho de acceso y de rectificación de los datos que le conciernen, así como cualquier otra información adicional acerca del fundamento jurídico del tratamiento de que van a ser objeto los datos, los plazos de conservación de los mismos y el derecho a recurrir a la Autoridad Común de Control que pueda resultar necesaria, habida cuenta de los fines y de las circunstancias específicas en que sean tratados los datos, para garantizar al interesado un tratamiento imparcial.

2 Esta información deberá facilitarse a más tardar en el momento de recabar los datos del propio interesado o, en caso de que los datos se reciban de un tercero, en el momento de iniciar el registro de los datos personales o, si se prevé su comunicación a un tercero, a más tardar en el momento de la primera comunicación de datos o, en los casos contemplados en el capítulo II del título IV de las presentes normas, en cuanto no parezca haber peligro de que los fines del tratamiento de los datos y las investigaciones y las actuaciones judiciales nacionales, así como los derechos y libertades de terceros se vean comprometidos.

1 El interesado tendrá derecho de acceso, rectificación, bloqueo y, en su caso, eliminación respecto de sus datos. Eurojust establecerá, si procede en cooperación con las distintas autoridades nacionales afectadas, procedimientos destinados a facilitar a los interesados el ejercicio de estos derechos.

2 El responsable de la protección de los datos velará por que se informe de sus derechos a los interesados cuando éstos así lo soliciten.

De conformidad con lo dispuesto en el artículo 25 de la Decisión Eurojust, toda persona que deba trabajar con Eurojust estará sujeta a obligaciones de confidencialidad absoluta. Eurojust tomará las medidas necesarias para garantizar el cumplimiento de dichas obligaciones y velar por que el responsable de la protección de datos y el jefe del Departamento de Seguridad sean inmediatamente informados de todo incumplimiento de dichas obligaciones, para que adopten las disposiciones oportunas.

Salvo que la legislación nacional o comunitaria disponga lo contrario, la persona encargada del tratamiento dentro de Eurojust sólo podrá tratar los datos personales a los que tenga acceso cuando así se lo encargue el responsable del tratamiento.

1 A efectos de lo dispuesto en los apartados 2 y 4 del artículo 17 de la Decisión Eurojust, el responsable de la protección de datos facilitará a cualquier miembro del personal de Eurojust que lo solicite información sobre las actividades de tratamiento de datos de la organización. El responsable de la protección de datos atenderá las consultas y todas las solicitudes o reclamaciones en relación con presuntas vulneraciones de las disposiciones de la Decisión Eurojust, de las presentes normas o de otras normas que regulen el tratamiento de datos personales por parte de Eurojust. El hecho de haber denunciado ante el responsable de la protección de datos una presunta vulneración de las disposiciones que regulan el tratamiento de datos personales no podrá dar lugar a represalias.

2 Las personas que trabajen en Eurojust cooperarán con el Colegio, los miembros nacionales, el responsable de la protección de datos y la Autoridad Común de Control en las consultas, investigaciones, inspecciones o cualquier otra actividad relacionada con la protección de datos.

1 En el contexto de las actividades relativas a casos concretos y en la medida en que sea necesario para el logro de sus objetivos, Eurojust tratará los datos personales tanto por medios informatizados como en ficheros manuales estructurados, de conformidad con lo dispuesto en los artículos 14, 15 y 16 de la Decisión Eurojust.

2 El o los miembros nacionales que traten datos personales relativos a casos concretos deberán determinar los fines y los medios del tratamiento de dichos datos, por lo que actuarán en calidad de responsables o, en su caso, corresponsables, del tratamiento.

En el curso de las actividades relativas a casos concretos, podrán recogerse datos personales que serán tratados posteriormente en la medida en que dicho tratamiento sea necesario para el cumplimiento de la labor de Eurojust de reforzar la lucha contra las formas graves de delincuencia.

Los datos personales tratados por Eurojust en el curso de investigaciones y actuaciones judiciales no podrán ser tratados con otra finalidad bajo ninguna circunstancia.

1 Cuando un Estado miembro o un tercero transmita información a Eurojust en relación con una investigación o un procesamiento, Eurojust no será responsable de la corrección de la información recibida pero garantizará, desde el momento de su recepción, que se toman todas las medidas necesarias para mantenerla actualizada.

2 Si Eurojust descubre alguna inexactitud en relación con dicha información, lo comunicará al tercero de quien recibió la información y corregirá ésta.

1 Eurojust tomará las medidas técnicas adecuadas para garantizar que se informa automáticamente al responsable de la protección de datos de los casos excepcionales en que se recurra al apartado 4 del artículo 15 de la Decisión Eurojust. El sistema de gestión de casos garantizará que dichos datos no puedan incluirse en el índice al que se refiere el apartado 1 del artículo 16 de la Decisión Eurojust.

2 Cuando dichos datos se refieran a los testigos o las víctimas definidos en el apartado 2 del artículo 15 de la Decisión Eurojust, en el sistema de gestión de casos no se registrará dicha información a menos que pueda demostrarse que el Colegio ha tomado una decisión al respecto.

1 Eurojust tomará las medidas técnicas adecuadas para garantizar que se informa automáticamente al responsable de la protección de datos de los casos excepcionales en que, durante un tiempo limitado, se recurra al apartado 3 del artículo 15 de la Decisión Eurojust.

2 Cuando dichos datos se refieran a los testigos o las víctimas definidos en el apartado 2 del artículo 15 de la Decisión Eurojust, el sistema de gestión de casos no registrará dicha información a menos que exista una decisión adoptada conjuntamente por, al menos, dos miembros nacionales.

1 En el desempeño de sus funciones, Eurojust informará a los interesados del tratamiento de sus datos personales tan pronto como quede claro que la comunicación de esta información al interesado no socavará: a) el cumplimiento del cometido de Eurojust de reforzar la lucha contra las formas graves de delincuencia; o bien b) investigaciones y procedimientos penales nacionales en los que se cuente con la colaboración de Eurojust o bien c) una función de control, inspección o reglamentación relacionada, incluso de forma esporádica, con el ejercicio de la autoridad oficial en los casos a que se refieren las letras a) y b); o bien d) los derechos y libertades de terceros.

2 El recurso a los casos enumerados en el apartado 1 se registrará en el fichero de trabajo temporal del caso, mencionando el fundamento de la decisión que hayan tomado el o los miembros nacionales responsables de dicho fichero.

Toda persona tiene derecho a acceder a los datos personales tratados por Eurojust que se refieran a ella, en las condiciones previstas en el artículo 19 de la Decisión Eurojust.

1 Las personas que quieran ejercer sus derechos como interesados podrán dirigir su solicitud directamente a Eurojust o a través de la autoridad nombrada al efecto en el Estado miembro de su elección, la cual transmitirá la solicitud a Eurojust.

2 Tramitarán las solicitudes relativas al ejercicio de estos derechos el o los miembros nacionales a los que incumba la solicitud; asimismo, entregarán una copia de la solicitud al responsable de la protección de datos para su registro.

3 El o los miembros nacionales a los que incumba la solicitud efectuarán las verificaciones necesarias e informarán al responsable de la protección de datos de la decisión que adopten en cada caso específico. Dicha decisión tomará plenamente en consideración las presentes normas y la legislación aplicable a la solicitud, tal como se define en el apartado 3 del artículo 19 de la Decisión Eurojust; de los fundamentos para la denegación que se enumeran en el apartado 4 del artículo 19 de la Decisión Eurojust, y las consultas con las correspondientes autoridades competentes para ejercer funciones represivas que se celebrarán antes de adoptar una decisión, tal como dispone el apartado 9 del artículo 19 de la Decisión Eurojust.

4 El responsable de la protección de datos, si las circunstancias lo requieren, llevará a cabo verificaciones adicionales en el sistema de gestión de casos e informará al o a los miembros nacionales interesados si dichas verificaciones han aportado nueva información de interés. El o los miembros nacionales de que se trate podrán, basándose en la información facilitada por el responsable de la protección de datos, proceder a reconsiderar la decisión inicial.

5 El responsable de la protección de datos comunicará al interesado la decisión final adoptada por el o los miembros nacionales de que se trate de conformidad con el apartado 6 del artículo 19 de la Decisión Eurojust e informará al interesado de la posibilidad de interponer un recurso ante la Autoridad Común de Control si no está conforme con la decisión de Eurojust.

6 El proceso de tramitación de la solicitud deberá haberse completado en los tres meses siguientes a su recepción. El interesado podrá recurrir a la Autoridad Común de Control si no ha recibido respuesta a su solicitud dentro del plazo establecido.

7 Cuando la solicitud se haya recibido a través de una autoridad nacional, el o los miembros nacionales de que se trate se encargarán de que se notifique a dicha autoridad que el responsable de la protección de datos no ha dado respuesta al interesado.

8 Eurojust establecerá procedimientos de cooperación con las autoridades nacionales designadas para facilitar el ejercicio de los derechos de los interesados, con el fin de garantizar que las solicitudes se remiten a Eurojust a su debido tiempo y en la debida forma.

Eurojust tomará las medidas técnicas adecuadas para garantizar la producción automática de la lista de los proveedores y destinatarios de los datos personales que el propio Eurojust haya rectificado, bloqueado o borrado como consecuencia de una solicitud. De conformidad con el apartado 5 del artículo 20 de la Decisión Eurojust, el responsable del tratamiento garantizará que las personas o entidades incluidas en la lista son informadas de los cambios realizados en los datos personales.

1 Eurojust instaurará un sistema automatizado de gestión de casos que integre un fichero que usarán los miembros nacionales cuando realicen actividades relativas a casos concretos y que incluirá los ficheros de trabajo temporales y el índice definidos en el artículo 16 de la Decisión Eurojust. Dicho sistema tendrá funciones tales como la gestión de casos, la descripción del flujo del trabajo y el cotejo de la información y la seguridad.

2 El sistema de gestión de casos será aprobado por el Colegio previa consulta al responsable de la protección de datos, a la Autoridad Común de Control y al personal pertinente de Eurojust, y tendrá plenamente en cuenta los requisitos enumerados en el artículo 22 y cualquier otra disposición pertinente de la Decisión Eurojust.

3 El sistema de gestión de casos permitirá a los miembros nacionales definir los fines y objetivos específicos para los que se abre un fichero de trabajo temporal, dentro del marco de las funciones enumeradas en los artículos 5, 6 y 7 de la Decisión Eurojust.

1 De conformidad con el apartado 4 del artículo 14 y con el artículo 16 de la Decisión Eurojust, Eurojust elaborará un índice de los datos relativos a las investigaciones y a los ficheros de trabajo temporales que contengan asimismo datos personales. Tanto el índice como los ficheros de trabajo temporales formarán parte del sistema de gestión de casos a que se refiere el artículo 23 y respetará las limitaciones impuestas al tratamiento de datos personales en el artículo 15 de la Decisión Eurojust.

2 Los miembros nacionales se encargarán de la creación de nuevos ficheros de trabajo temporales relacionados con los casos de los que se ocupen. El sistema de gestión de casos asignará automáticamente un número de referencia (identificador) a cada nuevo fichero de trabajo temporal que se abra.

3 Eurojust instaurará un sistema automatizado de gestión de casos que permita a los miembros nacionales guardar los datos personales que traten en un fichero de trabajo temporal restringido o dar acceso a él o a partes de él a otro u otros miembros nacionales que se ocupen del caso con el que está relacionado el fichero. El sistema de gestión de casos les permitirá definir los elementos específicos de los datos personales o no personales a los que desean permitir el acceso de otro u otros miembros nacionales, asistentes o personal autorizado que trabajen en el caso, así como seleccionar los elementos de información que desean introducir en el índice, de acuerdo con los artículos 14 y 15 de la Decisión Eurojust y garantizará, como mínimo, que los siguientes elementos figuren en el índice: referencia al fichero de trabajo temporal; tipos de delitos; Estados miembros, organizaciones internacionales y organismos u autoridades de terceros Estados participantes; participación de la Comisión Europea o de órganos o entidades de la UE; objetivos y situación del caso (abierto/cerrado).

4 Cuando un miembro nacional permita a uno o varios Estados miembros el acceso, total o parcial, a un fichero de trabajo temporal, el sistema de gestión de casos se encargará de que los usuarios autorizados tengan acceso a las partes pertinentes del fichero sin que puedan modificar los datos introducidos por el autor original. No obstante, los usuarios autorizados podrán añadir información pertinente en las partes nuevas de los ficheros de trabajo temporal. De la misma forma, la información que consta en el índice podrá ser leída por todos los usuarios autorizados del sistema pero sólo podrá ser modificada por su autor original.

5 El sistema mencionado informará automáticamente al responsable de la protección de datos de la creación de cada nuevo fichero de trabajo que contenga datos personales y, en particular, de los casos excepcionales en los que se recurra al apartado 3 del artículo 15 de la Decisión Eurojust. El sistema de gestión de casos incluirá respecto de dichos datos una indicación que recuerde a la persona que los ha introducido en el sistema la obligación de guardarlos durante un período limitado de tiempo. Cuando dichos datos se refieran a testigos o víctimas en el sentido del apartado 2 del artículo 15 de la Decisión Eurojust, el sistema no registrará esta información a menos que exista una decisión adoptada conjuntamente por, al menos, dos miembros nacionales.

6 El sistema de gestión de casos informará automáticamente al responsable de la protección de datos de los casos excepcionales en los que se recurra al apartado 4 del artículo 15 de la Decisión Eurojust. Cuando dichos datos se refieran a testigos o víctimas en el sentido del apartado 2 del artículo 15 de la Decisión Eurojust, el sistema no registrará esta información a menos que exista una decisión del Colegio.

7 El sistema de gestión de casos se encargará de que sólo figuren en el índice los datos personales contemplados en las letras a) a i) y k) del apartado 1 del artículo 15, así como en el apartado 2 del artículo 15 de la Decisión Eurojust.

8 La información que figure en el índice debe ser suficiente para llevar a cabo las tareas de Eurojust y, en particular, lograr los objetivos del apartado 1 del artículo 16 de la Decisión Eurojust.

1 Eurojust adoptará medidas técnicas adecuadas para conservar pruebas de todas las operaciones de tratamiento de datos personales. El sistema de gestión de casos se encargará, en particular, de registrar la transmisión y recepción de datos, tal como se define en la letra b) del apartado 2 del artículo 17 de la Decisión Eurojust a efectos de la aplicación del apartado 3 del Artículo 19 de la Decisión Eurojust. Como establece el Artículo 22 de la Decisión Eurojust, el registro correspondiente garantizará que sea posible comprobar y determinar a qué organismos se transmiten datos personales, así como qué datos personales, cuándo y quién los ha introducido en los sistemas automatizados de tratamiento de datos.

2 El responsable de la protección de datos revisará periódicamente estos registros con el fin de ayudar a los miembros nacionales y al Colegio en la protección de datos y realizará las investigaciones necesarias en caso de irregularidades. En su caso, el responsable de la protección de datos informará al Colegio y a la Autoridad Común de Control, con arreglo al procedimiento establecido en el apartado 4 del artículo 17 de la Decisión Eurojust, de las posibles vulneraciones de la protección de datos que hayan sido recogidas en los citados registros. El responsable de la protección de datos informará, en su caso, al Director Administrativo con el fin de que pueda adoptar las medidas administrativas necesarias.

3 Previa solicitud, el responsable de la protección de datos facilitará a la Autoridad Común de Control pleno acceso a los registros contemplados en el apartado 1.

1 Eurojust adoptará las medidas técnicas adecuadas y establecerá procedimientos de organización que garanticen que, a efectos de lograr los objetivos de Eurojust, únicamente los miembros nacionales, sus asistentes y el personal autorizado de Eurojust tengan acceso a los datos personales tratados por Eurojust en el marco de sus actividades operativas.

2 Se establecerán dichas medidas habida cuenta de la finalidad para la que han sido recabados y tratados los datos, el nivel de seguridad exigido por el carácter confidencial del trabajo de Eurojust y las obligaciones impuestas por el artículo 22 de la Decisión Eurojust.

3 Cada miembro nacional de Eurojust transmitirá al responsable de la protección de datos la documentación e información pertinente sobre la política de acceso a ficheros relacionados con casos concretos que haya autorizado en su ámbito nacional. En particular, los miembros nacionales garantizarán la adopción y cumplimiento de procedimientos de organización adecuados, así como la correcta utilización de las medidas técnicas y de organización que Eurojust pone a su disposición.

4 Cuando sea necesario para llevar a cabo la misión encomendada a Eurojust, el Colegio podrá autorizar el acceso a ficheros relativos a casos concretos a otros miembros del personal de Eurojust.

1 El responsable de la protección de datos supervisará la legalidad y el cumplimiento de las disposiciones de la Decisión Eurojust, las presentes normas de procedimiento y demás normas sobre tratamiento de datos personales aplicables a Eurojust. Con estos fines, el responsable de la protección de datos asistirá a los miembros nacionales en las cuestiones relacionadas con la protección de datos y realizará encuestas anuales sobre la aplicación de las normas mencionadas anteriormente en Eurojust. El responsable de la protección de datos presentará un informe al Colegio y a la Autoridad Común de Control sobre los resultados de dichas encuestas así como sobre otros acontecimientos pertinentes en Eurojust. El responsable de la protección de datos informará, en su caso, al Director Administrativo con el fin de que pueda adoptar las medidas administrativas necesarias.

2 La Autoridad Común de Control llevará a cabo controles y auditorías con arreglo al apartado 7 del artículo 23 de la Decisión Eurojust.

1 Eurojust tratará de establecer acuerdos de cooperación con todos los interlocutores con los que se intercambian datos de forma periódica, que incluyan cláusulas adecuadas en materia de intercambio de datos personales.

2 Sin perjuicio de los casos en los que ya existan dichos acuerdos de cooperación, Eurojust solamente transmitirá datos personales a terceros países o cualquier otra entidad contemplada en el apartado 1 del artículo 27 de la Decisión Eurojust si éstos han suscrito el Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, firmado en Estrasburgo el 28 de enero de 1981 o cuando garanticen un nivel de protección adecuado.

3 El o los miembros nacionales de que se trate adoptarán la decisión de transmisión a terceros que no sean partes en el Convenio del Consejo de Europa de 28 de enero de 1981 basándose en la evaluación realizada por el responsable de la protección de datos sobre la adecuación del nivel de protección. La adecuación del nivel de protección se evaluará a la vista de las circunstancias que concurren para cada transmisión o categoría de transmisión. En particular, en la evaluación se examinarán los siguientes elementos: tipo de datos, finalidad y duración del tratamiento para el cual se transmiten los datos, país de origen y país de destino final, normativa general y sectorial aplicable en el Estado u organización de que se trate, normativa profesional y de seguridad aplicable, y si el destinatario de la transmisión ha adoptado medidas de salvaguardia suficientes. En particular, dichas medidas pueden resultar de acuerdos escritos vinculantes para el responsable del tratamiento y para el destinatario que no esté sometido a la jurisdicción de una parte del Convenio. Los acuerdos de que se trate deberán incluir los elementos pertinentes en el ámbito de la protección de datos. En caso de dificultad para evaluar el nivel de protección, el responsable de la protección de datos consultará a la Autoridad Común de Control antes de pronunciarse sobre una transmisión específica.

4 No obstante, incluso en caso de que no se cumplan las condiciones establecidas en los apartados anteriores, un miembro nacional podrá, en las circunstancias excepcionales mencionadas en el apartado 6 del artículo 27 de la Decisión sobre Eurojust, transmitir datos a un tercer país con el objetivo exclusivo de adoptar medidas urgentes de respuesta a un grave peligro inminente para la seguridad pública o de una persona. El miembro nacional dejará constancia en el fichero de trabajo temporal relativo al caso concreto de dicha transmisión excepcional así como los motivos de la transmisión e informará al responsable de la protección de datos sobre la comunicación. El responsable de la protección de datos comprobará que dichas transmisiones solamente se realicen en casos excepcionales y urgentes.

1 Eurojust adoptará medidas técnicas adecuadas para que se cumplan los plazos de conservación de los datos personales establecidos en el artículo 21 de la Decisión Eurojust.

2 El sistema de gestión de casos garantizará, en particular, que se revise cada tres años después de su introducción la necesidad de mantener archivados los datos en un fichero de trabajo temporal. Deberá dejarse constancia en el sistema de esta revisión, incluida la motivación de la decisión adoptada; el resultado de la revisión se comunicará inmediatamente al responsable de la protección de datos.

3 De acuerdo con el apartado 3 del artículo 15 de la Decisión Eurojust, el sistema de gestión de casos incluirá una indicación específica sobre los datos archivados durante un plazo limitado. Respecto de estas categorías de datos, se examinará cada tres meses si deben mantenerse archivados dichos datos y se dejará constancia de la misma información que se contempla en los apartados 1 y 2.

4 El responsable del tratamiento consultará, si fuera necesario, al Colegio y al responsable de la protección de datos sobre toda decisión de conservación de datos por un plazo superior, adoptada como consecuencia de una revisión.

El tratamiento de datos personales debe realizarse en condiciones de legalidad e imparcialidad. En particular, los datos personales sólo deben tratarse en caso de que: a) el tratamiento sea necesario para cumplir una obligación legal a la que esté sometido el responsable del tratamiento, o b) el tratamiento sea necesario para cumplir un contrato en el que sea parte el interesado o para adoptar medidas, a petición del interesado, previas a la celebración de un contrato, o c) el interesado haya dado inequívocamente su consentimiento, o d) el tratamiento sea necesario para proteger intereses vitales del interesado, o e) el tratamiento sea necesario a efectos de los intereses legítimos por los que vela el responsable del tratamiento, a menos que sobre dichos intereses prevalezcan los intereses del interesado en el ámbito de los derechos y libertades fundamentales que requieren protección con arreglo al artículo 4 de las presentes normas.

1 El tratamiento de datos personales debe responder a una finalidad específica, bien definida, legal y legítima; un tratamiento ulterior de esos datos sólo debe realizarse en la medida en que no sea incompatible con la finalidad original del tratamiento.

2 Los datos personales recopilados exclusivamente para garantizar la seguridad o el control y la gestión de los sistemas u operaciones de tratamiento de datos no se utilizarán para ninguna otra finalidad, excepto la prevención, investigación, detección y procesamiento de delitos graves.

1 Se prohíbe el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, así como el tratamiento de los datos relativos a la salud o a la sexualidad, para finalidades que no estén relacionadas con asuntos concretos.

2 Esta prohibición no se aplicará si: a) el interesado ha dado su consentimiento expreso a dicho tratamiento, o b) el tratamiento es necesario para cumplir las obligaciones y los derechos específicos del responsable del tratamiento, como las obligaciones en materia fiscal o de Derecho laboral aplicable al responsable del tratamiento o, si fuera necesario, en la medida en que lo haya aprobado el responsable de la protección de datos, siempre que existan las garantías suficientes, o c) el tratamiento es necesario para salvaguardar los intereses esenciales del interesado o de otra persona, cuando el interesado está física o jurídicamente incapacitado para dar su consentimiento, o d) el tratamiento se refiere a datos que el interesado ha hecho manifiestamente públicos o es necesario para el reconocimiento, el ejercicio o la defensa de un derecho en un procedimiento judicial, o

3 Los datos contemplados en el apartado 1 sólo se tratarán con la finalidad con la que inicialmente fueron recabados.

1 En el contexto de los trabajos no operativos de Eurojust, será posible establecer excepciones al principio general de información al interesado cuando facilitar esta información al interesado pueda comprometer: a) un interés económico o financiero importante de un Estado miembro o de la Unión Europea, o b) la protección del interesado o de los derechos y libertades de otras personas, o c) la seguridad nacional, el orden público o la defensa de los Estados miembros.

2 Cuando se recurra a estas excepciones se informará al responsable de la protección de datos.

1 Todo responsable del tratamiento de datos informará previamente al responsable de la protección de datos de todas las operaciones o grupos de operaciones de tratamiento destinadas a una sola finalidad o a varias finalidades relacionadas entre sí.

2 La información que se facilité incluirá: a) la identidad del responsable del tratamiento y una indicación de los servicios de una institución u organismo encargados del tratamiento de datos personales para una finalidad particular; b) la finalidad o finalidades del tratamiento; c) una descripción de la categoría o categorías de interesados y de los datos o categorías de datos a que se refiere el tratamiento; d) el fundamento jurídico del tratamiento al que van destinados los datos; e) los destinatarios o categorías de destinatarios a los que se pueden comunicar los datos; f) una descripción general que permita evaluar de modo preliminar si las medidas adoptadas resultan adecuadas para garantizar la seguridad del tratamiento.

3 Toda modificación pertinente de la información contemplada en el apartado anterior se notificará inmediatamente al responsable de la protección de datos.

1 El responsable de la protección de datos llevará un registro de las operaciones de tratamiento notificadas de conformidad con la disposición anterior.

2 Los registros contendrán como mínimo la información mencionada en las letras a) a f) del apartado 2 del artículo 34.

3 El responsable de la protección de datos pondrá a disposición de la Autoridad Común de Control, previa petición, toda la información que figure en el registro.

1 Cuando un encargado del tratamiento externo sea quien lleve a cabo las operaciones por cuenta del responsable del tratamiento, éste elegirá un encargado del tratamiento que reúna garantías suficientes en relación con las medidas de seguridad de carácter técnico y organizativo contempladas en el artículo 22 de la Decisión Eurojust y en cualesquiera documentos ulteriores pertinentes, y deberá velar por el cumplimiento de dichas medidas.

2 La realización de operaciones de tratamiento por encargo deberá estar regulada por un contrato u otro acto jurídico que vincule al encargado del tratamiento con el responsable del tratamiento y que disponga, en particular, que: a) el encargado del tratamiento sólo deberá actuar siguiendo instrucciones del responsable del tratamiento; y b) las obligaciones en materia de confidencialidad y seguridad establecidas por la Decisión Eurojust y las presentes normas de procedimiento incumben también al encargado del tratamiento, a menos que, en virtud del artículo 16 o del segundo guión del apartado 3 del artículo 17 de la Directiva 95/46/CE, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos , el encargado del tratamiento ya esté sujeto a obligaciones de confidencialidad y seguridad establecidas en la legislación nacional de uno de los Estados miembros.

3 A efectos probatorios, las partes del contrato o del acto jurídico relativas a la protección de datos y los requisitos relativos a las medidas de confidencialidad y seguridad constarán por escrito o en otra forma equivalente.

El interesado tiene derecho a no ser sometido a una decisión que tenga efectos jurídicos sobre él o que le afecte de manera significativa y que esté basada únicamente en un tratamiento automatizado de datos destinado a evaluar determinados aspectos de su personalidad, como su rendimiento laboral, fiabilidad o conducta, salvo cuando tal decisión esté expresamente autorizada en virtud de la legislación nacional o comunitaria o, si fuera necesario, por el responsable de la protección de datos. En ambos casos se adoptarán medidas para proteger los intereses legítimos del interesado, tales como poder exponer su punto de vista o comprender la lógica del tratamiento.

1 Sin perjuicio de los artículos precedentes, las normas que figuran en el presente capítulo se aplicarán al tratamiento de datos personales en relación con la utilización y la gestión de las redes de telecomunicaciones o los terminales explotados bajo el control de Eurojust.

2 A los efectos de las normas que figuran en el presente capítulo, se entenderá por «usuario» toda persona física que utilice una red de telecomunicación o un terminal explotado bajo el control de Eurojust.

1 Eurojust adoptará las medidas técnicas y organizativas oportunas para garantizar el uso seguro de las redes de telecomunicación y los terminales (ordenadores, servidores, soportes físicos y lógicos) de ser necesario en conjunción con los proveedores de servicios públicos de telecomunicaciones o con los proveedores de redes de telecomunicaciones públicas. Teniendo en cuenta las posibilidades técnicas más recientes y el coste de su aplicación, estas medidas garantizarán un nivel de seguridad adecuado al riesgo presentado.

2 En caso de riesgo particular de vulneración de la seguridad de la red y los terminales, Eurojust informará a los usuarios sobre la existencia de tal riesgo y sobre las posibles soluciones y medios de comunicación alternativos.

Eurojust garantizará la confidencialidad de las comunicaciones efectuadas a través de las redes de telecomunicación y los terminales de acuerdo con el Derecho comunitario.

1 Los datos sobre tráfico, relacionados con los usuarios, tratados para establecer comunicaciones u otro tipo de conexiones en la red de telecomunicaciones se destruirán o harán anónimos en cuanto termine la comunicación o conexión mencionada.

2 Sólo se permitirán excepciones a este principio general (en casos tales como la necesidad de guardar datos de tráfico relacionados con procesos de registro en determinados ficheros o a efectos de facturación de llamadas privadas) si dichas excepciones están previstas en normas internas adoptadas por Eurojust previa consulta del responsable de la protección de datos. En caso de que el responsable de la protección de datos no estuviera convencido de la legalidad o licitud de estas excepciones se consultará a la Autoridad Común de Control.

3 El tratamiento de los datos de tráfico y facturación deberá limitarse a las personas que se ocupen de la gestión de la facturación, del tráfico o del presupuesto.

1 Los datos personales contenidos en las guías de usuarios en forma impresa o electrónica, así como el acceso a dichas guías, quedarán limitados a lo estrictamente necesario para los fines específicos de la guía.

2 Estas guías sólo estarán disponibles para usuarios de Eurojust, para su utilización exclusivamente interna o en otras guías interistitucionales que se consideren adecuadas.

Si se considera necesario, Eurojust elaborará normas adicionales para el tratamiento de datos personales en los casos de operaciones no relacionadas con asuntos concretos. Dichas normas se notificarán a la Autoridad Común de Control y se publicarán por separado en manuales internos.

1 Las presentes normas serán objeto de revisión periódica para evaluar si procede introducir modificaciones. Para la introducción de dichas modificaciones se seguirá el mismo procedimiento que para su aprobación establece la Decisión Eurojust.

2 Si considera que deben introducirse modificaciones en las presentes normas de procedimiento, el responsable de la protección de datos informará tanto al Presidente del Colegio como a la Autoridad Común de Control.

3 La Autoridad Común de Control presentará al Colegio sus propuestas o recomendaciones de modificación de las presentes normas de procedimiento.

1 Las presentes normas de procedimiento entrarán en vigor al día siguiente de su aprobación definitiva por el Consejo.

2 Se publicarán en el Diario Oficial de la Unión Europea.