Decisión del Supervisor Europeo de Protección de Datos, de 2 de abril de 2019, relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco de actividades realizadas por el Supervisor Europeo de Protección de Datos

La presente Decisión establece normas relativas a las condiciones en las que el SEPD puede limitar la aplicación de los artículos 14 a 20, 35 y 36, así como su artículo 4, sobre la base del artículo 25 del Reglamento.

1 De conformidad con el artículo 25, apartado 1, del Reglamento, el SEPD podrá limitar la aplicación de los artículos 14 a 20, 35 y 36, así como su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20, cuando: a) lleva a cabo investigaciones administrativas y los procedimientos predisciplinarios, disciplinarios y de suspensión, con arreglo al artículo 86 del Estatuto de los funcionarios de la Unión Europea y de conformidad con su anexo IX, así como la Decisión del SEPD de 23 de abril de 2015, y podrá notificar los asuntos a la IDOC o a la OLAF. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento; b) garantiza que los miembros del personal del SEPD puedan notificar de forma confidencial los hechos cuando consideren que existen irregularidades graves reguladas por la Decisión del SEPD relativa a las normas internas en materia de denuncia de prácticas corruptas de 14 de junio de 2016. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra h), del Reglamento; c) garantiza que los miembros del personal del SEPD puedan informar de forma confidencial a los consejeros en el contexto de un procedimiento de acoso, tal como se define en la Decisión del Supervisor Europeo de Protección de Datos de 10 de diciembre de 2014. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra h), del Reglamento; d) realiza investigaciones sobre cuestiones relativas a las denuncias sobre las actividades de tratamiento llevadas a cabo por las instituciones, órganos y organismos de la Unión, de conformidad con el artículo 57, apartado 1, letra e), del Reglamento. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento; e) lleva a cabo investigaciones sobre la aplicación del Reglamento para verificar el cumplimiento de las instituciones, órganos y organismos de la Unión, de conformidad con el artículo 57, apartado 1, letra f), del Reglamento. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento; f) lleva a cabo investigaciones sobre posibles violaciones de la seguridad de la información clasificada de la UE (ICUE), sobre la base de la Decisión del SEPD de 18 de febrero de 2014, por la que se modifican sus normas en materia de seguridad de la ICUE. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento; g) lleva a cabo auditorías internas relacionadas con todas las actividades y departamentos del SEPD. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento; h) presta o recibe asistencia y cooperación con y de otras instituciones, órganos y organismos de la Unión, en el contexto de las actividades anteriormente mencionadas, según lo establecido en los acuerdos de nivel de servicio, memorandos de acuerdo y acuerdos de cooperación pertinentes. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento; i) proporciona y recibe asistencia y cooperación con y procedente de las autoridades nacionales de terceros países y de las organizaciones internacionales, a petición de estas o por propia iniciativa, conforme a lo dispuesto en el artículo 51 del Reglamento. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento; j) proporciona y recibe asistencia y cooperación con y procedente de las autoridades públicas de los Estados miembros de la UE, a petición de estas o por propia iniciativa. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento; k) trata datos personales de documentos obtenidos por las partes o los coadyuvantes en el contexto del asunto en cuestión al remitir asuntos o al intervenir ante el Tribunal de Justicia de la Unión Europea, sobre la base del artículo 58, apartado 4, del Reglamento. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra e), del Reglamento;

2 Las categorías de datos incluyen los datos de identificación de una persona física, la información de contacto, las funciones y tareas profesionales, la información sobre la conducta y el rendimiento profesional y privado, y los datos financieros.

3 Toda restricción respetará la esencia de los derechos y las libertades fundamentales y será una medida necesaria y proporcionada en una sociedad democrática.

4 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones. Las limitaciones quedarán restringidas a lo estrictamente necesario para alcanzar los objetivos fijados.

5 A efectos de la rendición de cuentas, el SEPD presentará un registro en el que se describan las razones de las limitaciones aplicadas, entre las enumeradas en el apartado 1, y el resultado de la prueba de necesidad y proporcionalidad. Dichos registros formarán parte de un registro ad hoc, que se pondrá a disposición del SEPD, previa solicitud. Se facilitará periódicamente un informe sobre la aplicación del artículo 25 del Reglamento.

6 Al tratar los datos personales intercambiados con otras organizaciones en el contexto de sus funciones, el SEPD consultará y será consultado por dichas organizaciones sobre los posibles motivos pertinentes para imponer limitaciones y la necesidad y proporcionalidad de las limitaciones, a menos que ello ponga en peligro las actividades del SEPD.

La evaluación de los riesgos para los derechos y libertades de los interesados cuyos datos personales puedan estar sujetos a limitaciones, así como su periodo de retención, se citan en el registro de las actividades de tratamiento pertinentes de conformidad con el artículo 31 del Reglamento y, si procede, en las evaluaciones de impacto relativas a la protección de datos pertinentes basadas en el artículo 39 del Reglamento.

El SEPD aplicará garantías para evitar los abusos o el acceso o la transferencia ilícitos de datos personales que pueden estar sujetos a limitaciones. Estas garantías incluirán medidas técnicas y organizativas y quedarán detalladas, en caso necesario, en las decisiones, procedimientos y normas de ejecución internos del SEPD. Estas garantías incluirán: a) una definición adecuada de las funciones, responsabilidades y etapas del procedimiento; b) en su caso, un entorno electrónico seguro que impida el acceso o la transferencia ilícitas o accidentales de datos electrónicos a personas no autorizadas; c) en su caso, un almacenamiento y tratamiento seguros de los documentos en soporte papel. d) un seguimiento adecuado de las limitaciones y una revisión periódica, que se llevará a cabo al menos cada seis meses. También deberá realizarse una revisión cuando se produzcan cambios en los elementos esenciales del caso en cuestión. Las limitaciones se levantarán tan pronto como dejen de ser aplicables las circunstancias que las justifiquen.

1 El delegado de protección de datos (DPD) del SEPD será informado sin demora injustificada cuando los derechos de los interesados queden limitados de conformidad con la presente Decisión y se le facilitará el acceso al registro y a cualquier documento subyacente a los elementos de hecho y de Derecho.

2 Dicho delegado podrá solicitar que se revise la aplicación de la limitación. El SEPD informará por escrito a su DPD del resultado de la revisión solicitada.

3 La participación del delegado de protección de datos del SEPD en el procedimiento de limitación, incluidos los intercambios de información, se documentará de forma adecuada.

1 El SEPD incluirá en los anuncios de protección de datos publicados en su sitio web información general a los interesados sobre las posibles limitaciones de los derechos de todos los interesados que se describen en el artículo 2, apartado 1. La información se referirá a qué derechos pueden limitarse, a los motivos y a la duración potencial de la limitación.

2 Además, el SEPD informará individualmente a los interesados sobre las limitaciones actuales o futuras de sus derechos, sin demoras indebidas y por escrito, según se especifica en los artículos 7, 8 y 9.

1 Cuando, en el contexto de las actividades mencionadas en la presente Decisión, el SEPD limite, total o parcialmente, los derechos mencionados en los artículos 14 a 16 y 35 del Reglamento, se informará a los interesados de las razones principales en las que se basa la aplicación de la limitación, así como de su derecho a presentar una reclamación ante el SEPD y de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

2 El SEPD podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación a que se refiere el apartado 1 durante el tiempo en que anule el efecto de la limitación. Esta evaluación se realizará caso por caso.

1 Cuando, en el contexto de las actividades mencionadas en la presente Decisión, el SEPD limite, total o parcialmente, el derecho de acceso a los datos personales, el derecho de rectificación, supresión y limitación del tratamiento a que se refieren, respectivamente, los artículos 17 a 20 del Reglamento, se informará a los interesados, en la respuesta a su solicitud, de las razones principales en las que se basa la aplicación de la limitación, así como de la posibilidad de presentar una reclamación ante el SEPD y de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

2 Cuando se limite total o parcialmente el derecho de acceso, el SEPD, al investigar la denuncia, solo informará al interesado de si los datos han sido tratados correctamente y, de no ser así, si se han efectuado las correcciones necesarias, de conformidad con el artículo 25, apartado 7, del Reglamento.

3 El SEPD podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación a que se refieren los apartados 1 y 2 si anula el efecto de la limitación. Esta evaluación se realizará caso por caso.

1 El SEPD, en circunstancias excepcionales y de conformidad con las disposiciones y la justificación de la Directiva 2002/58/CE, puede limitar el derecho a la confidencialidad de las comunicaciones electrónicas, tal como se contempla en el artículo 36 del Reglamento. En dicho caso, el SEPD detallará las circunstancias, los motivos, los riesgos pertinentes y las garantías relacionadas en las normas internas aplicables.

2 Cuando, el SEPD limite el derecho a la confidencialidad de las comunicaciones electrónicas, se informará a los interesados, en la respuesta a su solicitud, de las razones principales en las que se basa la aplicación de la limitación, así como de la posibilidad de presentar una reclamación ante el SEPD y de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

3 El SEPD podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación a que se refieren los apartados 1 y 2 durante el tiempo en que anule el efecto de la limitación. Esta evaluación se realizará caso por caso.

La presente Decisión entrará en vigor el día de su publicación en el Diario Oficial de la Unión Europea.