Decisión del Consejo de Administración de la Agencia Europea de Medicamentos, de 12 de junio de 2019, sobre las normas internas relativas a la limitación de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco del funcionamiento de la Agencia

1 La presente Decisión establece normas relativas a las condiciones en las que la Agencia, en el marco de la realización de investigaciones administrativas y procedimientos disciplinarios, al notificar casos a la OLAF con arreglo al Reglamento (UE, Euratom) n.o 883/2013, puede limitar, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725, la aplicación de los derechos consagrados en los artículos 14 a 21, 35 y 36, así como en el artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 21.

2 La presente Decisión se aplica a las operaciones de tratamiento de datos personales realizadas por la Agencia a efectos de llevar a cabo investigaciones administrativas y procedimientos disciplinarios, así como de realizar actividades preliminares relacionadas con casos de posibles irregularidades comunicadas a la OLAF [con arreglo al Reglamento (UE, Euratom) n.o 883/2013], tramitar casos de denuncia de irregularidades, tramitar procedimientos (formales e informales) de acoso, tramitar reclamaciones internas y externas, realizar auditorías internas, llevar a cabo investigaciones por parte del responsable de la protección de datos de conformidad con el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE). La presente Decisión debe aplicarse también a las actividades de asistencia y cooperación facilitadas por la Agencia al margen de sus investigaciones administrativas a otras instituciones, órganos, oficinas y agencias de la Unión, autoridades competentes de los Estados miembros y organizaciones internacionales para proteger sus operaciones de tratamiento. Además, la presente Decisión se aplica a actividades relacionadas con la cooperación con las instituciones y organismos de la UE y con la transmisión de información relativa a una investigación administrativa o a un procedimiento disciplinario, cuando dicha información sea necesaria para que el destinatario evalúe los motivos para incoar un procedimiento o investigación formal.

3 La Agencia trata varias categorías de datos personales, como datos de identificación, datos de contacto, datos profesionales. Las categorías de datos en cuestión pueden ser datos exactos (por ejemplo, datos administrativos, teléfono, dirección privada, comunicaciones electrónicas y datos sobre tráfico) o datos subjetivos (por ejemplo, informes de evaluación, apertura de investigaciones, informes sobre investigaciones preliminares, informes/actas de declaraciones de testigos y audiencias de investigación, actividades sociales y comportamiento de los miembros del personal, comentarios sobre la capacidad y la eficiencia del miembro o miembros del personal en cuestión, etc.).

4 Las categorías de interesados que pueden estar sujetos a la presente Decisión son el personal actual y antiguo de la Agencia, es decir, (antiguos) agentes, funcionarios y administradores, expertos nacionales en comisión de servicios y personas en prácticas, así como (antiguos) contratistas de la Agencia.

5 De conformidad con las condiciones establecidas en la presente Decisión, las limitaciones pueden aplicarse a los siguientes derechos: transmisión de información y comunicación de una violación de la seguridad de los datos personales al interesado de conformidad con los artículos 16 y 35 del Reglamento (UE) 2018/1725; derecho de acceso del interesado de conformidad con el artículo 17 del Reglamento (UE) 2018/1725; derecho de rectificación, supresión, limitación del tratamiento y notificación relativa a la rectificación o supresión de conformidad con los artículos 18, 19, apartado 1, 20 y 21 del Reglamento (UE) 2018/1725.

1 La Agencia Europea de Medicamentos, representada por su Director Ejecutivo, es responsable del tratamiento de los datos. A nivel interno, el Jefe de la División de Administración y Gestión Empresarial ha sido nombrado para actuar por delegación como responsable del tratamiento de los datos correspondientes a las actividades a que se refiere la presente Decisión. Si la investigación administrativa o los procedimientos disciplinarios se refieren al Jefe de la División de Administración y Gestión Empresarial, el Director Ejecutivo Adjunto será el responsable del tratamiento de los datos para la investigación o el procedimiento pertinente.

2 Los datos personales se almacenan en un fichero electrónico y/o en papel. Las garantías aplicadas para evitar las violaciones de datos personales, las filtraciones o las revelaciones no autorizadas son las siguientes: a) El expediente en papel se guarda en un armario cerrado con llave que solo es accesible para el personal autorizado sobre la base de la necesidad de conocer. También se aplica un sistema de seguridad de los locales, políticas internas de gestión de los registros, formación del personal y auditorías para garantizar unas salvaguardias adecuadas. b) Los ficheros electrónicos se almacenan en un entorno electrónico seguro diseñado y mantenido para evitar la destrucción accidental o ilícita, la pérdida, la alteración, la transferencia, la divulgación no autorizada o el acceso a datos personales a socios internos y externos sin autorización para acceder a dichos datos c) Las estrictas normas de confidencialidad y secreto profesional aplicables a los investigadores designados o a cualquier persona que participe de otro modo en la investigación administrativa o en un procedimiento disciplinario según se exige en las normas de desarrollo de la EMA sobre la realización de investigaciones administrativas y procedimientos disciplinarios de 8 de junio de 2012, así como en el Estatuto de los funcionarios y el Régimen aplicable a los otros agentes de la Unión Europea, garantizan un elevado nivel de protección frente a los riesgos para los derechos y libertades de los interesados a los que afecta el tratamiento. d) De conformidad con el principio de minimización de datos, la Agencia solo recopilará y tratará datos personales adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se tratan. Cuando se tratan categorías especiales de datos se aplican salvaguardias adicionales, así como cuando se tratan datos personales relativos a condenas e infracciones penales o medidas de seguridad relacionadas.

3 Los períodos de conservación y retención aplicables serán los siguientes: a) De conformidad con el artículo 13 de las normas de desarrollo de la EMA sobre la realización de investigaciones administrativas y procedimientos disciplinarios de 8 de junio de 2012, cuando no haya cargo alguno contra el miembro del personal o cuando se haya realizado algún cargo, pero no se hayan adoptado medidas disciplinarias, el documento y el expediente electrónico de los procedimientos de investigación administrativa, así como la copia en el expediente personal de la notificación inicial al miembro del personal, con arreglo al artículo 5 de las mismas normas de desarrollo, se conservarán durante un período de 5 años a partir de la fecha de la decisión en el sentido de que no es necesario aplicar ningún cargo ni ninguna sanción disciplinaria. Esta disposición no es aplicable a la decisión incluida en el expediente personal del miembro del personal a petición de este, de conformidad con el artículo 1, apartado 3, del anexo IX del Estatuto de los funcionarios y el artículo 5, apartado 5, de las normas de desarrollo de la EMA sobre la realización de investigaciones administrativas y procedimientos disciplinarios de 8 de junio de 2012. Dicha decisión solo será suprimida del expediente personal a petición del interesado. b) Cuando se realice un cargo contra el miembro del personal, el documento en papel y los ficheros electrónicos, así como la copia en el expediente personal de la notificación inicial al miembro del personal, se conservarán durante un período de 10 años a partir de la fecha de la decisión de sanción disciplinaria. En casos excepcionales, cuando sea en interés de la Agencia conservar el expediente de investigación administrativa una vez transcurridos los 10 años, se emitirá una decisión motivada 6 meses antes de que expire el período de 10 años y se comunicará al interesado. En la decisión motivada se indicará el período adicional durante el cual se conservará el expediente de investigación administrativa. En estos casos, se conservará también la notificación en el expediente del miembro del personal.

4 El riesgo para los derechos y libertades del interesado puede implicar riesgos para el derecho a respetar la confidencialidad de sus comunicaciones privadas, el derecho a la libertad de expresión y de información y el derecho a la defensa y a ser oído. Estos riesgos se sopesarán en relación con los motivos y finalidades que justifiquen la aplicación de las limitaciones previstas en la presente Decisión. Esta ponderación se documentará debidamente y se realizará sobre la base de un análisis caso por caso, a fin de garantizar que las limitaciones solo se aplican cuando sea necesario y de manera proporcionada, así como con arreglo a las normas establecidas en la presente Decisión.

1 Con arreglo al artículo 25, apartado 1, del Reglamento (UE) 2018/1725, las limitaciones solo se aplicarán para salvaguardar: a) la prevención, investigación, detección y enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención; b) otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular un interés importante de la Unión o de un Estado miembro, inclusive en los ámbitos de la sanidad pública y la seguridad social; c) la seguridad interna de las instituciones y organismos de la Unión, incluida la de sus redes de comunicación electrónica; d) la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas; e) una función de supervisión, inspección o reglamentación vinculada, incluso ocasionalmente, con el ejercicio de la autoridad pública en los casos enunciados en las letras a) a c); f) la protección del interesado o de los derechos y libertades de otros.

2 Como aplicación concreta de los fines descritos en el anterior apartado 1, la Agencia puede aplicar limitaciones en relación con los datos personales compartidos con los servicios de la Comisión u otras instituciones, organismos, agencias y oficinas de la Unión, autoridades competentes de los Estados miembros o de terceros países u organizaciones internacionales, en las siguientes circunstancias: a) cuando el ejercicio de esos derechos y obligaciones pueda ser restringido por los servicios de la Comisión o por otras instituciones, organismos, agencias y oficinas de la Unión, sobre la base de otros actos contemplados en el artículo 25 del Reglamento (UE) 2018/1725 o de conformidad con el capítulo IX de dicho Reglamento o con los actos fundacionales de otras instituciones, organismos, agencias y oficinas de la Unión; b) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda verse limitado por parte de las autoridades competentes de los Estados miembros sobre la base de los actos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo , o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3; del artículo 15, apartado 3; o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo ; c) cuando el ejercicio de esos derechos y obligaciones pueda comprometer la cooperación de la Agencia con terceros países u organizaciones internacionales en el desempeño de sus funciones. Antes de aplicar limitaciones en las circunstancias mencionadas en el apartado 1, letras a) y b), la Agencia consultará a los servicios pertinentes de la Comisión, a las instituciones, organismos, agencias y oficinas pertinentes de la Unión o a las autoridades competentes de los Estados miembros, a menos que para la Agencia resulte evidente que la aplicación de una limitación está contemplada en uno de los actos a que se hace referencia en dichas letras.

3 Toda limitación será la necesaria y proporcionada en una sociedad democrática y respetará la esencia de los derechos y libertades fundamentales.

4 Se realizará una prueba de necesidad y proporcionalidad sobre la base de las presentes normas. Esta se documentará con una nota interna de evaluación para cumplir con la obligación de rendir cuentas en cada caso.

5 Las limitaciones serán debidamente supervisadas y se realizará una revisión periódica a más tardar cada seis meses para evaluar si persisten las condiciones que justifican una limitación concreta.

6 Las restricciones se levantarán tan pronto como dejen de existir las condiciones que las justifican, por ejemplo cuando el ejercicio de los derechos de los interesados (por ejemplo, de facilitar información sobre el tratamiento de los datos y el acceso al expediente) deje de poner en peligro el objetivo de la investigación o del procedimiento de que se trate.

1 El responsable del tratamiento (en nombre de la Agencia) informará, sin demora injustificada, al responsable de la protección de datos (RPD) de la Agencia siempre que se limite la aplicación de los derechos de los interesados de conformidad con la presente Decisión y facilitará el acceso a los registros y la documentación de la evaluación de la necesidad y la proporcionalidad de la restricción (incluidos los documentos que contengan elementos de hecho y de derecho). Este requisito se aplica también a cualquier revisión posterior de la restricción.

2 El RPD podrá solicitar por escrito al responsable del tratamiento que revise la aplicación de las limitaciones. La Agencia notificará por escrito al RPD el resultado de la revisión solicitada.

3 Los intercambios de información con el RPD a lo largo del procedimiento se registrarán y documentarán por escrito.

1 La Agencia incluirá en la declaración de confidencialidad relativa a las investigaciones administrativas y el procedimiento disciplinario y publicada en su intranet la información relativa a la posible limitación de estos derechos. Esta información abarcará los derechos que pueden limitarse, las razones de la limitación y su posible duración.

2 Además, la Agencia informará a los interesados individualmente de sus derechos en relación con las limitaciones presentes o futuras, sin demora injustificada y por escrito, y sin perjuicio de lo dispuesto en los apartados siguientes.

3 Cuando la Agencia restrinja, total o parcialmente, la comunicación de información a los interesados de conformidad con la presente Decisión, deberá consignar los motivos de la limitación, incluida una evaluación de su necesidad y proporcionalidad. A tal efecto, en la consignación se indicará de qué manera la comunicación de información podría poner en peligro la finalidad de la investigación o del procedimiento de que se trate, o afectar negativamente a los derechos y libertades de otros. La consignación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes serán registrados. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

4 La limitación a que se refiere el apartado 3 seguirá en vigor mientras los motivos que la justifiquen sigan siendo aplicables. Cuando los motivos de la limitación dejen de ser aplicables, la Agencia comunicará la información de que se trate y los motivos de la limitación al interesado. Los interesados podrán formular preguntas al RPD.

5 Al mismo tiempo, la Agencia informará al interesado sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

6 La Agencia revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre del procedimiento.

1 Cuando los interesados soliciten acceso a sus datos personales tratados en el contexto de uno o varios casos específicos o a una operación de tratamiento determinada, de conformidad con el artículo 17 del Reglamento (UE) 2018/1725, la Agencia circunscribirá su evaluación de la solicitud únicamente a dichos datos personales.

2 Cuando la Agencia limite, en su totalidad o en parte, el derecho de acceso a que se refiere el artículo 17 del Reglamento (UE) 2018/1725, deberá adoptar las siguientes medidas: a) informará al interesado, en su respuesta a la solicitud, de la limitación aplicada y de los motivos principales en la medida en que no comprometa el objetivo de la investigación o del procedimiento de que se trate, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea; b) consignará los motivos de la limitación, incluida una evaluación de la necesidad y la proporcionalidad de la limitación; a tal efecto, la consignación deberá indicar de qué modo el acceso podría poner en peligro la finalidad del procedimiento o investigación en cuestión, o cómo podría afectar negativamente a los derechos y libertades de otros. La comunicación de la información mencionada en la letra a) podrá aplazarse, omitirse o denegarse con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) 2018/1725.

3 La anotación a que se refiere la letra b) del apartado 2 y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes serán registrados. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud. Será de aplicación el artículo 25, apartado 7, del Reglamento (UE) 2018/1725.

Cuando la Agencia limite, total o parcialmente, la aplicación del derecho a la rectificación, supresión o limitación del tratamiento a que se refieren el artículo 18; el artículo 19, apartado 1; el artículo 20, apartado 1; y el artículo 21 del Reglamento (UE) 2018/1725, adoptará las medidas contempladas en el artículo 6, apartado 2, de la presente Decisión y las consignará de conformidad con lo dispuesto en su artículo 6, apartado 3.

1 Cuando la Agencia limite la comunicación de una violación de datos personales al interesado, de conformidad con el artículo 35 del Reglamento (UE) 2018/1725, anotará y registrará los motivos de la limitación de conformidad con lo dispuesto en el artículo 5, apartados 3 a 6, de la presente Decisión.

2 Cuando la Agencia limite el derecho a la confidencialidad de las comunicaciones electrónicas de un interesado, de conformidad con el artículo 36 del Reglamento (UE) 2018/1725, anotará y registrará los motivos de la limitación de conformidad con lo dispuesto en el artículo 5, apartados 3 a 6, de la presente Decisión.

La presente Decisión entrará en vigor al día siguiente de su publicación en el Diario Oficial de la Unión Europea.