Decisión de la Junta Única de Resolución de 18 de septiembre de 2019 sobre las normas internas relativas a las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco de las investigaciones de incidencias de seguridad interna llevadas a cabo por la Junta Única de Resolución (SRB/ES/2019/34)

1 La presente Decisión establece las normas internas relativas a las condiciones en las que la JUR, en el marco de sus investigaciones internas de incidencias de seguridad, puede limitar la aplicación de los derechos previstos en los artículos 14 a 21, 35, y también del artículo 4 del mismo, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725.

2 La presente Decisión se aplicará a las operaciones de tratamiento de datos personales por parte de la JUR con el fin de llevar a cabo investigaciones internas relativas a incidencias de seguridad, así como durante la supervisión del seguimiento de la actuación consecutiva a los resultados de dichas investigaciones.

3 Las categorías de datos afectadas son los datos sólidos (datos administrativos, teléfono, dirección privada, comunicaciones electrónicas y datos sobre tráfico) y/o los datos frágiles (evaluaciones, apertura de investigaciones, informes sobre investigaciones preliminares, etc.).

4 Con arreglo a las condiciones establecidas en la presente Decisión, las limitaciones podrán aplicarse a los siguientes derechos: derecho de acceso, rectificación, supresión y derechos de portabilidad, derechos de información, confidencialidad de la comunicación y principios del tratamiento de datos, siempre que se refieran a un derecho.

1 Las salvaguardas adoptadas para evitar las violaciones de datos, las filtraciones o las revelaciones no autorizadas son las siguientes: limitación de los derechos de acceso a las carpetas electrónicas y al buzón funcional para la presentación de reclamaciones, armarios protegidos con llaves y formación específica sobre confidencialidad de las personas que manejan la información.

2 El responsable del tratamiento de estas operaciones de tratamiento es la JUR, representada aquí por el Jefe de la Unidad de Servicios Corporativos y Tecnologías de la Información y la Comunicación de la JUR.

3 Los datos personales recogidos se almacenan y retienen de conformidad con las normas comunitarias relativas a la retención de documentos y con arreglo a la ley belga de 21 de marzo de 2007 (que regula la instalación y el uso de cámaras de videovigilancia). El período de retención respeta el principio de retención no más allá de lo necesario para el cumplimiento de la finalidad de la operación de tratamiento y, en su caso, para permitir la resolución de litigios judiciales o administrativos.

1 De conformidad con el artículo 25, apartado 1, del Reglamento 2018/1725, las limitaciones solo se aplicarán para salvaguardar: la prevención, investigación, detección y enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención; la seguridad interna de las instituciones y organismos de la Unión, incluida la de sus redes de comunicación electrónica; la protección de los procedimientos judiciales; la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas; la protección del interesado o de los derechos y libertades de terceros;

2 Toda limitación será la necesaria y proporcionada en una sociedad democrática y respetará la esencia de los derechos y libertades fundamentales.

3 Se realizará una prueba de necesidad y proporcionalidad sobre la base de las presentes normas internas. Esta se documentará con una nota interna de evaluación para cumplir con la obligación de rendir cuentas en cada caso.

4 Las limitaciones se controlarán debidamente y se efectuará una revisión periódica cada seis meses.

5 Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hubieran justificado.

6 El riesgo para los derechos y libertades del interesado es la limitación temporal del ejercicio efectivo de sus derechos de información, supresión o defensa, entre otros, tal como garantiza el Reglamento (UE) 2018/1725. Estos riesgos no se tendrán en cuenta en el criterio de necesidad y proporcionalidad mencionado en el apartado 3 del presente artículo.

1 La JUR informará, sin demora justificada y a lo largo del procedimiento de limitación, al responsable de la protección de datos de la JUR (en lo sucesivo, «el RPD») siempre que se limite la aplicación de los derechos de los interesados de conformidad con la presente Decisión. Facilitará el acceso a los registros y la evaluación de la necesidad y la proporcionalidad de la restricción.

2 El RPD podrá solicitar por escrito al responsable del tratamiento que revise la aplicación de las limitaciones. La JUR notificará por escrito al RPD el resultado de la revisión solicitada y cuándo se ha levantado la limitación.

1 En los anuncios de protección de datos, publicados en la intranet y en el sitio web, donde se informe a los interesados de sus derechos en el marco de determinado procedimiento, la JUR incluirá información sobre la posible limitación de dichos derechos. Esta información abarcará los derechos que pueden limitarse, las razones de la limitación y la posible duración de esta.

2 Además, la JUR informará a los interesados individualmente de sus derechos en relación con las limitaciones presentes o futuras, sin demora injustificada y por escrito, y sin perjuicio de lo dispuesto en el apartado siguiente.

3 Se informará a los interesados de los principales motivos en que se hubiera basado la aplicación de la limitación y de su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos.

1 Cuando los interesados soliciten el acceso a sus datos personales tratados en el contexto de uno o varios casos específicos o a una determinada operación de tratamiento, de conformidad con el artículo 17 del Reglamento (UE) 2018/1725, la JUR deberá circunscribir su evaluación de la solicitud a dichos datos personales únicamente.

2 Cuando la Junta limite, en su totalidad o en parte, el derecho de acceso a que se refiere el artículo 17 del Reglamento (UE) 2018/1725, deberá adoptar las siguientes medidas: a) informará al interesado, en su respuesta a la solicitud, de la limitación y de los principales motivos de esta, así como de la posibilidad de presentar una reclamación ante el SEPD o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea; b) consignará los motivos de la limitación, incluida una evaluación de la necesidad y proporcionalidad de la limitación; a tal efecto, la anotación deberá indicar cómo comprometería la concesión de acceso el objetivo de las actividades de investigación de la JUR o de las limitaciones aplicadas de conformidad con el artículo 2, apartado 3, o cómo podría afectar negativamente a los derechos y libertades de otros interesados. La comunicación de la información mencionada en la letra a) podrá aplazarse, omitirse o denegarse en caso de que pudiera dejar sin efecto la limitación, con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) 2018/1725.

3 La anotación a que se refiere la letra b) del apartado 2 y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes serán registrados. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud. Será de aplicación el artículo 25, apartado 7, del Reglamento (UE) 2018/1725.

Cuando la JUR limite, total o parcialmente, la aplicación del derecho a la rectificación, supresión o limitación del tratamiento a que se refieren el artículo 18; el artículo 19, apartado 1; y el artículo 20, apartado 1, del Reglamento (UE) 2018/1725, adoptará las medidas contempladas en el artículo 6, apartado 2, de la presente Decisión y las consignará de conformidad con lo dispuesto en su artículo 6, apartado 3.

Cuando la JUR limite la comunicación de una violación de datos personales al interesado a que se refiere el artículo 35 del Reglamento (UE) 2018/1725, deberá anotar y registrar los motivos de la limitación de conformidad con lo dispuesto en el artículo 3, apartado 3, de la presente Decisión. Será de aplicación el artículo 3, apartado 4, de la presente Decisión.

La presente Decisión entrará en vigor al día siguiente de su publicación en el Diario Oficial de la Unión Europea.