Decisión del Consejo de Administración de Europol de 9 de junio de 2020 sobre normas internas relativas a las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales administrativos por Europol

La presente Decisión establece normas relativas a las condiciones en las que Europol puede limitar la aplicación de los artículos 14 a 20, 35 y 36, así como su artículo 4, sobre la base del artículo 25 del Reglamento (UE) 2018/1725.

1 El responsable de las operaciones de tratamiento será Europol, representada por su director ejecutivo, quien podrá delegar la función de responsable del tratamiento de datos.

2 Se informará a los interesados de la identidad del responsable del tratamiento delegado por medio de anuncios de protección de datos o de registros publicados en el sitio web o la intranet de Europol.

1 Cuando Europol ejerza sus funciones en relación con los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho Reglamento (UE) 2018/1725.

2 De conformidad con el artículo 25, apartado 1, del Reglamento (UE) 2018/1725, Europol podrá limitar la aplicación de los artículos 14 a 20, 35 y 36, así como su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20 del Reglamento (UE) 2018/1725, cuando: a) El SII esté llevando a cabo investigaciones previas e investigaciones administrativas y el Consejo Disciplinario está tramitando procedimientos disciplinarios sobre la base del Estatuto de los funcionarios de la Unión Europea, así como la Decisión del Consejo de Administración de Europol por la que se establecen disposiciones generales de aplicación relativas a las investigaciones administrativas y los procedimientos disciplinarios. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725. b) En el transcurso de los procedimientos de denuncia de irregularidades, a fin de garantizar que el personal de Europol pueda comunicar de forma confidencial hechos que consideren graves, tal como se indica en las Directrices sobre los procedimientos de denuncia de irregularidades. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725. c) En los procedimientos formales e informales de casos de acoso, garantizar que el personal de Europol pueda informar confidencialmente a los asesores confidenciales en el contexto de un procedimiento de acoso, tal como se define en la Decisión del Consejo de Administración de Europol sobre la política relativa a la protección de la dignidad de la persona y la prevención del acoso psicológico y sexual. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725. d) El delegado de protección de datos está llevando a cabo investigaciones sobre las actividades de tratamiento realizadas en Europol con arreglo al artículo 13 de la Decisión del Consejo de Administración de Europol por la que se establecen normas de aplicación relativas al delegado de protección de datos. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725. e) La estructura de auditoría interna está llevando a cabo auditorías internas en relación con todas las actividades y departamentos de Europol. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725. f) Europol presta o recibe asistencia y cooperación con y de otras instituciones, órganos y organismos de la Unión, en el contexto de las actividades anteriormente mencionadas, según lo establecido en los acuerdos de nivel de servicio, Memorándum de acuerdo y acuerdos de cooperación pertinentes. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento (UE) 2018/1725.

3 Las categorías de datos incluyen los datos de identificación de una persona física, la información de contacto, las funciones y tareas profesionales, la información sobre la conducta y el rendimiento profesional y privado, y los datos financieros.

4 Toda limitación respetará la esencia de los derechos y las libertades fundamentales y será una medida necesaria y proporcionada en una sociedad democrática.

5 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones. Las limitaciones quedarán restringidas a lo estrictamente necesario para alcanzar los objetivos fijados.

6 Las limitaciones deberán ser debidamente supervisadas por el responsable del tratamiento de datos y se efectuará una revisión periódica con una prueba de necesidad y proporcionalidad cada seis meses a partir de su adopción en consulta con el delegado de protección de datos.

7 Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hubieran justificado. El responsable del tratamiento de datos, en consulta con el delegado de protección de datos, facilitará a los interesados la información sobre la posibilidad de presentar una reclamación ante el SEPD en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

8 A efectos de la rendición de cuentas, Europol presentará un registro en el que se describan las razones de las limitaciones aplicadas, entre las enumeradas en el apartado 1, y el resultado de la prueba de necesidad y proporcionalidad. Dichos registros formarán parte de un registro ad hoc conservada por el delegado de protección de datos, que se pondrá a disposición del SEPD, previa solicitud. Se facilitará periódicamente un informe sobre la aplicación del artículo 25 del Reglamento (UE) 2018/1725.

9 Al tratar los datos personales intercambiados con otras organizaciones en el contexto de sus funciones, Europol consultará a estas dichas organizaciones sobre los posibles motivos pertinentes para imponer limitaciones y la necesidad y proporcionalidad de las limitaciones, a menos que ello ponga en peligro las actividades de Europol.

La evaluación de los riesgos para los derechos y libertades de los interesados cuyos datos personales puedan estar sujetos a limitaciones, así como su período de retención, se citan en el registro de las actividades de tratamiento pertinentes de conformidad con el artículo 31 del Reglamento (UE) 2018/1725 y, si procede, en las evaluaciones de impacto relativas a la protección de datos pertinentes basadas en el artículo 39 de dicho Reglamento.

1 Europol aplicará garantías para evitar los abusos o el acceso o la transferencia ilícitos de datos personales que pueden estar sujetos a limitaciones. Estas salvaguardias incluirán medidas técnicas y organizativas apropiadas para proteger los datos personales contra su destrucción accidental o ilícita, extravío accidental o divulgación, alteración y acceso no autorizados o cualquier otra forma de tratamiento no autorizado. Estas garantías incluirán: a) una definición clara de las funciones, responsabilidades y etapas del procedimiento; b) en su caso, un entorno electrónico seguro que impida el acceso o la transferencia ilícitas o accidentales de datos electrónicos a personas no autorizadas; c) en su caso, un almacenamiento y tratamiento seguros de los documentos en soporte papel; d) la debida supervisión de las limitaciones y la revisión periódica de su aplicación.

2 El período de retención de los datos personales podrá estar sujeto a limitaciones no superará el necesario ni el adecuado para los fines que justifiquen el tratamiento de los datos. En ningún caso deberá superar el período de retención especificado en los avisos sobre la protección de datos, las declaraciones de confidencialidad o los registros a los que se hace referencia más arriba.

1 El delegado de protección de datos será consultado sin demora indebida cuando el responsable del tratamiento de datos tenga la intención de aplicar limitaciones a los derechos de los interesados de conformidad con la presente Decisión y se le facilitará acceso al registro que contenga la evaluación de la necesidad y la proporcionalidad, así como de cualquier documento que sustente los elementos de hecho y de derecho.

2 La participación del delegado de protección de datos en el procedimiento de limitación, incluidos los intercambios de información, se documentará de forma adecuada.

1 Europol publicará en su intranet notificaciones de protección de datos que informen a todos los interesados de las actividades de tratamiento que impliquen el tratamiento de sus datos personales, que podrían estar sujetas a limitaciones de conformidad con las presentes normas.

2 Los responsables del tratamiento de datos informarán individualmente a los interesados que sean parte en un procedimiento, a las partes afectadas por un procedimiento o a los testigos sobre sus derechos y posibles limitaciones.

1 Cuando, en el contexto de las actividades mencionadas en la presente Decisión, Europol limite, total o parcialmente, los derechos mencionados en los artículos 14 a 16 y 35 del Reglamento (UE) 2018/1725, se informará a los interesados de las razones principales en las que se basa la aplicación de la limitación, así como de su derecho a presentar una reclamación ante el SEPD y de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

2 Europol podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación a que se refiere el apartado 1 durante el tiempo en que anule el efecto de la limitación. Esta evaluación se realizará caso por caso en cooperación con el delegado de protección de datos.

1 Cuando, en el contexto de las actividades mencionadas en la presente Decisión, el Europol limite, total o parcialmente, el derecho de acceso a los datos personales, el derecho de rectificación, supresión y limitación del tratamiento a que se refieren, respectivamente, los artículos 17 a 20 del Reglamento (UE) 2018/1725, se informará a los interesados, en la respuesta a su solicitud, de las razones principales en las que se basa la aplicación de la limitación, así como de la posibilidad de presentar una reclamación ante el SEPD y de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

2 Europol podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación a que se refieren el apartado 1 si anula el efecto de la limitación. Esta evaluación se realizará caso por caso en cooperación con el delegado de protección de datos.

1 Europol, en circunstancias excepcionales y de conformidad con las disposiciones y la justificación de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo , podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas, tal como se contempla en el artículo 36 del Reglamento (UE) 2018/1725.

2 Cuando Europol limite el derecho a la confidencialidad de las comunicaciones electrónicas, se informará a los interesados, en la respuesta a su solicitud, de las razones principales en las que se basa la aplicación de la limitación, así como de la posibilidad de presentar una reclamación ante el SEPD y de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

3 Europol podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación a que se refieren los apartados 1 y 2 durante el tiempo en que anule el efecto de la limitación. Esta evaluación se realizará caso por caso en cooperación con el delegado de protección de datos.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.