Decisión 2020-04 del Colegio de Comisarios de 15 de julio de 2020 relativa a las normas internas sobre las limitaciones de determinados derechos de los titulares de datos en relación con el tratamiento de datos personales en el marco de las actividades llevadas a cabo por Eurojust

1 La presente Decisión establece normas relativas a las condiciones en las que Eurojust puede limitar la aplicación de los artículos 4, 14 a 22, 35 y 36, de conformidad con el artículo 25 del Reglamento.

2 Con arreglo a las condiciones previstas en la presente Decisión, las limitaciones pueden aplicarse a los siguientes derechos: la comunicación de información a los interesados, el derecho de acceso, la rectificación, la supresión, la limitación del tratamiento, la comunicación de una violación de la seguridad de los datos personales al interesado y la confidencialidad de las comunicaciones electrónicas.

3 La presente Decisión se aplica al tratamiento de datos personales por Eurojust en la medida en que este trate los datos personales para fines relacionados con las investigaciones administrativas, los procedimientos predisciplinarios, disciplinarios y de suspensión, las actividades preliminares relativas a los casos de irregularidades potenciales comunicadas a la OLAF, los procedimientos (formales e informales) de acoso, la tramitación de las denuncias internas y externas, la realización de auditorías internas, las investigaciones llevadas a cabo por el responsable de protección de datos de conformidad con el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 y las investigaciones de seguridad (informática) que hayan sido llevadas a cabo internamente o con participación externa (por ejemplo, CERT-UE).

4 Las categorías de datos personales a que se refiere la presente Decisión incluyen datos identificativos, de contacto, de comportamiento y financieros.

5 Eurojust, en su calidad de responsable del tratamiento, estará representado por el director administrativo.

1 Eurojust podrá limitar la aplicación de los artículos 14 a 22, 35 y 36, así como de su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20: a) con arreglo al artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento, al llevar a cabo una investigación administrativa o un procedimiento predisciplinario, disciplinario o de suspensión con arreglo al artículo 86 y el anexo IX del Estatuto de los funcionarios y la Decisión Eurojust de 23 de septiembre de 2013 por la que se establecen disposiciones generales de aplicación relativas a la realización de investigaciones administrativas y procedimientos disciplinarios, y cuando se notifiquen los casos a la OLAF; b) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que los miembros del personal de Eurojust puedan denunciar hechos de forma confidencial cuando consideren que existen graves irregularidades, tal como se establece en la Decisión 2019-02 del Colegio, de 29 de enero de 2019, sobre las directrices de Eurojust sobre la denuncia de irregularidades; c) con arreglo al artículo 25, apartado 1, letra h), del Reglamento, al garantizar que el personal de Eurojust pueda informar a los asesores confidenciales en el contexto de un procedimiento de acoso, tal como se define en su Decisión de 31 de enero de 2012 sobre la política de Eurojust para proteger la dignidad de la persona y prevenir el acoso psicológico y sexual; d) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando lleve a cabo auditorías internas en relación con actividades o departamentos de Eurojust; e) de conformidad con el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento, cuando presten asistencia a otras instituciones, organismos, oficinas y agencias de la Unión, cuando reciban asistencia de dichas instituciones, organismos, oficinas y agencias o cuando cooperen con ellas en el contexto de las actividades contempladas en las letras a) a d) del presente apartado y con arreglo a los acuerdos de nivel servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes; f) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando presten asistencia a las autoridades nacionales y organizaciones internacionales de terceros países, cuando reciban asistencia de dichas autoridades y organizaciones o cuando cooperen con estas, a petición de estas o por iniciativa propia; g) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando presten asistencia a las autoridades públicas de los Estados miembros de la UE, cuando reciban asistencia de dichas autoridades o cuando cooperen con estas, ya sea a petición suya o por iniciativa propia; h) de conformidad con el artículo 25, apartado 1, letra e), del Reglamento, cuando se traten datos personales en documentos obtenidos por las partes o partes coadyuvantes en el contexto de un procedimiento sometido al Tribunal de Justicia de la Unión Europea; i) con arreglo al artículo 25, apartado 1, letra i), del Reglamento, cuando el tratamiento de datos personales sea necesario para la ejecución de las demandas civiles.

2 Cualquier limitación respetará la esencia de los derechos y libertades fundamentales y será necesaria y proporcionada en una sociedad democrática.

3 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones. Las restricciones se limitarán a lo estrictamente necesario para alcanzar su objetivo.

4 A efectos de rendición de cuentas, Eurojust elaborará un registro en el que se describirán los motivos de las limitaciones aplicadas, los fundamentos enumerados en el apartado 1 que se aplican y el resultado de la prueba de necesidad y proporcionalidad. Dichos registros formarán parte de un registro, que se pondrá a disposición del SEPD a petición suya. Eurojust elaborará informes periódicos sobre la aplicación del artículo 25 del Reglamento.

5 Al tratar los datos personales procedentes de otras organizaciones en el contexto de sus funciones, Eurojust consultará a dichas organizaciones sobre los posibles motivos de imposición de limitaciones y sobre la necesidad y proporcionalidad de las limitaciones de que se trate, a menos que ello ponga en peligro las actividades de Eurojust.

1 Las evaluaciones de los riesgos para los derechos y libertades de los interesados que supongan la aplicación de limitaciones y los detalles sobre el período de aplicación de dichas limitaciones se harán constar en el registro de actividades de tratamiento mantenido por Eurojust en virtud del artículo 31 del Reglamento. También se harán constar en todas las evaluaciones de impacto de protección de datos relativas dichas limitaciones llevadas a cabo con arreglo al artículo 39 del Reglamento.

2 Siempre que Eurojust evalúe la necesidad y proporcionalidad de una limitación, tendrá en cuenta los posibles riesgos para los derechos y libertades del interesado. En caso de que Eurojust estudie aplicar una limitación, deberá sopesarse el riesgo para los derechos y las libertades del interesado, en particular, el riesgo para los derechos y las libertades de otros interesados y el riesgo de dejar sin efecto las investigaciones o los procedimientos emprendidos por Eurojust, por ejemplo, por la destrucción de pruebas. Los riesgos para los derechos y las libertades del interesado consisten principalmente, aunque no de manera exclusiva, en riesgos para la reputación y riesgos para el derecho a la defensa y a ser oído.

1 Eurojust aplicará garantías para evitar los abusos y el acceso o transferencia ilícita de datos personales respecto de los cuales se apliquen o puedan aplicarse limitaciones. Tales garantías incluirán medidas técnicas y organizativas y quedarán detalladas, en caso necesario, en las decisiones, procedimientos y normas de ejecución internos de Eurojust. Estas garantías cumplirán lo siguiente: a) las garantías deberán incluir una definición clara de las funciones, responsabilidades y etapas del procedimiento; b) todos los datos electrónicos se almacenarán en una aplicación informática segura que impida el acceso o transferencia ilícita y accidental de dichos datos electrónicos a personas no autorizadas, de conformidad con las normas de seguridad de Eurojust, así como en carpetas electrónicas específicas a las que únicamente pueda acceder el personal autorizado. Deberán concederse de manera individualizada los niveles de acceso adecuados; c) los documentos en papel deberán conservarse en armarios protegidos a los que únicamente pueda acceder el personal autorizado; d) las garantías deberán incluir la debida supervisión de las limitaciones y la revisión periódica de su aplicación; e) todas las personas que dispongan de acceso a los datos quedarán sujetas a una obligación de confidencialidad. Las revisiones mencionadas en la letra d) se llevarán a cabo al menos cada seis meses.

2 Las limitaciones se levantarán tan pronto como dejen de existir las circunstancias que las justifiquen.

3 El período de conservación de los datos personales al que se refiere el artículo 1, apartado 4, no será superior a lo necesario y apropiado para los fines para los que se traten. Los datos personales se conservarán de conformidad con las normas de conservación de Eurojust aplicables establecidas en el artículo 18 y en el anexo del Reglamento sobre el tratamiento y la protección de datos personales en Eurojust , que se definirán en los registros de protección de datos mantenidos en virtud del artículo 31 del Reglamento. Al final del período de conservación, los datos personales se suprimirán, se anonimizarán o se transferirán a los archivos de conformidad con el artículo 13 del Reglamento.

1 Se informará sin demora al DPD de Eurojust cuando los derechos de los interesados estén limitados de conformidad con la presente Decisión. Se dará acceso a los registros correspondientes y a todos los documentos relativos al contexto fáctico o jurídico.

2 El DPD de Eurojust podrá solicitar que se revisen las limitaciones aplicadas. Eurojust informará por escrito a su DPD del resultado de la revisión.

3 Eurojust documentará la participación del DPD en la aplicación de las limitaciones, incluida la información que se comparta con él.

1 Eurojust incluirá una sección en los anuncios de protección de datos publicados en su sitio web/intranet, que proporcione información general a los interesados sobre la posible limitación de sus derechos, de conformidad con el artículo 2, apartado 1. La información cubrirá los derechos que puedan ser objeto de limitaciones, los motivos por los que pueden aplicarse las limitaciones y su posible duración.

2 Eurojust informará a los interesados individualmente, por escrito y sin demora injustificada, de las limitaciones en curso o futuras de sus derechos. Eurojust informará al interesado de los motivos principales en los que se fundamenta la limitación aplicada, de su derecho a consultar al DPD con el fin de impugnar la limitación y de su derecho a presentar una reclamación ante el SEPD.

3 Eurojust podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará si dicha acción es justificable caso por caso. Tan pronto como la acción deje de anular el efecto de la limitación, Eurojust facilitará la información al interesado.

1 Cuando Eurojust tenga la obligación de comunicar una violación de datos con arreglo al artículo 35, apartado 1, del Reglamento, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. Eurojust documentará en una nota los motivos de la limitación, su fundamento jurídico de conformidad con el artículo 2 y una evaluación de su necesidad y proporcionalidad. La nota se comunicará al SEPD en el momento en que se notifique la violación de datos personales.

2 Cuando dejen de ser aplicables las razones de la limitación, Eurojust comunicará al interesado la violación de los datos personales y le informará de los motivos principales de la limitación, así como de su derecho a presentar una reclamación ante el SEPD.

1 En circunstancias excepcionales, Eurojust podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas con arreglo al artículo 36 del Reglamento. Dichas limitaciones se ajustarán a lo dispuesto en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo .

2 En caso de que Eurojust limite el derecho a la confidencialidad de las comunicaciones electrónicas, deberá informar al interesado, en su respuesta a cualquier solicitud procedente de este, de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el SEPD.

3 Eurojust podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará si dicha acción es justificable caso por caso.

La presente Decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.