Decisión de la Defensora del Pueblo Europeo de 9 de noviembre de 2020 sobre el reglamento interno para limitar determinados derechos de los interesados en el tratamiento de sus datos personales

1 La presente Decisión establece normas relativas a las condiciones en las que el Defensor del Pueblo Europeo puede limitar la aplicación de los artículos 4, 14 a 22, 35 y 36, de conformidad con el artículo 25 del Reglamento.

2 La Oficina del Defensor del Pueblo Europeo, en su calidad de responsable, está representada por el Defensor del Pueblo Europeo.

1 El Defensor del Pueblo Europeo podrá limitar la aplicación de los artículos 14 a 22, 35 y 36, así como de su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20: a) con arreglo al artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento, al llevar a cabo una investigación administrativa o un procedimiento predisciplinario, disciplinario o de suspensión con arreglo al artículo 86 y el anexo IX del Estatuto de los funcionarios y la Decisión del Defensor del Pueblo Europeo de 4 de noviembre de 2004 relativa la realización de investigaciones administrativas y procedimientos disciplinarios, y cuando se notifiquen casos a la OLAF; b) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que los miembros del personal del Defensor del Pueblo Europeo puedan denunciar hechos de forma confidencial cuando consideren que existen graves irregularidades, tal como se establece en la Decisión del Defensor del Pueblo Europeo de 20 de febrero de 2015 relativa a las normas internas en materia de denuncia de prácticas corruptas; c) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que los miembros del personal del Defensor del Pueblo Europeo pueden informar a los corresponsales de ética o el Comité de Conciliación en el contexto de un procedimiento de acoso, según su definición en la Decisión del Defensor del Pueblo Europeo sobre una política de prevención y protección del acoso en la Oficina del Defensor del Pueblo Europeo; d) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando lleve a cabo auditorías internas en relación con actividades o departamentos del Defensor del Pueblo Europeo; e) de conformidad con el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento, cuando preste asistencia a otras instituciones, órganos y organismos de la Unión, cuando reciba asistencia de dichas instituciones, órganos y organismos o cuando coopere con ellos en el contexto de las actividades contempladas en las letras a) a d) del presente apartado y con arreglo a los acuerdos de nivel servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes; f) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando preste asistencia a las autoridades nacionales y organizaciones internacionales de terceros países, cuando reciba asistencia de dichas autoridades y organizaciones o cuando coopere con estas, a petición de estas o por iniciativa propia; g) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando preste asistencia a las autoridades públicas de los Estados miembros de la UE, cuando reciba asistencia de dichas autoridades o cuando coopere con estas, ya sea a petición suya o por iniciativa propia; h) de conformidad con el artículo 25, apartado 1, letra e), del Reglamento, cuando se traten datos personales en documentos obtenidos por las partes o partes coadyuvantes en el contexto de un procedimiento sometido al Tribunal de Justicia de la Unión Europea; i) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, cuando se lleven a cabo investigaciones sobre presuntos supuestos de mala administración en la acción de las instituciones u órganos de la Unión, de conformidad con el artículo 228 del Tratado de Funcionamiento de la Unión Europea y el Estatuto del Defensor del Pueblo Europeo y las disposiciones de aplicación.

2 Cualquier limitación respetará la esencia de los derechos y libertades fundamentales y será necesaria y proporcionada en una sociedad democrática.

3 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones. Las limitaciones se acotarán a lo estrictamente necesario para alcanzar su objetivo.

4 A efectos de rendición de cuentas, el Defensor del Pueblo Europeo elaborará un registro en el que se describirán los motivos de las limitaciones aplicadas, los fundamentos enumerados en el apartado 1 que se aplican y el resultado de la prueba de necesidad y proporcionalidad. Dichos elementos formarán parte de un registro, que se pondrá a disposición del SEPD a petición suya. El Defensor del Pueblo Europeo elaborará informes periódicos sobre la aplicación del artículo 25 del Reglamento.

5 Al tratar los datos personales procedentes de otras organizaciones en el contexto de sus funciones, el Defensor del Pueblo Europeo consultará a dichas organizaciones sobre los posibles motivos de imposición de limitaciones y sobre la necesidad y proporcionalidad de las limitaciones de que se trate, a menos que ello ponga en peligro las actividades del Defensor del Pueblo Europeo.

1 Las evaluaciones de los riesgos para los derechos y libertades de las personas interesadas que supongan la aplicación de limitaciones y los detalles sobre el período de aplicación de dichas limitaciones se harán constar en el registro de actividades de tratamiento mantenido por el Defensor del Pueblo Europeo en virtud del artículo 31 del Reglamento. También se harán constar en todas las evaluaciones de impacto de protección de datos relativas a dichas limitaciones llevadas a cabo con arreglo al artículo 39 del Reglamento.

2 Siempre que el Defensor del Pueblo Europeo evalúe la necesidad y proporcionalidad de una limitación, tendrá en cuenta los posibles riesgos para los derechos y libertades de la persona interesada.

1 El Defensor del Pueblo Europeo aplicará garantías para evitar los abusos y el acceso o la transferencia ilícitos de datos personales respecto de los cuales se apliquen o puedan aplicarse limitaciones. Tales garantías incluirán medidas técnicas y organizativas y quedarán detalladas, en caso necesario, en las decisiones, procedimientos y normas de ejecución internos del Defensor del Pueblo Europeo. Estas garantías incluirán: a) una definición clara de las funciones, responsabilidades y etapas del procedimiento; b) en su caso, un entorno electrónico seguro que impida el acceso o la transferencia ilícitos y accidentales de datos electrónicos a personas no autorizadas; c) en su caso, un almacenamiento y tratamiento seguros de los documentos en soporte papel; d) la debida supervisión de las limitaciones y la revisión periódica de su aplicación. Las revisiones mencionadas en la letra d) se llevarán a cabo al menos cada seis meses.

2 Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hubieran justificado.

3 Los datos personales se conservarán de conformidad con las normas de conservación aplicables del Defensor del Pueblo Europeo, que se definirán en los registros de protección de datos mantenidos en virtud del artículo 31 del Reglamento. Al final del período de conservación, los datos personales se suprimirán, se anonimizarán o se transferirán a los archivos de conformidad con el artículo 13 del Reglamento.

1 Se informará sin demora al DPD del Defensor del Pueblo Europeo cuando los derechos de las personas interesadas estén limitados de conformidad con la presente Decisión. Se dará acceso a los registros correspondientes y a todos los documentos relativos al contexto fáctico o jurídico.

2 El DPD del Defensor del Pueblo Europeo podrá solicitar que se revisen las limitaciones aplicadas. El Defensor informará por escrito a su DPD del resultado de la revisión.

3 El Defensor del Pueblo Europeo documentará la participación del DPD en la aplicación de las limitaciones, incluida la información que se comparta con él.

1 El Defensor del Pueblo Europeo incluirá una sección en los anuncios de protección de datos publicados en su sitio web que proporcione información general a las personas interesadas sobre la posible limitación de sus derechos, de conformidad con el artículo 2, apartado 1. La información cubrirá los derechos que puedan ser objeto de limitaciones, los motivos por los que pueden aplicarse las limitaciones y su posible duración.

2 El Defensor del Pueblo Europeo informará a las personas interesadas individualmente, por escrito y sin demora injustificada de las limitaciones en curso o futuras de sus derechos. El Defensor informará a la persona interesada de los motivos principales en los que se fundamenta la limitación aplicada, de su derecho a consultar al DPD con el fin de impugnar la limitación y de sus derechos a presentar una reclamación ante el SEPD.

3 El Defensor del Pueblo Europeo podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará si dicha acción es justificable caso por caso. Tan pronto como la acción deje de anular el efecto de la limitación, el Defensor del Pueblo Europeo facilitará la información al interesado.

1 Cuando el Defensor del Pueblo Europeo tenga la obligación de comunicar una violación de la seguridad de los datos con arreglo al artículo 35, apartado 1, del Reglamento, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. El Defensor del Pueblo Europeo documentará en una nota los motivos de la limitación, su fundamento jurídico de conformidad con el artículo 2 y una evaluación de su necesidad y proporcionalidad. La nota se comunicará al SEPD en el momento en que se notifique la violación de datos personales.

2 Cuando dejen de ser aplicables las razones de la limitación, el Defensor del Pueblo Europeo comunicará a la persona interesada la violación de la seguridad de los datos personales y le informará de los motivos principales de la limitación, así como de su derecho a presentar una reclamación ante el SEPD.

1 En circunstancias excepcionales, el Defensor del Pueblo Europeo podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas con arreglo al artículo 36 del Reglamento. Dichas limitaciones se ajustarán a lo dispuesto en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo .

2 En caso de que el Defensor del Pueblo Europeo limite el derecho a la confidencialidad de las comunicaciones electrónicas, deberá informar a la persona interesada, en su respuesta a cualquier solicitud procedente de esta, de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el SEPD.

3 El Defensor del Pueblo Europeo podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará caso por caso si dicha acción es justificable. Tan pronto como la acción deje de anular el efecto de la limitación, el Defensor del Pueblo Europeo facilitará la información a la persona interesada.

La presente Decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.