Decisión (UE) 2021/1093 del Consejo de 28 de junio de 2021 por la que se establecen normas de aplicación relativas al delegado de protección de datos del Consejo, a la aplicación del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo y a las limitaciones de los derechos de los interesados en el contexto del ejercicio de las funciones del delegado de protección de datos del Consejo, y por la que se deroga la Decisión 2004/644/CE del Consejo

1 La presente Decisión establece normas y procedimientos para la aplicación del Reglamento (UE) 2018/1725 por el Consejo y la Secretaría General del Consejo (SGC) y establece normas de aplicación adicionales relativas al delegado de protección de datos del Consejo (DPD).

2 La presente Decisión establece las normas que deben aplicar el Consejo y la SGC en relación con las funciones del DPD de supervisión, investigación, auditoría o consulta, al informar a los interesados del tratamiento de sus datos personales de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725.

3 La presente Decisión establece las condiciones en las que, en relación con las tareas del DPD de supervisión, investigación, auditoría o consulta, el Consejo y la SGC podrán limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25, apartado 1, letras c), g) y h), de dicho Reglamento.

4 La presente Decisión se aplica al tratamiento de datos personales por el Consejo y la SGC a efectos de las funciones del DPD enumeradas en el artículo 45 del Reglamento (UE) 2018/1725.

A efectos de la presente Decisión, se considerará responsable del tratamiento en el sentido del artículo 3, punto 8, del Reglamento (UE) 2018/1725 al Consejo y a la SGC.

A efectos de la presente Decisión, se entenderá por: 1) «delegado de protección de datos (DPD)»: la persona designada por el secretario general del Consejo en virtud del artículo 43 del Reglamento (UE) 2018/1725; 2) «funciones del DPD»: las funciones a que se refiere el artículo 45 del Reglamento (UE) 2018/1725; 3) «personal de la SGC»: todos los funcionarios de la SGC y cualquier otra persona que se rija por el Estatuto de los funcionarios de la Unión Europea y el régimen aplicable a los otros agentes de la Unión, establecido en el Reglamento (CEE, Euratom, CECA) n.o 259/68 del Consejo (en lo sucesivo, «Estatuto»), o que trabaje para la SGC en virtud de un contrato (por ejemplo, becarios, asesores, contratistas, funcionarios de los Estados miembros en comisión de servicios); 4) «responsable delegado»: el jefe de la dirección general de la SGC u otro servicio que, solo o conjuntamente con otras personas, determine los fines y medios del tratamiento de datos personales en nombre del Consejo o de la SGC en el cumplimiento de la misión de dicha dirección general o servicio; 5) «responsable operativo»: el miembro del personal de la SGC de nivel jerárquico medio o superior designado por el responsable delegado para asistirle en la tarea de garantizar el cumplimiento del Reglamento (UE) 2018/1725 para las operaciones de tratamiento de las que sea responsable y servir de punto de contacto principal con los interesados; 6) «coordinador de la protección de datos»: el miembro del personal de la SGC designado en cada dirección general u otro servicio de la SGC, en consulta con el DPD, para asistir a dicha dirección general o servicio en todos los aspectos de la protección de datos personales y para tratar, como su representante, las cuestiones relativas a la protección de datos en estrecha cooperación con el DPD.

1 El secretario general del Consejo designará al DPD entre el personal de la SGC y lo registrará ante el Supervisor Europeo de Protección de Datos (SEPD), de conformidad con el artículo 43 del Reglamento (UE) 2018/1725.

2 El DPD será designado atendiendo a sus cualidades profesionales y, en particular, sus conocimientos especializados del Derecho y la práctica en materia de protección de datos, así como su capacidad para desempeñar las funciones a que se refiere el artículo 45 del Reglamento (UE) 2018/1725. El DPD tendrá asimismo un buen conocimiento de la SGC, de su estructura y de sus normas y procedimientos administrativos. Para poder desempeñar sus funciones, el DPD quedará liberado de cualquier otra tarea dentro de la SGC.

3 El DPD será designado para un mandato de cinco años, que podrá ser renovado.

4 El DPD y su personal estarán directamente adscritos al secretario o secretaria general del Consejo y responderán directamente ante él o ella.

5 En el desempeño de sus funciones, el DPD actuará de manera independiente y no recibirá instrucción alguna del secretario general del Consejo, de los responsables delegados o de los responsables operativos, ni de ninguna otra persona, en relación con la aplicación interna de las disposiciones del Reglamento (UE) 2018/1725 o su cooperación con el SEPD.

6 El Consejo y la SGC respaldarán al DPD en el desempeño de las funciones mencionadas en el artículo 45 del Reglamento (UE) 2018/1725, facilitando los recursos necesarios para el desempeño de dichas funciones y para que dé acceso a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados.

7 El DPD no podrá ser destituido ni sancionado por desempeñar sus funciones. El DPD solo podrá ser destituido con arreglo a lo dispuesto en el artículo 44, apartado 8, del Reglamento (UE) 2018/1725. Con el fin de obtener el consentimiento del SEPD para dicha destitución con arreglo a dicho artículo, se consultará al SEPD por escrito. Se enviará al DPD una copia de dicho consentimiento.

8 La SGC, en particular los responsables delegados y los responsables operativos, garantizarán que el DPD participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales.

1 El DPD realizará las funciones contempladas en el artículo 45 del Reglamento (UE) 2018/1725. En particular el DPD: a) garantizará la aplicación y ejecución del Reglamento (UE) 2018/1725 por parte del Consejo y la SGC, y realizará un seguimiento del cumplimiento de dicho Reglamento y del marco jurídico aplicable en materia de protección de datos personales; b) asesorará al Secretario General del Consejo, a los responsables delegados y a los responsables operativos en lo relativo a la aplicación de las disposiciones sobre protección de los datos; c) asesorará y ayudará a los responsables delegados y a los responsables operativos al realizar una evaluación de impacto relativa a la protección de datos con arreglo a los artículos 39 y 40 del Reglamento (UE) 2018/1725; d) garantizará que las operaciones de tratamiento no tengan efectos adversos sobre los derechos y las libertades de los interesados; e) sensibilizará sobre el marco jurídico aplicable en materia de protección de datos personales y contribuir a la creación de una cultura de protección de datos personales en la SGC. El DPD podrá ser consultado por el Secretario General, por los responsables del tratamiento de que se trate, por el Comité de Personal y por cualquier particular, sin seguir los conductos oficiales, con relación a cualquier asunto que se refiera a la aplicación o ejecución del Reglamento (UE) 2018/1725.

2 El DPD llevará un registro de las actividades de tratamiento que será accesible al público, de conformidad con el artículo 12.

3 El DPD llevará un registro interno de las violaciones de la seguridad de los datos personales en el sentido del artículo 3, punto 16, del Reglamento (UE) 2018/1725.

4 El DPD asesorará al responsable delegado, cuando así se le solicite, en relación con el recurso a una limitación de la aplicación de los artículos 14 a 22, 35 y 36, así como del artículo 4 del Reglamento (UE) 2018/1725.

5 El DPD organizará y presidirá reuniones periódicas de los coordinadores de la protección de datos.

6 El DPD presentará al Secretario General del Consejo un informe anual de actividad, que también pondrá a disposición del personal de la SGC.

7 El DPD cooperará con los delegados de protección de datos designados por las demás instituciones y organismos de la Unión, y asistirá periódicamente a reuniones convocadas por el SEPD o los delegados de protección de datos de las demás instituciones y organismos de la Unión con objeto de facilitar la cooperación, en particular mediante el intercambio de experiencia y mejores prácticas.

8 El DPD será considerado el responsable delegado para las operaciones de tratamiento desarrolladas en el ejercicio de sus tareas.

En el ejercicio de sus funciones y obligaciones, el DPD: a) tendrá acceso en todo momento a los datos objeto de las operaciones de tratamiento y a todos los locales, instalaciones de tratamiento de datos y soportes de datos; b) podrá solicitar dictámenes jurídicos al Servicio Jurídico del Consejo; c) podrá solicitar otras formas de apoyo de las direcciones generales y los servicios pertinentes de la SGC; d) podrá asignar expedientes a las direcciones generales y servicios de la SGC de que se trate para que lleven a cabo un seguimiento adecuado; e) podrá llevar a cabo investigaciones, previa solicitud o por iniciativa propia, de asuntos e incidentes directamente relacionados con el ejercicio de sus funciones de conformidad con el procedimiento establecido en el artículo 14; f) podrá proponer medidas administrativas al Secretario General del Consejo y emitir recomendaciones generales sobre la correcta aplicación del Reglamento (UE) 2018/1725; g) podrá formular recomendaciones a la SGC, a los responsables delegados y a los responsables operativos para la mejora práctica de la aplicación del Reglamento (UE) 2018/1725, entre lo que se incluye: i) instar al responsable delegado o al encargado del tratamiento a que atiendan la solicitud de un interesado en ejercicio de sus derechos en virtud del Reglamento (UE) 2018/1725, ii) formular advertencias al responsable delegado o al encargado del tratamiento cuando una operación de tratamiento de datos infrinja las disposiciones del Reglamento (UE) 2018/1725 y pedirles que aseguren su conformidad, cuando proceda, de una determinada manera y dentro de un plazo dado, iii) instar al responsable delegado o al encargado del tratamiento a que suspenda los flujos de datos hacia un destinatario en un Estado miembro, un tercer país o una organización internacional, iv) solicitar al responsable delegado o al encargado del tratamiento que le notifiquen, en un plazo determinado, el curso dado a su recomendación o consejo; h) podrá solicitar los servicios de expertos externos en tecnologías de la información y las comunicaciones previo acuerdo del ordenador de pagos, de conformidad con el Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo ; i) será invitado a las comisiones y los comités de la SGC pertinentes cuando se debatan cuestiones relacionadas con el procesamiento de datos personales, y podrá proponer puntos pertinentes en el orden del día de dichas comisiones y comités; j) podrá señalar a la autoridad facultada para proceder a los nombramientos de la SGC cualquier incumplimiento por parte de un miembro del personal de la SGC de las obligaciones que impone el Reglamento (UE) 2018/1725, y sugerir que se emprenda una investigación administrativa con vistas a la eventual aplicación de las sanciones contempladas en el artículo 69 de dicho Reglamento; k) será competente de las decisiones iniciales sobre las solicitudes de acceso a los documentos que obren en su poder en virtud del Reglamento (CE) n.o 1049/2001, en consulta con los servicios pertinentes de la SGC.

1 Los responsables del tratamiento contarán con la participación del DPD en la planificación y debate de toda actividad que implique el tratamiento de datos personales. Se informará al DPD sobre cualquier operación de tratamiento, así como sobre cualquier cambio sustancial de una operación de procesamiento en curso.

2 Se informará al DPD sobre los proyectos de notas internas y decisiones de la SGC que guarden una relación directa con la aplicación interna del Reglamento (UE) 2018/1725.

3 Se informará al DPD sobre cualquier contacto con agentes externos relacionados con la aplicación interna del Reglamento (UE) 2018/1725, así como sobre cualquier interacción con el SEPD, en concreto cuando se consulte o informe al SEPD conforme a lo dispuesto en los artículos 40 y 41 de dicho Reglamento.

4 Se consultará al DPD en materia de proyectos de acuerdos entre corresponsables del tratamiento y en materia de proyectos de cláusulas contractuales u otros actos jurídicos relacionados con la protección de datos cuando los datos personales sean tratados por un encargado de tratamiento.

1 Incumbirá a los responsables delegados de garantizar que todas las operaciones de tratamiento bajo su control cumplan con el Reglamento (UE) 2018/1725.

2 En particular, los responsables delegados: a) designarán un responsable operativo que les asista en la garantía del cumplimiento del Reglamento (UE) 2018/1725, en particular con respecto a los interesados; b) mantendrán los registros de las actividades de tratamiento bajo su responsabilidad y garantizarán que el responsable operativo transmita los registros y la declaración de confidencialidad aneja al DPD para su inclusión en el registro a que se refiere el artículo 12; c) se responsabilizarán de las actividades de los encargados y subencargados que tratan datos personales en su nombre, y garantizarán que el tratamiento se rija por un contrato u otro acto jurídico de conformidad con el artículo 29, apartado 3, del Reglamento (UE) 2018/1725.

3 Los responsables delegados garantizarán que el DPD participe de forma oportuna en todas las cuestiones relacionadas con datos personales y adoptarán las disposiciones apropiadas para garantizar que el coordinador de la protección de datos participe adecuadamente en todos los asuntos que atañan a la protección de datos en su dirección general u otro servicio de la SGC.

4 Los responsables delegados garantizarán que se adopten las medidas técnicas y organizativas apropiadas a fin de poder demostrar que las actividades de tratamiento cumplen con el Reglamento (UE) 2018/1725, y darán al personal de la SGC las instrucciones oportunas para garantizar tanto la confidencialidad del tratamiento como un nivel de seguridad adecuado a los riesgos que implique el tratamiento. Podrán consultar al DPD para seleccionar estas medidas.

5 Los responsables delegados informarán al DPD sobre la tramitación de cualquier solicitud recibida de un interesado en ejercicio de sus derechos, y asistirán al DPD y al SEPD en el ejercicio de sus respectivas obligaciones, en particular, facilitando la información que se les solicite en un plazo de 30 días.

6 Incumbirá a los responsables delegados la limitación de la aplicación de los artículos 14 a 22, 35 y 36 del Reglamento (UE) 2018/1725 así como del artículo 4 de dicho Reglamento, con arreglo a las normas internas pertinentes. Los responsables delegados contarán con la participación del DPD a lo largo de todo el procedimiento al aplicar dicha limitación.

7 Los responsables delegados garantizarán que existan acuerdos internos con otras direcciones generales o servicios de la SGC, cuando el responsable delegado realice operaciones de tratamiento conjuntas con esas direcciones generales o servicios de la SGC o cuando estos realicen una parte de la operación de tratamiento del responsable delegado. Los acuerdos a que se refiere el párrafo primero determinarán las responsabilidades respectivas de los responsables delegados y de otras direcciones generales o servicios de la SGC en el cumplimiento de sus obligaciones en materia de protección de datos. En particular, dichos acuerdos indicarán el responsable delegado que determinará los medios y fines de la operación de tratamiento, así como el responsable operativo de la operación de tratamiento y, en su caso, las personas o entidades que asistirán al responsable operativo, entre otras cosas, con información en caso de violación de datos o adecuación de los derechos de los interesados.

1 Los responsables operativos ayudarán al responsable delegado a garantizar el cumplimiento del Reglamento (UE) 2018/1725 para las operaciones de tratamiento de las que sea responsable, y servirá de punto de contacto principal de los interesados.

2 En particular, los responsables operativos: a) recibirán y tramitarán todas las solicitudes de los interesados; b) prepararán los registros de las actividades de tratamiento bajo su responsabilidad y la correspondiente declaración de privacidad en consulta con el coordinador de la protección de datos; c) garantizarán que los contratos u otros actos jurídicos que rigen el tratamiento de datos personales por parte de un encargado del tratamiento cumplan con lo dispuesto en el Reglamento (UE) 2018/1725, y consultarán al DPD en relación con proyectos de cláusulas contractuales relacionados con la protección de datos; d) garantizarán que se disponga de documentación para demostrar el cumplimiento del Reglamento (UE) 2018/1725.

3 Los responsables operativos informarán al DPD sin dilación indebida en caso de violaciones de la seguridad de los datos personales, y le facilitarán toda la información necesaria que les permita garantizar que el Consejo cumpla con las obligaciones en materia de violaciones de la seguridad de los datos personales con arreglo a los artículos 34 y 35 del Reglamento (UE) 2018/1725.

4 Los responsables operativos se coordinarán con el responsable delegado y el DPD para notificar al SEPD en caso de violaciones de la seguridad de los datos personales, cuando proceda. Informarán asimismo a los interesados, cuando proceda.

5 Los responsables operativos garantizarán que el coordinador de la protección de datos esté informado en todo momento de todo asunto relacionado con la protección de los datos personales.

6 Los responsables operativos evaluarán el riesgo para los derechos y libertades de los interesados en relación con las operaciones de tratamiento de las que son responsables, y, en su caso, realizarán una evaluación de impacto de protección de datos personales. Los responsables operativos recabarán el asesoramiento del DPD al elaborar dichas evaluaciones de impacto y en relación con la necesidad de realizar consultas previas con arreglo a los artículos 39 y 40 del Reglamento (UE) 2018/1725.

7 A solicitud del responsable delegado, los responsables operativos desempeñarán cualquier otra función dentro del ámbito de aplicación de la presente Decisión.

1 Cada dirección general u otro servicio de la SGC para la designará, en consulta con el DPD, uno o más coordinadores de la protección de datos para asistir al responsable delegado y a los responsables operativos en su dirección general u otro servicio de la SGC en todos los aspectos de la protección de datos personales.

2 Los coordinadores de la protección de datos se elegirán sobre la base de sus conocimientos y experiencia en el funcionamiento de la dirección general u otro servicio de la SGC respectivo, la adecuación para el ejercicio de la función, las competencias relacionadas con la protección de datos, el conocimiento de los principios de los sistemas de información y la capacidad de comunicación. Los coordinadores de la protección de datos de reciente nombramiento recibirán formación con el objeto de adquirir las competencias necesarias para el ejercicio de sus funciones en el plazo de seis meses desde la fecha de su designación. Cualquier coordinador de la protección de datos que haya trabajado previamente como persona de contacto en otra dirección general u otro servicio de la SGC en los dos años previos a su nombramiento estará exento de tal requisito de formación.

3 La función de coordinador de la protección de datos formará parte de la descripción del puesto de trabajo de cada miembro del personal de la SGC designado como persona de contacto. En el informe de evaluación anual se hará referencia a sus responsabilidades y resultados.

4 Los coordinadores de la protección de datos participarán de manera adecuada y oportuna en todas las cuestiones relacionadas con la protección de datos en su dirección general u otro servicio de la SGC, y cumplirán sus funciones en estrecha colaboración con el DPD.

5 Los coordinadores de la protección de datos tendrán derecho a obtener de los responsables del tratamiento y del personal la información adecuada y necesaria que precisen para el desempeño de sus funciones dentro de su dirección general u otro servicio de la SGC. Esta información no incluirá el acceso a los datos personales tratados bajo la responsabilidad del responsable delegado. Los coordinadores de la protección de datos solo accederán a los datos personales en caso de que los necesiten para el desempeño de su labor.

6 Los coordinadores de la protección de datos realizarán una labor de sensibilización en materia de protección de datos y asistirán a los responsables delegados en el ejercicio de sus obligaciones dentro de su dirección general u otro servicio de la SGC, especialmente en lo referente a: a) la aplicación del Reglamento (UE) 2018/1725; b) la determinación de los responsables operativos y la preparación de registros de operaciones de tratamiento y de las declaraciones de confidencialidad antes de su presentación al DPD; c) la recopilación de una lista de todas las operaciones de tratamiento en curso en la dirección general u otro servicio de la SGC.

7 Los coordinadores de la protección de datos asistirán a los responsables operativos en el ejercicio de sus obligaciones dentro de su dirección general u otro servicio de la SGC, especialmente en lo referente a: a) la preparación de registros de operaciones de tratamiento y las declaraciones de confidencialidad antes de su presentación al DPD; b) la documentación del tratamiento; c) el tratamiento de las solicitudes de los interesados; d) la gestión de las violaciones de la seguridad de los datos.

El personal de la SGC contribuirá a garantizar la aplicación y ejecución del Reglamento (UE) 2018/1725. Ningún miembro del personal de la SGC tendrá acceso a datos personales ni podrá tratarlos si no es bajo instrucciones del responsable delegado o del responsable operativo, a no ser que estén obligados a hacerlo con arreglo al Derecho de la Unión o de un Estado miembro.

1 El DPD mantendrá un registro de las operaciones de tratamiento y garantizará que dicho registro sea accesible a través del sitio web del DPD en la intranet de la SGC y a través del sitio web del Consejo.

2 El responsable operativo notificará al DPD toda operación de tratamiento y remitirá los registros de las actividades de tratamiento y la correspondiente declaración de confidencialidad mediante un formulario disponible en la intranet de la SGC (sección «Protección de datos»). La notificación se transmitirá al DPD electrónicamente. Tras consultar al DPD, el responsable delegado confirmará el registro y la correspondiente declaración de confidencialidad, y el DPD los publicará en el registro.

3 El registro incluirá toda la información especificada en el artículo 31 del Reglamento (UE) 2018/1725. No obstante, la información introducida en el registro por el DPD podrá limitarse excepcionalmente a lo que sea necesario a fin de proteger la seguridad de una operación de tratamiento concreta. El responsable operativo notificará rápidamente al DPD cualquier cambio que afecte a dicha información.

1 Cuando se produzca una violación de la seguridad de los datos personales, el responsable delegado o el responsable operativo pedirá ayuda al coordinador de la protección de datos, informará del incidente sin demora indebida al DPD y le proporcionará toda la información necesaria que le permita garantizar el cumplimiento por el Consejo de la obligación relativa a las notificaciones y comunicaciones sobre violaciones de la seguridad de los datos personales establecida en los artículos 34 y 35 del Reglamento (UE) 2018/1725.

2 El DPD creará y mantendrá un registro interno de violaciones de la seguridad de los datos personales. Los responsables delegados y los responsables operativos facilitarán la información necesaria para su introducción en el registro.

3 Los responsables delegados y los responsables operativos prepararán la notificación al SEPD en consulta con el DPD, a menos que sea improbable que la violación de la seguridad de los datos personales entrañe un riesgo para los derechos y libertades de las personas físicas.

1 El DPD, por iniciativa propia o a petición del responsable delegado, el responsable operativo, el encargado del tratamiento, el Comité de Personal o cualquier particular, podrá investigar las cuestiones y los incidentes relacionados con sus funciones e informar de ello a la persona que solicitó la investigación o al responsable delegado, al responsable operativo o al encargado del tratamiento.

2 Las solicitudes de investigación se dirigirán al DPD por escrito. En caso de abuso manifiesto del derecho a solicitar una investigación, por ejemplo cuando el mismo particular haya hecho una solicitud idéntica poco tiempo antes, el DPD no estará obligado a contestar al solicitante.

3 En el plazo de 15 días a partir de la recepción de una solicitud de investigación, el DPD enviará un acuse de recibo a la persona que realizó la solicitud y verificará si la petición debe tratarse de forma confidencial.

4 El DPD solicitará al responsable delegado al que incumba la operación de tratamiento de datos objeto de la solicitud de la investigación que proporcione un informe en la materia. El responsable delegado responderá al DPD en el plazo de 15 días. El DPD podrá solicitar información complementaria al responsable delegado, al responsable operativo, al encargado del tratamiento o a otros servicios pertinentes de la SGC. Si procede, podrá solicitar un dictamen en la materia al Servicio Jurídico del Consejo. Deberá facilitarse la información o el dictamen solicitados al DPD en el plazo de 30 días.

5 El DPD responderá a la persona que cursó la solicitud de investigación a más tardar tres meses después de su recepción. Dicho plazo podrá suspenderse hasta que el DPD haya obtenido toda la información necesaria que haya pedido.

6 Nadie sufrirá perjuicio alguno por haberse puesto en conocimiento del DPD una presunta infracción del Reglamento (UE) 2018/1725.

1 Los derechos de los interesados establecidos en los artículos 14 a 24 del Reglamento (UE) 2018/1725 solo podrán ser ejercidos por el interesado o por su representante debidamente autorizado.

2 El interesado dirigirá las solicitudes por escrito al responsable operativo, con copia al DPD. En caso necesario, el DPD ayudará al interesado a identificar al responsable operativo de que se trate. La solicitud podrá presentarse en formato electrónico e incluirá: a) nombre y apellidos y datos de contacto del interesado y la fecha de la solicitud; b) una indicación del ejercicio del derecho y, en su caso, documentos justificativos relacionados con la solicitud; c) la categoría o categorías de datos personales de que se trate.

3 El responsable operativo enviará al interesado un acuse de recibo en el plazo de cinco días hábiles a partir del registro de la solicitud. El responsable operativo solicitará cualquier aclaración necesaria en caso de que la solicitud sea poco clara o esté incompleta. El cómputo del plazo aplicable con arreglo al artículo 14, apartados 3 y 4, del Reglamento (UE) 2018/1725 no se iniciará hasta que se faciliten las aclaraciones necesarias.

4 El responsable operativo verificará la identidad del interesado de conformidad con el artículo 14, apartado 6, del Reglamento (UE) 2018/1725. El cómputo de los plazos aplicables con arreglo al artículo 14, apartados 3 y 4, de dicho Reglamento no se iniciará mientras se verifica la identidad.

5 El responsable operativo dará satisfacción al interesado o indicará por escrito los motivos de la denegación total o parcial, en los plazos establecidos en el artículo 14, apartados 3 y 4, del Reglamento (UE) 2018/1725.

6 En caso de extrema complejidad de la solicitud, irregularidad o abuso evidente por parte del interesado en el ejercicio de sus derechos, cuando sea probable que el tratamiento de una solicitud entrañe un riesgo para los derechos y libertades de otros interesados o cuando el interesado alegue que el tratamiento es ilícito, el responsable operativo consultará al DPD.

En caso de que se presente una reclamación con arreglo al artículo 90 del Estatuto de los funcionarios (en lo sucesivo, «reclamación en virtud del artículo 90») sobre un asunto relacionado con el tratamiento de datos personales, la autoridad facultada para proceder a los nombramientos consultará al DPD. Sin perjuicio de la admisibilidad de la reclamación en virtud del artículo 90, el miembro del personal de la SGC indicará en dicha reclamación en virtud del artículo 90 si se ha presentado en paralelo una reclamación al SEPD. El DPD emitirá su dictamen por escrito a más tardar a los 15 días hábiles de la recepción de la solicitud de la autoridad facultada para proceder a los nombramientos. El dictamen no será requerido en caso de que el DPD no lo hubiera presentado transcurrido dicho plazo. El dictamen del DPD no vinculará a la autoridad facultada para proceder a los nombramientos.

1 En el ejercicio de sus funciones con respecto a los derechos de los interesados de conformidad con el Reglamento (UE) 2018/1725, el Consejo o la SGC examinará si es de aplicación alguna de las excepciones establecidas en dicho Reglamento.

2 Sin perjuicio de lo dispuesto en los artículos 18 a 22 de la presente Decisión, el Consejo o la SGC podrá limitar, de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725, la aplicación de los artículos 14 a 17, 19, 20 y 35 de dicho Reglamento así como el principio de transparencia establecido en su artículo 4, apartado 1, letra a), en la medida en que sus disposiciones se correspondan con los derechos y obligaciones establecidos en los artículos 14 a 17, 19 y 20 de dicho Reglamento, cuando el ejercicio de dichos derechos y obligaciones pueda comprometer el ejercicio de las funciones del DPD, por ejemplo mediante la revelación de sus instrumentos y métodos de investigación o de auditoría, o afectar negativamente a los derechos y libertades de otros interesados.

3 Sin perjuicio de lo dispuesto en los artículos 18 a 22 de la presente Decisión, el Consejo o la SGC podrá limitar los derechos y obligaciones a que se refiere el apartado 2 del presente artículo en relación con los datos personales obtenidos por el DPD de direcciones generales o servicios de la SGC u otras instituciones y organismos de la Unión. El Consejo o la SGC podrá proceder de este modo cuando el ejercicio de esos derechos y obligaciones pueda ser limitado por dichas direcciones generales o servicios de la SGC u otras instituciones u organismos sobre la base de otros actos establecidos en el artículo 25 del Reglamento (UE) 2018/1725, de conformidad con el capítulo IX de dicho Reglamento o de conformidad con el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo o el Reglamento (UE) 2017/1939 del Consejo . Antes de aplicar limitaciones en las circunstancias a que se refiere el párrafo primero, el Consejo o la SGC consultará a la institución u organismo de la Unión pertinente, a menos que resulte evidente que la aplicación de una limitación está establecida en uno de los actos a que se hace referencia en dicho párrafo.

4 Toda limitación de los derechos y obligaciones a que se refiere el apartado 2 será necesaria y proporcionada, teniendo en cuenta los riesgos para los derechos y libertades de los interesados.

1 La SGC publicará en el sitio web del Consejo anuncios de protección de datos que informen a todos los interesados sobre las funciones del DPD que impliquen el tratamiento de sus datos personales.

2 La SGC informará individualmente, en un formato apropiado, a cualquier persona física que considere persona interesada por las funciones del DPD.

3 Cuando la SGC limite, total o parcialmente, el suministro de información a los interesados a que se refiere el apartado 2 del presente artículo, consignará y registrará los motivos de la limitación, de conformidad con el artículo 21.

1 Cuando el Consejo o la SGC limite, total o parcialmente, el derecho de acceso a los datos personales por parte de los interesados, el derecho de supresión o el derecho a la limitación del tratamiento a que se refieren los artículos 17, 19 y 20, respectivamente, del Reglamento (UE) 2018/1725, informará al interesado, en su respuesta a una solicitud de acceso, supresión o limitación del tratamiento, de la limitación aplicada y de los motivos principales para ello, así como de la posibilidad de presentar una reclamación ante el SEPD o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

2 La comunicación de información sobre los motivos de la limitación a que se refiere el apartado 1 podrá aplazarse, omitirse o denegarse en la medida en que ponga en peligro la finalidad de la limitación. El Consejo facilitará la información al interesado tan pronto como dicha información deje de socavar tal finalidad.

3 La SGC consignará y registrará los motivos de la limitación conforme a lo dispuesto en el artículo 21.

Cuando el Consejo o la SGC limite la comunicación de una violación de la seguridad de los datos personales al interesado a que se refiere el artículo 35 del Reglamento (UE) 2018/1725, la SGC consignará y registrará los motivos de la limitación conforme a lo dispuesto en el artículo 21 de la presente Decisión.

1 La SGC consignará los motivos de cualquier limitación aplicada con arreglo a la presente Decisión, incluida una evaluación caso por caso de la necesidad y proporcionalidad de la limitación, teniendo en cuenta los elementos pertinentes del artículo 25, apartado 2, del Reglamento (UE) 2018/1725. El registro indicará a tal efecto la forma en que el ejercicio de cualesquiera de los derechos a que se refieren los artículos 14 a 17, 19, 20 y 35 de dicho Reglamento, o del principio de transparencia establecido en su artículo 4, apartado 1, letra a), comprometería las actividades del DPD en virtud de la presente Decisión o las limitaciones aplicadas de conformidad con su artículo 17, apartados 2 o 3, o afectaría negativamente a los derechos y libertades de otros interesados.

2 Se consignará el registro y, en su caso, los documentos que contengan elementos subyacentes de hecho y de derecho. Se pondrán a disposición del SEPD, previa petición.

1 Las limitaciones a que se refieren los artículos 18, 19 y 20 seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen.

2 Cuando los motivos de limitación a que se refieren los artículos 18 y 20 dejen de ser aplicables, la SGC levantará la limitación y comunicará los motivos de la limitación al interesado. Al mismo tiempo, la SGC informará al interesado de la posibilidad de presentar una reclamación ante el SEPD en cualquier momento o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

3 La SGC revisará la aplicación de las limitaciones contempladas en los artículos 18 y 20 cada seis meses después de la fecha de su adopción y, en cualquier caso, al concluir la actividad pertinente del DPD. Tras su conclusión, la SGC supervisará anualmente la necesidad de mantener cualquier limitación o aplazamiento.

1 Cuando otras direcciones generales o servicios de la SGC concluyan que los derechos de un interesado deben limitarse en virtud de la presente Decisión, informarán al DPD. También facilitarán al DPD acceso al registro y a cualquier documento que contenga elementos subyacentes de hecho y de derecho. La participación del DPD en la aplicación de las limitaciones se documentará detalladamente.

2 El DPD podrá solicitar que el responsable delegado de que se trate revise la aplicación de las limitaciones. El responsable delegado de que se trate informará por escrito al DPD del resultado de la revisión solicitada.

Queda derogada la Decisión 2004/644/CE.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.