Decisión (UE) 2021/1486 del Banco Central Europeo de 7 de septiembre de 2021 por la que se adoptan normas internas sobre la limitación de los derechos de los interesados relacionada con las funciones del Banco Central Europeo respecto de la supervisión prudencial de las entidades de crédito (BCE/2021/42)

1 La presente Decisión regula la limitación de los derechos de los interesados por el BCE cuando, en el ejercicio de sus funciones de supervisión, lleva a cabo actividades de tratamiento de datos personales registradas en el registro central en virtud del Reglamento (UE) n.o 1024/2013.

2 Los derechos de los interesados que pueden ser objeto de limitación se especifican en los artículos siguientes del Reglamento (UE) 2018/1725: a) artículo 14 (transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado); b) artículo 15 (información que debe facilitarse cuando los datos personales se obtengan del interesado); c) artículo 16 (información que debe facilitarse cuando los datos personales no se hayan obtenido del interesado); d) artículo 17 (derecho de acceso del interesado); e) artículo 18 (derecho de rectificación); f) artículo 19 [derecho de supresión («derecho al olvido»)]; g) artículo 20 (derecho a la limitación del tratamiento); h) artículo 21 (obligación de notificación relativa a la rectificación o supresión de datos personales o a la limitación del tratamiento); i) artículo 22 (derecho a la portabilidad de los datos); j) artículo 35 (comunicación de una violación de la seguridad de los datos personales al interesado); k) artículo 36 (confidencialidad de las comunicaciones electrónicas); l) artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 22 del Reglamento (UE) 2018/1725.

A efectos de la presente Decisión, se entenderá por: 1) «tratamiento»: el definido en el artículo 3, punto 3, del Reglamento (UE) 2018/1725; 2) «datos personales»: los definidos en el artículo 3, punto 1, del Reglamento (UE) 2018/1725; 3) «interesado»: una persona física identificada o identificable; es identificable la persona cuya identidad pueda determinarse directa o indirectamente, en particular mediante identificadores tales como un nombre, un número de identificación, unos datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de esa persona física; 4) «registro central»: el archivo público que lleva el RPD del BCE de todas las actividades de tratamiento de datos personales efectuadas en él, conforme establece el artículo 9 de la Decisión (UE) 2020/655 (BCE/2020/28); 5) «responsable del tratamiento de datos»: el BCE y, en particular, su unidad organizativa pertinente que sola o juntamente con otras determina los fines y medios del tratamiento de datos personales y que responde de la operación de tratamiento; 6) «instituciones y organismos de la Unión»: las instituciones y organismos a que se refiere el artículo 3, punto 10, del Reglamento (UE) 2018/1725.

1 El responsable del tratamiento de datos podrá limitar los derechos a que se refiere el artículo 1, apartado 2, para salvaguardar los intereses y objetivos mencionados en el artículo 25, apartado 1, del Reglamento (UE) 2018/1725, en particular cuando el ejercicio de esos derechos suponga un peligro o un perjuicio de otra clase para: a) el desempeño de las funciones de supervisión del BCE con arreglo al Reglamento (UE) n.o 1024/2013, incluido el correcto funcionamiento del sistema de supervisión; b) la seguridad y solidez de las entidades de crédito y la estabilidad del sistema financiero dentro de la Unión y de cada Estado miembro; c) la eficacia de la denuncia de infracciones de acuerdo con el artículo 23 del Reglamento (UE) n.o 1024/2013.

2 Para salvaguardar los intereses y objetivos mencionados en el artículo 25, apartado 1, del Reglamento (UE) 2018/1725, el responsable del tratamiento de datos podrá limitar los derechos a que se refiere el artículo 1, apartado 2, respecto de los datos personales obtenidos de otras instituciones y organismos de la Unión y autoridades competentes de los Estados miembros o terceros países u organizaciones internacionales, en cualquiera de los supuestos siguientes: a) cuando el ejercicio de esos derechos pueda limitarse por otras instituciones y organismos de la Unión, de los cuales se hayan obtenido los datos personales, en virtud de otros actos previstos en el artículo 25 del Reglamento (UE) 2018/1725 o conforme al capítulo IX de dicho Reglamento o a los actos fundacionales de otras instituciones y organismos de la Unión; b) cuando el ejercicio de esos derechos pueda limitarse por las autoridades competentes de los Estados miembros, de las cuales se hayan obtenido los datos personales, en virtud de los actos previstos en el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo , o conforme a las medidas nacionales de trasposición del apartado 3 de los artículos 13, 15 o 16, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo ; c) cuando el ejercicio de esos derechos pueda suponer un peligro o un perjuicio de otra clase para la cooperación del BCE, en el desempeño de sus funciones, con terceros países u organizaciones internacionales, de los cuales se haya obtenido la información, salvo que los intereses o los derechos y libertades fundamentales de los interesados prevalezcan sobre el interés del BCE en la cooperación.

3 Antes de aplicar una limitación en los supuestos del apartado 2, letras a) y b), el responsable del tratamiento de datos: a) tomará nota de los acuerdos concluidos con las instituciones y organismos pertinentes de la Unión o con las autoridades competentes de los Estados miembros, y b) consultará a las instituciones y organismos pertinentes de la Unión o a las autoridades competentes de los Estados miembros salvo que considere que la aplicación de esa limitación está claramente prevista en uno de los actos o medidas a que se refiere el apartado 2, letras a) y b).

4 El responsable del tratamiento de datos solo podrá aplicar una limitación cuando, tras evaluar cada caso, concluya que la limitación: a) es necesaria y proporcionada teniendo en cuenta los riesgos para los derechos y libertades del interesado, y b) respeta en lo esencial los derechos y libertades fundamentales de una sociedad democrática.

5 El responsable del tratamiento de datos documentará su evaluación en una nota interna en la que mencionará el fundamento jurídico de la limitación y sus causas, los derechos de los interesados que se limitan, los interesados afectados, la necesidad y proporcionalidad de la limitación y su probable duración.

6 La decisión por la que el responsable del tratamiento de datos limite los derechos del interesado conforme a esta decisión se tomará al nivel del jefe o subjefe del departamento pertinente en el que se lleve a cabo la operación principal de tratamiento de los datos personales.

1 Para el tratamiento con fines de investigación científica o histórica o fines estadísticos, el responsable del tratamiento de datos podrá aplicar excepciones de acuerdo con el artículo 25, apartado 3, del Reglamento (UE) 2018/1725. Para ello, podrá suspender los derechos a que se refieren los artículos 17, 18, 20 y 23 de dicho Reglamento, con arreglo a las condiciones de su artículo 25, apartado 3.

2 Para el tratamiento con fines de archivo de interés público, el responsable del tratamiento de datos podrá aplicar excepciones de acuerdo con el artículo 25, apartado 4, del Reglamento (UE) 2018/1725. Para ello, podrá suspender los derechos a que se refieren los artículos 17, 18, 20, 21, 22 y 23 de dicho Reglamento, de acuerdo con las condiciones de su artículo 25, apartado 4.

3 Dichas excepciones se someterán a garantías adecuadas conforme al artículo 13 del Reglamento (UE) 2018/1725 y al artículo 8 de la presente Decisión.

El responsable del tratamiento de datos proporcionará información general sobre la posible limitación de los derechos de los interesados, para lo cual: a) especificará los derechos que pueden limitarse y las causas y posible duración de la limitación; b) incluirá la información de la letra a) en sus avisos y declaraciones de protección de datos y en el registro de las actividades de tratamiento conforme al artículo 31 del Reglamento (UE) 2018/1725.

1 Cuando el responsable del tratamiento de datos limite total o parcialmente los derechos de acceso, rectificación, supresión o limitación del tratamiento, a que se refieren, respectivamente, el artículo 17, el artículo 18, el artículo 19, apartado 1, y el artículo 20, apartado 1, del Reglamento (UE) 2018/1725, informará al interesado, en el plazo establecido en el artículo 11, apartado 5, de la Decisión (UE) 2020/655 (BCE/2020/28), en su respuesta escrita a la solicitud, de la limitación aplicada, de sus motivos principales, y de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o recurrir al Tribunal de Justicia de la Unión Europea.

2 El responsable del tratamiento de datos conservará la nota interna de evaluación a que se refiere el artículo 3, apartado 5, y, en su caso, los documentos que contengan los fundamentos de hecho y de derecho, y presentará esta información al Supervisor Europeo de Protección de Datos si la solicita.

3 El responsable del tratamiento de datos podrá retrasar, omitir o denegar la presentación de información sobre los motivos de la limitación a que se refiere el apartado 1 siempre que la presentación de esa información socave el propósito de la limitación. El responsable del tratamiento de datos presentará esa información al interesado en el momento en que considere que hacerlo no socava ya el propósito de la limitación.

1 El responsable del tratamiento de datos levantará la limitación aplicada en cuanto dejen de darse las circunstancias que la justificaron.

2 Cuando levante una limitación conforme al apartado 1, el responsable del tratamiento de datos deberá, sin demora: a) si no lo hubiera hecho ya, informar al interesado de los motivos principales en que se basó la aplicación de la limitación; b) informar al interesado de su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos o recurrir al Tribunal de Justicia de la Unión Europea; c) conceder al interesado el derecho objeto de la limitación levantada.

3 El responsable del tratamiento de datos revisará cada seis meses la necesidad de mantener una limitación aplicada conforme a la presente Decisión, y documentará su revisión en una nota interna de evaluación.

El BCE aplicará las garantías organizativas y técnicas del anexo a fin de prevenir abusos o accesos o transmisiones indebidos.

1 Cuando limite los derechos de un interesado, el responsable del tratamiento de datos involucrará en todo momento al RPD. En particular: a) el responsable del tratamiento de datos consultará al RPD sin demoras indebidas; b) a petición del RPD, el responsable del tratamiento de datos le dará acceso a los documentos que contengan los fundamentos de hecho y de derecho, incluida la nota interna de evaluación a que se refiere el artículo 3, apartado 5; c) el responsable del tratamiento de datos documentará la participación del RPD, haciendo constar a qué información se le dio acceso y, en particular, la fecha de la primera consulta a que se refiere la letra a); d) el RPD podrá solicitar al responsable del tratamiento de datos que revise la limitación; e) el responsable del tratamiento de datos informará por escrito al RPD del resultado de la revisión solicitada, sin demoras indebidas y, en todo caso, antes de aplicar la limitación.

2 El responsable del tratamiento de datos informará al RPD cuando se levante la limitación.

La presente Decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.