Decisión del Comité Director de la Agencia Ejecutiva del Consejo Europeo de Investigación de 11 de diciembre de 2020 relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco de las actividades llevadas a cabo por la Agencia

1 La presente Decisión establece normas relativas a las condiciones en las que la Agencia Ejecutiva del Consejo Europeo de Investigación (ERCEA) y cualquiera de sus sucesores («Agencia») pueden limitar la aplicación de los artículos 4, 14 a 22, 35 y 36, de conformidad con el artículo 25 del Reglamento.

2 La Agencia, como responsable del tratamiento, está representada por su director, que podrá delegar a su vez la función del responsable.

1 La Agencia podrá limitar la aplicación de los artículos 14 a 22, 35 y 36, así como del artículo 4 del Reglamento, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20.

2 La presente Decisión se aplica al tratamiento de datos personales por parte de la Agencia en el ámbito de su funcionamiento administrativo y operativo: a) con arreglo al artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento, al llevar a cabo una investigación administrativa, incluidas las basadas en reclamaciones externas, alegaciones, investigaciones administrativas o un procedimiento predisciplinario, disciplinario o de suspensión con arreglo al artículo 86 y el anexo IX del Estatuto de los funcionarios y sus normas de desarrollo, investigaciones de seguridad o investigaciones de la OLAF; b) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que los miembros del personal de la Agencia puedan denunciar hechos de forma confidencial cuando consideren que existen graves irregularidades, tal como se establece en las normas internas o las políticas sobre la denuncia de irregularidades; c) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que los miembros del personal de la Agencia puedan comunicarse con sus asesores confidenciales en el contexto de un procedimiento de acoso, según su definición en las normas internas; d) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando lleve a cabo auditorías internas o externas en relación con actividades o con el funcionamiento de la Agencia; e) de conformidad con el artículo 25, apartado 1, letras d) y h), del Reglamento, a la hora de llevar a cabo actividades de análisis de seguridad, incluso las relacionadas con incidentes de ciberseguridad con o un mal uso del sistema informático, gestionadas internamente o con participación externa (por ejemplo, CERT-UE), así como a la hora de garantizar la seguridad interna por medio de videovigilancia, el control del acceso y las necesidades de las investigaciones, proteger los sistemas de comunicación e información y la aplicar contramedidas técnicas de seguridad; f) de conformidad con el artículo 25, apartado 1, letras g) y h), del Reglamento, cuando el delegado de protección de datos (DPD) de la Agencia investigue asuntos relacionados directamente con sus tareas; g) de conformidad con el artículo 25, apartado 1, letras b), g) y h), del Reglamento, en el contexto de investigaciones de la Fiscalía Europea; h) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, cuando los interesados soliciten el acceso a sus datos médicos o su rectificación, incluido si los conserva el Servicio Médico de la Comisión; i) de conformidad con el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento, cuando preste asistencia a otras instituciones, organismos, oficinas y agencias de la Unión, cuando reciba asistencia de dichas instituciones, organismos, oficinas y agencias o cuando coopere con ellos en el contexto de las actividades contempladas en las letras a) a h) del presente apartado y con arreglo a los acuerdos de nivel servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes de su respectivo acto de establecimiento; j) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando preste asistencia a las autoridades nacionales y organizaciones internacionales de terceros países, cuando reciba asistencia de dichas autoridades y organizaciones o cuando coopere con estas, a petición de ellas o por iniciativa propia; k) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando preste asistencia a las autoridades públicas de los Estados miembros de la UE, cuando reciba asistencia de dichas autoridades o cuando coopere con estas, ya sea a petición suya o por iniciativa propia; l) de conformidad con el artículo 25, apartado 1, letra e), del Reglamento, cuando se traten datos personales en documentos obtenidos por las partes o partes coadyuvantes en el contexto de un procedimiento sometido al Tribunal de Justicia de la Unión Europea. A efectos de la presente Decisión, las actividades anteriores incluirán las acciones preparatorias y de seguimiento relacionadas directamente con la misma actividad.

3 Además, la Agencia podrá aplicar limitaciones concretas a los derechos de los interesados mencionados en la presente Decisión en las circunstancias siguientes: a) cuando los servicios de la Comisión u otras instituciones, órganos y organismos de la Unión estén facultados para limitar el ejercicio de los derechos enumerados y el objetivo de dicha limitación impuesta por el servicio, institución, órgano u organismo de que se trate se vería comprometido si la Agencia no aplicara una limitación equivalente respecto de los datos personales en cuestión; b) cuando las autoridades competentes de los Estados miembros estén facultadas para limitar el ejercicio de los derechos enumerados y el objetivo de dicha limitación impuesta por dichas autoridades se vería comprometido si la Agencia no aplicara una limitación equivalente respecto de los datos personales en cuestión; c) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda comprometer la cooperación de la Agencia con terceros países u organizaciones internacionales en el desempeño de sus funciones, a menos que los intereses o los derechos y libertades fundamentales de los interesados prevalezcan sobre esta necesidad de cooperar. Antes de aplicar una limitación en virtud del presente apartado, la Agencia consultará en su caso a los servicios de la Comisión o a la institución, órgano u organismo de la Unión, la organización internacional o las autoridades competentes del Estado miembro pertinentes, a menos que sea evidente que la limitación esté contemplada en uno de los actos jurídicos mencionados anteriormente o que tal consulta comprometa las actividades de la Agencia.

4 Las categorías de datos personales tratados en relación con las actividades antedichas podrán contener datos fácticos objetivos y datos de valoraciones subjetivos.

5 Cualquier limitación respetará la esencia de los derechos y libertades fundamentales y será necesaria y proporcionada en una sociedad democrática.

1 El responsable del tratamiento elaborará un registro de las limitaciones, en el que se describirán los aspectos siguientes: a) las razones de cualquier limitación aplicada en virtud de esta Decisión; b) qué fundamentos resultan de aplicación de entre los enumerados en el artículo 2; c) por qué el ejercicio del derecho supondría un riesgo para el interesado, comprometería la finalidad de las tareas de la Agencia o afectaría negativamente a los derechos y las libertades de otros interesados; d) el resultado de la apreciación de la necesidad y la proporcionalidad de la limitación, teniendo en consideración los elementos pertinentes del artículo 25, apartado 2, del Reglamento.

2 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones. El responsable del tratamiento tendrá en cuenta los posibles riesgos para los derechos y libertades del interesado. Las limitaciones se ceñirán a lo estrictamente necesario para alcanzar su objetivo.

3 Se deberá registrar la limitación y, en su caso, los documentos que contengan los elementos de hecho y de Derecho subyacentes. Estos se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

1 Las evaluaciones de los riesgos para los derechos y libertades de los interesados que supongan la aplicación de limitaciones y los detalles sobre el período de aplicación de dichas limitaciones se harán constar en el registro de actividades de tratamiento mantenido por el responsable del tratamiento en virtud del artículo 31 del Reglamento. También se harán constar en todas las evaluaciones de impacto de protección de datos relativas a las limitaciones llevadas a cabo con arreglo al artículo 39 del Reglamento, en su caso.

2 Cuando el responsable del tratamiento estudie aplicar una limitación, el riesgo para los derechos y las libertades del interesado deberá sopesarse, en particular, con el riesgo para los derechos y las libertades de otros interesados y el riesgo de incidir negativamente en las investigaciones o los procedimientos emprendidos por la Agencia, por ejemplo, por la destrucción de pruebas. Los riesgos para los derechos y las libertades del interesado consisten principalmente, aunque no de manera exclusiva, en riesgos para la reputación y riesgos para el derecho a la defensa y a ser oído.

1 La Agencia instaurará garantías específicas para evitar los abusos y el acceso o la transferencia ilícitos de datos personales respecto de los cuales se apliquen o puedan aplicarse limitaciones. Tales garantías incluirán medidas técnicas y organizativas y quedarán detalladas, en caso necesario, en las decisiones, procedimientos y normas de ejecución internos de la Agencia. Estas garantías incluirán: a) una definición clara de las funciones, responsabilidades y etapas del procedimiento; b) en su caso, un entorno electrónico seguro que impida el acceso o la transferencia ilícitos y accidentales de datos electrónicos a personas no autorizadas; c) en su caso, un almacenamiento y tratamiento seguros de los documentos en soporte papel; d) la garantía del cumplimiento de las obligaciones de confidencialidad por parte de todas las personas que tengan acceso a los datos personales.

2 El plazo de conservación de los datos personales en virtud de una limitación se determinará en el correspondiente registro con arreglo a lo dispuesto en el artículo 31 del Reglamento, teniendo en cuenta la finalidad del tratamiento, e incluirá el marco temporal necesario para el control judicial y administrativo. Al final del período de conservación, los datos personales se suprimirán, se anonimizarán o se transferirán a los archivos de conformidad con el artículo 13 del Reglamento.

1 Las limitaciones a que se refiere el artículo 2 seguirán en vigor mientras los motivos que las justifiquen sigan siendo aplicables.

2 Cuando dejen de ser aplicables las razones de una limitación, el responsable del tratamiento la levantará si el ejercicio del derecho limitado ya no afecta negativamente al procedimiento pertinente ni socava los derechos o las libertades de otros interesados.

3 En caso de que el interesado haya solicitado de nuevo acceso a los datos personales en cuestión, el responsable del tratamiento le facilitará al interesado las principales razones de la limitación. Al mismo tiempo, la Agencia informará al interesado de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

4 La Agencia revisará cada seis meses la aplicación de las limitaciones mencionadas en el artículo 2.

1 El responsable del tratamiento de la Agencia informará al DPD de esta sin demora injustificada de cualquier decisión de limitación de los derechos del interesado de conformidad con la presente Decisión antes de que se adopte, o de cualquier decisión de ampliar la aplicación de la limitación. El responsable del tratamiento proporcionará al DPD acceso a los registros asociados y a cualquier documento relativo al contexto fáctico o jurídico.

2 El DPD podrá solicitar al responsable del tratamiento que revise la aplicación de una limitación. Este notificará por escrito al DPD el resultado de la revisión solicitada.

3 El responsable del tratamiento documentará la participación del DPD en la aplicación de la limitación, incluida la información compartida. Los documentos contemplados en este artículo formarán parte del registro relativo a la limitación y se pondrán a disposición del SEPD a petición suya.

1 El responsable del tratamiento incluirá en los anuncios de protección de datos y los registros previstos en el artículo 31 del Reglamento, publicados en su sitio web y en la intranet, información general sobre la posible limitación de sus derechos, de conformidad con el artículo 2, apartado 2, de la presente Decisión. La información abarcará los derechos y las obligaciones que puedan ser objeto de limitaciones, los motivos por los que pueden aplicarse las limitaciones y su posible duración.

2 El responsable del tratamiento informará a los interesados individualmente, por escrito y sin demora injustificada de las limitaciones en curso o futuras de sus derechos. El responsable del tratamiento informará al interesado de los motivos principales en los que se fundamenta la limitación aplicada, de su derecho a consultar al DPD con el fin de impugnar la limitación y de sus derechos a presentar una reclamación ante el SEPD.

3 El responsable del tratamiento podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación durante el tiempo en que ello deje sin efecto la limitación. La apreciación de esta justificación se realizará de manera individual y el responsable del tratamiento proporcionará la información al interesado tan pronto como tal extremo ya no deje sin efecto la limitación.

1 En casos debidamente justificados y con arreglo a las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho de acceso contemplado en el artículo 17 del Reglamento cuando sea necesario y proporcionado con respecto a las actividades acometidas en virtud de esta Decisión.

2 Cuando los interesados soliciten acceso a sus datos personales tratados en el contexto de una actividad específica mencionada en el artículo 2, apartado 2, de la presente Decisión, la Agencia limitará su respuesta a los datos personales tratados en dicho contexto.

3 Existe la posibilidad de limitar los derechos de los interesados a acceder directamente a los documentos de naturaleza psicológica o psiquiátrica. Mediante estas normas internas no se limitará el acceso indirecto ni el derecho de rectificación y comunicación de una violación de la seguridad de los datos personales. En consecuencia, a petición del interesado, se deberá facilitar el acceso de un médico intermediario a toda la información correspondiente, para que a su discreción pueda decidir qué información se facilita al interesado y de qué manera.

4 Si el responsable del tratamiento limita de forma total o parcial el derecho de acceso a datos personales, según se indica en el artículo 17 del Reglamento, en su respuesta a la solicitud de acceso informará al interesado afectado por escrito de la limitación aplicada y sus principales motivos, así como de la posibilidad de presentar una reclamación ante el SEPD o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

5 La información sobre la limitación de acceso podrá prorrogarse, omitirse o denegarse en caso de que pudiera dejar sin efecto la limitación, con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento.

6 Las limitaciones impuestas en virtud de este artículo se aplicarán de conformidad con la presente Decisión.

1 En casos debidamente justificados y con arreglo a las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho de rectificación, supresión y limitación del tratamiento contemplado en el artículo 18, el artículo 19, apartado 1, y el artículo 20, apartado 1, del Reglamento cuando sea necesario y oportuno con respecto a las actividades acometidas en virtud del artículo 2, apartado 2, de esta Decisión.

2 En relación con los datos médicos, los interesados podrán ejercer el derecho de rectificación de la evaluación o la opinión del Servicio Médico de la Comisión presentando sus comentarios o un informe de un médico de su elección (los comentarios o el informe pertinentes se podrán presentar directamente al Servicio Médico de la Comisión).

3 Las limitaciones impuestas en virtud de este artículo se aplicarán de conformidad con la presente Decisión.

1 Cuando el responsable del tratamiento tenga la obligación de comunicar una violación de la seguridad de los datos con arreglo al artículo 35, apartado 1, del Reglamento, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. El responsable documentará en una nota los motivos de la limitación, su fundamento jurídico de conformidad con el artículo 2 de la presente Decisión y una evaluación de su necesidad y proporcionalidad. La nota se comunicará al SEPD en el momento en que se notifique la violación de datos personales.

2 Cuando dejen de ser aplicables las razones de la limitación, la Agencia comunicará al interesado la violación de la seguridad de los datos personales y le informará de los motivos principales de la limitación, así como de su derecho a presentar una reclamación ante el SEPD.

1 En circunstancias excepcionales, la Agencia podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas recogido en el artículo 36 del Reglamento. Dichas limitaciones se ajustarán a lo dispuesto en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo .

2 Sin perjuicio de lo estipulado en el artículo 8, apartado 3, en caso de que la Agencia limite el derecho a la confidencialidad de las comunicaciones electrónicas, deberá informar al interesado, en su respuesta a cualquier solicitud procedente de este, de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el SEPD.

La presente Decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.