Decisión N.o 5/2020 del Consejo de Administración de 21 de octubre de 2020 relativa a las normas internas sobre las limitaciones de determinados derechos de los titulares de datos en relación con el tratamiento de datos personales en el marco de las actividades llevadas a cabo por la Agencia Europea para la Seguridad Aérea

1 La presente Decisión establece normas relativas a las condiciones en las que la AESA puede limitar la aplicación de los artículos 4, 14 a 22, 35 y 36, de conformidad con el artículo 25 del Reglamento.

2 La AESA, en su calidad de responsable del tratamiento, estará representada por su Director Ejecutivo.

1 La AESA podrá limitar la aplicación de los artículos 14 a 22, 35 y 36 del Reglamento, así como de su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20: a) con arreglo al artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento, al llevar a cabo una investigación administrativa o un procedimiento predisciplinario, disciplinario o de suspensión con arreglo al artículo 86 y el anexo IX del Estatuto de los funcionarios y la Decisión n.o 2011/216/E del Director Ejecutivo de la AESA, de 16 de diciembre de 2011, y cuando se notifiquen los casos a la OLAF; b) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que los miembros del personal de la AESA puedan denunciar hechos de forma confidencial cuando consideren que existen graves irregularidades, tal como se establece en la Decisión 15-2018 del Consejo de Administración de la AESA de 14 diciembre de 2018; c) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, al garantizar que el personal de la AESA pueda informar a los asesores confidenciales en el contexto de un procedimiento de acoso, tal como se define en la Decisión n.o 2008/180/A del Director Ejecutivo de la AESA de 5 de agosto de 2009; d) de conformidad con el artículo 25, apartado 1, letras b), c), d), f), g) y h), al investigar las posibles infracciones de las normas de seguridad de la información clasificada de la Unión Europea («ICUE»), sobre la base de la Decisión de la AESA n.o 2020/010/ED del Director Ejecutivo de la AESA, de 17 de febrero de 2020, relativa a las normas de seguridad de la AESA para la protección de la información clasificada de la Unión Europea; e) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando lleve a cabo auditorías internas en relación con actividades o departamentos de la AESA; f) de conformidad con el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento, cuando preste asistencia a otras instituciones, organismos, oficinas y agencias de la Unión, cuando reciba asistencia de dichas instituciones, organismos, oficinas y agencias o cuando coopere con ellas en el contexto de las actividades contempladas en las letras a) a d) del presente apartado y con arreglo a los acuerdos de nivel servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes; g) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando preste asistencia a las autoridades nacionales y organizaciones internacionales de terceros países, cuando reciba asistencia de dichas autoridades y organizaciones o cuando coopere con estas, a petición de estas o por iniciativa propia; h) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando preste asistencia a las autoridades públicas de los Estados miembros de la UE, cuando reciba asistencia de dichas autoridades o cuando coopere con estas, ya sea a petición suya o por iniciativa propia; i) de conformidad con el artículo 25, apartado 1, letra e), del Reglamento, cuando se traten datos personales en documentos obtenidos por las partes o partes coadyuvantes en el contexto de un procedimiento sometido al Tribunal de Justicia de la Unión Europea; j) de conformidad con el artículo 25, apartado 1, letras c), g) y h) del Reglamento, cuando se traten datos personales al realizar inspecciones, otras actividades de supervisión e investigaciones de conformidad con el artículo 75, apartado 2, letra e) del Reglamento (UE) 2018/1139; k) de conformidad con el artículo 25, apartado 1, letras b), c), d), f), g) y h) del Reglamento, cuando se traten datos personales al llevar a cabo investigaciones relativas a la seguridad informática gestionadas internamente o con implicación externa (p. ej. CERT-EU) de conformidad con el artículo 75, apartado 2, letra d) del Reglamento (UE) 2018/1139.

2 De conformidad con el artículo 25, apartado 1, letras b), c), f), g) y h) del Reglamento, el DPD puede limitar la aplicación de los artículos 14 a 22, 35 y 36, así como de su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20 cuando tramite denuncias internas y externas y lleve a cabo auditorías internas e investigaciones de conformidad con el artículo 45, apartado 2 del Reglamento.

3 Cualquier limitación respetará la esencia de los derechos y libertades fundamentales y será necesaria y proporcionada en una sociedad democrática.

4 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones. Las restricciones se limitarán a lo estrictamente necesario para alcanzar su objetivo.

5 A efectos de rendición de cuentas, la AESA elaborará un registro en el que se describirán los motivos de las limitaciones aplicadas, los fundamentos enumerados en el apartado 1 que se aplican y el resultado de la prueba de necesidad y proporcionalidad. Dichos registros formarán parte de un registro, que se pondrá a disposición del SEPD a petición suya. La AESA elaborará informes periódicos sobre la aplicación del artículo 25 del Reglamento.

6 Al tratar los datos personales procedentes de otras organizaciones en el contexto de sus funciones, la AESA consultará a dichas organizaciones sobre los posibles motivos de imposición de limitaciones y sobre la necesidad y proporcionalidad de las limitaciones de que se trate, a menos que ello ponga en peligro las actividades de la AESA.

1 Las evaluaciones de los riesgos para los derechos y libertades de los afectados que supongan la aplicación de limitaciones y los detalles sobre el período de aplicación de dichas limitaciones se harán constar en el registro de actividades de tratamiento mantenido por la AESA en virtud del artículo 31 del Reglamento. También se harán constar en todas las evaluaciones de impacto de protección de datos relativas dichas limitaciones llevadas a cabo con arreglo al artículo 39 del Reglamento.

2 Siempre que la AESA evalúe la necesidad y proporcionalidad de una limitación, tendrá en cuenta los posibles riesgos para los derechos y libertades del afectado.

1 La AESA aplicará garantías para evitar los abusos y el acceso o transferencia ilícita de datos personales respecto de los cuales se apliquen o puedan aplicarse limitaciones. Tales garantías incluirán medidas técnicas y organizativas y quedarán detalladas, en caso necesario, en las decisiones, procedimientos y normas de ejecución internos de la AESA. Estas garantías deberán incluir lo siguiente: a) una definición clara de las funciones, responsabilidades y etapas del procedimiento; b) cuando proceda, un entorno electrónico seguro que impida el acceso ilícito y accidental a los datos electrónicos o la transferencia ilícita o accidental de datos electrónicos a personas no autorizadas; c) cuando proceda, almacenamiento y tratamiento seguro de los documentos basados en papel; d) la debida supervisión de las limitaciones y la revisión periódica de su aplicación. Las revisiones mencionadas en la letra d) se llevarán a cabo al menos cada seis meses.

2 Las limitaciones se levantarán tan pronto como dejen de existir las circunstancias que las justifiquen.

3 Los datos personales se conservarán de acuerdo con las normas de conservación aplicables de la AESA, que se definirán en los registros de protección de datos mantenidos conforme al artículo 31 del Reglamento. Al final del período de conservación, los datos personales se suprimirán, se anonimizarán o se transferirán a los archivos de conformidad con el artículo 13 del Reglamento.

1 Se informará sin demora al DPD cuando los derechos de los afectados estén limitados de conformidad con la presente Decisión. Se dará acceso a los registros correspondientes y a todos los documentos relativos al contexto fáctico o jurídico.

2 El DPD podrá solicitar que se revisen las limitaciones aplicadas. La AESA informará por escrito a su DPD del resultado de la revisión.

3 La AESA documentará la participación del DPD en la aplicación de las limitaciones, incluida la información que se comparta con él.

1 La AESA incluirá una sección en los anuncios de protección de datos publicados en su sitio web/intranet, que proporcione información general a los afectados sobre la posible limitación de sus derechos, de conformidad con el artículo 2, apartado 1. La información cubrirá los derechos que puedan ser objeto de limitaciones, los motivos por los que pueden aplicarse las limitaciones y su posible duración.

2 La AESA informará a los afectados individualmente, por escrito y sin demora injustificada, de las limitaciones en curso o futuras de sus derechos. La AESA informará al afectado de los motivos principales en los que se fundamenta la limitación aplicada, de su derecho a consultar al DPD con el fin de impugnar la limitación y de sus derechos a presentar una reclamación ante el SEPD.

3 La AESA podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará si dicha acción es justificable caso por caso. Tan pronto como la acción deje de anular el efecto de la limitación, la AESA facilitará la información al afectado.

1 Cuando la AESA tenga la obligación de comunicar una violación de datos con arreglo al artículo 35, apartado 1, del Reglamento, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. Documentará en una nota los motivos de la limitación, su fundamento jurídico de conformidad con el artículo 2 y una evaluación de su necesidad y proporcionalidad. La nota se comunicará al SEPD en el momento en que se notifique la violación de datos personales.

2 Cuando dejen de ser aplicables las razones de la limitación, la AESA comunicará al afectado la violación de los datos personales y le informará de los motivos principales de la limitación, así como de su derecho a presentar una reclamación ante el SEPD.

1 En circunstancias excepcionales, la AESA podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas con arreglo al artículo 36 del Reglamento. Dichas limitaciones se ajustarán a lo dispuesto en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo .

2 En caso de que la AESA limite el derecho a la confidencialidad de las comunicaciones electrónicas, deberá informar al afectado, en su respuesta a cualquier solicitud procedente de este, de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el SEPD.

3 La AESA podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará si dicha acción es justificable caso por caso.

La presente Decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.