Decisiónn.o 2021-096REV 1 del Consejo de Administración de la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia de 16 de abril de 2021 sobre las normas internas relativas a la limitación de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco del funcionamiento de la Agencia de la Unión Europea para la Gestión Operativa de Sistemas Informáticos de Gran Magnitud en el Espacio de Libertad, Seguridad y Justicia

1 La presente Decisión establece normas relativas a las condiciones en las que eu-LISA puede limitar la aplicación de los artículos 4, 14 a 22, 35 y 36, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725 en el contexto de los procedimientos establecidos en el apartado 2 de conformidad con lo dispuesto en el artículo 25 de dicho Reglamento.

2 eu-LISA, en su calidad de responsable del tratamiento, estará representada por su director ejecutivo.

1 eu-LISA podrá limitar la aplicación de los artículos 14 a 22, 35 y 36, así como de su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20: a) de conformidad con el artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento (UE) 2018/1725, al llevar a cabo una investigación administrativa o un procedimiento predisciplinario, disciplinario o de suspensión con arreglo al artículo 86 y el anexo IX del Estatuto de los funcionarios y la Decisión de eu-LISA n.o 2014-080, de 28 de enero de 2015, y cuando se notifiquen casos a la OLAF; b) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725, a la hora de garantizar que los miembros del personal de eu-LISA puedan denunciar hechos de forma confidencial cuando consideren que existen graves irregularidades, tal como se establece en la Decisión de eu-LISA n.o 2018-122, de 26 de junio de 2018, relativa a las normas internas en materia de denuncia de prácticas corruptas; c) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725, a la hora de garantizar que los miembros del personal de eu-LISA puedan comunicarse con sus asesores confidenciales en el contexto de un procedimiento de acoso, según se define en la Decisión de eu-LISA n.o 2018-174, de 6 de diciembre de 2018; d) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725, cuando lleve a cabo auditorías internas en relación con actividades o departamentos de eu-LISA; e) de conformidad con el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento (UE) 2018/1725, cuando preste asistencia a otras instituciones, órganos y organismos de la Unión, cuando reciba asistencia de dichas instituciones, órganos y organismos o cuando coopere con ellos en el contexto de las actividades contempladas en las letras a) a d) del presente apartado y con arreglo a los acuerdos de nivel servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes; f) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725, cuando preste asistencia a las autoridades nacionales y organizaciones internacionales de terceros países, cuando reciba asistencia de dichas autoridades y organizaciones o cuando coopere con estas, sin perjuicio de las disposiciones establecidas en el artículo 43 del Reglamento (UE) 2018/1726; g) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725, cuando preste asistencia a las autoridades públicas de los Estados miembros de la UE, cuando reciba asistencia de dichas autoridades o cuando coopere con estas, ya sea a petición de aquellas o por iniciativa propia; h) de conformidad con el artículo 25, apartado 1, letra e), del Reglamento (UE) 2018/1725, cuando se traten datos personales en documentos obtenidos por las partes o por interesados en el contexto de un procedimiento sometido al Tribunal de Justicia de la Unión Europea.

2 Cualquier limitación respetará la esencia de los derechos y libertades fundamentales y será necesaria y proporcionada en una sociedad democrática.

3 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones. Las limitaciones se ceñirán a lo estrictamente necesario para alcanzar su objetivo.

4 A efectos de rendición de cuentas, eu-LISA elaborará un registro en el que se describirán los motivos de las limitaciones aplicadas, los fundamentos enumerados en el apartado 1 que se aplican y el resultado de la prueba de necesidad y proporcionalidad. Dichos elementos formarán parte de un registro, que se pondrá a disposición del SEPD a petición de este. eu-LISA elaborará informes periódicos sobre la aplicación del artículo 25 del Reglamento (UE) 2018/1725.

5 Al tratar los datos personales procedentes de otras organizaciones en el contexto de sus funciones, eu-LISA consultará a dichas organizaciones sobre los posibles motivos de imposición de limitaciones y sobre la necesidad y proporcionalidad de las limitaciones de que se trate, a menos que ello ponga en peligro las actividades de eu-LISA.

1 Las evaluaciones de los riesgos para los derechos y libertades de los interesados que supongan la aplicación de limitaciones y los detalles sobre el período de aplicación de dichas limitaciones se harán constar en el registro de actividades de tratamiento mantenido por eu-LISA en virtud del artículo 31 del Reglamento. También se harán constar en todas las evaluaciones de impacto de protección de datos relativas a dichas limitaciones llevadas a cabo con arreglo al artículo 39 del Reglamento (UE) 2018/1725.

2 Siempre que eu-LISA evalúe la necesidad y proporcionalidad de una limitación, tendrá en cuenta los posibles riesgos para los derechos y libertades de la persona interesada.

1 eu-LISA aplicará garantías para evitar los abusos y la consulta o la transferencia ilícitas de datos personales respecto de los cuales se apliquen o puedan aplicarse limitaciones. Tales garantías incluirán medidas técnicas y organizativas y quedarán detalladas, en caso necesario, en las decisiones, procedimientos y normas de ejecución internos de eu-LISA. Estas garantías incluirán: a) una definición clara de las funciones, responsabilidades y etapas del procedimiento; b) en su caso, un entorno electrónico seguro que impida el acceso o la transferencia ilícitos y accidentales de datos electrónicos a personas no autorizadas; c) en su caso, un almacenamiento y tratamiento seguros de los documentos en soporte papel; d) la debida supervisión de las limitaciones y la revisión periódica de su aplicación. Las revisiones mencionadas en la letra d) se llevarán a cabo al menos cada seis meses.

2 Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hubieran justificado.

3 Los datos personales se conservarán de conformidad con las normas de conservación aplicables de eu-LISA, que se definirán en los registros de protección de datos mantenidos en virtud del artículo 31 del Reglamento (UE) 2018/1725. Al final del período de conservación, los datos personales se suprimirán, se anonimizarán o se transferirán a los archivos de conformidad con el artículo 13 del Reglamento (UE) 2018/1725.

1 Se informará sin demora al DPD de Eurojust cuando los derechos de los interesados estén limitados o se pretenda limitarlos de conformidad con la presente Decisión. Se dará acceso a los registros correspondientes y a todos los documentos relativos al contexto fáctico o jurídico.

2 El DPD de eu-LISA podrá solicitar que se revisen las limitaciones aplicadas. eu-LISA informará por escrito a su DPD del resultado de la revisión.

3 eu-LISA documentará la participación del DPD en la aplicación de las limitaciones, incluida la información que se comparta con él.

4 En la práctica, la persona responsable en nombre del responsable del tratamiento de datos («el responsable en la práctica») informará al DPD de eu-LISA cuando se levante la limitación.

1 eu-LISA incluirá una sección en los anuncios de protección de datos publicados en su sitio web/intranet, que proporcione información general a los interesados sobre la posible limitación de sus derechos, de conformidad con el artículo 2, apartado 1. La información cubrirá los derechos que puedan ser objeto de limitaciones, los motivos por los que pueden aplicarse las limitaciones y su posible duración.

2 eu-LISA informará a los interesados individualmente, por escrito y sin demora injustificada, de las limitaciones en curso o futuras de sus derechos. eu-LISA informará al interesado de los motivos principales en los que se fundamenta la limitación aplicada, de su derecho a consultar al DPD con el fin de impugnar la limitación y de su derecho a presentar una reclamación ante el SEPD.

3 eu-LISA podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará si dicha acción es justificable caso por caso. Tan pronto como la acción deje de anular el efecto de la limitación, eu-LISA facilitará la información al interesado.

1 Cuando eu-LISA tenga la obligación de comunicar una violación de datos con arreglo al artículo 35, apartado 1, del Reglamento (UE) 2018/1725, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. eu-LISA documentará en una nota los motivos de la limitación, su fundamento jurídico de conformidad con el artículo 2 y una evaluación de su necesidad y proporcionalidad. La nota se comunicará al SEPD en el momento en que se notifique la violación de datos personales.

2 Cuando dejen de ser aplicables las razones de la limitación, eu-LISA comunicará al interesado la violación de los datos personales y le informará de los motivos principales de la limitación, así como de su derecho a presentar una reclamación ante el SEPD.

1 En circunstancias excepcionales, eu-LISA podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas con arreglo al artículo 36 del Reglamento (UE) 2018/1725. Dichas limitaciones se ajustarán a lo dispuesto en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo .

2 En el caso de que eu-LISA limite el derecho a la confidencialidad de las comunicaciones electrónicas, deberá informar al interesado, en su respuesta a cualquier solicitud procedente de este, de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el SEPD.

3 eu-LISA podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará si dicha acción es justificable caso por caso.

La presente Decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.