Decisión del CESE n.o 160/21 A por la que se establecen normas internas relativas a las limitaciones de determinados derechos de los titulares de datos en relación con el tratamiento de datos personales en el marco de las actividades llevadas a cabo por el Comité Económico y Social Europeo

1.1 La presente Decisión establece normas relativas a las condiciones en las que el CESE podrá limitar la aplicación de los artículos 4, 14 a 22, y 35, así como —en circunstancias extraordinarias— del artículo 36 del Reglamento, en virtud de su artículo 25.

1.2 El CESE, como responsable del tratamiento, estará representado por su presidente.

2.1 El CESE podrá limitar la aplicación de los derechos consagrados en los artículos 4, 14 a 22 y 35, así como —en circunstancias extraordinarias— en el artículo 36 del Reglamento, por los siguientes motivos y a los efectos que se exponen a continuación: a) de conformidad con el artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento, cuando lleve a cabo investigaciones administrativas, actividades previas a la decisión de iniciar investigaciones administrativas, procedimientos predisciplinarios, disciplinarios o de suspensión con arreglo al artículo 86 y al anexo IX del Estatuto de los funcionarios y la Decisión n.o 635/05 A del CESE, de 7 de diciembre de 2005, por la que se establecen las disposiciones generales de aplicación relativas a los procedimientos disciplinarios y las investigaciones administrativas; b) de conformidad con el artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento, cuando coopere con la OLAF, en particular cuando le facilite información y documentos, cuando le notifique casos o cuando trate información y documentos de la OLAF; c) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que los miembros del personal del CESE puedan comunicar los hechos de forma confidencial cuando consideren que existen irregularidades graves, conforme a lo dispuesto en la Decisión 053/16 A del CESE, de 2 de marzo de 2016, sobre las normas internas en materia de denuncia de irregularidades; d) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que los miembros del personal del CESE puedan ponerse en contacto con los consejeros confidenciales en el marco del procedimiento informal y, posteriormente, cuando proceda, con la autoridad facultada para proceder a los nombramientos con arreglo al procedimiento formal, tal como se define en la Decisión 200/14 A del CESE, de 26 de septiembre de 2014, relativa a los procedimientos para prevenir y tratar el acoso psicológico y sexual en el trabajo en la Secretaría General del CESE; e) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, cuando tramite una solicitud de asistencia en el sentido del artículo 24 del Estatuto, una solicitud en el sentido del artículo 25 del Estatuto, una solicitud en el sentido del artículo 90, apartado 1, del Estatuto o una reclamación en el sentido del artículo 90, apartado 2, del Estatuto; f) de conformidad con el artículo 25, apartado 1, letras c) y h), del Reglamento, cuando lleve a cabo procedimientos de selección, contratación, nombramiento y evaluación del personal; g) de conformidad con el artículo 25, apartado 1, letras c) y h), del Reglamento, cuando lleve a cabo procedimientos de contratación pública; h) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, cuando trate datos médicos contenidos en los expedientes médicos de los interesados, gestionados por el Servicio Médico y Social del CESE; i) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando realice verificaciones en el sentido del artículo 116, apartado 4, del Reglamento Financiero o en el marco del tratamiento de irregularidades financieras en el sentido del artículo 93 del Reglamento Financiero; j) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando lleve a cabo auditorías internas en relación con actividades o departamentos del CESE con arreglo al artículo 118 del Reglamento Financiero; k) de conformidad con el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento, cuando preste asistencia a otras instituciones, órganos y organismos de la Unión, cuando reciba asistencia de dichas instituciones, órganos y organismos o cuando coopere con ellos en el contexto de las actividades contempladas en las letras a) a j) del presente apartado y con arreglo a los acuerdos de nivel servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes; l) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando preste asistencia a las autoridades nacionales y organizaciones internacionales de terceros países, cuando reciba asistencia de dichas autoridades y organizaciones o cuando coopere con estas, ya sea a petición suya o por propia iniciativa; m) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando preste asistencia a las autoridades públicas de los Estados miembros de la UE, cuando reciba asistencia de dichas autoridades o cuando coopere con estas, ya sea a petición suya o por propia iniciativa; n) de conformidad con el artículo 25, apartado 1, letra e), del Reglamento, cuando trate datos personales en documentos obtenidos por las partes o partes coadyuvantes en el contexto de un procedimiento ante el Tribunal de Justicia de la Unión Europea; o) de conformidad con el artículo 25, apartado 1, letras c), d) y h), del Reglamento, cuando lleve a cabo actividades destinadas a garantizar la seguridad de las personas, los bienes y la información en relación con las actividades o los servicios del CESE; p) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando lleve a cabo investigaciones sobre asuntos y sucesos relacionados con cuestiones de protección de datos, con arreglo al artículo 45, apartado 2, última frase, del Reglamento.

2.2 Toda limitación respetará la esencia de los derechos y libertades fundamentales y será una medida necesaria y proporcionada en una sociedad democrática.

2.3 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones. Las limitaciones se circunscribirán a lo estrictamente necesario para alcanzar su objetivo.

2.4 A efectos de la rendición de cuentas, el CESE elaborará un registro en el que se describirán los motivos de las limitaciones aplicadas, entre las enumeradas en el apartado 1, y el resultado de la prueba de necesidad y proporcionalidad. Dichos elementos formarán parte de un registro, que se pondrá a disposición del SEPD a petición suya.

2.5 Al tratar los datos personales procedentes de otras organizaciones en el contexto de sus funciones, el CESE consultará a dichas organizaciones sobre los posibles motivos de imposición de limitaciones y sobre la necesidad y proporcionalidad de las limitaciones de que se trate, a menos que ello ponga en peligro las actividades del CESE.

3.1 Siempre que el CESE evalúe la necesidad y proporcionalidad de una limitación, tendrá en cuenta los posibles riesgos para los derechos y libertades de las personas interesadas.

3.2 Las evaluaciones de los riesgos para los derechos y libertades de las personas interesadas que supongan la aplicación de limitaciones y los detalles sobre el período de aplicación de dichas limitaciones se harán constar en el registro de actividades de tratamiento pertinente mantenido por el CESE en virtud del artículo 31 del Reglamento. También se harán constar en todas las evaluaciones de impacto de protección de datos relativas a dichas limitaciones llevadas a cabo con arreglo al artículo 39 del Reglamento.

4.1 El CESE aplicará garantías para evitar los abusos y el acceso o la transferencia ilícitos de datos personales respecto de los cuales se apliquen o puedan aplicarse limitaciones. Tales garantías incluirán medidas técnicas y organizativas y quedarán detalladas, en caso necesario, en las decisiones, procedimientos y normas de ejecución internos del CESE. Estas garantías incluirán: a) una definición clara de las funciones, responsabilidades y etapas del procedimiento; b) en su caso, un entorno electrónico seguro que impida el acceso o la transferencia ilícitos y accidentales de datos electrónicos a personas no autorizadas; c) en su caso, un almacenamiento y tratamiento seguros de los documentos en papel; d) la debida supervisión de las limitaciones y la revisión periódica de su aplicación. Las revisiones mencionadas en la letra d) se llevarán a cabo, como mínimo, cada seis meses.

4.2 Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las justifiquen.

4.3 Los datos personales se conservarán de conformidad con las normas de conservación aplicables del CESE, que se definirán en los registros mantenidos en virtud del artículo 31 del Reglamento. Al final del período de conservación, los datos personales se suprimirán, se anonimizarán o se transferirán a los archivos de conformidad con el artículo 13 del Reglamento.

5.1 Se informará sin demora al DPD del CESE cuando los derechos de los interesados estén limitados de conformidad con la presente Decisión. Se dará acceso a los registros correspondientes y a todos los documentos relativos al contexto fáctico o jurídico.

5.2 El DPD del CESE podrá solicitar que se revisen las limitaciones aplicadas. El CESE informará por escrito a su DPD del resultado de la revisión.

5.3 El CESE documentará la participación del DPD en la aplicación de la limitación, incluida la información compartida.

6.1 El CESE incluirá una sección en los anuncios de protección de datos publicados en su intranet o su sitio web que proporcione información general a las personas interesadas sobre la posible limitación de sus derechos, de conformidad con el artículo 2, apartado 1. La información cubrirá los derechos que puedan ser objeto de limitaciones, los motivos por los que puedan aplicarse las limitaciones y su posible duración.

6.2 El CESE informará a las personas interesadas individualmente, por escrito y sin demora injustificada, de las limitaciones en curso o futuras de sus derechos. El CESE informará a la persona interesada de los motivos principales en los que se fundamente la limitación aplicada, de su derecho a consultar al DPD con el fin de impugnar la limitación y de su derecho a presentar una reclamación ante el SEPD.

6.3 El CESE podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de una limitación y el derecho a presentar una reclamación ante el SEPD durante el tiempo que sea necesario para impedir que dicha comunicación anule el efecto de la limitación. La evaluación de la justificación de esta medida se hará caso por caso. Tan pronto como la medida deje de anular el efecto de la limitación, el CESE facilitará la información a la persona interesada.

7.1 Cuando el CESE tenga la obligación de comunicar una violación de la seguridad de los datos con arreglo al artículo 35, apartado 1, del Reglamento, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. El CESE documentará en una nota los motivos de la limitación, su fundamento jurídico de conformidad con el artículo 2 y una evaluación de su necesidad y proporcionalidad. La nota se comunicará al SEPD en el momento en que se notifique la violación de la seguridad de los datos personales.

7.2 Cuando dejen de ser aplicables las razones de la limitación, el CESE comunicará a la persona interesada la violación de la seguridad de sus datos personales y le informará de los motivos principales de la limitación, así como de su derecho a presentar una reclamación ante el SEPD.

8.1 En circunstancias excepcionales, el CESE podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas con arreglo al artículo 36 del Reglamento. Dichas limitaciones se ajustarán a lo dispuesto en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo

8.2 No obstante lo dispuesto en el artículo 6, apartado 3, de la presente Decisión, que le permite limitar, en circunstancias extraordinarias, el derecho a la confidencialidad de las comunicaciones electrónicas, el CESE deberá informar a la persona interesada, en su respuesta a cualquier solicitud procedente de esta, de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el SEPD.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.