Decisión (UE) 2022/2359 del Banco Central Europeo de 22 de noviembre de 2022 por la que se adoptan normas internas sobre la limitación de los derechos de los interesados relacionada con el funcionamiento interno del Banco Central Europeo (BCE/2022/42)

1 La presente decisión regula la limitación de los derechos de los interesados por el BCE cuando lleva a cabo actividades de tratamiento de datos personales, registradas en el registro central, en relación con su funcionamiento interno.

2 Los derechos de los interesados que pueden limitarse se especifican en los artículos siguientes del Reglamento (UE) 2018/1725: a) artículo 14 (transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado); b) artículo 15 (información que debe facilitarse cuando los datos personales se obtengan del interesado); c) artículo 16 (información que debe facilitarse cuando los datos personales no se hayan obtenido del interesado); d) artículo 17 (derecho de acceso del interesado); e) artículo 18 (derecho de rectificación); f) artículo 19 (derecho de supresión («derecho al olvido»); g) artículo 20 (derecho a la limitación del tratamiento); h) artículo 21 (obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento); i) artículo 22 (derecho a la portabilidad de los datos); j) artículo 35 (comunicación de una violación de la seguridad de los datos personales al interesado); k) artículo 36 (confidencialidad de las comunicaciones electrónicas); l) artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 22 del Reglamento (UE) 2018/1725.

A efectos de la presente decisión, se entenderá por: 1) «tratamiento»: el definido en el artículo 3, punto 3, del Reglamento (UE) 2018/1725; 2) «datos personales»: los definidos en el artículo 3, punto 1, del Reglamento (UE) 2018/1725; 3) «interesado»: una persona física identificada o identificable; es identificable la persona cuya identidad pueda determinarse directa o indirectamente, en particular mediante identificadores tales como un nombre, un número de identificación, unos datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de esa persona física; 4) «registro central»: el archivo público que lleva el RPD del BCE de todas las actividades de tratamiento de datos personales efectuadas en el BCE conforme establece el artículo 9 de la Decisión (UE) 2020/655 (BCE/2020/28); 5) «responsable del tratamiento de datos»: el BCE y, en particular, su unidad organizativa pertinente que sola o juntamente con otras determina los fines y medios del tratamiento de datos personales y que responde de la operación de tratamiento; 6) «instituciones y organismos de la Unión»: los definidos en el artículo 3, punto 10, del Reglamento (UE) 2018/1725.

1 Para las actividades de tratamiento de datos personales del artículo 1, apartado 1, el responsable del tratamiento de datos podrá limitar los derechos a que se refiere el artículo 1, apartado 2, para salvaguardar los intereses y objetivos mencionados en el artículo 25, apartado 1, del Reglamento (UE) 2018/1725, cuando el ejercicio de esos derechos suponga un peligro para cualquiera de las actividades siguientes: a) la evaluación y denuncia de posibles infracciones de deberes profesionales y, en caso necesario, su investigación y seguimiento subsiguientes, incluida la suspensión de empleo, cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c), f) y h), del Reglamento (UE) 2018/1725; b) los procedimientos formales o informales relativos a la dignidad en el trabajo, incluido el examen de casos que pueden dar lugar al procedimiento del artículo 0.5 del Reglamento del personal del BCE, cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c), f) y h), del Reglamento (UE) 2018/1725; c) el correcto desempeño de las funciones de DG/HR conforme al régimen jurídico laboral del BCE, relacionadas con la gestión del rendimiento, los procedimientos de ascenso o nombramiento directo del personal del BCE, los procedimientos de selección y desarrollo profesional, cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c) y h), del Reglamento (UE) 2018/1725; d) el examen y seguimiento de los recursos internos interpuestos por el personal del BCE (incluida la revisión administrativa, los procedimientos de reclamación, los procedimientos de recurso especiales o los comités médicos), cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c) y h), del Reglamento (UE) 2018/1725; e) la denuncia de cualquier actividad ilegal o infracción de deberes profesionales a través del mecanismo de denuncia del BCE o la evaluación de peticiones formuladas por la Oficina de Cumplimiento y Gobernanza (CGO) para la protección de denunciantes o testigos frente a represalias, cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c), f) y h), del Reglamento (UE) 2018/1725; f) las actividades de la CGO en el marco del régimen deontológico del BCE previsto en el artículo 0 del Reglamento del personal de BCE, las disposiciones sobre selección y nombramiento establecidas en el artículo 1A de dicho reglamento, y la vigilancia del cumplimiento de las normas sobre las actividades financieras privadas, incluidas tanto las funciones del proveedor externo de servicios nombrado en virtud del artículo 0.4.3.3 del Reglamento del personal del BCE como la evaluación y el seguimiento de las posibles infracciones resultantes de dicha vigilancia por la CGO, cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c), f) y h), del Reglamento (UE) 2018/1725; g) las auditorías de la Dirección de Auditoría Interna, las actividades de investigación y las investigaciones administrativas internas, cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c) y h), del Reglamento (UE) 2018/1725; h) el desempeño de las funciones del BCE de acuerdo con la Decisión (UE) 2016/456 (BCE/2016/3), en particular el deber del BCE de comunicar toda información sobre actividades ilegales, cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c), g) y h), del Reglamento (UE) 2018/1725; i) las investigaciones del RPD sobre las actividades de tratamiento llevadas a cabo en el BCE de acuerdo con el artículo 4, letra b), de la Decisión (UE) 2020/655 (BCE/2020/28), cuya salvaguardia prevé el artículo 25, apartado 1, letras b) y h), del Reglamento (UE) 2018/1725; j) las investigaciones para asegurar en el BCE la seguridad física de personas, instalaciones y propiedades, con independencia de que se lleven a cabo a nivel interno o con apoyo externo, la obtención de inteligencia sobre amenazas y analizar los incidentes de seguridad, cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c), d) y h), del Reglamento (UE) 2018/1725; k) los procedimientos judiciales, cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c) y h), del Reglamento (UE) 2018/1725; l) la cooperación entre el BCE y las autoridades nacionales encargadas de investigar delitos, en particular la divulgación de información confidencial en poder del BCE a una autoridad nacional encargada de investigar delitos, a petición de esta, cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c), d) y h), del Reglamento (UE) 2018/1725; m) la cooperación entre el BCE y la Fiscalía Europea conforme al Reglamento (UE) 2017/1939, en particular el deber del BCE de facilitar información sobre delitos, cuya salvaguardia prevé el artículo 25, apartado 1, letras b), c), d) y h), del Reglamento (UE) 2018/1725; n) la cooperación con los organismos de la UE que ejerzan funciones de supervisión, vigilancia o auditoría a que esté sujeto el BCE, cuya salvaguardia prevé el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento (UE) 2018/1725; o) el desempeño de las funciones del mediador conforme al régimen interno de resolución de conflictos del BCE, en particular el apoyo en la resolución o prevención de conflictos laborales, cuya salvaguardia prevé el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725; p) la prestación de servicios de asesoramiento por el asesor social en apoyo del personal del BCE, cuya salvaguardia prevé el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725. Las categorías de datos personales con respecto a las cuales pueden aplicarse las limitaciones a que se refiere el apartado 1 se especifican en los anexos I a XIV de la presente decisión.

2 El responsable del tratamiento solo podrá aplicar una limitación cuando al evaluar cada caso concluya que esta: a) es necesaria y proporcionada teniendo en cuenta los riesgos para los derechos y libertades del interesado, y b) respeta en lo esencial los derechos y libertades fundamentales de una sociedad democrática.

3 El responsable del tratamiento de datos documentará su evaluación en una nota interna en la que mencionará el fundamento jurídico de la limitación y sus causas, los derechos de los interesados que se limitan, los interesados afectados, la necesidad y proporcionalidad de la limitación y su probable duración.

4 La decisión de que el responsable del tratamiento de datos limite los derechos de un interesado en virtud del apartado 1 se tomará al nivel del jefe o subjefe en cuyo departamento se lleve a cabo la actividad de tratamiento principal que afecte a los datos personales.

El responsable del tratamiento de datos proporcionará información general sobre la posible limitación de los derechos de los interesados, para lo cual: a) especificará los derechos que pueden limitarse y las causas y posible duración de la limitación; b) incluirá la información de la letra a) en sus avisos y declaraciones de protección de datos y en el registro de las actividades de tratamiento conforme al artículo 31 del Reglamento (UE) 2018/1725.

1 Cuando el responsable del tratamiento de datos limite total o parcialmente los derechos de acceso, rectificación, supresión o limitación del tratamiento, a que se refieren, respectivamente, el artículo 17, el artículo 18, el artículo 19, apartado 1, y el artículo 20, apartado 1, del Reglamento (UE) 2018/1725, informará al interesado, en el plazo establecido en el artículo 11, apartado 5, de la Decisión (UE) 2020/655 (BCE/2020/28), en su respuesta escrita a la solicitud, de la limitación aplicada, de sus motivos principales, y de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o recurrir al Tribunal de Justicia de la Unión Europea.

2 El responsable del tratamiento de datos conservará la nota interna de evaluación a que se refiere el artículo 3, apartado 3, y, en su caso, los documentos que contengan los fundamentos de hecho y de derecho, y presentará esta información al RPD y al Supervisor Europeo de Protección de Datos si la solicitan.

3 El responsable del tratamiento de datos podrá retrasar, omitir o denegar la presentación de información sobre los motivos de la limitación a que se refiere el apartado 1 siempre que la presentación de esa información socave el propósito de la limitación. El responsable del tratamiento de datos presentará esa información al interesado en el momento en que considere que hacerlo no socava ya el propósito de la limitación.

1 El responsable del tratamiento de datos levantará la limitación aplicada en cuanto dejen de darse las circunstancias que la justificaron.

2 Cuando levante una limitación conforme al apartado 1, el responsable del tratamiento de datos deberá, sin demora: a) si no lo hubiera hecho ya, informar al interesado de los motivos principales en que se basó la aplicación de la limitación; b) informar al interesado de su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos o recurrir al Tribunal de Justicia de la Unión Europea; c) conceder al interesado el derecho objeto de la limitación levantada.

3 El responsable del tratamiento de datos revisará cada seis meses la necesidad de mantener una limitación aplicada conforme a la presente decisión, y documentará su revisión en una nota interna de evaluación.

El BCE aplicará las garantías organizativas y técnicas del anexo XV a fin de prevenir abusos o accesos o transmisiones indebidos.

1 Cuando limite los derechos de un interesado, el responsable del tratamiento de datos involucrará en todo momento al RPD. En particular: a) el responsable del tratamiento de datos consultará al RPD sin demoras indebidas; b) a petición del RPD, el responsable del tratamiento de datos le dará acceso a los documentos que contengan los fundamentos de hecho y de derecho, incluida la nota interna de evaluación a que se refiere el artículo 3, apartado 3; c) el responsable del tratamiento de datos documentará la participación del RPD, haciendo constar a qué información se le dio acceso y, en particular, la fecha de la primera consulta a que se refiere la letra a); d) el RPD podrá solicitar al responsable del tratamiento de datos que revise la limitación; e) el responsable del tratamiento de datos informará por escrito al RPD del resultado de la revisión solicitada, sin demoras indebidas y, en todo caso, antes de aplicar la limitación.

2 El responsable del tratamiento de datos informará al RPD cuando la limitación se revise conforme al artículo 6, apartado 3, o cuando se levante.

La presente decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.