Decisión 28/2022 del Consejo de Administración de 4 de abril de 2022 relativa a las normas internas sobre las limitaciones de determinados derechos de los titulares de datos en relación con el tratamiento de datos personales en el marco de las actividades llevadas a cabo por la Agencia Europea de la Guardia de Fronteras y Costas

1 La presente Decisión establece normas relativas a las condiciones en las que la Agencia puede limitar la aplicación del artículo 4, 14 a 22, 35 y 36 del Reglamento, de conformidad con el artículo 25 del Reglamento y el artículo 86, apartado 2, del Reglamento GEFC. La presente Decisión se aplica al tratamiento de datos personales por parte de la Agencia a efectos de tareas administrativas de conformidad con el artículo 87, apartado 1, letra h), del Reglamento GEFC.

2 De conformidad con el apartado 1 y en las condiciones establecidas en la presente Decisión, las limitaciones podrán aplicarse a los siguientes derechos: el derecho de información que debe otorgarse al interesado, el derecho de acceso del interesado, el derecho de rectificación, supresión y limitación del tratamiento y los derechos a la comunicación de una violación de la seguridad de los datos personales al interesado y a la confidencialidad de las comunicaciones electrónicas.

3 Las categorías de datos personales a que se refiere la presente Decisión son tanto datos objetivos o sólidos (por ejemplo, datos de identificación, datos de contacto, datos profesionales, datos administrativos, datos recibidos de fuentes específicas, datos de comunicaciones electrónicas y datos de tráfico) como datos subjetivos o blandos (por ejemplo, razonamiento, datos de comportamiento, valoraciones, datos relacionados con el rendimiento y la conducta y datos relacionados con el objeto del procedimiento o la actividad en cuestión o presentados en relación con los mismos).

4 La Agencia, en su calidad de responsable del tratamiento, está representada por el director ejecutivo. Se aplicarán las normas de aplicación del Reglamento de la Agencia en lo que se refiere a la responsabilidad del tratamiento de datos .

5 Se informará a los interesados de los responsables del tratamiento designados mediante información o registros publicados en el sitio web o en la intranet de la Agencia.

1 La Agencia podrá limitar la aplicación de los artículos 14 a 22, 35 y 36 del Reglamento y de su artículo 4 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 22 en el contexto del tratamiento de datos personales indicado en el artículo 1, apartado 1, de la Decisión: a) de conformidad con el artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento, a la hora de llevar a cabo investigaciones administrativas o procedimientos predisciplinarios, disciplinarios o de suspensión con arreglo al artículo 86 y el anexo IX del Estatuto de los funcionarios, y a la Decisión 26/2018 del Consejo de Administración, de 25 de octubre de 2018, por la que se adoptan disposiciones generales de aplicación relativas a la realización de investigaciones administrativas y procedimientos disciplinarios, a la hora de notificar casos a la OLAF y de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando el APD investigue asuntos directamente relacionados con sus funciones, en particular cuando lleve a cabo investigaciones sobre las actividades de tratamiento llevadas a cabo en la Agencia de conformidad con el artículo 5, apartado 11, de la Decisión 56/2021 del Consejo de Administración, de 15 de octubre de 2021 . La Agencia podrá limitar algunos de los derechos a que se refiere el artículo 1, apartado 2, de la Decisión de un miembro del personal, de una persona interesada o de un tercero con relación a cualquier información que pueda afectar gravemente a investigaciones o procedimientos predisciplinarios, disciplinarios o de suspensión futuros o en curso, incluidas las declaraciones de testigos y otros documentos; b) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que los miembros del personal de la Agencia puedan notificar hechos de forma confidencial cuando consideren que existen irregularidades graves, tal como se establece en la Decisión 17/2019 del Consejo de Administración, de 18 de julio de 2019, por la que se adoptan las Directrices de Frontex sobre denuncia de irregularidades. La Agencia podrá limitar algunos de los derechos a que se refiere el artículo 1, apartado 2, de la Decisión de los interesados potencialmente implicados en las presuntas irregularidades en relación con cualquier información que pudiera comprometer el anonimato de la persona que denuncie una irregularidad grave; c) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que los miembros del personal de la Agencia puedan obtener el apoyo de los asesores confidenciales, tal como se definen en la Decisión 16/2019 del Consejo de Administración, de 18 de julio de 2019, sobre la política de Frontex relativa a la protección de la dignidad de la persona y la prevención del acoso psicológico y sexual. La Agencia podrá limitar, en caso necesario, algunos de los derechos a que se refiere el artículo 1, apartado 2, de la Decisión de los presuntos acosadores, para proteger el anonimato de la posible víctima de acoso y el anonimato de los testigos; d) de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, a la hora de llevar a cabo auditorías internas y externas en relación con actividades o departamentos de la Agencia, en particular cuando las auditorías internas sean realizadas por la estructura de auditoría interna de la Agencia. La Agencia podrá limitar algunos de los derechos a que se refiere el artículo 1, apartado 2 de los interesados, en relación con aquellos datos que puedan comprometer la confidencialidad de la información recabada mediante la auditoría o interferir en la realización de una auditoría en curso; e) de conformidad con el artículo 25, apartado 1, letras b), e), g) y h), del Reglamento, en el contexto de investigaciones de la Fiscalía Europea. La Agencia podrá limitar algunos de los derechos a que se refiere el artículo 1, apartado 2, de la presente Decisión de los interesados en relación con la información necesaria para garantizar el correcto desarrollo y la confidencialidad de las investigaciones de la Fiscalía Europea; f) de conformidad con el artículo 25, apartado 1, letras c), e), g) y h), del Reglamento, a la hora de tramitar las denuncias, incluidas las recibidas por la Agencia en el contexto del mecanismo de denuncias establecido de conformidad con el artículo 111 del Reglamento GEFC para supervisar y garantizar el respeto de los derechos fundamentales en todas las actividades de la Agencia y con la decisión pertinente del director ejecutivo. La Agencia podrá limitar algunos de los derechos a que se refiere el artículo 1, apartado 2, de la presente Decisión de un miembro del personal que participe en una actividad de la Agencia que sea objeto de una reclamación, en relación con cualquier información que pueda afectar gravemente a la revisión y tramitación de la reclamación; g) de conformidad con el artículo 25, apartado 1, letra c), e), g) y h), del Reglamento, a la hora de tramitar las notificaciones de incidentes con arreglo al artículo 38, apartado 3, letra h), del Reglamento GEFC y a la Decisión del director ejecutivo, de 19 de abril de 2021, sobre el procedimiento operativo normalizado (PON) — Notificación de incidentes graves. La Agencia podrá limitar algunos de los derechos a que se refiere el artículo 1, apartado 2, de la presente Decisión de los interesados incluidos en el Informe de incidente grave en relación con información que pueda afectar gravemente a la validación y evaluación del informe de incidente grave, así como a las acciones de seguimiento y el anonimato de los testigos u otras personas que informen de incidentes, incluidos los migrantes y los retornados; h) de conformidad con el artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento, a la hora de supervisar la aplicación de las disposiciones sobre el uso de la fuerza por parte del personal estatutario del cuerpo permanente de la Guardia Europea de Fronteras y Costas con arreglo al artículo 55, apartado 5, letra a), del Reglamento GEFC y a la Decisión 7/2021 del Consejo de Administración, de 20 de enero de 2021, y a la hora de supervisar el uso de la fuerza por parte del personal enviado a la Agencia por los Estados miembros a largo plazo, el personal facilitado por los Estados miembros para despliegues de corta duración y el personal que forma parte de la reserva de reacción rápida para intervenciones fronterizas rápidas, cuando este personal haga uso de la fuerza en el marco de las actividades operativas de Frontex de conformidad con la decisión pertinente del director ejecutivo. La Agencia podrá limitar algunos de los derechos a que se refiere el artículo 1, apartado 2, de la presente Decisión de los interesados incluidos en un informe sobre el uso de la fuerza en relación con información (incluidas las declaraciones de testigos y otros documentos) que pueda afectar gravemente a la verificación del informe y a cualquier acción de seguimiento futura o en curso, incluidas las investigaciones y los procedimientos predisciplinarios, disciplinarios o de suspensión; i) de conformidad con el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento, cuando preste asistencia a otras instituciones, órganos y organismos de la Unión o reciba asistencia de estos, o cuando coopere con ellos en el contexto de las actividades contempladas en las letras a) a h) del presente apartado y con arreglo a los acuerdos de nivel servicio, memorandos de entendimiento y acuerdos de trabajo pertinentes; j) de conformidad con el artículo 25, apartado 1, letras b), c), g) y h), del Reglamento, cuando preste asistencia y cooperación a las autoridades nacionales competentes de los Estados miembros, o reciba asistencia y cooperación de estas, bien a petición de las mismas o por propia iniciativa, en particular en el contexto de las actividades contempladas en las letras f) a h) del presente apartado y de conformidad con las disposiciones del Reglamento GEFC y las decisiones del Consejo de Administración; k) de conformidad con el artículo 25, apartado 1, letras b), c), g) y h), del Reglamento, cuando preste asistencia a las autoridades nacionales competentes de terceros países y a las organizaciones internacionales, o reciba asistencia de estas, o cuando coopere con dichas autoridades y organizaciones, en particular en virtud de memorandos de entendimiento y acuerdos de trabajo pertinentes; l) de conformidad con el artículo 25, apartado 1, letra e), del Reglamento, cuando se traten datos personales en el contexto de un procedimiento ante el Tribunal de Justicia de la Unión Europea o ante los órganos jurisdiccionales nacionales; m) de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, cuando la tramitación de las solicitudes de acceso de los miembros del personal a su expediente médico en relación con su aptitud médica y psicológica, si el acceso directo a dichos expedientes puede ser perjudicial para el interesado, teniendo en cuenta su estado de salud física o mental. En tales casos, la Agencia proporcionará acceso indirecto a la información médica pertinente a través del asesor médico de la Agencia o de un proveedor médico externo; n) de conformidad con el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento, a la hora de llevar a cabo análisis de seguridad que puedan dar lugar a investigaciones internas vinculadas a incidentes de ciberseguridad o al uso abusivo de sistemas informáticos, incluso con la participación externa del CERT-UE, cuando se encarga de garantizar la seguridad interna por medio de la videovigilancia, el control del acceso y actividades de investigación, de proteger los sistemas de comunicación e información y de aplicar contramedidas técnicas de seguridad. La Agencia podrá limitar algunos de los derechos a que se refiere el artículo 1, apartado 2, de la presente Decisión de los interesados en relación con información que pueda afectar gravemente a dichos análisis de seguridad, a los medios destinados a garantizar la seguridad interior, incluido el control del acceso, a las investigaciones de seguridad y a las contramedidas técnicas de seguridad.

2 Cualquier limitación respetará la esencia de los derechos y las libertades fundamentales y será necesaria y proporcionada en una sociedad democrática.

3 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones. Las limitaciones serán las estrictamente necesarias para alcanzar su objetivo.

4 A efectos de rendición de cuentas, la Agencia llevará un registro en el que se describirán los motivos de las limitaciones aplicadas, los fundamentos que se aplican de entre los enumerados en el apartado 1 y el resultado de la prueba de necesidad y proporcionalidad. Estos documentos formarán parte de un registro, que se pondrá a disposición del SEPD a petición suya. La Agencia elaborará y publicará informes periódicos sobre la aplicación del artículo 25 del Reglamento.

5 Al tratar los datos personales procedentes de otras organizaciones en el contexto de sus funciones, la Agencia consultará a dichas organizaciones sobre los posibles motivos de imposición de limitaciones y sobre la necesidad y proporcionalidad de las limitaciones de que se trate, a menos que ello ponga en peligro las actividades de la Agencia.

1 Las evaluaciones de los riesgos para los derechos y las libertades de los interesados resultantes de la aplicación de limitaciones y los detalles sobre el período de aplicación de tales limitaciones se harán constar en el registro de actividades de tratamiento llevado por la Agencia en virtud del artículo 31 del Reglamento. También se harán constar en todas las evaluaciones de impacto en materia de protección de datos relativas a tales limitaciones que se lleven a cabo con arreglo al artículo 39 del Reglamento.

2 Siempre que la Agencia evalúe la necesidad y proporcionalidad de una limitación, tendrá en cuenta los posibles riesgos para los derechos y las libertades del interesado.

3 Las limitaciones no se aplicarán cuando el ejercicio del derecho limitado pueda privar a la limitación de su finalidad o afectar negativamente a los derechos o libertades de otros interesados.

1 La Agencia aplicará salvaguardias para evitar accesos a datos personales o transferencias de datos personales ilícitos o abusivos en relación con los cuales se apliquen o puedan aplicarse limitaciones. Dichas salvaguardias incluirán medidas técnicas y organizativas y se detallarán, en caso necesario, en las decisiones del Consejo de Administración de la Agencia, las decisiones del director ejecutivo, los planes operativos elaborados de conformidad con el artículo 38 del Reglamento GEFC, las decisiones internas, los procedimientos y las comunicaciones administrativas. Estas salvaguardias incluirán lo siguiente: a) una definición clara de las funciones, responsabilidades y etapas del procedimiento; b) cuando proceda, un entorno electrónico seguro que impida el acceso ilícito y accidental a los datos electrónicos o la transferencia ilícita o accidental de datos electrónicos a personas no autorizadas; c) cuando proceda, un almacenamiento y un tratamiento seguro de los documentos en soporte papel; d) la debida supervisión de las limitaciones y la revisión periódica de su aplicación. Las revisiones a que se refiere la letra d) se llevarán a cabo al menos cada seis meses y podrán dar lugar a la supresión de las limitaciones de conformidad con el apartado 2. Las revisiones serán documentadas por el responsable del tratamiento designado a efectos de rendición de cuentas.

2 Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hubieran justificado.

3 Los datos personales se conservarán de acuerdo con las normas de conservación aplicables de la Agencia, que se definirán en los registros de protección de datos llevados conforme al artículo 31 del Reglamento. Al final del período de conservación, los datos personales se suprimirán, se anonimizarán o se transferirán a los archivos de conformidad con el artículo 13 del Reglamento.

1 Se informará sin demora al APD cuando los derechos de los interesados estén limitados de conformidad con la presente Decisión. Se le dará acceso a los registros correspondientes y a todos los documentos relativos al contexto fáctico o jurídico.

2 El APD podrá solicitar que se revisen las limitaciones aplicadas. La Agencia informará por escrito a su APD del resultado de la revisión.

3 La Agencia documentará la participación del APD en la aplicación de las limitaciones, incluida la información que se comparta con él.

4 Los responsables del tratamiento designados informarán al APD cuando se levante una limitación.

1 La Agencia incluirá una sección en los anuncios de protección de datos publicados en su sitio web y su intranet que proporcione información general a los interesados sobre las posibles limitaciones de sus derechos, de conformidad con el artículo 2, apartado 1. Esta información cubrirá los derechos que pueden ser objeto de limitaciones, los motivos por los que pueden aplicarse las limitaciones y su posible duración.

2 La Agencia informará a los interesados, individualmente, por escrito y sin demora injustificada, de las limitaciones actuales o futuras de sus derechos. La Agencia informará a los interesados de los motivos principales en los que se fundamenta la limitación aplicada, de su derecho a consultar al APD con el fin de impugnar la limitación y de su derecho a presentar una reclamación ante el SEPD.

3 La Agencia podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará si dicha acción es justificable caso por caso. Tan pronto como dicha comunicación de información deje de anular el efecto de la limitación, la Agencia facilitará la información a los interesados.

1 Cuando la Agencia tenga la obligación de comunicar una violación de la seguridad de los datos con arreglo al artículo 35, apartado 1, del Reglamento, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. La Agencia documentará en una nota los motivos de la limitación y su fundamento jurídico de conformidad con el artículo 2, e incluirá una evaluación de su necesidad y proporcionalidad. La nota se comunicará al SEPD en el momento en que se notifique la violación de la seguridad de los datos personales.

2 Cuando dejen de ser aplicables las razones de la limitación, la Agencia comunicará a los interesados la violación de la seguridad de los datos personales y le informará de los motivos principales de la limitación, así como de su derecho a presentar una reclamación ante el SEPD.

1 En circunstancias excepcionales, la Agencia podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas previsto en el artículo 36 del Reglamento. Dichas limitaciones se ajustarán a lo dispuesto en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo .

2 En caso de que la Agencia limite el derecho a la confidencialidad de las comunicaciones electrónicas, deberá informar a los interesados, en su respuesta a cualquier solicitud procedente de estos, de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el SEPD.

3 La Agencia podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará si dicha acción es justificable caso por caso.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.