Decisión 22/2023 del Consejo de Administración del Instituto Europeo de Innovación y Tecnología (EIT) relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco del funcionamiento del EIT

La presente Decisión establece normas relativas a las condiciones en las que el EIT puede limitar la aplicación de los artículos 14 a 20, 35 y 36, así como su artículo 4, sobre la base del artículo 25 del Reglamento (UE) 2018/1725.

1 El responsable de las operaciones de tratamiento es el EIT, representado por su director ejecutivo, quien podrá delegar la función de responsable del tratamiento de datos.

2 Se informará a los interesados de la identidad del responsable del tratamiento delegado por medio de registros de protección de datos o declaraciones de confidencialidad publicados en el sitio web o la intranet del EIT.

1 Cuando el EIT ejerza sus funciones en relación con los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho Reglamento (UE) 2018/1725.

2 De conformidad con el artículo 25, apartado 1, del Reglamento (UE) 2018/1725, el EIT podrá limitar la aplicación de los artículos 14 a 20, 35 y 36, así como su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20 del Reglamento (UE) 2018/1725: a) en virtud del artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento (UE) 2018/1725, cuando lleve a cabo una investigación administrativa o un procedimiento predisciplinario, disciplinario o de suspensión con arreglo al artículo 86 y el anexo IX del Estatuto de los funcionarios y la Decisión del Consejo de Administración del EIT por la que se establecen disposiciones generales de aplicación relativas a la realización de investigaciones administrativas y procedimientos disciplinarios, y cuando notifique casos a la OLAF; b) en virtud del artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725, en el curso de los procedimientos de denuncia de irregularidades, a fin de garantizar que los miembros del personal del EIT puedan informar confidencialmente de hechos cuando consideren que existen irregularidades graves, tal como se establece en la Decisión 33/2018 del Consejo de Administración del EIT por la que se establecen directrices en materia de denuncia de irregularidades; c) en virtud del artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725, en procedimientos formales e informales para casos de acoso para garantizar que los miembros del personal del EIT puedan informar confidencialmente a los consejeros confidenciales en el contexto de un procedimiento de acoso, tal como se define en la Decisión 16/2017 del Consejo de Administración del EIT sobre la política del EIT relativa a la protección de la dignidad de la persona y prevención del acoso psicológico y del acoso sexual, y la Decisión 28/2019 del director del EIT sobre la adopción de un manual de procedimientos informales para los casos de acoso psicológico y sexual; d) en virtud del artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725, cuando lleve a cabo auditorías internas o externas en relación con actividades o con unidades/departamentos del EIT; e) en virtud del artículo 25, apartado 1, letras c), d), g) y h) del Reglamento (UE) 2018/1725, cuando preste asistencia a otras instituciones, órganos y organismos de la Unión, cuando reciba asistencia de dichas instituciones, órganos y organismos o cuando coopere con estos en el contexto de las actividades contempladas en las letras a) a d) del presente apartado y con arreglo a los acuerdos de nivel servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes; f) En virtud del artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725, cuando preste asistencia a las autoridades nacionales y organizaciones internacionales de terceros países, cuando reciba asistencia de dichas autoridades y organizaciones o cuando coopere con estas, a petición de ellas o por iniciativa propia; g) en virtud del artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725, cuando preste asistencia a las autoridades públicas de los Estados miembros de la UE, cuando reciba asistencia de dichas autoridades o cuando coopere con estas, ya sea a petición de estas o por iniciativa propia; h) en virtud del artículo 25, apartado 1, letra e), del Reglamento (UE) 2018/1725, cuando se traten datos personales en documentos obtenidos por las partes o los coadyuvantes en el marco de procedimientos ante el Tribunal de Justicia de la Unión Europea, así como en caso de procedimientos iniciados por las autoridades o los órganos jurisdiccionales nacionales de un Estado miembro; i) en virtud del artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725, cuando el delegado de protección de datos esté llevando a cabo investigaciones sobre las actividades de tratamiento realizadas en el EIT de conformidad con la Decisión 01/2020 del director del Instituto Europeo de Innovación y Tecnología (EIT) , y en consonancia con el artículo 45, apartado 2, del Reglamento (UE) 2018/1725.

3 Las categorías de datos incluyen los datos de identificación de una persona física, la información de contacto, las funciones y tareas profesionales, la información sobre la conducta y el rendimiento profesional y privado, y los datos financieros.

4 Cualquier limitación respetará la esencia de los derechos y libertades fundamentales y será necesaria y proporcionada en una sociedad democrática.

5 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones y se documentará de forma adecuada. Las limitaciones se ceñirán a lo estrictamente necesario para alcanzar los objetivos fijados.

6 Las limitaciones deberán ser debidamente supervisadas por el responsable del tratamiento de datos y se efectuará una revisión periódica con una prueba de necesidad y proporcionalidad cada seis meses a partir de su adopción en consulta con el delegado de protección de datos.

7 Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hayan justificado. El responsable del tratamiento de datos, en consulta con el delegado de protección de datos, facilitará a los interesados la información sobre la posibilidad de presentar una reclamación ante el SEPD en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

8 A efectos de rendición de cuentas, el EIT elaborará un registro en el que se describirán los motivos de las limitaciones aplicadas, entre las enumeradas en el apartado 1, y el resultado de la prueba de necesidad y proporcionalidad. Dichos registros formarán parte de un registro ad hoc conservada por el delegado de protección de datos, que se pondrá a disposición del SEPD, previa solicitud. El EIT elaborará informes periódicos sobre la aplicación del artículo 25 del Reglamento (UE) 2018/1725.

9 Al tratar los datos personales procedentes de otras organizaciones en el contexto de sus funciones, el EIT consultará a dichas organizaciones sobre los posibles motivos de imposición de limitaciones y sobre la necesidad y proporcionalidad de las limitaciones de que se trate, a menos que ello ponga en peligro las actividades del EIT.

1 La evaluación de los riesgos para los derechos y libertades de los interesados cuyos datos personales puedan estar sujetos a limitaciones, así como su período de retención, se harán constar en el registro de las actividades de tratamiento que mantiene el EIT de conformidad con el artículo 31 del Reglamento (UE) 2018/1725 y, si procede, en las evaluaciones de impacto relativas a la protección de datos relacionadas con estas limitaciones realizadas de conformidad con el artículo 39 de dicho Reglamento.

2 Siempre que el EIT evalúe la necesidad y proporcionalidad de una limitación, tendrá en cuenta los posibles riesgos para los derechos y libertades del interesado.

1 El Tribunal aplicará salvaguardias para evitar abusos o accesos o transferencias ilícitos de datos personales que puedan estar sujetos a limitaciones. Estas salvaguardias incluirán medidas técnicas y organizativas apropiadas para proteger los datos personales contra su destrucción accidental o ilícita, pérdida accidental o divulgación no autorizada, alteración y acceso no autorizados o cualquier otra forma de tratamiento no autorizado y se detallarán como proceda en las decisiones internas, los procedimientos y las disposiciones de aplicación del EIT. Estas salvaguardias incluirán: a) una definición clara de las funciones, responsabilidades y procedimientos; b) si procede, un entorno electrónico seguro que impida el acceso o la transferencia ilícitos y accidentales de datos electrónicos a personas no autorizadas; c) si procede, un almacenamiento y tratamiento seguros de los documentos en soporte papel; d) la debida supervisión de las limitaciones y la revisión periódica de su aplicación. Las revisiones mencionadas en la letra d) se llevarán a cabo al menos cada seis meses.

2 Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hayan justificado.

3 El período de retención de los datos personales que pueden estar sujetos a limitaciones no superará el necesario ni el adecuado para los fines para los que se traten los datos. En cualquier caso, no será superior al período de retención especificado en los avisos de protección de datos, las declaraciones de confidencialidad o los registros de protección de datos mantenidos en virtud del artículo 31 del Reglamento (UE) 2018/1725. Al final del período de retención, los datos personales se suprimirán, anonimizarán o transferirán a los archivos de conformidad con el artículo 13 del Reglamento (UE) 2018/1725.

1 El delegado de protección de datos será informado sin demora indebida por el responsable del tratamiento de datos cuando los derechos de los interesados estén limitados de conformidad con la presente Decisión y se le facilitará acceso al registro que contenga la evaluación de la necesidad y la proporcionalidad, así como a cualquier documento que sustente los elementos de hecho y de derecho.

2 El delegado de protección de datos podrá solicitar que se revise la aplicación de una limitación. El EIT informará a su DPD por escrito del resultado de la revisión realizada por el responsable del tratamiento.

3 El responsable del tratamiento de los datos documentará de forma adecuada la participación del delegado de protección de datos en el procedimiento de limitación, incluidos los intercambios de información.

1 El EIT incluirá en los avisos sobre protección de datos que publique en su sitio web/intranet una sección en la que informará a todos los interesados sobre las actividades de tratamiento que impliquen el tratamiento de datos personales que podrían estar sujetos a limitaciones de conformidad con estas normas. La información detallará los derechos que puedan ser objeto de limitaciones, los motivos por los que pueden aplicarse limitaciones y su posible duración.

2 Los responsables del tratamiento de datos informarán, por escrito y sin demora, individualmente a los interesados que sean parte en un procedimiento, a las partes afectadas por los procedimientos o a los testigos, sobre las limitaciones actuales o futuras de sus derechos.

3 Cuando, en el contexto de las actividades mencionadas en la presente Decisión, el EIT limite, total o parcialmente, los derechos de los interesados mencionados en los artículos 14 a 16 y 35 del Reglamento (UE) 2018/1725, se les informará de las razones principales en las que se basa la aplicación de la limitación, así como de su derecho a consultar al delegado de protección de datos con vistas a impugnar la limitación, así como en relación con su derecho a presentar una reclamación ante el SEPD y de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

4 El EIT podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación mencionada en el apartado 1 y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Se evaluará si dicha acción es justificable caso por caso, en cooperación con el delegado de protección de datos. Tan pronto como dicha comunicación de información deje de anular el efecto de la limitación, el EIT facilitará la información al interesado.

1 Cuando el EIT tenga la obligación de comunicar una violación de la seguridad de los datos en virtud del artículo 35, apartado 1, del Reglamento (UE) 2018/1725, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente, Deberá documentar en una nota los motivos de la limitación, su fundamento jurídico de conformidad con el artículo 2 y una evaluación de su necesidad y proporcionalidad. La nota se comunicará al SEPD en el momento en que se notifique la violación de datos personales.

2 Cuando los motivos de la limitación dejen de ser aplicables, el EIT comunicará la violación de la seguridad de los datos personales al interesado y le informará de los principales motivos de la limitación y de su derecho a presentar una reclamación ante el SEPD.

1 En casos excepcionales, el EIT podrá limitar el derecho de confidencialidad de las comunicaciones electrónicas con arreglo al artículo 36 del Reglamento (UE) 2018/1725. Dichas limitaciones se ajustarán a lo dispuesto en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo.

2 Cuando el EIT limite el derecho a la confidencialidad de las comunicaciones electrónicas, se informará a los interesados, en la respuesta a su solicitud, de las razones principales en las que se basa la aplicación de la limitación, así como de su derecho a presentar una reclamación ante el SEPD y a interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

3 El EIT podrá aplazar, omitir o denegar la comunicación de información sobre los motivos de la limitación y el derecho a presentar una reclamación ante el SEPD en la medida en que ello anule el efecto de la limitación. Esta evaluación se realizará caso por caso en cooperación con el delegado de protección de datos.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.