# Jornal Oficial L 236/2020

| | ISSN 1977-0774 |
| --- | --- |
| Jornal Oficial
  da União Europeia | L 236 |
| | |
| Edição em língua portuguesa | Legislação | 63.° ano22 de julho de 2020 |

ISSN 1977-0774

Jornal Oficial

da União Europeia

L 236

Edição em língua portuguesa

Legislação

63.° ano22 de julho de 2020

---

| Índice | | II   Atos não legislativos | Página |
| --- | --- | --- | --- |
| | | REGULAMENTOS INTERNOS E DE PROCESSO |
| | * | Decisão do Fundo Europeu de Investimento, de 4 de junho de 2020, relativo às regras internas em matéria de limitações de determinados direitos dos titulares dos dados no que diz respeito ao tratamento de dados pessoais no âmbito das atividades realizadas pelo Fundo Europeu de Investimento | 1 |
| | * | Decisão n.o 1/2020 do Conselho de Administração da empresa comum Shift2Rail, de 26 de março de 2020, que estabelece regras internas em matéria de limitações de determinados direitos dos titulares de dados no que diz respeito ao tratamento de dados pessoais no âmbito do funcionamento da empresa comum S2R | 7 |

Índice

II   Atos não legislativos

Página

REGULAMENTOS INTERNOS E DE PROCESSO

*

Decisão do Fundo Europeu de Investimento, de 4 de junho de 2020, relativo às regras internas em matéria de limitações de determinados direitos dos titulares dos dados no que diz respeito ao tratamento de dados pessoais no âmbito das atividades realizadas pelo Fundo Europeu de Investimento

1

*

Decisão n.o 1/2020 do Conselho de Administração da empresa comum Shift2Rail, de 26 de março de 2020, que estabelece regras internas em matéria de limitações de determinados direitos dos titulares de dados no que diz respeito ao tratamento de dados pessoais no âmbito do funcionamento da empresa comum S2R

o

7

| PT | Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.
  Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes. |
| --- | --- |

PT

Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.

Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes.

---

II Atos não legislativos

REGULAMENTOS INTERNOS E DE PROCESSO

| 22.7.2020 | PT | Jornal Oficial da União Europeia | L 236/1 |
| --- | --- | --- | --- |

22.7.2020

PT

Jornal Oficial da União Europeia

L 236/1

---

DECISÃO DO FUNDO EUROPEU DE INVESTIMENTO

de 4 de junho de 2020

relativo às regras internas em matéria de limitações de determinados direitos dos titulares dos dados no que diz respeito ao tratamento de dados pessoais no âmbito das atividades realizadas pelo Fundo Europeu de Investimento

O FUNDO EUROPEU DE INVESTIMENTO (FEI),

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1) (a seguir designado «o regulamento»), nomeadamente o seu artigo 25.o,

Tendo em conta o parecer (2) da Autoridade Europeia para a Proteção de Dados (AEPD),

Considerando o seguinte:

| (1) | O Departamento de Conformidade do FEI pode, no contexto do seu funcionamento, conduzir inquéritos administrativos com base no Código de Conduta do Pessoal do Grupo BEI, o que implica o tratamento de informações que incluem dados pessoais. |
| --- | --- |

(1)

O Departamento de Conformidade do FEI pode, no contexto do seu funcionamento, conduzir inquéritos administrativos com base no Código de Conduta do Pessoal do Grupo BEI, o que implica o tratamento de informações que incluem dados pessoais.

| (2) | O Encarregado da Proteção de Dados (EPD) do FEI pode, por iniciativa própria ou a pedido do responsável pelo tratamento ou de qualquer pessoa, investigar questões e factos diretamente relacionados com as suas funções de que tenha tido conhecimento e, se necessário, informar a pessoa que solicitou a investigação ou o responsável pelo tratamento, em conformidade com o artigo 45.o, n.o 2, do regulamento. |
| --- | --- |

(2)

O Encarregado da Proteção de Dados (EPD) do FEI pode, por iniciativa própria ou a pedido do responsável pelo tratamento ou de qualquer pessoa, investigar questões e factos diretamente relacionados com as suas funções de que tenha tido conhecimento e, se necessário, informar a pessoa que solicitou a investigação ou o responsável pelo tratamento, em conformidade com o artigo 45.o, n.o 2, do regulamento.

| (3) | O Departamento de Gestão de Recursos Humanos do FEI pode, no contexto do seu funcionamento, conduzir processos disciplinares, com base na secção 6 do Regulamento de Pessoal do FEI, no título IV da política em matéria de dignidade no trabalho e nos códigos de conduta do FEI aplicáveis. |
| --- | --- |

(3)

O Departamento de Gestão de Recursos Humanos do FEI pode, no contexto do seu funcionamento, conduzir processos disciplinares, com base na secção 6 do Regulamento de Pessoal do FEI, no título IV da política em matéria de dignidade no trabalho e nos códigos de conduta do FEI aplicáveis.

| (4) | Os membros do Conselho de Administração do FEI, o Diretor-Geral, o Diretor-Geral Adjunto e os membros do pessoal, bem como as partes envolvidas em operações/transações têm a obrigação de comunicar à Divisão de Investigação de Fraudes do BEI (IG/IN) eventuais condutas proibidas (por exemplo, fraude e corrupção) lesivas dos interesses do FEI ou da União, e de comunicar a outros serviços competentes quaisquer condutas relacionadas com o exercício de atividades profissionais que possam constituir um incumprimento grave de quaisquer obrigações aplicáveis. Além disso, qualquer membro do público, indivíduo ou entidade pode comunicar uma alegada conduta proibida à IG/IN. |
| --- | --- |

(4)

Os membros do Conselho de Administração do FEI, o Diretor-Geral, o Diretor-Geral Adjunto e os membros do pessoal, bem como as partes envolvidas em operações/transações têm a obrigação de comunicar à Divisão de Investigação de Fraudes do BEI (IG/IN) eventuais condutas proibidas (por exemplo, fraude e corrupção) lesivas dos interesses do FEI ou da União, e de comunicar a outros serviços competentes quaisquer condutas relacionadas com o exercício de atividades profissionais que possam constituir um incumprimento grave de quaisquer obrigações aplicáveis. Além disso, qualquer membro do público, indivíduo ou entidade pode comunicar uma alegada conduta proibida à IG/IN.

| (5) | As investigações de condutas proibidas, tal como definidas na Política Antifraude do FEI, são conduzidas pela IG/IN, na qualidade de subcontratante, com base no acordo-quadro de prestação de serviços celebrado entre o FEI e o BEI. |
| --- | --- |

(5)

As investigações de condutas proibidas, tal como definidas na Política Antifraude do FEI, são conduzidas pela IG/IN, na qualidade de subcontratante, com base no acordo-quadro de prestação de serviços celebrado entre o FEI e o BEI.

| (6) | O FEI realiza auditorias às suas atividades. Atualmente, estas auditorias são realizadas através da Direção de Auditoria Interna do BEI, com base no acordo-quadro de prestação de serviços celebrado entre o FEI e o BEI. |
| --- | --- |

(6)

O FEI realiza auditorias às suas atividades. Atualmente, estas auditorias são realizadas através da Direção de Auditoria Interna do BEI, com base no acordo-quadro de prestação de serviços celebrado entre o FEI e o BEI.

| (7) | No contexto das tarefas descritas nos considerandos 1 a 6, o FEI pode prestar assistência e cooperação a outras instituições, órgãos e organismos da União e receber assistência e cooperação prestadas por estes, tal como estabelecido nos acordos de serviço, nos memorandos de entendimento e nos acordos de cooperação relevantes. |
| --- | --- |

(7)

No contexto das tarefas descritas nos considerandos 1 a 6, o FEI pode prestar assistência e cooperação a outras instituições, órgãos e organismos da União e receber assistência e cooperação prestadas por estes, tal como estabelecido nos acordos de serviço, nos memorandos de entendimento e nos acordos de cooperação relevantes.

| (8) | O FEI pode prestar assistência e cooperação a autoridades públicas dos Estados-Membros da UE e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa. |
| --- | --- |

(8)

O FEI pode prestar assistência e cooperação a autoridades públicas dos Estados-Membros da UE e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa.

| (9) | O FEI pode prestar assistência e cooperação a autoridades nacionais de países terceiros e a organizações internacionais e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa. |
| --- | --- |

(9)

O FEI pode prestar assistência e cooperação a autoridades nacionais de países terceiros e a organizações internacionais e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa.

| (10) | No contexto das atividades supramencionadas, o FEI, agindo na qualidade de responsável pelo tratamento de dados, ou qualquer um dos seus parceiros comerciais referidos no considerando 4, incluindo a Divisão de Investigação de Fraudes do BEI, agindo na qualidade de subcontratante, ou qualquer outro serviço competente, pode recolher e tratar informações e dados pessoais, incluindo dados de identificação de uma pessoa singular, dados de contacto, funções e tarefas profissionais, informações sobre conduta e desempenho privados e profissionais e dados financeiros. |
| --- | --- |

(10)

No contexto das atividades supramencionadas, o FEI, agindo na qualidade de responsável pelo tratamento de dados, ou qualquer um dos seus parceiros comerciais referidos no considerando 4, incluindo a Divisão de Investigação de Fraudes do BEI, agindo na qualidade de subcontratante, ou qualquer outro serviço competente, pode recolher e tratar informações e dados pessoais, incluindo dados de identificação de uma pessoa singular, dados de contacto, funções e tarefas profissionais, informações sobre conduta e desempenho privados e profissionais e dados financeiros.

| (11) | Existem garantias adequadas para proteger os dados pessoais e evitar o acesso e a transferência acidentais ou ilícitos, se forem conservados num ambiente físico ou eletrónico. Após o tratamento, os dados são conservados em conformidade com as regras de conservação aplicáveis do FEI, tal como definidas nos registos de proteção de dados com base no artigo 31.o do regulamento. No final do prazo de conservação, as informações relacionadas com os processos, incluindo os dados pessoais, são apagadas, totalmente anonimizadas ou transferidas para os arquivos históricos, em conformidade com os princípios da regulamentação europeia em matéria de proteção de dados e os atos regulamentares conexos ou as políticas do FEI. |
| --- | --- |

(11)

Existem garantias adequadas para proteger os dados pessoais e evitar o acesso e a transferência acidentais ou ilícitos, se forem conservados num ambiente físico ou eletrónico. Após o tratamento, os dados são conservados em conformidade com as regras de conservação aplicáveis do FEI, tal como definidas nos registos de proteção de dados com base no artigo 31.o do regulamento. No final do prazo de conservação, as informações relacionadas com os processos, incluindo os dados pessoais, são apagadas, totalmente anonimizadas ou transferidas para os arquivos históricos, em conformidade com os princípios da regulamentação europeia em matéria de proteção de dados e os atos regulamentares conexos ou as políticas do FEI.

| (12) | Neste contexto, o FEI está empenhado em cumprir a sua obrigação de informar os titulares dos dados sobre as atividades de tratamento supramencionadas e de respeitar os seus direitos, tal como previsto no regulamento. |
| --- | --- |

(12)

Neste contexto, o FEI está empenhado em cumprir a sua obrigação de informar os titulares dos dados sobre as atividades de tratamento supramencionadas e de respeitar os seus direitos, tal como previsto no regulamento.

| (13) | Pode ser necessário conciliar os direitos dos titulares dos dados nos termos do regulamento com as necessidades das atividades acima referidas, no pleno respeito pelos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o do regulamento prevê, sob condições estritas, a possibilidade de limitar a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, bem como do artigo 4.o, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 20.°. Neste caso, é necessário adotar regras internas com base nas quais o FEI possa limitar os direitos acima referidos dos titulares dos dados em conformidade com o mesmo artigo do regulamento. |
| --- | --- |

(13)

Pode ser necessário conciliar os direitos dos titulares dos dados nos termos do regulamento com as necessidades das atividades acima referidas, no pleno respeito pelos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o do regulamento prevê, sob condições estritas, a possibilidade de limitar a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, bem como do artigo 4.o, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 20.°. Neste caso, é necessário adotar regras internas com base nas quais o FEI possa limitar os direitos acima referidos dos titulares dos dados em conformidade com o mesmo artigo do regulamento.

| (14) | Tal poderá ser o caso, em especial, no contexto da prestação de informações sobre o tratamento de dados pessoais ao titular dos dados durante a fase de avaliação preliminar de um inquérito administrativo ou durante o próprio inquérito, antes de um eventual arquivamento do processo ou de uma fase pré-disciplinar. Em determinadas circunstâncias, a prestação dessas informações pode afetar seriamente a capacidade do FEI para conduzir o inquérito de forma eficaz, sempre que, por exemplo, exista o risco de a pessoa em causa destruir provas ou interferir com potenciais testemunhas antes de estas serem inquiridas. Além disso, o FEI poderá ter de proteger os direitos e as liberdades de outras pessoas envolvidas. Poderá ser necessário, nomeadamente, proteger a privacidade de uma testemunha ou de um denunciante que tenha pedido para não ser identificado. Nesse caso, o FEI pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais do denunciante e/ou de outras pessoas envolvidas, a fim de proteger os seus direitos e liberdades. |
| --- | --- |

(14)

Tal poderá ser o caso, em especial, no contexto da prestação de informações sobre o tratamento de dados pessoais ao titular dos dados durante a fase de avaliação preliminar de um inquérito administrativo ou durante o próprio inquérito, antes de um eventual arquivamento do processo ou de uma fase pré-disciplinar. Em determinadas circunstâncias, a prestação dessas informações pode afetar seriamente a capacidade do FEI para conduzir o inquérito de forma eficaz, sempre que, por exemplo, exista o risco de a pessoa em causa destruir provas ou interferir com potenciais testemunhas antes de estas serem inquiridas. Além disso, o FEI poderá ter de proteger os direitos e as liberdades de outras pessoas envolvidas. Poderá ser necessário, nomeadamente, proteger a privacidade de uma testemunha ou de um denunciante que tenha pedido para não ser identificado. Nesse caso, o FEI pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais do denunciante e/ou de outras pessoas envolvidas, a fim de proteger os seus direitos e liberdades.

| (15) | Ao prestar assistência e cooperação a outras instituições, órgãos e organismos da União, autoridades públicas dos Estados-Membros da UE, autoridades nacionais de países terceiros e organizações internacionais ou ao receber assistência e cooperação prestadas por estas no contexto das atividades acima referidas, o FEI poderá, em determinadas circunstâncias, e sob reserva da manutenção do nível mínimo de proteção de dados exigido pela AEPD, ter de preservar a eficácia dos seus inquéritos ou dos inquéritos realizados pela entidade com quem coopera e proteger, se necessário, as pessoas envolvidas e os seus direitos e liberdades. |
| --- | --- |

(15)

Ao prestar assistência e cooperação a outras instituições, órgãos e organismos da União, autoridades públicas dos Estados-Membros da UE, autoridades nacionais de países terceiros e organizações internacionais ou ao receber assistência e cooperação prestadas por estas no contexto das atividades acima referidas, o FEI poderá, em determinadas circunstâncias, e sob reserva da manutenção do nível mínimo de proteção de dados exigido pela AEPD, ter de preservar a eficácia dos seus inquéritos ou dos inquéritos realizados pela entidade com quem coopera e proteger, se necessário, as pessoas envolvidas e os seus direitos e liberdades.

| (16) | O FEI só deve aplicar limitações, desde que estas respeitem a essência dos direitos e das liberdades fundamentais e constituam uma medida estritamente necessária e proporcionada numa sociedade democrática. O FEI deve apresentar justificações que expliquem os motivos dessas limitações. |
| --- | --- |

(16)

O FEI só deve aplicar limitações, desde que estas respeitem a essência dos direitos e das liberdades fundamentais e constituam uma medida estritamente necessária e proporcionada numa sociedade democrática. O FEI deve apresentar justificações que expliquem os motivos dessas limitações.

| (17) | Com base no princípio da responsabilização, o FEI deve manter um registo da aplicação das limitações. |
| --- | --- |

(17)

Com base no princípio da responsabilização, o FEI deve manter um registo da aplicação das limitações.

| (18) | Ao proceder ao tratamento de dados pessoais trocados com outras organizações no âmbito das suas funções, o FEI deve consultar e ser consultado por essas organizações sobre os eventuais motivos relevantes para a imposição de limitações e a necessidade e proporcionalidade das mesmas, a menos que tal ponha em perigo as atividades do FEI. |
| --- | --- |

(18)

Ao proceder ao tratamento de dados pessoais trocados com outras organizações no âmbito das suas funções, o FEI deve consultar e ser consultado por essas organizações sobre os eventuais motivos relevantes para a imposição de limitações e a necessidade e proporcionalidade das mesmas, a menos que tal ponha em perigo as atividades do FEI.

| (19) | O artigo 25.o, n.o 6, do regulamento obriga o responsável pelo tratamento a informar os titulares dos dados dos principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD. |
| --- | --- |

(19)

O artigo 25.o, n.o 6, do regulamento obriga o responsável pelo tratamento a informar os titulares dos dados dos principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD.

| (20) | Nos termos do artigo 25.o, n.o 8, do regulamento, o FEI pode adiar, omitir ou recusar a comunicação das informações sobre os motivos para a aplicação de uma limitação ao titular dos dados, caso tal seja suscetível de anular o efeito da limitação imposta. O FEI deve avaliar caso a caso se a comunicação da limitação anularia o seu efeito. |
| --- | --- |

(20)

Nos termos do artigo 25.o, n.o 8, do regulamento, o FEI pode adiar, omitir ou recusar a comunicação das informações sobre os motivos para a aplicação de uma limitação ao titular dos dados, caso tal seja suscetível de anular o efeito da limitação imposta. O FEI deve avaliar caso a caso se a comunicação da limitação anularia o seu efeito.

| (21) | O EPD pode proceder a uma análise independente da aplicação das limitações, com vista a assegurar o cumprimento da presente decisão, |
| --- | --- |

(21)

O EPD pode proceder a uma análise independente da aplicação das limitações, com vista a assegurar o cumprimento da presente decisão,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

Objeto e âmbito de aplicação

A presente decisão estabelece regras relativas às condições em que o FEI pode limitar a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, bem como do artigo 4.o, com base no artigo 25.o do regulamento.

o

o

o

o

o

o

Artigo 2.o

Limitações

1.   Em conformidade com o artigo 25.o, n.o 1, do regulamento, o FEI pode, exclusivamente caso a caso, limitar a aplicação dos artigos 14.o a 20.o, dos artigos 35.o e 36.o, bem como do artigo 4.o, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 20.o, quando:

| a) | conduzir inquéritos administrativos, com base no Código de Conduta do Pessoal do Grupo BEI e noutros códigos de conduta aplicáveis. |
| --- | --- |

a)

conduzir inquéritos administrativos, com base no Código de Conduta do Pessoal do Grupo BEI e noutros códigos de conduta aplicáveis.

| b) | conduzir investigações sobre questões e factos diretamente relacionados com as funções do EPD, nos termos do artigo 45.o, n.o 2, do regulamento. |
| --- | --- |

b)

conduzir investigações sobre questões e factos diretamente relacionados com as funções do EPD, nos termos do artigo 45.o, n.o 2, do regulamento.

| c) | conduzir processos disciplinares, com base na secção 6 do Regulamento de Pessoal do FEI, no título IV da política em matéria de dignidade no trabalho, no Código de Conduta do Pessoal do Grupo BEI e noutros códigos de conduta do FEI aplicáveis. |
| --- | --- |

c)

conduzir processos disciplinares, com base na secção 6 do Regulamento de Pessoal do FEI, no título IV da política em matéria de dignidade no trabalho, no Código de Conduta do Pessoal do Grupo BEI e noutros códigos de conduta do FEI aplicáveis.

| d) | assegurar que os membros do pessoal do FEI possam comunicar de forma confidencial factos quando considerem que existem irregularidades graves, tal como previsto na Política de Deteção e Denúncia de Fraudes do Grupo BEI. |
| --- | --- |

d)

assegurar que os membros do pessoal do FEI possam comunicar de forma confidencial factos quando considerem que existem irregularidades graves, tal como previsto na Política de Deteção e Denúncia de Fraudes do Grupo BEI.

| e) | assegurar que os membros do pessoal do FEI possam comunicar de forma confidencial factos quando considerem que existem suspeitas de condutas proibidas, nomeadamente fraude e corrupção, lesivas dos interesses da União, ou de condutas relacionadas com o exercício de atividades profissionais que possam constituir um incumprimento grave das obrigações dos membros do pessoal do FEI, conforme previsto na Política de Deteção e Denúncia de Fraudes do Grupo BEI, na Política Antifraude do FEI e nos códigos de conduta do FEI aplicáveis. |
| --- | --- |

e)

assegurar que os membros do pessoal do FEI possam comunicar de forma confidencial factos quando considerem que existem suspeitas de condutas proibidas, nomeadamente fraude e corrupção, lesivas dos interesses da União, ou de condutas relacionadas com o exercício de atividades profissionais que possam constituir um incumprimento grave das obrigações dos membros do pessoal do FEI, conforme previsto na Política de Deteção e Denúncia de Fraudes do Grupo BEI, na Política Antifraude do FEI e nos códigos de conduta do FEI aplicáveis.

| f) | realizar investigações de condutas proibidas, em conformidade com a Política Antifraude do FEI. |
| --- | --- |

f)

realizar investigações de condutas proibidas, em conformidade com a Política Antifraude do FEI.

| g) | realizar auditorias internas em relação a todas as atividades e departamentos do FEI. |
| --- | --- |

g)

realizar auditorias internas em relação a todas as atividades e departamentos do FEI.

| h) | prestar assistência e cooperação a outras instituições, órgãos e organismos da União ou receber assistência e cooperação prestadas por estes, no contexto das atividades supramencionadas, tal como estabelecido em acordos de serviço, memorandos de entendimento e acordos de cooperação relevantes. |
| --- | --- |

h)

prestar assistência e cooperação a outras instituições, órgãos e organismos da União ou receber assistência e cooperação prestadas por estes, no contexto das atividades supramencionadas, tal como estabelecido em acordos de serviço, memorandos de entendimento e acordos de cooperação relevantes.

| i) | prestar assistência e cooperação a autoridades públicas dos Estados-Membros da UE e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa. |
| --- | --- |

i)

prestar assistência e cooperação a autoridades públicas dos Estados-Membros da UE e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa.

| j) | prestar assistência e cooperação a autoridades nacionais de países terceiros e a organizações internacionais e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa. |
| --- | --- |

j)

prestar assistência e cooperação a autoridades nacionais de países terceiros e a organizações internacionais e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa.

2.   As categorias de dados podem incluir os dados de identificação de uma pessoa singular, dados de contacto, funções e tarefas profissionais, informações sobre conduta e desempenho privados e profissionais, dados respeitantes ao envolvimento no processo e dados financeiros.

3.   A aplicação das limitações acima referidas não prejudica a eventual aplicação do disposto no artigo 16.o, n.o 5, e no artigo 17.o, n.o 4, do regulamento, relativos, respetivamente, ao direito de informação quando os dados não tenham sido obtidos junto do titular dos dados e ao direito de acesso do titular dos dados.

4.   Qualquer limitação deve respeitar a essência dos direitos e das liberdades fundamentais e constituir uma medida necessária e proporcionada numa sociedade democrática, conforme referido no regulamento, nos correspondentes atos regulamentares ou nas políticas internas do FEI ou do Grupo BEI.

5.   Todas as limitações devem ter por base uma autorização expressa prevista numa política ou procedimento interno do FEI em vigor e só devem afetar os direitos do(s) titular(es) dos dados na medida estritamente necessária, de acordo com as indicações do EPD.

6.   Antes da aplicação das limitações, deve ser realizada, caso a caso, uma avaliação da sua necessidade e proporcionalidade a contento do EPD. As limitações devem restringir-se ao estritamente necessário para alcançar os objetivos estabelecidos. As limitações só devem ser mantidas durante o tempo exigido pelo motivo previsto no n.o 1 indicado para a sua imposição, conforme demonstrado a contento do EPD.

7.   Se a IG/IN limitar, no todo ou em parte, a comunicação da informação aos titulares dos dados relevantes para uma investigação (pessoa em causa, testemunha ou informador), deve documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação. Para o efeito, a documentação deve indicar de que forma a comunicação da informação comprometeria a finalidade das atividades de investigação da IG/IN ou das limitações aplicadas nos termos do artigo 2.o, n.o 1, alíneas f), g) e h), da presente decisão, ou prejudicaria os direitos e as liberdades de outros titulares de dados. A documentação e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. Devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados (AEPD), a pedido desta.

8.   O FEI deve apresentar, para efeitos de responsabilização, um documento que descreva as razões para as limitações aplicadas, quais os motivos enumerados no n.o 1 que se aplicam e os resultados da avaliação da necessidade e da proporcionalidade. Esse documento deve ser incluído num registo ad hoc, que será facultado à AEPD, a pedido desta.

9.   Ao proceder ao tratamento de dados pessoais trocados com outras organizações no âmbito das suas funções, o FEI deve consultar e ser consultado por essas organizações sobre os eventuais motivos relevantes para a imposição de limitações e a necessidade e proporcionalidade das mesmas, a menos que tal comprometa as atividades do FEI.

Artigo 3.o

Riscos para os direitos e as liberdades dos titulares de dados

A avaliação dos riscos para os direitos e as liberdades dos titulares dos dados cujos dados pessoais possam ser objeto de limitações, bem como o respetivo prazo de conservação, são referidos no registo das atividades de tratamento pertinentes, em conformidade com o artigo 31.o do regulamento e, se for caso disso, em avaliações de impacto relativas à proteção de dados pertinentes baseadas no artigo 39.o do regulamento.

o

o

Artigo 4.o

Prazos de conservação e garantias

O FEI deve aplicar garantias para evitar o abuso ou o acesso ou transferência ilícitos de dados pessoais que possam estar sujeitos a limitações. Estas garantias devem incluir medidas técnicas e organizativas e ser especificadas, conforme necessário, em decisões, procedimentos e regras de execução internas do FEI. As garantias devem incluir:

| 1. | uma definição adequada das funções, responsabilidades e etapas processuais; |
| --- | --- |

1.

uma definição adequada das funções, responsabilidades e etapas processuais;

| 2. | se for caso disso, um ambiente eletrónico seguro que impeça o acesso ou a transferência ilícitos ou acidentais de dados eletrónicos para pessoas não autorizadas; |
| --- | --- |

2.

se for caso disso, um ambiente eletrónico seguro que impeça o acesso ou a transferência ilícitos ou acidentais de dados eletrónicos para pessoas não autorizadas;

| 3. | se for caso disso, o armazenamento seguro e o tratamento de documentos em papel; |
| --- | --- |

3.

se for caso disso, o armazenamento seguro e o tratamento de documentos em papel;

| 4. | a monitorização adequada das limitações e uma revisão periódica pelo EPD, a efetuar pelo menos de seis em seis meses. Deve também ser efetuada uma revisão em caso de alteração de elementos essenciais do processo em questão. As limitações devem ser levantadas assim que as circunstâncias que as justificam deixem de se aplicar. |
| --- | --- |

4.

a monitorização adequada das limitações e uma revisão periódica pelo EPD, a efetuar pelo menos de seis em seis meses. Deve também ser efetuada uma revisão em caso de alteração de elementos essenciais do processo em questão. As limitações devem ser levantadas assim que as circunstâncias que as justificam deixem de se aplicar.

Artigo 5.o

Informação e reexame pelo Encarregado da Proteção de Dados

1.   O EPD deve ser informado sem demora injustificada sempre que os direitos de um titular dos dados forem limitados em conformidade com a presente decisão e deve ser-lhe facultado acesso pleno e incondicional a todos os registos e documentos que contêm elementos factuais e jurídicos subjacentes que sejam relevantes para a decisão sobre a limitação e o controlo da manutenção da limitação.

2.   O EPD pode pedir para reexaminar a aplicação da limitação.

3.   Se, no decurso das suas próprias investigações, o EPD aplicar limitações, informará do facto o responsável pelo tratamento, sem demora injustificada.

4.   A participação do EPD no procedimento de limitação, incluindo o intercâmbio de informações, deve ser documentada de forma adequada e mencionada na documentação e nos registos pertinentes.

5.   No contexto da investigação de condutas proibidas, a Divisão de Investigação de Fraudes do BEI consultará o EPD antes da aplicação de determinados motivos, referidos no artigo 25.o do regulamento, para limitar as operações de tratamento de dados realizadas no âmbito das suas tarefas estabelecidas na Política Antifraude do FEI, na Carta da Divisão de Investigação de Fraudes e nos procedimentos de investigação.

Artigo 6.o

Informação dos titulares dos dados sobre as limitações dos seus direitos

1.   O FEI deve incluir nos anúncios de proteção de dados publicados no seu sítio Web informações gerais destinadas aos titulares dos dados sobre as eventuais limitações de todos os direitos dos titulares dos dados a que se refere o artigo 2.o, n.o 1. As informações devem abranger os direitos que podem ser limitados.

2.   O FEI deve informar individualmente os titulares dos dados sobre as limitações atuais ou futuras dos seus direitos, sem demora injustificada e por escrito, tal como especificado nos artigos 7.o, 8.o e 9.°.

Artigo 7.o

Direito à informação dos titulares dos dados e comunicação sobre violações de dados

1.   Se, no contexto das atividades mencionadas na presente decisão, o FEI limitar, total ou parcialmente, os direitos dos titulares dos dados mencionados nos artigos 14.o a 16.o e no artigo 35.o do regulamento, estes devem ser informados dos principais motivos da aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD, bem como de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia. Essa limitação deve obedecer às regras estabelecidas e ao processo descrito na presente decisão.

2.   O FEI pode adiar, omitir ou recusar a comunicação de informações sobre os motivos da limitação referida no n.o 1, se e na medida em que essa comunicação for suscetível de comprometer a finalidade da limitação. Esta avaliação deve ser efetuada caso a caso. Qualquer adiamento ou recusa deve ser devidamente justificado a contento do EPD e será incluído nos documentos e registos pertinentes. Para evitar dúvidas, os titulares dos dados em causa devem ser informados do seu direito de apresentar uma reclamação à AEPD, bem como de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia, contra a decisão de adiar ou recusar a comunicação das informações a que se refere o n.o 1.

Artigo 8.o

Direito de acesso, retificação, apagamento e limitação do tratamento que assiste aos titulares dos dados

1.   Se, no contexto das atividades mencionadas na presente decisão, o FEI limitar, total ou parcialmente, o direito de acesso aos dados pessoais, o direito de retificação, apagamento e limitação do tratamento, a que se referem, respetivamente, os artigos 17.o a 20.° do regulamento, deve informar o titular dos dados em causa, na sua resposta ao pedido, dos principais motivos da aplicação da limitação e da possibilidade de apresentar uma reclamação à AEPD ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia.

2.   Caso o direito de acesso seja total ou parcialmente limitado, o FEI, ao analisar o pedido, deve apenas informar o titular dos dados se os dados foram corretamente tratados e, em caso negativo, se as correções necessárias foram introduzidas, em conformidade com o artigo 25.o, n.o 7, do regulamento.

3.   O FEI pode adiar, omitir ou recusar a comunicação de informações sobre os motivos da limitação referida nos n.os 1 e 2, se e na medida em que essa comunicação for suscetível de comprometer a finalidade da limitação. Esta avaliação deve ser efetuada caso a caso e deve obedecer às regras estabelecidas e ao processo descrito na presente decisão.

Artigo 9.o

Confidencialidade das comunicações eletrónicas

1.   O FEI pode, em circunstâncias excecionais e em conformidade com as disposições e os fundamentos da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (3), limitar o direito à confidencialidade das comunicações eletrónicas, tal como referido no artigo 36.o do regulamento. Neste caso, o FEI deve especificar as circunstâncias, os motivos, os riscos relevantes e as garantias conexas em regras internas específicas.

2.   Se o FEI limitar o direito à confidencialidade das comunicações eletrónicas, deve informar o titular dos dados em causa, na sua resposta ao pedido, dos principais motivos da aplicação da limitação e da possibilidade de apresentar uma reclamação à AEPD ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia.

3.   O FEI pode adiar, omitir ou recusar a comunicação de informações sobre os motivos da limitação referida nos n.os 1 e 2, se e na medida em que essa comunicação for suscetível de anular o efeito da limitação. Esta avaliação deve ser efetuada caso a caso.

Artigo 10.o

Entrada em vigor

A presente decisão e eventuais alterações ao mesmo devem ser aprovados pelo Conselho de Administração do FEI e entram em vigor no vigésimo dia após a sua publicação no Jornal Oficial da União Europeia.

Jornal Oficial da União Europeia

Feito no Luxemburgo, em 4 de junho de 2020.

---

(1)  
  JO L 295 de 21.11.2018, p. 39.

1

(2)  Observações e recomendações da AEDP de 20 de fevereiro de 2020 [DH/CCP/ALS/D(2020) 0372 C2019-1114].

2

(3)  Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO L 201 de 31.7.2002, p. 37).

3

---

| 22.7.2020 | PT | Jornal Oficial da União Europeia | L 236/7 |
| --- | --- | --- | --- |

22.7.2020

PT

Jornal Oficial da União Europeia

L 236/7

---

DECISÃO n.o 1/2020 DO CONSELHO DE ADMINISTRAÇÃO DA EMPRESA COMUM SHIFT2RAIL

de 26 de março de 2020

que estabelece regras internas em matéria de limitações de determinados direitos dos titulares de dados no que diz respeito ao tratamento de dados pessoais no âmbito do funcionamento da empresa comum S2R

O CONSELHO DE ADMINISTRAÇÃO DA EMPRESA COMUM SHIFT2RAIL (a seguir designada por «EC S2R»)

Tendo em conta o Tratado sobre o Funcionamento da União Europeia (1),

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (2), e em especial o seu artigo 25.o,

Tendo em conta o Regulamento (UE) n.o 642/2014 do Conselho, de 16 de junho de 2014, que cria a empresa comum Shift2Rail (3), e em especial o artigo 8.o dos estatutos anexos ao regulamento,

Tendo em conta as Orientações da Autoridade Europeia para a Proteção de Dados sobre o artigo 25.o do novo regulamento e as regras internas,

Após consulta à AEPD em 12 de novembro de 2019, em conformidade com o artigo 41.o, n.o 2, do Regulamento (UE) 2018/1725,

Tendo em conta as recomendações da Autoridade Europeia para a Proteção de Dados («AEPD») de 18 de dezembro de 2019,

Após consulta ao Comité do Pessoal da EC S2R,

Considerando o seguinte:

| (1) | Apenas os atos normativos adotados com base nos Tratados preveem uma limitação dos direitos dos titulares dos dados. Nos casos em que estas limitações não possam basear-se em atos normativos adotados com base nos Tratados, o Regulamento (UE) 2018/1725 prevê que, em matérias relacionadas com as operações da EC S2R, as limitações podem ser previstas por regras internas, incluindo as suas disposições sobre a avaliação da necessidade e da proporcionalidade de uma limitação. |
| --- | --- |

(1)

Apenas os atos normativos adotados com base nos Tratados preveem uma limitação dos direitos dos titulares dos dados. Nos casos em que estas limitações não possam basear-se em atos normativos adotados com base nos Tratados, o Regulamento (UE) 2018/1725 prevê que, em matérias relacionadas com as operações da EC S2R, as limitações podem ser previstas por regras internas, incluindo as suas disposições sobre a avaliação da necessidade e da proporcionalidade de uma limitação.

| (2) | Em conformidade com o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, as limitações à aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o desse Regulamento, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 22.o, devem basear-se nas regras internas a adotar pela EC S2R. |
| --- | --- |

(2)

Em conformidade com o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, as limitações à aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o desse Regulamento, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 22.o, devem basear-se nas regras internas a adotar pela EC S2R.

| (3) | No contexto do seu funcionamento administrativo, a EC S2R pode conduzir inquéritos administrativos e processos disciplinares, levar a cabo atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncias, tratar procedimentos (formais e informais) de assédio, tratar reclamações internas e externas, realizar auditorias internas, levar a cabo investigações, através do encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e realizar investigações em matéria de segurança (informática) interna. |
| --- | --- |

(3)

No contexto do seu funcionamento administrativo, a EC S2R pode conduzir inquéritos administrativos e processos disciplinares, levar a cabo atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncias, tratar procedimentos (formais e informais) de assédio, tratar reclamações internas e externas, realizar auditorias internas, levar a cabo investigações, através do encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e realizar investigações em matéria de segurança (informática) interna.

| (4) | A EC S2R trata várias categorias de dados pessoais, tais como dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego, e dados relacionados com o caso (como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com o âmbito da matéria a que se refere o procedimento ou a atividade ou apresentados nesse âmbito) (4). |
| --- | --- |

(4)

A EC S2R trata várias categorias de dados pessoais, tais como dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego, e dados relacionados com o caso (como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com o âmbito da matéria a que se refere o procedimento ou a atividade ou apresentados nesse âmbito) (4).

| (5) | A EC S2R, representada pelo seu diretor-executivo, atua como responsável pelo tratamento. |
| --- | --- |

(5)

A EC S2R, representada pelo seu diretor-executivo, atua como responsável pelo tratamento.

| (6) | Os dados pessoais são armazenados em segurança num ambiente eletrónico ou em papel, evitando o acesso ou a transferência ilícitos de dados para pessoas que não tenham de os conhecer. Os dados pessoais tratados são conservados apenas durante o tempo necessário e adequado às finalidades do respetivo tratamento, num período especificado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos da EC S2R. |
| --- | --- |

(6)

Os dados pessoais são armazenados em segurança num ambiente eletrónico ou em papel, evitando o acesso ou a transferência ilícitos de dados para pessoas que não tenham de os conhecer. Os dados pessoais tratados são conservados apenas durante o tempo necessário e adequado às finalidades do respetivo tratamento, num período especificado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos da EC S2R.

| (7) | Estas regras internas devem aplicar-se a todas as operações de tratamento realizadas pela EC S2R no âmbito de inquéritos administrativos, processos disciplinares, atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, procedimentos de denúncia, procedimentos (formais e informais) relativos a casos de assédio, tratamento de reclamações internas e externas, auditorias internas, investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e investigações em matéria de segurança (informática) interna, levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). |
| --- | --- |

(7)

Estas regras internas devem aplicar-se a todas as operações de tratamento realizadas pela EC S2R no âmbito de inquéritos administrativos, processos disciplinares, atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, procedimentos de denúncia, procedimentos (formais e informais) relativos a casos de assédio, tratamento de reclamações internas e externas, auditorias internas, investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e investigações em matéria de segurança (informática) interna, levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE).

| (8) | Devem aplicar-se a operações de tratamento realizadas antes do início dos procedimentos acima referidos, ao longo dos mesmos e durante a supervisão do seguimento dado aos resultados de tais procedimentos. Devem ainda abranger a assistência e a cooperação disponibilizadas pela EC S2R, fora do âmbito das suas investigações administrativas, a autoridades nacionais e a organizações internacionais. |
| --- | --- |

(8)

Devem aplicar-se a operações de tratamento realizadas antes do início dos procedimentos acima referidos, ao longo dos mesmos e durante a supervisão do seguimento dado aos resultados de tais procedimentos. Devem ainda abranger a assistência e a cooperação disponibilizadas pela EC S2R, fora do âmbito das suas investigações administrativas, a autoridades nacionais e a organizações internacionais.

| (9) | Sempre que tais regras internas se apliquem, a EC S2R tem de apresentar justificações em que explique o motivo pelo qual as limitações são estritamente necessárias e proporcionadas numa sociedade democrática, e a forma como respeitam a essência dos direitos e liberdades fundamentais. |
| --- | --- |

(9)

Sempre que tais regras internas se apliquem, a EC S2R tem de apresentar justificações em que explique o motivo pelo qual as limitações são estritamente necessárias e proporcionadas numa sociedade democrática, e a forma como respeitam a essência dos direitos e liberdades fundamentais.

| (10) | Neste contexto, compete à EC S2R respeitar tanto quanto possível, durante os procedimentos acima referidos, os direitos fundamentais dos titulares dos dados, em especial os relacionados com o direito de comunicação de informações, direito de acesso e retificação, direito ao apagamento, limitação do tratamento, direito de comunicação ao titular dos dados de uma violação de dados pessoais ou a confidencialidade da comunicação, conforme estabelecido no Regulamento (UE) 2018/1725. |
| --- | --- |

(10)

Neste contexto, compete à EC S2R respeitar tanto quanto possível, durante os procedimentos acima referidos, os direitos fundamentais dos titulares dos dados, em especial os relacionados com o direito de comunicação de informações, direito de acesso e retificação, direito ao apagamento, limitação do tratamento, direito de comunicação ao titular dos dados de uma violação de dados pessoais ou a confidencialidade da comunicação, conforme estabelecido no Regulamento (UE) 2018/1725.

| (11) | Contudo, a EC S2R poderá ser obrigada a limitar a comunicação de informações ao titular dos dados, e outros direitos deste, a fim de proteger, em especial, as suas próprias investigações, as investigações e processos de outras autoridades públicas, bem como os direitos de outras pessoas relacionadas com as suas investigações ou com outros procedimentos. |
| --- | --- |

(11)

Contudo, a EC S2R poderá ser obrigada a limitar a comunicação de informações ao titular dos dados, e outros direitos deste, a fim de proteger, em especial, as suas próprias investigações, as investigações e processos de outras autoridades públicas, bem como os direitos de outras pessoas relacionadas com as suas investigações ou com outros procedimentos.

| (12) | Sempre que a EC S2R pondere aplicar uma limitação, o risco para os direitos e as liberdades do titular dos dados será avaliado, em especial, face aos riscos para os direitos e liberdades de outros titulares dos dados e ao risco de anular o efeito de investigações ou procedimentos da EC S2R, nomeadamente através da destruição de provas. Os riscos para os direitos e liberdades do titular dos dados dizem respeito sobretudo, mas não exclusivamente, a riscos para a reputação e a riscos para o direito de defesa e o direito a ser ouvido. |
| --- | --- |

(12)

Sempre que a EC S2R pondere aplicar uma limitação, o risco para os direitos e as liberdades do titular dos dados será avaliado, em especial, face aos riscos para os direitos e liberdades de outros titulares dos dados e ao risco de anular o efeito de investigações ou procedimentos da EC S2R, nomeadamente através da destruição de provas. Os riscos para os direitos e liberdades do titular dos dados dizem respeito sobretudo, mas não exclusivamente, a riscos para a reputação e a riscos para o direito de defesa e o direito a ser ouvido.

| (13) | Assim, a EC S2R pode limitar a comunicação de informações para proteger a investigação e os direitos e liberdades fundamentais de outros titulares de dados. |
| --- | --- |

(13)

Assim, a EC S2R pode limitar a comunicação de informações para proteger a investigação e os direitos e liberdades fundamentais de outros titulares de dados.

| (14) | A EC S2R deve verificar regularmente se as condições que justificam a limitação ainda se mantêm e levantar essa limitação em caso negativo. |
| --- | --- |

(14)

A EC S2R deve verificar regularmente se as condições que justificam a limitação ainda se mantêm e levantar essa limitação em caso negativo.

| (15) | O responsável pelo tratamento deve informar o encarregado da proteção de dados aquando da prorrogação de uma limitação e durante as respetivas revisões, |
| --- | --- |

(15)

O responsável pelo tratamento deve informar o encarregado da proteção de dados aquando da prorrogação de uma limitação e durante as respetivas revisões,

ADOTOU A SEGUINTE DECISÃO:

Artigo 1.o

Objeto e âmbito

1.   A presente decisão estabelece as regras relativas às condições em que a EC S2R, no âmbito dos seus procedimentos descritos no n.o 2, pode limitar a aplicação dos direitos consagrados nos artigos 14.o a 21.o, 35.o e 36.o do Regulamento (UE) 2018/1725, bem como no artigo 4.o, conforme previsto no artigo 25.o do mesmo regulamento.

2.   No âmbito do funcionamento administrativo da EC S2R, a presente decisão aplica-se às operações de tratamento de dados pessoais realizadas pelo Gabinete de Programa com as seguintes finalidades: realizar inquéritos administrativos, processos disciplinares, atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncia, procedimentos (formais e informais) relativos a casos de assédio, tratar reclamações internas e externas, realizar auditorias internas, investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e investigações em matéria de segurança (informática), levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE).

3.   As categorias de dados em questão incluem dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego, e dados relacionados com o caso, como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com o âmbito da matéria a que se refere o procedimento ou a atividade ou apresentados nesse âmbito.

4.   Nos casos em que a EC S2R desempenha as suas funções relativamente a direitos do titular dos dados nos termos do Regulamento (UE) 2018/1725, deve ter em conta se são aplicáveis algumas das derrogações previstas nesse regulamento.

Artigo 2.o

Especificação do responsável pelo tratamento

O responsável pelas operações de tratamento é a EC S2R, representada pelo seu diretor-executivo.

Artigo 3.o

Especificação das salvaguardas

1.   A EC S2R deve implementar as seguintes salvaguardas para evitar o abuso ou o acesso ou transferência ilícitos de dados pessoais:

| a) | Os documentos em papel são mantidos em armários de arquivo seguros e estão acessíveis apenas a membros autorizados do pessoal; |
| --- | --- |

a)

Os documentos em papel são mantidos em armários de arquivo seguros e estão acessíveis apenas a membros autorizados do pessoal;

| b) | Todos os dados eletrónicos são conservados numa aplicação informática segura, de acordo com as normas de segurança da EC S2R, bem como em pastas eletrónicas específicas, acessíveis apenas a membros autorizados do pessoal. Os níveis adequados de acesso são concedidos individualmente; |
| --- | --- |

b)

Todos os dados eletrónicos são conservados numa aplicação informática segura, de acordo com as normas de segurança da EC S2R, bem como em pastas eletrónicas específicas, acessíveis apenas a membros autorizados do pessoal. Os níveis adequados de acesso são concedidos individualmente;

| c) | As bases de dados são protegidas por palavra-passe ao abrigo de um sistema único de assinatura e associadas automaticamente à ID e à palavra-passe do utilizador, incluindo a «pseudonimização» e a «cifragem» quando adequado. A substituição de utilizadores é estritamente proibida. Os registos eletrónicos são mantidos em segurança para salvaguardar a confidencialidade e a privacidade dos dados que contêm; |
| --- | --- |

c)

As bases de dados são protegidas por palavra-passe ao abrigo de um sistema único de assinatura e associadas automaticamente à ID e à palavra-passe do utilizador, incluindo a «pseudonimização» e a «cifragem» quando adequado. A substituição de utilizadores é estritamente proibida. Os registos eletrónicos são mantidos em segurança para salvaguardar a confidencialidade e a privacidade dos dados que contêm;

| d) | Todas as pessoas que disponham de acesso aos dados estão sujeitas à obrigação de confidencialidade. |
| --- | --- |

d)

Todas as pessoas que disponham de acesso aos dados estão sujeitas à obrigação de confidencialidade.

2.   Nos termos do n.o 3 do artigo 6.o, as garantias referidas no n.o 1 devem ser sujeitas a revisão periódica.

3.   O período de conservação dos dados pessoais mencionados no artigo 1.o, n.o 3, é indicado nos avisos de proteção de dados, nas declarações de privacidade ou nos registos referidos no artigo 7.o, n.o 1. Em qualquer caso, o período de conservação não excede o necessário e adequado para os fins a que se destina o tratamento dos dados (5).

Artigo 4.o

Fundamentos das limitações

1.   A EC S2R apenas aplica uma limitação a fim de salvaguardar:

| a) | a segurança nacional, a segurança pública e a defesa dos Estados-Membros; |
| --- | --- |

a)

a segurança nacional, a segurança pública e a defesa dos Estados-Membros;

| b) | a prevenção, a investigação, a deteção e a repressão de infrações penais, ou a execução de sanções penais, incluindo a salvaguarda da segurança pública e a prevenção de ameaças à segurança pública; |
| --- | --- |

b)

a prevenção, a investigação, a deteção e a repressão de infrações penais, ou a execução de sanções penais, incluindo a salvaguarda da segurança pública e a prevenção de ameaças à segurança pública;

| c) | outros objetivos importantes de interesse público geral da União ou de um Estado-Membro, nomeadamente os objetivos da política externa e de segurança comum da União, ou um interesse económico ou financeiro importante da União ou de um Estado-Membro, inclusive de ordem monetária, orçamental e fiscal, de saúde pública e de segurança social; |
| --- | --- |

c)

outros objetivos importantes de interesse público geral da União ou de um Estado-Membro, nomeadamente os objetivos da política externa e de segurança comum da União, ou um interesse económico ou financeiro importante da União ou de um Estado-Membro, inclusive de ordem monetária, orçamental e fiscal, de saúde pública e de segurança social;

| d) | a segurança interna das instituições e dos órgãos da União, incluindo a das suas redes de comunicações eletrónicas; |
| --- | --- |

d)

a segurança interna das instituições e dos órgãos da União, incluindo a das suas redes de comunicações eletrónicas;

| e) | a prevenção, a investigação, a deteção e a repressão de violações da deontologia das profissões regulamentadas; |
| --- | --- |

e)

a prevenção, a investigação, a deteção e a repressão de violações da deontologia das profissões regulamentadas;

| f) | uma missão de controlo, de inspeção ou de regulamentação associada, ainda que ocasionalmente, ao exercício da autoridade pública, nos casos referidos nas alíneas a) a c); |
| --- | --- |

f)

uma missão de controlo, de inspeção ou de regulamentação associada, ainda que ocasionalmente, ao exercício da autoridade pública, nos casos referidos nas alíneas a) a c);

| g) | a defesa do titular dos dados ou dos direitos e liberdades de terceiros; |
| --- | --- |

g)

a defesa do titular dos dados ou dos direitos e liberdades de terceiros;

| h) | a execução de ações cíveis. |
| --- | --- |

h)

a execução de ações cíveis.

2.   Enquanto aplicação específica dos fins descritos no n.o 1 acima, a EC S2R pode aplicar limitações nas seguintes circunstâncias:

| a) | em relação aos dados pessoais trocados com serviços da Comissão ou com outras instituições, órgãos, agências e organismos da União;






  — | se o exercício desses direitos puder ser limitado pelos serviços da Comissão ou por outras instituições, órgãos e agências da União com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725, ou em conformidade com o capítulo IX desse regulamento, ou com os atos constitutivos de outras instituições, órgãos, agências e organismos da União; |
| --- | --- | --- |

a)

em relação aos dados pessoais trocados com serviços da Comissão ou com outras instituições, órgãos, agências e organismos da União;

—

se o exercício desses direitos puder ser limitado pelos serviços da Comissão ou por outras instituições, órgãos e agências da União com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725, ou em conformidade com o capítulo IX desse regulamento, ou com os atos constitutivos de outras instituições, órgãos, agências e organismos da União;

| — | nos casos em que a finalidade dessa limitação por parte de tal serviço da Comissão, instituição, órgão ou agência da União possa ser comprometida se a EC S2R não aplicar uma limitação equivalente relativamente aos mesmos dados pessoais. |
| --- | --- |

—

nos casos em que a finalidade dessa limitação por parte de tal serviço da Comissão, instituição, órgão ou agência da União possa ser comprometida se a EC S2R não aplicar uma limitação equivalente relativamente aos mesmos dados pessoais.

| b) | em relação a dados pessoais trocados com as autoridades competentes dos Estados-Membros;






  — | se o exercício desses direitos puder ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (6), ou ao abrigo de medidas nacionais de transposição dos artigos 13.o, n.o 3, 15.o, n.o 3, ou 16.°, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (7); |
| --- | --- | --- |

b)

em relação a dados pessoais trocados com as autoridades competentes dos Estados-Membros;

—

se o exercício desses direitos puder ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (6), ou ao abrigo de medidas nacionais de transposição dos artigos 13.o, n.o 3, 15.o, n.o 3, ou 16.°, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (7);

| — | nos casos em que a finalidade dessa limitação por parte dessa autoridade possa ser comprometida se a EC S2R não aplicar uma limitação equivalente relativamente aos mesmos dados pessoais. |
| --- | --- |

—

nos casos em que a finalidade dessa limitação por parte dessa autoridade possa ser comprometida se a EC S2R não aplicar uma limitação equivalente relativamente aos mesmos dados pessoais.

| c) | em relação a dados pessoais trocados com países terceiros ou organizações internacionais, sempre que existam provas claras de que o exercício desses direitos e obrigações é suscetível de comprometer a cooperação da EC S2R com países terceiros ou organizações internacionais no exercício das suas funções. |
| --- | --- |

c)

em relação a dados pessoais trocados com países terceiros ou organizações internacionais, sempre que existam provas claras de que o exercício desses direitos e obrigações é suscetível de comprometer a cooperação da EC S2R com países terceiros ou organizações internacionais no exercício das suas funções.

Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do n.o 1, a EC S2R consulta os serviços competentes da Comissão, as outras instituições, órgãos, agências e organismos da União ou as autoridades competentes dos Estados-Membros, salvo se para a EC S2R for claro que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas.

Artigo 5.o

Limitações e direitos dos titulares dos dados

1.   Em casos devidamente fundamentados, e nas condições definidas na presente decisão, os seguintes direitos podem ser limitados pelo responsável pelo tratamento no contexto das operações de tratamento enumeradas no artigo 1.o, n.o 2, e no n.o 2 abaixo, quando necessário e proporcionado:

| a) | direito à informação; |
| --- | --- |

a)

direito à informação;

| b) | direito de acesso; |
| --- | --- |

b)

direito de acesso;

| c) | direito de retificação, apagamento e limitação do tratamento; |
| --- | --- |

c)

direito de retificação, apagamento e limitação do tratamento;

| d) | direito de comunicar uma violação de dados pessoais ao titular dos dados; |
| --- | --- |

d)

direito de comunicar uma violação de dados pessoais ao titular dos dados;

| e) | direito à confidencialidade das comunicações eletrónicas; |
| --- | --- |

e)

direito à confidencialidade das comunicações eletrónicas;

2.   Em casos devidamente fundamentados e a fim de salvaguardar as finalidades referidas no artigo 4.o, n.o 1, o responsável pelo tratamento pode aplicar limitações no contexto das seguintes operações de tratamento referidas no artigo 1.o, n.o 2:

| a) | realização de inquéritos administrativos e de processos disciplinares; |
| --- | --- |

a)

realização de inquéritos administrativos e de processos disciplinares;

| b) | atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; |
| --- | --- |

b)

atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF;

| c) | procedimentos de denúncia; |
| --- | --- |

c)

procedimentos de denúncia;

| d) | procedimentos (formais e informais) relativos a casos de assédio; |
| --- | --- |

d)

procedimentos (formais e informais) relativos a casos de assédio;

| e) | tratamento de reclamações internas e externas; |
| --- | --- |

e)

tratamento de reclamações internas e externas;

| f) | auditorias internas; |
| --- | --- |

f)

auditorias internas;

| g) | investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (EU) 2018/1725; |
| --- | --- |

g)

investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (EU) 2018/1725;

| h) | investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE); |
| --- | --- |

h)

investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE);

| i) | no âmbito do procedimento de gestão de subvenções ou de adjudicação de contratos, após a data-limite de apresentação dos convites à apresentação de propostas ou da candidatura dos proponentes. |
| --- | --- |

i)

no âmbito do procedimento de gestão de subvenções ou de adjudicação de contratos, após a data-limite de apresentação dos convites à apresentação de propostas ou da candidatura dos proponentes.

3.   No contexto do procedimento relativo a casos de assédio, os direitos referidos no n.o 1 podem ser limitados nas mesmas condições, com exceção do direito de comunicação de uma violação de dados pessoais ao titular dos dados, referido no n.o 1, alínea d).

4.   No âmbito do procedimento de gestão de subvenções ou de adjudicação de contratos, os direitos referidos no n.o 1 podem ser limitados nas mesmas condições, com exceção do direito de retificação, apagamento e limitação do tratamento, referido no n.o 1, alínea c).

5.   Em casos devidamente justificados e nas condições previstas na presente decisão, o direito de retificação, apagamento e limitação do tratamento pode ser limitado pelo responsável pelo tratamento, com as exceções previstas nos n.os 3 e 4.

6.   Se a EC S2R limitar, total ou parcialmente, a aplicação dos direitos referidos nos n.os 1, 3, 4 e 5, tomará as medidas previstas nos artigos 6.o e 7.o da presente decisão.

7.   Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no contexto de um ou mais casos específicos ou de uma determinada operação de tratamento, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, a EC S2R limita a sua apreciação do pedido unicamente a esses dados pessoais.

Artigo 6.o

Necessidade e proporcionalidade das limitações

1.   Qualquer limitação baseada no artigo 4.o é necessária e proporcionada, tendo em conta os riscos para os direitos e liberdades dos titulares dos dados, e respeita a essência dos direitos e liberdades fundamentais numa sociedade democrática.

2.   Se for ponderada a aplicação de uma limitação, é realizado um teste de necessidade e de proporcionalidade baseado nas presentes regras. O teste é realizado no quadro da revisão periódica, na sequência da avaliação da continuidade da aplicabilidade dos motivos de facto e de direito. Este teste é documentado, caso a caso, mediante uma nota de avaliação interna, para efeitos de responsabilização.

3.   As limitações são temporárias. Continuarão a ser aplicáveis enquanto os motivos que as justificam continuarem a ser aplicáveis. Em especial, é esse o caso quando se considera que o exercício do direito limitado já não anula o efeito da limitação imposta nem afeta negativamente os direitos ou liberdades de outros titulares de dados.

A EC S2R reexamina a aplicação da limitação semestralmente após a sua adoção e aquando do encerramento do inquérito, procedimento ou investigação pertinentes. Daí em diante, o responsável pelo tratamento deve verificar, de seis em seis meses, a necessidade de manter uma determinada limitação.

4.   Quando a EC S2R aplica, total ou parcialmente, as limitações baseadas no artigo 4.o da presente decisão, regista os motivos da limitação e o fundamento jurídico de acordo com o n.o 1 acima, incluindo uma avaliação da necessidade e da proporcionalidade da limitação.

O registo e, se for caso disso, os documentos que contêm os elementos de facto e de direito subjacentes são inscritos. Estes elementos são colocados à disposição da Autoridade Europeia para a Proteção de Dados, a pedido desta.

Artigo 7.o

Obrigação de informação

1.   Nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos, na aceção do artigo 31.o do Regulamento (UE) 2018/1725, publicados no seu sítio Web e/ou na intranet para informar os titulares dos dados acerca dos seus direitos no âmbito de um determinado procedimento, a EC S2R inclui informações relacionadas com a eventual limitação desses direitos. As informações abrangerão os direitos passíveis de serem limitados, bem como os motivos e a potencial duração.

Sem prejuízo do disposto no artigo 6.o, n.o 4, quando tal for proporcionado, a EC S2R também informará individualmente, por escrito e sem demora injustificada, todos os titulares dos dados que sejam considerados pessoas afetadas pela operação de tratamento em causa acerca dos seus direitos no que diz respeito a limitações presentes e futuras.

2.   Se a EC S2R limitar, total ou parcialmente, os direitos estabelecidos no artigo 5.o, deve informar o titular dos dados em causa da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de instaurar uma ação judicial no Tribunal de Justiça da União Europeia;

A comunicação das informações a que se refere o n.o 2 acima pode ser adiada, omitida ou recusada caso se presuma que anule o efeito da limitação, em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725.

Artigo 8.o

Reexame pelo encarregado da proteção de dados

1.   A EC S2R informa, sem demora injustificada, o seu encarregado da proteção de dados («o EPD») sempre que o responsável pelo tratamento limite a aplicação de direitos dos titulares dos dados, ou prorrogue a limitação, em conformidade com a presente decisão. O responsável pelo tratamento concede ao EPD acesso ao registo que contém a avaliação da necessidade e proporcionalidade da limitação, e documenta, nesse registo, a data em que informou o EPD.

2.   O EPD pode pedir por escrito, ao responsável pelo tratamento, o reexame da aplicação das limitações. O responsável pelo tratamento informa o EPD, por escrito, acerca do resultado do reexame solicitado.

3.   O EPD participará em todo o processo. O responsável pelo tratamento informa o EPD aquando do levantamento da limitação.

Artigo 9.o

Entrada em vigor

A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Jornal Oficial da União Europeia.

Feito em Bruxelas, em 26 de março de 2020.

Pelo Conselho de Administração do EC S2R

O Presidente

Henrik HOLOLEI

---

(1)  
  JO C 202 de 7.6.2016, p. 47.

1

(2)  
  JO L 295 de 21.11.2018, p. 39.

2

(3)  
  JO L 177 de 17.6.2014, p. 9.

3

(4)  Em caso de responsabilidade conjunta pelo tratamento, os dados devem ser tratados em conformidade com os meios e as finalidades estabelecidos no acordo aplicável entre os responsáveis conjuntos pelo tratamento nos termos definidos no artigo 28.o do Regulamento (UE) 2018/1725.

4

o

(5)  A política de conservação da S2R reflete a conservação dos ficheiros na Comissão, que é regulamentada pela lista de conservação comum, um documento regulamentar [cuja última versão tem o número SEC(2019) 900] sob a forma de um calendário de conservação que estabelece os períodos de conservação para os diferentes tipos de ficheiros da Comissão.

5

(6)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

6

(7)  Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).

7

---