C 163/1

DECISIÓN DE LA MESA DEL PARLAMENTO EUROPEO

de 3 de abril de 2019

sobre las normas de ejecución en materia de limitación de determinados derechos de los interesados en relación con la transferencia de datos personales por el Parlamento Europeo a las autoridades nacionales en el marco de investigaciones penales o financieras

(2019/C 163/01)

LA MESA DEL PARLAMENTO EUROPEO,

Visto el Tratado de Funcionamiento de la Unión Europea, y, en particular, su artículo 16,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (1) y, en particular, su artículo 25,

Visto el artículo 25, apartado 2, del Reglamento interno del Parlamento Europeo,

Visto el dictamen del Supervisor Europeo de Protección de Datos, de 28 de febrero de 2019, que fue consultado de conformidad con el artículo 41, apartado 2, del Reglamento (UE) 2018/1725,

Considerando lo siguiente:

(1) El Parlamento Europeo recibe solicitudes de transmisión de información y de copias de expedientes administrativos y documentos de las autoridades nacionales responsables de investigaciones penales o financieras.

(2) El Parlamento Europeo debe facilitar a las autoridades nacionales la información y los documentos que dichas autoridades le soliciten, con arreglo al principio de cooperación leal consagrado en el artículo 4, apartado 3, del Tratado de la Unión Europea.

(3) La transmisión a las autoridades nacionales de la información y los documentos solicitados puede incluir datos personales.

(4) El presidente, el secretario general o los servicios designados por ellos podrán transferir la información y los documentos solicitados, y actuarán como responsables del tratamiento a efectos de dichas transferencias.

(5) En este marco, el Parlamento Europeo está obligado a respetar los derechos fundamentales de los interesados, consagrados en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea, en el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea y en el Reglamento (UE) 2018/1725, en particular el derecho a recibir información sobre el tratamiento.

(6) No obstante, el Parlamento Europeo podrá verse obligado a limitar la aplicación de los artículos 4, 14 a 21, 35 y 36 del Reglamento (UE) 2018/1725 en lo que respecta a la operación de transferencia, con el fin de proteger, en particular, la finalidad y la confidencialidad de las investigaciones penales y financieras nacionales.

(7) El Parlamento Europeo debe llevar a cabo, caso por caso, una evaluación de la necesidad y la proporcionalidad de la limitación, teniendo en cuenta los riesgos para los derechos y libertades de los interesados, antes de aplicar cualquier limitación particular; el Parlamento Europeo debe justificar por qué las limitaciones son estrictamente necesarias y proporcionadas en una sociedad democrática y respetan el contenido esencial de los derechos y libertades fundamentales de que se trate.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1 Objeto y ámbito de aplicación de las limitaciones 1. La presente Decisión establece las condiciones en las que el Parlamento Europeo puede limitar la aplicación de los artículos 4, 14 a 21, 35 y 36 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25, apartado 1, letras b), e) y f), de dicho Reglamento, cuando facilite a las autoridades nacionales la información y los documentos que soliciten en el marco de investigaciones penales o financieras. 2. La presente Decisión se aplica al tratamiento de datos personales, en particular la transferencia de datos personales, por el Parlamento Europeo con el fin de facilitar a las autoridades nacionales la información y los documentos que soliciten en el marco de investigaciones penales o financieras. 3. El presidente, el secretario general o los servicios designados por ellos podrán transferir la información y los documentos solicitados, y actuarán como responsables del tratamiento a efectos de dicha transferencia. 4. La presente Decisión se aplica a las siguientes categorías de datos personales: a) datos de identificación; b) datos de contacto; c) datos profesionales; d) datos financieros; e) comunicaciones electrónicas; f) datos de tráfico; g) datos de videovigilancia; h) grabaciones sonoras; i) datos sobre la presencia de personas; j) todos los demás datos relacionados con el objeto de la investigación de que se trate realizada por las autoridades nacionales.

Artículo 2 Salvaguardias 1. Los datos personales se almacenarán en un entorno físico y electrónico seguro que impida el acceso ilícito o la transferencia de datos a personas que no tienen necesidad de conocerlos. 2. Una vez finalizado el tratamiento, los datos personales se conservarán de conformidad con las normas aplicables del Parlamento Europeo (2). 3. Antes de aplicar una limitación determinada, se llevará a cabo una evaluación de la necesidad y la proporcionalidad de dicha limitación, de conformidad con el artículo 9.

Artículo 3 Limitaciones aplicables 1. Sin perjuicio de lo dispuesto en los artículos 4 a 10 de la presente Decisión, el responsable del tratamiento podrá limitar la aplicación de los artículos 14 a 21, 35 y 36 del Reglamento (UE) 2018/1725, así como su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 21 de dicho Reglamento, cuando el ejercicio de tales derechos ponga en peligro el objetivo y la confidencialidad de las investigaciones penales y financieras nacionales. 2. El responsable del tratamiento consignará y registrará los motivos de la limitación conforme a lo dispuesto en el artículo 9 de la presente Decisión.

Artículo 4 Suministro de información a los interesados 1. El Parlamento Europeo publicará en su sitio web un aviso de protección de datos que informe a todos los interesados sobre la posibilidad de que se transfieran sus datos personales en el contexto de la cooperación del Parlamento Europeo con las autoridades nacionales relacionada con investigaciones penales o financieras en curso, así como sobre las posibles limitaciones de sus derechos en este contexto. La información incluirá los derechos que pueden ser objeto de limitación, los motivos de dicha limitación, su posible duración y los recursos judiciales que pueden interponerse. 2. Si es posible, el responsable del tratamiento informará directamente a cada interesado, sin demora indebida y en la forma más adecuada, sobre sus derechos por lo que respecta a las limitaciones. En dicha información se indicarán los derechos que pueden ser objeto de limitación, los motivos de dicha limitación, su posible duración y los recursos judiciales que pueden interponerse.

Artículo 5 Derecho a recibir información 1. En caso de que el responsable del tratamiento limite el derecho de información a que se refieren los artículos 15 y 16 del Reglamento (UE) 2018/1725, se informará a los interesados, de conformidad con el artículo 25, apartado 6, del Reglamento, sobre los motivos principales que justifican la aplicación de la limitación y sobre su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos. 2. No obstante, tal suministro de información sobre la transferencia de datos personales a las autoridades nacionales y sobre la aplicación de una limitación podrá aplazarse, omitirse o denegarse, de conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, en tanto deje sin efecto la limitación. 3. En caso de que el responsable del tratamiento aplace, omita o deniegue, en su totalidad o en parte, el suministro de información a los interesados en el sentido del apartado 2, consignará y registrará los motivos de su proceder de conformidad con el artículo 9.

Artículo 6 Derecho de acceso de los interesados, derecho de rectificación, derecho de supresión, derecho a la limitación del tratamiento, obligación de notificación 1. En caso de que el responsable del tratamiento limite, en su totalidad o en parte, el derecho de acceso a los datos personales por parte de los interesados, el derecho de rectificación, el derecho de supresión o el derecho a la limitación del tratamiento contemplados en los artículos 17, 18, 19 y 20, respectivamente, del Reglamento (UE) 2018/1725, así como la obligación de notificación con arreglo al artículo 21 de dicho Reglamento, consignará y registrará los motivos de la limitación de conformidad con el artículo 9 de la presente Decisión. El responsable del tratamiento informará al interesado, en su respuesta a la solicitud de acceso, rectificación, supresión y limitación del tratamiento, sobre la limitación aplicada y los principales motivos de la misma, así como sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea. 2. El suministro de información sobre los motivos de la limitación a que se refiere el apartado 1 podrá aplazarse, omitirse o denegarse en tanto deje sin efecto la limitación. 3. El responsable del tratamiento registrará los motivos del aplazamiento, la omisión o la denegación de conformidad con el artículo 9. 4. En caso de que se limite total o parcialmente el derecho de acceso, el interesado ejercerá su derecho de acceso a través del Supervisor Europeo de Protección de Datos de conformidad con el artículo 25, apartados 6, 7 y 8, del Reglamento (UE) 2018/1725.

Artículo 7 Comunicación de violaciones de la seguridad de los datos personales a los interesados En caso de que el responsable del tratamiento limite el derecho del interesado a recibir la comunicación de una violación de la seguridad de los datos personales a que se refiere el artículo 35 del Reglamento (UE) 2018/1725, consignará y registrará los motivos de su proceder de conformidad con el artículo 9 de la presente Decisión.

Artículo 8 Confidencialidad de las comunicaciones electrónicas En caso de que el responsable del tratamiento limite el derecho de confidencialidad de las comunicaciones electrónicas contempladas en el artículo 36 del Reglamento (UE) 2018/1725, consignará y registrará los motivos de su proceder de conformidad con el artículo 9 de la presente Decisión.

Artículo 9 Evaluación de la necesidad y la proporcionalidad, consignación y registro de las limitaciones 1. Antes de aplicar cualquier limitación, el responsable del tratamiento evaluará la necesidad y la proporcionalidad de las limitaciones, teniendo en cuenta los elementos pertinentes del artículo 25, apartado 2, del Reglamento (UE) 2018/1725. Esta evaluación incluirá una evaluación de los riesgos para los derechos y libertades de los interesados de que se trate, en particular el riesgo de que sus datos personales puedan ser transferidos sin su conocimiento y consentimiento y que se les pueda impedir ejercer sus derechos de conformidad con dicho Reglamento. Se documentará mediante una nota de evaluación interna y se efectuará caso por caso. 2. El responsable del tratamiento registrará los motivos de cualquier limitación que aplique de conformidad con la presente Decisión, incluida la evaluación realizada de conformidad con el apartado 1. A tal efecto, en la consignación se indicará de qué manera el ejercicio de los derechos del interesado pondría en peligro el objetivo y la confidencialidad de las investigaciones penales y financieras nacionales. 3. Cuando, de conformidad con el Artículo 25, apartado, 8, del Reglamento (UE) 2018/1725, el responsable del tratamiento difiera, omita o niegue el suministro de información a un interesado sobre la aplicación de una limitación el responsable del tratamiento también registrará, cuando corresponda, los motivos de su proceder. 4. La consignación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se almacenarán en un archivo central. Dicha consignación y documentos se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

Artículo 10 Duración de las limitaciones 1. Las limitaciones a que se refieren los artículos 3, 5, 6, 7 y 8 seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen. 2. En caso de que dejen de estar justificados los motivos de una limitación contemplada en los artículos 3, 5, 6, 7 y 8, el responsable del tratamiento levantará la limitación y comunicará al interesado l los principales motivos para imponerla. Al mismo tiempo, el responsable del tratamiento informará al interesado de la posibilidad de presentar en todo momento una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea. 3. El responsable del tratamiento revisará la aplicación de las limitaciones a que se refieren los artículos 3, 5, 6, 7 y 8 cada seis meses a partir de su adopción y al cierre del procedimiento correspondiente.

Artículo 11 Revisión por parte del responsable de la protección de datos 1. El responsable de la protección de datos será informado, sin demora injustificada, cada vez que se limiten los derechos de los interesados con arreglo a lo dispuesto en la presente Decisión. A petición del responsable de la protección de datos, se facilitará al mismo el acceso a las consignaciones y a todos los documentos que contengan los elementos de hecho y de Derecho subyacentes. 2. El responsable de la protección de datos podrá solicitar al responsable del tratamiento una revisión de las limitaciones. El responsable de la protección de datos será informado por escrito sobre el resultado de la revisión solicitada. 3. Todos los intercambios de información con el responsable de la protección de datos que se produzcan a lo largo del procedimiento, de conformidad con los apartados 1 y 2, se consignarán de forma adecuada.

Artículo 12 Entrada en vigor La presente Decisión entrará en vigor al día siguiente de su publicación en el Diario Oficial de la Unión Europea.

(1) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

(2) Decisión de la Mesa, de 2 de julio de 2012, relativa a la gestión de documentos en el Parlamento Europeo.