DECISIÓN (UE) 2020/655 DEL BANCO CENTRAL EUROPEO

de 5 de mayo de 2020

por la que se adoptan normas complementarias sobre la protección de datos en el Banco Central Europeo y se deroga la Decisión BCE/2007/1 (BCE/2020/28)

EL COMITÉ EJECUTIVO DEL BANCO CENTRAL EUROPEO,

Visto el Tratado de Funcionamiento de la Unión Europea,

Vistos los Estatutos del Sistema Europeo de Bancos Centrales y del Banco Central Europeo, en particular el artículo 11.6,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1), en particular el artículo 45, apartado 3,

Considerando lo siguiente:

(1) El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (2) establece normas generales para proteger a las personas físicas en lo que respecta al tratamiento de datos personales y para garantizar la libre circulación de datos personales en la Unión.

(2) El Reglamento (UE) 2018/1725 deroga el Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo (3) y establece los principios y normas de protección de datos aplicables a las instituciones y organismos de la Unión.

(3) A fin de garantizar un tratamiento coherente de la protección de los datos personales en toda la Unión y la libre circulación de dichos datos en ella, es necesario adaptar en lo posible las normas de protección de datos aplicables a las instituciones y organismos de la Unión a las normas de protección de datos adoptadas para el sector público en los Estados miembros. Siempre que las disposiciones del Reglamento (UE) 2018/1725 sigan los mismos principios que las disposiciones del Reglamento (UE) 2016/679, ambos conjuntos de disposiciones deben interpretarse de manera homogénea, en particular porque debe entenderse que la estructura del Reglamento (UE) 2018/1725 es equivalente a la del Reglamento (UE) 2016/679.

(4) El artículo 43 del Reglamento (UE) 2018/1725 dispone que cada institución u organismo de la Unión designe un delegado de protección de datos. Según el artículo 45, apartado 3, de dicho reglamento, cada institución u organismo de la Unión debe adoptar normas complementarias respecto al delegado de protección de datos referidas en especial a las tareas, funciones y competencias de dicho delegado.

(5) Por razones de eficiencia y conforme a la práctica seguida hasta el momento, puede facultarse al responsable de la protección de datos del Banco Central Europeo (BCE) para ocuparse de las cuestiones de protección de datos relativas a la Junta Europea de Riesgo Sistémico (JERS) si la Junta General de la JERS decide designar al responsable de la protección de datos del BCE como responsable de la protección de datos de la JERS.

(6) Además, las normas complementarias deben regular el modo en que los interesados pueden ejercer sus derechos y el modo en que los responsables del tratamiento de los datos personales deben desempeñar sus funciones en las instituciones y organismos de la Unión.

(7) Aunque el BCE sea la persona jurídica encargada de proteger a las personas físicas en lo relativo al tratamiento de sus datos personales tanto en virtud del Reglamento (UE) 2018/1725 como de la presente Decisión, las operaciones de tratamiento de datos personales pueden llevarlas a cabo en la práctica diversas unidades organizativas del BCE.

(8) El Reglamento (UE) 2018/1725 pone a disposición de los interesados determinados recursos contra las instituciones de la Unión en materia de protección de datos, como el derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos, establecido en los artículos 63 y 68 de dicho reglamento. Por consiguiente, los empleados del BCE deben servirse de esos recursos cuando, como interesados, presenten reclamaciones sobre protección de datos a partir de la fecha de aplicación de la presente Decisión, en lugar de los recursos que se establecen en las Condiciones de contratación del personal del BCE.

(9) El BCE pretende establecer separadamente una serie de limitaciones a ciertos principios, derechos y obligaciones de protección de datos en circunstancias determinadas previstas en el artículo 25 del Reglamento (UE) 2018/1725, por lo que la presente Decisión debe aplicarse desde el 1 de noviembre de 2020 para que puedan establecerse esas limitaciones separadas.

(10) Dada la derogación del Reglamento (CE) n.o 45/2001 por el Reglamento (UE) 2018/1725, la presente Decisión debe derogar la Decisión BCE/2007/1 (4) y sustituirla.

HA ADOPTADO LA PRESENTE DECISIÓN:

SECCIÓN 1

DISPOSICIONES GENERALES

Artículo 1 Objeto y ámbito de aplicación 1. La presente Decisión establece las normas generales que complementan el Reglamento (UE) 2018/1725 en lo relativo al BCE, en particular respecto del nombramiento y de las funciones, obligaciones y facultades del responsable de la protección de datos (RPD) del BCE. 2. La presente Decisión detalla además las funciones y obligaciones de los responsables del tratamiento de datos y de los coordinadores de la protección de datos, así como las normas con arreglo a las cuales los interesados pueden ejercer sus derechos.

Artículo 2 Definiciones A efectos de la presente Decisión, se entenderá por: 1) «responsable del tratamiento de datos»: el BCE y, en particular, la unidad organizativa del BCE que sola o conjuntamente con otras determina los fines y medios del tratamiento de datos personales; 2) «coordinador de la protección de datos»: un empleado del BCE que ayuda al responsable del tratamiento de datos y al RPD a desempeñar sus funciones conforme al Reglamento (UE) 2018/1725 y a la presente Decisión; 3) «interesado»: una persona física identificada o identificable; es identificable la persona cuya identidad pueda determinarse directa o indirectamente, en particular mediante identificadores tales como un nombre, un número de identificación, unos datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de esa persona; 4) «tratamiento»: el definido en el artículo 3, punto 3, del Reglamento (UE) 2018/1725; 5) «instituciones y organismos de la Unión»: las instituciones y organismos a que se refiere el artículo 3, punto 10, del Reglamento (UE) 2018/1725; 6) «encargado del tratamiento»: el definido en el artículo 3, punto 12, del Reglamento (UE) 2018/1725; 7) «datos personales»: los definidos en el artículo 3, punto 1, del Reglamento (UE) 2018/1725; 8) «consentimiento»: el definido en el artículo 3, punto 15, del Reglamento (UE) 2018/1725.

SECCIÓN 2

EL RESPONSABLE DE LA PROTECCIÓN DE DATOS

Artículo 3 Nombramiento, condición y cuestiones de organización 1. El Comité Ejecutivo: a) nombrará al RPD en razón de sus cualidades personales y profesionales, en especial su experiencia en la normativa y práctica de la protección de datos y su capacidad de desempeñar las funciones a que se refieren la presente Decisión y el artículo 45 del Reglamento (UE) 2018/1725; b) asignará al puesto de RPD un contrato de entre tres y cinco años que no será convertible en contrato por tiempo indefinido y que podrá prorrogarse hasta alcanzar una duración máxima de 10 años, conforme a lo establecido en las Condiciones de contratación del personal del Banco Central Europeo; c) comunicará el nombre del RPD al Supervisor Europeo de Protección de Datos (SEPD), según dispone el artículo 44, apartado 9, del Reglamento (UE) 2018/1725. 2. El Comité Ejecutivo velará por que el RPD pueda desempeñar las funciones a que se refiere el artículo 45 del Reglamento (UE) 2018/1725 con independencia y sin sujeción a instrucciones. No obstante su independencia: a) el RPD estará sujeto a las Condiciones de contratación del personal del Banco Central Europeo; b) a efectos administrativos y de la aplicación del marco laboral del BCE, se adscribirá al RPD a la Dirección General de Servicios Jurídicos del BCE; c) antes de evaluar el desempeño por el RPD de sus funciones, el encargado de la evaluación consultará con el SEPD y podrá escuchar también a otras partes interesadas del BCE. El RPD no sufrirá perjuicio alguno por el correcto desempeño de sus funciones; d) si el RPD deja de cumplir las condiciones requeridas para desempeñar sus funciones, el Comité Ejecutivo podrá destituirlo previo consentimiento del SEPD, según lo dispuesto en el artículo 44, apartado 8, del Reglamento (UE) 2018/1725. 3. El Comité Ejecutivo podrá nombrar a un RPD adjunto que estará sujeto a lo dispuesto en los apartados 1 y 2. El RPD adjunto ayudará al RPD a desempeñar sus funciones y lo sustituirá cuando esté ausente. 4. Todo empleado del BCE que ayude al RPD en cuestiones de protección de datos actuará exclusivamente con arreglo a las instrucciones del RPD y estará sujeto a obligaciones de confidencialidad y secreto profesional conforme al artículo 44, apartado 5, del Reglamento (UE) 2018/1725, conjuntamente con el artículo 37 de los Estatutos del SEBC. 5. Conforme a la habilitación del artículo 43, apartado 2, del Reglamento (UE) 2018/1725, y a solicitud de la JERS, podrá autorizarse al RPD a que desempeñe las funciones del artículo 45 de dicho reglamento también respecto de la JERS.

Artículo 4 Funciones del responsable de la protección de datos El RPD desempeñará las funciones enumeradas en el artículo 45 del Reglamento (UE) 2018/1725, en particular: a) informar y asesorar al Comité Ejecutivo, a los responsables del tratamiento de datos, al Comité de personal y a los coordinadores de la protección de datos, y responder a las consultas de los interesados o de cualquiera de las partes mencionadas, por lo que respecta a la interpretación y aplicación en el BCE de las disposiciones sobre protección de datos; b) investigar, por propia iniciativa o a solicitud del Comité Ejecutivo, de un responsable del tratamiento de datos, del Comité de personal o de un interesado, asuntos e incidentes relacionados con la protección de datos, e informar a la persona que haya solicitado la investigación; c) llevar un registro central de las actividades de tratamiento de datos en el BCE, conforme a lo dispuesto en el artículo 31 del Reglamento (UE) 2018/1725 y en el artículo 9 de la presente Decisión; d) ayudar a los responsables del tratamiento de datos, si lo solicitan, a preparar evaluaciones de impacto y otros escritos para la consulta previa al SEPD conforme a los artículos 39 y 40 del Reglamento (UE) 2018/1725; e) responder a las solicitudes del SEPD y, dentro de sus competencias, cooperar con el SEPD; f) cooperar con los RPD de otras instituciones y organismos de la Unión, de los bancos centrales nacionales y de las autoridades nacionales competentes, en particular: i) intercambiando conocimientos técnicos basados en la experiencia; ii) representando al BCE en todo debate, salvo en juicio, sobre cuestiones de protección de datos, y iii) participando en comités y órganos interinstitucionales; g) garantizar de modo independiente la aplicación del Reglamento (UE) 2018/1725 en el BCE, vigilando su cumplimiento, el del resto del derecho de la Unión que contenga disposiciones sobre protección de datos y el de las normas del BCE y de sus encargados del tratamiento relativas a la protección de datos personales, inclusive por lo que respecta a la atribución de funciones, la concienciación y formación del personal del BCE que participe en el tratamiento, y las auditorías correspondientes.

Artículo 5 Facultades del responsable de la protección de datos En el desempeño de sus funciones conforme al artículo 4, el RPD podrá: a) solicitar información de cualquier dependencia del BCE sobre toda cuestión relacionada con el desempeño de las funciones del RPD; b) acceder en todo momento a los datos personales en tramitación, a todas las instalaciones del BCE y a toda información, operación de tratamiento de datos y base de datos; c) dictaminar sobre la legalidad de las operaciones de tratamiento de datos propuestas o en curso; sobre las medidas requeridas para que esas operaciones sean legales; sobre la idoneidad de las medidas de protección de datos, y sobre cualquier cuestión relativa a las operaciones de tratamiento de datos; d) informar al Comité Ejecutivo de toda cuestión relativa a la protección de datos, incluido el incumplimiento por empleados del BCE de las disposiciones del Reglamento (UE) 2018/1725 y de cualesquiera otras disposiciones de la Unión sobre protección de datos aplicables al BCE; e) solicitar la inclusión de puntos relativos a la protección de datos en el orden del día de las reuniones del Comité Ejecutivo, y presentarle la documentación pertinente a estos efectos; f) llevar a cabo verificaciones de cumplimiento respecto de las operaciones de tratamiento de datos que efectúen los responsables del tratamiento de datos o se efectúen en su nombre; g) limitar el tratamiento de datos que no cumpla las disposiciones del Reglamento (UE) 2018/1725, de la presente Decisión o del resto del derecho de la Unión sobre protección de datos; h) informar al SEPD de toda cuestión de protección de datos para la que se requiera su orientación.

Artículo 6 El responsable de la protección de datos y el procedimiento de investigación 1. Toda solicitud de investigación en virtud del artículo 4, letra b), se dirigirá al RPD por escrito. 2. El RPD acusará recibo de la solicitud a que se refiere el apartado 1 en los siete días hábiles siguientes a su recepción. 3. El RPD podrá investigar el asunto objeto de la solicitud in situ y solicitar del responsable del tratamiento de datos un informe escrito. El responsable del tratamiento de datos responderá la solicitud del RPD en los 20 días hábiles siguientes a su recepción. El RPD podrá solicitar en todo momento información o ayuda complementaria de cualquier dependencia del BCE, que la facilitará en los 20 días hábiles siguientes a la recepción de la solicitud. 4. El RPD examinará los hechos y cuestiones relativos a la investigación con imparcialidad y con la consideración debida a los derechos de los interesados. Si lo considera apropiado, y sin perjuicio de lo dispuesto en el apartado 5, el RPD informará a las demás partes afectadas por la investigación. 5. El RPD velará por que se mantenga la confidencialidad de la solicitud y solo se divulgue en la medida en que lo exija la investigación, salvo que el interesado consienta en que la solicitud no se trate de modo confidencial. 6. El RPD informará de la investigación al solicitante en los tres meses naturales siguientes a la recepción de la solicitud.

SECCIÓN 3

EL RESPONSABLE DE LA PROTECCIÓN DE DATOS, LOS RESPONSABLES DEL TRATAMIENTO DE DATOS Y LOS COORDINADORES DE LA PROTECCIÓN DE DATOS

Artículo 7 Funciones de los responsables del tratamiento de datos 1. Los responsables del tratamiento de datos velarán por que todas las operaciones de tratamiento de datos personales que se ejecuten en su esfera de responsabilidad cumplan el Reglamento (UE) 2018/1725 y las demás disposiciones de la Unión sobre protección de datos que sean aplicables al BCE. 2. Los responsables del tratamiento de datos velarán por que el RPD sea informado sin demoras indebidas: a) de toda cuestión que afecte o pueda afectar a la protección de datos; b) antes de su adopción, de todo dictamen, documento o medida o decisión internas que pueda afectar al cumplimiento de las normas de protección de datos por el BCE; c) de todo incumplimiento de las normas de protección de datos personales u otro incidente que afecte a dicha protección; d) de toda interacción directa de los responsables del tratamiento de datos con el SEPD. 3. En particular, los responsables del tratamiento de datos: a) consultarán oportunamente al RPD toda actividad relativa al tratamiento de datos personales u otras cuestiones sobre protección de datos; b) efectuarán y aprobarán evaluaciones de impacto relativas a la protección de datos en cooperación con el RPD y conforme al artículo 39 del Reglamento (UE) 2018/1725; c) aplicarán todas las medidas internas pertinentes relacionadas con el tratamiento de datos personales u otras cuestiones de protección de datos; d) en cooperación con los coordinadores de la protección de datos, mantendrán y actualizarán periódicamente un registro de las actividades de tratamiento de datos, de acuerdo con lo dispuesto en el artículo 31, apartado 5, del Reglamento (UE) 2018/1725, y utilizando las plantillas que apruebe el RPD. 4. Cuando ayuden al RPD y al SEPD a desempeñar sus funciones, los responsables del tratamiento de datos les facilitarán información completa y acceso a los datos personales, y responderán a sus preguntas en los 20 días hábiles siguientes a su recepción.

Artículo 8 Los coordinadores de la protección de datos 1. Los coordinadores de la protección de datos ayudarán a los responsables del tratamiento de datos a desempeñar sus funciones, ya sea por propia iniciativa o a solicitud de los responsables del tratamiento de datos. Los coordinadores de la protección de datos cooperarán con los responsables del tratamiento de datos, que les facilitarán toda la información necesaria. 2. Los coordinadores de la protección de datos ayudarán al RPD a: a) identificar a los responsables del tratamiento de datos en operaciones relativas a datos personales; b) difundir el asesoramiento del RPD y apoyar a los responsables del tratamiento de datos conforme a las orientaciones del RPD; c) apoyar a los responsables del tratamiento de datos en lo relativo al mantenimiento del registro de las actividades de tratamiento de datos, conforme al artículo 31 del Reglamento (UE) 2018/1725, y velar por que el registro sea exacto y esté actualizado; d) abordar otras cuestiones relativas a las funciones del RPD, según acuerden el RPD y los superiores de los coordinadores de la protección de datos. 3. Normalmente, los coordinadores de la protección de datos serán especialistas en gestión de la información o tendrán la experiencia o el adiestramiento pertinentes.

Artículo 9 Registro central 1. Los responsables del tratamiento de datos presentarán su registro de las actividades de tratamiento de datos al RPD, que lo llevará a un registro central. 2. El registro central servirá de archivo de todas las actividades de tratamiento de datos personales efectuadas en el BCE; será una fuente de información para los interesados y facilitará el ejercicio de sus derechos conforme a los artículos 17 a 24 del Reglamento (UE) 2018/1725; será de público acceso y contendrá como mínimo la información a que se refiere el artículo 31, apartado 1, letras a) a g), del Reglamento (UE) 2018/1725.

Artículo 10 Corresponsables del tratamiento de datos 1. Las obligaciones respectivas en materia de protección de datos de los corresponsables del tratamiento de datos se establecerán de acuerdo con el artículo 28 del Reglamento (UE) 2018/1725. 2. Cuando el BCE actúe como corresponsable del tratamiento de datos junto con otro u otros responsables del tratamiento de datos, la responsabilidades de los corresponsables del tratamiento de datos en cuanto al cumplimiento de las obligaciones de protección de datos se determinarán por acuerdo entre ellos salvo en la medida en que vengan determinadas por el derecho de la Unión o del Estado miembro que obligue a los corresponsables del tratamiento de datos.

SECCIÓN 4

DERECHOS DE LOS INTERESADOS

Artículo 11 Ejercicio de los derechos de los interesados 1. Los interesados podrán ponerse en contacto con el responsable del tratamiento de datos que corresponda para ejercer sus derechos conforme a los artículos 17 a 24 del Reglamento (UE) 2018/1725. 2. Los derechos de los interesados solo podrán ejercerlos ellos mismos o sus representantes debidamente autorizados. El ejercicio de estos derechos será gratuito. 3. Las solicitudes de ejercicio de los derechos de los interesados se dirigirán por escrito o, si procede, por medios electrónicos, al responsable del tratamiento de datos correspondiente, el cual acusará recibo de la solicitud en los cinco días hábiles siguientes a su recepción, enviará al interesado los datos de contacto del RPD y le informará de que puede presentar una reclamación al SEPD o acudir a la justicia. 4. Si el responsable del tratamiento de datos correspondiente tiene dudas razonables acerca de la identidad del interesado o su representante autorizado, podrá solicitar la información complementaria necesaria para su identificación. Si el interesado está representado por persona autorizada, el responsable del tratamiento de datos correspondiente verificará también la autorización. El responsable del tratamiento de datos correspondiente podrá solicitar del interesado información complementaria para aclarar la solicitud del interesado y resolverla eficazmente. 5. Conforme al artículo 14, apartados 3 y 4, del Reglamento (UE) 2018/1725, el responsable del tratamiento de datos correspondiente facilitará al interesado sin dilaciones indebidas y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud, información sobre su actuación con relación a la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de las solicitudes de interesados recibidas por el responsable del tratamiento de datos correspondiente. Este informará de toda prórroga al interesado en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. 6. El responsable del tratamiento de datos correspondiente responderá la solicitud del interesado por escrito, si procede, y lo hará también por medios electrónicos si se ha presentado por estos. 7. El interesado podrá ponerse en contacto con el RPD en todo momento, en particular si: a) el responsable del tratamiento de datos correspondiente no respeta los plazos de los apartados 3 y 5; b) el interesado no está conforme con la actuación del responsable del tratamiento de datos correspondiente; c) el interesado desea presentar una reclamación al SEPD. El RPD asesorará al responsable del tratamiento de datos correspondiente sobre la actuación que proceda. 8. Cuando las solicitudes del interesado sean manifiestamente infundadas o excesivas, en particular por su reiteración, el responsable del tratamiento de datos correspondiente, previa consulta al RPD, podrá rehusar la solicitud conforme al artículo 14, apartado 5, del Reglamento (UE) 2018/1725, y comunicarlo al interesado.

Artículo 12 Recursos Los recursos que las Condiciones de contratación del Banco Central Europeo ponen a disposición de los empleados del BCE no se aplicarán a las reclamaciones sobre protección de datos.

SECCIÓN 5

DISPOSICIONES FINALES

Artículo 13 Derogación Se deroga la Decisión BCE/2007/1 con efectos a partir del 1 de noviembre de 2020. Las referencias a la Decisión BCE/2007/1 se entenderán hechas a la presente Decisión y se interpretarán de acuerdo con el cuadro de correspondencias del anexo.

Artículo 14 Entrada en vigor La presente Decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.

Será de aplicación a partir del 1 de noviembre de 2020. Hecho en Fráncfort del Meno, el 5 de mayo de 2020. La Presidenta del BCE Christine LAGARDE

(1) DO L 295 de 21.11.2018, p. 39.

(2) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(3) Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8 de 12.1.2001, p. 1).

(4) Decisión BCE/2007/1, de 17 de abril de 2007, por la que se adoptan normas complementarias sobre la protección de datos en el Banco Central Europeo (DO L 116 de 4.5.2007, p. 64).