PT Jornal Oficial da União Europeia L 193/7

DECISÃO DA COMISSÃO

de 3 de Junho de 2008

que adopta regras de execução referentes ao responsável pela protecção de dados, nos termos do n.o 8 do artigo 24.o do Regulamento (CE) n.o 45/2001 relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados

(2008/597/CE)

A COMISSÃO DAS COMUNIDADES EUROPEIAS,

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (1), nomeadamente o n.o 8 do artigo 24.o,

Considerando o seguinte:

(1) O Regulamento (CE) n.o 45/2001, a seguir designado «regulamento», define os princípios e regras aplicáveis a todas as instituições e órgãos comunitários e prevê que cada instituição e órgão da Comunidade nomeie um responsável pela protecção de dados.

(2) O n.o 8 do artigo 24.o do regulamento exige que as instituições e os órgãos comunitários adoptem regras de execução complementares referentes ao responsável pela protecção de dados, de acordo com as disposições que figuram no anexo. Estas regras devem incidir sobre as funções e as competências do responsável pela protecção de dados.

(3) A Decisão C(2002)/510 da Comissão, de 18 de Fevereiro de 2002 (2), cria o lugar de responsável pela protecção de dados (RPD) da Comissão e determina que este deve propor regras de execução complementares, depois de consultar as direcções-gerais, a fim de responder às necessidades e aproveitar a experiência adquirida,

DECIDE:

SECÇÃO 1

DISPOSIÇÕES GERAIS

Artigo 1.o

Definições

Para efeitos da presente decisão e sem prejuízo das definições previstas no regulamento, entende-se por:

— «Coordenador da protecção de dados» (a seguir designado «CPD»), o membro do pessoal de uma direcção-geral ou serviço que tenha sido nomeado pelo director-geral para coordenar todos os aspectos relacionados com a protecção de dados pessoais na respectiva direcção-geral;

— «Responsável pelo tratamento», definido na alínea d) do artigo 2.o e referido no n.o 2, alínea a), do artigo 25.o do regulamento, o funcionário responsável pela unidade que tenha determinado as finalidades e os meios de tratamento dos dados pessoais.

Artigo 2.o

Âmbito de aplicação

A presente decisão define as regras e os procedimentos aplicáveis ao desempenho da função de responsável pela protecção de dados na Comissão, segundo o disposto no n.o 8 do artigo 24.o do regulamento. Não se aplica às actividades da Comissão que se destinem a definir políticas em matéria de protecção dos particulares relativamente ao tratamento de dados pessoais.

SECÇÃO 2

RESPONSÁVEL PELA PROTECÇÃO DE DADOS

Artigo 3.o

Nomeação e estatuto

1. A Comissão deve nomear o RPD (3) e enviar o seu nome à Autoridade Europeia para a Protecção de Dados (a seguir designada «AEPD»).

2. O mandato do RPD tem a duração de cinco anos, podendo ser renovado uma única vez.

3. O RPD deve agir de forma independente no que se refere à aplicação interna das disposições do regulamento e não pode receber instruções relativas ao desempenho das suas funções.

4. O RPD deve ser escolhido de entre o pessoal da Comissão de acordo com os procedimentos aplicáveis. Além dos requisitos previstos no n.o 2 do artigo 24.o do regulamento, o RPD deve ter um bom conhecimento dos serviços da Comissão, da sua estrutura e das regras e procedimentos aplicáveis. Deve ter bons conhecimentos no domínio da protecção de dados, bem como de sistemas, princípios e métodos de informação. Deve ser capaz de mostrar discernimento e manter a imparcialidade e a objectividade, como prevê o Estatuto dos Funcionários.

5. Nos termos do regulamento, o RPD só pode ser exonerado das suas funções com o acordo da Autoridade Europeia para a Protecção de Dados e se deixar de preencher as condições exigidas para o desempenho dessas funções. Cabe à Comissão, sob proposta do Secretário-Geral com o acordo do Director-Geral do Pessoal e da Administração, determinar se o RPD deixou de preencher as condições exigidas para o desempenho das suas funções.

6. Sem prejuízo das disposições pertinentes do regulamento, o RPD e o seu pessoal estão sujeitos às regras e regulamentos aplicáveis aos funcionários das Comunidades Europeias.

Artigo 4.o

Funções

1. Sem prejuízo das funções descritas no artigo 24.o do regulamento e respectivo anexo, o RPD deve contribuir para criar uma cultura de protecção de dados pessoais na Comissão, mediante o aumento da sensibilização geral para as questões da protecção de dados, mantendo em simultâneo o equilíbrio entre os princípios da protecção de dados pessoais e da transparência.

2. O RPD deve manter um inventário de todas as operações de tratamento de dados pessoais da Comissão, no qual os CPD inscrevem todas as operações de tratamento das respectivas direcções-gerais que devem ser notificadas. Os CPD devem também identificar o responsável pelo tratamento a quem competem essas operações de tratamento. O RPD deve ajudar o responsável pelo tratamento a avaliar os riscos das operações de tratamento de que este é responsável e controlar a aplicação do regulamento na Comissão, em especial por meio de um relatório anual sobre a situação da protecção de dados.

3. O RPD deve organizar e presidir às reuniões periódicas da rede de CPD.

4. O RPD deve manter o registo das operações de tratamento previsto no artigo 26.o do regulamento disponível nos sítios da internet internos e externos da Comissão.

5. O RPD pode fazer recomendações e dar opiniões à Comissão e aos responsáveis pelo tratamento sobre questões relativas à aplicação das disposições em matéria de protecção de dados e pode proceder a investigações, se lhe for pedido ou por iniciativa própria, sobre questões e ocorrências directamente relacionadas com as suas funções, devendo comunicar os resultados à pessoa que solicitou a investigação, segundo o procedimento previsto no artigo 13.o da presente decisão. Se o requerente for uma pessoa ou agir por conta de uma pessoa, o RPD deve, na medida do possível, garantir a confidencialidade do pedido, a menos que a pessoa em causa dê o seu consentimento inequívoco para que o pedido seja tratado de outra maneira.

6. O tratamento de dados pessoais por comités do pessoal é abrangido pelas competências do RPD da Comissão. Para efeitos do artigo 6.o da presente decisão, o RPD deve fornecer as informações necessárias ao presidente do comité de pessoal em questão e não ao Secretário-Geral, sempre que surja uma questão relacionada com operações de tratamento realizadas pelo comité de pessoal em causa.

7. Sem prejuízo da independência do RPD, o Secretário-Geral pode solicitar-lhe, em nome da Comissão, que represente a instituição em todas as questões de protecção de dados, o que pode implicar a participação do RPD em comités e organismos a nível internacional.

Artigo 5.o

Deveres

1. Para além das funções de carácter geral que lhe incumbem, o RPD deve:

a) Apresentar anualmente ao Secretário-Geral e ao Director-Geral do Pessoal e da Administração um relatório sobre a situação da protecção de dados na Comissão, a debater ao nível adequado, como seja a reunião periódica dos Directores-Gerais; o relatório deve ser colocado à disposição do pessoal da Comissão;

b) Cooperar, no desempenho das suas funções, com os RPD das outras instituições e órgãos comunitários, nomeadamente através do intercâmbio de experiências e de melhores práticas.

2. Nas operações de tratamento de dados pessoais sob a sua responsabilidade, o RPD deve agir como responsável pelo tratamento.

Artigo 6.o

Competências

No desempenho das suas funções e deveres e sem prejuízo das competências conferidas pelo regulamento, o RPD:

a) Pode pedir pareceres jurídicos ao Serviço Jurídico da Comissão;

b) Pode, em caso de conflito quanto à interpretação ou aplicação do regulamento, informar os responsáveis hierárquicos competentes e o Secretário-Geral antes de remeter o assunto para a AEPD;

c) Pode alertar o Secretário-Geral para eventuais casos de: — funcionários que não cumprem as obrigações estabelecidas pelo regulamento, — interno da Comissão mais especificamente relacionadas com as obrigações estabelecidas pelo regulamento, e sugerir a abertura de um inquérito administrativo, com vista à eventual aplicação do artigo 49.o do regulamento;

d) Pode investigar assuntos e ocorrências directamente relacionados com as suas funções, respeitando os princípios aplicáveis aos inquéritos e auditorias efectuados na Comissão e o procedimento previsto no artigo 13.o da presente decisão.

e) Tem acesso, a qualquer momento, aos dados sujeitos a operações de tratamento e a todos os gabinetes, instalações de tratamento de dados e suportes informáticos.

Artigo 7.o

Recursos

A Comissão deve dotar o RPD dos recursos necessários para o desempenho das suas funções.

SECÇÃO 3

REGRAS E PROCEDIMENTOS

Artigo 8.o

Informações

1. O RPD deve ser imediatamente informado pelo serviço responsável sempre que uma questão com implicações a nível da protecção de dados esteja a ser debatida pelos serviços da Comissão e em qualquer caso antes da tomada de qualquer decisão.

2. Sempre que a Comissão consultar e enviar informações à AEPD, nos termos dos artigos relevantes do regulamento, mais especificamente os n.os 1 e 2 do artigo 28.o, o RPD deve ser informado. Este deve também ser informado sempre que os responsáveis pelo tratamento da Comissão contactarem directamente a AEPD, nos termos dos artigos relevantes do regulamento.

3. O RPD deve ser informado pelo serviço responsável ou pelo Serviço Jurídico, consoante o caso, dos pareceres e tomadas de posição do Serviço Jurídico directamente relacionados com a aplicação interna das disposições do regulamento, bem como dos pareceres sobre a interpretação ou a aplicação de outros actos jurídicos relacionados com a protecção e o tratamento de dados pessoais, mais especificamente os relacionados com a consulta interserviços e com o acesso à informação.

Artigo 9.o

Responsáveis pelo tratamento

1. Sem prejuízo das disposições do regulamento que estabelecem as suas obrigações, os responsáveis pelo tratamento devem:

a) Preparar rapidamente as notificações ao RPD de todas as operações de tratamento efectuadas que ainda não tenham sido notificadas;

b) Quando necessário, consultar o RPD relativamente à conformidade das operações de tratamento, em especial se existirem dúvidas quanto a esta conformidade;

c) Cooperar com o RPD para proceder ao inventário das operações de tratamento de dados pessoais efectuadas na direcção-geral.

2. O responsável pelo tratamento pode delegar algumas das suas funções noutras pessoas, que actuam como responsáveis delegados sob a sua autoridade e responsabilidade.

Artigo 10.o

Subcontratantes

Os subcontratantes que, na Comissão, são chamados a tratar dados pessoais por conta dos responsáveis pelo tratamento devem agir apenas de acordo com as instruções destes responsáveis, constantes de um acordo escrito, e proceder ao tratamento dos dados pessoais respeitando plenamente o disposto no regulamento e noutra legislação aplicável neste domínio. Um acordo escrito entre unidades da Comissão é considerado equivalente a um acto jurídico vinculativo, na acepção do n.o 2 do artigo 23.o do regulamento.

Devem ser celebrados contratos formais com os subcontratantes externos, que devem incluir os requisitos específicos do n.o 2 do artigo 23.o do regulamento.

Artigo 11.o

Notificações

Os responsáveis pelo tratamento devem utilizar o sistema de notificação em linha da Comissão, acessível através do sítio do RPD na intranet da Comissão, para enviar as suas notificações ao RPD.

Relativamente a meras operações de tratamento de dados pessoais que não são sensíveis, o sistema dispõe de uma notificação simplificada.

Artigo 12.o

Registo

O registo electrónico de operações de tratamento da Comissão referido no n.o 4 do artigo 4.o da presente decisão deve ser acessível, através do sítio do RPD na intranet da Comissão, a todo o pessoal das instituições e organismos comunitários e, através do sítio Europa na internet, a qualquer pessoa que a esta tenha acesso. Qualquer pessoa que não tenha acesso à internet pode pedir, por escrito, extractos do registo ao RPD, que tem um prazo de 10 dias úteis para responder.

Artigo 13.o

Procedimento de investigação

1. Os pedidos de investigação referidos no n.o 5 do artigo 4.o devem ser apresentados por escrito ao RPD. No prazo de 15 dias após a recepção, o RPD deve enviar um aviso de recepção à pessoa que pediu a investigação e verificar se o pedido deve ser tratado de forma confidencial. Em caso de abuso evidente do direito de apresentar um pedido de investigação, o RPD não é obrigado a responder ao requerente.

2. O RPD deve solicitar uma declaração escrita sobre o assunto ao responsável do tratamento a quem compete a operação de tratamento de dados em questão. O responsável pelo tratamento deve responder ao RPD no prazo de 15 dias úteis. O RPD pode solicitar informações complementares ao responsável pelo tratamento e/ou a outras partes no prazo de 15 dias. Se necessário, pode pedir ao Serviço Jurídico um parecer sobre o assunto. Este parecer deve ser enviado ao RPD no prazo de 30 dias úteis.

3. O RPD deve apresentar os resultados à pessoa que pediu a investigação no prazo de três meses após a sua recepção. Este prazo pode ser suspenso para permitir que o RPD receba as eventuais informações adicionais que tiver solicitado.

4. Ninguém pode ser prejudicado pelo facto de ter alertado o RPD para uma alegada violação das disposições do regulamento.

Artigo 14.o

Coordenadores da protecção de dados

1. Em cada direcção-geral ou serviço, o director-geral ou o chefe de serviço devem nomear um CPD. Com base num acordo escrito, várias direcções-gerais, serviços ou outras entidades podem, por motivos de coerência ou eficiência, decidir nomear um CPD comum ou partilhar os serviços de um coordenador já nomeado.

2. As funções de CPD podem eventualmente ser combinadas com outras. Para adquirir as competências necessárias ao desempenho destas funções, o coordenador deve seguir a formação obrigatória destinada aos CPD no prazo de seis meses após a sua nomeação.

3. O mandato dos CPD não é limitado. Devem ser escolhidos, no grau hierárquico adequado, pelo seu elevado nível de ética profissional, os seus conhecimentos e experiência em matéria de funcionamento da respectiva direcção-geral e ainda pela sua motivação para o desempenho da função. Deve conhecer também os princípios que regem os sistemas de informação.

4. Sem prejuízo das responsabilidades do RPD, o CPD deve:

a) Proceder a um inventário das operações de tratamento efectuadas na direcção-geral, mantê-lo actualizado e ajudar a definir um nível de risco adequado para cada uma das operações de tratamento; utilizar o sistema de gestão de inventários que o RPD tiver colocado para o efeito no seu sítio na intranet da Comissão;

b) Assistir o director-geral ou o chefe de serviço a identificar os respectivos responsáveis pelo tratamento;

c) Poder obter informações necessárias e adequadas dos responsáveis pelo tratamento. Este direito não inclui o acesso a dados pessoais tratados sob a responsabilidade do responsável pelo tratamento.

5. Sem prejuízo das responsabilidades do responsável pelo tratamento, o CPD deve:

a) Assistir os responsáveis pelo tratamento no cumprimento das respectivas obrigações legais;

b) Ajudar os responsáveis pelo tratamento a fazer as notificações;

c) Registar as notificações simplificadas no sistema de notificação em linha do RPD.

6. O CPD deve participar nas reuniões periódicas da rede de coordenadores da protecção de dados, presididas pelo RPD, para garantir a aplicação e a interpretação uniformes do regulamento na Comissão e debater assuntos de interesse comum.

7. No desempenho das suas funções, o CPD pode solicitar ao RPD recomendações, conselhos ou pareceres.

Artigo 15.o

Administração e gestão

1. O RPD deve depender administrativamente do Secretariado-Geral e as suas actividades devem ser integradas na actividade 7 do procedimento de elaboração do orçamento e de gestão com base em actividades do Secretariado-Geral: relações com a sociedade civil, transparência e informação. Neste contexto, o RPD deve participar na preparação do plano de gestão anual e do anteprojecto de orçamento do Secretariado-Geral.

2. O RPD é o avaliador do pessoal do seu secretariado e do responsável adjunto pela protecção de dados. O Secretário-Geral adjunto é o homologador.

3. O RPD deve participar na coordenação da gestão do Secretariado-Geral, se for o caso.

SECÇÃO 4

DISPOSIÇÕES FINAIS

Artigo 16.o

Entrada em vigor

A presente decisão entra em vigor em 3 de Junho de 2008.

Feito em Bruxelas, em 3 de Junho de 2008. Pela Comissão O Presidente José Manuel BARROSO

(1) JO L 8 de 12.1.2001, p. 1.

(2) Ainda não publicado no Jornal Oficial.

(3) Todas as referências ao responsável pela protecção de dados neste texto devem entender-se como podendo tratar-se de um homem ou de uma mulher.