DECISÃO GB(D)06-2021

que estabelece regras internas em matéria de limitações de determinados direitos dos titulares de dados no que diz respeito ao tratamento de dados pessoais no âmbito do funcionamento da Empresa Comum de Investigação sobre a Gestão do Tráfego Aéreo no Céu Único Europeu [2022/737]

O CONSELHO DE DIREÇÃO DA EMPRESA COMUM DE INVESTIGAÇÃO SOBRE A GESTÃO DO TRÁFEGO AÉREO NO CÉU ÚNICO EUROPEU (EMPRESA COMUM SESAR 3),

Tendo em conta o Tratado sobre o Funcionamento da União Europeia;

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1) [«Regulamento (UE) 2018/1725»], nomeadamente o artigo 25.o,

Tendo em conta o Regulamento (UE) 2021/2085 do Conselho, de 19 de novembro de 2021, que cria as empresas comuns ao abrigo do Horizonte Europa e que revoga os Regulamentos (CE) n.o 219/2007, (UE) n.o 557/2014, (UE) n.o 558/2014, (UE) n.o 559/2014, (UE) n.o 560/2014, (UE) n.o 561/2014 e (UE) n. 642/2014 (2) («Ato de Base Único»),

Tendo em conta a Decisão (D) 03-2021 do Conselho de Administração que estabelece regras internas em matéria de limitações de determinados direitos dos titulares de dados no que diz respeito ao tratamento de dados pessoais no âmbito do funcionamento da Empresa Comum SESAR,

Tendo em conta as Diretrizes da Autoridade Europeia para a Proteção de Dados (AEPD) sobre o artigo 25.o do Regulamento (UE) 2018/1725 e as regras internas,

Após consulta à AEPD em 12 de novembro de 2019, nos termos do artigo 41.o, n.o 2, do Regulamento (UE) 2018/1725,

Tendo em conta as recomendações da Autoridade Europeia para a Proteção de Dados («AEPD») de 18 de dezembro de 2019,

Após consulta ao Comité do Pessoal da Empresa Comum SESAR 3,

Considerando o seguinte:

(1) Apenas os atos normativos adotados com base nos Tratados podem prever limitações dos direitos dos titulares de dados. Nos casos em que estas limitações não possam basear-se em atos normativos adotados com base nos Tratados, o Regulamento (UE) 2018/1725 prevê que, em matérias relacionadas com o funcionamento da Empresa Comum SESAR 3, as limitações podem ser previstas por regras internas, na sequência da avaliação da necessidade e da proporcionalidade dessas limitações.

(2) Nos termos do artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, as limitações à aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o desse regulamento, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 22.°, devem basear-se em regras internas a adotar pela Empresa Comum SESAR 3.

(3) No âmbito do seu funcionamento administrativo, a Empresa Comum SESAR 3 pode realizar inquéritos administrativos, processos disciplinares, desenvolver atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncia, tratar procedimentos (formais e informais) de assédio, tratar reclamações internas e externas, realizar auditorias internas, realizar investigações através do encarregado da proteção de dados da Empresa Comum SESAR 3 em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, bem como realizar investigações em matéria de segurança (informática) interna.

(4) A Empresa Comum SESAR 3 trata várias categorias de dados pessoais, tais como dados de identificação, contactos, dados profissionais, dados de caráter administrativo, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego, bem como dados relacionados com o caso (como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com a matéria a que se refere o procedimento ou a atividade ou apresentados nesse âmbito) (3).

(5) A Empresa Comum SESAR 3, representada pelo seu diretor-executivo, atua como responsável pelo tratamento.

(6) Os dados pessoais são conservados em segurança num ambiente eletrónico ou em papel, de forma a evitar o acesso ou a transferência ilícitos de dados para pessoas que não tenham qualquer direito legítimo de aceder aos mesmos. Os dados pessoais tratados são conservados apenas durante o tempo necessário e adequado às finalidades do seu tratamento e pelo período especificado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos da Empresa Comum SESAR 3.

(7) As regras internas devem aplicar-se a todas as operações de tratamento efetuadas pela Empresa Comum SESAR 3 no âmbito da realização de inquéritos administrativos, processos disciplinares, atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, procedimentos de denúncia, procedimentos (formais e informais) relativos a casos de assédio, tratamento de reclamações internas e externas, auditorias internas, investigações realizadas pelo encarregado da proteção de dados em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, bem como investigações em matéria de segurança (informática) realizadas internamente ou com participação externa (por exemplo, da CERT-UE).

(8) As regras internas devem aplicar-se às operações de tratamento relevantes efetuadas antes do início dos procedimentos acima referidos, durante os mesmos, durante o acompanhamento do seguimento dos resultados destes procedimentos e ao longo do período durante o qual a limitação continuar a ser aplicável. Devem ainda aplicar-se à assistência e à cooperação prestadas pela Empresa Comum SESAR 3 às autoridades nacionais e a organizações internacionais, fora do âmbito das suas próprias investigações administrativas.

(9) Sempre que se apliquem estas regras internas, a Empresa Comum SESAR 3 deve apresentar as razões pelas quais as limitações são estritamente necessárias e proporcionadas numa sociedade democrática e explicar de que forma respeitam a essência dos direitos e liberdades fundamentais.

(10) Neste contexto, a Empresa Comum SESAR 3 é obrigada a respeitar, tanto quanto possível e no pleno cumprimento da legislação e das orientações aplicáveis, durante os procedimentos acima referidos, os direitos fundamentais dos titulares dos dados, nomeadamente os relacionados com o direito de comunicação de informações, de acesso e retificação, o direito de apagamento, o direito à limitação do tratamento, o direito de comunicação de uma violação de dados pessoais ao titular dos dados e o direito à confidencialidade da comunicação, consagrados no Regulamento (UE) 2018/1725.

(11) Contudo, a Empresa Comum SESAR 3 poderá ser obrigada a limitar a comunicação de informações aos titulares dos dados e outros direitos destes, a fim de proteger, em especial, as suas próprias investigações, as investigações e processos de outras autoridades públicas, bem como os direitos de outras pessoas relacionadas com as suas investigações ou com outros procedimentos.

(12) Sempre que a Empresa Comum SESAR 3 pondere aplicar uma limitação, o risco para os direitos e as liberdades do titular dos dados será avaliado, em especial, face aos riscos para os direitos e liberdades de outros titulares dos dados e ao risco de anular o efeito de investigações ou procedimentos da Empresa Comum SESAR 3, por exemplo, através da destruição de provas. Os riscos para os direitos e liberdades do titular dos dados dizem respeito sobretudo, mas não exclusivamente, a riscos para a reputação e a riscos para o direito de defesa e para o direito a ser ouvido.

(13) Assim, a Empresa Comum SESAR 3 pode limitar a comunicação de informações para proteger a investigação e os direitos e liberdades fundamentais de outros titulares de dados.

(14) A Empresa Comum SESAR 3 deve verificar regularmente se as condições que justificam a limitação ainda se mantêm e levantar essa limitação em caso negativo.

(15) O responsável pelo tratamento deve informar o encarregado da proteção de dados aquando da prorrogação de uma limitação e durante as respetivas revisões.

(16) A presente decisão é adotada por procedimento escrito, nos termos do artigo 10.o do regulamento interno do conselho de direção,

ADOTOU A SEGUINTE DECISÃO:

Artigo 1.o Objeto e âmbito de aplicação 1. A presente decisão estabelece regras relativas às condições em que a Empresa Comum SESAR 3, no âmbito dos seus procedimentos descritos no n.o 2, pode limitar a aplicação dos direitos consagrados nos artigos 14.o a 21.o, nos artigos 35.o e 36.o, e no artigo 4.o do Regulamento (UE) 2018/1725, conforme previsto no artigo 25.o do mesmo regulamento. 2. No âmbito do funcionamento administrativo da Empresa Comum SESAR 3, a presente decisão aplica-se às operações de tratamento de dados pessoais efetuadas pelo gabinete do programa com as seguintes finalidades: realizar inquéritos administrativos, processos disciplinares, atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncia, procedimentos (formais e informais) de assédio, tratar reclamações internas e externas, realizar auditorias internas, investigações realizadas pelo encarregado da proteção de dados em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, bem como investigações em matéria de segurança (informática) realizadas internamente ou com participação externa (por exemplo, da CERT-UE). 3. As categorias de dados em causa incluem dados de identificação, contactos, dados profissionais, dados de caráter administrativo, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego, bem como dados relacionados com o caso, como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com a matéria a que se refere o procedimento ou a atividade ou apresentados nesse âmbito. 4. Nos casos em que a Empresa Comum SESAR 3 desempenha as suas funções relativamente a direitos do titular dos dados nos termos do Regulamento (UE) 2018/1725, deve ponderar se são aplicáveis algumas das isenções previstas nesse regulamento.

Artigo 2.o Indicação do responsável pelo tratamento O responsável pelas operações de tratamento é a Empresa Comum SESAR 3, representada pelo seu diretor-executivo.

Artigo 3.o Indicação de garantias 1. A Empresa Comum SESAR 3 deve implementar as seguintes garantias para evitar o abuso ou o acesso ou transferência ilícitos de dados pessoais: a) os documentos em papel são mantidos em armários seguros e estão acessíveis apenas a membros autorizados do pessoal; b) todos os dados eletrónicos são conservados numa aplicação informática segura, de acordo com as normas de segurança da Empresa Comum SESAR 3, bem como em pastas eletrónicas específicas, acessíveis apenas a membros autorizados do pessoal. São concedidos individualmente níveis adequados de acesso; c) as bases de dados são protegidas por palavra-passe no âmbito de um sistema de início de sessão único e são associadas automaticamente à identificação e à palavra-passe do utilizador, incluindo a «pseudonimização» e/ou a «cifragem», quando adequado. A substituição de utilizadores é estritamente proibida. Os registos eletrónicos são mantidos em segurança para salvaguardar a confidencialidade e a privacidade dos dados que contêm; d) todas as pessoas que disponham de acesso aos dados estão sujeitas à obrigação de confidencialidade. 2. Nos termos do n.o 3 do artigo 6.o, as garantias referidas no n.o 1 devem ser sujeitas a revisão periódica. 3. O período de conservação dos dados pessoais mencionados no artigo 1.o, n.o 3, é indicado nos avisos de proteção de dados, nas declarações de privacidade ou nos registos referidos no artigo 7.o, n.o 1. Em qualquer caso, o período de conservação não deve exceder o necessário e adequado para os fins a que se destina o tratamento dos dados (4).

Artigo 4.o Fundamentos das limitações 1. A Empresa Comum SESAR 3 apenas aplica limitações a fim de garantir: a) a segurança nacional, a segurança pública e a defesa dos Estados-Membros; b) a prevenção, investigação, deteção e repressão de infrações penais, ou a execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública; c) outros objetivos importantes do interesse público geral da União ou de um Estado-Membro, nomeadamente os objetivos da política externa e de segurança comum da União ou um interesse económico ou financeiro importante da União ou de um Estado-Membro, incluindo nos domínios monetário, orçamental ou fiscal, da saúde pública e da segurança social; d) a segurança interna das instituições e dos órgãos da União, incluindo a das suas redes de comunicações eletrónicas; e) a prevenção, a investigação, a deteção e a repressão de violações da deontologia das profissões regulamentadas; f) uma missão de controlo, de inspeção ou de regulamentação associada, ainda que ocasionalmente, ao exercício da autoridade pública, nos casos referidos nas alíneas a) a c); g) a defesa do titular dos dados ou dos direitos e liberdades de outrem; h) a execução de ações cíveis. 2. Enquanto aplicação específica dos fins descritos no n.o 1 acima, a Empresa Comum SESAR 3 pode aplicar limitações nas seguintes circunstâncias: a) em relação a dados pessoais trocados com serviços da Comissão ou com outras instituições, órgãos ou organismos da União: i) se o exercício dos direitos enumerados puder ser limitado pelo serviço da Comissão ou pela instituição, órgão ou organismo da União em causa com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725 ou em conformidade com o capítulo IX desse regulamento, ou com os atos constitutivos de outras instituições, órgãos ou organismos da União, ii) nos casos em que a finalidade dessa limitação por parte desse serviço da Comissão ou da instituição, órgão ou organismo da União em causa possa ser comprometida se a Empresa Comum SESAR 3 não aplicar uma limitação equivalente relativamente aos mesmos dados pessoais; b) em relação a dados pessoais trocados com autoridades competentes dos Estados-Membros: i) se o exercício dos direitos enumerados puder ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (5), ou ao abrigo de medidas nacionais de transposição do artigo 13.o, n.o 3, do artigo 15.o, n.o 3, ou do artigo 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (6), ii) nos casos em que a finalidade dessa limitação por parte dessa autoridade possa ser comprometida se a Empresa Comum SESAR 3 não aplicar uma limitação equivalente relativamente aos mesmos dados pessoais; c) em relação a dados pessoais trocados com países terceiros ou organizações internacionais, sempre que existam provas claras de que o exercício desses direitos e obrigações é suscetível de comprometer a cooperação da Empresa Comum SESAR 3 com países terceiros ou organizações internacionais no exercício das suas funções. Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do n.o 1, a Empresa Comum SESAR 3 deve consultar os serviços competentes da Comissão, as outras instituições, órgãos, agências e organismos da União ou as autoridades competentes dos Estados-Membros, salvo se para a Empresa Comum SESAR 3 for claro que a aplicação da limitação está prevista num dos atos referidos nessas alíneas.

Artigo 5.o Limitações e direitos dos titulares dos dados 1. Em casos devidamente fundamentados, e nas condições definidas na presente decisão, os seguintes direitos podem ser limitados pelo responsável pelo tratamento no contexto das operações de tratamento enumeradas no artigo 1.o, n.o 2, e no n.o 2 abaixo, quando necessário e proporcionado: a) direito à informação; b) direito de acesso; c) direito de retificação, apagamento e limitação do tratamento; d) direito de comunicar uma violação de dados pessoais ao titular dos dados; e) direito à confidencialidade das comunicações eletrónicas. 2. Em casos devidamente fundamentados e a fim de salvaguardar as finalidades referidas no artigo 4.o, n.o 1, o responsável pelo tratamento pode aplicar limitações no âmbito das seguintes operações de tratamento referidas no artigo 1.o, n.o 2: a) realização de inquéritos administrativos e de processos disciplinares; b) atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; c) procedimentos de denúncia; d) procedimentos, formais e informais, relativos a casos de assédio; e) tratamento de reclamações internas e externas; f) auditorias internas; g) investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento 2018/1725; h) investigações em matéria de segurança (informática) realizadas internamente ou com participação externa (por exemplo, da CERT-UE); i) no âmbito do procedimento de gestão de subvenções ou de adjudicação de contratos, após a data-limite para a apresentação de propostas ou da candidatura dos proponentes. 3. No âmbito do procedimento relativo a casos de assédio, os direitos referidos no n.o 1 podem ser limitados nas mesmas condições, com exceção do direito de comunicação de uma violação de dados pessoais ao titular dos dados, referido no n.o 1, alínea d). 4. No âmbito do procedimento de gestão de subvenções ou de adjudicação de contratos, os direitos referidos no n.o 1 podem ser limitados nas mesmas condições, com exceção do direito de retificação, apagamento e limitação do tratamento, referido no n.o 1, alínea c). 5. Em casos devidamente fundamentados e nas condições definidas na presente decisão, o direito de retificação, apagamento e limitação do tratamento pode ser limitado pelo responsável pelo tratamento, com as exceções previstas nos n.os 3 e 4. 6. Se a Empresa Comum SESAR 3 limitar, total ou parcialmente, a aplicação dos direitos referidos nos n.os 1, 3, 4 e 5, deve tomar as medidas previstas nos artigos 6.o e 7.° da presente decisão. 7. Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no âmbito de um ou mais casos específicos ou de uma determinada operação de tratamento, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, a Empresa Comum SESAR 3 deve limitar a sua apreciação do pedido unicamente a esses dados pessoais.

Artigo 6.o Necessidade e proporcionalidade das limitações 1. Qualquer limitação baseada no artigo 4.o é necessária e proporcionada, tendo em conta os riscos para os direitos e liberdades dos titulares dos dados, e respeita a essência dos direitos e liberdades fundamentais numa sociedade democrática. 2. Se for ponderada a aplicação de uma limitação, é realizado um teste de necessidade e de proporcionalidade baseado nas presentes regras. O teste é realizado no quadro da revisão periódica, na sequência da avaliação da continuidade da aplicabilidade dos motivos de facto e de direito. Este teste é documentado, caso a caso, mediante uma nota de avaliação interna, para efeitos de responsabilização. 3. As limitações são temporárias. Continuarão a ser aplicáveis enquanto os motivos que as justificam continuarem a ser aplicáveis. Em especial, quando se considerar que o exercício do direito limitado já não anula o efeito da limitação imposta nem afeta negativamente os direitos ou liberdades de outros titulares de dados. A Empresa Comum SESAR 3 deve rever a aplicação da limitação de seis em seis meses após a sua adoção e aquando do encerramento do inquérito, procedimento ou investigação em causa. O responsável pelo tratamento deve verificar posteriormente, de seis em seis meses, a necessidade de manter a limitação. 4. Sempre que a Empresa Comum SESAR 3 aplicar, no todo ou em parte, limitações com base no artigo 4.o da presente decisão, deve registar os motivos da limitação e a base jurídica da mesma, em conformidade com o n.o 1 acima, incluindo uma avaliação da necessidade e da proporcionalidade da limitação. O registo e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. Estes elementos são colocados à disposição da Autoridade Europeia para a Proteção de Dados, a pedido desta.

Artigo 7.o Obrigação de informação 1. Nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos, na aceção do artigo 31.o do Regulamento (UE) 2018/1725, publicados no seu sítio Web e/ou na intranet para informar os titulares dos dados acerca dos seus direitos no âmbito de um determinado procedimento, a Empresa Comum SESAR 3 deve incluir informações relacionadas com a eventual limitação desses direitos. As informações devem abranger os direitos passíveis de serem limitados, bem como os motivos e a possível duração da limitação. Sem prejuízo do disposto no artigo 6.o, n.o 4, quando tal for proporcionado, a Empresa Comum SESAR 3 também informará individualmente, por escrito e sem demora injustificada, todos os titulares dos dados que sejam considerados pessoas afetadas pela operação de tratamento em causa acerca dos seus direitos no que diz respeito a limitações presentes e futuras. 2. Se a Empresa Comum SESAR 3 limitar, total ou parcialmente, os direitos estabelecidos no artigo 5.o, deve informar o titular dos dados em causa da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de instaurar uma ação judicial no Tribunal de Justiça da União Europeia; A comunicação das informações referidas no n.o 2 pode ser adiada, omitida ou recusada caso se presuma que anule o efeito da limitação, nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725.

Artigo 8.o Revisão pelo encarregado da proteção de dados 1. A Empresa Comum SESAR 3 deve informar, sem demora injustificada, o seu encarregado da proteção de dados («o EPD») sempre que, em conformidade com a presente decisão, o responsável pelo tratamento limite a aplicação de direitos dos titulares de dados ou prorrogue uma limitação. O responsável pelo tratamento deve conceder ao EPD acesso ao registo que contém a avaliação da necessidade e da proporcionalidade da limitação, bem como documentar, nesse registo, a data em que informou o EPD. 2. O EPD pode pedir por escrito, ao responsável pelo tratamento, o reexame da aplicação das limitações. O responsável pelo tratamento informa o EPD, por escrito, acerca do resultado do reexame solicitado. 3. O EPD participará em todo o processo. O responsável pelo tratamento informa o EPD aquando do levantamento da limitação.

Artigo 9.o Entrada em vigor A presente decisão entra em vigor no dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Bruxelas, em 14 de dezembro de 2021. Pelo Conselho de Direção da Empresa Comum SESAR 3 Henrik HOLOLEI Presidente

(1) JO L 295 de 21.11.2018, p. 39.

(2) JO L 427 de 30.11.2021, p. 17.

(3) Em caso de responsabilidade conjunta pelo tratamento, os dados devem ser tratados em conformidade com os meios e finalidades estabelecidos no acordo aplicável entre os responsáveis conjuntos pelo tratamento, nos termos definidos no artigo 28.o do Regulamento (UE) 2018/1725.

(4) A política de conservação da Empresa Comum SESAR 3 baseia-se na conservação dos ficheiros na Comissão, que é regulamentada pela lista de conservação comum, um documento regulamentar [cuja última versão tem o número SEC(2019) 900] sob a forma de um calendário de conservação que estabelece os períodos de conservação para os diferentes tipos de ficheiros da Comissão.

(5) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(6) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).