DECISÃO DO CONSELHO DE ADMINISTRAÇÃO DA AGÊNCIA EUROPEIA DE MEDICAMENTOS

de 12 de junho de 2019

sobre normas internas relativas a limitações de certos direitos dos titulares dos dados em relação ao tratamento de dados pessoais no contexto do funcionamento da Agência

O CONSELHO DE ADMINISTRAÇÃO DA AGÊNCIA EUROPEIA DE MEDICAMENTOS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1), e, nomeadamente, o artigo 25.o,

Tendo em conta o Regulamento (UE, Euratom) n.o 883/2013 do Parlamento Europeu e do Conselho, de 11 de setembro de 2013, relativo aos inquéritos efetuados pelo Organismo Europeu de Luta Antifraude (OLAF) e que revoga o Regulamento (CE) n.o 1073/1999 do Parlamento Europeu e do Conselho e o Regulamento (Euratom) n.o 1074/1999 do Conselho (2),

Tendo em conta o Estatuto dos Funcionários da União Europeia, nomeadamente o artigo 2.o, n.o 3, e o artigo 30.o do seu anexo IX, bem como o Regime Aplicável aos Outros Agentes da União Europeia,

Tendo em conta as normas de execução da EMA relativas à realização de inquéritos administrativos e procedimentos disciplinares, de 8 de junho de 2012 (3),

Tendo em conta as orientações da AEPD publicadas em 18 de dezembro de 2018 e a notificação à AEPD para efeitos do artigo 41.o, n.o 2, do Regulamento (UE) 2018/1725,

Após consulta do Comité do Pessoal,

Considerando que:

(1) A Agência Europeia de Medicamentos («EMA» ou a «Agência») foi instituída pelo Regulamento (CE) n.o 726/2004 do Parlamento Europeu e do Conselho (4) para coordenar os recursos científicos existentes colocados à sua disposição pelos Estados-Membros, com vista à avaliação, fiscalização e farmacovigilância dos medicamentos.

(2) A Agência leva a cabo inquéritos administrativos e processos disciplinares, em consonância com as regras estabelecidas no Estatuto dos Funcionários da União Europeia e no Regime aplicável aos Outros Agentes da União Europeia, a Agência também pode desenvolver atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF [em conformidade com o Regulamento (UE, Euratom) n.o 883/2013], tratar casos de denúncias, executar procedimentos (formais e informais) relativos a assédio, dar seguimento a reclamações internas e externas, realizar auditorias internas, realizar investigações com recurso ao encarregado da proteção de dados, em consonância com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, bem como investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE).

(3) A Agência trata várias categorias de dados pessoais, tais como dados de identificação, dados de contacto e dados profissionais. A Agência Europeia de Medicamentos, representada pelo seu diretor-executivo, intervém na qualidade de responsável pelo tratamento. Internamente, o chefe da Divisão de Administração e Gestão Institucional foi designado para atuar, por delegação, como responsável pelo tratamento no que se refere às atividades abrangidas pela presente decisão (para efeitos da presente decisão, a seguir designado o «responsável pelo tratamento»). Se o inquérito administrativo ou o processo disciplinar disser respeito ao Chefe da Divisão de Administração e Gestão Institucional, o diretor-executivo adjunto será o responsável pelo tratamento no atinente ao inquérito ou processo em questão. Os dados pessoais são conservados num ficheiro eletrónico e em suporte papel. O ficheiro em suporte papel é conservado num armário fechado, apenas acessível a membros do pessoal autorizados pela direção da Agência. Os ficheiros eletrónicos são conservados num ambiente eletrónico seguro, concebido e mantido de forma a evitar a ocorrência, acidental ou ilícita, de destruição, perda, alteração, transferência, divulgação não autorizada ou acesso a dados pessoais por parte de parceiros internos e externos não autorizados a aceder a tais dados.

(4) Os dados pessoais tratados são conservados em conformidade com o artigo 13.o das normas de execução da EMA relativas à realização de inquéritos administrativos e procedimentos disciplinares, de 8 de junho de 2012, conforme explicado no artigo 2.o, n.o 3, da presente decisão.

(5) A presente decisão relativa a normas internas deve aplicar-se a todas as operações de tratamento realizadas pela Agência no âmbito dos seus inquéritos administrativos e processos disciplinares, bem como da realização de atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, do tratamento de casos de denúncia, da execução de procedimentos (formais e informais) relativos a assédio, do tratamento de reclamações internas e externas, da realização de auditorias internas, da realização de investigações pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e de investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, a CERT-UE). A presente decisão deve aplicar-se a operações de tratamento realizadas antes do início dos procedimentos acima referidos, ao longo dos mesmos e durante a supervisão do seguimento dado aos resultados de tais procedimentos.

(6) A presente decisão relativa a normas internas deve aplicar-se igualmente a atividades relacionadas com a assistência e cooperação prestadas pela Agência, fora do âmbito dos seus inquéritos administrativos, a outras instituições, órgãos, organismos e agências da União, a autoridades competentes dos Estados-Membros e a organizações internacionais, com vista a proteger as respetivas operações de tratamento; deve ainda aplicar-se a atividades relacionadas com a cooperação com instituições e órgãos da UE, bem como à transmissão de informações a estas últimas no âmbito de um inquérito administrativo ou de um processo disciplinar. Nesse sentido, a Agência deve consultar tais instituições, órgãos, organismos, agências, autoridades ou organizações sobre os fundamentos pertinentes para a imposição de limitações e a necessidade e proporcionalidade das mesmas.

(7) A Agência tem de apresentar justificações em que explique a razão pela qual as limitações são estritamente necessárias e proporcionadas numa sociedade democrática e a forma como respeitam a essência dos direitos e liberdades fundamentais.

(8) Neste âmbito, a Agência está obrigada a respeitar, tanto quanto possível, os direitos fundamentais dos titulares de dados durante os procedimentos acima mencionados, sobretudo, mas não exclusivamente, os direitos relacionados com o direito de acesso e retificação e o direito de apagamento, conforme consagrados no Regulamento (UE) 2018/1725.

(9) Contudo, a Agência poderá ser obrigada a adiar a comunicação de informações ao titular dos dados e outros direitos deste, a fim de proteger, nomeadamente, as suas próprias investigações e procedimentos, as investigações e processos de outras autoridades públicas, bem como os direitos de outras pessoas relacionadas com as suas investigações e procedimentos.

(10) Assim, a Agência pode adiar a comunicação de informações com vista a proteger os seus inquéritos administrativos e processos disciplinares, as investigações e processos de outras autoridades públicas, ou ainda a proteger a identidade de informadores e de outras pessoas envolvidas nos procedimentos, incluindo denunciantes e testemunhas que não devem sofrer repercussões negativas em virtude da sua cooperação. Nomeadamente, o artigo 5.o, n.o 3, das normas de execução da EMA relativas à realização de inquéritos administrativos e procedimentos disciplinares, de 8 de junho de 2012, prevê a obrigação de informar os membros do pessoal que possam estar pessoalmente envolvidos numa investigação, desde que tal não prejudique o inquérito. Tal constitui uma limitação da aplicação dos direitos dos titulares de dados, nomeadamente dos artigos 14.o a 21.o, 35.o e 36.o do Regulamento (UE) 2018/1725. Em consequência, em conformidade com o artigo 25.o do mesmo regulamento, devem ser estabelecidas regras internas para garantir que essa limitação respeita a essência dos direitos e liberdades fundamentais e constitui uma medida necessária e proporcionada numa sociedade democrática.

(11) Nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, o responsável pelo tratamento pode adiar ou omitir a comunicação das informações relativas aos motivos da aplicação de uma limitação ao titular dos dados, caso tal comunicação seja suscetível de comprometer de alguma forma a finalidade da limitação. A Agência deve reexaminar regularmente a sua posição, a fim de garantir que o direito do titular dos dados a ser informado em conformidade com os artigos 16.o e 35.o do Regulamento (UE) 2018/1725 só é limitado enquanto existirem os motivos do adiamento.

(12) Sempre que seja aplicada uma limitação de outros direitos dos titulares de dados, o responsável pelo tratamento deve analisar, caso a caso, se a comunicação da limitação comprometeria a sua finalidade.

(13) Em conformidade com o princípio da proporcionalidade, a Agência deve verificar regularmente (aproximadamente a cada seis meses) se ainda estão reunidas as condições que justificam uma limitação específica. Assim, a Agência deve suspender a limitação logo que deixem de estar reunidas as condições que a justificam.

(14) A Agência deve consultar o encarregado da proteção de dados («EPD») aquando do adiamento da comunicação das informações ou da aplicação de outra limitação dos direitos de titulares de dados, bem como aquando da análise para verificar se ainda se encontram reunidas as condições que justificam a limitação,

ADOTOU A SEGUINTE DECISÃO:

Artigo 1.o Objeto e âmbito de aplicação 1. A presente decisão estabelece normas relativas às condições em que a Agência pode, no âmbito de inquéritos administrativos e processos disciplinares, ao notificar casos ao OLAF em conformidade com o Regulamento (UE, Euratom) n.o 883/2013, limitar, nos termos do artigo 25.o do Regulamento (UE) 2018/1725, a aplicação dos direitos consagrados nos artigos 14.o a 21.o, 35.o e 36.o, bem como no artigo 4.o, na medida em que as disposições deste correspondam aos direitos e obrigações previstos nos artigos 14.o a 21.o. 2. A presente decisão é aplicável às operações de tratamento de dados pessoais realizadas pela Agência com vista à realização de inquéritos administrativos e processos disciplinares, bem como ao desenvolvimento de atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF [em conformidade com o Regulamento (UE, Euratom) n.o 883/2013], ao tratamento de casos de denúncias, à execução de procedimentos (formais e informais) relativos a assédio, ao tratamento de reclamações internas e externas, à realização de auditorias internas e à realização de investigações pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725 e de investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). A presente decisão deve aplicar-se igualmente às atividades relacionadas com a assistência e a cooperação prestada pela Agência, fora do âmbito dos seus inquéritos administrativos, a outras instituições, órgãos, organismos e agências da União, a autoridades competentes dos Estados-Membros e a organizações internacionais, com vista a proteger as respetivas operações de tratamento. Além disso, a presente decisão aplica-se a atividades relacionadas com a cooperação com instituições e órgãos da UE, bem como à transmissão de informações a estas últimas no âmbito de um inquérito administrativo ou de um processo disciplinar, sempre que tais informações sejam necessárias para que o destinatário avalie os fundamentos para a abertura da investigação formal ou do processo. 3. A Agência trata várias categorias de dados pessoais, tais como dados de identificação, dados de contacto e dados profissionais. As categorias de dados pertinentes podem ser dados tangíveis (por exemplo, dados administrativos, número de telefone, endereço privado, comunicações eletrónicas e dados relativos ao tráfego) e/ou dados intangíveis (por exemplo, relatórios de avaliação, abertura de inquéritos, relatórios relativos a investigações preliminares, registos/atas de depoimentos de testemunhas e audições de investigação, atividades sociais e comportamento de membros do pessoal, comentários sobre as capacidades e a eficiência do(s) membro(s) do pessoal em questão, etc.) 4. As categorias de titulares dos dados que podem ser abrangidas pela presente decisão compreendem o pessoal e o antigo pessoal da Agência, ou seja, (antigos) agentes, funcionários/administradores, peritos nacionais destacados e estagiários, bem como (antigos) contratantes da Agência. 5. Sob reserva das condições estabelecidas na presente decisão, as limitações podem aplicar-se aos seguintes direitos: comunicação de informações e comunicação de uma violação de dados pessoais aos titulares dos dados, em conformidade com os artigos 16.o e 35.o do Regulamento (UE) 2018/1725, direito de acesso pelo titular dos dados, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, direito de retificação, apagamento, limitação do tratamento e notificação da retificação ou apagamento, em conformidade com os artigos 18.o, 19.o, n.o 1, 20.o e 21.o do Regulamento (UE) 2018/1725.

Artigo 2.o Especificação dos responsáveis pelo tratamento e salvaguardas 1. A Agência Europeia de Medicamentos, representada pelo seu diretor-executivo, intervém na qualidade de responsável pelo tratamento. Internamente, o chefe da Divisão de Administração e Gestão Institucional foi designado para atuar, por delegação, como responsável pelo tratamento no que se refere às atividades abrangidas pela presente decisão. Se o inquérito administrativo ou o processo disciplinar disser respeito ao chefe da Divisão de Administração e Gestão Institucional, o diretor-executivo adjunto será o responsável pelo tratamento no atinente ao inquérito ou processo em questão. 2. Os dados pessoais são conservados num ficheiro eletrónico e/ou em suporte papel. As salvaguardas existentes para evitar violações, fugas ou divulgações não autorizadas de dados pessoais são as seguintes: a) O ficheiro em suporte papel é conservado num armário trancado, apenas acessível a membros do pessoal autorizados com base na necessidade de tomar conhecimento. Para garantir salvaguardas adequadas, existe também um sistema de segurança das instalações, a par de políticas internas de gestão de registos, formação do pessoal e auditorias. b) Os ficheiros eletrónicos são conservados num ambiente eletrónico seguro, concebido e mantido de forma a evitar a ocorrência, acidental ou ilícita, de destruição, perda, alteração, transferência, divulgação não autorizada ou acesso a dados pessoais, por parte de parceiros internos e externos não autorizados a aceder a tais dados. c) As rigorosas normas de confidencialidade e sigilo profissional aplicáveis aos investigadores designados e/ou a qualquer pessoa de outra forma envolvida no inquérito administrativo ou no processo disciplinar, conforme exigido pelas normas de execução da EMA relativas à realização de inquéritos administrativos e procedimentos disciplinares, de 8 de junho de 2012, bem como pelo Estatuto dos Funcionários e pelo Regime Aplicável aos Outros Agentes, garantem um elevado nível de proteção em relação aos riscos para os direitos e liberdades dos titulares dos dados abrangidos pelo tratamento. d) Em conformidade com o princípio da minimização dos dados, a Agência apenas recolherá e tratará dados pessoais que sejam adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados. São aplicáveis salvaguardas adicionais ao tratamento de categorias especiais de dados, bem como ao tratamento de dados pessoais relacionados com condenações penais e infrações ou medidas de segurança conexas. 3. Os períodos de armazenamento e conservação aplicáveis são os seguintes: a) Em conformidade com o artigo 13.o das normas de execução da EMA relativas à realização de inquéritos administrativos e procedimentos disciplinares, de 8 de junho de 2012, nos casos em que não tiver sido apresentada queixa contra o membro do pessoal, ou quando tiver sido apresentada queixa, mas não tiver sido tomada qualquer medida disciplinar, o ficheiro eletrónico e em suporte papel do processo de inquérito administrativo, bem como a cópia da notificação inicial do membro do pessoal constante do respetivo processo individual, em conformidade com o artigo 5.o das referidas normas de execução, são conservados durante 5 anos a contar da data da decisão que determina não ser necessário apresentar qualquer queixa ou tomar qualquer medida disciplinar. Esta disposição não é aplicável à decisão incluída no processo individual do membro do pessoal, a pedido desse membro, em conformidade com o artigo 1.o, n.o 3, do anexo IX do Estatuto dos Funcionários e com o artigo 5.o, n.o 5, das normas de execução da EMA relativas à realização de inquéritos administrativos e procedimentos disciplinares, de 8 de junho de 2012. Tal decisão apenas é removida do processo individual a pedido do membro do pessoal em questão. b) Quando for apresentada uma queixa contra um membro do pessoal, os ficheiros eletrónicos e em suporte papel, bem como a cópia da notificação inicial do membro do pessoal constante do respetivo processo individual, são conservados durante 10 anos a contar da data da decisão que determina uma medida disciplinar. Excecionalmente, quando for do interesse da Agência conservar o ficheiro do inquérito administrativo após o termo do prazo de 10 anos, deve ser emitida uma decisão fundamentada seis meses antes do termo desse prazo, que deve ser comunicada ao membro do pessoal em causa. A decisão fundamentada deve indicar o período adicional durante o qual o ficheiro do inquérito administrativo será conservado. Nesse caso, é igualmente conservada a notificação constante do processo individual do membro do pessoal. 4. Os riscos para os direitos e liberdades do titular dos dados podem incluir riscos para o direito ao respeito da confidencialidade das suas comunicações privadas, para o direito à liberdade de expressão e informação e para o direito de defesa e para o direito a ser ouvido. Esses riscos serão ponderados em relação aos fundamentos e finalidades que justificam a aplicação das limitações previstas na presente decisão. Esta operação de ponderação deve ser devidamente documentada e ser realizada com base numa análise casuística, de modo a garantir que as limitações apenas são aplicadas quando necessário e de forma proporcionada, bem como em conformidade com as normas previstas na presente decisão.

Artigo 3.o Limitações 1. Nos termos do artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, as limitações apenas devem ser aplicadas para salvaguardar: a) A prevenção, investigação, deteção e repressão de infrações penais, ou a execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública; b) Outros objetivos importantes de interesse público geral da União ou de um Estado-Membro, nomeadamente um interesse importante da União ou de um Estado-Membro, incluindo de saúde pública e de segurança social; c) A segurança interna das instituições e órgãos da União, incluindo a das suas redes de comunicações eletrónicas; d) A prevenção, investigação, deteção e repressão de violações da deontologia de profissões regulamentadas; e) Uma missão de controlo, de inspeção ou de regulamentação associada, ainda que ocasionalmente, ao exercício da autoridade pública, nos casos referidos nas alíneas a) a c). f) A proteção do titular dos dados ou dos direitos e liberdades de outrem; 2. Enquanto aplicação específica dos fins descritos no n.o 1 acima, a Agência pode aplicar limitações em relação a dados pessoais trocados com serviços da Comissão ou com outras instituições, órgãos, agências e serviços da União, autoridades competentes dos Estados-Membros ou de países terceiros ou organizações internacionais, nas seguintes circunstâncias: a) Se o exercício desses direitos e obrigações puder ser limitado por serviços da Comissão ou outras instituições, órgãos, agências e serviços da União com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725, ou em conformidade com o capítulo IX desse regulamento, ou com os atos constitutivos de outras instituições, órgãos, agências e serviços da União; b) Se o exercício desses direitos e obrigações puder ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (5), ou ao abrigo de medidas nacionais de transposição dos artigos 13.o, n.o 3, 15.o, n.o 3, ou 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (6); c) Nos casos em que o exercício desses direitos e obrigações possa pôr em causa a cooperação da Agência com países terceiros ou organizações internacionais no exercício das suas funções. Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do primeiro parágrafo, a Agência deve consultar os serviços competentes da Comissão, outras instituições, órgãos, agências e serviços da União ou as autoridades competentes dos Estados-Membros, salvo se para a Agência for claro que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas. 3. Todas as limitações devem ser necessárias e proporcionadas numa sociedade democrática e respeitar a essência dos direitos e liberdades fundamentais. 4. Deve ser realizado um teste de necessidade e de proporcionalidade baseado nas presentes normas. O mesmo deve ser documentado, caso a caso, mediante uma nota de avaliação interna, para efeitos de responsabilização. 5. As limitações devem ser devidamente acompanhadas, devendo ser efetuada uma avaliação periódica a cada seis meses, no máximo, para analisar se ainda se encontram reunidas as condições que justificam uma limitação específica. 6. As limitações devem ser levantadas logo que deixem de se verificar as condições que as justificam, nomeadamente quando o exercício dos direitos do titular dos dados (por exemplo, a comunicação de informações) tiver deixado de comprometer a finalidade da investigação ou procedimento em causa.

Artigo 4.o Informação do encarregado da proteção de dados e reexame 1. O responsável pelo tratamento (em nome da Agência) deve, sem demora injustificada, informar o EPD da Agência sempre que limite a aplicação dos direitos dos titulares de dados em conformidade com a presente decisão e deve facultar acesso aos registos e à documentação da avaliação da necessidade e proporcionalidade da limitação (incluindo quaisquer documentos que contenham elementos factuais e jurídicos subjacentes). Este requisito aplica-se igualmente a quaisquer reexames posteriores da limitação. 2. O EPD pode solicitar ao responsável pelo tratamento, por escrito, o reexame da aplicação das limitações. A Agência deve informar o EPD, por escrito, do resultado do reexame solicitado. 3. Os intercâmbios de informações com o EPD realizados ao longo do procedimento devem ser registados e documentados por escrito.

Artigo 5.o Limitação da comunicação de informações aos titulares dos dados 1. A Agência deve incluir as informações relacionadas com a eventual limitação desses direitos na declaração de privacidade relativa aos inquéritos administrativos e procedimentos disciplinares publicada na sua intranet. As informações devem abranger os direitos passíveis de serem limitados, bem como os motivos e a potencial duração da limitação. 2. Além disso, a Agência deve informar individualmente os titulares dos dados acerca dos seus direitos no atinente a limitações atuais ou futuras, sem demora injustificada e por escrito, e sem prejuízo dos números que se seguem. 3. Se a Agência limitar, no todo ou em parte, a comunicação de informações aos titulares dos dados em conformidade com a presente decisão, deve documentar os motivos dessa limitação, incluindo uma avaliação da necessidade e da proporcionalidade da limitação. Para o efeito, o registo deve indicar de que forma a comunicação das informações comprometeria a finalidade da investigação ou procedimento em causa, ou afetaria negativamente os direitos e liberdades de outrem. O registo e, se for caso disso, os documentos que contêm os elementos factuais e jurídicos subjacentes devem ser registados. Estes elementos devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados mediante pedido. 4. A limitação a que se refere o n.o 3 deve continuar a aplicar-se enquanto se mantiverem aplicáveis os motivos que a justificam. Quando os motivos para a limitação deixarem de ser aplicáveis, a Agência deve comunicar ao titular dos dados as informações em causa, bem como os motivos da limitação. Os titulares dos dados podem apresentar pedidos de informações ao EPD. 5. A Agência deve, simultaneamente, informar o titular dos dados da possibilidade de, a qualquer momento, apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou intentar uma ação judicial no Tribunal de Justiça da União Europeia. 6. A Agência deve reexaminar a aplicação da limitação semestralmente após a sua adoção e aquando do termo do procedimento.

Artigo 6.o Limitação do direito de acesso por parte dos titulares dos dados 1. Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no contexto de um ou mais casos específicos ou a uma determinada operação de tratamento, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, a Agência deve restringir a sua apreciação do pedido aos dados pessoais em causa. 2. Se a Agência limitar, no todo ou em parte, o direito de acesso previsto no artigo 17.o do Regulamento (UE) 2018/1725, deve tomar as seguintes medidas: a) Informar o titular dos dados em causa, na sua resposta ao pedido, da limitação aplicada e dos principais motivos para tal, na medida em que tal não comprometa a finalidade da investigação ou do processo em causa, bem como da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia; b) Registar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade da mesma; para o efeito, o registo deve indicar de que forma a concessão de acesso comprometeria a finalidade da investigação ou do procedimento em causa, ou afetaria negativamente os direitos e liberdades de outrem. A comunicação das informações a que se refere a alínea a) pode ser adiada, omitida ou recusada em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725. 3. O registo a que se refere a alínea b) do n.o 2 e, se for caso disso, os documentos que contêm os elementos factuais e jurídicos subjacentes devem ser registados. Estes elementos devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados mediante pedido. É aplicável o artigo 25.o, n.o 7, do Regulamento (UE) 2018/1725.

Artigo 7.o Limitação do direito de retificação, apagamento e limitação do tratamento Se a Agência limitar, no todo ou em parte, a aplicação do direito de retificação, apagamento ou limitação do tratamento a que se referem os artigos 18.o, 19.o, n.o 1, 20.o, n.o 1, e 21.o do Regulamento (UE) 2018/1725, deve tomar as medidas enunciadas no artigo 6.o, n.o 2, da presente decisão e proceder à inscrição do registo em conformidade com o artigo 6.o, n.o 3.

Artigo 8.o Limitação da comunicação de uma violação de dados pessoais aos titulares dos dados e confidencialidade das comunicações eletrónicas 1. Se a Agência limitar a comunicação de uma violação de dados pessoais ao titular dos dados, como refere o artigo 35.o do Regulamento (UE) 2018/1725, deve documentar e registar os motivos para a limitação, em conformidade com o artigo 5.o, n.os 3 a 6, da presente decisão. 2. Se a Agência limitar o direito à confidencialidade das comunicações eletrónicas a que se refere o artigo 36.o do Regulamento (UE) 2018/1725, deve documentar e registar os motivos para a limitação, em conformidade com o artigo 5.o, n.os 3 a 6, da presente decisão.

Artigo 9.o Entrada em vigor A presente decisão entra em vigor no dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Amesterdão, 12 de junho de 2019. Christa WIRTHUMER-HOCHE Presidente do Conselho de Administração da EMA

(1) JO L 295 de 21.11.2018, p. 39.

(2) JO L 248 de 18.9.2013, p. 1.

(3) Ref. do doc. 7.20/08.

(4) Regulamento (CE) n.o 726/2004 do Parlamento Europeu e do Conselho, de 31 de março de 2004, que estabelece procedimentos comunitários de autorização e de fiscalização de medicamentos para uso humano e veterinário e que institui uma Agência Europeia de Medicamentos (JO L 136 de 30.4.2004, p. 1).

(5) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(6) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).