Decisão do Conselho de Administração sobre normas internas relativas a limitações de certos direitos dos titulares dos dados em relação ao tratamento de dados pessoais no contexto de atividades realizadas pela Agência Europeia do Ambiente

O CONSELHO DE ADMINISTRAÇÃO DA AGÊNCIA EUROPEIA DO AMBIENTE,

TENDO EM CONTA o Tratado sobre o Funcionamento da União Europeia,

TENDO EM CONTA o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1), nomeadamente o seu artigo 25.o,

TENDO EM CONTA o Regulamento (CE) n.o 401/2009 do Parlamento Europeu e do Conselho, de 23 de abril de 2009, relativo à Agência Europeia do Ambiente e à Rede Europeia de Informação e de Observação do Ambiente (versão codificada) (2), nomeadamente o seu artigo 8.o,

TENDO EM CONTA o Parecer da Autoridade Europeia para a Proteção de Dados (AEPD), de 13 de março de 2020, e as suas Orientações sobre o artigo 25.o do Regulamento (UE) 2018/1725 e as regras internas,

Após consulta do Comité do Pessoal,

CONSIDERANDO O SEGUINTE:

(1) A Agência Europeia do Ambiente (adiante designada por «Agência») está habilitada a proceder a inquéritos administrativos, a processos pré-disciplinares, disciplinares e de suspensão, em conformidade com o Estatuto dos Funcionários da União Europeia e o Regime Aplicável aos Outros Agentes da União Europeia, estabelecidos no Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho («Estatuto dos Funcionários») (3), e com a Decisão do Conselho de Administração da AEA, de 15 de fevereiro de 2013, relativa à condução dos inquéritos administrativos e dos procedimentos disciplinares. Se necessário, notifica igualmente os processos ao OLAF.

(2) Os membros do pessoal da Agência têm a obrigação de comunicar atividades potencialmente ilegais, incluindo a fraude e a corrupção, que sejam lesivas dos interesses da União. Os membros do pessoal estão também obrigados a comunicar os atos relacionados com o exercício de atividades profissionais que sejam suscetíveis de constituir um incumprimento grave das obrigações dos funcionários da União. Tal é regulamentado pela Decisão do Conselho de Administração da AEA sobre as orientações em matéria de denúncia de irregularidadesde 24 de abril de 2018 (Decisão EEA/MB/2018/011).

(3) A Agência estabeleceu uma política de prevenção e tratamento eficaz de casos reais ou potenciais de assédio psicológico ou sexual no local de trabalho, tal como previsto na Decisão do Conselho de Administração, de 13 de junho de 2017, sobre a política da AEA em matéria de proteção da dignidade da pessoa e de prevenção do assédio psicológico e sexual (Decisão EEA/MB/2017/011). A decisão estabelece um procedimento informal em que a alegada vítima do assédio pode contactar os conselheiros «confidenciais» da Agência.

(4) A Agência é objeto de auditorias internas e externas relativas às suas atividades.

(5) No contexto desses inquéritos administrativos, auditorias e investigações, a Agência coopera com outras instituições, órgãos, organismos e agências da União.

(6) A Agência pode cooperar com as autoridades nacionais e as organizações internacionais de países terceiros, quer a pedido destas quer por iniciativa própria.

(7) A Agência pode também cooperar com as autoridades públicas dos Estados-Membros da UE, quer a pedido destas quer por iniciativa própria.

(8) A AESA intervém em processos no Tribunal de Justiça da União Europeia quando submete uma questão para apreciação do Tribunal de Justiça, quando defende uma decisão adotada e contestada perante o Tribunal de Justiça ou quando intervém em processos relevantes para as suas funções. Neste contexto, a Agência poderá ter de preservar a confidencialidade dos dados pessoais contidos em documentos obtidos pelas partes ou pelos intervenientes.

(9) Para desempenhar as suas funções, a Agência recolhe e processa informações e diversas categorias de dados pessoais, incluindo dados de identificação das pessoas singulares, informações de contacto, funções e tarefas profissionais, informações sobre a conduta e o desempenho privados e profissionais, bem como dados financeiros. A Agência atua como responsável pelo tratamento de dados.

(10) Por conseguinte, nos termos do Regulamento (UE) 2018/1725 («o Regulamento»), a Agência é obrigada a prestar informações aos titulares dos dados sobre essas atividades de tratamento e a respeitar os seus direitos enquanto titulares de dados.

(11) A Agência poderá ser obrigada a conciliar esses direitos com os objetivos dos inquéritos administrativos, auditorias, investigações e processos judiciais. Poderá igualmente ser-lhe exigido que pondere os direitos de um titular dos dados em face dos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o do Regulamento atribui à Agência, sob condições estritas, a possibilidade de limitar a aplicação dos artigos 14.o a 22.o, 35.o e 36.o do Regulamento, bem como do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e às obrigações previstos nos artigos 14.o a 20.o. A menos que as limitações estejam previstas num ato jurídico adotado com base nos Tratados, é necessário adotar regras internas que atribuam à Agência o direito de limitar esses direitos.

(12) A Agência poderá, por exemplo, ter de limitar as informações que fornece a um titular de dados acerca do tratamento dos seus dados pessoais durante a fase de avaliação preliminar de um inquérito administrativo ou durante o próprio inquérito, antes de um eventual arquivamento do processo ou na fase pré-disciplinar. Em determinadas circunstâncias, a prestação dessas informações poderá afetar seriamente a capacidade da Agência para conduzir o inquérito de forma eficaz, sempre que, por exemplo, exista o risco de o titular de dados destruir provas ou interferir com potenciais testemunhas antes de estas serem inquiridas. A Agência poderá também ter de proteger os direitos e liberdades das testemunhas, bem como os de outras pessoas envolvidas.

(13) Poderá ser necessário proteger o anonimato de uma testemunha ou de um denunciante que tenha pedido para não ser identificado. Nesse caso, a Agência pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais dessas pessoas, a fim de proteger os seus direitos e liberdades.

(14) Poderá ser necessário proteger as informações confidenciais de um membro do pessoal que tenha contactado os conselheiros confidenciais da Agência no contexto de um procedimento de assédio. Nesse caso, a Agência pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais da alegada vítima, do alegado autor do assédio e de outras pessoas envolvidas, a fim de proteger os direitos e liberdades de todas as partes em causa.

(15) A Agência apenas deve aplicar limitações quando estas respeitem a essência dos direitos e liberdades fundamentais, sejam estritamente necessárias e constituam uma medida proporcionada numa sociedade democrática. A Agência deve fundamentar a justificação dessas limitações.

(16) Em cumprimento do princípio da responsabilização, a Agência deve manter um registo da sua aplicação de limitações.

(17) Ao tratar dados pessoais trocados com outras organizações no âmbito das suas funções, a Agência e essas organizações deverão consultar-se mutuamente sobre os motivos potenciais para impor limitações e sobre a necessidade e proporcionalidade dessas limitações, a menos que tal comprometa as atividades da Agência.

(18) O artigo 25.o, n.o 6, do Regulamento obriga o responsável pelo tratamento a informar os titulares dos dados dos principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD.

(19) Nos termos do artigo 25.o, n.o 8, do Regulamento, a Agência pode diferir, omitir ou recusar a prestação de informações sobre os motivos para a aplicação de uma limitação ao titular dos dados, caso tal seja suscetível de anular o efeito da limitação. A Agência deve avaliar, caso a caso, se a comunicação da limitação anularia o seu efeito.

(20) A Agência deve levantar a limitação logo que as condições que a justificam deixem de ser aplicáveis e avaliar essas condições com regularidade.

(21) A fim de garantir a máxima proteção dos direitos e liberdades dos titulares dos dados e em conformidade com o artigo 44.o, n.o 1, do Regulamento, o encarregado da proteção de dados (EPD) deve ser consultado em tempo útil acerca de quaisquer limitações que possam ser aplicadas e verificar a sua conformidade com a presente decisão.

(22) Os artigos 16.o, n.o 5, e 17.o, n.o 4, do Regulamento preveem exceções ao direito à informação e ao direito de acesso dos titulares de dados. Caso estas exceções sejam aplicáveis, não será necessário que a Agência aplique uma limitação nos termos da presente decisão,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o Objeto e âmbito de aplicação 1. A presente decisão estabelece regras relativas às condições em que a Agência pode limitar a aplicação dos artigos 4.o, 14.o a 22.o, 35.o e 36.o, com base no artigo 25.o do Regulamento. 2. A Agência, enquanto responsável pelo tratamento, é representada pelo diretor executivo, que pode delegar a função de responsável pelo tratamento no seio da Agência a fim de refletir as responsabilidades operacionais no que se refere a operações específicas de tratamento de dados pessoais.

Artigo 2.o Limitações 1. A Agência pode limitar a aplicação dos artigos 14.o a 22.o, 35.o e 36.o do Regulamento, bem como do seu artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 20.o: (a) nos termos do artigo 25.o, n.o 1, alíneas b), c), f), g) e h), do Regulamento, na condução de inquéritos administrativos, de processos pré-disciplinares, disciplinares ou de suspensão nos termos do artigo 86.o e do anexo IX do Estatuto dos Funcionários, e da Decisão do Conselho de Administração da AEA, de 15 de fevereiro de 2013, relativa à condução dos inquéritos administrativos e dos processos disciplinares, aquando do tratamento de queixas internas e externas, bem como aquando da notificação dos processos ao OLAF; (b) nos termos do artigo 25.o, n.o 1, alínea h), do Regulamento, ao assegurar que os membros do pessoal da Agência possam comunicar factos confidencialmente sempre que considerem que existem irregularidades graves, tal como previsto na Decisão do Conselho de Administração da AEA sobre as orientações em matéria de denúncia de irregularidades 24 de abril de 2018 (Decisão EEA/MB/2018/011); (c) nos termos do artigo 25.o, n.o 1, alínea h), do Regulamento, ao assegurar que os membros do pessoal da Agência possam apresentar denúncias a conselheiros confidenciais no contexto de um procedimento de assédio (formal ou informal), tal como definido na Decisão do Conselho de Administração da AEA, de 13 de junho de 2017, sobre a política da AEA em matéria de proteção da dignidade da pessoa e de prevenção do assédio psicológico e sexual (Decisão EEA/MB/2017/011); (d) nos termos do artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento, aquando da condução de auditorias internas relacionadas com atividades ou departamentos da Agência, incluindo investigações realizadas pelo encarregado da proteção de dados nos termos do artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725 e investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, a CERT-UE). (e) nos termos do artigo 25.o, n.o 1, alíneas c), d), g) e h), do Regulamento, ao prestar assistência a outras instituições, órgãos, organismos e agências da União, ao receber assistência destes ou ao cooperar com estes no contexto das atividades previstas nas alíneas a) a d) do presente número, e nos termos dos acordos de nível de serviço, memorandos de entendimento e acordos de cooperação pertinentes; (f) nos termos do artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento, ao prestar assistência às autoridades nacionais de países terceiros e organizações internacionais, ao receber assistência destas ou ao cooperar com tais autoridades e organizações, quer a seu pedido, quer por iniciativa própria; (g) nos termos do artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento, ao prestar assistência e cooperação às autoridades públicas dos Estados-Membros da UE ou ao receber assistência e cooperação destas, quer a seu pedido quer por iniciativa própria; (h) nos termos do artigo 25.o, n.o 1, alínea e), do Regulamento, aquando do tratamento de dados pessoais constantes de documentos obtidos pelas partes ou pelos intervenientes no âmbito de um processo no Tribunal de Justiça da União Europeia. (i) Qualquer limitação deve respeitar a essência dos direitos e das liberdades fundamentais e constituir uma medida necessária e proporcionada numa sociedade democrática. 2. Deve ser efetuado um teste da necessidade e da proporcionalidade, caso a caso, antes da aplicação de limitações. As limitações devem limitar-se ao estritamente necessário para alcançar os seus objetivos. 3. Para efeitos de responsabilização, a Agência deve criar um relatório que descreva os motivos das limitações aplicadas, que identifique os motivos enumerados no n.o 1 que são aplicáveis e que indique os resultados do teste de necessidade e proporcionalidade. Esse documento deve ser incluído num ficheiro, que será facultado à AEPD, a pedido desta. A Agência elabora relatórios periódicos sobre a aplicação do artigo 25.o do Regulamento. 4. Ao proceder ao tratamento de dados pessoais administrativos recebidos de outras organizações no âmbito das suas funções, a Agência deve consultar essas organizações sobre os eventuais motivos para a imposição de limitações e sobre a necessidade e proporcionalidade das limitações em causa, a menos que tal ponha em perigo as atividades da Agência. 5. As categorias de dados em questão consistem em dados tangíveis (dados «objetivos», como dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego) e/ou dados intangíveis (dados «subjetivos» relacionados com o caso, como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com ou apresentados no âmbito da matéria a que se refere o procedimento ou a atividade).

Artigo 3.o Riscos para os direitos e liberdades dos titulares de dados 1. As avaliações dos riscos para os direitos e liberdades dos titulares de dados decorrentes da imposição de limitações e os pormenores sobre o período de aplicação dessas limitações devem ser registados no registo das atividades de tratamento conservado pela Agência nos termos do artigo 31.o do Regulamento. Devem igualmente ser registados em quaisquer avaliações de impacto sobre a proteção de dados relativas a essas limitações realizadas nos termos do artigo 39.o do Regulamento. 2. Sempre que a Agência avaliar a necessidade e a proporcionalidade de uma limitação, deve considerar os potenciais riscos para os direitos e liberdades do titular dos dados.

Artigo 4.o Garantias e prazos de conservação 1. A Agência aplica garantias para evitar o abuso ou o acesso ou transferência ilícitos dos dados pessoais relativamente aos quais se aplicam ou podem ser aplicadas limitações. Estas garantias incluem medidas técnicas e organizativas e, se necessário, devem ser descritas nas decisões, procedimentos e normas de execução internas da Agência. As garantias incluem: (a) uma definição adequada das funções, responsabilidades e etapas processuais; (b) um ambiente eletrónico seguro que impeça o acesso ilícito e acidental ou a transferência de dados eletrónicos para pessoas não autorizadas; todos os dados eletrónicos são conservados numa aplicação informática segura, de acordo com as regras de segurança da Agência, bem como em pastas eletrónicas específicas, acessíveis apenas a membros autorizados do pessoal. Os níveis adequados de acesso são concedidos individualmente; (c) a conservação segura e o tratamento de documentos em papel, que devem ser mantidos em armários de arquivo seguros e estar acessíveis apenas a membros autorizados do pessoal; (d) a monitorização adequada das limitações e uma revisão periódica da sua aplicação. 2. As revisões referidas na alínea d) devem ser realizadas, pelo menos, de seis em seis meses. 3. As limitações devem ser anuladas assim que cessarem as circunstâncias que as justificam. 4. Os dados pessoais são conservados em conformidade com as regras de limitação da Agência aplicáveis, a definir nos registos de proteção de dados mantidos nos termos do artigo 31.o do Regulamento. No termo do período de conservação, os dados pessoais são apagados, anonimizados ou transferidos para arquivos em conformidade com o artigo 13.o do Regulamento.

Artigo 5.o Participação do encarregado da proteção de dados 1. O encarregado da proteção de dados da Agência deve ser informado sem demora injustificada sempre que os direitos dos titulares dos dados sejam objeto de limitações em conformidade com a presente decisão. Ser-lhe-á concedido acesso aos registos conexos e a quaisquer documentos relativos ao contexto factual ou jurídico. 2. O encarregado da proteção de dados da Agência pode solicitar o reexame da aplicação de uma limitação. A Agência informa por escrito o seu encarregado da proteção de dados acerca do resultado do reexame. 3. A Agência documenta a intervenção do encarregado da proteção de dados na aplicação das limitações, incluindo as informações que lhe são comunicadas.

Artigo 6.o Informação aos titulares dos dados sobre as limitações aos seus direitos 1. A Agência inclui nos avisos sobre a proteção de dados publicados na sua Intranet uma secção que presta informações gerais aos titulares dos dados sobre a eventual limitação dos direitos dos titulares de dados nos termos do artigo 2.o, n.o 1. As informações devem abranger os direitos que podem ser limitados, os motivos que podem justificar a aplicação das limitações e a duração da eventual limitação. 2. A Agência informa individualmente os titulares dos dados, por escrito e sem demora injustificada, acerca das limitações atuais ou futuras aos seus direitos. A Agência informa o titular dos dados acerca dos principais motivos em que se baseia a aplicação da limitação, do seu direito de consultar o encarregado da proteção de dados com vista a contestar a limitação e do seu direito de apresentar uma reclamação à AEPD. 3. A Agência pode diferir, omitir ou recusar a prestação de informações sobre os motivos de uma limitação e o direito de apresentar uma reclamação à AEPD caso isso seja suscetível de anular o efeito da limitação. A avaliação de tal justificação deve ser efetuada caso a caso. A Agência fornecerá as informações ao titular dos dados assim que isso deixe de ser suscetível de anular o efeito da limitação.

Artigo 7.o Comunicação de uma violação de dados pessoais ao titular dos dados 1. Sempre que esteja obrigada a comunicar uma violação de dados nos termos do artigo 35.o, n.o 1, do Regulamento, a Agência pode, em circunstâncias excecionais, limitar total ou parcialmente essa comunicação. Deve documentar em nota as razões da limitação, o seu fundamento jurídico nos termos do artigo 2.o e uma avaliação da sua necessidade e proporcionalidade. A nota deve ser comunicada à AEPD no momento da notificação da violação de dados pessoais. 2. Se os motivos da limitação deixarem de se aplicar, a Agência deve comunicar a violação dos dados pessoais ao titular dos dados e informá-lo dos principais motivos da limitação e do seu direito de apresentar uma reclamação à AEPD.

Artigo 8.o Confidencialidade das comunicações eletrónicas 1. Em circunstâncias excecionais, a Agência pode limitar o direito à confidencialidade das comunicações eletrónicas estabelecido no artigo 36.o do Regulamento. Tais limitações devem cumprir o disposto na Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (4). 2. Quando a Agência limita o direito à confidencialidade das comunicações eletrónicas, deve informar o titular dos dados em causa acerca dos principais motivos em que se baseia a aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD. 3. A Agência pode diferir, omitir ou recusar a prestação de informações sobre os motivos de uma limitação e o direito de apresentar uma reclamação à AEPD caso isso seja suscetível de anular o efeito da limitação. A avaliação de tal justificação deve ser efetuada caso a caso.

Artigo 9.o Entrada em vigor A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Aprovado por procedimento escrito do Conselho de Administração. 19 de abril de 2021. Laura BURKE Presidente, Conselho de Administração da AEA

(1) JO L 295 de 21.11.2018, p. 39

(2) JO L 126 de 21.5.2009, p. 13

(3) Regulamento (CEE, Euratom, CECA) no 259/68 do Conselho, de 29 de fevereiro de 1968, que fixa o Estatuto dos Funcionários das Comunidades Europeias assim como o Regime aplicável aos outros agentes destas Comunidades, e institui medidas especiais temporariamente aplicáveis aos funcionários da Comissão (JO L 56 de 4.3.1968, p. 1).

(4) Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no sector das comunicações eletrónicas (JO L 201 de 31.7.2002, p. 37).