DECISÃO DO CONSELHO ÚNICO DE RESOLUÇÃO

de 18 de setembro de 2019

relativa às regras internas em matéria de limitações de determinados direitos dos titulares dos dados no que diz respeito ao tratamento de dados pessoais no âmbito do procedimento informal da política do CUR destinada a proteger a dignidade da pessoa e prevenir o assédio psicológico e sexual (SRB/ES/2019/33)

O CONSELHO ÚNICO DE RESOLUÇÃO,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) n.o 806/2014 do Parlamento Europeu e do Conselho, de 15 de julho de 2014, que estabelece regras e um procedimento uniformes para a resolução de instituições de crédito e de certas empresas de investimento no quadro de um Mecanismo Único de Resolução e de um Fundo Único de Resolução bancária e que altera o Regulamento (UE) n.o 1093/2010 (1) e, nomeadamente, os seus artigos 42.o, 43.°, n.o 5, 50.°, n.o 3, 56.°, n.os 1-3, 61.°, 63.° e 64.°.

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (2),

Tendo em conta a consulta da Autoridade Europeia para a Proteção de Dados,

Considerando o seguinte:

(1) O Conselho Único de Resolução («CUR») desempenha as tarefas de uma autoridade de resolução enquanto parte do Mecanismo Único de Resolução («MUR») nos termos do Regulamento (UE) n.o 806/2014. A missão do CUR consiste em garantir uma resolução ordenada dos bancos em situação de falência com o mínimo impacto sobre a economia real, o sistema financeiro e as finanças públicas dos Estados-Membros participantes e de outros.

(2) O artigo 12.o-A do Estatuto dos Funcionários condena o assédio psicológico e sexual. A política do CUR destinada a proteger a dignidade da pessoa e prevenir o assédio psicológico e sexual precisa as disposições do artigo supracitado, promovendo a cultura de respeito e proteção da dignidade de todo o pessoal do CUR. Também introduz procedimentos simples e eficazes para proteger a dignidade de todas as pessoas que trabalham para a agência. No âmbito da política, um membro do pessoal ou qualquer outra pessoa que trabalhe para a agência nos termos da legislação nacional, pode iniciar um procedimento informal se se sentir vítima de assédio sexual ou psicológico, procurando o apoio de um conselheiro confidencial.

(3) A entidade do CUR responsável pelos recursos humanos notifica a entidade do CUR responsável pela conformidade sobre quaisquer casos recorrentes que envolvam a mesma pessoa nos termos do artigo 7.o, n.o 5, da Política do CUR destinada a proteger a dignidade da pessoa e prevenir o assédio psicológico e sexual. A entidade responsável pela conformidade informará a autoridade investida do poder de nomeação a qual irá, quando apropriado, lançar o procedimento previsto no anexo IX do Estatuto dos Funcionários.

(4) O CUR, representado aqui pelo seu coordenador de combate ao assédio, trata várias categorias de dados pessoais e, em particular, dados de identificação, dados de contacto, dados profissionais. Os dados pessoais são armazenados num ambiente eletrónico seguro, que impede a pessoas que não têm necessidade de os conhecer o acesso ilegal aos mesmos e a sua transferência ilegal. Os dados pessoais tratados são conservados de acordo com as regras do CUR em matéria de conservação de documentos. No termo do período de conservação, as informações relativas ao caso, incluindo os dados pessoais, são transferidas para os arquivos históricos ou eliminadas de acordo com o princípio da exatidão e minimização dos dados.

(5) As regras internas aplicam-se a todas as operações de tratamento realizadas pelo CUR no exercício das suas atividades para a prevenção de assédio psicológico ou sexual, deteção e repressão de infrações, nomeadamente, do Código Deontológico do CUR e do Estatuto dos Funcionários.

(6) As regras internas aplicam-se às operações de tratamento realizadas durante procedimentos informais, bem como durante a monitorização do seguimento dos resultados desses procedimentos. As regras internas aplicam-se às operações de tratamento que façam parte das atividades ligadas às funções do responsável pela conformidade e deontologia do CUR. Devem aplicar-se ainda à assistência e cooperação prestadas pelo responsável pela deontologia e conformidade do CUR às autoridades nacionais e organizações internacionais fora dos seus inquéritos administrativos.

(7) O CUR tem de apresentar justificações em que explique a razão pela qual as limitações são estritamente necessárias e proporcionadas numa sociedade democrática, e a forma como respeitam a essência dos direitos e liberdades fundamentais.

(8) Neste âmbito, o CUR está obrigado a respeitar, tanto quanto possível, os direitos fundamentais dos titulares dos dados durante os procedimentos acima mencionados, sobretudo os direitos relacionados com o direito de acesso e retificação, o direito de apagamento, portabilidade dos dados, etc. conforme consagrados no Regulamento (UE) 2018/1725.

(9) Contudo, o CUR pode ser obrigado a adiar a comunicação de informações ao titular dos dados e outros direitos do titular dos dados para proteger, em especial os procedimentos informais em curso e os direitos de outras pessoas relacionadas com procedimentos informais em curso ou encerrados.

(10) O CUR pode, portanto, adiar a comunicação de informações para efeitos de proteger a alegada vítima e/ou o procedimento informal e/ou repositório de tratamentos de dados no contexto do procedimento informal.

(11) O CUR deverá anular a limitação logo que e na medida em que as condições que justificam a limitação deixem de ser aplicáveis.

(12) O CUR deverá monitorizar as condições de limitação regularmente, a cada seis meses e revê-las quando necessário.

(13) O CUR deverá consultar o EPD durante as revisões,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o Objeto e âmbito 1. A presente Decisão estabelece as regras internas relativas às condições em que o CUR, no âmbito do procedimento informal da sua política destinada a proteger a dignidade da pessoa e prevenir o assédio psicológico e sexual, pode limitar a aplicação dos direitos consagrados nos artigos 14.o a 21.°, 35.°, do Regulamento (UE) 2018/1725, bem como no artigo 4.o, conforme previsto no artigo 25.o do mesmo regulamento. 2. A presente Decisão aplica-se às operações de tratamento de dados pessoais pelo CUR para efeitos de iniciar, realizar e encerrar um procedimento informal no âmbito da política do CUR destinada a proteger a dignidade da pessoa e prevenir o assédio psicológico e sexual. Em relação às operações de tratamento de dados pessoais pelo CUR para efeitos de realizar investigações internas, inquéritos administrativos e processos disciplinares, aplica-se uma decisão diferente relativa à limitação de direitos (para referência: SRB/ES/2019/32). 3. As categorias de dados em causa são dados tangíveis [dados administrativos, número de telefone, endereço privado, comunicações eletrónicas e dados relativos ao tráfego e/ou dados intangíveis (avaliações, abertura de inquéritos, relatórios relativos a investigações preliminares) etc. 4. Sujeito às condições estabelecidas na presente Decisão, as limitações podem aplicar-se aos seguintes direitos: acesso, retificação, apagamento e direitos de portabilidade, direitos de informação, confidencialidade das comunicações e princípios da operação de tratamento de dados, contanto que digam respeito a um direito.

Artigo 2.o Especificação do responsável pelo tratamento e salvaguardas 1. As salvaguardas criadas para evitar as violações, fugas ou divulgações não autorizadas de dados são as seguintes: limitação de direitos de acesso a pastas eletrónicas e à caixa de correio funcional para apresentação de queixas, armários protegidos com chaves e formação específica das pessoas que tratam das informações sobre confidencialidade. 2. O responsável pelo tratamento desta operação de tratamento é o CUR, representado aqui pelo coordenador de combate ao assédio do CUR. 3. Os dados pessoais recolhidos são armazenados e conservados de acordo com as regras do CUR em matéria de conservação de documentos. O período de conservação respeita o princípio de conservação não superior ao necessário para cumprir a finalidade da operação de tratamento e, por último, para permitir litígios judiciais ou administrativos.

Artigo 3.o Limitações 1. Nos termos do artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, qualquer limitação apenas é aplicada para salvaguardar: — a prevenção, investigação, deteção e repressão de infrações penais, ou a execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública; — a defesa do titular dos dados ou dos direitos e liberdades de outrem; — a prevenção, investigação, deteção e resolução de violações da deontologia. 2. Todas as limitações devem ser necessárias e proporcionadas numa sociedade democrática e respeitar a essência dos direitos e liberdades fundamentais. 3. Deve ser realizado um teste de necessidade e de proporcionalidade baseado nas presentes normas internas. O mesmo deve ser documentado, caso a caso, mediante uma nota de avaliação interna, para efeitos de responsabilização. 4. As limitações devem ser devidamente monitorizadas e deve ser realizada uma revisão periódica a cada seis meses. 5. As limitações devem ser anuladas assim que cessarem as circunstâncias que as justificam. 6. O risco para os direitos e as liberdades do titular de dados constitui a limitação temporária do exercício efetivo dos direitos do titular de dados, nomeadamente, a informação, apagamento ou defesa, conforme garantido pelo Regulamento (UE) 2018/1725. Estes riscos devem ser tidos em conta no âmbito do teste da necessidade e proporcionalidade referido no n.o 3 deste artigo.

Artigo 4.o Participação do encarregado da proteção de dados 1. O CUR deve, durante qualquer procedimento de limitação e sem demora injustificada, informar o encarregado da proteção de dados do CUR (o «EPD») sempre que limitar a aplicação dos direitos dos titulares de dados de acordo com a presente Decisão. Deverá prestar acesso ao registo e à avaliação da necessidade e proporcionalidade da limitação. 2. O EPD pode pedir por escrito, ao responsável pelo tratamento, o reexame da aplicação das limitações. O CUR deverá informar o EPD por escrito sobre o resultado do reexame pedido e quando é que a limitação foi anulada.

Artigo 5.o Comunicação de informações ao titular dos dados 1. O CUR deve incluir nos avisos sobre a proteção de dados publicados na sua Intranet a informar os titulares dos dados acerca dos seus direitos no âmbito de um determinado procedimento, informações relacionadas com a eventual limitação desses direitos. As informações devem abranger os direitos passíveis de serem limitados, bem como os motivos e a duração da eventual limitação. 2. Além disso, o CUR deve informar individualmente os titulares dos dados acerca dos seus direitos no atinente a limitações atuais ou futuras, sem demora injustificada e por escrito, e sem prejuízo do número que se segue. 3. Os titulares dos dados devem ser informados sobre as razões principais nas quais se baseia a aplicação de uma limitação e sobre o seu direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados.

Artigo 6.o Direito de acesso do titular dos dados 1. Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no contexto de um ou mais casos específicos ou de uma determinada operação de tratamento, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, o CUR deve restringir a sua apreciação do pedido a esses dados pessoais. 2. Se o CUR limitar, no todo ou em parte, o direito de acesso previsto no artigo 17.o do Regulamento (UE) 2018/1725, deve adotar as seguintes medidas: a) Informar o titular dos dados em causa, na sua resposta ao pedido, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia; b) Documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação; Para o efeito, a documentação deve indicar de que forma a concessão de acesso comprometeria a finalidade das atividades de inquérito do CUR ou das limitações aplicadas nos termos do artigo 2.o, n.o 3, ou prejudicaria os direitos e as liberdades de outros titulares de dados. A comunicação das informações a que se refere a alínea a) pode ser adiada, omitida ou recusada em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725. 3. A documentação a que se refere a alínea b) do n.o 2 e, se for caso disso, os documentos que contêm os elementos factuais e jurídicos subjacentes devem ser registados. Estes elementos devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados mediante pedido. É aplicável o artigo 25.o, n.o 7, do Regulamento (UE) 2018/1725.

Artigo 7.o Direito de retificação, apagamento e limitação do tratamento Se o CUR limitar, no todo ou em parte, a aplicação do direito de retificação, apagamento ou limitação do tratamento a que se referem os artigos 18.o, 19.°, n.o 1, e 20.°, n.o 1, do Regulamento (UE) 2018/1725, deve tomar as medidas indicadas no artigo 6.o, n.o 2, da presente Decisão e proceder à inscrição do registo em conformidade com o artigo 6.o, n.o 3.

Artigo 8.o Entrada em vigor A presente Decisão entra em vigor no dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Bruxelas, em 18 de setembro de 2019. Pelo Conselho Único de Resolução Elke KÖNIG Presidente

(1) JO L 225 de 30.7.2014, p. 1.

(2) JO L 295 de 21.11.2018, p. 39.