DECISÃO DO CONSELHO DE ADMINISTRAÇÃO DA EMPRESA COMUM ENERGIA DE FUSÃO

de 9 de dezembro de 2019

sobre normas internas relativas a limitações de certos direitos dos titulares dos dados em relação ao tratamento de dados pessoais no contexto do funcionamento da empresa comum «Energia de Fusão»

O CONSELHO DE ADMINISTRAÇÃO

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1), nomeadamente o seu artigo 25.o,

Tendo em conta a Decisão 2007/198/Euratom do Conselho, de 27 de março de 2007, que institui a Empresa Comum Europeia para o ITER e o Desenvolvimento da Energia de Fusão e que lhe confere vantagens (2) (a seguir designada Empresa Comum «Energia de Fusão»), nomeadamente o seu artigo 6.o,

Tendo em conta os Estatutos anexos à referida decisão, nomeadamente o seu artigo 10.o,

Tendo em conta o Estatuto dos Funcionários e o Regime Aplicável aos Outros Agentes da União Europeia («Estatuto dos Funcionários»), nomeadamente o seu artigo 2.o, n.o 3, e o artigo 30.o do seu anexo IX,

Tendo em conta o Regulamento (UE, Euratom) n.o 883/2013 do Parlamento Europeu e do Conselho, de 11 de setembro de 2013, relativo aos inquéritos efetuados pelo Organismo Europeu de Luta Antifraude (OLAF) e que revoga o Regulamento (CE) n.o 1073/1999 do Parlamento Europeu e do Conselho e o Regulamento (Euratom) n.o 1074/1999 do Conselho (3),

Tendo em conta as orientações da Autoridade Europeia para a Proteção de Dados (AEPD), de 18 de dezembro de 2018, e o seu parecer de 26 de julho de 2019 emitido na sequência da notificação para efeitos do artigo 41.o, n.o 2, do Regulamento (UE) 2018/1725,

Após consulta do Comité do Pessoal,

Considerando o seguinte:

(1) A Empresa Comum «Energia de Fusão» exerce as suas atividades em conformidade com os Estatutos anexos à Decisão 2007/198/Euratom.

(2) Em conformidade com o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, as limitações à aplicação dos artigos 14.o a 22.o, 35.o e 36.o, bem como do artigo 4.o do referido Regulamento, na medida em que as respetivas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 22.o, devem basear-se nas normas internas a adotar pela Empresa Comum «Energia de Fusão», quando não se baseiem em atos normativos adotados com base nos Tratados.

(3) Estas normas internas, incluindo as respetivas disposições sobre a avaliação da necessidade e da proporcionalidade de uma limitação, não devem aplicar-se nos casos em que um ato normativo adotado com base nos Tratados preveja uma limitação dos direitos do titular dos dados.

(4) Nos casos em que a Empresa Comum «Energia de Fusão» desempenha as suas funções relativamente a direitos do titular dos dados nos termos do Regulamento (UE) 2018/1725, deve ter em conta se são aplicáveis algumas das derrogações previstas no referido Regulamento.

(5) No âmbito do seu funcionamento administrativo, a Empresa Comum «Energia de Fusão» pode conduzir inquéritos administrativos e processos disciplinares, em conformidade com as regras estabelecidas no Estatuto dos Funcionários. A Empresa Comum «Energia de Fusão» pode igualmente levar a cabo atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncias, tratar procedimentos (formais e informais) de assédio, tratar reclamações internas e externas, tratar dados médicos, realizar auditorias internas, levar a cabo investigações através do encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e conduzir investigações em matéria de segurança (informática) internamente ou com participação externa (por exemplo, da CERT-UE).

(6) A Empresa Comum «Energia de Fusão» trata várias categorias de dados pessoais, incluindo dados tangíveis (dados «objetivos», como dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego) e/ou dados intangíveis (dados «subjetivos» relacionados com o caso, como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados apresentados no âmbito da matéria a que se refere o procedimento ou a atividade ou com esta relacionados).

(7) A Empresa Comum «Energia de Fusão», representada pelo seu Diretor, atua como responsável pelo tratamento dos dados, sem prejuízo de subsequentes delegações dessa função no seio da Empresa Comum «Energia de Fusão», a fim de refletir as responsabilidades operacionais no que se refere a operações específicas de tratamento de dados pessoais.

(8) Os dados pessoais são armazenados em segurança num ambiente eletrónico ou em papel, evitando o acesso ou a transferência ilícitos de dados para pessoas que não tenham de os conhecer. Os dados pessoais tratados são conservados apenas durante o tempo necessário e adequado às finalidades do respetivo tratamento, num período especificado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos da Empresa Comum «Energia de Fusão».

(9) As normas internas devem também aplicar-se a operações de tratamento realizadas antes do início dos procedimentos referidos no considerando 5, ao longo dos mesmos e durante a supervisão do seguimento dado aos resultados de tais procedimentos. Devem ainda abranger a assistência e a cooperação prestadas pela Empresa Comum «Energia de Fusão», fora do âmbito das suas investigações administrativas, a autoridades nacionais e a organizações internacionais. Estas normas internas devem aplicar-se igualmente às atividades relacionadas com a cooperação e a transmissão de informações relativas a um inquérito administrativo ou a processos disciplinares às instituições e órgãos da UE. Nesse sentido, a Empresa Comum «Energia de Fusão» deve consultar tais instituições, órgãos, organismos, agências, autoridades ou organizações sobre os fundamentos pertinentes para a imposição de limitações e sobre a necessidade e proporcionalidade das mesmas.

(10) Sempre que tais normas internas se apliquem, a Empresa Comum «Energia de Fusão» tem de apresentar justificações em que explique o motivo pelo qual as limitações são estritamente necessárias e proporcionadas numa sociedade democrática, e a forma como respeitam a essência dos direitos e liberdades fundamentais.

(11) Neste contexto, compete à Empresa Comum «Energia de Fusão» respeitar tanto quanto possível, durante os procedimentos acima referidos, os direitos fundamentais dos titulares dos dados, em especial os relacionados com o direito de comunicação de informações, o direito de acesso e retificação, o direito ao apagamento, a limitação do tratamento, o direito de comunicação ao titular dos dados de uma violação de dados pessoais ou a confidencialidade da comunicação, conforme estabelecido no Regulamento (UE) 2018/1725.

(12) Contudo, a Empresa Comum «Energia de Fusão» poderá ser obrigada a limitar a comunicação de informações ao titular dos dados, assim como outros direitos deste, a fim de proteger, em especial, as suas próprias investigações e procedimentos, as investigações e processos de outras autoridades públicas, bem como os direitos de outras pessoas relacionadas com as suas investigações ou com outros procedimentos.

(13) Assim, a Empresa Comum «Energia de Fusão» pode limitar a comunicação de informações para proteger a investigação e os direitos e liberdades fundamentais de outros titulares de dados. A Empresa Comum «Energia de Fusão» pode, em particular, adiar a comunicação de informações com vista a proteger os seus inquéritos administrativos e processos disciplinares, as investigações e processos de outras autoridades públicas, ou ainda com vista a proteger a identidade de informadores e de outras pessoas envolvidas nos procedimentos, incluindo denunciantes e testemunhas que não devem sofrer repercussões negativas em virtude da sua cooperação. Nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, o responsável pelo tratamento pode adiar ou negar a comunicação das informações relativas aos motivos da aplicação de uma limitação ao titular dos dados, caso tal comunicação seja suscetível de anular o efeito da limitação imposta.

(14) A Empresa Comum «Energia de Fusão» deverá verificar regularmente se as condições que justificam a limitação ainda se mantêm e levantar essa limitação em caso negativo.

(15) O responsável pelo tratamento deve informar o encarregado da proteção de dados (EPD) aquando da prorrogação de uma limitação ou quando sejam aplicadas outras limitações dos direitos dos titulares de dados e durante as respetivas revisões,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o Objeto e âmbito 1. A presente decisão estabelece as regras relativas às condições em que a Empresa Comum «Energia de Fusão», no âmbito dos seus procedimentos descritos no n.o 2, pode limitar a aplicação dos direitos consagrados nos artigos 14.o a 21.o, 35.o e 36.o do Regulamento (UE) 2018/1725, bem como no artigo 4.o, conforme previsto no artigo 25.o do mesmo regulamento. 2. No âmbito do funcionamento administrativo da Empresa Comum «Energia de Fusão», a presente decisão aplica-se às operações de tratamento de dados pessoais realizadas pela Empresa Comum «Energia de Fusão» com as seguintes finalidades: realizar inquéritos administrativos e processos disciplinares, assim como levar a cabo atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncia, tratar procedimentos (formais e informais) de assédio, tratar reclamações internas e externas, tratar dados médicos, realizar auditorias internas, realizar investigações conduzidas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e levar a cabo investigações em matéria de segurança (informática), internamente ou com participação externa (por exemplo, da CERT-UE). A presente decisão deve aplicar-se igualmente às atividades de assistência e cooperação prestadas pela Empresa Comum «Energia de Fusão» fora dos seus inquéritos administrativos às autoridades nacionais e às organizações internacionais. Além disso, a presente decisão aplica-se a atividades relacionadas com a cooperação com instituições e órgãos da UE, bem como à transmissão de informações a estas últimas no âmbito de um inquérito administrativo ou de um processo disciplinar, sempre que tais informações sejam necessárias para que o destinatário avalie os fundamentos para a abertura da investigação formal ou do processo. 3. As categorias de dados em questão consistem em dados tangíveis (dados «objetivos», como dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego) e/ou dados intangíveis (dados «subjetivos» relacionados com o caso, como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados apresentados no âmbito da matéria a que se refere o procedimento ou a atividade ou com esta relacionados). 4. Nos casos em que a Empresa Comum «Energia de Fusão» desempenha as suas funções relativamente a direitos do titular dos dados nos termos do Regulamento (UE) 2018/1725, deve ter em conta se são aplicáveis algumas das derrogações previstas no referido Regulamento. 5. Sob reserva das condições estabelecidas na presente decisão, as limitações podem aplicar-se aos seguintes direitos: comunicação de informações a titulares de dados, direito de acesso, retificação, apagamento, limitação do tratamento, comunicação de uma violação de dados pessoais ao titular dos dados ou confidencialidade da comunicação.

Artigo 2.o Especificação do responsável pelo tratamento e salvaguardas 1. As salvaguardas existentes para evitar violações, fugas ou divulgações não autorizadas de dados são as seguintes: a) Os documentos em papel devem ser mantidos em armários de arquivo seguros e estar acessíveis apenas a membros autorizados do pessoal; b) Todos os dados eletrónicos são conservados numa aplicação informática segura, de acordo com as normas de segurança da Empresa Comum «Energia de Fusão», bem como em pastas eletrónicas específicas, acessíveis apenas a membros autorizados do pessoal. Os níveis adequados de acesso são concedidos individualmente; c) O acesso à base de dados está protegido por uma palavra-passe num sistema de início de sessão único e associado automaticamente à palavra-passe e ao ID do utilizador. A substituição de utilizadores é estritamente proibida. Os registos eletrónicos são mantidos em segurança para salvaguardar a confidencialidade e a privacidade dos dados que contêm; d) Todas as pessoas que disponham de acesso aos dados estão sujeitas à obrigação de confidencialidade. 2. O responsável pelas operações de tratamento é a Empresa Comum «Energia de Fusão», representada pelo seu Diretor, que pode delegar a função de responsável pelo tratamento. Os titulares dos dados são informados acerca do responsável pelo tratamento delegado por meio dos avisos sobre a proteção de dados ou de registos publicados no sítio Web e/ou na intranet da Empresa Comum «Energia de Fusão». 3. O período de conservação dos dados pessoais mencionado no artigo 1.o, n.o 3, não excede o necessário e adequado para os fins a que se destina o tratamento dos dados. Em qualquer caso, não excede o período de conservação indicado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos a que se refere o artigo 5.o, n.o 1. 4. Sempre que a Empresa Comum «Energia de Fusão» pondere aplicar uma limitação, os riscos para os direitos e as liberdades do titular dos dados são avaliados, em especial em face dos riscos para os direitos e liberdades de outros titulares dos dados e do risco de anular o efeito de investigações ou procedimentos da Empresa Comum «Energia de Fusão», nomeadamente através da destruição de provas. Os riscos para os direitos e liberdades de outros titulares dos dados dizem respeito sobretudo, mas não exclusivamente, a riscos para a reputação e a riscos para o direito de defesa e para o direito a ser ouvido.

Artigo 3.o Limitações 1. A Empresa Comum «Energia de Fusão» apenas aplica uma limitação a fim de salvaguardar: a) a prevenção, investigação, deteção e repressão de infrações penais, ou a execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública; b) outros objetivos importantes do interesse público geral da União ou de um Estado-Membro, nomeadamente os objetivos da política externa e de segurança comum da União ou um interesse económico ou financeiro importante da União ou de um Estado-Membro, incluindo nos domínios monetário, orçamental ou fiscal, da saúde pública e da segurança social; c) a segurança interna das instituições e órgãos da União, incluindo a das suas redes de comunicações eletrónicas; d) a defesa da independência judiciária e dos processos judiciais; e) a prevenção, investigação, deteção e repressão de violações da deontologia de profissões regulamentadas; f) uma missão de controlo, de inspeção ou de regulamentação associada, ainda que ocasionalmente, ao exercício da autoridade pública, nos casos referidos nas alíneas a) a c); g) a defesa do titular dos dados ou dos direitos e liberdades de outrem; h) a execução de ações cíveis. 2. Enquanto aplicação específica dos fins descritos no n.o 1 acima, a Empresa Comum «Energia de Fusão» pode aplicar limitações em relação a dados pessoais trocados com serviços da Comissão ou com outras instituições, órgãos, agências e serviços da União, autoridades competentes dos Estados-Membros ou de países terceiros ou organizações internacionais, nas seguintes circunstâncias: a) se o exercício desses direitos e obrigações puder ser limitado por serviços da Comissão ou outras instituições, órgãos, agências e serviços da União com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725, ou em conformidade com o capítulo IX do referido Regulamento, ou com os atos constitutivos de outras instituições, órgãos, agências e serviços da União; b) se o exercício desses direitos e obrigações puder ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (4), ou ao abrigo de medidas nacionais de transposição do artigo 13.o, n.o 3, do artigo 15.o, n.o 3, ou do artigo 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (5); c) nos casos em que o exercício desses direitos e obrigações possa pôr em causa a cooperação da Empresa Comum «Energia de Fusão» com países terceiros ou organizações internacionais no exercício das suas funções. Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do primeiro parágrafo, a Empresa Comum «Energia de Fusão» deve consultar os serviços competentes da Comissão, outras instituições, órgãos, agências e serviços da União ou as autoridades competentes dos Estados-Membros, salvo se para a Empresa Comum «Energia de Fusão» for claro que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas. 3. Qualquer limitação deve ser necessária e proporcionada, tendo em conta os riscos para os direitos e liberdades dos titulares dos dados, e deve respeitar a essência dos direitos e liberdades fundamentais numa sociedade democrática. 4. Se for ponderada a aplicação de uma limitação, deve ser realizado um teste de necessidade e de proporcionalidade baseado nas presentes normas. Esse teste deve ser documentado, caso a caso, mediante uma nota de avaliação interna, para efeitos de responsabilização. 5. As limitações devem ser anuladas assim que cessarem as circunstâncias que as justificam. Em especial, é esse o caso quando se considera que o exercício do direito limitado já não anula o efeito da limitação imposta nem afeta negativamente os direitos ou liberdades de outros titulares de dados.

Artigo 4.o Reexame pelo encarregado da proteção de dados 1. 1. A Empresa Comum «Energia de Fusão» informa, sem demora injustificada, o seu encarregado da proteção de dados (o «EPD») sempre que o responsável pelo tratamento limite a aplicação de direitos dos titulares dos dados, ou prorrogue a limitação, em conformidade com a presente decisão. O responsável pelo tratamento concede ao EPD acesso ao registo que contém a avaliação da necessidade e proporcionalidade da limitação, e documenta, nesse registo, a data em que informou o EPD. 2. O EPD pode pedir por escrito, ao responsável pelo tratamento, o reexame da aplicação das limitações. O responsável pelo tratamento informa o EPD, por escrito, acerca do resultado do reexame solicitado. 3. O responsável pelo tratamento informa o EPD aquando do levantamento da limitação.

Artigo 5.o Comunicação de informações ao titular dos dados 1. Em casos devidamente fundamentados, e cumprindo as condições definidas na presente decisão, o direito à informação pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento: a) realização de inquéritos administrativos e de processos disciplinares; b) atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; c) procedimentos de denúncia; d) procedimentos (formais e informais) relativos a casos de assédio; e) tratamento de reclamações internas e externas; f) auditorias internas; g) investigações realizadas pelo encarregado da proteção de dados, em consonância com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725; h) investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). Nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos, na aceção do artigo 31.o do Regulamento (UE) 2018/1725, publicados no seu sítio Web e/ou na intranet para informar os titulares dos dados acerca dos seus direitos no âmbito de um determinado procedimento, a Empresa Comum «Energia de Fusão» inclui informações relacionadas com a eventual limitação desses direitos. As informações abrangem os direitos passíveis de serem limitados. 2. Sem prejuízo do disposto no n.o 3, quando tal for proporcionado, a Empresa Comum «Energia de Fusão» também informa individualmente, por escrito e sem demora injustificada, todos os titulares dos dados que sejam considerados pessoas afetadas pela operação de tratamento em causa acerca dos seus direitos no que diz respeito a limitações presentes e futuras. 3. Se a Empresa Comum «Energia de Fusão» limitar, no todo ou em parte, a comunicação de informações aos titulares dos dados a que se refere o n.o 2, documenta os motivos dessa limitação e a base jurídica, em conformidade com o artigo 3.o da presente decisão, incluindo uma avaliação da necessidade e proporcionalidade da limitação. O registo e, se for caso disso, os documentos que contêm os elementos factuais e jurídicos subjacentes devem ser registados. Estes elementos são colocados à disposição da Autoridade Europeia para a Proteção de Dados mediante pedido. 4. A limitação a que se refere o n.o 3 deve continuar a aplicar-se enquanto se mantiverem aplicáveis as razões que a justificam. A Empresa Comum «Energia de Fusão» fornece informações ao titular dos dados sobre os principais motivos em que se baseia a aplicação de uma limitação. A Empresa Comum «Energia de Fusão» informa, simultaneamente, o titular dos dados da possibilidade de, a qualquer momento, apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou intentar uma ação judicial no Tribunal de Justiça da União Europeia. A Empresa Comum «Energia de Fusão» reexamina a aplicação da limitação semestralmente após a sua adoção e aquando do encerramento do inquérito, procedimento ou investigação pertinentes. Daí em diante, o responsável pelo tratamento deve verificar, de seis em seis meses, a necessidade de manter uma determinada limitação.

Artigo 6.o Direito de acesso do titular dos dados 1. Em casos devidamente fundamentados e nas condições definidas na presente decisão, o direito de acesso pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e proporcionado: a) realização de inquéritos administrativos e de processos disciplinares; b) atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; c) procedimentos de denúncia; d) procedimentos (formais e informais) relativos a casos de assédio; e) tratamento de reclamações internas e externas; f) tratamento de dados médicos, apenas em casos específicos justificados (6); g) auditorias internas; h) investigações realizadas pelo encarregado da proteção de dados, em consonância com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725; i) investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no contexto de um ou mais casos específicos ou de uma determinada operação de tratamento, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, a Empresa Comum «Energia de Fusão» deve restringir a sua apreciação do pedido a esses dados pessoais. 2. Quando a Empresa Comum «Energia de Fusão» limitar, no todo ou em parte, o direito de acesso previsto no artigo 17.o do Regulamento (UE) 2018/1725, deve adotar as seguintes medidas: a) informar o titular dos dados em causa, na sua resposta ao pedido, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia; b) documentar, numa nota de avaliação interna, os motivos da limitação, incluindo uma avaliação da necessidade e proporcionalidade da limitação e da respetiva duração. A comunicação das informações a que se refere a alínea a) pode ser adiada, omitida ou recusada caso se presuma que anule o efeito da limitação, em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725. A Empresa Comum «Energia de Fusão» reexamina a aplicação da limitação semestralmente após a sua adoção e aquando do encerramento do inquérito, procedimento ou investigação pertinentes. Daí em diante, o responsável pelo tratamento deve verificar, de seis em seis meses, a necessidade de manter uma determinada limitação. 3. O registo e, se for caso disso, os documentos que contêm os elementos factuais e jurídicos subjacentes devem ser registados. Estes elementos são colocados à disposição da Autoridade Europeia para a Proteção de Dados mediante pedido.

Artigo 7.o Direito de retificação, apagamento e limitação do tratamento 1. Em casos devidamente fundamentados e nas condições definidas na presente decisão, o direito à retificação, apagamento e limitação pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e adequado: a) realização de inquéritos administrativos e de processos disciplinares; b) atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; c) procedimentos de denúncia; d) procedimentos (formais e informais) relativos a casos de assédio; e) tratamento de reclamações internas e externas; f) tratamento de dados médicos, apenas em casos específicos justificados (7); g) auditorias internas; h) investigações realizadas pelo encarregado da proteção de dados, em consonância com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725; i) investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). 2. Quando a Empresa Comum «Energia de Fusão» limitar, no todo ou em parte, a aplicação do direito de retificação, apagamento e limitação do tratamento a que se referem os artigos 18.o, 19.o, n.o 1, e 20.o, n.o 1, do Regulamento (UE) 2018/1725, deve tomar as medidas indicadas no artigo 6.o, n.os 2 e 3, da presente decisão.

Artigo 8.o Comunicação de uma violação de dados pessoais ao titular dos dados e confidencialidade das comunicações eletrónicas 1. Em casos devidamente fundamentados e nas condições definidas na presente decisão, o direito à comunicação de uma violação de dados pessoais pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e adequado: a) realização de inquéritos administrativos e de processos disciplinares; b) atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; c) procedimentos de denúncia; d) procedimentos (formais e informais) relativos a casos de assédio; e) tratamento de reclamações internas e externas; f) auditorias internas; g) investigações realizadas pelo encarregado da proteção de dados, em consonância com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725; h) investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). 2. Em casos devidamente fundamentados e nas condições definidas na presente decisão, o direito à confidencialidade das comunicações eletrónicas pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e adequado: a) realização de inquéritos administrativos e de processos disciplinares; b) atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; c) procedimentos de denúncia; d) procedimentos formais relativos a casos de assédio; e) tratamento de reclamações internas e externas; f) investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). 3. Quando a Empresa Comum «Energia de Fusão» limitar a comunicação de uma violação de dados pessoais ao titular de dados ou a confidencialidade das comunicações eletrónicas a que se referem os artigos 35.o e 36.o do Regulamento (UE) 2018/1725, aplicar-se-á o artigo 5.o, n.os 3 e 4, da presente decisão.

Artigo 9.o Entrada em vigor A presente decisão entra em vigor no dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Barcelona, em 9 de dezembro de 2019. Pela Empresa Comum «Energia de Fusão» Joaquín SÁNCHEZ O Presidente do Conselho de Administração

(1) JO L 295 de 21.11.2018, p. 39.

(2) JO L 90 de 30.3.2007, p. 58.

(3) JO L 248 de 18.9.2013, p. 1.

(4) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(5) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).

(6) Estas situações são especificadas na respetiva Declaração de Privacidade (por exemplo, acesso ao processo clínico na presença do médico da Empresa Comum «Energia de Fusão»), uma limitação geral ao acesso a notas pessoais de médicos no âmbito de um processo de invalidez, em conformidade com a limitação prevista no artigo 25.o, n.o 1, alínea h), do novo regulamento (ou seja, a defesa do titular dos dados ou dos direitos e liberdades de terceiros).

(7) Estas situações são especificadas na respetiva Declaração de Privacidade (por exemplo, a retificação é limitada aos dados administrativos).