PT Jornal Oficial da União Europeia C 68/1

DISPOSIÇÕES DO REGULAMENTO INTERNO DA EUROJUST RELATIVAS AO TRATAMENTO E À PROTECÇÃO DE DADOS PESSOAIS

(Texto adoptado por unanimidade pelo colégio da Eurojust na sua reunião de 21 de Outubro de 2004 e aprovado pelo Conselho em 24 de Fevereiro de 2005)

(2005/C 68/01)

TÍTULO I

DEFINIÇÕES

Artigo 1.o

Definições

Para efeitos do presente regulamento e de qualquer outro texto que o implemente:

a) Por «Decisão Eurojust» entende-se a Decisão do Conselho, de 28 de Fevereiro de 2002, relativa à criação da Eurojust a fim de reforçar a luta contra as formas graves de criminalidade, com a redacção que lhe foi dada pela decisão do Conselho de 18 de Junho de 2003;

b) Por «Colégio» entende-se o Colégio da Eurojust, tal como previsto no artigo 10.o da Decisão Eurojust;

c) Por«membro nacional» entende-se o membro nacional destacado por cada Estado-Membro para a Eurojust, tal como previsto no n.o 1 do artigo 2.o da Decisão Eurojust;

d) Por «assistente» entende-se uma pessoa que pode assistir o membro nacional, tal como previsto no n.o 2 do artigo 2.o da Decisão Eurojust;

e) Por «pessoal da Eurojust» entende-se o Director Administrativo, tal como previsto no artigo 29.o da Decisão Eurojust, bem como o pessoal referido no artigo 30.o da Decisão Eurojust;

f) Por «responsável pela protecção de dados» entende-se a pessoa designada nos termos do artigo 17.o da Decisão Eurojust;

g) Por «Instância Comum de Controlo» entende-se a instância independente criada nos termos do artigo 23.o da Decisão Eurojust;

h) Por «dados pessoais» entende-se qualquer informação relativa a uma pessoa singular identificada ou identificável («pessoa em causa»); é considerado identificável quem possa ser identificado, directa ou indirectamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social;

i) Por «tratamento de dados pessoais» («tratamento») entende-se qualquer operação ou série de operações efectuadas sobre dados de carácter pessoal, por meios automáticos ou não, como a recolha, o registo, a organização, a conservação, a adaptação ou a alteração, a recuperação, a consulta, a utilização, a comunicação por transmissão, a divulgação ou a disponibilização por outro meio, o alinhamento ou a combinação, o bloqueio, o cancelamento ou a destruição;

j) Por «ficheiro de dados pessoais» («ficheiro») entende-se qualquer conjunto estruturado de dados pessoais, acessível segundo critérios determinados, que seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;

k) Por «responsável pelo tratamento» entende-se a pessoa que, individualmente ou em conjunto com outrem, determina as finalidades e os meios de tratamento dos dados pessoais; sempre que as finalidades e os meios de tratamento sejam determinados por leis ou regulamentos internos ou por leis ou regulamentos europeus, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser indicados por leis internas ou europeias;

l) Por «subcontratante» entende-se qualquer pessoa singular ou colectiva, autoridade pública, serviço ou qualquer outro organismo que trate dados pessoais por conta do responsável pelo tratamento;

m) Por «terceiro» entende-se qualquer pessoa singular ou colectiva, autoridade pública, serviço ou qualquer outro organismo que não a pessoa em causa, o responsável pelo tratamento, o subcontratante e as pessoas que, sob a autoridade directa do responsável pelo tratamento ou do subcontratante, estão habilitadas a tratar os dados; e

n) Por «destinatário» entende-se qualquer pessoa singular ou colectiva, autoridade pública, serviço ou qualquer outro organismo que receba comunicações de dados, independentemente de se tratar ou não de um terceiro;

TÍTULO II

ÂMBITO DE APLICAÇÃO E ESTRUTURA

Artigo 2.o

Âmbito de aplicação

1. As presentes regras processuais são aplicáveis ao tratamento, pela Eurojust, de dados pessoais total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos num ficheiro ou a ele destinados, em conformidade com a Decisão Eurojust.

2. As presentes regras são aplicáveis a todas as informações recolhidas e posteriormente tratadas pela Eurojust, ou seja, informações por ela elaboradas ou recebidas e em sua posse, sobre questões relativas a políticas, actividades e decisões da competência da Eurojust.

3. As presentes regras não são aplicáveis às informações que tenham sido transmitidas a um membro nacional da Eurojust exclusivamente no contexto das suas competências judiciárias, como previsto no n.o 3 do artigo 9.o da Decisão Eurojust.

Artigo 3.o

Estrutura

1. Todos os dados pessoais devem ser considerados como estando ou não relacionados com processos. Os dados pessoais devem ser considerados como estando relacionados com processos se estiverem ligados às funções operacionais da Eurojust a que se referem os artigos 5.o, 6.o e 7.o da Decisão Eurojust.

2. Os dados relacionados com processos são tratados em conformidade com os Títulos III e IV. Os dados não relacionados com processos são tratados em conformidade com os Títulos III e IV.

TÍTULO III

PRINCÍPIOS DE APLICAÇÃO GERAL À EUROJUST

Artigo 4.o

Direito à privacidade e à protecção de dados

A Eurojust actua no pleno respeito das liberdades e dos direitos fundamentais das pessoas e, nomeadamente, do seu direito à privacidade no que diz respeito ao tratamento dos dados pessoais, independentemente da nacionalidade ou do local de residência.

Artigo 5.o

Princípios da legalidade e equidade, da proporcionalidade e da necessidade do tratamento

1. Os dados pessoais devem ser tratados equitativa e licitamente.

2. A Eurojust só trata dados pessoais que sejam necessários, adequados, pertinentes e não excessivos em relação às finalidades para que foram recolhidos ou para que são tratados posteriormente.

3. A Eurojust define as suas operações e sistemas de tratamento em conformidade com o objectivo de apenas recolher ou tratar posteriormente dados pessoais que sejam necessários, como previsto no n.o 2. Em particular deve, na medida do possível, ser utilizada a possibilidade de mascarar a identidade e de tornar os dados anónimos, tendo em conta a finalidade do tratamento e segundo um critério de razoabilidade dos esforços envidados.

Artigo 6.o

Qualidade dos dados

1. A Eurojust garante a exactidão dos dados pessoais e, se necessário, a sua actualização; devem ser tomadas todas as medidas razoáveis para que os dados inexactos ou incompletos, tendo em conta as finalidades para que foram recolhidos ou para que são tratados posteriormente, sejam apagados ou rectificados.

2. Os dados pessoais devem ser conservados de forma a permitir a identificação das pessoas em causa apenas durante o período necessário para a consecução dos fins para que foram recolhidos ou para que foram tratados posteriormente, em conformidade com o n.o 2 do artigo 5.o.

Artigo 7.o

Segurança dos dados

1. Em conformidade com o artigo 22.o da Decisão Eurojust e com as presentes regras, a Eurojust toma as medidas técnicas e as disposições organizativas necessárias para proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a difusão, a alteração e o acesso não autorizados, ou qualquer outra forma de tratamento não autorizada. Devem, designadamente, ser tomadas medidas destinadas a garantir que só as pessoas autorizadas a ter acesso aos dados pessoais possam ter acesso a esses dados.

2. Todas as medidas tomadas são adequadas relativamente aos riscos inerentes ao tratamento e à natureza dos dados tratados.

3. A Eurojust desenvolve uma política de segurança global, em conformidade com o n.o 2 do artigo 22.o da Decisão Eurojust com as presentes regras. Esta política tem plenamente em conta o carácter sensível do trabalho realizado pela unidade de cooperação judiciária e inclui regras relativas à classificação de documentos, ao inquérito de segurança do pessoal da Eurojust e às medidas a tomar em caso de violações da segurança. A Instância Comum de Controlo é consultada relativamente à política de segurança da Eurojust.

4. Todos os funcionários da Eurojust são devidamente informados acerca da política de segurança da Eurojust e devem utilizar as medidas técnicas e as regras organizativas à sua disposição, de acordo com as exigências aplicáveis em matéria de protecção e segurança dos dados.

Artigo 8.o

Direito de informação das pessoas em causa

1. Sem prejuízo das disposições especiais do Título IV relativas aos dados relacionados com processos e do Título V relativas aos dados não relacionados com processos, as pessoas em causa devem ser informadas sobre a finalidade do tratamento e a identidade do responsável pelo tratamento dos dados, a ou as categorias de destinatários, a existência do direito de acesso e de rectificação dos dados a seu respeito e quaisquer outras informações sobre o fundamento jurídico do tratamento a que os dados se destinam, os prazos de conservação dos dados e o direito de recurso, a qualquer momento, à Instância Comum de Controlo, se tais informações suplementares forem necessárias, tendo em conta as finalidades e as circunstâncias específicas em que os dados são tratados, para garantir um tratamento equitativo relativamente às pessoas em causa.

2. Tais informações devem ser fornecidas, o mais tardar, no momento da recolha de dados das pessoas em causa ou, se as informações forem transmitidas por terceiros, no momento de dar início ao registo dos dados pessoais ou, caso esteja prevista a difusão a terceiros, o mais tardar na data em que os dados forem divulgados pela primeira vez, ou, nos casos previstos no Capítulo II do Título IV das presentes regras, logo que tal não seja susceptível de comprometer as finalidades do tratamento, as investigações e procedimentos penais nacionais, bem como os direitos e liberdades de terceiros.

Artigo 9.o

Direitos das pessoas em causa ao acesso, à rectificação, ao bloqueio e ao cancelamento dos dados

1. As pessoas em causa têm direito ao acesso, à rectificação, ao bloqueio e, se for caso disso, ao cancelamento dos dados. A Eurojust define, se necessário em cooperação com as respectivas autoridades nacionais implicadas, procedimentos destinados a facilitar o exercício destes direitos pelas pessoas em causa.

2. O responsável pela protecção de dados garante que as pessoas a quem dizem respeito os dados sejam, a seu pedido, informadas dos seus direitos.

Artigo 10.o

Confidencialidade do tratamento

Nos termos do artigo 25.o da Decisão Eurojust, todas as pessoas chamadas a colaborar na Eurojust e com a Eurojust ficam sujeitas a uma rigorosa obrigação de sigilo. A Eurojust toma todas as medidas necessárias, a fim de garantir que essas obrigações sejam cumpridas e que quaisquer violações das mesmas sejam imediatamente comunicadas ao responsável pela protecção de dados e ao chefe do Serviço de Segurança, que deve assegurar que sejam tomadas as medidas adequadas.

Artigo 11.o

Subcontratantes internos

Uma pessoa que, actuando na qualidade de subcontrante na Eurojust, tenha acesso a dados pessoais, não procede ao tratamento destes sem instruções do responsável pelo tratamento, salvo se tal for exigido pela legislação nacional ou europeia.

Artigo 12.o

Consultas, pedidos de informações e reclamações por parte de funcionários da Eurojust

1. Para efeitos do n.o 2 e do n.o 4 do artigo 17.o da Decisão Eurojust, o responsável pela protecção de dados fornece a qualquer funcionário da Eurojust, mediante pedido, informações sobre as actividades de tratamento de dados da Eurojust. O responsável pela protecção de dados responde a consultas, trata pedidos de informação ou reclamações relativas a alegadas violações das disposições da Decisão Eurojust, das presentes regras ou de outra regulamentação em matéria de tratamento de dados pessoais pela Eurojust. Ninguém pode ser prejudicado por ter invocado uma alegada violação das disposições relativas ao tratamento de dados pessoais junto do responsável pela protecção de dados.

2. Todas as pessoas que trabalham na Eurojust cooperam com o Colégio, os membros nacionais, o responsável pela protecção de dados e a Instância Comum de Controlo no âmbito de consultas, investigações, auditorias ou quaisquer outras actividades relacionadas com a protecção de dados.

TÍTULO IV

REGRAS PARA OPERAÇÕES DE TRATAMENTO RELACIONADAS COM PROCESSOS

CAPÍTULO I

Condições para legitimar o tratamento dos dados pessoais

Artigo 13.o

Dados pessoais tratados no contexto de actividades relacionadas com processos

1. No contexto de actividades relacionadas com processos, a Eurojust, na medida em que tal seja necessário para atingir os seus objectivos, procede ao tratamento de dados pessoais, automatizado ou em ficheiros manuais estruturados, em conformidade com os artigos 14.o, 15.o e 16.o da Decisão Eurojust.

2. O membro ou membros nacionais que procedam ao tratamento de dados pessoais relativos a casos particulares determinam as finalidades e os meios de tratamento dos dados pessoais e, nessa medida, são considerados responsáveis pelo tratamento ou, eventualmente, co-responsáveis pelo tratamento.

Artigo 14.o

Legalidade e equidade do tratamento

Os dados pessoais podem ser recolhidos ou tratados ulteriormente no contexto de actividades relacionadas com processos, na medida em que tal seja necessário ao desempenho das funções da Eurojust no sentido de reforçar a luta contra as formas graves de criminalidade.

Artigo 15.o

Limitação a determinados fins

Os dados pessoais tratados pela Eurojust no quadro de investigações e de procedimentos penais não devem, em circunstância alguma, ser tratados para outros fins.

Artigo 16.o

Qualidade dos dados

1. Sempre que, no contexto de uma investigação ou de um procedimento penal, um Estado-Membro ou uma entidade externa transmita informações à Eurojust, esta não é responsável pela exactidão das informações recebidas, mas garante que, a partir do momento da recepção, serão tomadas todas as medidas razoáveis para manter as informações actualizadas.

2. Caso a Eurojust detecte alguma inexactidão nos dados em questão, deve informar o terceiro que enviou as informações e rectificá-las.

Artigo 17.o

Categorias especiais de dados

1. A Eurojust toma as medidas técnicas adequadas a fim de garantir que o responsável pela protecção de dados seja automaticamente informado acerca dos casos excepcionais em que haja recurso ao n.o 4 do artigo 15.o da Decisão Eurojust. O sistema de gestão de processos garante que tais dados não possam ser incluídos no índice referido no n.o 1 do artigo 16.o da Decisão Eurojust.

2. Sempre que esses dados se refiram a testemunhas ou vítimas na acepção do n.o 2 do artigo 15.o da Decisão Eurojust, essas informações não são inseridas no sistema de gestão de processos, salvo decisão em contrário do Colégio que o justifique.

Artigo 18.o

Tratamento das categorias de dados pessoais a que se refere o n.o 3 do artigo 15.o da Decisão Eurojust

1. A Eurojust toma as medidas técnicas adequadas a fim de garantir que o responsável pela protecção de dados seja automaticamente informado acerca dos casos excepcionais em que, por um período de tempo limitado, haja recurso ao n.o 3 do artigo 15.o da Decisão Eurojust.

2. Sempre que esses dados se refiram a testemunhas ou vítimas na acepção do n.o 2 do artigo 15.o da Decisão Eurojust, essas informações não serão inseridas no sistema de gestão de processos, salvo decisão em contrário que o justifique, tomada conjuntamente por pelo menos dois membros nacionais.

CAPÍTULO II

Direitos das pessoas em causa

Artigo 19.o

Direito de informação das pessoas em causa

1. No âmbito do trabalho operacional da Eurojust, as pessoas em causa são informadas sobre o tratamento logo que se verifique que a comunicação dessas informações à pessoa em causa não prejudica:

a) o desempenho das funções atribuídas à Eurojust no sentido de reforçar a luta contra as formas graves de criminalidade; ou

b) as investigações e procedimentos penais nacionais para cuja coordenação a Eurojust contribui; ou

c) e) as funções de controlo, de inspecção ou de regulamentação associadas, ainda que ocasionalmente, ao exercício da autoridade pública, nos casos referidos nas alíneas a) e b); ou

d) os direitos e liberdades de terceiros.

2. O recurso aos casos enumerados no n.o 1 será registado no ficheiro de trabalho temporário relativo ao caso, devendo ser referida a base da decisão tomada pelo/pelos membros nacionais responsáveis pelo ficheiro.

Artigo 20.o

Direito de acesso das pessoas em causa

Qualquer pessoa tem direito de acesso aos dados pessoais que lhe digam respeito, tratados pela Eurojust nas condições previstas no artigo 19.o da Decisão Eurojust.

Artigo 21.o

Procedimento para o exercício de direitos das pessoas em causa

1. As pessoas que pretenderem exercer os seus direitos na qualidade de pessoas a quem os dados dizem respeito, apresentam os seus pedidos directamente à Eurojust ou através da autoridade designada para o efeito no Estado-Membro da sua escolha, que transmite o pedido à Eurojust.

2. Os pedidos de exercício de direitos são tratados pelo/pelos membros nacionais a que o pedido diga respeito, que fornecem uma cópia do pedido ao responsável pela protecção de dados para efeitos de registo.

3. O ou os membros nacionais a que o pedido diga respeito procedem às verificações necessárias e informam o responsável pela protecção de dados acerca da decisão tomada nesse caso específico. Essa decisão deverá ter plenamente em conta as presentes regras e a legislação aplicável ao pedido, como previsto no n.o 3 do artigo 19.o da Decisão Eurojust, os motivos de recusa enumerados no n.o 4 do artigo 19.o da Decisão Eurojust e as consultas com as autoridades competentes responsáveis pela aplicação da lei, que devem ter lugar antes da adopção de uma decisão, como previsto no n.o 9 do artigo 19.o da Decisão Eurojust.

4. O responsável pela protecção de dados deve, se for caso disso, proceder a verificações suplementares a nível do sistema de gestão de processos e informar o ou os membros nacionais envolvidos se através dessas verificações tiverem sido encontradas informações suplementares pertinentes. O ou os membros nacionais envolvidos podem, com base nas informações fornecidas pelo responsável pela protecção de dados, decidir reconsiderar a decisão inicial.

5. O responsável pela protecção de dados comunica à pessoa em causa a decisão final adoptada pelo/pelos membros nacionais envolvidos, nos termos do n.o 6 do artigo 19.o da Decisão Eurojust, e informa-a da possibilidade de recorrer dessa decisão para a Instância Comum de Controlo caso não fique satisfeita com a resposta dada pela Eurojust.

6. O pedido deve ser completamente tratado no prazo de três meses a contar da sua recepção. Caso não tenha obtido resposta ao seu pedido dentro desse prazo, a pessoa em causa poderá recorrer à Instância Comum de Controlo.

7. Nos casos em que o pedido tenha sido recebido através de uma autoridade nacional, o ou os membros nacionais a que o pedido diz respeito garantem que essa autoridade seja informada do facto de o responsável pela protecção de dados ter dado uma resposta à pessoa em causa.

8. A Eurojust implementa procedimentos de cooperação com as autoridades nacionais designadas para tratar de questões ligadas aos direitos das pessoas em causa, a fim de garantir que os pedidos sejam correcta e atempadamente enviados à Eurojust.

Artigo 22.o

Informação de terceiros na sequência da rectificação, bloqueio ou cancelamento de dados pessoais relacionados com processos

A Eurojust toma medidas técnicas adequadas a fim de garantir que, nos casos em que a Eurojust tenha procedido à rectificação, bloqueio ou cancelamento de dados pessoais na sequência de um pedido, seja automaticamente apresentada uma lista dos fornecedores e destinatários dos dados em questão. Nos termos do n.o 5 do artigo 20.o da Decisão Eurojust, o subcontratante garante que as pessoas constantes da lista sejam informadas das alterações inseridas nos dados pessoais.

CAPÍTULO III

Questões relativas à segurança dos dados

Artigo 23.o

Sistema de gestão automatizada de processos

1. A Eurojust mantém um sistema de gestão automatizada de processos com um ficheiro integrado, que deverá ser utilizado pelos membros nacionais no tratamento de actividades relacionadas com processos e que inclui o índice e os ficheiros de trabalho temporários, como previsto no artigo 16.o da Decisão Eurojust. Este sistema inclui funcionalidades tais como gestão de processos, descrição do fluxo de trabalho, referências cruzadas de informação e segurança.

2. O sistema de gestão de processos é aprovado pelo Colégio depois de consultado o responsável pela protecção de dados, a Instância Comum de Controlo e o pessoal competente da Eurojust, e tem plenamente em conta os requisitos previstos no artigo 22.o e quaisquer outras disposições pertinentes da Decisão Eurojust.

3. O sistema de gestão de processos permite aos membros nacionais identificar a finalidade e os objectivos específicos que levam à abertura de um ficheiro de trabalho temporário, no âmbito das funções referidas nos artigos 5.o, 6.o e 7.o da Decisão Eurojust.

Artigo 24.o

Ficheiros de trabalho temporários e índice

1. Nos termos do n.o 4 do artigo 14.o e do artigo 16.o da Decisão Eurojust, a Eurojust cria um índice dos dados relativos às investigações e ficheiros de trabalho temporários que incluam igualmente dados pessoais. Tanto o índice como os ficheiros de trabalho temporários fazem parte do sistema de gestão de processos a que se refere o artigo 23.o e devem respeitar as restrições em matéria de tratamento de dados pessoais previstas no artigo 15.o da Decisão Eurojust.

2. Os membros nacionais são responsáveis pela abertura de novos ficheiros de trabalho temporários relacionados com os casos que estão a tratar. O sistema de gestão automatizado atribui automaticamente um número de referência (identificador) a cada novo ficheiro de trabalho temporário que é aberto.

3. A Eurojust cria um sistema de gestão de processos que permita aos membros nacionais restringir o acesso aos dados pessoais por eles tratados num ficheiro de trabalho temporário ou dar acesso a este ou a partes deste a outros membros nacionais envolvidos no caso a que o ficheiro se refere. O sistema de gestão de processos permite aos membros nacionais definir quais os elementos específicos dos dados pessoais e não pessoais a que o ou os outros membros nacionais, os assistentes ou os membros do pessoal autorizados envolvidos no tratamento do caso podem ter acesso, bem como seleccionar os elementos de informação que desejam inserir no índice, nos termos dos artigos 14.o e 15.o da Decisão Eurojust, e garantir que sejam incluídos no índice pelo menos os seguintes elementos: a referência ao ficheiro de trabalho temporário; os tipos de criminalidade; os Estados-Membros, as organizações ou instâncias internacionais e/ou as autoridades dos Estados terceiros envolvidos; a participação da Comissão Europeia ou de instâncias e entidades da UE; os objectivos e a situação do caso (aberto/encerrado).

4. Sempre que um membro nacional der, a um ou mais membros nacionais envolvidos, acesso a um ficheiro de trabalho temporário ou a parte do mesmo, o sistema de gestão de processos garante que os utilizadores autorizados tenham acesso às partes relevantes do ficheiro mas não possam alterar os dados inseridos pela pessoa que as introduziu inicialmente. No entanto, os utilizadores autorizados podem introduzir quaisquer informações suplementares pertinentes nas novas partes dos ficheiros de trabalho temporários. Do mesmo modo, as informações constantes do índice podem ser lidas por todos os utilizadores do sistema autorizados mas só podem ser alteradas pela pessoa que as inseriu inicialmente.

5. O responsável pela protecção de dados é automaticamente informado pelo sistema da criação de cada novo ficheiro de trabalho que contenha dados pessoais e, nomeadamente, dos casos excepcionais em que haja recurso ao n.o 3 do artigo 15.o da Decisão Eurojust. O sistema de gestão de processos deve assinalar esses dados de modo a chamar a atenção da pessoa que os inseriu no sistema para a obrigação de conservar os dados durante um período de tempo limitado. Sempre que esses dados se refiram a testemunhas ou vítimas na acepção do n.o 2 do artigo 15.o da Decisão Eurojust, essas informações não serão inseridas no sistema, salvo decisão em contrário que o justifique, tomada em conjunto por pelo menos dois membros nacionais.

6. O sistema de gestão de processos informa automaticamente o responsável pela protecção de dados dos casos excepcionais em que haja recurso ao n.o 4 do artigo 15.o da Decisão Eurojust. Sempre que esses dados se refiram a testemunhas ou vítimas na acepção do n.o 2 do artigo 15.o da Decisão Eurojust, essas informações não são inseridas no sistema, salvo decisão em contrário do Colégio que o justifique.

7. O sistema de gestão de processos garante, em especial, que só os dados pessoais referidos no n.o 1, alíneas a) a i) e k) e no n.o 2 do artigo 15.o da Decisão Eurojust possam ser registados no índice.

8. As informações constantes do índice devem ser suficientes para permitir o desempenho das funções atribuídas à Eurojust e, em especial, a consecução dos objectivos previstos no n.o 1 do artigo 16.o da Decisão Eurojust.

Artigo 25.o

Ficheiros de registo e pistas de auditoria

1. A Eurojust toma as medidas técnicas necessárias para assegurar a manutenção de um registo de todas as operações de processamento realizadas sobre dados pessoais. O sistema de gestão de processos assegura, em particular, a manutenção de um registo da transmissão e da recepção de dados, tal como definido na alínea b) do n.o 2 do artigo 17.o da Decisão Eurojust, para efeitos do disposto no n.o 3 do artigo 19.o da mesma Decisão. Esse registo assegura, como exigido no artigo 22.o da Decisão Eurojust, que seja possível verificar e determinar a que instâncias são transmitidos dados pessoais, que dados pessoais foram introduzidos em sistemas automatizados de processamento de dados e ainda quando e por quem foram introduzidos esses dados.

2. O responsável pela protecção de dados analisa periodicamente esses registos, para que possa prestar assistência aos membros nacionais e ao Colégio em relação a qualquer questão relacionada com a protecção de dados, e faz as investigações necessárias em caso de irregularidade. Se necessário, o responsável pela protecção de dados informa o Colégio e a Instância Comum de Controlo, nos termos do disposto no n.o 4 do artigo 17.o da Decisão Eurojust, de quaisquer violações da protecção de dados evidenciadas pelos referidos registos. O responsável pela protecção de dados assegura que, se for caso disso, o Director Administrativo seja informado do facto, para que possa tomar as medidas necessárias no âmbito da administração.

3. O responsável pela protecção de dados concede à Instância Comum de Controlo, quando para tal for solicitado, pleno acesso aos registos referidos no n.o1.

Artigo 26.o

Acesso autorizado a dados pessoais

1. A Eurojust toma as medidas técnicas necessárias e prevê modalidades organizacionais destinadas a assegurar que só os membros nacionais, os seus assistentes e o pessoal autorizado da Eurojust tenham, na prossecução dos objectivos da Eurojust, acesso aos dados pessoais tratados pela Eurojust no âmbito das suas actividades operacionais.

2. Essas medidas têm em conta os efeitos para os quais os dados foram recolhidos e posteriormente tratados, os meios tecnológicos mais recentes, o nível de segurança exigido pela natureza sensível do trabalho efectuado pela Eurojust e os requisitos impostos pelo artigo 22.o da Decisão Eurojust.

3. Cada um dos membros nacionais da Eurojust informa o responsável pela protecção de dados e faculta-lhe documentação sobre a política de acesso que autorizou no âmbito da respectiva secção nacional no respeitante a ficheiros relacionados com processos. Os membros nacionais asseguram, em particular, que sejam estabelecidas e cumpridas modalidades organizacionais adequadas, e que sejam correctamente utilizados os meios técnicos e organizacionais postos à sua disposição pela Eurojust.

4. O Colégio pode autorizar outros membros do pessoal da Eurojust a aceder a ficheiros relacionados com processos, se tal for necessário para o exercício das tarefas da Eurojust.

Artigo 27.o

Auditorias e controlo

1. O responsável pela protecção de dados controla a legalidade e o cumprimento do disposto na Decisão Eurojust, nas presentes regras processuais e em qualquer outra regulamentação relativa ao tratamento de dados pessoais aplicável à Eurojust. Para o efeito, o responsável pela protecção de dados presta assistência aos membros nacionais em matéria de protecção de dados e procede a inquéritos anuais sobre o cumprimento das referidas regras no âmbito da Eurojust. O responsável pela protecção de dados apresenta relatório ao Colégio e à Instância Comum de Controlo sobre os resultados desses inquéritos e sobre toda e qualquer evolução pertinente verificada no âmbito da Eurojust. O responsável pela protecção de dados assegura que, se for caso disso, o Director Administrativo seja informado, para que possa tomar as medidas necessárias no âmbito da administração.

2. A Instância Comum de Controlo procede a controlos e auditorias nos termos do n.o 7 do artigo 23.o da Decisão Eurojust.

CAPÍTULO IV

Fluxos de dados para terceiros ou organizações

Artigo 28.o

Fluxos de dados para terceiros ou organizações

1. A Eurojust procura implementar acordos de cooperação que contenham disposições adequadas no que se refere ao intercâmbio de dados pessoais com todos os parceiros com os quais tais intercâmbios sejam realizados regularmente.

2. Sem prejuízo dos casos em que já existam tais acordos de cooperação, a Eurojust só procede à transferência de dados pessoais para um país terceiro ou para qualquer das entidades referidas no n.o 1 do artigo 27.o da Decisão Eurojust se estes estiverem sujeitos à Convenção para a Protecção das Pessoas relativamente ao Tratamento Automatizado de Dados de Carácter Pessoal, assinada em Estrasburgo em 28 de Janeiro de 1981, ou quando estiver assegurado um nível de protecção adequado.

3. A decisão quanto à transferência de dados para entidades que não sejam Partes na Convenção do Conselho da Europa de 28 de Janeiro de 1981 é tomada pelo ou pelos membros nacionais envolvidos, com base na avaliação relativa à adequação do nível de protecção realizada pelo responsável pela protecção de dados. A adequação do nível de protecção é avaliada tendo em conta todas as circunstâncias relativas a cada transferência ou categoria de transferências. Em especial, a avaliação resulta da análise dos seguintes elementos: tipo de dados; finalidades e duração do tratamento a que se destinam os dados transferidos; país de origem e país de destino final; regras de direito, gerais e sectoriais, aplicáveis no Estado ou organização em causa; regras profissionais e de segurança aí aplicáveis; aplicação de garantias suficientes pelo destinatário da transferência. Tais garantias podem, nomeadamente, decorrer de acordos escritos que vinculem o responsável pelo tratamento que efectua a transferência e o destinatário que não esteja sujeito à jurisdição de uma Parte na Convenção. O conteúdo dos acordos em causa deve abranger os elementos pertinentes da protecção de dados. Nos casos em que a avaliação da adequação do nível de protecção levantar dificuldades, o responsável pela protecção de dados consultará a Instância Comum de Controlo antes de realizar a avaliação da transferência em causa.

4. Todavia, mesmo que não estejam reunidas as condições a que se referem os números anteriores, um membro nacional pode, nas circunstâncias excepcionais enumeradas no n.o 6 do artigo 27.o da Decisão Eurojust e exclusivamente para que sejam adoptadas medidas urgentes destinadas a prevenir um perigo iminente e sério para uma pessoa ou a segurança pública, transferir dados para um país terceiro. O membro nacional documenta essa transferência excepcional no ficheiro de trabalho temporário relacionado com o caso investigado, fundamentando a comunicação efectuada, e informa o responsável pela protecção de dados dessa comunicação. O responsável pela protecção de dados verifica se tais transferências são realizadas exclusivamente em casos excepcionais e urgentes.

CAPÍTULO V

Prazos de conservação de dados pessoais

Artigo 29.o

Prazos de conservação de dados pessoais

1. A Eurojust toma medidas técnicas adequadas para garantir que sejam cumpridos os prazos de conservação de dados pessoais definidos no artigo 21.o da Decisão Eurojust.

2. O sistema de gestão de processos deve garantir, em especial, que a necessidade de conservação dos dados num ficheiro de trabalho temporário seja avaliada de três em três anos após a introdução dos mesmos. Essa avaliação deve ser documentada no sistema de forma adequada, inclusive mediante fundamentação da decisão tomada, e o seu resultado deve ser automaticamente comunicado ao responsável pela protecção de dados.

3. O sistema de gestão automatizado deve, em especial, assinalar os dados que são registados durante um período de tempo limitado nos termos do n.o 3 do artigo 15.o da Decisão Eurojust. Para esta categoria de dados, a avaliação da necessidade de conservação dos dados deve ser realizada de três em três meses e documentada da forma descrita nos n.os 1 e 2.

4. Sempre que necessário, o responsável pelo tratamento consultará o Colégio e o responsável pela protecção de dados sobre uma eventual decisão, na sequência da avaliação, no sentido de conservar os dados durante um período superior ao previsto.

TÍTULO V

REGRAS PARA OPERAÇÕES DE TRATAMENTO NÃO RELACIONADAS COM PROCESSOS

CAPÍTULO I

Princípios gerais

Artigo 30.o

Legalidade e equidade do tratamento

Os dados pessoais devem ser tratados equitativa e licitamente. Em especial, o tratamento de dados pessoais só pode ser efectuado se:

a) For necessário para o respeito de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito; ou

b) For necessário para a execução de um contrato no qual a pessoa em causa é parte ou de diligências pré-contratuais a pedido da pessoa em causa; ou

c) A pessoa em causa tiver dado de forma inequívoca o seu consentimento; ou

d) For necessário para a protecção de interesses vitais da pessoa em causa; ou

e) For necessário para prosseguir interesses legítimos do responsável pelo tratamento, desde que não prevaleçam os interesses relacionados com os direitos e liberdades fundamentais da pessoa em causa, protegidos ao abrigo do artigo 4.o do presente regulamento.

Artigo 31.o

Limitação a determinados fins

1. Os dados pessoais devem ser tratados para fins específicos, bem definidos, lícitos e legítimos, e só podem ser objecto de tratamento posterior na medida em que este não for incompatível com os fins para que foram inicialmente tratados.

2. Os dados pessoais recolhidos exclusivamente para garantir a segurança ou o controlo e gestão das operações ou sistemas de tratamento não podem ser utilizados para qualquer outro fim, com excepção da prevenção, investigação, detecção e repressão de infracções penais graves.

Artigo 32.o

Tratamento de categorias especiais de dados

1. É proibido o tratamento para fins não relacionados com processos de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, a saúde, a vida sexual ou condenações penais.

2. Esta proibição não se aplica quando:

a) A pessoa em causa tiver dado o seu consentimento explícito ao tratamento dos dados; ou

b) O tratamento for necessário para o cumprimento dos direitos e obrigações jurídicas específicos do responsável pelo tratamento, tais como as obrigações que lhe incumbem em matéria de direito fiscal ou do trabalho, ou, se necessário, na medida em que for aceite pelo responsável pela protecção de dados, mediante garantias adequadas; ou

c) O tratamento for necessário para proteger interesses vitais da pessoa em causa ou de outra pessoa, se a pessoa em causa estiver física ou legalmente incapacitada de dar o seu consentimento; ou

d) O tratamento se referir a dados manifestamente tornados públicos pela pessoa em causa ou for necessário à declaração, ao exercício ou à defesa de um direito num processo judicial.

3. Os dados a que se refere o n.o 1 só podem ser tratados para os fins para que foram inicialmente recolhidos.

Artigo 33.o

Excepções ao direito de informação da pessoa em causa

1. No contexto do trabalho não operacional da Eurojust, são possíveis excepções ao princípio geral de informação da pessoa em causa quando o fornecimento das informações a essa pessoa possa prejudicar:

a) um interesse económico ou financeiro importante de um Estado-Membro ou da União Europeia; ou

b) a protecção da pessoa em causa ou dos direitos e liberdades de outrem; ou

c) a segurança nacional, a segurança pública ou a defesa dos Estados-Membros.

2. O responsável pela protecção de dados deve ser informado sempre que se recorra a estas excepções.

Artigo 34.o

Notificação do responsável pela protecção de dados

1. Antes de proceder a qualquer operação ou conjunto de operações de tratamento, com uma ou várias finalidades interligadas, cada responsável pelo tratamento deve comunicar esse facto ao responsável pela protecção de dados.

2. As informações devem incluir:

a) O nome do responsável pelo tratamento e a indicação dos serviços de uma instituição ou órgão encarregados do tratamento de dados pessoais para uma finalidade específica;

b) A ou as finalidades do tratamento;

c) Uma descrição da ou das categorias de pessoas em causa e dos dados ou categorias de dados que lhes digam respeito;

d) O fundamento jurídico da operação de tratamento a que os dados se destinam;

e) O destinatário ou as categorias de destinatários a quem os dados poderão ser comunicados; e

f) Uma descrição geral que permita efectuar uma avaliação prévia da adequação das medidas de segurança tomadas.

3. O responsável pela protecção de dados deve ser imediatamente informado de qualquer alteração significativa que afecte as informações previstas no número anterior.

Artigo 35.o

Registo

1. O responsável pela protecção de dados deve manter um registo das operações de tratamento notificadas nos termos da disposição anterior.

2. O registo deve conter, no mínimo, as informações indicadas nas alíneas a) a f) do n.o 2 do artigo 34.o.

3. Sempre que lho seja solicitado, o responsável pela protecção de dados deve disponibilizar à Instância Comum de Controlo as informações contidas no registo.

Artigo 36.o

Tratamento de dados pessoais por conta dos responsáveis pelo tratamento

1. O responsável pelo tratamento deve, em caso de tratamento por sua conta por um subcontratante externo, escolher um subcontratante que ofereça garantias suficientes em relação às medidas de segurança técnica e de organização previstas no artigo 22.o da Decisão Eurojust e em quaisquer documentos pertinentes posteriores, e deve assegurar o cumprimento dessas medidas.

2. A realização de operações de tratamento em subcontratação externa deve-se regular por um contrato ou acto jurídico que vincule o subcontratante ao responsável pelo tratamento e que preveja, designadamente, que:

a) O subcontratante actuará apenas mediante instruções do responsável pelo tratamento; e

b) As obrigações em matéria de confidencialidade e de segurança previstas na Decisão Eurojust e no presente regulamento incumbem igualmente ao subcontratante, excepto se, por força do artigo 16.o ou do segundo travessão do n.o 3 do artigo 17.o da Directiva 95/46/CE, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (1), o subcontratante já estiver sujeito às obrigações de confidencialidade e segurança previstas na legislação nacional de um dos Estados-Membros.

3. Para efeitos de conservação de provas, os elementos do contrato ou do acto jurídico relativos à protecção de dados, bem como as exigências relativas às medidas de confidencialidade e segurança, devem ficar estipulados por escrito ou sob forma equivalente.

Artigo 37.o

Decisões individuais automatizadas

A pessoa em causa tem o direito de não ficar sujeita a uma decisão que produza efeitos na sua esfera jurídica ou que a afecte de modo significativo, tomada exclusivamente com base num tratamento automatizado de dados destinado a avaliar determinados aspectos da sua personalidade como, por exemplo, a sua capacidade profissional, a sua fiabilidade ou o seu comportamento, excepto se a decisão for expressamente autorizada por força da legislação nacional ou europeia ou, se necessário, pelo responsável pela protecção de dados. Em ambos os casos, devem ser tomadas medidas que garantam a defesa dos legítimos interesses da pessoa em causa, tais como medidas que lhe permitam expressar a sua opinião ou compreender a lógica do tratamento.

CAPÍTULO II

Regras internas em matéria de protecção de dados pessoais e privacidade no contexto das redes internas de telecomunicações

Artigo 38.o

Âmbito

1. Sem prejuízo do disposto nos artigos anteriores, as regras contidas no presente Capítulo são aplicáveis ao tratamento de dados pessoais relacionado com a utilização e gestão de redes ou equipamentos terminais de telecomunicações que operem sob o controlo da Eurojust.

2. Para efeitos das regras contidas no presente Capítulo, entende-se por «utilizador», qualquer pessoa singular que utilize uma rede ou um equipamento terminal de telecomunicações que opere sob o controlo da Eurojust.

Artigo 39.o

Segurança

1. A Eurojust toma medidas técnicas e organizativas adequadas para garantir a segurança da utilização das redes e equipamentos terminais de telecomunicações (computadores, servidores, equipamentos informáticos e programas informáticos), se necessário conjuntamente com os prestadores de serviços públicos de telecomunicações ou os fornecedores de redes públicas. Essas medidas devem assegurar um nível de segurança adequado aos riscos existentes, tendo em conta as possibilidades técnicas mais recentes e os custos da execução dessas medidas.

2. Quando se verifique um risco particular que não permita garantir a segurança da rede e dos equipamentos terminais, a Eurojust informa os utilizadores acerca desse risco e das medidas susceptíveis de o eliminar, bem como de meios de comunicação alternativos.

Artigo 40.o

Confidencialidade das comunicações

A Eurojust garante a confidencialidade das comunicações efectuadas através de redes e equipamentos terminais de telecomunicações respeitando o direito comunitário.

Artigo 41.o

Dados de tráfego e de facturação

1. Os dados de tráfego relativos aos utilizadores, tratados para estabelecer chamadas ou outros tipos de ligações nas redes de telecomunicações, são apagados ou tornados anónimos após a conclusão da chamada ou ligação em causa.

2. As únicas excepções permitidas em relação a este princípio geral (decorrentes, por exemplo, da necessidade de conservar alguns dados de tráfego se estiverem relacionados com o processo de registo de determinados ficheiros ou para efeitos de facturação de chamadas privadas) são as que estiverem previstas nas regras internas aprovadas pela Eurojust após consulta ao responsável pela protecção de dados. Se o responsável pela protecção de dados não estiver convencido da legalidade ou da adequação de tais excepções, será consultada a Instância Comum de Controlo.

3. O tratamento dos dados relativos ao tráfego e à facturação só pode ser realizado pelas pessoas responsáveis pela gestão da facturação, do tráfego ou do orçamento.

Artigo 42.o

Listas de utilizadores

1. Os dados pessoais inseridos nas listas de utilizadores impressas ou electrónicas e o acesso a essas listas devem limitar-se ao estritamente necessário para os fins específicos das listas.

2. Essas listas só poderão estar disponíveis para os utilizadores da Eurojust, para uso exclusivamente interno ou noutras listas interinstitucionais julgadas adequadas.

CAPÍTULO III

Regras específicas

Artigo 43.o

Regras suplementares

Se necessário, a Eurojust elabora regras suplementares relativamente ao processamento de dados pessoais em operações não relacionadas com processos. Essas regras são notificadas à Instância Comum de Controlo e publicadas em manuais internos separados.

TÍTULO VI

OUTRAS DISPOSIÇÕES

Artigo 44.o

Reexame das presentes regras processuais

1. As presentes regras são reexaminadas regularmente para se avaliar a necessidade de alterações. Qualquer alteração às presentes regras seguem os mesmos procedimentos estabelecidos na Decisão Eurojust para a sua aprovação.

2. O responsável pela protecção de dados comunica ao Presidente do Colégio e à Instância Comum de Controlo se considera necessário alterar as presentes regras processuais.

3. A Instância Comum de Controlo apresenta ao Colégio quaisquer sugestões ou recomendações relativas a alterações às presentes regras processuais.

Artigo 45.o

Entrada em vigor e publicação

1. As presentes regras processuais entram em vigor no dia seguinte ao da sua aprovação definitiva pelo Conselho.

2. As presentes regras processuais são publicadas no Jornal Oficial da União Europeia.

(1) JO L 281 de 23.11.1995, p. 31.