DECISÃO (UE) 2020/655 DO BANCO CENTRAL EUROPEU

de 5 de maio de 2020

que adota disposições de execução relativas à proteção de dados no Banco Central Europeu e que revoga a Decisão BCE/2007/1 (BCE/2020/28)

A COMISSÃO EXECUTIVA DO BANCO CENTRAL EUROPEU,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta os Estatutos do Sistema Europeu de Bancos Centrais e do Banco Central Europeu e, nomeadamente, o seu artigo 11.o-6,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001, bem como a Decisão n.o 1247/2002/CE (1) nomeadamente o artigo 45.o, n.o 3

Considerando o seguinte:

(1) O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (2) estabelece normas gerais para proteger as pessoas singulares relativamente ao tratamento dos seus dados pessoais e facilitar a livre circulação dos dados pessoais na União.

(2) O Regulamento (UE) 2018/1725 revoga o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (3) e estabelece os princípios e normas relativos à proteção de dados aplicáveis a todas as instituições e aos órgãos e organismos da União.

(3) A fim de assegurar uma abordagem coerente da proteção dos dados pessoais em toda a União e da livre circulação de dados pessoais na União, é necessário alinhar, tanto quanto possível, as regras de proteção de dados aplicáveis às instituições e aos organismos da União com as regras de proteção de dados adotadas para o setor público dos Estados-Membros. Sempre que as disposições do Regulamento (UE) 2018/1725 sigam os mesmos princípios que as disposições do Regulamento (UE) 2016/679, estes dois conjuntos de disposições devem ser interpretados de forma homogénea, nomeadamente porque o regime do Regulamento (UE) 2018/1725 deve ser entendido como equivalente ao do Regulamento (UE) 2016/679.

(4) O artigo 43.o do Regulamento (UE) 2018/1725 exige que cada instituição ou órgão da União designe um encarregado da proteção de dados. Nos termos do artigo 45.o, n.o 3, do Regulamento (UE) 2018/1725, cada instituição e órgão da União deve adotar disposições de execução complementares respeitantes ao encarregado da proteção de dados. As disposições de execução devem, em especial, incidir sobre as atribuições, funções e competências do encarregado da proteção de dados.

(5) Por motivos de eficiência e em consonância com a prática anterior, o encarregado da proteção de dados do Banco Central Europeu (BCE) pode ser autorizado a tratar também as questões de proteção de dados relativas ao Comité Europeu do Risco Sistémico (CERS) se o Conselho Geral do CERS decidir nomear o encarregado da proteção de dados do BCE como encarregado da proteção de dados do CERS.

(6) As disposições de execução devem igualmente definir o modo como os titulares dos dados podem exercer os seus direitos e de que modo as pessoas responsáveis pelo tratamento de dados pessoais devem desempenhar as suas funções nas instituições e organismos da União.

(7) Embora o BCE seja a entidade jurídica responsável pela proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais ao abrigo do Regulamento (UE) 2018/1725 e da presente decisão, as operações de tratamento podem, na prática, ser efetuadas por diferentes unidades organizativas do BCE.

(8) O Regulamento (UE) 2018/1725 prescreve os recursos disponíveis para os titulares de dados em relação às reclamações em matéria de proteção de dados apresentadas contra uma instituição da União, incluindo o direito de apresentar reclamações à Autoridade Europeia para a Proteção de Dados previsto nos artigos 63.o e 68.o do referido regulamento. Por conseguinte, após a data de aplicação da presente decisão, os membros do pessoal do BCE devem utilizar tais recursos em relação às reclamações em matéria de proteção de dados apresentadas pelos mesmos enquanto titulares dos dados e não os recursos previstos nas Condições de emprego do pessoal do Banco Central Europeu.

(9) O BCE tenciona estabelecer, por ato jurídico autónomo, restrições relativas a princípios, direitos e obrigações em matéria de proteção de dados específicos em determinadas circunstâncias bem definidas, conforme previsto no artigo 25.o do Regulamento (UE) 2018/1725 e, por conseguinte, a data de aplicação da presente decisão deve ser 1 de novembro de 2020 para permitir o estabelecimento por ato jurídico autónomo das referidas restrições.

(10) Dada a revogação do Regulamento (CE) n.o 45/2001 pelo Regulamento (UE) 2018/1725, a Decisão BCE/2007/1 (4) deve ser revogada e substituída pela presente,

ADOTOU A PRESENTE DECISÃO:

SECÇÃO 1

DISPOSIÇÕES GERAIS

Artigo 1.o Objeto e âmbito de aplicação 1. A presente decisão estabelece as disposições gerais de execução do Regulamento (UE) 2018/1725 no que respeita ao BCE. Define, nomeadamente, as regras relativas à nomeação e ao papel do encarregado da proteção de dados do BCE (EPD), incluindo as atribuições, as funções e os poderes do EPD. 2. A presente decisão também especifica o papel, as atribuições e os deveres dos responsáveis pelo tratamento de dados e do coordenador da proteção de dados, e dá aplicação às disposições que permitem aos titulares dos dados exercer os seus direitos.

Artigo 2.o Definições Para efeitos da presente decisão, entende-se por: 1) «Responsável pelo tratamento», o BCE, e nomeadamente a unidade organizativa do BCE que, individualmente ou em conjunto com outras entidades, determina as finalidades e os meios de tratamento dos dados pessoais; 2) «Coordenador da proteção de dados», um membro do pessoal do BCE que presta assistência ao responsável pelo tratamento e ao EPD no exercício das suas atribuições e responsabilidades nos termos do Regulamento (UE) 2018/1725 e da presente decisão; 3) «Titular dos dados», uma pessoa singular identificada ou identificável; é identificável a pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador como, por exemplo, um nome, um número de identificação, dados de localização, identificadores em linha ou um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular; 4) «Tratamento», o mesmo que no artigo 3.o, ponto 3), do Regulamento (UE) 2018/1725; 5) «Instituições e órgãos da União», o mesmo que no artigo 3.o, ponto 10), do Regulamento (UE) 2018/1725; 6) «Subcontratante», o mesmo que no artigo 3.o, ponto 12), do Regulamento (UE) 2018/1725; 7) «Dados pessoais», o mesmo que no artigo 3.o, ponto 1), do Regulamento (UE) 2018/1725; 8) «Consentimento», o mesmo que no artigo 3.o, ponto 15), do Regulamento (UE) 2018/1725.

SECÇÃO 2

ENCARREGADO DA PROTEÇÃO DE DADOS

Artigo 3.o Nomeação, estatuto e questões organizativas 1. Compete à Comissão Executiva: a) nomear o EPD com base nas suas qualidades pessoais e profissionais e, em particular, nos seus conhecimentos especializados no domínio do direito e das práticas em matéria de proteção de dados, bem como na sua capacidade para desempenhar as funções referidas no artigo 45.o do Regulamento (UE) 2018/1725 e na presente decisão; b) celebrar um contrato de duração determinada não convertível para o provimento do lugar de encarregado da proteção de dados, por um período de três a cinco anos prorrogável, até à duração máxima de dez anos, conforme estabelecido nas Condições de emprego do pessoal do Banco Central Europeu; c) registar o EPD junto da Autoridade Europeia para a Proteção de Dados (AEPD) em conformidade com o artigo 44.o, n.o 9, do Regulamento (UE) 2018/1725. 2. A Comissão Executiva deve certificar-se de que o EPD possa desempenhar as atribuições e as funções referidas no artigo 45.o do Regulamento (UE) 2018/1725 de forma independente e sem receber quaisquer instruções sobre o modo como as desempenha. Sem prejuízo da referida independência: a) o EPD está sujeito às Condições de emprego do pessoal do Banco Central Europeu; b) para efeitos administrativos e de aplicação do enquadramento laboral do BCE, o EPD é adscrito à Direção-Geral de Serviços Jurídicos do BCE; c) antes de avaliar o desempenho das atribuições e funções do EPD, o responsável pela avaliação do EPD deve consultar a AEPD e pode também consultar outras partes interessadas do BCE. O EPD não deve sofrer qualquer prejuízo em virtude do exercício adequado das respetivas atribuições e funções; d) o EPD pode ser destituído pela Comissão Executiva se tiver deixado de preencher as condições exigidas para o exercício das suas funções e se tiver sido obtido o acordo prévio para o efeito da AEPD em conformidade com o artigo 44.o, n.o 8, do Regulamento (UE) 2018/1725. 3. A Comissão Executiva pode nomear um EPD adjunto, sendo-lhe aplicável o disposto nos n.os 1 e 2. O EPD adjunto coadjuva o EPD no exercício das suas atribuições e funções e substitui-o na sua ausência. 4. Qualquer membro do pessoal do BCE que preste apoio ao EPD em matéria de proteção de dados atua exclusivamente com base nas instruções do EPD e está sujeito ao sigilo profissional e à confidencialidade, nos termos do artigo 44.o, n.o 5, do Regulamento (UE) 2018/1725 conjugado com o artigo 37.o dos Estatutos do SEBC. 5. Nos termos do artigo 43.o, n.o 2, do Regulamento (UE) 2018/1725, o EPD pode ser autorizado a desempenhar, a pedido do CERS, também, em relação ao CERS, as atribuições previstas no artigo 45.o do Regulamento (UE) 2018/1725.

Artigo 4.o Atribuições do encarregado da proteção de dados O EPD desempenha as funções especificadas no artigo 45.o do Regulamento (UE) 2018/1725 e, em especial, as seguintes: a) informar e aconselhar a Comissão Executiva, os responsáveis pelo tratamento, o Comité de Pessoal e os coordenadores da proteção de dados, e responder a consultas de qualquer uma destas entidades ou de qualquer titular dos dados sobre questões relativas à interpretação e aplicação das disposições em matéria de proteção de dados no BCE; b) investigar questões e incidentes relativos à proteção de dados, quer por iniciativa própria do EPD, quer a pedido da Comissão Executiva, de um responsável pelo tratamento, do Comité de Pessoal ou de qualquer titular dos dados, e informar o requerente da investigação sobre os resultados desta; c) manter um registo central com os registos das atividades de tratamento no BCE nos termos do artigo 31.o do Regulamento (UE) 2018/1725 e do artigo 9.o da presente decisão; d) prestar assistência ao responsável pelo tratamento, mediante solicitação, na elaboração de avaliações de impacto sobre a proteção de dados e de pedidos de consulta prévia da AEPD nos termos dos artigos 39.o e 40.o do Regulamento (UE) 2018/1725; e) responder aos pedidos da AEPD e, no âmbito da sua competência, cooperar com a AEPD; f) cooperar com os encarregados da proteção de dados de outras instituições e organismos da União, dos bancos centrais nacionais e das autoridades nacionais competentes, nomeadamente mediante: i) o intercâmbio de conhecimentos e experiências; ii) a representação do BCE nos debates pertinentes em matéria de proteção de dados, com exceção dos processos judiciais; e iii) a participação em comités e organismos interinstitucionais; g) garantir, com independência, a aplicação do Regulamento (UE) 2018/1725 no BCE e controlar o respeito do regulamento, de outras disposições de proteção de dados do direito da União aplicáveis e das políticas do BCE e dos seus subcontratantes em matéria de proteção de dados pessoais, incluindo a repartição de responsabilidades, a sensibilização e a formação do pessoal do BCE envolvido nas operações de tratamento de dados, e as auditorias correspondentes.

Artigo 5.o Competências do encarregado da proteção de dados No exercício das suas atribuições nos termos do artigo 4.o, o EPD: a) pode solicitar informações a qualquer área de atividade do BCE sobre qualquer questão relacionada com as atribuições e funções do EPD; b) tem acesso, a todo o tempo, aos dados pessoais objeto de tratamento, a todas as instalações do BCE, e a todas as informações, operações de tratamento de dados e bases de dados; c) pode dar parecer sobre a licitude das operações de tratamento, em curso ou previstas, sobre as medidas necessárias para assegurar a legalidade dessas operações, bem como sobre a aptidão ou a adequação das medidas de proteção de dados ou sobre qualquer questão ligada à notificação das operações de tratamento de dados; d) chamar a atenção da Comissão Executiva para qualquer questão relativa à proteção de dados, incluindo o incumprimento, por parte de um membro do pessoal do BCE, das disposições do Regulamento (UE) 2018/1725 ou de quaisquer outras disposições da União em matéria de proteção de dados aplicáveis ao BCE; e) pode solicitar a inserção na ordem do dia da Comissão Executiva de assuntos relativos à proteção de dados e submeter à mesma para esse efeito documentação pertinente; f) pode realizar controlos de conformidade das operações de tratamento de dados levadas a cabo por um responsável pelo tratamento ou em seu nome; g) pode restringir qualquer tratamento de dados que não esteja em conformidade com as disposições do Regulamento (UE) 2018/1725 ou com a presente decisão ou com quaisquer outras disposições da União em matéria de proteção de dados; h) pode informar a AEPD sobre qualquer questão relativa à proteção de dados que exija a contribuição ou a orientação da AEPD.

Artigo 6.o Encarregado da proteção de dados e procedimento de investigação 1. Os pedidos de investigação ao abrigo da alínea b) do artigo 4.o devem ser apresentados por escrito ao EPD. 2. O EPD deve enviar um aviso de receção ao requerente no prazo de sete dias úteis a contar da data de receção do pedido referido no n.o 1. 3. O EPD pode investigar no local a questão que é objeto do pedido e solicitar ao responsável pelo tratamento uma declaração por escrito. O responsável pelo tratamento pertinente deve responder ao EPD no prazo de 20 dias úteis a contar da data de receção do seu pedido. O EPD pode, a todo o tempo, solicitar informações complementares ou assistência a qualquer área de atividade do BCE. A área de atividade deve prestar as referidas informações complementares ou assistência no prazo de 20 dias úteis a contar da data de receção do pedido do EPD. 4. O EPD examina as questões e os factos relativos à investigação com imparcialidade e com o devido respeito pelos direitos dos titulares dos dados. Se for considerado adequado e sem prejuízo do n.o 5, o EPD informa todas as outras partes interessadas sobre a investigação. 5. O EPD deve assegurar que o pedido seja mantido confidencial e só seja divulgado na medida do necessário para efeitos da investigação, a menos que o titular dos dados em causa dê o seu consentimento para que o pedido deixe de ser confidencial. 6. O EPD informa o requerente sobre os resultados da investigação no prazo de três meses a contar da data de receção do pedido.

SECÇÃO 3

ENCARREGADO DA PROTEÇÃO DE DADOS, RESPONSÁVEIS PELO TRATAMENTO E COORDENADORES DA PROTEÇÃO DE DADOS

Artigo 7.o Atribuições e deveres do responsável pelo tratamento 1. O responsável pelo tratamento assegura que todas as operações de tratamento que envolvam dados pessoais realizadas sob a sua responsabilidade estão conformes com o disposto no Regulamento (UE) 2018/1725 e com quaisquer outras disposições da União em matéria de proteção de dados aplicáveis ao BCE. 2. O responsável pelo tratamento deve garantir que o EPD seja informado, sem demora injustificada, sobre: a) qualquer questão que tenha ou possa ter implicações em matéria de proteção de dados; b) qualquer parecer, documento, política ou decisão interna que possa afetar o cumprimento pelo BCE das disposições em matéria de proteção de dados, antes da sua adoção; c) qualquer violação de dados pessoais ou qualquer outro incidente relativo à proteção de dados; d) qualquer interação direta de um responsável pelo tratamento com a AEPD. 3. O responsável pelo tratamento deve, em especial: a) consultar atempadamente o EPD sobre quaisquer atividades relativas ao tratamento de dados pessoais ou a quaisquer outras questões de proteção de dados; b) realizar e aprovar avaliações de impacto relativas à proteção de dados em cooperação com o EPD e nos termos do artigo 39.o do Regulamento (UE) 2018/1725; c) respeitar todas as políticas internas pertinentes relativas ao tratamento de dados pessoais ou a quaisquer outras questões da proteção de dados; d) manter, em cooperação com os coordenadores da proteção de dados, registos regularmente atualizados das atividades de tratamento em conformidade com o artigo 31.o, n.o 5, do Regulamento (UE) 2018/1725, utilizando o modelo aprovado pelo EPD. 4. Ao prestar assistência ao EPD e à AEPD no exercício das respetivas funções, o responsável pelo tratamento deve fornecer-lhes informações completas, facultar-lhes o acesso a dados pessoais e responder a questões no prazo de 20 dias úteis a contar da data de receção do pedido.

Artigo 8.o Coordenadores da proteção de dados 1. Os coordenadores da proteção de dados prestam assistência aos responsáveis pelo tratamento de dados no cumprimento das suas obrigações, quer a pedido destes últimos, quer por iniciativa própria. Os coordenadores da proteção de dados concertam com os responsáveis pelo tratamento de dados, devendo estes últimos fornecer-lhes todas as informações necessárias. 2. Os coordenadores da proteção de dados ajudam o EPD a: a) identificar o responsável pelo tratamento pertinente de uma operação de tratamento de dados pessoais; b) promover e sensibilizar para os conselhos do EPD e apoiar o responsável pelo tratamento pertinente sob a orientação do EPD; c) prestar apoio ao responsável pelo tratamento pertinente no que diz respeito à manutenção dos registos das atividades de tratamento em conformidade com o artigo 31.o do Regulamento (UE) 2018/1725 e à garantia de que os registos sejam exatos e atualizados; d) resolver outras questões relativas às atribuições do EPD conforme acordado entre o EPD e os superiores hierárquicos dos coordenadores da proteção de dados. 3. O coordenador da proteção de dados é, em princípio, um especialista em gestão da informação ou possui os conhecimentos especializados e/ou a formação pertinentes.

Artigo 9.o Registo central 1. Os responsáveis pelo tratamento submetem os respetivos registos de atividades de tratamento ao EPD, que os conserva num registo central. 2. O registo central serve de repositório de todas as atividades de tratamento de dados pessoais realizadas no BCE. O registo central constitui uma fonte de informação para os titulares dos dados e facilita o exercício dos seus direitos nos termos dos artigos 17.o a 24.o do Regulamento (UE) 2018/1725. O registo central deve ser acessível ao público. O registo central deve conter, pelo menos, as informações referidas no artigo 31.o, n.o 1, alíneas a) a g), do Regulamento (UE) 2018/1725.

Artigo 10.o Responsáveis conjuntos pelo tratamento 1. As respetivas obrigações em matéria de proteção de dados de qualquer responsável conjunto pelo tratamento são estabelecidas em conformidade com o artigo 28.o do Regulamento (UE) 2018/1725. 2. No caso de o BCE agir como um responsável conjunto pelo tratamento juntamente com um ou mais responsáveis pelo tratamento, os responsáveis conjuntos pelo tratamento determinam por acordo entre si as responsabilidades pelo cumprimento das obrigações de proteção de dados, a não ser e na medida em que as referidas responsabilidades sejam determinadas pelo direito da União ou pelo direito do Estado-Membro a que estão sujeitos.

SECÇÃO 4

DIREITOS DOS TITULARES DOS DADOS

Artigo 11.o Exercício dos direitos dos titulares dos dados 1. Os titulares dos dados podem contactar o responsável pelo tratamento pertinente a fim de exercerem os respetivos direitos nos termos dos artigos 17.o a 24.o do Regulamento (UE) 2018/1725. 2. Os direitos do titular dos dados só podem ser exercidos pelo titular dos dados ou por um representante devidamente autorizado. Estes podem exercer gratuitamente qualquer um dos referidos direitos. 3. Os pedidos de exercício dos direitos dos titulares dos dados são apresentados por escrito ou, caso aplicável, por via eletrónica ao responsável pelo tratamento pertinente. Após a receção do pedido de um titular dos dados, o responsável pelo tratamento pertinente envia um aviso de receção ao titular dos dados no prazo de cinco dias úteis, facultando-lhe os dados de contacto do EPD e informando-o da possibilidade de apresentação de uma reclamação à AEPD e de interposição de recurso judicial. 4. Se o responsável pelo tratamento pertinente tiver dúvidas razoáveis quanto à identidade do titular dos dados, ou do seu representante autorizado, pode solicitar a prestação de informações adicionais necessárias para identificar o titular dos dados ou o seu representante autorizado. Se o titular dos dados for representado por um representante autorizado, o responsável pelo tratamento pertinente também deve verificar a competente autorização. O responsável pelo tratamento pertinente pode solicitar informações adicionais ao titular dos dados para clarificar o seu pedido e abordá-lo com eficácia. 5. Nos termos do artigo 14.o, n.os 3 e 4, do Regulamento (UE) 2018/1725, o responsável pelo tratamento pertinente deve facultar ao titular dos dados, sem demora injustificada e, o mais tardar, no prazo de um mês a contar da data de receção do pedido, informações sobre qualquer medida tomada em relação a um pedido. Caso necessário, o referido prazo pode ser prorrogado por outros dois meses, tendo em conta a complexidade e o número de pedidos dos titulares dos dados recebidos pelo responsável pelo tratamento pertinente. O responsável pelo tratamento pertinente deve informar o titular dos dados de qualquer prorrogação no prazo de um mês a contar da data de receção do pedido e indicar os motivos do atraso. 6. O responsável pelo tratamento pertinente deve responder por escrito ao pedido do titular dos dados, caso adequado, e, se o pedido tiver sido apresentado por via eletrónica, deve fornecer também as informações solicitadas por via eletrónica. 7. O titular dos dados pode em qualquer momento contactar o EPD, nomeadamente se: a) o responsável pelo tratamento pertinente não respeitar os prazos previstos nos n.os 3 e 5; b) o titular dos dados não estiver satisfeito com as medidas tomadas pelo responsável pelo tratamento pertinente; ou c) o titular dos dados desejar apresentar uma queixa à AEPD. O EPD aconselha o responsável pelo tratamento pertinente sobre as medidas adequadas. 8. Se os pedidos do titular dos dados forem manifestamente infundados ou excessivos, nomeadamente devido ao caráter reiterado dos mesmos, o responsável pelo tratamento pertinente pode, após consulta do EPD, recusar-se a dar seguimento ao pedido nos termos do artigo 14.o, n.o 5, do Regulamento (UE) 2018/1725 e informar o titular dos dados desse facto.

Artigo 12.o Recursos Os recursos ao dispor dos membros do pessoal do BCE nos termos das Condições de emprego do pessoal do Banco Central Europeu não se aplicam às reclamações em matéria de proteção de dados.

SECÇÃO 5

DISPOSIÇÕES FINAIS

Artigo 13.o Revogação É revogada a Decisão BCE/2007/1 com efeitos a partir de 1 de novembro de 2020. As referências à Decisão BCE/2007/1 devem ser interpretadas como remissões para a presente decisão e lidas de acordo com o quadro de correspondência constante do anexo.

Artigo 14.o Entrada em vigor A presente decisão entra em vigor no vigésimo dia subsequente ao da sua publicação no Jornal Oficial da União Europeia.

A presente decisão é aplicável a partir de 1 de novembro de 2020. Feito em Frankfurt am Main, em 5 de maio de 2020. A Presidente do BCE Christine LAGARDE

(1) JO L 295 de 21.11.2018, p. 39.

(2) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(3) Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO L 8 de 12.1.2001, p. 1).

(4) Decisão BCE/2007/1, de 17 de abril de 2007, que aprova disposições de aplicação relativas à proteção de dados no Banco Central Europeu (JO L 116 de 4.5.2007, p. 64).