DECISÃO DO CONSELHO DE ADMINISTRAÇÃO n.o 5/2020

de 21 de outubro de 2020

relativa às regras internas em matéria de limitações de determinados direitos dos titulares dos dados no que diz respeito ao tratamento de dados pessoais no âmbito das atividades realizadas pela Agência Europeia para a Segurança da Aviação

O CONSELHO DE ADMINISTRAÇÃO DA AGÊNCIA EUROPEIA PARA A SEGURANÇA DA AVIAÇÃO,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1), e em particular o seu artigo 25.o,

Tendo em conta o Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho, de 4 de julho de 2018, relativo a regras comuns no domínio da aviação civil que cria a Agência da União Europeia para a Segurança da Aviação, altera os Regulamentos (CE) n.o 2111/2005, (CE) n.o 1008/2008, (UE) n.o 996/2010 e (UE) n.o 376/2014 e as Diretivas 2014/30/UE e 2014/53/UE do Parlamento Europeu e do Conselho, e revoga os Regulamentos (CE) n.o 552/2004 e (CE) n.o 216/2008 do Parlamento Europeu e do Conselho e o Regulamento (CEE) n.o 3922/91 do Conselho (2), em especial o artigo 132.o,

Tendo em conta as regras de procedimento do Conselho de Administração da Agência Europeia para a Segurança da Aviação.

Após consulta da Autoridade Europeia para a Proteção dos Dados,

Tendo informado o Comité de Pessoal,

Considerando que:

(1) A Agência Europeia para a Segurança da Aviação («AESA») está habilitada a proceder a inquéritos administrativos, a processos pré-disciplinares, disciplinares e de suspensão, em conformidade com o Estatuto dos Funcionários da União Europeia e o Regime Aplicável aos Outros Agentes da União Europeia, estabelecidos no Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho («Estatuto dos Funcionários») (3), e com a Decisão n.o 2011/216/E do diretor-executivo da AESA, de 16 de dezembro de 2011, que adota a implementação de disposições relativas à conduta de inquéritos administrativos e procedimentos disciplinares. Se necessário, também notifica casos ao OLAF.

(2) Os membros do pessoal da AESA têm a obrigação de comunicar atividades potencialmente ilegais, incluindo fraude e corrupção, que sejam lesivas dos interesses da União. Os membros do pessoal estão também obrigados a comunicar os atos relacionados com o exercício de atividades profissionais que sejam suscetíveis de constituir um incumprimento grave das obrigações dos funcionários da União. Esta obrigação é regulamentada pela Decisão 15-2018 do Conselho de Administração, de 14 de dezembro de 2018.

(3) A AESA estabeleceu uma política de prevenção e tratamento efetivo de casos reais ou potenciais de assédio psicológico ou sexual no local de trabalho, tal como previsto na sua Decisão n.o 2008/180/A do diretor-executivo da AESA, de 5 de agosto de 2009, que adota medidas de implementação nos termos do Estatuto dos Funcionários.

(4) A decisão estabeleceu um procedimento informal no qual a alegada vítima do assédio pode contactar os conselheiros «confidenciais» da AESA.

(5) A AESA pode também realizar investigações sobre potenciais violações das regras de segurança das Informações Classificadas da União Europeia («ICUE»), com base na Decisão n.o 2020/010/DE do diretor-executivo da AESA, de 17 de fevereiro de 2020, sobre regras de segurança da AESA em matéria da proteção das Informações Classificadas da União Europeia.

(6) A AESA é objeto de auditorias internas e externas relativas às suas atividades.

(7) No contexto desses inquéritos administrativos, auditorias e investigações, a AESA coopera com outras instituições, órgãos, organismos e agências da União.

(8) A AESA pode cooperar com as autoridades nacionais e as organizações internacionais de países terceiros, quer a pedido destas, quer por iniciativa própria.

(9) A AESA pode também cooperar com as autoridades públicas dos Estados-Membros da UE, quer a pedido destas, quer por iniciativa própria.

(10) A AESA intervém em processos no Tribunal de Justiça da União Europeia quando submete uma questão para apreciação do Tribunal de Justiça, quando defende uma decisão adotada e contestada perante o Tribunal de Justiça ou quando intervém em processos relevantes para as suas funções. Neste contexto, a AESA poderá ter de preservar a confidencialidade dos dados pessoais contidos em documentos obtidos pelas partes ou pelos intervenientes.

(11) A AESA tem poderes para realizar inspeções, para além de monitorizar atividades e investigações em conformidade com o artigo 75.o, n.o 2, e), do Regulamento (UE) 2018/1139.

(12) A AESA tem poderes para realizar investigações de segurança de TI tratadas a nível interno ou com envolvimento externo (p. ex., CERT-EU) em conformidade com o artigo 75.o, n.o 2, d), do Regulamento (UE) 2018/1139.

(13) O Encarregado pela Proteção de Dados da AESA («EPD») tem poderes para processar reclamações internas e externas e realizar auditorias e investigações internas em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725 («o Regulamento»).

(14) Para desempenhar as suas funções, a AESA recolhe e processa informações e diversas categorias de dados pessoais, incluindo dados de identificação das pessoas singulares, informações de contacto, funções e tarefas profissionais, informações sobre a conduta e o desempenho privados e profissionais, bem como dados financeiros. A AESA atua como responsável pelo tratamento de dados.

(15) Por conseguinte, nos termos do Regulamento, a AESA é obrigada a prestar informações aos titulares dos dados sobre essas atividades de tratamento e a respeitar os seus direitos enquanto titulares de dados.

(16) A AESA poderá ser obrigada a conciliar esses direitos com os objetivos dos inquéritos administrativos, auditorias, investigações e processos judiciais. Pode igualmente ser-lhe exigido que pondere os direitos de um titular dos dados face aos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o do Regulamento atribui à AESA, sob condições estritas, a possibilidade de limitar a aplicação dos artigos 14.o a 22.o, 35.o e 36.o do Regulamento, bem como do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e às obrigações previstos nos artigos 14.o a 20.o. A menos que as limitações estejam previstas num ato jurídico adotado com base nos Tratados, é necessário adotar regras internas que atribuam à AESA o direito de limitar esses direitos.

(17) A AESA poderá, por exemplo, ter de limitar as informações que fornece a um titular de dados acerca do tratamento dos seus dados pessoais durante a fase de avaliação preliminar de um inquérito administrativo ou durante o próprio inquérito, antes de um eventual arquivamento do processo ou na fase pré-disciplinar. Em determinadas circunstâncias, a prestação dessas informações pode afetar seriamente a capacidade da AESA para conduzir o inquérito de forma eficaz, sempre que, por exemplo, exista o risco de o titular de dados destruir provas ou interferir com potenciais testemunhas antes de estas serem inquiridas. A AESA poderá também ter de proteger os direitos e liberdades das testemunhas, bem como os de outras pessoas envolvidas.

(18) Poderá ser necessário proteger o anonimato de uma testemunha ou de um denunciante que tenha pedido para não ser identificado. Nesse caso, a AESA pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais dessas pessoas, a fim de proteger os seus direitos e liberdades.

(19) Poderá ser necessário proteger as informações confidenciais de um membro do pessoal que tenha contactado os conselheiros confidenciais da AESA no contexto de um procedimento de assédio. Nesse caso, a AESA pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais da alegada vítima, do alegado autor do assédio e de outras pessoas envolvidas, a fim de proteger os direitos e liberdades de todas as partes em causa.

(20) A AESA só deve aplicar limitações quando estas respeitem a essência dos direitos e liberdades fundamentais, sejam estritamente necessárias e constituam uma medida proporcionada numa sociedade democrática. A AESA deve fundamentar a justificação dessas limitações.

(21) Em cumprimento do princípio da responsabilidade, a AESA deve manter um registo das limitações aplicadas.

(22) Ao tratar dados pessoais trocados com outras organizações no âmbito das suas funções, a AESA e essas organizações deverão consultar-se mutuamente sobre os motivos potenciais para impor limitações e sobre a necessidade e proporcionalidade dessas limitações, a menos que tal comprometa as atividades da AESA.

(23) O artigo 25.o, n.o 6, do Regulamento obriga o responsável pelo tratamento a informar os titulares dos dados sobre os principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD.

(24) Nos termos do artigo 25.o, n.o 8, do Regulamento, a AESA pode diferir, omitir ou recusar a prestação de informações sobre os motivos para a aplicação de uma limitação ao titular dos dados caso tal seja suscetível de anular o efeito da limitação. A AESA deve avaliar, caso a caso, se a comunicação da limitação anularia o seu efeito.

(25) A AESA deve levantar a limitação logo que as condições que a justificam deixem de ser aplicáveis, e avaliar essas condições com regularidade.

(26) A fim de garantir a máxima proteção dos direitos e liberdades dos titulares dos dados e em conformidade com o artigo 44.o, n.o 1, do Regulamento, o encarregado da proteção de dados (EPD) deve ser consultado em tempo útil acerca de quaisquer limitações que possam ser aplicadas e verificar a sua conformidade com a presente decisão.

(27) Os artigos 16.o, n.o 5, e 17.o, n.o 4, do Regulamento preveem exceções ao direito à informação e ao direito de acesso dos titulares de dados. Caso estas exceções sejam aplicáveis, não será necessário que a AESA aplique uma limitação nos termos da presente decisão,

ADOTOU A SEGUINTE DECISÃO:

Artigo 1.o Objeto e âmbito de aplicação 1. A presente decisão estabelece regras relativas às condições em que a AESA pode limitar a aplicação dos artigos 4.o, 14.o a 22.o, 35.o e 36.o, com base no artigo 25.o do Regulamento. 2. A AESA, na qualidade de responsável pelo tratamento, é representada pelo seu diretor-executivo.

Artigo 2.o Limitações 1. A AESA pode limitar a aplicação dos artigos 14.o a 22.o, 35.o e 36.o do Regulamento, bem como do seu artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 20.o: a) nos termos do artigo 25.o, n.o 1, alíneas b), c), f), g) e h), do Regulamento, na condução de inquéritos administrativos, de processos pré-disciplinares, disciplinares ou de suspensão nos termos do artigo 86.o e do anexo IX do Estatuto dos Funcionários, e da Decisão n.o 2011/216/E do diretor-executivo da AESA, de 16 de dezembro de 2011, bem como aquando da notificação dos processos ao OLAF; b) nos termos do artigo 25.o, n.o 1, alínea h), do Regulamento, ao assegurar que os membros do pessoal da AESA possam comunicar factos confidencialmente sempre que considerem que existem irregularidades graves, tal como previsto na Decisão 15-2018, de 14 de dezembro de 2018, do Conselho de Administração da AESA; c) nos termos do artigo 25.o, n.o 1, alínea h), do Regulamento, ao assegurar que os membros do pessoal da AESA possam apresentar denúncias a conselheiros confidenciais no contexto de um procedimento de assédio, tal como definido na sua Decisão n.o 2008/180/A do diretor-executivo da AESA, de 5 de agosto de 2009; d) nos termos do Artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), na realização de investigações relacionadas com potenciais quebras de regras de segurança no que se refere a Informações Classificadas da União Europeia («ICUE»), com base na Decisão da AESA n.o 2020/010/ED do diretor-executivo da AESA, de 17 de fevereiro de 2020, em matéria de regras de segurança da ASEA sobre proteção de Informações Classificadas da União Europeia; e) nos termos do artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento, ao realizar auditorias internas relativamente a atividades ou departamentos da AESA; f) nos termos do artigo 25.o, n.o 1, alíneas c), d), g) e h), do Regulamento, ao prestar assistência a outras instituições, órgãos, organismos e agências da União, ao receber assistência destes ou ao cooperar com estes no contexto das atividades previstas nas alíneas a) a d) do presente número, e nos termos dos acordos de nível de serviço, memorandos de entendimento e acordos de cooperação pertinentes; g) nos termos do artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento, ao prestar assistência às autoridades nacionais de países terceiros e organizações internacionais, ao receber assistência destas ou ao cooperar com tais autoridades e organizações, quer a seu pedido, quer por iniciativa própria; h) nos termos do artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento, ao prestar assistência e cooperação às autoridades públicas dos Estados-Membros da UE ou ao receber assistência e cooperação destas, quer a seu pedido, quer por iniciativa própria; i) nos termos do artigo 25.o, n.o 1, alínea e), do Regulamento, no tratamento de dados pessoais em documentos obtidos pelas partes ou pelos intervenientes no âmbito de um processo no Tribunal de Justiça da União Europeia; j) nos termos do artigo 25.o, n.o 1, alíneas c), g) e h) do Regulamento, no tratamento de dados pessoas ao realizar inspeções, outras atividades de monitorização e investigações em conformidade com o artigo 75.o, n.o 2, alínea e), do Regulamento (UE) 2018/1139; k) nos termos do artigo 25.o, n.o, alíneas b), c), d), f), g) e h), do Regulamento, no tratamento de dados pessoais na realização de investigações de segurança de TI tratadas internamente ou com envolvimento externo (p. ex., CERT-EU) em conformidade com o artigo 75.o, n.o 2, alínea d), do Regulamento (UE) 2018/1139. 2. Nos termos do artigo 25.o, n.o 1, alíneas b), c), f), g) e h), do Regulamento, o EPD pode limitar a aplicação dos artigos 14.o a 22.o, 35.o e 36.o, e artigo 4.o considerando que as suas disposições correspondem a direitos e obrigações dispostas nos artigos 14.o a 20.o no processamento de reclamações internas e externas e na condução de auditorias internas e investigações em conformidade com o artigo 45.o, n.o 2, do Regulamento. 3. Qualquer limitação deve respeitar a essência dos direitos e liberdades fundamentais e constituir uma medida necessária e proporcionada numa sociedade democrática. 4. Deve ser efetuado um teste da necessidade e da proporcionalidade, caso a caso, antes da aplicação de limitações. As limitações devem restringir-se ao estritamente necessário para alcançar os seus objetivos. 5. Para efeitos de responsabilização, a AESA deve criar um relatório que descreva os motivos das limitações aplicadas, que identifique os motivos enumerados no n.o 1 que são aplicáveis e que indique os resultados do teste de necessidade e proporcionalidade. Esse documento deve ser incluído num ficheiro, que será facultado à AEPD, a pedido desta. A AESA elabora relatórios periódicos sobre a aplicação do artigo 25.o do Regulamento. 6. Ao proceder ao tratamento de dados pessoais administrativos recebidos de outras organizações no âmbito das suas funções, a AESA deve consultar essas organizações sobre os eventuais motivos para a imposição de limitações e sobre a necessidade e proporcionalidade das limitações em causa, a menos que tal ponha em perigo as atividades da AESA.

Artigo 3.o Riscos para os direitos e liberdades dos titulares de dados 1. As avaliações dos riscos para os direitos e liberdades dos titulares de dados decorrentes da imposição de limitações e os pormenores sobre o período de aplicação dessas limitações devem ser registados no registo das atividades de tratamento conservado pela AESA nos termos do artigo 31.o do Regulamento. Devem igualmente ser registados em quaisquer avaliações de impacto sobre a proteção de dados relativas a essas limitações realizadas nos termos do artigo 39.o do Regulamento. 2. Sempre que a AESA avaliar a necessidade e a proporcionalidade de uma limitação, deve considerar os potenciais riscos para os direitos e liberdades do titular dos dados.

Artigo 4.o Salvaguardas e períodos de armazenamento 1. A AESA aplica salvaguardas destinadas a evitar abusos e o acesso ou a transferência ilegais dos dados pessoais relativamente aos quais se aplicam ou podem ser aplicadas limitações. Estas salvaguardas incluem medidas técnicas e organizativas e, se necessário, são descritas nas decisões, procedimentos e normas de execução internas da AESA. As salvaguardas incluem: a) uma definição adequada das funções, responsabilidades e etapas processuais; b) se adequado, um ambiente eletrónico seguro que previna acesso acidental e ilegal ou a transferência de dados eletrónicos a pessoas não autorizadas; c) se adequado, armazenamento e tratamento seguros de documentos em papel; d) monitorização adequada das limitações e revisão periódica da sua aplicação. As revisões referidas na alínea d) devem ser realizadas pelo menos de seis em seis meses. 2. As limitações serão levantadas logo que cessarem as circunstâncias que as justificam. 3. Os dados pessoais são conservados em conformidade com as regras de limitação da AESA aplicáveis, a definir nos registos de proteção de dados mantidos nos termos do artigo 31.o do Regulamento. No termo do período de conservação, os dados pessoais são apagados, anonimizados ou transferidos para arquivos em conformidade com o artigo 13.o do Regulamento.

Artigo 5.o Participação do encarregado da proteção de dados 1. O encarregado da proteção de dados deve ser informado sem demora injustificada sempre que os direitos dos titulares dos dados sejam objeto de limitações em conformidade com a presente decisão. Ser-lhe-á concedido acesso aos registos conexos e a quaisquer documentos relativos ao contexto factual ou jurídico. 2. O encarregado da proteção de dados pode solicitar o reexame da aplicação de uma limitação. A AESA informa por escrito o seu encarregado da proteção de dados acerca do resultado do reexame. 3. A AESA documenta a intervenção do encarregado da proteção de dados na aplicação das limitações, incluindo as informações que lhe são comunicadas.

Artigo 6.o Informação aos titulares dos dados sobre as limitações aos seus direitos 1. A AESA inclui nos avisos sobre a proteção de dados publicados no seu sítio Web ou Intranet uma secção que presta informações gerais aos titulares dos dados sobre a eventual limitação dos direitos dos titulares de dados nos termos do artigo 2.o, n.o 1. As informações devem abranger os direitos que podem ser limitados, os motivos que podem justificar a aplicação das limitações e a duração da eventual limitação. 2. A AESA informa individualmente os titulares dos dados, por escrito e sem demora injustificada, acerca das limitações atuais ou futuras aos seus direitos. A AESA informa o titular dos dados acerca dos principais motivos em que se baseia a aplicação da limitação, do seu direito de consultar o encarregado da proteção de dados com vista a contestar a limitação e do seu direito de apresentar uma reclamação à AEPD. 3. A AESA pode diferir, omitir ou recusar a prestação de informações sobre os motivos de uma limitação e o direito de apresentar uma reclamação à AEPD, caso isso seja suscetível de anular o efeito da limitação. A avaliação de tal justificação deve ser efetuada caso a caso. A AESA fornecerá as informações ao titular dos dados assim que isso deixe de ser suscetível de anular o efeito da limitação.

Artigo 7.o Comunicação de uma violação de dados pessoais ao titular dos dados 1. Sempre que esteja obrigada a comunicar uma violação de dados nos termos do artigo 35.o, n.o 1, do Regulamento, a AESA pode, em circunstâncias excecionais, limitar total ou parcialmente essa comunicação. Deve documentar em nota as razões da limitação, o seu fundamento jurídico nos termos do artigo 2.o e uma avaliação da sua necessidade e proporcionalidade. A nota é comunicada à AEPD no momento da notificação da violação de dados pessoais. 2. Se os motivos da limitação deixarem de se aplicar, a AESA comunica a violação dos dados pessoais ao titular dos dados e informa-o dos principais motivos da limitação e do seu direito de apresentar uma reclamação à AEPD.

Artigo 8.o Confidencialidade das comunicações eletrónicas 1. Em circunstâncias excecionais, a AESA pode limitar o direito à confidencialidade das comunicações eletrónicas estabelecido no artigo 36.o do Regulamento. Tais limitações devem cumprir o disposto na Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (4). 2. Quando a AESA limita o direito à confidencialidade das comunicações eletrónicas, deve informar o titular dos dados em causa, na sua resposta a qualquer pedido deste, acerca dos principais motivos em que se baseia a aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD. 3. A AESA pode diferir, omitir ou recusar a prestação de informações sobre os motivos de uma limitação e o direito de apresentar uma reclamação à AEPD caso isso seja suscetível de anular o efeito da limitação. A avaliação de tal justificação deve ser efetuada caso a caso.

Artigo 9.o Entrada em vigor A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Varsóvia, 21 de outubro de 2020. O Presidente do Conselho de Administração Piotr SAMSON

(1) JO L 295, 21.11.2018, p. 39.

(2) JO L 212 de 22.8.2018, p. 1.

(3) Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho, de 29 de fevereiro de 1968, que fixa o Estatuto dos Funcionários das Comunidades Europeias assim como o Regime Aplicável aos Outros Agentes das Comunidades, e institui medidas especiais temporariamente aplicáveis aos funcionários da Comissão (JO L 56 de 4.3.1968, p. 1).

(4) Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no sector das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO L 201 de 31.7.2002, p. 37).