DECISÃO n.o 20-W-3 DO CONSELHO DE ADMINISTRAÇÃO DA AGÊNCIA EUROPEIA DE CONTROLO DAS PESCAS

de 22 de abril de 2020

que estabelece regras internas em matéria de limitações de determinados direitos dos titulares de dados no que diz respeito ao tratamento de dados pessoais no âmbito do funcionamento da Agência Europeia de Controlo das Pescas

O CONSELHO DE ADMINISTRAÇÃO DA AGÊNCIA EUROPEIA DE CONTROLO DAS PESCAS,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1), e em especial o seu artigo 25.o,

Tendo em conta o Regulamento (UE) 2019/473 do Parlamento Europeu e do Conselho, de 19 de março de 2019, sobre a Agência Europeia de Controlo das Pescas (2) («a Agência»), e em especial o seu artigo 32.o, n.o 2, alínea h),

Tendo consultado a Autoridade Europeia para a Proteção de Dados sobre esta decisão, em conformidade com o artigo 41.o, n.o 2, do Regulamento (UE) 2018/1725,

Considerando o seguinte:

(1) O Regulamento (UE) 2019/473 prevê a Agência Europeia de Controlo das Pescas, cujo objetivo consiste em organizar a coordenação operacional das atividades de controlo e inspeção da pesca exercidas pelos Estados-Membros e auxiliá-los a cooperar por forma a que sejam respeitadas as regras da política comum das pescas a fim de garantir a aplicação efetiva e uniforme dessa política.

(2) Em conformidade com o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, as limitações à aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o desse Regulamento, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 22.o, devem basear-se nas regras internas a adotar pela Agência, nos casos em que estas limitações não possam basear-se em atos normativos adotados com base nos Tratados.

(3) Estas regras internas, incluindo as respetivas disposições sobre a avaliação da necessidade e da proporcionalidade de uma limitação, não devem aplicar-se nos casos em que um ato normativo adotado com base nos Tratados preveja uma limitação dos direitos do titular dos dados.

(4) Sempre que a Agência desempenhe as suas funções relativamente aos direitos do titular dos dados nos termos do Regulamento (UE) 2018/1725, deve ter em conta se são aplicáveis algumas das derrogações previstas nesse regulamento.

(5) No contexto do seu funcionamento administrativo, a Agência pode conduzir inquéritos administrativos e processos disciplinares, levar a cabo atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncias, tratar procedimentos (formais e informais) de assédio, tratar reclamações internas e externas, realizar auditorias internas, levar a cabo investigações, através do encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e realizar investigações em matéria de segurança (informática) interna.

(6) No âmbito das suas atividades operacionais, a Agência recebe relatórios de inspeção dos inspetores da União, conforme previsto no artigo 123.o do Regulamento de Execução (UE) n.o 404/2011 da Comissão (3), nos artigos 18.o, 19.o e 20.o do Regulamento (UE) n.o 1236/2010 do Parlamento Europeu e do Conselho (4) e nos artigos 30.o, 33.o e 34.o do Regulamento (UE) 2019/833 do Parlamento Europeu e do Conselho (5). A Agência recebe igualmente informações e dados dos Estados-Membros no contexto da análise fornecida à Comissão Europeia para a preparação e realização de auditorias no local em países terceiros nos termos do artigo 20.o, n.o 4, alínea c), do Regulamento (CE) n.o 1005/2008 do Conselho (6), tal como estabelecido na Decisão 2009/988/UE da Comissão (7).

(7) A Agência trata várias categorias de dados pessoais, incluindo dados tangíveis (dados «objetivos», como dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego) e/ou dados intangíveis (dados «subjetivos» relacionados com o caso, como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com o âmbito da matéria a que se refere o procedimento ou a atividade ou apresentados nesse âmbito).

(8) A Agência, representada pelo seu diretor-executivo, atua como responsável pelo tratamento dos dados, sem prejuízo de subsequentes delegações dessa função no seio da Agência, a fim de refletir as responsabilidades operacionais no que se refere a operações específicas de tratamento de dados pessoais.

(9) Os dados pessoais são armazenados em segurança num ambiente eletrónico ou em papel, evitando o acesso ou a transferência ilícitos de dados para pessoas que não tenham de os conhecer. Os dados pessoais tratados são conservados apenas durante o tempo necessário e adequado às finalidades do respetivo tratamento, num período especificado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos da Agência.

(10) Estas regras internas devem aplicar-se a todas as operações de tratamento realizadas pela Agência no âmbito de inquéritos administrativos, processos disciplinares, atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, procedimentos de denúncia, procedimentos (formais e informais) relativos a casos de assédio, tratamento de reclamações internas e externas, auditorias internas, investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e investigações em matéria de segurança (informática), levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE) e as atividades operacionais referidas no considerando 6 acima.

(11) Devem aplicar-se a operações de tratamento realizadas antes do início dos procedimentos acima referidos, ao longo dos mesmos e durante a supervisão do seguimento dado aos resultados de tais procedimentos e aquando da implementação das atividades operacionais referidas no considerando 6 acima. Devem ainda abranger a assistência e a cooperação disponibilizadas pela Agência, fora do âmbito das suas investigações administrativas, a autoridades nacionais e a organizações internacionais.

(12) Sempre que tais regras internas se apliquem, a Agência tem de apresentar justificações em que explique o motivo pelo qual as limitações são estritamente necessárias e proporcionadas numa sociedade democrática, e a forma como respeitam a essência dos direitos e liberdades fundamentais.

(13) Neste contexto, compete à Agência respeitar tanto quanto possível, durante os procedimentos acima referidos, os direitos fundamentais dos titulares dos dados, em especial os relacionados com o direito de comunicação de informações, direito de acesso e retificação, direito ao apagamento, limitação do tratamento, direito de comunicação ao titular dos dados de uma violação de dados pessoais ou a confidencialidade da comunicação, conforme estabelecido no Regulamento (UE) 2018/1725.

(14) Contudo, a Agência poderá ser obrigada a limitar a comunicação de informações ao titular dos dados, e outros direitos deste, a fim de proteger, em especial, as suas próprias investigações, as investigações e processos de outras autoridades públicas, bem como os direitos de outras pessoas relacionadas com as suas investigações ou com outros procedimentos.

(15) Assim, a Agência pode limitar a comunicação de informações para proteger a investigação e os direitos e liberdades fundamentais de outros titulares de dados.

(16) A Agência deve verificar regularmente se as condições que justificam a limitação ainda se mantêm e levantar essa limitação em caso negativo.

(17) O responsável pelo tratamento deve informar o encarregado da proteção de dados aquando da prorrogação de uma limitação e durante as respetivas revisões,

ADOTOU A SEGUINTE DECISÃO:

Artigo 1.o Objeto e âmbito 1. A presente decisão estabelece as regras relativas às condições em que a Agência, no âmbito dos seus procedimentos descritos no n.o 2, pode limitar a aplicação dos direitos consagrados nos artigos 14.o a 21.o, 35.o e 36.o do Regulamento (UE) 2018/1725, bem como no artigo 4.o, conforme previsto no artigo 25.o do mesmo regulamento. 2. No âmbito do funcionamento administrativo da Agência, a presente decisão aplica-se às operações de tratamento de dados pessoais realizadas com as seguintes finalidades: realizar inquéritos administrativos, processos disciplinares, atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncia, procedimentos (formais e informais) relativos a casos de assédio, tratar reclamações internas e externas, realizar auditorias internas, investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e investigações em matéria de segurança (informática), levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). 3. No âmbito das atividades operacionais da Agência, a presente decisão aplica-se às operações de tratamento de dados pessoais para efeitos do cumprimento do seu mandato, nomeadamente a receção de relatórios de inspeção nos termos do artigo 123.o do Regulamento de Execução (UE) n.o 404/2011, dos artigos 18.o, 19.o e 20.o do Regulamento (UE) n.o 1236/2010 e dos artigos 30.o, 33.o e 34.o do Regulamento (UE) 2019/833, bem como de informações e dados recebidos dos Estados-Membros no contexto da análise fornecida à Comissão Europeia para a preparação e realização de auditorias no local em países terceiros nos termos do artigo 20.o, n.o 4, alínea c), do Regulamento (CE) n.o 1005/2008, tal como estabelecido na Decisão 2009/988/UE. 4. As categorias de dados em questão consistem em dados tangíveis (dados «objetivos», como dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego) e/ou dados intangíveis (dados «subjetivos» relacionados com o caso, como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com a matéria a que se refere o procedimento ou a atividade, ou apresentados nesse âmbito). 5. Sempre que a Agência desempenhe as suas funções relativamente aos direitos do titular dos dados nos termos do Regulamento (UE) 2018/1725, deve ter em conta se são aplicáveis algumas das derrogações previstas nesse regulamento. 6. Sob reserva das condições estabelecidas na presente decisão, as limitações podem aplicar-se aos seguintes direitos: comunicação de informações aos titulares dos dados, direito de acesso, retificação, apagamento, limitação do tratamento, comunicação de uma violação de dados pessoais ao titular dos dados ou confidencialidade da comunicação.

Artigo 2.o Especificação do responsável pelo tratamento e salvaguardas 1. A Agência deve implementar as seguintes salvaguardas para evitar o abuso ou o acesso ou transferência ilícitos: a) os documentos em papel são mantidos em armários de arquivo seguros e estão acessíveis apenas a membros autorizados do pessoal; b) todos os dados eletrónicos são conservados numa aplicação informática segura, de acordo com as normas de segurança da Agência, bem como em pastas eletrónicas específicas, acessíveis apenas a membros autorizados do pessoal. Os níveis adequados de acesso são concedidos individualmente; c) os sistemas informáticos e as respetivas bases de dados dispõem de mecanismos para verificar a identidade do utilizador no âmbito de um sistema de início de sessão único e estão associados automaticamente à ID e à palavra-passe do utilizador. As contas de utilizador final devem ser únicas, pessoais e intransmissíveis, sendo estritamente proibida a partilha de contas de utilizador. Os registos eletrónicos são mantidos em segurança para salvaguardar a confidencialidade e a privacidade dos dados que contêm; d) todas as pessoas que disponham de acesso aos dados estão sujeitas à obrigação de confidencialidade. 2. O responsável pelas operações de tratamento é a Agência, representada pelo seu diretor-executivo, que pode delegar a função de responsável pelo tratamento. Os titulares dos dados são informados acerca do responsável pelo tratamento delegado por meio dos avisos sobre a proteção de dados ou de registos publicados no sítio Web e/ou na intranet da Agência. 3. O período de conservação dos dados pessoais mencionados no artigo 1.o, n.o 3, não excede o necessário e adequado para os fins a que se destina o tratamento dos dados. Em qualquer caso, o período de conservação não excede o período de conservação indicado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos a que se refere o artigo 5.o, n.o 1. 4. Sempre que a Agência pondere aplicar uma limitação, o risco para os direitos e as liberdades do titular dos dados será avaliado, em especial, face aos riscos para os direitos e liberdades de outros titulares dos dados e ao risco de anular o efeito de investigações ou procedimentos da Agência, nomeadamente através da destruição de provas. Os riscos para os direitos e liberdades do titular dos dados dizem respeito sobretudo, mas não exclusivamente, a riscos para a reputação e a riscos para o direito de defesa e o direito a ser ouvido.

Artigo 3.o Limitações 1. A Agência apenas aplica uma limitação com base num ou mais dos fundamentos enumerados nas alíneas a) a i) n.o 1 do artigo 25.o do Regulamento (UE) 2018/1725. Nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos, na aceção do artigo 31.o do Regulamento (UE) 2018/1725, publicados no seu sítio Web e/ou na intranet para informar os titulares dos dados acerca dos seus direitos no âmbito de um determinado procedimento, a Agência inclui informações relacionadas com a eventual limitação desses direitos. As informações abrangerão os direitos passíveis de ser limitados, bem como os motivos e a potencial duração. 2. Enquanto aplicação específica dos fins descritos no n.o 1 acima, a Agência pode aplicar limitações nas seguintes circunstâncias: a) se o exercício desses direitos e obrigações for limitado pelos serviços da Comissão ou por outras instituições, órgãos, agências e organismos da União habilitados com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725, ou em conformidade com o capítulo IX desse regulamento, ou com os atos constitutivos de outras instituições, órgãos, agências e organismos da União, caso a finalidade dessa limitação possa ser comprometida se a Agência não aplicar uma limitação equivalente relativamente aos mesmos dados pessoais; b) se o exercício desses direitos e obrigações for limitado pelas autoridades habilitadas dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (8), ou ao abrigo de medidas nacionais de transposição do artigo 13.o, n.o 3, do artigo 15.o, n.o 3, ou do artigo 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (9); c) se o exercício desses direitos e obrigações puder comprometer a cooperação da Agência com países terceiros ou organizações internacionais no exercício das suas funções, sempre que existam provas claras de que a cooperação é suscetível de ser comprometida. Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do n.o 1, a Agência consulta os serviços competentes da Comissão, as outras instituições, órgãos, agências e organismos da União ou as autoridades competentes dos Estados-Membros, salvo se para a Agência for claro que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas. 3. Qualquer limitação deve ser necessária e proporcionada face aos riscos para os direitos e liberdades dos titulares dos dados, e respeitar a essência dos direitos e liberdades fundamentais numa sociedade democrática. 4. Se for ponderada a aplicação de uma limitação, é realizado um teste de necessidade e de proporcionalidade baseado nas presentes regras. Este teste é documentado, caso a caso, mediante uma nota de avaliação interna, para efeitos de responsabilização. O registo e, se for caso disso, os documentos que contêm os elementos de facto e de direito subjacentes são inscritos. Estes elementos são colocados à disposição da Autoridade Europeia para a Proteção de Dados, a pedido desta. A Agência adota um ciclo de revisão de seis meses sobre a aplicação de cada limitação desde a sua adoção e aquando do encerramento do inquérito, do procedimento ou da investigação em causa. No âmbito desta revisão periódica, será realizado um teste de necessidade e proporcionalidade para avaliar se continuam a ser aplicáveis os motivos de facto e de direito da limitação. 5. As limitações serão levantadas logo que cessarem as circunstâncias que as justificam. Em especial, é esse o caso quando se considera que o exercício do direito limitado já não anula o efeito da limitação imposta nem afeta negativamente os direitos ou liberdades de outros titulares de dados.

Artigo 4.o Reexame pelo encarregado da proteção de dados 1. A Agência informa, sem demora injustificada, o seu encarregado da proteção de dados sempre que o responsável pelo tratamento limite a aplicação de direitos dos titulares dos dados, ou prorrogue a limitação, em conformidade com a presente decisão. O responsável pelo tratamento concede ao encarregado da proteção de dados acesso ao registo que contém a avaliação da necessidade e proporcionalidade da limitação, e documenta, nesse registo, a data em que informou o encarregado da proteção de dados. 2. O encarregado da proteção de dados pode pedir, por escrito, ao responsável pelo tratamento o reexame da aplicação das limitações. O responsável pelo tratamento informa o encarregado da proteção de dados, por escrito, acerca do resultado do reexame solicitado. 3. O responsável pelo tratamento informa o encarregado da proteção de dados de cada limitação aplicada aos direitos do titular dos dados, aquando do levantamento da limitação.

Artigo 5.o Comunicação de informações ao titular dos dados 1. Em casos devidamente fundamentados, e nas condições definidas na presente decisão, o direito à informação pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e proporcionado: a) realização de inquéritos administrativos e de processos disciplinares. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), do Regulamento (UE) 2018/1725; b) atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; c) procedimentos de denúncia. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; d) procedimentos formais e informais relativos a casos de assédio. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; e) tratamento de reclamações internas e externas. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), do Regulamento (UE) 2018/1725; f) auditorias internas. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), f), g) e h), do Regulamento (UE) 2018/1725; g) investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725; h) investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), g) e h), do Regulamento (UE) 2018/1725; i) o intercâmbio de informações no âmbito das atividades operacionais da Agência para cumprir o seu mandato, em especial a receção de relatórios de inspeção nos termos do artigo 123.o do Regulamento de Execução (UE) n.o 404/2011, dos artigos 18.o, 19.o e 20.o do Regulamento (UE) n.o 1236/2010 e dos artigos 30.o, 33.o e 34.o do Regulamento (UE) 2019/833, bem como de informações e dados recebidos dos Estados-Membros no contexto da análise fornecida à Comissão Europeia para a preparação e realização de auditorias no local em países terceiros nos termos do artigo 20.o, n.o 4, alínea c), do Regulamento (CE) n.o 1005/2008. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), g) e h), do Regulamento (UE) 2018/1725. 2. Sem prejuízo do disposto no n.o 3, quando tal for proporcionado, a Agência também informará individualmente, por escrito e sem demora injustificada, todos os titulares dos dados que sejam considerados pessoas afetadas pela operação de tratamento em causa acerca dos seus direitos no que diz respeito a limitações presentes e futuras. 3. Quando a Agência aplica, total ou parcialmente, a comunicação de informações aos titulares dos dados referidos no n.o 2, regista os motivos da limitação e o fundamento jurídico de acordo com o artigo 3.o da presente decisão, incluindo uma avaliação da necessidade e da proporcionalidade da limitação. 4. A limitação a que se refere o n.o 3 continuar a aplicar-se enquanto se mantiverem aplicáveis as razões que a justificam. Quando as razões para a limitação deixarem de ser aplicáveis, a Agência informa o titular dos dados sobre os principais motivos em que se baseia a aplicação de uma limitação. A Agência informa, simultaneamente, o titular dos dados do direito de, a qualquer momento, apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou intentar uma ação judicial no Tribunal de Justiça da União Europeia.

Artigo 6.o Direito de acesso do titular dos dados 1. Em casos devidamente fundamentados, e nas condições definidas na presente decisão, o direito de acesso pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e proporcionado: a) realização de inquéritos administrativos e de processos disciplinares. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), do Regulamento (UE) 2018/1725; b) atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; c) procedimentos de denúncia. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; d) procedimentos formais e informais relativos a casos de assédio. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; e) tratamento de reclamações internas e externas. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), do Regulamento (UE) 2018/1725; f) auditorias internas. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), f), g) e h), do Regulamento (UE) 2018/1725; g) investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725; h) investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), g) e h), do Regulamento (UE) 2018/1725; i) o intercâmbio de informações no âmbito das atividades operacionais da Agência para cumprir o seu mandato, em especial a receção de relatórios de inspeção nos termos do artigo 123.o do Regulamento de Execução (UE) n.o 404/2011, dos artigos 18.o, 19.o e 20.o do Regulamento (UE) n.o 1236/2010 e dos artigos 30.o, 33.o e 34.o do Regulamento (UE) 2019/833, bem como de informações e dados recebidos dos Estados-Membros no contexto da análise fornecida à Comissão Europeia para a preparação e realização de auditorias no local em países terceiros nos termos do artigo 20.o, n.o 4, alínea c), do Regulamento (CE) n.o 1005/2008. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), g) e h), do Regulamento (UE) 2018/1725. Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no contexto de um ou mais casos específicos ou de uma determinada operação de tratamento, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, a Agência limita a sua apreciação do pedido unicamente a esses dados pessoais. 2. Se a Agência limitar, no todo ou em parte, o direito de acesso previsto no artigo 17.o do Regulamento (UE) 2018/1725, deve tomar as seguintes medidas: a) informar o titular dos dados em causa, na sua resposta ao pedido, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia; b) registar, numa nota de avaliação interna, os motivos da limitação, incluindo uma avaliação da necessidade e proporcionalidade da limitação e da respetiva duração. A comunicação das informações a que se refere a alínea a) pode ser adiada, omitida ou recusada caso se presuma que anule o efeito da limitação, em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725.

Artigo 7.o Direito de retificação, apagamento e limitação do tratamento 1. Em casos devidamente fundamentados, e cumprindo as condições definidas na presente decisão, o direito à retificação, apagamento e limitação pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e proporcionado: a) realização de inquéritos administrativos e de processos disciplinares. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), do Regulamento (UE) 2018/1725; b) atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; c) procedimentos de denúncia. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; d) procedimentos formais e informais relativos a casos de assédio. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; e) tratamento de reclamações internas e externas. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), do Regulamento (UE) 2018/1725; f) auditorias internas. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), f), g) e h), do Regulamento (UE) 2018/1725; g) investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725; h) investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), g) e h), do Regulamento (UE) 2018/1725; i) o intercâmbio de informações no âmbito das atividades operacionais da Agência para cumprir o seu mandato, em especial a receção de relatórios de inspeção nos termos do artigo 123.o do Regulamento de Execução (UE) n.o 404/2011, dos artigos 18.o, 19.o e 20.o do Regulamento (UE) n.o 1236/2010 e dos artigos 30.o, 33.o e 34.o do Regulamento (UE) 2019/833, bem como de informações e dados recebidos dos Estados-Membros no contexto da análise fornecida à Comissão Europeia para a preparação e realização de auditorias no local em países terceiros nos termos do artigo 20.o, n.o 4, alínea c), do Regulamento (CE) n.o 1005/2008. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), g) e h), do Regulamento (UE) 2018/1725. 2. Se a Agência limitar, no todo ou em parte, a aplicação do direito de retificação, apagamento e limitação do tratamento a que se referem os artigos 18.o, 19.o, n.o 1, e 20.o, n.o 1, do Regulamento (UE) 2018/1725, toma as medidas indicadas no artigo 6.o, n.o 2, da presente decisão e procede à inscrição do registo em conformidade com o artigo 6.o, n.o 3, do mesmo regulamento.

Artigo 8.o Comunicação de uma violação de dados pessoais ao titular dos dados e confidencialidade das comunicações eletrónicas 1. Em casos devidamente fundamentados, e nas condições definidas na presente decisão, o direito à comunicação de uma violação de dados pessoais pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e proporcionado: a) realização de inquéritos administrativos e de processos disciplinares. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), do Regulamento (UE) 2018/1725; b) atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; c) procedimentos de denúncia. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; d) procedimentos formais e informais relativos a casos de assédio. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; e) tratamento de reclamações internas e externas. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), do Regulamento (UE) 2018/1725; f) auditorias internas. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), f), g) e h), do Regulamento (UE) 2018/1725; g) investigações realizadas pelo encarregado da proteção de dados, em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725; h) investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), g) e h), do Regulamento (UE) 2018/1725; i) o intercâmbio de informações no âmbito das atividades operacionais da Agência para cumprir o seu mandato, em especial a receção de relatórios de inspeção nos termos do artigo 123.o do Regulamento de Execução (UE) n.o 404/2011, dos artigos 18.o, 19.o e 20.o do Regulamento (UE) n.o 1236/2010 e dos artigos 30.o, 33.o e 34.o do Regulamento (UE) 2019/833, bem como de informações e dados recebidos dos Estados-Membros no contexto da análise fornecida à Comissão Europeia para a preparação e realização de auditorias no local em países terceiros nos termos do artigo 20.o, n.o 4, alínea c), do Regulamento (CE) n.o 1005/2008. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), g) e h), do Regulamento (UE) 2018/1725. 2. Em casos devidamente fundamentados, e cumprindo as condições definidas na presente decisão, o direito à confidencialidade das comunicações eletrónicas pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e proporcionado: a) realização de inquéritos administrativos e de processos disciplinares; as limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), do Regulamento (UE) 2018/1725; b) atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; as limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; c) procedimentos de denúncia. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; d) procedimentos formais e informais relativos a casos de assédio. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), d), f) e h), do Regulamento (UE) 2018/1725; e) tratamento de reclamações internas e externas. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), do Regulamento (UE) 2018/1725; f) investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, da CERT-UE). As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), g) e h), do Regulamento (UE) 2018/1725; g) o intercâmbio de informações no âmbito das atividades operacionais da Agência para cumprir o seu mandato, em especial a receção de relatórios de inspeção nos termos do artigo 123.o do Regulamento de Execução (UE) n.o 404/2011, bem como de informações e dados recebidos dos Estados-Membros no contexto da análise fornecida à Comissão Europeia para a preparação e realização de auditorias no local em países terceiros nos termos do artigo 20.o, n.o 4, alíneas c) e d), do Regulamento (CE) n.o 1005/2008. As limitações podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), g) e h), do Regulamento (UE) 2018/1725. 3. Se a Agência limitar a comunicação de uma violação de dados pessoais ao titular de dados ou a confidencialidade das comunicações eletrónicas a que se referem os artigos 35.o e 36.o do Regulamento (UE) 2018/1725, documenta e regista os motivos para a limitação, em conformidade com o artigo 5.o, n.o 3, da presente decisão. Aplica-se o artigo 5.o, n.o 4, da presente decisão.

Artigo 9.o Entrada em vigor A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Vigo, em 22 de abril de 2020. Presidente do Conselho de Administração Reinhard PRIEBE

(1) JO L 295 de 21.11.2018, p. 39.

(2) JO L 83 de 25.3.2019, p. 18.

(3) Regulamento de Execução (UE) n.o 404/2011 da Comissão, de 8 de abril de 2011, que estabelece as regras de execução do Regulamento (CE) n.o 1224/2009 do Conselho que institui um regime comunitário de controlo a fim de assegurar o cumprimento das regras da Política Comum das Pescas (JO L 112 de 30.4.2011, p. 1).

(4) Regulamento (UE) n.o 1236/2010 do Parlamento Europeu e do Conselho, de 15 de dezembro de 2010, que estabelece um regime de controlo e coerção aplicável na área da Convenção sobre a Futura Cooperação Multilateral nas Pescas do Atlântico Nordeste e que revoga o Regulamento (CE) n.o 2791/1999 do Conselho (JO L 348 de 31.12.2010, p. 17).

(5) Regulamento (UE) 2019/833 do Parlamento Europeu e do Conselho, de 20 de maio de 2019, que estabelece medidas de conservação e de execução aplicáveis na Área de Regulamentação da Organização das Pescarias do Noroeste do Atlântico, altera o Regulamento (UE) 2016/1627 e que revoga os Regulamentos (CE) n.o 2115/2005 e (CE) n.o 1386/2007 do Conselho (JO L 141 de 28.5.2019, p. 1).

(6) Regulamento (UE) n.o 1005/2008 do Conselho, de 29 de setembro de 2008, que estabelece um regime comunitário para prevenir, impedir e eliminar a pesca ilegal, não declarada e não regulamentada, que altera os Regulamentos (CEE) n.o 2847/93, (CE) n.o 1936/2001 e (CE) n.o 601/2004, e que revoga os Regulamentos (CE) n.o 1093/94 e (CE) n.o 1447/1999 (JO L 286 de 29.10.2008, p. 1).

(7) Decisão da Comissão, de 18 de dezembro de 2009, que designa a Agência Comunitária de Controlo das Pescas como organismo responsável por determinadas tarefas nos termos do Regulamento (CE) n.o 1005/2008 do Conselho (JO L 338 de 19.12.2009, p. 104).

(8) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(9) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).