DECISÃO (UE) 2020/969 DA COMISSÃO

de 3 de julho de 2020

que estabelece regras de execução relativas ao responsável pela proteção de dados, à limitação dos direitos dos titulares dos dados e à aplicação do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, e que revoga a Decisão 2008/597/CE da Comissão

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 249.o, n.o 1,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1), nomeadamente o seu artigo 45.o, n.o 3,

Considerando o seguinte:

(1) A fim de assegurar o correto funcionamento do serviço do responsável pela proteção de dados da Comissão («RPD»), é necessário determinar em pormenor as funções, deveres e competências do RPDEPD.

(2) O Regulamento (UE) 2018/1725 atribui responsabilidades claras aos responsáveis pelo tratamento de dados, nomeadamente face aos titulares dos dados. A fim de garantir que a Comissão, na sua qualidade de responsável pelo tratamento, execute de forma uniforme e transparente as suas responsabilidades, devem ser estabelecidas regras sobre a forma de identificar as pessoas que no serviço ou nos serviços da Comissão são responsáveis por uma operação de tratamento realizada em nome da Comissão. A este respeito, é conveniente introduzir a noção de responsável delegado pelo tratamento, a fim de indicar com precisão as responsabilidades das entidades da Comissão, em especial no que diz respeito às decisões individuais sobre os direitos dos titulares dos dados. Além disso, é conveniente introduzir a noção de responsável operacional pelo tratamento que, sob a direção do responsável delegado pelo tratamento, é designado para assegurar o cumprimento na prática e para tratar os pedidos dos titulares dos dados relativamente a uma dada operação de tratamento. A nomeação de um responsável operacional pelo tratamento não impede a utilização, na prática, de um ponto de contacto, por exemplo sob a forma de uma caixa de correio funcional a disponibilizar para os pedidos dos titulares dos dados.

(3) Em certos casos, vários serviços da Comissão podem realizar conjuntamente uma operação de tratamento para cumprir a sua missão. Nesses casos, esses serviços devem garantir a existência de acordos internos que definam, de forma transparente, as respetivas responsabilidades nos termos do Regulamento (UE) 2018/1725, em especial as responsabilidades face aos titulares dos dados, bem como em matéria de notificação à Autoridade Europeia para a Proteção de Dados («AEPD») e da conservação de registos.

(4) A fim de facilitar o exercício das responsabilidades dos responsáveis delegados pelo tratamento, cada serviço da Comissão deve nomear um coordenador da proteção de dados («CPD»). O CPD deve participar na rede de coordenadores da proteção de dados da Comissão, a fim de assegurar a aplicação e a interpretação coerentes do Regulamento (UE) 2018/1725 na Comissão, e de debater assuntos de interesse comum.

(5) Tendo em vista a função do RPD de repartir responsabilidades nos termos do artigo 45.o, n.o 1, alínea b), do Regulamento (UE) 2018/1725, o RPD deve emitir orientações adicionais sobre as funções do CPD.

(6) A Comissão trata várias categorias de dados pessoais para efeitos das atividades de controlo, investigação, auditoria e consulta do RPD. Em especial, a Comissão trata dados de identificação, dados de contacto, dados profissionais e dados relativos ao papel desempenhado num processo. Esses dados são conservados durante cinco anos após o encerramento das atividades, em conformidade com a lista comum de conservação de dossiês da Comissão Europeia (2).

(7) Em determinadas circunstâncias, é necessário conciliar os direitos dos titulares de dados ao abrigo do Regulamento (UE) 2018/1725 com a necessidade da Comissão de realizar as funções de controlo, investigação, auditoria ou consulta do RPD e com a necessidade de confidencialidade do intercâmbio de informações com outros serviços da Comissão, bem como com o pleno respeito dos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725 confere à Comissão a possibilidade de limitar a aplicação dos artigos 14.o a 17.°, 19.°, 20.° e 35.°, bem como a aplicação do princípio da transparência previsto no artigo 4.o, n.o 1, alínea a), na medida em que as respetivas disposições artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 17.°, 19.° e 20.° do referido regulamento.

(8) A fim de garantir a confidencialidade e a eficácia das funções de controlo, investigação, auditoria ou de consulta do RPD no respeito das normas de proteção dos dados pessoais nos termos do Regulamento (UE) 2018/1725, é necessário adotar normas internas ao abrigo das quais o RPD pode limitar os direitos dos titulares dos dados, em conformidade com o artigo 25.o do regulamento citado.

(9) As regras internas devem aplicar-se a todas as operações de tratamento de dados realizadas pela Comissão no exercício das funções de controlo, investigação, auditoria ou consulta do RPD. Essas regras deverão aplicar-se a operações de tratamento realizadas antes da abertura de uma investigação ou auditoria e no decurso do controlo do seguimento dos seus resultados. Devem aplicar-se igualmente às operações de tratamento que fazem parte das funções relacionadas com a atividade de investigação ou de auditoria do RPD, como os processos de reclamação conduzidos por este. Também devem aplicar-se ao controlo do RPD e às consultas do RPD, quando este presta assistência e cooperação aos serviços da Comissão fora das suas atividades de investigação e auditoria administrativas.

(10) A fim de dar cumprimento aos artigos 14.o, 15.° e 16.° do Regulamento (UE) 2018/1725, a Comissão deve informar todos as pessoas das funções de controlo, investigação, auditoria ou consulta do RPD que impliquem o tratamento dos seus dados pessoais, bem como dos seus direitos por força do Regulamento (UE) 2018/1725. A Comissão deve informar essas pessoas de modo transparente e coerente, sob a forma de avisos sobre a proteção de dados publicados no sítio Web da Comissão, assim como informar todos os titulares de dados afetados por uma atividade de controlo, investigação, auditoria ou consulta do RPD.

(11) Em determinadas circunstâncias, a Comissão pode ter de limitar a prestação de informações aos titulares dos dados e o exercício de outros direitos dos titulares dos dados. Pode fazê-lo a fim de proteger as funções de controlo, investigação, auditoria ou consulta do RPD, as investigações e procedimentos relacionados de outros serviços da Comissão, os instrumentos e métodos de investigação e auditoria do RPD, bem como os direitos de outras pessoas relacionados com as funções do RPD.

(12) Em alguns casos, prestar informações específicas aos titulares dos dados ou revelar a existência de uma atividade de controlo, de investigação, de auditoria ou de consulta do RPD pode tornar impossível ou prejudicar gravemente a consecução do objetivo da operação de tratamento e a capacidade do RPD para exercer essa atividade.

(13) Por outro lado, a Comissão deve proteger a identidade dos informadores, que não devem sofrer repercussões negativas em consequência da sua cooperação com o RPD.

(14) Por estas razões, a Comissão pode ter de invocar os motivos das limitações a que se refere o artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725 para os aplicar às operações de tratamento de dados efetuadas no âmbito das funções de controlo, investigação, auditoria ou consulta do RPD previstas no artigo 45.o do mesmo regulamento.

(15) Acresce que, a fim de manter uma cooperação eficaz, a Comissão pode ter de aplicar limitações aos direitos dos titulares de dados, a fim de proteger informações que contenham dados pessoais provenientes de outros serviços da Comissão, de instituições ou de organismos da União. Para o efeito, o RPD deverá consultar esses serviços, instituições ou organismos sobre os motivos relevantes e sobre a necessidade e a proporcionalidade das referidas limitações.

(16) No âmbito das funções de controlo, investigação, auditoria ou consulta do RPD, este procede ao intercâmbio de informações, incluindo dados pessoais, com outros serviços da Comissão. Por conseguinte, todos os serviços da Comissão que tratam dados pessoais, que por sua vez são tratados pelo RPD no exercício das suas funções, devem aplicar as regras estabelecidas na presente decisão com vista a proteger as operações de tratamento efetuadas pelo RPD. Em tais circunstâncias, os serviços da Comissão envolvidos devem, por conseguinte, consultar o RPD sobre os motivos subjacentes às limitações, bem como sobre a necessidade e proporcionalidade destas, a fim de assegurar a sua aplicação coerente.

(17) O RPD e, se for caso disso, outros serviços da Comissão, devem lidar com todas as limitações de forma transparente e introduzir os pedidos de limitação no sistema de registo correspondente.

(18) Nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, os responsáveis pelo tratamento podem adiar ou omitir a prestação de informação ao titular de dados sobre os motivos para a aplicação de uma limitação, se tal comprometer de algum modo a finalidade da limitação. Em particular, no caso de ser aplicada uma limitação dos direitos tal como prevista nos artigos 16.o e 35.o, a notificação de tal limitação seria suscetível de comprometer a finalidade desta limitação. A fim de garantir que o direito do titular dos dados a ser informado em conformidade com os artigos 16.o e 35.o do Regulamento (UE) 2018/1725 só é limitado enquanto existirem os motivos do adiamento, a Comissão deve reexaminar regularmente a sua posição.

(19) Sempre que seja aplicada uma limitação de outros direitos dos titulares de dados, o RPD deve analisar, caso a caso, se a comunicação da limitação comprometeria a sua finalidade.

(20) O RPD deve proceder a uma análise independente da aplicação das limitações com base na presente decisão por outros serviços da Comissão, com vista a assegurar o cumprimento da presente decisão.

(21) Qualquer limitação aplicada com base na presente decisão deve ser necessária e proporcionada, tendo em conta os riscos para os direitos e liberdades dos titulares dos dados.

(22) A Autoridade Europeia para a Proteção de Dados foi informada e consultada nos termos do artigo 41.o, n.o s 1 e 2, do Regulamento (UE) 2018/1725 e emitiu um parecer em 16 de setembro de 2019.

(23) A Decisão 2008/597/CE da Comissão (3) estabelece regras de execução relativas ao responsável pela proteção de dados, nos termos do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (4). O Regulamento (UE) 2018/1725 revogou o Regulamento (CE) n.o 45/2001, com efeitos a partir de 11 de dezembro de 2019. A fim de assegurar que apenas um conjunto de regras de execução é aplicável ao responsável pela proteção de dados, a Decisão 2008/597/CE deve igualmente ser revogada,

ADOTOU A PRESENTE DECISÃO:

CAPÍTULO 1

DISPOSIÇÕES GERAIS

Artigo 1.o Objeto e âmbito de aplicação 1. A presente decisão estabelece regras e procedimentos para a aplicação do Regulamento (UE) 2018/1725 pela Comissão e estabelece regras de execução relativas ao responsável pela proteção de dados da Comissão («RPD»). 2. A presente decisão estabelece igualmente as regras a seguir pela Comissão, no âmbito das funções de controlo, investigação, auditoria ou consulta do RPD, para informar os titulares dos dados sobre o tratamento dos seus dados pessoais, em conformidade com os artigos 14.o, 15.° e 16.° do Regulamento (UE) 2018/1725. 3. A presente decisão estabelece igualmente as condições em que a Comissão, relativamente às funções de controlo, investigação, auditoria ou consulta do RPD, pode limitar a aplicação dos artigos 4.o, 14.° a 17.°, 19.°, 20.° e 35.° do Regulamento (UE) 2018/1725, em conformidade com o artigo 25.o, n.o 1, alíneas c), g) e h), do referido regulamento. 4. A presente decisão é aplicável ao tratamento de dados pessoais pela Comissão para efeitos das funções do RPD a que se refere o artigo 45.o do Regulamento (UE) 2018/1725, nomeadamente as funções de controlo, investigação, auditoria ou consulta do RPD, ou em relação com essas funções.

Artigo 2.o Controlo Para efeitos da presente decisão, a Comissão é considerada a responsável pelo tratamento na aceção do artigo 3.o, n.o 8, do Regulamento (UE) 2018/1725.

Artigo 3.o Definições Para efeitos da presente decisão, entende-se por: (1) «Responsável pela proteção de dados» (RPD), a pessoa que a Comissão designou nos termos do artigo 43.o do Regulamento (UE) 2018/1725; (2) «Funções do RPD», as funções do RPD a que se refere o artigo 45.o do Regulamento (UE) 2018/1725, em particular as funções de controlo, investigação, auditoria e consulta do RPD; (3) «Coordenador da proteção de dados» (CPD), o membro do pessoal da Comissão que uma direção-geral ou serviço da Comissão designou para aconselhar e assistir essa direção-geral ou serviço em todos os aspetos da proteção de dados pessoais; (4) «Responsável delegado pelo tratamento», o diretor da direção-geral, serviço ou gabinete que realiza uma operação de tratamento em nome da Comissão, em cumprimento da missão dessa direção-geral, serviço ou gabinete; (5) «Responsável operacional pelo tratamento», o membro do pessoal da Comissão, de nível intermédio ou superior de direção, designado pelo responsável delegado pelo tratamento para assegurar a conservação de registos relacionados com a operação de tratamento e para servir de ponto de contacto principal para os titulares de dados no que respeita a essa operação de tratamento; (6) «Acordo interno», qualquer acordo entre duas ou mais direções-gerais ou serviços para definir as respetivas responsabilidades e coordenar a conservação de um registo de tratamento relativo a uma operação de tratamento que executam conjuntamente ou em que uma ou mais direções-gerais ou serviços executam uma parte da operação de tratamento de dados efetuada pelo responsável delegado; (7) «Informador», uma pessoa que alerta o RPD de uma alegada violação das disposições do Regulamento (UE) 2018/1725, ou que solicita que o RPD investigue aspetos e ocorrências diretamente relacionados com as suas funções, e que essa pessoa expôs ao RPD.

CAPÍTULO 2

RESPONSÁVEL PELA PROTEÇÃO DE DADOS E COORDENADOR DA PROTEÇÃO DE DADOS

Artigo 4.o Designação e posição O RPD é selecionado de entre o pessoal da Comissão, com base nas suas qualidades profissionais, incluindo um sólido conhecimento dos serviços da Comissão, da sua estrutura e das suas regras e procedimentos administrativos.

Artigo 5.o Funções e deveres 1. O RPD deve contribuir para a criação de uma cultura de proteção dos dados pessoais no âmbito da Comissão, com base na avaliação dos riscos e na responsabilização. 2. O RPD controla a aplicação do Regulamento (UE) 2018/1725 na Comissão, nomeadamente através do estabelecimento e da execução de um programa de trabalho anual em matéria de inspeções e auditorias. 3. O RPD organiza e preside a reuniões periódicas dos CPD. 4. O RPD conserva os registos da Comissão sobre as atividades de tratamento num registo central e torna-o acessível ao público. O RPD deve igualmente conservar um registo interno da Comissão de violações de dados pessoais, na aceção do artigo 3.o, n.o 16, do Regulamento (UE) 2018/1725. 5. No exercício das suas funções, o RPD coopera com os responsáveis pela proteção de dados designados pelas outras instituições e organismos da União. 6. O RPD deve ser considerado o responsável delegado pelo tratamento para efeitos de decisões individuais relativas aos direitos dos titulares de dados ao abrigo do Regulamento (UE) 2018/1725 no que se refere às operações de tratamento de dados do RPD.

Artigo 6.o Competências No desempenho das suas funções, o RPD: a) Tem acesso, se necessário para o exercício das suas funções, aos dados sujeitos a operações de tratamento e a todos os gabinetes, instalações de tratamento de dados e suportes informáticos; b) Pode pedir pareceres jurídicos ao Serviço Jurídico da Comissão; c) Pode, em caso de conflito entre o RPD e o responsável delegado pelo tratamento, o responsável operacional pelo tratamento ou o subcontratante no que respeita à interpretação ou aplicação do Regulamento (UE) 2018/1725, informar o responsável delegado pelo tratamento competente e o secretário-geral; d) Pode atribuir processos às direções-gerais ou serviços da Comissão envolvidos, para um seguimento adequado; e) Pode realizar investigações mediante pedido, ou por sua própria iniciativa, sobre questões e ocorrências diretamente relacionadas com as funções do RPD, em conformidade com o procedimento estabelecido no artigo 11.o; f) Pode, ao formular recomendações e prestar aconselhamento: i) solicitar ao responsável delegado pelo tratamento ou ao subcontratante que aceda ao pedido de um titular de dados no exercício dos seus direitos, nos termos do Regulamento (UE) 2018/1725, ii) dirigir advertências ao responsável delegado pelo tratamento ou ao subcontratante quando uma operação de tratamento infringe disposições do Regulamento (UE) 2018/1725 e instá-los a assegurar a conformidade das operações de tratamento, se for caso disso, de uma forma específica e dentro de um prazo estabelecido, iii) solicitar ao responsável delegado pelo tratamento ou ao subcontratante que suspenda os fluxos de dados para um destinatário num Estado-Membro, para um país terceiro ou para uma organização internacional, iv) solicitar ao responsável delegado pelo tratamento ou ao subcontratante que apresente um relatório ao RPD, dentro de um prazo estabelecido, sobre o seguimento dado à recomendação ou ao aconselhamento do RPD; g) Pode levar ao conhecimento do secretário-geral qualquer incumprimento por parte de um responsável delegado pelo tratamento, de um responsável operacional pelo tratamento ou de um subcontratante, das medidas tomadas por força da alínea f) do presente artigo; h) É responsável pelas decisões iniciais sobre os pedidos de acesso a documentos na posse do seu serviço nos termos do Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho (5).

Artigo 7.o Coordenadores da proteção de dados 1. O responsável delegado pelo tratamento nomeia um CPD e, se for caso disso, um ou mais CPD adjuntos na direção-geral ou serviço sob a sua responsabilidade. Dois ou mais responsáveis delegados pelo tratamento podem, por motivos de coerência ou eficiência, decidir nomear um CPD ou CPD adjunto comum, ou partilhar os serviços de um CPD ou de um CPD adjunto já nomeado. Os responsáveis delegados pelo tratamento em causa registam o seu acordo neste sentido por escrito. 2. O CPD nomeado por uma direção-geral ou serviço é igualmente competente para o gabinete responsável por essa direção-geral ou serviço. O CPD nomeado para o secretariado-geral é competente para o gabinete do presidente, bem como para os gabinetes para os quais o secretariado-geral é o único serviço de apoio. Sempre que um gabinete seja responsável por várias direções-gerais ou serviços, os responsáveis delegados pelo tratamento decidem qual dos seus respetivos CPD serão competentes para esse gabinete. 3. O RPD, o pessoal da direção-geral ou do serviço relevante, bem como do gabinete relevante devem ser informados sempre que seja nomeado um novo CPD. Os CPD recém-nomeados devem concluir a formação para adquirir as competências necessárias à função de CPD no prazo de seis meses a contar da sua nomeação. Um CPD que tenha anteriormente ocupado um lugar de CPD noutra direção-geral ou serviço ou tenha sido membro do pessoal do RPD nos dois anos anteriores à sua nomeação como CPD está isento da obrigação de formação. 4. Os responsáveis delegados pelo tratamento devem estabelecer as disposições adequadas para garantir que o CPD está envolvido de forma adequada e atempada em todas as questões relacionadas com a proteção de dados na sua direção-geral ou serviço e que os pareceres emitidos pelo CPD são prontamente levados ao conhecimento do responsável delegado pelo tratamento a pedido do CPD. 5. Os CPD devem ser escolhidos com base nos seus conhecimentos e experiência do funcionamento da respetiva direção-geral ou serviço, na motivação para a função, nas competências relacionadas com a proteção de dados, na compreensão dos princípios dos sistemas de informação e nas capacidades de comunicação. 6. A função de CPD pode ser combinada com outras funções. O responsável delegado pelo tratamento assegura que essas funções são compatíveis com a função de CPD. 7. A função de CPD deve fazer parte da descrição de funções de cada membro do pessoal nomeado como CPD. A referência às suas responsabilidades e realizações será feita no relatório de avaliação anual. 8. O CPD deve atuar como ponto de contacto entre o responsável delegado pelo tratamento, o responsável operacional pelo tratamento, o subcontratante e o RPD. 9. Os CPD têm o direito de obter quaisquer informações na sua direção-geral ou serviço, na medida em que tal seja necessário para o desempenho das funções de CPD. Os CPD só têm acesso a dados pessoais se estes forem necessários ao exercício das suas funções. 10. O CPD deve conservar registos e fornecer estatísticas anonimizadas dos pedidos dos titulares de dados à direção-geral, ao serviço ou ao gabinete, especificando o número de pedidos e o número de pedidos rejeitados, total ou parcialmente. O RPD especifica as categorias de pedidos relativamente os quais são elaboradas estatísticas. O RPD pode especificar quais os pormenores adicionais que devem ser fornecidos. O CPD deve manter estatísticas anonimizadas das violações de dados pessoais geridas pela direção-geral, serviço ou gabinete, especificando o número total de violações de dados pessoais, o número de violações de dados pessoais notificadas à AEPD e o número de violações de dados pessoais comunicadas aos titulares dos dados. 11. O CPD deve sensibilizar o pessoal da sua DG ou serviço para as questões relativas à proteção de dados e prestar aconselhamento e assistência aos responsáveis delegados pelo tratamento e aos responsáveis operacionais pelo tratamento no cumprimento das suas obrigações, nomeadamente no que diz respeito: a) À aplicação dos princípios gerais do Regulamento (UE) 2018/1725; b) À documentação relativa às operações de tratamento; c) À apresentação ao RPD dos registos das operações de tratamento dos responsáveis delegados pelo tratamento, por força do artigo 10.o; d) À elaboração de declarações de privacidade. 12. Os CPD participam nas reuniões e, se necessário, em grupos de trabalho dos CPD. 13. O RPD emite orientações adicionais sobre as responsabilidades e as funções do CPD.

CAPÍTULO 3

RESPONSÁVEIS PELO TRATAMENTO

Artigo 8.o Responsáveis delegados pelo tratamento e responsáveis operacionais pelo tratamento 1. Os responsáveis delegados pelo tratamento atuam em nome da Comissão como responsáveis pelo tratamento para efeitos do Regulamento (UE) 2018/1725. 2. Os responsáveis delegados pelo tratamento e os responsáveis operacionais pelo tratamento: a) Podem consultar o RPD, através do CPD, sobre a conformidade das operações de tratamento, em especial se existirem dúvidas quanto a essa conformidade; b) Informam o RPD, através do CPD, sobre o tratamento de todos os pedidos recebidos de um titular de dados com vista ao exercício dos seus direitos. 3. O responsável delegado pelo tratamento: a) Designa um responsável operacional pelo tratamento para assistir o responsável delegado pelo tratamento no sentido de assegurar o cumprimento do Regulamento (UE) 2018/1725, em especial face aos titulares de dados; b) Garante a existência de acordos internos com outras direções-gerais ou serviços, nos casos em que o responsável delegado pelo tratamento realiza operações de tratamento em conjunto com essas direções-gerais ou serviços ou quando essas direções-gerais ou serviços realizam uma parte da operação de tratamento de dados efetuada pelo responsável delegado pelo tratamento. Os acordos referidos no primeiro parágrafo devem estabelecer as respetivas responsabilidades no cumprimento das suas obrigações em matéria de proteção de dados. Em especial, os referidos acordos devem incluir a identificação do responsável delegado pelo tratamento que determina os meios e finalidades da operação de tratamento de dados, bem como a do responsável operacional pelo tratamento e devem indicar, se for caso disso, a pessoa e/ou entidades que ajudam o responsável operacional pelo tratamento, designadamente a recolher informações em caso de violação de dados ou a dar cumprimento aos direitos dos titulares de dados. 4. O responsável operacional pelo tratamento: a) Recebe e trata todos os pedidos de titulares de dados; b) Notifica a Autoridade Europeia para a Proteção de Dados (AEPD) em caso de violação de dados pessoais; c) Informa o CPD e o RPD em caso de violações de dados pessoais e notifica o titular dos dados, se for caso disso; d) Assegura que o CPD é informado de todas as questões relacionadas com a proteção de dados, em particular os pedidos de titulares de dados; e) Realiza qualquer outra tarefa no âmbito da presente decisão, a pedido do responsável delegado pelo tratamento.

CAPÍTULO 4

OUTRAS OBRIGAÇÕES E PROCEDIMENTOS

Artigo 9.o Atividade de informação O responsável delegado pelo tratamento, em cooperação com o CPD, informa o RPD quando consulta ou informa a AEPD, em conformidade com o Regulamento (UE) 2018/1725, nomeadamente nos termos dos artigos 40.o e 41.° do referido regulamento. Além disso, o responsável delegado pelo tratamento, o responsável operacional pelo tratamento ou o CPD informam o RPD de quaisquer outras interações diretas com a AEPD relacionadas com a aplicação do Regulamento (UE) 2018/1725.

Artigo 10.o Registo 1. O RPD deve assegurar que o registo das operações de tratamento da Comissão é acessível através do sítio Web do RPD na Intranet da Comissão e através do sítio Web do RPD no sítio Web Europa. 2. Os responsáveis delegados pelo tratamento comunicam os registos das suas operações de tratamento, através do seu CPD, ao RPD, utilizando o sistema de notificação em linha da Comissão, acessível através do sítio Web do RPD na Intranet da Comissão.

Artigo 11.o Procedimento de investigação 1. Os pedidos de investigação referidos no artigo 6.o, alínea e), devem ser apresentados por escrito ao RPD. No prazo de 15 dias úteis a contar da receção do pedido, o RPD envia um aviso de receção à pessoa que solicitou a investigação e verifica se o pedido deve ser tratado como confidencial, a fim de garantir a confidencialidade do pedido, a menos que os titulares dos dados em causa deem o seu consentimento inequívoco para que o pedido seja tratado de outro modo. Em caso de abuso manifesto do direito de apresentar um pedido de investigação, o RPD não é obrigado a responder ao requerente. 2. O RPD deve solicitar uma declaração escrita sobre o assunto ao responsável delegado pelo tratamento a quem compete a operação de tratamento de dados em questão. O responsável delegado pelo tratamento deve responder ao RPD no prazo de 15 dias úteis. O RPD pode solicitar informações adicionais ao responsável delegado pelo tratamento, ao subcontratante ou a outras partes no prazo de 15 dias úteis. 3. O RPD deve apresentar os resultados à pessoa que pediu a investigação no prazo de três meses após a receção do pedido. Este prazo pode ser suspenso para permitir que o RPD receba todas as informações necessárias que tiver solicitado. 4. Ninguém pode ser prejudicado pelo facto de ter alertado o RPD para uma alegada violação das disposições do Regulamento (UE) 2018/1725.

Artigo 12.o Administração e gestão 1. O RPD fica adstrito ao secretariado-geral para efeitos administrativos. Neste contexto, o RPD participa na preparação do plano de gestão anual e do anteprojeto de orçamento do secretariado-geral. 2. O RPD é o avaliador do pessoal do serviço de proteção de dados. O secretário-geral adjunto é o homologador. O RPD participa na coordenação da gestão do Secretariado-Geral, se for o caso.

CAPÍTULO 5

LIMITAÇÃO DOS DIREITOS DOS TITULARES DE DADOS

Artigo 13.o Exceções e limitações aplicáveis 1. Sempre que exerça as suas funções no que respeita aos direitos dos titulares de dados nos termos do Regulamento (UE) 2018/1725, a Comissão verifica se se aplica alguma das exceções previstas nesse regulamento. 2. Sob reserva do disposto nos artigos 14.o a 18.° da presente decisão, a Comissão pode limitar a aplicação dos artigos 14.o a 17.°, 19.°, 20.° e 35.° do Regulamento (UE) 2018/1725, bem como a aplicação do princípio da transparência previsto no artigo 4.o, n.o 1, alínea a), do referido regulamento, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 17.°, 19.° e 20.° do Regulamento (UE) 2018/1725, sempre que o exercício desses direitos e obrigações comprometa a consecução da finalidade das funções do RPD, nomeadamente ao revelar os seus instrumentos e métodos de investigação e auditoria, ou prejudique os direitos e liberdades de outros titulares dos dados, em conformidade com o artigo 25.o, n.o 1, alíneas c), g) e h), do regulamento citado. 3. Sob reserva do disposto nos artigos 14.o a 18.° da presente decisão, a Comissão pode limitar os direitos e obrigações referidos no n.o 2 do presente artigo no que se refere aos dados pessoais obtidos pelo RPD dos serviços da Comissão ou de outras instituições e organismos da União. A Comissão pode fazê-lo sempre que o exercício desses direitos e obrigações seja suscetível de ser limitado por outros serviços da Comissão, outras instituições ou organismos da União, com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725, em conformidade com o capítulo IX do referido regulamento ou em conformidade com o Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho (6) ou do Regulamento (UE) 2017/1939 do Conselho (7). Antes de aplicar limitações nas circunstâncias referidas no primeiro parágrafo, a Comissão deve consultar a instituição ou organismos da União pertinentes, a menos que seja claro para a Comissão que a aplicação de uma limitação está prevista num dos atos referidos no parágrafo citado. 4. Qualquer limitação na aplicação dos direitos e no cumprimento das obrigações a que se refere o n.o 2 do presente artigo deve ser necessária e proporcionada, tendo em conta os riscos para os direitos e liberdades dos titulares de dados.

Artigo 14.o Comunicação de informações aos titulares de dados 1. A Comissão publica avisos relativos à proteção de dados no sítio Web da Comissão, a fim de informar todos os titulares de dados das funções do RPD que envolvam o tratamento dos respetivos dados pessoais. 2. A Comissão informa individualmente, num formato adequado, qualquer pessoa singular que considere afetada pelas funções do RPD ou que considere um informador. 3. Se a Comissão limitar, total ou parcialmente, a prestação de informações aos titulares de dados a que se refere o n.o 2 do presente artigo, deve registar os motivos da limitação, em conformidade com o artigo 17.o da presente decisão.

Artigo 15.o Direito de acesso dos titulares de dados, direito ao apagamento e direito à limitação do tratamento 1. Sempre que a Comissão limitar, total ou parcialmente, o direito de acesso aos dados pessoais por parte dos titulares dos dados, o direito ao apagamento ou o direito à limitação do tratamento, a que se referem, respetivamente, os artigos 17.o, 19.° e 20.° do Regulamento (UE) 2018/1725, deve informar o titular de dados em causa, na sua resposta ao pedido de acesso, de apagamento ou de limitação do tratamento, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar reclamações à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia. 2. A comunicação de informações sobre os motivos da limitação a que se refere o n.o 1 pode ser adiada, omitida ou recusada na medida em que seja suscetível de prejudicar a finalidade da limitação. 3. A Comissão regista os motivos da limitação em conformidade com o artigo 17.o da presente decisão. 4. Sempre que o direito de acesso for limitado total ou parcialmente, o titular de dados pode exercer o seu direito de acesso por intermédio da AEPD, nos termos do artigo 25.o, n.o s 6, 7 e 8, do Regulamento (UE) 2018/1725.

Artigo 16.o Comunicação de uma violação de dados pessoais ao titular de dados Se limitar a comunicação ao titular de dados de uma violação dos seus dados pessoais, conforme referido no artigo 35.o do Regulamento (UE) 2018/1725, a Comissão regista os motivos dessa limitação em conformidade com o artigo 17.o da presente decisão.

Artigo 17.o Registo das limitações 1. A Comissão deve registar as razões de qualquer limitação aplicada nos termos da presente decisão, incluindo uma avaliação casuística da necessidade e da proporcionalidade da limitação, tendo em conta os elementos pertinentes do artigo 25.o, n.o 2, do Regulamento (UE) 2018/1725. Para o efeito, o registo deve indicar de que forma o exercício desse direito prejudicaria as finalidades das funções do RPD realizadas em conformidade com a presente decisão, ou as limitações aplicadas nos termos do artigo 13.o, n.o s 2 ou 3, ou afetaria negativamente os direitos e liberdades de outros titulares de dados. 2. As informações relativas às limitações e, se for caso disso, os documentos que contêm os elementos factuais e jurídicos subjacentes devem ser consignados num registo. Estes elementos devem ser disponibilizados à AEPD mediante pedido.

Artigo 18.o Duração das limitações 1. As limitações referidas nos artigos 14.o, 15.° e 16.° mantêm-se aplicáveis enquanto subsistirem as razões que as justificam. 2. Sempre que os motivos para uma limitação referida nos artigos 14.o ou 16.° deixem de existir, a Comissão deve anular a limitação e fornecer os motivos da limitação ao titular dos dados. A Comissão deve, simultaneamente, informar o titular dos dados da possibilidade de apresentar uma reclamação à AEPD em qualquer altura, ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia. 3. A Comissão deve reexaminar a aplicação das limitações referidas nos artigos 14.o e 16.° semestralmente a partir da sua adoção e, de qualquer forma, no momento do encerramento da atividade do RPD pertinente. Posteriormente, a Comissão deve controlar a necessidade de manter qualquer limitação ou adiamento numa base anual.

Artigo 19.o Reexame pelo responsável pela proteção de dados 1. Sempre que outros serviços da Comissão concluam que os direitos do titular dos dados devem ser limitados nos termos da presente decisão, informam o RPD. Esses serviços facultam igualmente ao RPD o acesso ao registo e a quaisquer documentos que contenham elementos factuais e jurídicos subjacentes. 2. O RPD pode solicitar ao responsável delegado pelo tratamento do serviço da Comissão em causa que reexamine a aplicação das limitações. O responsável delegado pelo tratamento do serviço da Comissão em causa informa o RPD, por escrito, sobre o resultado do reexame solicitado.

CAPÍTULO 6

DISPOSIÇÕES FINAIS

Artigo 20.o Revogação É revogada a Decisão 2008/597/CE.

Artigo 21.o Entrada em vigor A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Bruxelas, em 3 de julho de 2020. Pela Comissão A Presidente Ursula VON DER LEYEN

(1) JO L 295 de 21.11.2018, p. 39.

(2) SEC(2019) 900/2.

(3) Decisão da Comissão 2008/597/CE, de 3 de junho de 2008, que adota regras de execução referentes ao responsável pela proteção de dados, nos termos do n.o 8 do artigo 24.o do Regulamento (CE) n.o 45/2001 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO L 193 de 22.7.2008, p. 7).

(4) Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO L 8 de 12.1.2001, p. 1).

(5) Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho, de 30 de maio de 2001, relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão (JO L 145 de 31.5.2001, p. 43).

(6) Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho, de 11 de maio de 2016, que cria a Agência da União Europeia para a Cooperação Policial (Europol) e que substitui e revoga as Decisões 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI e 2009/968/JAI do Conselho (JO L 135 de 24.5.2016, p. 53).

(7) Regulamento (UE) 2017/1939 do Conselho, de 12 de outubro de 2017, que dá execução a uma cooperação reforçada para a instituição da Procuradoria Europeia (JO L 283 de 31.10.2017, p. 1).