Decisão da Alta-Representante da União para os Negócios Estrangeiros e a Política de Segurança

de 1 de outubro de 2019

relativa às regras internas sobre as limitações de determinados direitos dos titulares de dados em relação ao tratamento de dados pessoais no quadro do funcionamento do Serviço Europeu para a Ação Externa

(2019/C 370/06)

A ALTA-REPRESENTANTE DA UNIÃO PARA OS NEGÓCIOS ESTRANGEIROS E A POLÍTICA DE SEGURANÇA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta a Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa (1),

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (2) [«Regulamento (UE) 2018/1725»], nomeadamente o artigo 25.o,

Tendo em conta o parecer da Autoridade Europeia para a Proteção de Dados, em conformidade com o artigo 41.o, n.o 2, do Regulamento (UE) 2018/1725, emitido em 28 de junho de 2019,

Considerando o seguinte:

(1) O Serviço Europeu para a Ação Externa (SEAE) realiza as suas atividades em conformidade com a Decisão 2010/427/UE.

(2) Em conformidade com o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, as limitações à aplicação dos artigos 14.o a 21.o, dos artigos 35.o e 36.o, e do artigo 4.o do mesmo regulamento, na medida em que as suas disposições correspondam aos direitos e às obrigações previstos nos artigos 14.o a 21.o, devem ser definidas mediante regras internas pelo SEAE, quando não se baseiem em atos jurídicos adotados com base nos Tratados.

(3) Estas regras internas, incluindo as suas disposições sobre a avaliação da necessidade e da proporcionalidade de uma limitação, não devem aplicar-se quando um ato normativo adotado com base nos Tratados preveja uma limitação dos direitos dos titulares dos dados.

(4) Sempre que o SEAE desempenhe as suas funções em relação aos direitos dos titulares dos dados ao abrigo do Regulamento (UE) 2018/1725, deve analisar se são aplicáveis algumas das derrogações previstas nesse regulamento.

(5) Tais limitações podem aplicar-se a diferentes direitos dos titulares dos dados, incluindo a comunicação de informações aos titulares dos dados, o direito de acesso, retificação e apagamento, a limitação do tratamento, a comunicação de uma violação de dados pessoais ao titular dos dados ou a confidencialidade da comunicação.

(6) No âmbito da sua organização e funcionamento, o SEAE realiza atividades que envolvem dados pessoais em relação aos quais poderá ser necessário e proporcionado, numa sociedade democrática, impor uma limitação em conformidade com o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, a fim de salvaguardar um interesse legítimo, respeitando simultaneamente a essência dos direitos e liberdades fundamentais dos titulares dos dados.

(7) Essas limitações podem aplicar-se a várias categorias de dados pessoais, incluindo os dados factuais e os dados decorrentes de avaliações.

(8) As avaliações, as observações e os pareceres são considerados dados pessoais na aceção do artigo 3.o, n.o 1, do Regulamento (UE) 2018/1725. No contexto destes procedimentos administrativos específicos estão previstas limitações, nomeadamente no que se refere ao acesso, retificação e apagamento de tais avaliações, observações ou pareceres no quadro dos procedimentos de seleção e avaliação do pessoal e das atividades do Serviço Médico, do Serviço de Mediação e dos serviços de auditoria e de inspeção internos das delegações e serviços da União.

(9) No que diz respeito aos procedimentos de seleção e recrutamento, à avaliação do pessoal e aos procedimentos de contratação pública, o direito de acesso, retificação, apagamento e limitação só pode ser exercido em determinados momentos, tal como previsto no procedimento pertinente, a fim de salvaguardar os direitos de outros titulares de dados e de respeitar os princípios da igualdade de tratamento e da confidencialidade das deliberações.

(10) O titular dos dados pode exercer o direito de retificação das avaliações ou pareceres dos médicos e dos conselheiros médicos do SEAE apresentando as suas observações ou um relatório de um médico da sua escolha.

(11) No que diz respeito aos procedimentos de seleção e recrutamento, não é possível alterar o parecer ou a avaliação do júri. Este direito pode ser exercido recorrendo contra a decisão do júri. As avaliações efetuadas por cada membro do júri e os debates internos do júri estão protegidos pela confidencialidade das deliberações.

(12) No que diz respeito às avaliações do pessoal, incluindo os procedimentos de avaliação (appraisal), não é possível alterar o parecer nem a avaliação dos diferentes intervenientes no procedimento. Os titulares de dados podem exercer o direito de retificação apresentando as suas observações ou um recurso, conforme previsto no procedimento de avaliação do pessoal.

(13) As limitações dos direitos e obrigações em matéria de dados pessoais devem ser aplicadas caso a caso e mantidas apenas durante o tempo necessário para alcançar o objetivo da limitação.

(14) O SEAE está obrigado a respeitar, na medida do possível, os direitos fundamentais dos titulares dos dados, nomeadamente os direitos relacionados com a comunicação de informações, o acesso e a retificação, o apagamento, a limitação do tratamento, a comunicação ao titular dos dados de uma violação dos seus dados pessoais ou a confidencialidade das comunicações, conforme previsto no Regulamento (UE) 2018/1725. No entanto, o SEAE poderá também ser obrigado a limitar os direitos e obrigações para proteger as suas atividades e os direitos e liberdades fundamentais de terceiros,

DECIDE:

Artigo 1.o Objeto e âmbito de aplicação 1. Nos termos do artigo 25.o do Regulamento (UE) 2018/1725 (a seguir designado por «regulamento»), a presente decisão estabelece as regras relativas às condições em que o SEAE, no âmbito das suas atividades referidas no n.o 2, pode limitar a aplicação dos direitos e obrigações previstos nos artigos 14.o a 21.o, nos artigos 35.o e 36.o, e no artigo 4.o do regulamento, na medida em que as suas disposições correspondam aos direitos e às obrigações previstos nos artigos 14.o a 21.o. 2. A presente decisão é aplicável ao tratamento de dados pessoais pelo SEAE para efeitos das seguintes atividades: i) Inquéritos internos, incluindo inquéritos de segurança, inquéritos administrativos, nomeadamente sobre casos de assédio ou denúncia de irregularidades, processos disciplinares e de suspensão; ii) Notificação e transmissão de processos ao Serviço de Averiguação e Disciplina da Comissão (IDOC) e ao Organismo Europeu de Luta Antifraude (OLAF); iii) Análises de segurança relacionadas com incidentes de cibersegurança ou utilização abusiva de sistemas informáticos, incluindo com a intervenção externa da CERT-UE, de modo a garantir a segurança interna através da videovigilância, do controlo do acesso e dos inquéritos, bem como a segurança dos sistemas de comunicação e de informação e a aplicação de contramedidas técnicas de segurança; iv) Investigação de questões diretamente relacionadas com as funções do encarregado da proteção de dados do SEAE; v) Auditorias internas; vi) Inspeções das delegações e dos serviços da UE; vii) Atividades do Serviço Médico e dos conselheiros médicos contratados pelo SEAE; viii) Atividades do Serviço de Mediação; ix) Procedimentos de contratação pública; x) Procedimentos de seleção do pessoal e avaliações do pessoal; xi) Recolha de dados para efeitos de informação, incluindo o conhecimento da situação, a contrainformação, o alerta rápido e a análise de informações para apoiar os vários órgãos de decisão da UE nos domínios da política externa e de segurança comum (PESC), da política comum de segurança e defesa (PCSD), da luta contra o terrorismo e das ameaças híbridas; xii) Procedimentos relativos a medidas restritivas (sanções) visando objetivos específicos de política externa e de segurança da União; xiii) Atividades destinadas a proteger outros objetivos importantes de interesse público geral da União ou de um Estado-Membro, em particular os objetivos da PESC. Para efeitos da presente decisão, as atividades acima referidas incluem as ações preparatórias e de acompanhamento com elas diretamente relacionadas. 3. As categorias de dados pessoais tratados no âmbito das atividades acima referidas podem conter dados factuais e dados de avaliações. Os dados factuais incluem os dados relacionados com a identificação pessoal e outras informações administrativas, os metadados relativos a comunicações eletrónicas e os dados de tráfego. Os dados decorrentes das avaliações incluem a descrição e a avaliação de situações e de circunstâncias, pareceres, observações relacionadas com os titulares dos dados, a avaliação do comportamento ou do desempenho dos titulares dos dados e os motivos subjacentes às decisões individuais relacionadas com o funcionamento administrativo do SEAE.

Artigo 2.o Especificação do responsável pelo tratamento e garantias 1. O SEAE deve estabelecer garantias específicas para evitar violações, fugas ou a divulgação não autorizada de dados sujeitos a uma limitação, tais como: a) Medidas de segurança reforçadas para o armazenamento de suportes físicos que contenham dados pessoais; b) Medidas de segurança específicas para as bases de dados e as ferramentas eletrónicas; c) Limitações de acesso e ficheiros de registo. 2. O responsável pelas atividades de tratamento de dados é o SEAE. As entidades organizacionais que podem limitar os direitos e as obrigações referidos no artigo 1.o, n.o 1, são os serviços responsáveis pelas atividades descritas no artigo 1.o, n.o 2. 3. As limitações dos direitos e obrigações em matéria de dados pessoais devem ser mantidas apenas durante o tempo necessário para alcançar o objetivo da limitação. O período de conservação dos dados pessoais sujeitos a uma limitação deve ser definido tendo em conta a finalidade do tratamento e incluir o período necessário para o recurso administrativo e judicial.

Artigo 3.o Limitações 1. O SEAE pode aplicar, caso a caso, uma limitação ao abrigo da presente decisão para salvaguardar: a) A segurança nacional, a segurança pública ou a defesa dos Estados-Membros, incluindo, mas não exclusivamente, a vigilância e o tratamento de dados para fins de informação ou para a proteção da vida humana, em especial em resposta a catástrofes naturais ou de origem humana e a atentados terroristas; b) A prevenção, investigação, deteção e repressão de infrações penais, ou a execução de sanções penais, incluindo, mas não exclusivamente, a prevenção das ameaças à segurança pública. Essas investigações podem incluir inquéritos administrativos, processos disciplinares ou inquéritos do OLAF, na medida em que estejam relacionados com a prevenção ou a investigação de infrações penais; c) Objetivos importantes de interesse público geral da União ou de um Estado-Membro, nomeadamente os objetivos da PESC ou interesses económicos ou financeiros importantes da União ou de um Estado-Membro, incluindo, mas não exclusivamente, as questões monetárias, orçamentais e fiscais, a saúde pública e a segurança social, bem como os procedimentos de contratação pública e as investigações que sirvam objetivos importantes de interesse público da União; d) A segurança interna das instituições e organismos da União, incluindo, mas não exclusivamente, as redes de comunicações eletrónicas e de informação; e) A proteção da independência judicial e dos procedimentos judiciais, incluindo o aconselhamento jurídico; f) A prevenção, investigação, deteção e repressão de violações da deontologia das profissões regulamentadas, ou violações de obrigações previstas no Estatuto dos Funcionários (3) e no Regulamento Financeiro (4), incluindo os casos não relacionados com infrações penais; g) As funções de controlo, inspeção ou regulamentação ligadas, ainda que ocasionalmente, ao exercício da autoridade pública, nos casos referidos nas alíneas a) a c), incluindo, mas não exclusivamente, no caso de uma auditoria específica, uma inspeção ou uma investigação; h) A proteção do titular dos dados ou dos direitos e liberdades de terceiros, incluindo, mas não exclusivamente, a proteção das testemunhas, das pessoas interrogadas no contexto de investigações de segurança, inquéritos administrativos, inspeções e auditorias, dos denunciantes de irregularidades e das alegadas vítimas de assédio; i) A execução de ações cíveis. 2. Sob reserva do disposto nos artigos 4.o a 8.o, o SEAE pode limitar os direitos e as obrigações referidos no artigo 1.o, n.o 1, em relação aos dados pessoais obtidos junto de outra instituição, órgão ou organismo da União, de autoridades competentes de um Estado-Membro ou de um país terceiro ou de uma organização internacional, nos seguintes casos: a) Quando o exercício desses direitos e obrigações puder ser limitado por outra instituição, órgão ou organismo da União com base nos seus atos jurídicos pertinentes adotados em conformidade com o artigo 25.o ou o capítulo IX do regulamento ou com os seus atos constitutivos; b) Quando o exercício desses direitos e obrigações puder ser limitado pelas autoridades competentes de um Estado-Membro com base nos atos jurídicos adotados em conformidade com o artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (5), ou ao abrigo das medidas nacionais de transposição do artigo 13.o, n.o 3, do artigo 15.o, n.o 3, ou do artigo 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (6); c) Quando o exercício desses direitos e obrigações puder comprometer a cooperação do SEAE com países terceiros ou organizações internacionais no desempenho das suas funções, a menos que os interesses ou os direitos e liberdades fundamentais dos titulares dos dados prevaleçam sobre essa necessidade de cooperar. Antes de aplicar uma limitação ao abrigo do presente número, o SEAE deve consultar a instituição, órgão ou organismo da União, a organização internacional pertinente ou as autoridades competentes do Estado-Membro em causa, a menos que seja evidente que a limitação está prevista num dos atos jurídicos referidos no presente número ou sempre que tal consulta comprometa as atividades do SEAE. 3. Antes de aplicar uma limitação, o SEAE deve avaliar se a mesma é necessária e proporcionada numa sociedade democrática e se respeita a essência dos direitos e liberdades fundamentais dos titulares dos dados. Ao proceder à avaliação da necessidade e da proporcionalidade de cada caso, o SEAE deve: i) Comparar o risco para os direitos e liberdades do titular dos dados com o risco para os direitos e liberdades de terceiros. Os riscos para os direitos e liberdades do titular dos dados dizem respeito principalmente à sua privacidade, à sua reputação e ao momento em que pode começar a exercer os seus direitos de defesa; e ii) Examinar a necessidade de salvaguardar o objetivo das atividades do SEAE mencionadas no artigo 1.o, n.o 2, em especial o risco de destruir ou ocultar elementos de prova. Esta avaliação da necessidade e da proporcionalidade, bem como os motivos da limitação, deve ser documentada. Para o efeito, qualquer limitação deve ser registada especificamente no inventário gerido pelo responsável pelo tratamento dos dados e indicar de que forma o exercício dos direitos e obrigações limitados referidos no artigo 1.o, n.o 1, comprometeria a finalidade das atividades referidas no artigo 1.o, n.o 2, ou prejudicaria os direitos e as liberdades de terceiros. Os documentos que contenham os elementos de facto e de direito subjacentes à limitação devem também ser registados. Os registos devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados mediante pedido. O acesso aos registos constantes do inventário, incluindo a nota de avaliação, deve ser restrito enquanto a limitação que o justifica permanecer válida em conformidade com os n.os 4 e 5. 4. As limitações devem ser revogadas assim que cessarem as razões que as justificam. 5. A necessidade de manter uma limitação deve ser reexaminada com uma periodicidade adequada, pelo menos de seis em seis meses a contar da sua adoção e, em qualquer caso, aquando do encerramento do procedimento correspondente às atividades referidas no artigo 1.o, n.o 2.

Artigo 4.o Reexame pelo encarregado da proteção de dados 1. Cada entidade organizacional deve, sem demora injustificada, informar por escrito o encarregado da proteção de dados quando limitar o exercício dos direitos e obrigações referidos no artigo 1.o, n.o 1, quando proceder ao reexame da limitação e quando a prolongar ou revogar. O encarregado da proteção de dados deve ter acesso aos registos nos termos estabelecidos no artigo 3.o, n.o 3. 2. O encarregado da proteção de dados pode solicitar por escrito ao responsável pelo tratamento de dados que reexamine a aplicação da limitação. O responsável pelo tratamento de dados deve informar por escrito o encarregado da proteção de dados do resultado do reexame solicitado. 3. Os documentos referidos no presente artigo devem ser disponibilizados à AEPD, mediante pedido.

Artigo 5.o Comunicação de informações aos titulares dos dados e informações sobre as limitações 1. O SEAE deve publicar no seu sítio Web ou na intranet as suas declarações de privacidade e avisos sobre a proteção de dados que informam os titulares dos dados dos seus direitos e das suas eventuais limitações, bem como das atividades que realiza que envolvem o tratamento de dados pessoais. 2. O responsável pelo tratamento de dados pode limitar o direito à informação no que diz respeito às atividades abrangidas pelo artigo 1.o, n.o 2, alíneas i), ii), iii), iv), v), vi), viii), xi), xii) e xiii). Sem prejuízo do disposto no n.o 4, o SEAE, quando tal for proporcionado, deve informar individualmente, sem demora injustificada e por escrito, os titulares de dados em causa da aplicação da limitação. Se o pedido de um titular de dados for rejeitado devido a uma limitação, o titular dos dados deve ser informado dos principais motivos subjacentes a essa limitação e do seu direito de apresentar uma reclamação junto da Autoridade Europeia para a Proteção de Dados. 3. As limitações ao abrigo do presente artigo devem ser aplicadas em conformidade com os artigos 3.o e 4.o. 4. A comunicação de informações sobre uma limitação ao abrigo da presente decisão pode ser adiada, omitida ou recusada, se for suscetível de anular o efeito da limitação. Este adiamento, omissão ou recusa deve ser aplicado em conformidade com o disposto nos artigos 3.o e 4.o.

Artigo 6.o Direito de acesso 1. O direito de acesso previsto no artigo 17.o do regulamento pode ser limitado no que diz respeito às atividades abrangidas pelo artigo 1.o, n.o 2, alíneas i), ii), iii), iv), v), vi), vii), viii), x), xi), xii) e xiii). 2. Quando os titulares dos dados solicitarem acesso aos seus dados pessoais tratados no contexto de uma atividade específica referida no artigo 1.o, n.o 2, o SEAE deve limitar a sua resposta aos dados pessoais tratados no âmbito dessa atividade. 3. Quando o SEAE limitar, total ou parcialmente, o direito de acesso dos titulares dos dados aos seus dados pessoais, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, deve informar por escrito e sem demora injustificada o titular dos dados em causa, na sua resposta ao pedido de acesso, da limitação aplicada e dos seus principais motivos. A comunicação de informações sobre os motivos da limitação pode ser adiada, omitida ou recusada, na medida em que prejudique a finalidade da limitação. 4. O SEAE pode limitar, caso a caso, o direito dos titulares dos dados de terem acesso direto aos dados médicos de natureza psicológica ou psiquiátrica, se o acesso a esses dados for suscetível de representar um risco para a saúde do titular dos dados. Esta limitação deve ser proporcionada ao estritamente necessário para proteger o titular dos dados. Nesses casos, o acesso às informações deve ser facultado ao médico da escolha do titular dos dados. 5. As limitações ao abrigo do presente artigo devem ser aplicadas em conformidade com os artigos 3.o, 4.o e 5.o.

Artigo 7.o Direito de retificação, apagamento e limitação do tratamento 1. Os direitos de retificação, apagamento e limitação do tratamento ao abrigo do artigo 18.o, do artigo 19.o, n.o 1, e do artigo 20.o, n.o 1, do regulamento podem ser limitados relativamente às atividades referidas no artigo 1.o, n.o 2, alíneas i), ii), iii), iv), v), vi), vii), viii), ix), x), xi), xii) e xiii). 2. No que diz respeito aos dados médicos, os seus titulares podem exercer o direito de retificação das avaliações ou dos pareceres dos médicos ou dos conselheiros médicos do SEAE mediante apresentação das suas observações ou de um relatório elaborado por um médico da sua escolha. 3. As limitações ao abrigo do presente artigo devem ser aplicadas em conformidade com os artigos 3.o, 4.o e 5.o.

Artigo 8.o Comunicação de violações de dados pessoais ao titular dos dados 1. O direito de comunicar uma violação de dados pessoais ao titular dos dados nos termos do artigo 35.o do regulamento pode ser limitado em relação às atividades referidas no artigo 1.o, n.o 2, alíneas i), ii), iii), iv), v), vi), viii), xi), xii) e xiii). 2. As limitações ao abrigo do presente artigo devem ser aplicadas em conformidade com os artigos 3.o, 4.o e 5.o.

Artigo 9.o Confidencialidade das comunicações eletrónicas 1. A obrigação de garantir a confidencialidade das comunicações eletrónicas só pode ser limitada relativamente às atividades referidas no artigo 1.o, n.o 2, alíneas i), ii), iii), iv), xi), xii) e xiii), nos seguintes casos excecionais: a) Se a limitação da obrigação de garantir a confidencialidade da identificação da linha chamadora for necessária para detetar chamadas indesejadas; b) Se a limitação da obrigação de garantir a confidencialidade da identificação da linha chamadora e dos dados de localização for necessária para permitir aos serviços de emergência desempenharem eficazmente as suas funções; c) Se a limitação da obrigação de garantir a confidencialidade das comunicações, dos dados de tráfego e dos dados de localização for necessária para salvaguardar a segurança nacional, a segurança pública ou a defesa dos Estados-Membros, a segurança interna das instituições e dos órgãos da União, a prevenção, investigação, deteção e repressão de infrações penais, violações do Estatuto dos Funcionários e do Regulamento Financeiro ou utilização não autorizada do sistema de comunicação eletrónica, conforme previsto no artigo 25.o do regulamento. 2. As limitações ao abrigo do presente artigo devem ser aplicadas em conformidade com os artigos 3.o, 4.o e 5.o.

Artigo 10.o Entrada em vigor A presente decisão entra em vigor no dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Bruxelas, em 1 de outubro de 2019 Federica MOGHERINI Alta-Representante

(1) JO L 201 de 3.8.2010, p. 30.

(2) JO L 295 de 21.11.2018, p. 39.

(3) Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho, de 29 de fevereiro de 1968, que fixa o Estatuto dos Funcionários e o Regime Aplicável aos Outros Agentes da Comunidade Económica Europeia e da Comunidade Europeia da Energia Atómica (JO 45 de 14.6.1962, p. 1385, na sua versão consolidada).

(4) Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho, de 18 de julho de 2018, relativo às disposições financeiras aplicáveis ao orçamento geral da União, que altera os Regulamentos (UE) n.o 1296/2013, (UE) n.o 1301/2013, (UE) n.o 1303/2013, (UE) n.o 1304/2013, (UE) n.o 1309/2013, (UE) n.o 1316/2013, (UE) n.o 223/2014 e (UE) n.o 283/2014, e a Decisão n.o 541/2014/UE, e revoga o Regulamento (UE, Euratom) n.o 966/2012 (JO L 193 de 30.7.2018, p. 1).

(5) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(6) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).