DECISÃO 28/2022 DO CONSELHO DE ADMINISTRAÇÃO

de 4 de abril de 2022

relativa às regras internas em matéria de limitações de determinados direitos dos titulares dos dados no que diz respeito ao tratamento de dados pessoais no âmbito das atividades realizadas pela Agência Europeia da Guarda de Fronteiras e Costeira

O CONSELHO DE ADMINISTRAÇÃO,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1) (a seguir designado «Regulamento»), nomeadamente o artigo 25.o,

Tendo em conta o Regulamento (UE) 2019/1896 do Parlamento Europeu e do Conselho, de 13 de novembro de 2019, relativo à Guarda Europeia de Fronteiras e Costeira, que revoga os Regulamentos (UE) n.o 1052/2013 e (UE) 2016/1624 (2) (a seguir designado «Regulamento GEFC»), nomeadamente o artigo 86.o, n.o 2,

Tendo consultado a Autoridade Europeia para a Proteção de Dados em 16 de novembro de 2021,

Considerando o seguinte:

(1) A Agência Europeia da Guarda de Fronteiras e Costeira («Agência») está habilitada a proceder a inquéritos administrativos, processos pré-disciplinares, disciplinares e de suspensão, em conformidade com o Estatuto dos Funcionários da União Europeia e o Regime Aplicável aos Outros Agentes da União Europeia, estabelecidos no Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho (3) («Estatuto dos Funcionários»), e com a Decisão 26/2018 do Conselho de Administração, de 25 de outubro de 2018, que adota disposições de execução relativas à condução dos inquéritos administrativos e dos processos disciplinares. Se necessário, também notifica os processos ao OLAF.

(2) Os membros do pessoal da Agência têm a obrigação de comunicar atividades potencialmente ilegais, incluindo a fraude e a corrupção, que sejam lesivas dos interesses da União. Os membros do pessoal estão também obrigados a comunicar os atos relacionados com o exercício de atividades profissionais que sejam suscetíveis de constituir um incumprimento grave das obrigações dos funcionários da União. Esta obrigação é regulamentada pela Decisão 17/2019 do Conselho de Administração, de 18 de julho de 2019, que adota as Orientações da Frontex em matéria de denúncia de irregularidades.

(3) A Agência estabeleceu uma política de prevenção e tratamento efetivo de casos reais ou potenciais de assédio psicológico ou sexual no local de trabalho, como previsto na sua Decisão 16/2019 do Conselho de Administração, de 18 de julho de 2019, que adota medidas de execução nos termos do Estatuto dos Funcionários. A decisão estabelece um procedimento informal em que a alegada vítima do assédio pode contactar os conselheiros «confidenciais» da Agência.

(4) A Agência também pode conduzir inquéritos sobre potenciais violações das regras de segurança aplicáveis às informações classificadas da União Europeia («ICUE»), com base nas suas regras de segurança aplicáveis à proteção das ICUE.

(5) A Agência é objeto de auditorias internas e externas relativas às suas atividades, inclusive por parte do Tribunal de Contas Europeu. As auditorias internas são realizadas pela Estrutura de Auditoria Interna da Agência, criada pela Decisão 43/2020 do Conselho de Administração, de 9 de dezembro de 2020, que adota a estrutura organizativa alterada da Agência e a decisão pertinente do diretor executivo, em conformidade com o artigo 80.o da Decisão 19/2019 do Conselho de Administração, de 23 de julho de 2019, que adota o Regulamento Financeiro da Frontex.

(6) A Agência trata as queixas externas, em particular as recebidas no contexto do procedimento de apresentação de queixas criado em conformidade com o artigo 111.o do Regulamento GEFC, a fim de controlar e garantir o respeito pelos direitos fundamentais em todas as suas atividades.

(7) Os participantes nas atividades da Frontex têm a obrigação de comunicar incidentes graves, em conformidade com o artigo 38.o, n.o 3, alínea h), do Regulamento GEFC e com a Decisão do Diretor Executivo, de 19 de abril de 2021, relativa ao procedimento operacional normalizado (PON) — Comunicação de incidentes graves (4). A Agência também estabeleceu um mecanismo de supervisão para controlar a aplicação das disposições do Regulamento GEFC sobre o uso da força pelo pessoal estatutário, incluindo regras sobre a comunicação de informações e medidas específicas, nomeadamente de caráter disciplinar, no que diz respeito ao uso da força durante os destacamentos. Tal é regulado pela Decisão 7/2021 do Conselho de Administração, de 20 de janeiro de 2021, que cria um mecanismo de supervisão para controlar a aplicação das disposições relativas ao uso da força pelo pessoal estatutário do corpo permanente da Guarda Europeia de Fronteiras e Costeira. A Agência acompanha igualmente o uso da força pelo pessoal destacado para a Agência pelos Estados-Membros a longo prazo, pelo pessoal disponibilizado pelos Estados-Membros para destacamentos de curta duração e pelo pessoal que faz parte da reserva de reação rápida para intervenções rápidas nas fronteiras ao mesmo tempo que aplica a força nas atividades operacionais da Frontex, em conformidade com a decisão pertinente do diretor executivo.

(8) No contexto desses inquéritos administrativos, auditorias, análise de queixas e investigações, comunicação de incidentes graves e atividades de controlo, a Agência coopera com as autoridades competentes dos Estados-Membros (5) e com outras instituições, órgãos, organismos e agências da União.

(9) A Agência pode cooperar com as autoridades competentes de países terceiros e com organizações internacionais, quer a pedido destas quer por iniciativa própria.

(10) A Agência intervém em processos no Tribunal de Justiça da União Europeia e nos tribunais nacionais quando submete uma questão para apreciação do tribunal, quando defende uma decisão adotada e contestada perante o tribunal ou quando intervém em processos relevantes para as suas funções. Neste contexto, poderá ter de preservar a confidencialidade dos dados pessoais constantes de documentos obtidos pelas partes ou pelos intervenientes.

(11) Para desempenhar as suas funções, a Agência recolhe e trata informações e diversas categorias de dados pessoais, incluindo dados de identificação das pessoas singulares, informações de contacto, funções e tarefas profissionais, informações sobre a conduta e o desempenho privados e profissionais, bem como dados financeiros. Nessa qualidade, atua como responsável pelo tratamento de dados.

(12) Por conseguinte, nos termos do Regulamento, a Agência é obrigada a prestar informações aos titulares dos dados sobre essas atividades de tratamento e a respeitar os seus direitos enquanto titulares dos dados.

(13) A Agência poderá ser obrigada a conciliar esses direitos com os objetivos dos inquéritos administrativos, auditorias, investigações, comunicação de incidentes graves e controlo da aplicação das disposições do Regulamento GEFC relativas ao uso da força, e processos judiciais. Poderá igualmente ser-lhe exigido que pondere os direitos de um titular dos dados em face dos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o do Regulamento e o artigo 86.o, n.o 2, do Regulamento GEFC atribuem à Agência, sob condições estritas, a possibilidade de limitar a aplicação dos artigos 14.o a 22.°, 35.° e 36.° do Regulamento, bem como do artigo 4.o, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 20.°. A menos que as limitações estejam previstas num ato jurídico adotado com base nos Tratados, é necessário adotar regras internas que atribuam à Agência o direito de limitar esses direitos.

(14) A Agência poderá, por exemplo, ter de limitar as informações que fornece a um titular dos dados acerca do tratamento dos seus dados pessoais durante a fase de avaliação preliminar de um inquérito administrativo ou durante o próprio inquérito, antes de um eventual arquivamento do processo ou na fase pré-disciplinar, ou quando o titular de dados possa ser potencialmente sujeito a medidas específicas, como as de natureza disciplinar, no que diz respeito ao uso da força durante os destacamentos. Em determinadas circunstâncias, a prestação dessas informações poderá afetar seriamente a capacidade da Agência para conduzir o inquérito ou exercer o seu controlo da função do uso da força de forma eficaz, sempre que, por exemplo, exista o risco de o titular dos dados destruir provas ou interferir com potenciais testemunhas antes de estas serem inquiridas.

(15) A Agência poderá também ter de proteger os direitos e liberdades das testemunhas, bem como os de outras pessoas envolvidas. Analogamente, poderá ter de limitar as informações que fornece a um titular dos dados sobre o tratamento dos seus dados pessoais quando a prestação dessas informações possa afetar seriamente as fases de avaliação e validação do processo de comunicação de incidentes graves, em conformidade com o artigo 38.o, n.o 3, alínea h), do Regulamento GEFC.

(16) Poderá ser necessário proteger o anonimato de uma testemunha ou de um denunciante que tenha pedido para não ser identificado. Nesse caso, a Agência pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais dessas pessoas, a fim de proteger os seus direitos e liberdades. Em particular, poderá ter de proteger o anonimato das testemunhas ou de outras pessoas que comunicam incidentes que envolvam o uso da força, em conformidade com o mecanismo de supervisão para controlar a aplicação das disposições do Regulamento GEFC relativas ao uso da força. Analogamente, no contexto da comunicação de incidentes graves em conformidade com o artigo 38.o, n.o 3, alínea h), do Regulamento GEFC, a Agência poderá ter de proteger o anonimato dos participantes numa atividade da Frontex que tenham comunicado tal incidente.

(17) Poderá ser necessário proteger as informações confidenciais de um membro do pessoal que tenha contactado os conselheiros confidenciais da Agência. Nesse caso, a Agência poderá ter de limitar o acesso à identidade, às declarações e a outros dados pessoais da alegada vítima, do alegado autor do assédio e de outras pessoas envolvidas, a fim de proteger os direitos e as liberdades de todas as partes em causa.

(18) A Agência trata os dados pessoais do seu pessoal estatutário sobre a aptidão física e psicológica, incluindo, se necessário, para a autorização de porte e utilização de armas, em conformidade com o artigo 82.o, n.o 7, do Regulamento GEFC e com a Decisão 3/2021 do Conselho de Administração, de 15 de janeiro de 2021 (6). Tendo em conta a natureza sensível dos dados médicos e a fim de proteger o titular dos dados do acesso direto a processos que possam prejudicar a saúde e o estado mental do titular dos dados em causa, a Agência deve facultar o acesso indireto às informações médicas pertinentes através do seu consultor médico ou de um prestador de serviços médicos externo para as informações e o aconselhamento médicos pertinentes.

(19) A Agência apenas deve aplicar limitações quando estas respeitem a essência dos direitos e liberdades fundamentais, sejam estritamente necessárias e constituam uma medida proporcionada numa sociedade democrática. A Agência deve fundamentar a justificação dessas limitações.

(20) Em cumprimento do princípio da responsabilização, a Agência deve manter um registo da sua aplicação de limitações.

(21) Ao tratar dados pessoais trocados com outras organizações no âmbito das suas funções, a Agência e essas organizações deverão consultar-se mutuamente sobre os motivos potenciais para impor limitações e sobre a necessidade e proporcionalidade dessas limitações, a menos que tal comprometa as atividades da Agência.

(22) O artigo 25.o, n.o 6, do Regulamento obriga o responsável pelo tratamento a informar os titulares dos dados dos principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD.

(23) Nos termos do artigo 25.o, n.o 8, do Regulamento, a Agência pode adiar, omitir ou recusar a prestação de informações sobre os motivos para a aplicação de uma limitação ao titular dos dados, caso tal seja suscetível de anular o efeito da limitação. A Agência deve avaliar, caso a caso, se a comunicação da limitação anularia o seu efeito.

(24) A Agência deve levantar a limitação logo que as condições que a justificam deixem de ser aplicáveis e avaliar essas condições com regularidade.

(25) A fim de garantir a máxima proteção dos direitos e liberdades dos titulares dos dados e em conformidade com o artigo 44.o, n.o 1, do Regulamento, o encarregado da proteção de dados da Agência deve ser consultado em tempo útil acerca de quaisquer limitações que possam ser aplicadas e verificar a sua conformidade com a presente decisão.

(26) A Agência estabeleceu regras distintas para o tratamento de dados pessoais operacionais, em conformidade com o artigo 90.o do Regulamento GEFC, incluindo regras internas específicas sobre a conservação de dados pessoais operacionais e regras sobre as limitações aplicadas aos direitos dos titulares dos dados pertinentes (7),

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o Objeto, âmbito de aplicação e responsabilidade 1. A presente decisão estabelece regras relativas às condições em que a Agência pode limitar a aplicação dos artigos 4.o, 14.° a 22.°, 35.° e 36.° do Regulamento, nos termos do artigo 25.o do Regulamento e do artigo 86.o, n.o 2, do Regulamento GEFC. A presente decisão é aplicável ao tratamento de dados pessoais pela Agência para fins do exercício de funções administrativas, em conformidade com o artigo 87.o, n.o 1, alínea h), do Regulamento GEFC. 2. Em conformidade com o n.o 1 e sob reserva das condições estabelecidas na presente decisão, as limitações podem ser aplicadas aos seguintes direitos: direito das informações a prestar ao titular dos dados, direito de acesso do titular dos dados, direito do titular dos dados a retificação, apagamento e limitação do tratamento e direitos de comunicação ao titular dos dados de uma violação dos dados pessoais e de confidencialidade das comunicações eletrónicas. 3. As categorias de dados pessoais em causa na presente decisão correspondem tanto a dados objetivos/tangíveis (por exemplo, dados de identificação, dados de contacto, dados profissionais, dados administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego) como a dados subjetivos/intangíveis (por exemplo, fundamentações, dados comportamentais, avaliações, dados relacionados com o desempenho e a conduta e dados relacionados com ou apresentados no âmbito da matéria a que se refere o procedimento ou a atividade em causa). 4. A Agência, na qualidade de responsável pelo tratamento, é representada pelo seu diretor-executivo. São aplicáveis as regras da Agência relativas à execução do regulamento no que diz respeito à responsabilidade pelos dados (8). 5. Os titulares dos dados devem ser informados sobre a identidade dos responsáveis pelo tratamento designados por meio de informações ou registos publicados no sítio Web e/ou na Intranet da Agência.

Artigo 2.o Limitações 1. A Agência pode limitar a aplicação dos artigos 14.o a 22.°, 35.° e 36.° do Regulamento, bem como do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 22.° no contexto da finalidade do tratamento de dados pessoais indicada no artigo 1.o, n.o 1, da decisão: a) Nos termos do artigo 25.o, n.o 1, alíneas b), c), f), g) e h), do Regulamento, ao conduzir inquéritos administrativos, processos pré-disciplinares, disciplinares ou de suspensão nos termos do artigo 86.o do anexo IX do Estatuto dos Funcionários e da Decisão 26/2018 do Conselho de Administração, de 25 de outubro de 2018, que adota disposições gerais de execução relativas à condução de inquéritos administrativos e processos disciplinares, na notificação de processos ao OLAF e nos termos do artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento, quando o encarregado da proteção de dados investiga questões diretamente relacionadas com as suas funções, em particular aquando da condução de inquéritos sobre as atividades de tratamento realizadas na Agência nos termos do artigo 5.o, n.o 11, da Decisão 56/2021 do Conselho de Administração, de 15 de outubro de 2021 (9). A Agência pode impor limitações ao exercício de alguns dos direitos referidos no artigo 1.o, n.o 2, da decisão a um membro do pessoal, a uma pessoa interessada ou a um terceiro em relação a quaisquer informações suscetíveis de afetar seriamente inquéritos futuros ou em curso, processos pré-disciplinares, disciplinares ou de suspensão, incluindo declarações de testemunhas e outros documentos; b) Nos termos do artigo 25.o, n.o 1, alínea h), do Regulamento, ao assegurar que os membros do pessoal da Agência possam comunicar factos de forma confidencial sempre que julguem haver irregularidades graves, como estabelecido na Decisão 17/2019 do Conselho de Administração, de 18 de julho de 2019, que adota as Orientações da Frontex em matéria de denúncia de irregularidades. A Agência pode impor limitações ao exercício de alguns dos direitos referidos no artigo 1.o, n.o 2, da decisão aos titulares de dados potencialmente implicados nas alegadas irregularidades em relação a quaisquer informações suscetíveis de comprometer o anonimato da pessoa que comunica uma irregularidade grave; c) Nos termos do artigo 25.o, n.o 1, alínea h), do Regulamento, ao assegurar que os membros do pessoal da Agência possam recorrer ao apoio dos conselheiros confidenciais, como definido na Decisão 16/2019 do Conselho de Administração, de 18 de julho de 2019, sobre a política da Frontex em matéria de proteção da dignidade da pessoa e de prevenção do assédio psicológico e sexual. A Agência pode impor limitações ao exercício de alguns dos direitos referidos no artigo 1.o, n.o 2, da decisão aos alegados assediadores, se necessário, para proteger o anonimato da potencial vítima de assédio e o anonimato das testemunhas; d) Nos termos do artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento, aquando da realização de auditorias internas e externas relacionadas com atividades ou serviços da Agência, em particular quando as auditorias internas são conduzidas pela Estrutura de Auditoria Interna da Agência. A Agência pode impor limitações ao exercício de alguns dos direitos referidos no artigo 1.o, n.o 2, da decisão aos titulares dos dados em relação a informações suscetíveis de comprometer a confidencialidade das informações recolhidas no âmbito da auditoria ou de interferir na realização de uma auditoria em curso; e) Nos termos do artigo 25.o, n.o 1, alíneas b), e), g) e h), do Regulamento, no contexto das investigações realizadas pela Procuradoria Europeia. A Agência pode impor limitações ao exercício de alguns dos direitos referidos no artigo 1.o, n.o 2, da presente decisão aos titulares dos dados em relação às informações necessárias para assegurar a boa condução e a confidencialidade das investigações pela Procuradoria Europeia; f) Nos termos do artigo 25.o, n.o 1, alíneas c), e), g) e h), do Regulamento, ao tratar reclamações, incluindo as recebidas pela Agência no contexto do procedimento de apresentação de queixas criado em conformidade com o artigo 111.o do Regulamento GEFC, a fim de controlar e garantir o respeito pelos direitos fundamentais em todas as atividades da Agência, e com a decisão pertinente do diretor executivo. A Agência pode impor limitações ao exercício de alguns dos direitos referidos no artigo 1.o, n.o 2, da presente decisão a um membro do pessoal envolvido numa atividade da Agência (10), que seja objeto de uma queixa, em relação a quaisquer informações suscetíveis de afetar seriamente a análise e o tratamento da queixa; g) Nos termos do artigo 25.o, n.o 1, alíneas c), e), g) e h), do Regulamento, ao tratar comunicações de ocorrência de incidentes em conformidade com o artigo 38.o, n.o 3, alínea h), do Regulamento GEFC e com a Decisão do Diretor Executivo, de 19 de abril de 2021, relativa ao procedimento operacional normalizado (PON) — Comunicação de incidentes graves. A Agência pode impor limitações ao exercício de alguns dos direitos a que se refere o artigo 1.o, n.o 2, da presente decisão aos titulares de dados constantes da comunicação de incidentes graves em relação a informações suscetíveis de afetar seriamente a validação e a avaliação da comunicação em causa, bem como as medidas de acompanhamento e o anonimato das testemunhas ou de outras pessoas que comunicam incidentes, incluindo migrantes e repatriados; h) Nos termos do artigo 25.o, n.o 1, alíneas b), c), f), g) e h), do Regulamento, ao controlar a aplicação das disposições relativas ao uso da força pelo pessoal estatutário do corpo permanente da Guarda Europeia de Fronteiras e Costeira, nos termos do artigo 55.o, n.o 5, alínea a), do Regulamento GEFC e da Decisão 7/2021 do Conselho de Administração, de 20 de janeiro de 2021, e ao controlar o uso da força pelo pessoal destacado para a Agência pelos Estados-Membros a longo prazo, o pessoal disponibilizado pelos Estados-Membros para destacamentos de curta duração e o pessoal que faz parte da reserva de reação rápida para intervenções rápidas nas fronteiras ao mesmo tempo que aplica a força nas atividades operacionais da Frontex, em conformidade com a decisão pertinente do diretor executivo. A Agência pode impor limitações ao exercício de alguns dos direitos referidos no artigo 1.o, n.o 2, da presente decisão aos titulares de dados constantes de uma comunicação sobre o uso da força em relação a informações (incluindo declarações de testemunhas e outros documentos) suscetíveis de afetar seriamente a verificação da comunicação e quaisquer ações de acompanhamento futuras ou em curso, incluindo inquéritos, processos pré-disciplinares, disciplinares ou de suspensão; i) Nos termos do artigo 25.o, n.o 1, alíneas b), c), d), g) e h), do Regulamento, ao prestar assistência a outras instituições, órgãos, organismos e agências da União, ao receber assistência destes ou ao cooperar com estes no contexto das atividades previstas nas alíneas a) a d) do presente número, e nos termos dos acordos de nível de serviço, memorandos de entendimento e acordos de trabalho pertinentes; j) Nos termos do artigo 25.o, n.o 1, alíneas b), c), g) e h), do Regulamento, ao prestar ou receber assistência e cooperação de e para as autoridades nacionais competentes dos Estados-Membros, a seu pedido ou por sua própria iniciativa, em particular no contexto das atividades previstas nas alíneas f) a h) do presente número e nos termos das disposições do Regulamento GEFC e das decisões do Conselho de Administração; k) Nos termos do artigo 25.o, n.o 1, alíneas b), c), g) e h), do Regulamento, ao prestar ou receber assistência de e para as autoridades nacionais competentes de países terceiros e organizações internacionais, ou ao cooperar com tais autoridades e organizações, em particular nos termos dos acordos de nível de serviço, memorandos de entendimento e acordos de trabalho pertinentes; l) Nos termos do artigo 25.o, n.o 1, alínea e), do Regulamento, ao tratar dados pessoais no contexto de uma ação junto do Tribunal de Justiça da União Europeia ou de órgãos jurisdicionais nacionais; m) Nos termos do artigo 25.o, n.o 1, alínea h), do Regulamento, ao tratar pedidos de acesso dos membros do pessoal aos seus relatórios médicos relacionados com a sua aptidão física e psicológica, se o acesso direto a esses processos for suscetível de prejudicar o titular dos dados, tendo em conta a saúde ou o estado mental da pessoa em causa. Nesses casos, a Agência deve facultar o acesso indireto às informações médicas pertinentes através do seu consultor médico ou de um prestador de serviços médicos externo; n) Nos termos do artigo 25.o, n.o 1, alíneas c), d), g) e h), do Regulamento, ao realizar análises de segurança suscetíveis de conduzir a investigações internas relacionadas com incidentes de cibersegurança ou abusos dos sistemas informáticos, incluindo o envolvimento externo da CERT-UE, ao assegurar a segurança interna mediante meios de videovigilância, controlo do acesso e fins de investigação, ao garantir a segurança dos sistemas de comunicação e informação e ao aplicar contramedidas técnicas de segurança. A Agência impor limitações ao exercício de alguns dos direitos referidos no artigo 1.o, n.o 2, da presente decisão aos titulares dos dados em relação a informações suscetíveis de afetar gravemente essas análises de segurança, os meios para garantir a segurança interna, incluindo o controlo do acesso, investigações de segurança e contramedidas técnicas de segurança. 2. Qualquer limitação deve respeitar a essência dos direitos e liberdades fundamentais e constituir uma medida necessária e proporcionada numa sociedade democrática. 3. Deve ser efetuado um teste da necessidade e da proporcionalidade, caso a caso, antes da aplicação de limitações. As limitações devem restringir-se ao estritamente necessário para alcançar os seus objetivos. 4. Para efeitos de responsabilização, a Agência deve elaborar um registo que descreva os motivos das limitações aplicadas, identifique os motivos enumerados no n.o 1 que são aplicáveis e indique os resultados do teste de necessidade e proporcionalidade. Esse documento deve ser incluído num ficheiro, que será facultado à AEPD, a pedido desta. A Agência elabora e publica relatórios periódicos sobre a aplicação do artigo 25.o do Regulamento. 5. Ao proceder ao tratamento de dados pessoais recebidos de outras organizações no âmbito das suas funções, a Agência deve consultar essas organizações sobre os eventuais motivos para a imposição de limitações e sobre a necessidade e proporcionalidade das limitações em causa, a menos que tal ponha em perigo as atividades da Agência.

Artigo 3.o Riscos para os direitos e liberdades dos titulares de dados 1. As avaliações dos riscos para os direitos e liberdades dos titulares de dados decorrentes da imposição de limitações e os pormenores sobre o período de aplicação dessas limitações devem ser registados no registo das atividades de tratamento conservado pela Agência nos termos do artigo 31.o do Regulamento. Devem igualmente ser registados em todas as avaliações de impacto sobre a proteção de dados relativas a essas limitações realizadas nos termos do artigo 39.o do Regulamento. 2. Sempre que a Agência avaliar a necessidade e a proporcionalidade de uma limitação, deve considerar os potenciais riscos para os direitos e liberdades do titular dos dados. 3. As limitações não se aplicam quando o exercício do direito limitado privar a limitação do seu efeito ou prejudicar os direitos ou liberdades de outros titulares de dados.

Artigo 4.o Garantias e períodos de conservação 1. A Agência aplica garantias para evitar o abuso ou o acesso ou transferência ilícitos dos dados pessoais aos quais se aplicam ou podem ser aplicadas limitações. Essas garantias devem incluir medidas técnicas e organizativas e ser especificadas, conforme necessário, nas decisões do Conselho de Administração da Agência, nas decisões do diretor executivo, nos planos operacionais elaborados em conformidade com o artigo 38.o do Regulamento GEFC, nas decisões internas, nos procedimentos e nas notificações administrativas. As garantias incluem: a) Uma definição adequada das funções, responsabilidades e etapas processuais; b) Se adequado, um ambiente eletrónico seguro que previna o acesso acidental e ilícito ou a transferência de dados eletrónicos a pessoas não autorizadas; c) Se adequado, o armazenamento e tratamento seguros de documentos em papel; d) Um controlo adequado das limitações e um reexame periódico da sua aplicação. Os reexames a que se refere a alínea d) devem ser realizados pelo menos de seis em seis meses e podem resultar no levantamento das limitações em conformidade com o n.o 2. Os reexames são documentados pelo responsável pelo tratamento designado para efeitos de responsabilização. 2. As limitações devem ser anuladas assim que cessarem as circunstâncias que as justificam. 3. Os dados pessoais são conservados em conformidade com as regras de conservação da Agência aplicáveis, a definir nos registos de proteção de dados mantidos nos termos do artigo 31.o do Regulamento. No termo do período de conservação, os dados pessoais são apagados, anonimizados ou transferidos para arquivos em conformidade com o artigo 13.o do Regulamento.

Artigo 5.o Participação do encarregado da proteção de dados 1. O encarregado da proteção de dados deve ser informado sem demora injustificada sempre que os direitos dos titulares dos dados sejam objeto de limitações em conformidade com a presente decisão. Deve ser-lhe concedido acesso aos registos conexos e a quaisquer documentos relativos ao contexto factual ou jurídico. 2. O encarregado da proteção de dados pode solicitar o reexame da aplicação de uma limitação. A Agência informa, por escrito, o encarregado da proteção de dados acerca do resultado do reexame. 3. A Agência documenta a intervenção do encarregado da proteção de dados na aplicação das limitações, incluindo as informações que lhe são comunicadas. 4. Os responsáveis pelo tratamento designados informam o encarregado da proteção de dados quando uma limitação tiver sido levantada.

Artigo 6.o Informação aos titulares dos dados sobre as limitações dos seus direitos 1. A Agência inclui nos avisos sobre a proteção de dados publicados no seu sítio Web e Intranet uma secção que presta informações gerais aos titulares dos dados sobre as eventuais limitações dos direitos dos titulares de dados nos termos do artigo 2.o, n.o 1. As informações devem abranger os direitos que podem ser limitados, os motivos que podem justificar a aplicação das limitações e a duração da eventual limitação. 2. A Agência informa individualmente os titulares dos dados, por escrito e sem demora injustificada, acerca das limitações atuais ou futuras dos seus direitos. A Agência informa o titular dos dados acerca dos principais motivos em que se baseia a aplicação da limitação, do seu direito de consultar o encarregado da proteção de dados com vista a contestar a limitação e do seu direito de apresentar uma reclamação à AEPD. 3. A Agência pode diferir, omitir ou recusar a prestação de informações sobre os motivos de uma limitação e o direito de apresentar uma reclamação à AEPD caso isso seja suscetível de anular o efeito da limitação. A avaliação de tal justificação deve ser efetuada caso a caso. A Agência fornece as informações ao titular dos dados assim que tal deixe de ser suscetível de anular o efeito da limitação.

Artigo 7.o Comunicação de uma violação de dados pessoais ao titular dos dados 1. Sempre que esteja obrigada a comunicar uma violação de dados nos termos do artigo 35.o, n.o 1, do Regulamento, a Agência pode, em circunstâncias excecionais, limitar total ou parcialmente essa comunicação. Deve documentar em nota as razões da limitação, o seu fundamento jurídico nos termos do artigo 2.o e uma avaliação da sua necessidade e proporcionalidade. A nota deve ser comunicada à AEPD no momento da notificação da violação de dados pessoais. 2. Se os motivos da limitação deixarem de se aplicar, a Agência deve comunicar a violação dos dados pessoais ao titular dos dados e informá-lo dos principais motivos da limitação e do seu direito de apresentar uma reclamação à AEPD.

Artigo 8.o Confidencialidade das comunicações eletrónicas 1. Em circunstâncias excecionais, a Agência pode limitar o direito à confidencialidade das comunicações eletrónicas estabelecido no artigo 36.o do Regulamento. Tais limitações devem cumprir o disposto na Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (11). 2. Quando a Agência limita o direito à confidencialidade das comunicações eletrónicas, deve informar o titular dos dados em causa, na sua resposta a qualquer pedido deste, acerca dos principais motivos em que se baseia a aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD. 3. A Agência pode diferir, omitir ou recusar a prestação de informações sobre os motivos de uma limitação e o direito de apresentar uma reclamação à AEPD caso isso seja suscetível de anular o efeito da limitação. A avaliação de tal justificação deve ser efetuada caso a caso.

Artigo 9.o Entrada em vigor A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito por procedimento escrito em 4 de abril de 2022. Pelo Conselho de Administração Marko GAŠPERLIN Presidente

(1) JO L 295 de 21.11.2018, p. 39.

(2) JO L 295 de 14.11.2019, p. 1.

(3) Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho, de 29 de fevereiro de 1968, que fixa o Estatuto dos Funcionários das Comunidades Europeias assim como o Regime aplicável aos outros agentes destas Comunidades, e institui medidas especiais temporariamente aplicáveis aos funcionários da Comissão (JO L 56 de 4.3.1968, p. 1).

(4) Decisão n.o R-ED-2021-51 do Diretor Executivo, de 19 de abril de 2021, relativa ao procedimento operacional normalizado (PON) — Comunicação de incidentes graves.

(5) Para efeitos da presente decisão, o termo «Estados-Membros» também inclui os Estados que participam no desenvolvimento pertinente do acervo de Schengen, na aceção do Tratado sobre o Funcionamento da União Europeia e do seu Protocolo (n.o 19) relativo ao acervo de Schengen integrado no âmbito da União Europeia.

(6) Decisão 3/2021 do Conselho de Administração, de 15 de janeiro de 2021, que adota regras para o diretor executivo autorizar o pessoal estatutário a transportar e utilizar armas, incluindo no que diz respeito à cooperação obrigatória com as autoridades nacionais competentes, e que assegura a continuação do cumprimento das condições de emissão dessas autorizações pelo pessoal estatutário.

(7) Decisão 69/2021 do Conselho de Administração, de 21 de dezembro de 2021, que adota regras relativas ao tratamento de dados pessoais operacionais pela Agência.

(8) Decisão 56/2021 do Conselho de Administração, de 15 de outubro de 2021, que adota regras de execução sobre a aplicação do Regulamento (UE) 2018/1725 no que diz respeito às funções, responsabilidades e competências do encarregado da proteção de dados, bem como regras relativas aos responsáveis pelo tratamento designados na Frontex.

(9) Decisão 56/2021 do Conselho de Administração, de 15 de outubro de 2021, que adota regras de execução sobre a aplicação do Regulamento (UE) 2018/1725 no que diz respeito às funções, responsabilidades e competências do encarregado da proteção de dados, bem como regras relativas aos responsáveis pelo tratamento designados na Frontex.

(10) O «pessoal envolvido numa atividade da Agência» inclui os membros das equipas, como o pessoal da própria Agência ou os membros das categorias 2, 3 e 4 do corpo permanente.

(11) Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO L 201 de 31.7.2002, p. 37).