DECISÃO DO BANCO EUROPEU DE INVESTIMENTO

de 26 de fevereiro de 2019

que estabelece as normas internas para o tratamento dos dados pessoais pela Direção de Pessoal do Banco Europeu de Investimento no que respeita à comunicação de informações aos titulares de dados e à limitação de alguns dos seus direitos

O BANCO EUROPEU DE INVESTIMENTO (BEI),

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 309.o,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE,

Considerando o seguinte:

Nos termos do artigo 38.o do Regulamento do Pessoal do BEI I e II, podem ser adotadas medidas disciplinares contra membros do pessoal que não cumpram as suas obrigações para com o BEI, de acordo com o procedimento previsto no artigo 40.o do referido regulamento. Nos termos do artigo 41.o do Regulamento do Pessoal do BEI I e II, os litígios que não resultem da aplicação das medidas disciplinares previstas no artigo 38.o do referido regulamento podem ser submetidos a um Comité de Conciliação. De acordo com a política de dignidade no trabalho do BEI e as orientações do BEI sobre o procedimento de recurso da avaliação de desempenho, o BEI tem de lidar, respetivamente, com queixas por assédio e com recursos das avaliações de desempenho.

A Direção de Pessoal do BEI tem como principal responsabilidade a organização e gestão dos procedimentos previstos nos artigos 40.o e 41.o do Regulamento do Pessoal do BEI I e II, bem como na política de dignidade no trabalho do BEI e nas orientações do BEI sobre o procedimento de recurso da avaliação de desempenho. A Direção de Pessoal presta, designadamente, apoio e serviços de secretariado jurídico aos órgãos responsáveis pelos referidos procedimentos.

No exercício das suas funções, a Direção de Pessoal é obrigada a respeitar os direitos das pessoas singulares em matéria de tratamento de dados pessoais, reconhecidos no artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia e no artigo 16.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia, bem como em atos normativos adotados com base nessas disposições. Ao mesmo tempo, a Direção de Pessoal deve cumprir as normas estritas de confidencialidade e sigilo profissional enunciadas no Regulamento do Pessoal do BEI e no Código de Conduta do Pessoal do BEI, e garantir o respeito dos direitos processuais das pessoas em causa e das testemunhas, em especial o direito das pessoas em causa a um processo equitativo e à presunção de inocência.

Em determinadas circunstâncias, é necessário conciliar os direitos dos titulares dos dados, protegidos nos termos do Regulamento (UE) 2018/1725 (1), com as finalidades e necessidades inerentes às atribuições da Direção de Pessoal, bem como com o pleno respeito dos direitos e liberdades fundamentais de outros titulares dos dados. Para o efeito, o artigo 25.o do referido regulamento confere à Direção de Pessoal a possibilidade de limitar a aplicação dos artigos 14.o a 22.o, do artigo 35.o, bem como do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 22.o.

Com o objetivo de assegurar a eficácia dos procedimentos levados a cabo pela Comissão Disciplinar e pelo Comité de Conciliação instituídos, respetivamente, nos termos dos artigos 40.o e 41.o do Regulamento do Pessoal do BEI I e II, bem como pelo Comité para a Dignidade no Trabalho e pelo Comité de Recurso criados, respetivamente, nos termos da política de dignidade no trabalho do BEI e das orientações do BEI sobre o procedimento de recurso da avaliação de desempenho, no devido respeito pelas normas de proteção dos dados pessoais ao abrigo do Regulamento (UE) 2018/1725, é necessário adotar normas internas ao abrigo das quais a Direção de Pessoal possa limitar os direitos dos titulares dos dados, em conformidade com o artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725.

As normas internas devem aplicar-se a todas as operações de tratamento realizadas pela Direção de Pessoal no exercício do seu mandato nos termos dos artigos 40.o e 41.o do Regulamento do Pessoal do BEI I e II, bem como nos termos da política de dignidade no trabalho do BEI e das orientações do BEI sobre o procedimento de recurso da avaliação de desempenho. Tais normas devem aplicar-se às operações de tratamento efetuadas antes de terem início os procedimentos realizados pela Comissão Disciplinar, pelo Comité de Conciliação, pelo Comité para a Dignidade no Trabalho e pelo Comité de Recurso, enquanto esses procedimentos estiverem em curso, bem como durante o acompanhamento dos resultados de tais procedimentos.

A fim de dar cumprimento aos artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725, o responsável pelo tratamento dos dados deve informar todas as pessoas singulares acerca das suas atividades que envolvam o tratamento dos dados pessoais e dos direitos dessas pessoas, de modo transparente e coerente, sob a forma de avisos sobre a proteção de dados publicados na Intranet do BEI, bem como informar individualmente os titulares dos dados afetados por tais atividades, nomeadamente as pessoas em causa, as partes e as testemunhas.

Além disso, a fim de manter uma cooperação eficaz, a Direção de Pessoal pode ter de aplicar limitações aos direitos dos titulares dos dados para proteger as informações que contenham dados pessoais provenientes de outros serviços do BEI, das instituições, órgãos, organismos e agências da União Europeia, de autoridades competentes dos Estados-Membros e de países terceiros, bem como de organizações internacionais. Para o efeito, a Direção de Pessoal deve consultar os outros serviços do BEI, instituições, órgãos, organismos, agências, autoridades e organizações internacionais em causa sobre os motivos subjacentes às limitações, bem como sobre a necessidade e proporcionalidade destas.

A Direção de Pessoal deve tratar todas as limitações de forma transparente e introduzir os pedidos de limitação no sistema de registo correspondente.

Nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, os responsáveis pelo tratamento podem adiar a informação ao titular dos dados sobre os motivos para a aplicação de uma limitação, ou abster-se de o fazerem, se tal comprometer de algum modo a finalidade da limitação. Tal é o caso, nomeadamente, da limitação dos direitos previstos nos artigos 16.o e 35.o do Regulamento (UE) 2018/1725. A fim de assegurar que o direito do titular dos dados de ser informado nos termos dos artigos 16.o e 35.o do Regulamento (UE) 2018/1725 é limitado apenas enquanto perdurarem os motivos para o adiamento da comunicação das informações, a Direção de Pessoal deve reexaminar periodicamente a sua posição.

Sempre que seja aplicada uma limitação dos direitos de outros titulares dos dados, incumbe à Direção de Pessoal verificar, caso a caso, se a comunicação da limitação pode comprometer a sua finalidade.

O encarregado da proteção de dados (EPD) do BEI pode proceder a uma análise independente da aplicação das limitações, com vista a assegurar o cumprimento da presente decisão,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o Objeto e âmbito de aplicação 1. A presente decisão estabelece as normas a cumprir pelo responsável pelo tratamento dos dados, tal como previsto no artigo 2.o, n.o 1, ao informar os titulares dos dados sobre o tratamento dos dados que lhes digam respeito, em conformidade com os artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725. Estabelece igualmente as condições em que o responsável pelo tratamento dos dados pode limitar a aplicação dos artigos 14.o a 22.o, do artigo 35.o, bem como do artigo 4.o do regulamento, em conformidade com o artigo 25.o, n.o 1, alíneas c), g) e h) do mesmo regulamento. 2. A presente decisão aplica-se ao tratamento de dados pessoais por parte da Direção de Pessoal no âmbito das atividades realizadas com o objetivo de desempenhar as funções a que se referem os artigos 40.o e 41.o do Regulamento do Pessoal do BEI I e II, bem como a política de dignidade no trabalho do BEI e as orientações do BEI sobre o procedimento de recurso da avaliação de desempenho, bem como as suas subsequentes alterações. 3. No quadro do seu mandato, a Direção de Pessoal trata várias categorias de dados pessoais, nomeadamente dados de identificação, dados de contacto, dados profissionais e dados de envolvimento em casos.

Artigo 2.o Especificação do responsável pelo tratamento e garantias 1. O responsável pelas operações de tratamento é o Diretor-Geral do Pessoal. 2. Os dados pessoais são armazenados num ambiente eletrónico e físico seguro, que impede o acesso e a transferência ilegais dos dados por parte de, ou para pessoas que não têm necessidade de os conhecer. 3. Os dados pessoais tratados são conservados durante, pelo menos, seis meses e, no máximo, dez anos. Informações mais detalhadas sobre a duração exata dos períodos de conservação para cada procedimento podem ser consultadas no calendário de conservação da Direção de Pessoal. 4. Em casos excecionais e devidamente justificados, poderão aplicar-se períodos mais longos do que os acima especificados, sujeitos ao acordo do EPD.

Artigo 3.o Exceções e limitações aplicáveis 1. Sempre que a Direção de Pessoal exercer as suas funções no que diz respeito aos direitos dos titulares dos dados nos termos do Regulamento (UE) 2018/1725, deve verificar se se aplica alguma das exceções previstas nesse regulamento. 2. Sob reserva do disposto nos artigos 4.o a 7.o da presente decisão, a Direção de Pessoal pode limitar a aplicação dos artigos 14.o a 22.o e do artigo 35.o do Regulamento (UE) 2018/1725, bem como do artigo 4.o na medida em que as suas disposições correspondam aos direitos e às obrigações previstos nos artigos 14.o a 22.o do regulamento, nos casos em que o exercício desses direitos e obrigações possa comprometer a finalidade dos procedimentos previstos nos artigos 40.o e 41.o do Regulamento do Pessoal do BEI I e II, bem como na política do BEI em matéria de dignidade no trabalho e nas orientações do BEI sobre o procedimento de recurso da avaliação de desempenho, ou prejudicar os direitos e as liberdades de outros titulares dos dados. 3. Sob reserva do disposto nos artigos 4.o a 7.o da presente decisão, a Direção de Pessoal pode limitar os direitos e as obrigações referidos no n.o 2 do presente artigo relativamente aos dados pessoais provenientes de outros serviços do BEI, de instituições, órgãos, agências e serviços da União Europeia, de autoridades competentes dos Estados-Membros ou de organizações internacionais, nas seguintes circunstâncias: a) Caso o exercício desses direitos e obrigações possa ser limitado por outros serviços do BEI ou por outras instituições, órgãos, agências e serviços da União Europeia com base noutros atos normativos previstos no artigo 25.o do regulamento, ou em conformidade com o capítulo IX desse regulamento; b) Caso o exercício desses direitos e obrigações possa ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos normativos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (2), ou ao abrigo de medidas nacionais de transposição dos artigos 13.o, n.o 3, 15.o, n.o 3, ou 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (3); c) Caso o exercício desses direitos e obrigações possa pôr em causa a cooperação da Direção de Pessoal com países terceiros ou organizações internacionais no exercício das suas funções. Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do primeiro parágrafo, a Direção de Pessoal deve consultar os serviços competentes do BEI, as instituições, órgãos, agências e serviços da União Europeia ou as autoridades competentes dos Estados-Membros, a menos que seja claro para a Direção de Pessoal que a aplicação de uma limitação está prevista num dos atos normativos referidos nessas alíneas. A alínea c) do primeiro parágrafo não se aplica se os interesses ou direitos e liberdades fundamentais dos titulares dos dados prevalecerem sobre o interesse da União Europeia em cooperar com países terceiros ou com organizações internacionais. 4. O disposto nos n.os 1, 2 e 3 aplica-se sem prejuízo da aplicação de outras decisões do BEI que estabeleçam normas internas para a comunicação de informações aos titulares de dados e à limitação de alguns dos seus direitos ao abrigo do artigo 25.o do Regulamento (UE) 2018/1725.

Artigo 4.o Comunicação de informações aos titulares dos dados 1. A Direção de Pessoal deve publicar na Intranet do BEI avisos sobre a proteção de dados, a fim de informar todos os titulares dos dados acerca das suas atividades que envolvam o tratamento dos dados pessoais desses titulares. 2. A Direção de Pessoal deve informar individualmente os titulares dos dados que sejam partes num procedimento, pessoas afetadas por um procedimento, ou testemunhas. 3. Se a Direção de Pessoal limitar, no todo ou em parte, a comunicação da informação aos titulares dos dados referidos no n.o 2, deve documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação. Para esse efeito, a documentação deve indicar de que forma a comunicação da informação pode comprometer a finalidade do procedimento em causa ou das limitações aplicadas nos termos do artigo 3.o, n.o 3, ou prejudicar os direitos e as liberdades de outros titulares dos dados. A documentação e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. Devem ser colocados à disposição da Autoridade Europeia para a Proteção de Dados (AEPD), a pedido desta. 4. A limitação referida no n.o 3 continuará a aplicar-se enquanto se mantiverem os motivos que a justificam. Se os motivos da limitação cessarem, a Direção de Pessoal deve comunicar as informações em causa e os motivos da limitação ao titular dos dados. Simultaneamente, a Direção de Pessoal deve informar o titular dos dados da possibilidade de apresentar, em qualquer momento, uma reclamação à AEPD ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia. A Direção de Pessoal deve reexaminar a aplicação da limitação, pelo menos uma vez por semestre a contar da sua adoção e por ocasião do encerramento do procedimento em causa. Seguidamente, o responsável pelo tratamento deve verificar anualmente a necessidade de se manter qualquer limitação.

Artigo 5.o Direito de acesso do titular dos dados 1. Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no contexto de um ou mais casos específicos ou de uma determinada operação de tratamento, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, a Direção de Pessoal deve restringir a sua apreciação do pedido a esses dados pessoais. 2. Se a Direção de Pessoal limitar, no todo ou em parte, o direito de acesso previsto no artigo 17.o do referido regulamento, deve tomar as seguintes medidas: a) Informar o titular dos dados em causa, na sua resposta ao pedido, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à AEPD ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia; b) Documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação. Para o efeito, a documentação deve indicar de que forma a comunicação da informação comprometeria a finalidade do procedimento em causa ou as limitações aplicadas nos termos do artigo 3.o, n.o 3, ou prejudicaria os direitos e as liberdades de outros titulares dos dados. A comunicação das informações a que se refere a alínea a) pode ser adiada, omitida ou recusada, em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725. 3. A documentação referida no n.o 2, primeiro parágrafo, alínea b), e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. Devem ser colocados à disposição da AEPD, a pedido desta. Aplica-se o artigo 25.o, n.o 7, do Regulamento (UE) 2018/1725.

Artigo 6.o Direito de retificação, apagamento e limitação do tratamento Sempre que a Direção de Pessoal limitar, no todo ou em parte, o exercício do direito de retificação, do direito ao apagamento dos dados ou do direito à limitação do tratamento, a que se referem os artigos 18.o, 19.o, n.o 1, e 20.o, n.o 1, do Regulamento (UE) 2018/1725, deve tomar as medidas indicadas no artigo 5.o, n.o 2, da presente decisão e registar a documentação em conformidade com o artigo 5.o, n.o 3.

Artigo 7.o Comunicação de uma violação de dados pessoais ao titular dos dados Sempre que a Direção de Pessoal limitar a comunicação de uma violação de dados pessoais ao titular dos dados, nos termos do artigo 35.o do Regulamento (UE) 2018/1725, deve documentar e registar os motivos da limitação, em conformidade com o artigo 4.o, n.o 3, da presente decisão. Aplica-se o artigo 4.o, n.o 4, da presente decisão.

Artigo 8.o Reexame pelo encarregado da proteção de dados A Direção de Pessoal deve informar o EPD, sem demora injustificada, sempre que os direitos dos titulares dos dados forem limitados em conformidade com a presente decisão, e conceder-lhe acesso à documentação e à avaliação da necessidade e da proporcionalidade dessa limitação. O EPD pode solicitar à Direção de Pessoal, por escrito, o reexame da limitação aplicada. A Direção de Pessoal deverá informar o EPD por escrito do resultado do reexame solicitado.

Artigo 9.o Entrada em vigor A presente decisão foi aprovada pelo Conselho de Administração do BEI em 26 de fevereiro de 2019 e entra em vigor no dia da sua publicação na página Web do BEI.

Feito no Luxemburgo, em 26 de fevereiro de 2019.

(1) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).

(2) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(3) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de crimes ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).