DECISÃO DA MESA DO PARLAMENTO EUROPEU,

de 3 de abril de 2019

sobre as regras de execução relativas à limitação de determinados direitos dos titulares dos dados no que diz respeito à transferência de dados pessoais pelo Parlamento Europeu para as autoridades nacionais no contexto de investigações criminais ou financeiras

(2019/C 163/01)

A MESA DO PARLAMENTO EUROPEU,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 16.o,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (1), nomeadamente o artigo 25.o;

Tendo em conta o artigo 25.o, n.o 2, do Regimento do Parlamento Europeu,

Tendo em conta o parecer da Autoridade Europeia para a Proteção de Dados, de 28 de fevereiro de 2019, que foi consultada nos termos do artigo 41.o, n.o 2, do Regulamento (UE) 2018/1725,

Considerando o seguinte:

(1) O Parlamento Europeu recebe pedidos de transmissão de informações e cópias de processos administrativos e documentos de autoridades nacionais que efetuam investigações criminais ou financeiras.

(2) O Parlamento Europeu deve facultar às autoridades nacionais as informações e os documentos solicitados, segundo o princípio da cooperação leal consagrado no artigo 4.o, n.o 3, do Tratado da União Europeia.

(3) A transferência das informações e dos documentos solicitados às autoridades nacionais pode incluir dados pessoais.

(4) O presidente, o secretário-geral ou os serviços por estes designados podem transferir as informações e os documentos solicitados e, para efeito dessas transferências, agem na qualidade de responsáveis pelo tratamento.

(5) Neste âmbito, o Parlamento Europeu é obrigado a respeitar os direitos fundamentais dos titulares dos dados em causa, que se encontram consagrados no artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia, no artigo 16.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia e no Regulamento (UE) 2018/1725, nomeadamente o direito de serem informados sobre o tratamento.

(6) Todavia, o Parlamento Europeu pode ser obrigado a limitar a aplicação dos artigos 4.o, 14.o a 21.o, 35.o e 36.o do Regulamento (UE) 2018/1725 no que respeita à operação de transferência, para proteger, em especial, a finalidade e a confidencialidade das investigações criminais e financeiras nacionais.

(7) O Parlamento Europeu deve efetuar, caso a caso, uma avaliação da necessidade e da proporcionalidade da limitação, tendo em conta os riscos para os direitos e as liberdades dos titulares dos dados, antes da aplicação de qualquer limitação específica; o Parlamento Europeu tem de justificar em que medida as limitações são estritamente necessárias e proporcionadas numa sociedade democrática e respeitam a essência dos direitos e das liberdades fundamentais em causa,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o Objeto e âmbito de aplicação das limitações 1. A presente decisão estabelece as condições em que o Parlamento Europeu pode limitar a aplicação dos artigos 4.o, 14.o a 21.o, 35.o e 36.o do Regulamento (UE) 2018/1725, nos termos do artigo 25.o, n.o 1, alíneas b), e) e f), desse regulamento, ao disponibilizar às autoridades nacionais as informações e os documentos por estas solicitados no âmbito de investigações criminais ou financeiras. 2. A presente decisão aplica-se ao tratamento de dados pessoais, em particular à transferência de dados pessoais, pelo Parlamento Europeu com o objetivo de facultar às autoridades nacionais as informações e os documentos por estas solicitados no âmbito de investigações criminais ou financeiras. 3. O presidente, o secretário-geral ou os serviços por estes designados podem transferir as informações e os documentos solicitados e agem na qualidade de responsáveis pelo tratamento, para efeitos dessa transferência. 4. A presente decisão aplica-se às seguintes categorias de dados pessoais: a) dados de identificação; b) dados de contacto; c) dados profissionais; d) dados financeiros; e) comunicações eletrónicas; f) dados de tráfego; g) dados de videovigilância; h) gravações áudio; i) dados sobre a presença de pessoas; j) todos os outros dados relacionados com o objeto da investigação em questão levada a cabo pelas autoridades nacionais.

Artigo 2.o Salvaguardas 1. Os dados pessoais são armazenados num ambiente físico e eletrónico seguro que impeça o acesso ilícito ou a transferência de dados para pessoas que não têm necessidade de os conhecer. 2. Após a conclusão do tratamento, os dados pessoais são conservados de acordo com as regras aplicáveis do Parlamento Europeu (2). 3. É efetuada uma avaliação da necessidade e da proporcionalidade da limitação nos termos do artigo 9.o, antes da aplicação de qualquer limitação específica.

Artigo 3.o Limitações aplicáveis 1. Sem prejuízo do disposto nos artigos 4.o a 10.o da presente decisão, o responsável pelo tratamento pode limitar a aplicação dos artigos 14.o a 21.o, 35.o e 36.o do Regulamento (UE) 2018/1725, bem como do seu artigo 4.o, na medida em que as respetivas disposições correspondam aos direitos e às obrigações previstos nos artigos 14.o a 21.o desse regulamento, caso o exercício desses direitos ponha em causa a finalidade e a confidencialidade das investigações criminais e financeiras nacionais. 2. O responsável pelo tratamento regista os motivos da limitação, de acordo com o artigo 9.o da presente decisão.

Artigo 4.o Comunicação de informações aos titulares dos dados 1. O Parlamento Europeu publica no seu sítio Web um aviso sobre a proteção de dados, informando todos os titulares dos dados sobre a possibilidade de uma transferência dos seus dados pessoais no contexto da cooperação do Parlamento Europeu com as autoridades nacionais no que diz respeito a investigações criminais e financeiras pendentes e de eventuais limitações dos seus direitos neste contexto. As informações abrangem os direitos que podem ser limitados, os motivos para tais limitações, a sua possível duração e as vias de recurso disponíveis. 2. Se possível, o responsável pelo tratamento informa diretamente cada titular dos dados sobre os seus direitos no que respeita às referidas limitações, sem demora injustificada e no formato mais adequado. As informações abrangem os direitos que podem ser limitados, os motivos para tais limitações, a sua possível duração e as vias de recurso disponíveis.

Artigo 5.o Direito de ser informado 1. Caso o responsável pelo tratamento limite o direito de informação a que se referem os artigos 15.o e 16.o do Regulamento (UE) 2018/1725, os titulares dos dados são informados, nos termos do artigo 25.o, n.o 6, desse regulamento, dos principais motivos nos quais a aplicação da limitação se baseia e do seu direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados. 2. No entanto, essa comunicação de informações sobre a transferência de dados pessoais às autoridades nacionais e sobre a aplicação de uma limitação pode ser adiada, omitida ou recusada, nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, enquanto a mesma anular o efeito da limitação. 3. Se o responsável pelo tratamento adiar, omitir ou recusar, total ou parcialmente, a comunicação de informações aos titulares dos dados a que se refere o n.o 2, regista os motivos para tal nos termos do artigo 9.o

Artigo 6.o Direito de acesso dos titulares dos dados, direito de retificação, direito ao apagamento, direito à limitação do tratamento, obrigação de notificação 1. Caso o responsável pelo tratamento limite, total ou parcialmente, o direito de acesso aos dados pessoais por parte dos titulares dos dados, o direito de retificação, o direito ao apagamento ou o direito à limitação do tratamento a que se referem, respetivamente, os artigos 17.o, 18.o, 19.o e 20.o do Regulamento (UE) 2018/1725, bem como a obrigação de notificação nos termos do artigo 21.o desse regulamento, cumpre-lhe documentar e registar os motivos da limitação, nos termos do artigo 9.o da presente decisão. O responsável pelo tratamento informa o titular dos dados em causa, na sua resposta ao pedido de acesso, retificação, apagamento e limitação do tratamento, acerca da limitação aplicada e dos principais motivos para a limitação, e da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia. 2. A comunicação de informações sobre os motivos da limitação a que se refere o n.o 1 pode ser adiada, omitida ou recusada, enquanto a mesma anular o efeito da limitação. 3. O responsável pelo tratamento regista os motivos do adiamento, da omissão ou da recusa nos termos do artigo 9.o 4. Sempre que o direito de acesso for total ou parcialmente limitado, o titular de dados exerce o seu direito de acesso por intermédio da Autoridade Europeia para a Proteção de Dados, nos termos do artigo 25.o, n.os 6, 7 e 8, do Regulamento (UE) 2018/1725.

Artigo 7.o Comunicação de violações de dados pessoais aos titulares dos dados Sempre que o responsável pelo tratamento limitar o direito de o titular dos dados receber comunicações de uma violação de dados pessoais, nos termos do artigo 35.o do Regulamento (UE) 2018/1725, regista os motivos para tal, nos termos do artigo 9.o da presente decisão.

Artigo 8.o Confidencialidade das comunicações eletrónicas Sempre que o responsável pelo tratamento limitar o direito à confidencialidade das comunicações eletrónicas a que se refere o artigo 36.o do Regulamento (UE) 2018/1725, regista os motivos para tal, nos termos do artigo 9.o da presente decisão.

Artigo 9.o Avaliação da necessidade e da proporcionalidade e registo das limitações 1. Antes de aplicar quaisquer limitações específicas, o responsável pelo tratamento avalia a necessidade e a proporcionalidade das limitações, tendo em conta os elementos aplicáveis do artigo 25.o, n.o 2, do Regulamento (UE) 2018/1725. Essa avaliação inclui também uma avaliação dos riscos para os direitos e as liberdades dos titulares dos dados em causa, nomeadamente o risco de os seus dados pessoais poderem ser transferidos sem o seu conhecimento e consentimento e o facto de poderem ser impedidos de exercer os seus direitos nos termos desse regulamento. A avaliação é documentada através de uma nota de avaliação interna e é efetuada caso a caso. 2. O responsável pelo tratamento regista os motivos das limitações aplicadas nos termos da presente decisão, incluindo a avaliação efetuada nos termos do n.o 1. Para esse efeito, o registo indica de que forma o exercício dos direitos do titular dos dados poria em risco a finalidade e a confidencialidade das investigações criminais e financeiras nacionais. 3. Se, nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, o responsável pelo tratamento adiar, omitir ou recusar a comunicação de informações a um titular dos dados sobre a aplicação de uma limitação, o responsável pelo tratamento regista também, se aplicável, os motivos para tal. 4. O registo e, se aplicável, os documentos que contenham elementos factuais e jurídicos subjacentes são armazenados num registo central. O registo e os documentos são disponibilizados à Autoridade Europeia para a Proteção de Dados, mediante pedido.

Artigo 10.o Duração das limitações 1. As limitações a que se referem os artigos 3.o, 5.o, 6.o, 7.o e 8.o são aplicáveis enquanto os motivos que as justificam se mantiverem aplicáveis. 2. Nos casos em que os motivos para as limitações a que se referem os artigos 3.o, 5.o, 6.o, 7.o e 8.o deixem de ser aplicáveis, o responsável pelo tratamento levanta a limitação e comunica ao titular dos dados os principais motivos da limitação. Simultaneamente, o responsável pelo tratamento informa o titular dos dados da possibilidade de apresentar, em qualquer momento, uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia. 3. O responsável pelo tratamento procede ao reexame da aplicação das limitações a que se referem os artigos 3.o, 5.o, 6.o, 7.o e 8.o, de seis em seis meses a contar da data da sua adoção e aquando do encerramento do procedimento em questão.

Artigo 11.o Reexame pelo encarregado da proteção de dados 1. O encarregado da proteção de dados é informado, sem demora injustificada, sempre que os direitos dos titulares dos dados forem limitados de acordo com a presente decisão. Mediante pedido, é facultado ao encarregado da proteção de dados acesso ao registo e a quaisquer documentos que contenham elementos factuais e jurídicos subjacentes. 2. O encarregado da proteção de dados pode solicitar ao responsável pelo tratamento um reexame das limitações. O encarregado da proteção de dados é informado por escrito acerca do resultado do reexame solicitado. 3. Todas as trocas de informações com o encarregado da proteção de dados durante todo o procedimento são registadas no formato adequado, nos termos dos n.os 1 e 2.

Artigo 12.o Entrada em vigor A presente decisão entra em vigor no dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

(1) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).

(2) Decisão da Mesa, de 2 de julho de 2012, relativa à gestão dos documentos do Parlamento Europeu.