DECISÃO n.o 42-2021 DO TRIBUNAL DE CONTAS

de 20 de maio de 2021

que adota regras internas sobre as limitações de certos direitos dos titulares de dados em relação ao tratamento de dados pessoais no âmbito de atividades do Tribunal de Contas Europeu

O TRIBUNAL DE CONTAS EUROPEU,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia («TFUE»);

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE («Regulamento»), nomeadamente o artigo 25.o e o anexo VI;

Tendo em conta o debate que teve lugar no Tribunal de Contas, na sua reunião de 20 de maio de 2021;

Tendo consultado a Autoridade Europeia para a Proteção de Dados sobre a presente decisão, em conformidade com o artigo 41.o, n.o 2, do Regulamento, que emitiu o seu parecer em 23 de setembro de 2019;

Considerando que, no âmbito das suas atividades, o Tribunal de Contas Europeu («Tribunal») trata várias categorias de dados pessoais e está obrigado a respeitar os direitos das pessoas singulares no que diz respeito ao tratamento de dados pessoais, reconhecidos no artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia e no artigo 16.o, n.o 1, do TFUE;

Considerando que, em determinadas circunstâncias, é necessário conciliar os direitos dos titulares de dados nos termos do Regulamento com as necessidades resultantes das funções e atividades do Tribunal. Para o efeito, o artigo 25.o do Regulamento prevê, em condições estritas, a possibilidade de limitar a aplicação dos artigos 14.o a 20.o, dos artigos 35.o e 36.o, e do artigo 4.o;

Considerando que o Tribunal só deve aplicar limitações quando estas respeitem a essência dos direitos e liberdades fundamentais e constituam uma medida necessária e proporcionada numa sociedade democrática. O Tribunal deve tratar todas as limitações de forma transparente e fornecer ao titular dos dados informações sobre os motivos da aplicação de uma limitação;

Considerando que o Tribunal deve levantar a limitação logo que deixem de se verificar as condições que a justificam e avaliar regularmente essas condições;

Considerando que o Encarregado da Proteção de Dados do Tribunal deve ser informado em tempo útil das limitações aplicadas e proceder a um exame independente desta aplicação, a fim de assegurar o cumprimento da presente decisão,

DECIDE:

Artigo 1.o Objeto e âmbito de aplicação A presente decisão estabelece regras relativas às condições em que o Tribunal, com base no artigo 25.o do Regulamento, pode limitar a aplicação dos artigos 14.o a 20.o, dos artigos 35.o e 36.o, e do artigo 4.o do mesmo.

Artigo 2.o Limitações 1. Em conformidade com o artigo 25.o, n.o 1, do Regulamento, o Tribunal pode limitar, caso a caso, a aplicação dos artigos 14.o a 20.o, dos artigos 35.o e 36.o, e do artigo 4.o do mesmo, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 20.o, quando se trate de: a) realizar auditorias, com base no artigo 287.o do TFUE. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento; b) proceder a inquéritos administrativos e processos pré-disciplinares, disciplinares e de suspensão, com base no artigo 86.o do Estatuto dos Funcionários da União Europeia (1) («Estatuto») e em conformidade com o seu anexo IX. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h), do Regulamento; c) tratar queixas internas e externas contra um elemento do pessoal ou um Membro do Tribunal. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alínea h), do Regulamento; d) realizar atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao OLAF. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas b), c) e h), do Regulamento; e) garantir que o pessoal do Tribunal pode fornecer, de forma confidencial, informações sobre irregularidades graves de que tome conhecimento no exercício das suas funções, em conformidade com o disposto no Regulamento Interno do Tribunal quanto à prestação de informações em caso de irregularidades graves (denúncia). As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas f) e h), do Regulamento; f) garantir que o pessoal do Tribunal que considere ter sido vítima de assédio pode solicitar, de forma confidencial, aconselhamento e apoio junto de um gestor, de uma pessoa de contacto, do médico assistente ou de um mediador, em conformidade com a Decisão n.o 26-2017 relativa à política de manutenção de um ambiente de trabalho satisfatório e de combate ao assédio moral e sexual. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas f) e h), do Regulamento; g) realizar auditorias internas, em conformidade com a Decisão n.o 38-2016 do Tribunal que estabelece normas de execução do Regulamento Interno do Tribunal de Contas. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento; h) garantir o acesso do titular dos dados, nos termos do artigo 26.o-A do Estatuto e dos artigos 16.o e 91.o do Regime Aplicável aos Outros Agentes, aos dados médicos de natureza psicológica ou psiquiátrica que lhes digam respeito, sempre que o acesso direto a esses dados seja suscetível de representar um risco para a saúde do titular dos dados, ou a dados médicos, sempre que o exercício desse direito possa prejudicar os direitos e liberdades do titular dos dados ou de outros titulares. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alínea h), do Regulamento; i) garantir a segurança interna no Tribunal, ou seja, a segurança de pessoas, bens e informações, incluindo a realização de inquéritos de segurança interna, eventualmente com participação externa (CERT-UE, autoridades policiais nacionais, etc.). As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas a), b), c), d), g) e h), do Regulamento; j) assegurar que o Encarregado da Proteção de Dados pode realizar investigações em conformidade com o artigo 45.o, n.o 2, do Regulamento. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas d), g) e h), do Regulamento; k) prestar assistência e cooperação a outras instituições, órgãos e organismos da União ou recebê-las dos mesmos. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), d), g) e h), do Regulamento; l) prestar assistência e cooperação a autoridades públicas dos Estados-Membros da UE, países terceiros e organizações internacionais ou recebê-las dos mesmos, a pedido destes ou por sua própria iniciativa. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento; m) tratar dados pessoais em documentos obtidos pelas partes ou pelos intervenientes no âmbito de um processo judicial no Tribunal de Justiça da União Europeia. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alínea e), do Regulamento. 2. As categorias de dados incluem os dados de identificação de uma pessoa singular, as informações de contacto, as funções e atividades profissionais, as informações sobre a conduta e o desempenho privados e profissionais e os dados financeiros. 3. Qualquer limitação respeita a essência dos direitos e liberdades fundamentais numa sociedade democrática e é necessária e proporcionada. 4. O responsável pelo tratamento e o Encarregado da Proteção de Dados realizam um teste de necessidade e de proporcionalidade caso a caso, antes da aplicação de limitações. As limitações cingem-se ao estritamente necessário para atingir os objetivos fixados. 5. O Tribunal regista os motivos das limitações aplicadas, a base jurídica, a avaliação dos riscos para os direitos e liberdades dos titulares dos dados cujos dados pessoais podem ser objeto de limitações e a avaliação da necessidade e proporcionalidade da limitação. O registo e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes fazem parte de um registo ad hoc, que é disponibilizado à Autoridade Europeia para a Proteção de Dados mediante pedido. A documentação relativa às limitações aplicáveis ao processo médico é registada apenas no processo médico pertinente. 6. No tratamento de dados pessoais trocados com outras organizações no âmbito das suas funções, o Tribunal consulta e é consultado por essas organizações sobre os possíveis motivos pertinentes para impor limitações e a necessidade e proporcionalidade das limitações, a menos que tal prejudique as atividades do Tribunal.

Artigo 3.o Controlo das limitações e revisão 1. As limitações referidas no artigo 2.o continuam a aplicar-se enquanto se mantiverem as circunstâncias que as justificam. 2. O Tribunal revê a aplicação de uma limitação de seis em seis meses a contar da sua adoção. Também deve ser efetuada uma revisão em caso de alteração dos elementos essenciais de um processo.

Artigo 4.o Garantias 1. O Tribunal aplica garantias para evitar o abuso ou o acesso ou transferência ilícitos de dados pessoais que possam estar sujeitos a limitações. Estas garantias incluem medidas técnicas e organizativas e são pormenorizadas, se necessário, nas decisões, procedimentos e regras de execução internos do Tribunal. As garantias incluem: a) uma definição adequada das funções, responsabilidades e etapas processuais; b) se for caso disso, um ambiente eletrónico seguro que impeça o acesso ou transferência ilícitos ou acidentais de dados eletrónicos a pessoas não autorizadas; c) se for caso disso, o armazenamento e o tratamento seguros de documentos em papel.

Artigo 5.o Informações a comunicar ao Encarregado da Proteção de Dados e exame por este 1. O Encarregado da Proteção de Dados é informado sem demora injustificada sempre que os direitos do titular dos dados sejam limitados em conformidade com a presente decisão e tem acesso ao registo e a quaisquer documentos que contenham elementos factuais e jurídicos subjacentes. 2. O Encarregado da Proteção de Dados pode apresentar um pedido de exame da aplicação de uma limitação. O Tribunal informa o Encarregado da Proteção de Dados, por escrito, do seguimento dado ao pedido. 3. A participação do Encarregado da Proteção de Dados no procedimento de limitação, incluindo o intercâmbio de informações, será documentada de forma adequada.

Artigo 6.o Informações prestadas aos titulares dos dados sobre as limitações dos seus direitos 1. O Tribunal publica no seu sítio Web informações gerais sobre as limitações dos direitos dos titulares dos dados descritas no artigo 2.o. São explicados o âmbito da limitação, as razões subjacentes e a duração eventual. 2. Nos casos em que o Tribunal aplique o artigo 2.o da presente decisão, informa os titulares dos dados, sem demora injustificada e por escrito, dos principais motivos em que se baseia a aplicação da limitação, bem como do seu direito de apresentar queixa à Autoridade Europeia para a Proteção de Dados e de intentar uma ação judicial no Tribunal de Justiça da União Europeia. 3. O Tribunal pode adiar, omitir ou recusar a comunicação de informações sobre os motivos da limitação referida no n.o 2, enquanto se presuma que anule o efeito da limitação. Esta avaliação é efetuada caso a caso.

Artigo 7.o Comunicação de violações de dados pessoais ao titular dos dados Se o Tribunal limitar a comunicação de uma violação de dados pessoais ao titular dos dados, tal como referido no artigo 35.o do Regulamento, documenta e regista os motivos da limitação, em conformidade com o artigo 2.o, n.o 5, da presente decisão.

Artigo 8.o Confidencialidade das comunicações eletrónicas 1. Em circunstâncias excecionais e em conformidade com as disposições da Diretiva 2002/58/CE relativa à privacidade e às comunicações eletrónicas, o Tribunal pode limitar o direito à confidencialidade das comunicações eletrónicas a que se refere no artigo 36.o do Regulamento. Neste caso, o Tribunal especifica as circunstâncias, os motivos, os riscos relevantes e as garantias conexas em regras internas específicas. 2. Nos casos em que o Tribunal limite o direito à confidencialidade das comunicações eletrónicas, informa o titular dos dados em causa, na resposta ao seu pedido, dos principais motivos em que se baseia a aplicação da limitação e da possibilidade de apresentar uma queixa à Autoridade Europeia para a Proteção de Dados e de intentar uma ação judicial no Tribunal de Justiça da União Europeia. 3. O Tribunal pode adiar, omitir ou recusar a comunicação de informações sobre os motivos da limitação referida nos nos 1 e 2 enquanto se presuma que anule o efeito da limitação. Esta avaliação é efetuada caso a caso.

Artigo 9.o Entrada em vigor A presente decisão entra em vigor no dia da sua publicação no Jornal Oficial da União Europeia.

Feito no Luxemburgo, em 20 de maio de 2021. Pelo Tribunal de Contas Klaus-Heiner LEHNE Presidente

(1) Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho, de 29 de fevereiro de 1968, que fixa o Estatuto dos Funcionários das Comunidades Europeias assim como o Regime aplicável aos outros agentes destas Comunidades, e institui medidas especiais temporariamente aplicáveis aos funcionários da Comissão (JO L 56 de 4.3.1968, p. 1).