DECISÃO DO CONSELHO DE ADMINISTRAÇÃO DA EUROPOL

de 9 de junho de 2020

que estabelece regras internas relativas à limitação de certos direitos dos titulares dos dados no que diz respeito ao tratamento de dados pessoais administrativos pela Europol

O CONSELHO DE ADMINISTRAÇÃO DA EUROPOL,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho, de 11 de maio de 2016, que cria a Agência da União Europeia para a Cooperação Policial (Europol) e que substitui e revoga as Decisões 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI e 2009/968/JAI do Conselho (1) (adiante «Regulamento Europol»), nomeadamente o seu artigo 46.o,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (2), nomeadamente o seu artigo 25.o,

Tendo em conta as Orientações relativas ao artigo 25.o do Regulamento (UE) 2018/1725 e as regras internas da Autoridade Europeia para a Proteção de Dados («AEPD»), de dezembro de 2018,

Tendo em conta as observações da AEPD acerca do projeto de decisão do Conselho de Administração da Europol sobre as regras internas relativas à limitação de certos direitos dos titulares de dados no que respeita ao tratamento de dados pessoais administrativos pela Europol, de 14 de janeiro de 2020,

Considerando que:

(1) A Europol procede ao tratamento de dados operacionais e dados não operacionais (administrativos) não relacionados com investigações criminais, tais como dados pessoais relativos ao pessoal da Europol, aos prestadores de serviços ou aos visitantes. O tratamento de dados operacionais está abrangido pelas disposições do Regulamento Europol, ao passo que ao tratamento dos dados não operacionais (administrativos) é aplicável o Regulamento (UE) 2018/1725.

(2) Em conformidade com o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, as limitações à aplicação dos artigos 14.o a 22.o, 35.o e 36.o, bem como do artigo 4.o desse regulamento, na medida em que as respetivas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 22.o, devem basear-se nas normas internas a adotar pela Europol quando não se baseiem em atos normativos adotados com base nos Tratados.

(3) Estas normas internas, incluindo as suas disposições sobre a avaliação da necessidade e da proporcionalidade de uma limitação, não devem aplicar-se nos casos em que um ato normativo adotado com base nos Tratados preveja uma limitação dos direitos do titular dos dados.

(4) No âmbito do seu funcionamento, a Europol pode proceder a inquéritos administrativos, a processos pré-disciplinares, disciplinares e de suspensão. Os inquéritos administrativos devem ser efetuados pelo Serviço de Inquérito Interno (SII), que é igualmente a autoridade autorizada a celebrar os contratos de trabalho referidos no artigo 6.o do Regime Aplicável aos Outros Agentes perante o Conselho Disciplinar, nos termos do artigo 86.o do Estatuto dos Funcionários da União Europeia (3) e em conformidade com a Decisão do Conselho de Administração da Europol que estabelece as disposições gerais de execução relativas à condução dos inquéritos administrativos e dos processos disciplinares (EDOC #417349).

(5) Os membros do pessoal da Europol têm a obrigação de comunicar eventuais atividades ilegais, incluindo fraude ou corrupção, lesivas dos interesses da União, ou atos relacionados com o exercício de atividades profissionais que possam constituir um grave incumprimento das obrigações do funcionário da União. Este aspeto é explicado nas Orientações aos funcionários da Europol sobre os procedimentos de denúncia de irregularidades (EDOC# 903736).

(6) A Europol estabeleceu uma política para prevenir e tratar de forma eficaz e eficiente os casos reais ou potenciais de assédio psicológico ou sexual no local de trabalho, tal como previsto na Decisão do Conselho de Administração da Europol sobre a política destinada a proteger a dignidade da pessoa e prevenir o assédio psicológico e sexual (EDOC #958626). A Decisão estabelece um procedimento informal em que a alegada vítima do assédio pode contactar conselheiros confidenciais da Europol.

(7) O encarregado da proteção de dados, nos termos do artigo 13.o da Decisão do Conselho de Administração da Europol que estabelece regras de execução relativas ao encarregado da proteção de dados (EDOC #845687), pode efetuar inquéritos sobre o objeto de um pedido.

(8) A Europol pode realizar auditorias às suas atividades através da Estrutura de Auditoria Interna (EAI) da Europol, criada pelo Conselho de Administração na sua reunião de 1 de maio de 2017, nos termos do artigo 11.o, n.o 1, do Regulamento Europol, e exclusivamente responsável perante este órgão.

(9) No contexto das tarefas descritas acima descritas, a Europol pode prestar e receber assistência, bem como cooperar com outras instituições, órgãos e organismos da União, tal como estabelecido nos acordos de nível de serviço, nos memorandos de entendimento e nos acordos de cooperação pertinentes.

(10) Pode ser necessário conciliar os direitos dos titulares de dados nos termos do Regulamento (UE) 2018/1725 com as necessidades inerentes às atividades acima referidas, no pleno respeito pelos direitos e liberdades fundamentais dos outros titulares de dados. Para o efeito, o artigo 25.o do Regulamento (UE) 2018/1725 prevê, sob condições estritas, a possibilidade de limitar a aplicação dos artigos 14.o a 20.o, 35.o e 36.o, bem como do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 20.°. Neste caso, é necessário adotar regras internas no âmbito das quais a Europol pode limitar esses direitos em conformidade com o mesmo artigo do Regulamento (UE) 2018/1725.

(11) Tal poderá ser o caso, em especial, do fornecimento de informações sobre o tratamento de dados pessoais ao titular dos dados durante a fase de avaliação preliminar de um inquérito administrativo ou durante o próprio inquérito, antes de um eventual arquivamento do processo ou de uma fase pré-disciplinar. Em determinadas circunstâncias, a prestação dessas informações pode afetar seriamente a capacidade do SII para realizar o inquérito de forma eficaz, sempre que, por exemplo, exista o risco de a pessoa em causa destruir provas ou interferir com potenciais testemunhas antes de serem entrevistadas. Além disso, a Europol poderá ter de proteger os seus direitos e liberdades, bem como os direitos e as liberdades das outras pessoas envolvidas.

(12) Poderá ser necessário proteger a confidencialidade de uma testemunha ou de um denunciante que tenha pedido para não ser identificado. Nesse caso, a Europol pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais do denunciante e de outras pessoas envolvidas, a fim de proteger os seus direitos e liberdades.

(13) Poderá ser necessário proteger a confidencialidade de um membro do pessoal que tenha contactado os conselheiros confidenciais da Europol no contexto de um procedimento de assédio. Nesse caso, a Europol pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais da alegada vítima, do alegado autor do assédio e de outras pessoas envolvidas, a fim de proteger os seus direitos e liberdades.

(14) No tratamento das reclamações relativas às atividades de tratamento realizadas na Europol, o encarregado da proteção de dados poderá, em determinadas circunstâncias, ter de preservar a eficácia dos seus inquéritos e proteger, na medida do necessário, as pessoas envolvidas e os seus direitos e liberdades.

(15) A Europol só deve aplicar limitações quando respeitem a essência dos direitos e liberdades fundamentais, sejam estritamente necessárias e constituam uma medida proporcionada numa sociedade democrática. A Europol deve apresentar justificações que expliquem os motivos dessas limitações.

(16) Com base no princípio da responsabilização, a Europol deve manter um registo da aplicação das limitações.

(17) Ao proceder ao tratamento de dados pessoais administrativos objeto de intercâmbio com outras organizações no âmbito das suas funções, a Europol deve consultar e ser consultada por essas organizações sobre os eventuais motivos pertinentes para a imposição de limitações e sobre a necessidade e proporcionalidade das limitações, a menos que tal ponha em perigo as atividades da Europol.

(18) O artigo 25.o, n.o 6, do Regulamento (UE) 2018/1725 impõe ao responsável pelo tratamento a obrigação de informar os titulares dos dados sobre os principais motivos de aplicação da limitação e sobre o seu direito de apresentar uma reclamação à AEPD;

(19) Nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, a Europol pode diferir, omitir ou recusar a prestação de informações sobre os motivos para a aplicação de uma limitação ao titular dos dados, caso tal seja suscetível de anular o efeito da limitação.

(20) A Europol avalia, caso a caso e em cooperação com o encarregado da proteção de dados, se a comunicação da restrição anularia o seu efeito.

(21) A fim de garantir a máxima proteção dos direitos e liberdades dos titulares dos dados e em conformidade com o artigo 44.o, n.o 1, do Regulamento (UE) 2018/1725, o encarregado da proteção de dados deve ser informado em tempo útil de quaisquer limitações que estejam a ser aplicadas e verificar o cumprimento da presente Decisão.

(22) A aplicação das limitações acima referidas não prejudica a eventual aplicação do disposto no artigo 16.o, n.o 5, e no artigo 17.o, n.o 4, do Regulamento (UE) 2018/1725, relativos, respetivamente, ao direito de informação quando os dados não tenham sido recolhidos junto do titular dos dados e ao direito de acesso do titular dos dados.

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o Objeto e âmbito de aplicação A presente Decisão estabelece regras relativas às condições em que a Europol pode limitar a aplicação dos artigos 14.o a 20.o, 35.o e 36.o, bem como do seu artigo 4.o, com base no artigo 25.o do Regulamento (UE) 2018/1725.

Artigo 2.o Especificação do responsável pelo tratamento dos dados 1. O responsável pelas operações de tratamento é a Europol, representada pelo seu diretor-executivo, que pode delegar a função de responsável pelo tratamento. 2. Os titulares dos dados são informados acerca do responsável pelo tratamento delegado por meio dos avisos sobre a proteção de dados ou registos publicados no sítio Web e/ou na intranet da Europol.

Artigo 3.o Limitações 1. Nos casos em que a Europol desempenha as suas funções relativamente aos direitos dos titulares dos dados nos termos do Regulamento (UE) 2018/1725, deve ter em conta se são aplicáveis algumas das derrogações previstas nesse regulamento. 2. Em conformidade com o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, a Europol pode limitar a aplicação dos artigos 14.o a 20.o, 35.o e 36.o, bem como do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 20.o do Regulamento (UE) 2018/1725, quando: a) O SII realiza inquéritos prévios e inquéritos administrativos e o Conselho Disciplinar conduz processos disciplinares com base no Estatuto dos Funcionários da União Europeia, bem como na Decisão do Conselho de Administração da Europol que estabelece as disposições gerais de execução relativas à condução dos inquéritos administrativos e dos processos disciplinares. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725; b) No decurso dos procedimentos de denúncia de irregularidades, a fim de garantir que os membros do pessoal da Europol possam comunicar factos de forma confidencial sempre que considerem que existem irregularidades graves, tal como indicado nas Orientações relativas aos procedimentos de denúncia de irregularidades. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alínea h), do Regulamento (UE) 2018/1725; c) Nos procedimentos formais e informais relativos a casos de assédio que garantam que os membros do pessoal da Europol podem comunicar sigilosamente com conselheiros confidenciais no contexto de um procedimento de assédio, tal como definido na Decisão do Conselho de Administração da Europol sobre a política destinada a proteger a dignidade da pessoa e prevenir o assédio psicológico e sexual. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alínea h), do Regulamento (UE) 2018/1725; d) O encarregado da proteção de dados efetua inquéritos sobre as atividades de tratamento realizadas na Europol, nos termos do artigo 13.o da Decisão do Conselho de Administração da Europol que estabelece regras de execução relativas ao encarregado da proteção de dados. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725; e) A Estrutura de Auditoria Interna realiza auditorias internas relativamente a todas as atividades e serviços da Europol. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725; f) A Europol presta ou recebe assistência e coopera com outras instituições, órgãos e organismos da União, no contexto das atividades supramencionadas, tal como estabelecido nos acordos de nível de serviço, nos memorandos de entendimento e nos acordos de cooperação pertinentes. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), d), g), e h), do Regulamento (UE) 2018/1725; 3. As categorias de dados incluem os dados de identificação de uma pessoa singular, os dados de contacto, as funções e tarefas profissionais, as informações sobre conduta e desempenho privados e profissionais e os dados financeiros. 4. Qualquer limitação deve respeitar a essência dos direitos e das liberdades fundamentais e constituir uma medida necessária e proporcionada numa sociedade democrática. 5. Um teste da necessidade e da proporcionalidade deve ser efetuado caso a caso antes da aplicação das limitações. As limitações devem limitar-se ao estritamente necessário para alcançar os objetivos fixados. 6. As limitações devem ser devidamente controladas pelo responsável pelo tratamento de dados e deve ser efetuada uma revisão periódica com um teste de necessidade e de proporcionalidade a cada seis meses após a sua adoção, em consulta com o encarregado da proteção de dados. 7. As limitações serão levantadas logo que cessarem as circunstâncias que as justificam. O responsável pelo tratamento de dados, em consulta com o encarregado da proteção de dados, fornece as informações em causa ao titular dos dados, juntamente com as informações sobre a possibilidade de apresentar uma queixa à AEPD em qualquer momento ou de interpor recurso junto do Tribunal de Justiça da União Europeia. 8. A Europol elabora, para efeitos de responsabilização, um registo que descreva os motivos das limitações aplicadas, os motivos enumerados no n.o 1 que são aplicáveis e os resultados do teste de necessidade e de proporcionalidade. Esses registos devem fazer parte de um registo dedicado, mantido pelo encarregado da proteção de dados, que será disponibilizado a pedido da AEPD. Periodicamente, será disponibilizado um relatório sobre a aplicação do artigo 25.o do Regulamento (UE) 2018/1725. 9. Ao proceder ao tratamento de dados pessoais administrativos objeto de intercâmbio com outras organizações no âmbito das suas funções, a Europol consulta essas organizações sobre os eventuais motivos pertinentes para a imposição de limitações e sobre a necessidade e proporcionalidade das limitações, a menos que tal ponha em perigo as atividades da Europol.

Artigo 4.o Riscos para os direitos e liberdades dos titulares dos dados A avaliação dos riscos para os direitos e liberdades dos titulares de dados cujos dados pessoais possam ser objeto de limitações, bem como o respetivo período de conservação, são referidos no registo das atividades de tratamento pertinentes, em conformidade com o artigo 31.o do Regulamento (UE) 2018/1725 e, se for caso disso, nas avaliações de impacto sobre a proteção de dados pertinentes baseadas no artigo 39.o do Regulamento (UE) 2018/1725.

Artigo 5.o Períodos de conservação e garantias 1. A Europol aplica garantias para evitar o abuso ou o acesso ou transferência ilegais de dados pessoais que possam estar sujeitos a limitações. Estas garantias incluem medidas técnicas e organizativas adequadas para proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a difusão, a alteração ou o acesso não autorizados, ou qualquer outra forma não autorizada de tratamento. As garantias devem incluir: a) uma definição adequada das funções, responsabilidades e etapas processuais; b) se for caso disso, um ambiente eletrónico seguro que impeça o acesso ou a transferência ilegais ou acidentais de dados eletrónicos a pessoas não autorizadas; c) se for caso disso, a conservação segura e o tratamento de documentos em papel; d) a monitorização adequada das limitações e uma revisão periódica da sua aplicação. 2. O período de conservação dos dados pessoais suscetíveis de serem objeto de limitações não excederá o necessário e adequado para os fins a que se destina o tratamento dos dados. Em qualquer caso, não pode exceder o período de conservação indicado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos cima referidos.

Artigo 6.o Informação e revisão pelo encarregado da proteção de dados 1. O encarregado da proteção de dados é consultado sem demora injustificada sempre que o responsável pelo tratamento de dados tencione aplicar limitações aos direitos do titular dos dados em conformidade com a presente Decisão, devendo ser-lhe facultado acesso ao registo que contenha a avaliação da necessidade e da proporcionalidade, bem como a quaisquer documentos subjacentes aos elementos factuais e jurídicos. 2. A participação do encarregado da proteção de dados no procedimento de limitação, incluindo o intercâmbio de informações, será documentada de forma adequada.

Artigo 7.o Informação aos titulares dos dados sobre as limitações aos seus direitos 1. A Europol publica na sua intranet avisos sobre a proteção de dados que informem todos os titulares dos dados acerca das atividades de tratamento que implicam o tratamento dos seus dados pessoais e que possam estar sujeitas a limitações nos termos da presente regulamentação. 2. Os responsáveis pelo tratamento de dados informam individualmente os titulares dos dados que sejam partes num processo, as partes afetadas por um processo ou as testemunhas acerca dos seus direitos e de eventuais limitações.

Artigo 8.o Direito à informação dos titulares dos dados e comunicação sobre violações de dados 1. Se, no contexto das atividades mencionadas na presente Decisão, a Europol limitar, total ou parcialmente, os direitos mencionados nos artigos 14.o a 16.o e 35.o do Regulamento (UE) 2018/1725, os titulares dos dados serão informados dos principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD, bem como de interpor recurso junto do Tribunal de Justiça da União Europeia. 2. A Europol pode adiar, omitir ou recusar a comunicação de informações sobre os motivos da limitação a que se refere o n.o 1, caso se presuma que isso anule o efeito da limitação. Esta avaliação será efetuada caso a caso, em cooperação com o encarregado da proteção de dados.

Artigo 9.o Direito de acesso, retificação, apagamento e limitação do tratamento dos titulares dos dados 1. Se, no contexto das atividades referidas na presente Decisão, a Europol limitar, total ou parcialmente, o direito de acesso aos dados pessoais ou o direito de retificação, apagamento e limitação do tratamento a que se referem, respetivamente, os artigos 17.o a 20.° do Regulamento (UE) 2018/1725, informará o titular dos dados em causa, na sua resposta ao pedido, acerca dos principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD ou de interpor recurso perante o Tribunal de Justiça da União Europeia. 2. A Europol pode adiar, omitir ou recusar a comunicação de informações sobre os motivos da limitação a que se refere o n.o 1, caso se presuma que isso anule o efeito da limitação. Esta avaliação deve ser efetuada caso a caso, em cooperação com o encarregado da proteção de dados.

Artigo 10.o Confidencialidade das comunicações eletrónicas 1. A Europol, em circunstâncias excecionais e em consonância com as disposições e a fundamentação da Diretiva 2002/58/CE (4), pode limitar o direito à confidencialidade das comunicações eletrónicas, tal como referido no artigo 36.o do Regulamento (UE) 2018/1725. 2. Sempre que a Europol limita o direito à confidencialidade das comunicações eletrónicas, informa o titular dos dados em causa, na sua resposta ao pedido, acerca dos principais motivos em que se baseia a aplicação da limitação, bem como da possibilidade de apresentar uma reclamação à AEPD ou de interpor recurso perante o Tribunal de Justiça da União Europeia. 3. A Europol pode adiar, omitir ou recusar a comunicação de informações relativas aos motivos da limitação a que se referem os n.os 1 e 2, caso se presuma que isso anule o efeito da limitação. Esta avaliação deve ser efetuada caso a caso, em cooperação com o encarregado da proteção de dados.

Artigo 11.o Entrada em vigor A presente Decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito na Haia, em 9 de junho de 2020. Pelo Conselho de Administração Andrei LINTA Presidente

(1) JO L 135 de 24.5.2016, p. 53.

(2) JO L 295 de 21.11.2018, p. 39.

(3) Estatuto dos Funcionários da União Europeia, estabelecido no Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho (JO L 56 de 4.3.1968, p. 1).

(4) Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no sector das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO L 201 de 31.7.2002, p. 37).