Document ID: 32018D1961

Reference:
12.12.2018
PT
Jornal Oficial da União Europeia
L 315/35
DECISÃO (UE) 2018/1961 DA COMISSÃO
de 11 de dezembro de 2018
que estabelece regras internas relativas à comunicação de informações aos titulares de dados e à limitação de alguns dos seus direitos, no contexto do tratamento de dados pessoais, para efeitos de atividades de auditoria interna
A COMISSÃO,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 249.o, n.o 1,
Considerando o seguinte:
(1)
O Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho (1) exige que cada instituição da União crie uma função de auditoria interna, a desempenhar em conformidade com as normas internacionais aplicáveis. As atividades de auditoria interna da Comissão são realizadas pelo Serviço de Auditoria Interna («Serviço»), que foi criado em 11 de abril de 2000. As atividades de auditoria interna são igualmente realizadas pelo Serviço em agências descentralizadas da União e noutros organismos autónomos que recebem contribuições do orçamento da União.
(2)
O Serviço realiza atividades de auditoria interna nos termos dos artigos 117.o a 123.o do Regulamento (UE, Euratom) 2018/1046 e da sua carta de missão (2). A este respeito, o Serviço tem total independência e acesso pleno e ilimitado a todas as informações requeridas na realização das suas atividades de auditoria interna em relação a todas as atividades e serviços da instituição da União em causa.
(3)
O Serviço aconselha outros serviços da Comissão, agências de execução, bem como agências descentralizadas da União e outros organismos autónomos que recebem contribuições do orçamento da União, sobre a forma de tratar os riscos, ou seja, qualquer acontecimento ou problema que possa ocorrer e afetar negativamente a realização dos objetivos políticos, estratégicos e operacionais da Comissão, emitindo pareceres independentes sobre a qualidade dos sistemas de gestão e de controlo, bem como recomendações destinadas a melhorar as condições de execução das operações, e promovendo uma gestão financeira sólida, em conformidade com os artigos 117.o a 123.o do Regulamento (UE, Euratom) 2018/1046. Por conseguinte, as atividades de auditoria interna do Serviço não visam normalmente as pessoas singulares enquanto tais. No entanto, no decurso das suas atividades, os dados pessoais, na aceção do artigo 3.o, ponto 1, do Regulamento (UE) n.o 2018/1725 do Parlamento Europeu e do Conselho (3), são inevitavelmente tratados. As atividades de auditoria interna realizadas pelo Serviço implicam a avaliação da adequação e da eficácia dos sistemas de gestão interna e do desempenho dos serviços na execução das políticas, programas e ações, bem como da eficiência e eficácia dos sistemas de controlo interno e de auditoria aplicáveis a cada operação de execução orçamental. Por conseguinte, contribuem para a salvaguarda de interesses económicos e financeiros importantes da União e dos Estados-Membros. O Serviço é responsável pelo tratamento das operações que realiza, em conformidade com o artigo 118.o e o artigo 119.o, n.o 2, do Regulamento Financeiro.
(4)
As atividades de auditoria interna realizadas na Comissão e nas suas agências de execução, bem como nas agências descentralizadas da União e noutros organismos autónomos, variam em forma e conteúdo, desde as garantias (incluindo as avaliações de risco) e a consultoria, até às revisões com âmbito limitado e às atividades de seguimento.
(5)
O Comité de Acompanhamento das Auditorias (CAA), em conformidade com a sua carta de missão atualizada em 21 de novembro de 2018 [C(2018) 7707], é um órgão consultivo (4) que assiste a Comissão no cumprimento das suas obrigações nos termos dos Tratados e de outros instrumentos legais [Regulamento (UE, Euratom) 2018/1046], assegurando a independência do Serviço de Auditoria Interna, controlando a qualidade do trabalho de auditoria interna e assegurando que as recomendações de auditoria interna e externa sejam devidamente tidas em conta pelos serviços da Comissão e recebam um seguimento adequado. Desta forma, o CAA contribui para a melhoria global da eficácia e eficiência da Comissão na consecução dos seus objetivos e facilita a supervisão, por parte do Colégio, da governação, da gestão dos riscos e das práticas de controlo interno da Comissão. O CAA é responsável pelas operações de tratamento que realiza, em conformidade com o artigo 123.o do Regulamento Financeiro.
(6)
Para efeitos das suas atividades ao abrigo do artigo 118.o e do artigo 119.o, n.o 2, do Regulamento (UE, Euratom) 2018/1046, quer por iniciativa própria quer com base em contribuições recebidas, a Comissão trata os dados pessoais adquiridos ou recebidos de pessoas coletivas, pessoas singulares, Estados-Membros e organismos e organizações internacionais. Durante essas atividades de auditoria interna, o Serviço pode igualmente tratar dados pessoais adquiridos ou recebidos de fontes publicamente disponíveis, de fontes anónimas ou de fontes identificadas que exijam proteção da sua identidade.
(7)
A Comissão pode, por sua vez, proceder ao intercâmbio de dados pessoais com as instituições, organismos, serviços e gabinetes e agências da União, com as autoridades competentes dos Estados-Membros e, no âmbito dos acordos internacionais ou de cooperação da Comissão aplicáveis, com países terceiros e organizações internacionais.
(8)
As atividades de tratamento de dados pessoais, na aceção do artigo 3.o, ponto 3), do Regulamento (UE) 2018/1725, realizadas no decurso da auditoria interna, podem ocorrer mesmo antes de a Comissão a iniciar formalmente, prosseguir durante a realização da auditoria, podendo continuar mesmo após o encerramento formal da auditoria (por exemplo, para efeitos de fiscalização da execução de recomendações, ou avaliação da necessidade de iniciar novas atividades de auditoria interna).
(9)
As categorias de dados pessoais tratados pela Comissão incluem dados de identificação, dados de contacto, dados profissionais e dados relacionados ou necessários em relação com o objeto da atividade de auditoria. Estas categorias de dados pessoais são armazenadas num quadro eletrónico seguro para impedir o acesso ou a transferência ilegais de dados a pessoas sem necessidade de os conhecer. Os dados pessoais são conservados por um período máximo de dez anos. No final do período de conservação, as informações relativas à atividade de auditoria interna, incluindo os dados pessoais, são transferidas para os arquivos históricos da Comissão (5) ou destruídos.
(10)
No exercício das atividades de auditoria interna, a Comissão é obrigada a respeitar os direitos das pessoas singulares no que diz respeito ao tratamento de dados pessoais reconhecidos pelo artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia e pelo artigo 16.o, n.o 1, do Tratado, assim como os direitos previstos no Regulamento (UE) 2018/1725. Ao mesmo tempo, a Comissão deve respeitar regras estritas em matéria de confidencialidade referidas nas normas internacionais de auditoria interna, em conformidade com o artigo 117.o do Regulamento (UE, Euratom) 2018/1046.
(11)
Em determinadas circunstâncias, é necessário conciliar os direitos dos titulares de dados nos termos do Regulamento (UE) 2018/1725 com as necessidades inerentes às atividades de auditoria interna, a confidencialidade de intercâmbios de informações com pessoas singulares e coletivas, e o pleno respeito dos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725 confere ao Serviço a possibilidade de limitar a aplicação dos artigos 14.o a 17.o, 19.o, 20.o e 35.o, bem como do princípio da transparência previsto no artigo 4.o, n.o 1, alínea a), na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 17.o, 19.o, 20.o e 35.o do referido regulamento.
(12)
A fim de assegurar a eficácia das atividades de auditoria interna, respeitando simultaneamente as normas de proteção dos dados pessoais no âmbito do Regulamento (UE) 2018/1725, que substituiu o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (6), é necessário adotar regras internas de acordo com as quais a Comissão pode limitar os direitos dos titulares de dados, em conformidade com o artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725.
(13)
As regras internas devem abranger todas as operações de tratamento de dados efetuadas pela Comissão no exercício das suas atividades de auditoria interna, quer por iniciativa própria quer com base em contribuições recebidas, sempre que o exercício dos direitos dos titulares de dados possa prejudicar a realização de atividades de auditoria interna. Essas regras devem ser aplicáveis a operações de tratamento de dados realizadas antes do início formal de uma atividade de auditoria, durante a atividade, bem como durante o acompanhamento do seguimento dado ao seu resultado.
(14)
A fim de dar cumprimento aos artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725, a Comissão deve informar todos as pessoas das suas atividades que envolvam o tratamento dos seus dados pessoais e dos seus direitos, de modo transparente e coerente, através da publicação de declarações sobre a proteção de dados no sítio Web da Comissão. Se for caso disso, a Comissão deve apresentar garantias adicionais para assegurar que os titulares de dados são individualmente informados num formato adequado.
(15)
Com base no artigo 25.o do Regulamento (UE) 2018/1725, a Comissão pode também limitar a comunicação de informações aos titulares de dados e o exercício de outros direitos desses titulares, a fim de proteger as suas próprias atividades de auditoria interna, as auditorias das autoridades públicas dos Estados-Membros, os instrumentos e métodos de auditoria, bem como os direitos de outras pessoas relacionados com as suas atividades de auditoria interna.
(16)
Além disso, a fim de manter uma cooperação eficaz, pode ser necessário que a Comissão limite a aplicação dos direitos dos titulares de dados, a fim de proteger as operações de tratamento dos serviços da Comissão, de outras instituições, organismos, serviços e gabinetes e agências da União ou das autoridades dos Estados-Membros e das organizações internacionais, bem como do Comité de Acompanhamento das Auditorias. Para o efeito, a Comissão deve consultar essas instituições, serviços e gabinetes, organismos, agências, autoridades e organizações, bem como o Comité de Acompanhamento das Auditorias, sobre os motivos relevantes para a imposição de limitações e a sua necessidade e proporcionalidade.
(17)
A Comissão pode igualmente ter de limitar a comunicação de informações aos titulares de dados e a aplicação de outros direitos dos titulares de dados, no que diz respeito aos dados pessoais recebidos de países terceiros ou de organizações internacionais, a fim de cooperar com esses países ou organizações e, dessa forma, salvaguardar um importante objetivo de interesse público geral da União. No entanto, em determinadas circunstâncias, o interesse ou os direitos fundamentais do titular de dados podem prevalecer sobre o interesse da cooperação internacional.
(18)
A Comissão deve tratar todas as limitações de forma transparente e registar cada aplicação de limitações no sistema de registo correspondente.
(19)
Nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, os responsáveis pelo tratamento podem adiar, omitir ou recusar comunicar ao titular de dados informações sobre os motivos que levaram à aplicação de uma limitação, desde que essas informações possam, de qualquer modo, comprometer a finalidade da limitação. Tal é, em especial, o caso das limitações de direitos previstas nos artigos 16.o e 35.o do Regulamento (UE) 2018/1725.
(20)
Sempre que outros direitos dos titulares de dados forem limitados, o responsável pelo Serviço de Auditoria Interna deve avaliar caso a caso se a comunicação da limitação comprometeria a sua finalidade.
(21)
O responsável pela proteção de dados da Comissão Europeia deve proceder a uma análise independente da aplicação das limitações, a fim de assegurar o cumprimento da presente decisão.
(22)
O Regulamento (UE) 2018/1725 substitui o Regulamento (CE) n.o 45/2001, sem qualquer período transitório, a partir da data da sua entrada em vigor. A possibilidade de aplicar limitações a certos direitos ficou prevista no Regulamento (CE) n.o 45/2001. A fim de evitar comprometer a legalidade das atividades de auditoria interna, a presente decisão deve ser aplicável a partir da data de entrada em vigor do Regulamento (UE) 2018/1725.
(23)
A Autoridade Europeia para a Proteção de Dados emitiu um parecer em 27 de novembro de 2018,
ADOTOU A PRESENTE DECISÃO:
Artigo 1.o
Objeto e âmbito de aplicação
1.   A presente decisão estabelece as regras a seguir pela Comissão a fim de informar os titulares de dados do tratamento dos seus dados, em conformidade com os artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725, no âmbito das suas atividades de auditoria interna, em conformidade com os artigos 117.o e 123.o do Regulamento (UE, Euratom) 2018/1046.
Estabelece igualmente as condições em que a Comissão pode limitar a aplicação dos artigos 4.o, 14.o a 17.o, 19.o, 20.o e 35.o do Regulamento (UE) 2018/1725, em conformidade com o artigo 25.o, n.o 1, alíneas c), g) e h), do referido regulamento.
2.   A presente decisão aplica-se ao tratamento de dados pessoais, por parte da Comissão, para efeitos ou relacionado com as atividades realizadas a fim de cumprir as suas tarefas, de acordo com o artigo 118.o e o artigo 119.o, n.o 2, do Regulamento (UE, Euratom) 2018/1046.
3.   A presente decisão é aplicável ao tratamento de dados pessoais no âmbito da Comissão, na medida em que a Comissão trate dados pessoais que constem das informações que deve tratar para efeitos ou em relação com as atividades referidas no presente artigo.
Artigo 2.o
Exceções e limitações aplicáveis
1.   Sempre que a Comissão exercer as suas funções, no que diz respeito aos direitos dos titulares de dados, nos termos do Regulamento (UE) 2018/1725, deve considerar se se aplicam quaisquer exceções previstas nesse regulamento.
2.   Sob reserva do disposto nos artigos 3.o a 7.o da presente decisão, a Comissão pode limitar a aplicação dos artigos 14.o a 17.o, 19.o, 20.o e 35.o do Regulamento (UE) 2018/1725, bem como o princípio da transparência previsto no artigo 4.o, n.o 1, alínea a), do referido regulamento, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 17.o, 19.o, 20.o e 35.o do referido regulamento, sempre que o exercício desses direitos e obrigações comprometa a finalidade das atividades da Comissão previstas no artigo 118.o e no artigo 119.o, n.o 2, do Regulamento (UE, Euratom) 2018/1046, nomeadamente ao revelar os seus instrumentos e métodos de auditoria, ou prejudique os direitos e as liberdades de outros titulares de dados.
3.   Sob reserva do disposto nos artigos 3.o a 7.o, a Comissão pode limitar os direitos e obrigações referidos no n.o 2 do presente artigo, no respeitante aos dados pessoais obtidos junto de outras instituições, organismos, serviços e gabinetes e agências da União, de autoridades competentes dos Estados-Membros ou de países terceiros ou de organizações internacionais, nas seguintes circunstâncias:
a)
Sempre que o exercício desses direitos e obrigações possa ser limitado por outras instituições, organismos, serviços e gabinetes e agências da União, com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725 ou em conformidade com o capítulo IX do referido regulamento, ou em conformidade com o Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho (7) ou com o Regulamento (UE) 2017/1939 do Conselho (8);
b)
Sempre que o exercício desses direitos e obrigações possa ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (9), ou em medidas nacionais de transposição do artigo 13.o, n.o 3, do artigo 15.o, n.o 3, ou do artigo 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (10);
c)
Sempre que o exercício desses direitos e obrigações possa pôr em causa a cooperação da Comissão com países terceiros ou organizações internacionais na realização das atividades de auditoria interna.
Antes de aplicar limitações às circunstâncias referidas nas alíneas a) e b) do primeiro parágrafo, a Comissão deve consultar as instituições, organismos, serviços e gabinetes e agências da União ou as autoridades competentes dos Estados-Membros, a menos que seja claro para a Comissão que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas ou essa consulta comprometa a finalidade das suas atividades no âmbito do artigo 118.o e do artigo 119.o, n.o 2, do Regulamento (UE, Euratom) 2018/1046.
A alínea c) do primeiro parágrafo não se aplica caso os interesses ou direitos fundamentais e liberdades dos titulares de dados prevaleçam sobre o interesse da Comissão em cooperar com países terceiros ou com organizações internacionais.
4.   Os n.os 1, 2 e 3 não prejudicam a aplicação de outras decisões da Comissão que estabeleçam regras internas relativas à comunicação de informações aos titulares de dados e à limitação de determinados direitos ao abrigo do artigo 25.o do Regulamento (UE) 2018/1725 e do artigo 23.o do Regulamento Interno da Comissão.
Artigo 3.o
Comunicação de informações aos titulares de dados
A Comissão deve publicar no seu sítio Web declarações sobre a proteção de dados que informem todos os titulares de dados das suas atividades que envolvam o tratamento dos seus dados pessoais para efeitos das suas atividades no âmbito do artigo 118.o e do artigo 119.o, n.o 2, do Regulamento (UE, Euratom) 2018/1046. Se for caso disso, a Comissão deve assegurar que os titulares de dados são individualmente informados num formato adequado.
Sempre que a Comissão limite, no todo ou em parte, a prestação de informações a titulares de dados, cujos dados são tratados para efeitos das suas atividades no âmbito do artigo 118.o e do artigo 119.o, n.o 2, do Regulamento (UE, Euratom) 2018/1046, deve registar as razões da limitação, em conformidade com o artigo 6.o.
Artigo 4.o
Direito de acesso dos titulares de dados, direito ao apagamento e direito à limitação do tratamento
1.   Sempre que a Comissão limitar, total ou parcialmente, o direito de acesso aos dados pessoais por parte dos titulares de dados, o direito ao apagamento ou o direito à limitação do tratamento, a que se referem, respetivamente, os artigos 17.o, 19.o e 20.o do Regulamento (UE) 2018/1725, deve informar o titular de dados em causa, na sua resposta ao pedido de acesso, apagamento ou limitação do tratamento, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar reclamações à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia.
2.   A comunicação de informações sobre os motivos da limitação a que se refere o n.o 1 do presente artigo pode ser diferida, omitida ou recusada caso prejudique a finalidade da limitação.
3.   A Comissão deve registar os motivos da limitação em conformidade com o artigo 6.o da presente decisão.
4.   Sempre que o direito de acesso for limitado total ou parcialmente, o titular de dados pode exercer o seu direito de acesso por intermédio da Autoridade Europeia para a Proteção de Dados, nos termos do artigo 25.o, n.os 6, 7 e 8, do Regulamento (UE) 2018/1725.
Artigo 5.o
Comunicação de violações de dados pessoais aos titulares de dados
Sempre que limitar a comunicação de uma violação de dados pessoais ao titular de dados, nos termos do artigo 35.o do Regulamento (UE) 2018/1725, a Comissão deve registar os motivos da limitação, em conformidade com o artigo 6.o da presente decisão.
Artigo 6.o
Registo das limitações
A Comissão deve registar as razões de qualquer limitação aplicada nos termos da presente decisão, incluindo uma avaliação da necessidade e da proporcionalidade da limitação, tendo em conta os elementos pertinentes do artigo 25.o, n.o 2, do Regulamento (UE) 2018/1725.
Para o efeito, o registo deve indicar de que forma o exercício do direito comprometeria a finalidade das atividades da Comissão no âmbito do artigo 118.o ou do artigo 119.o, n.o 2, do Regulamento (UE, Euratom) 2018/1046, ou das limitações aplicadas nos termos do artigo 2.o, n.os 2 ou 3, ou afetaria negativamente os direitos e as liberdades de outros titulares de dados.
O registo deve ser efetuado e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. Devem ser colocados à disposição da Autoridade Europeia para a Proteção de Dados, a pedido desta.
Artigo 7.o
Duração das limitações
1.   As limitações referidas nos artigos 3.o, 4.o e 5.o da presente decisão devem continuar a ser aplicáveis enquanto as razões que as justificam se mantiverem.
2.   Sempre que os motivos para uma limitação referida nos artigos 3.o ou 5.o da presente decisão deixem de existir, a Comissão deve anular a limitação e expor os motivos principais da limitação ao titular de dados. Simultaneamente, a Comissão deve informar o titular de dados da possibilidade de apresentar, em qualquer momento, uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia.
3.   A Comissão deve examinar a aplicação da limitação referida nos artigos 3.o e 5.o da presente decisão de seis em seis meses a contar da data da sua adoção, e antes e depois do encerramento da atividade de auditoria interna em causa. Posteriormente, a Comissão deve acompanhar a necessidade de manter qualquer limitação/adiamento numa base anual.
Artigo 8.o
Exame pelo responsável pela proteção de dados da Comissão Europeia
O responsável pela proteção de dados da Comissão Europeia deve ser informado, sem demora injustificada, sempre que os direitos dos titulares de dados forem limitados em conformidade com a presente decisão. Mediante apresentação de pedido, o responsável pela proteção de dados deve ter acesso ao registo e a quaisquer documentos que contenham elementos factuais e jurídicos subjacentes.
O responsável pela proteção de dados pode solicitar o exame das limitações. O responsável pela proteção de dados deve ser informado por escrito do resultado do exame solicitado.
Artigo 9.o
Entrada em vigor
A presente decisão entra em vigor no dia da sua publicação no Jornal Oficial da União Europeia.
A presente decisão é aplicável a partir de 11 de dezembro de 2018.
Feito em Bruxelas, em 11 de dezembro de 2018.
Pela Comissão
O Presidente
Jean-Claude JUNCKER
(1)  Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho, de 18 de julho de 2018, relativo às disposições financeiras aplicáveis ao orçamento geral da União, que altera os Regulamentos (UE) n.o 1296/2013, (UE) n.o 1301/2013, (UE) n.o 1303/2013, UE n.o 1304/2013, (UE) n.o 1309/2013, (UE) n.o 1316/2013, (UE) n.o 223/2014 e (UE) n.o 283/2014, e a Decisão n.o 541/2014/UE, e revoga o Regulamento (UE, Euratom) n.o 966/2012 (JO L 193 de 30.7.2018, p. 1).
(2)  C(2017) 4435 final.
(3)  Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).
(4)  Criado em outubro de 2000, SEC(2000) 1808/3.
(5)  A conservação dos ficheiros na Comissão é regulamentada pela lista de conservação comum, um documento regulamentar [última versão: SEC(2012) 713] sob a forma de um calendário de retenção que estabelece os períodos de retenção para os diferentes tipos de ficheiros da Comissão.
(6)  Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO L 8 de 12.1.2001, p. 1).
(7)  Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho, de 11 de maio de 2016, que cria a Agência da União Europeia para a Cooperação Policial (Europol) e que substitui e revoga as Decisões 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI e 2009/968/JAI do Conselho (JO L 135 de 24.5.2016, p. 53).
(8)  Regulamento (UE) 2017/1939 do Conselho, de 12 de outubro de 2017, que dá execução a uma cooperação reforçada para a instituição da Procuradoria Europeia (JO L 283 de 31.10.2017, p. 1).
(9)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).
(10)  Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).

Summary:
Limitações dos direitos dos titulares dos dados — Regras internas da Comissão
Limitações dos direitos dos titulares dos dados — Regras internas da Comissão
 
SÍNTESE DE:
Decisão (UE) 2018/1927 da Comissão que estabelece regras internas relativas ao tratamento de dados pessoais pela Comissão no domínio da concorrência em relação à comunicação de informações aos titulares dos dados e à limitação de certos direitos
Decisão (UE) 2018/1961 da Comissão que estabelece regras internas relativas à comunicação de informações aos titulares dos dados e à limitação de alguns dos seus direitos, no contexto do tratamento de dados pessoais, para efeitos de atividades de auditoria interna
Decisão (UE) 2018/1962 da Comissão que estabelece as normas internas para o tratamento dos dados pessoais pelo Organismo Europeu de Luta Antifraude (OLAF) no que respeita à prestação de informações aos titulares dos dados e à limitação de alguns dos direitos destes
Decisão (UE) 2018/1996 da Comissão que estabelece regras internas relativas à comunicação de informações aos titulares dos dados e à limitação de certos direitos no contexto do tratamento de dados pessoais para efeitos de inquéritos de defesa comercial e de política comercial
Decisão (UE) 2019/154 da Comissão que estabelece as regras internas relativas à limitação do direito de acesso dos titulares de dados aos seus processos médicos
Decisão (UE) 2019/165 da Comissão que estabelece regras internas relativas à comunicação de informações aos titulares dos dados e à limitação de alguns dos seus direitos em matéria de proteção de dados pela Comissão no contexto de inquéritos administrativos e processos pré-disciplinares, disciplinares e de suspensão
Decisão (UE) 2019/236 da Comissão que estabelece regras internas relativas à comunicação de informações aos titulares dos dados e à limitação de alguns dos seus direitos, no contexto do tratamento de dados pessoais pela Comissão, para efeitos de segurança interna das instituições da UE
QUAL É O OBJETIVO DESTAS DECISÕES?
Estabelecem regras internas, com base nas quais a Comissão Europeia pode limitar os direitos dos indivíduos que estes exercem ao abrigo do Regulamento (UE) 2018/1725. As regras internas aplicam-se ao tratamento de dados pessoais em domínios específicos e para fins específicos.
PONTOS-CHAVE
Os dados pessoais são qualquer informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»). Uma pessoa singular é identificável se puder ser identificada, direta ou indiretamente, nomeadamente por referência a um identificador (como um nome, um número de identificação, dados de localização ou um identificador em linha) ou a um ou mais fatores específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular.
O novo quadro jurídico da União Europeia (UE) em matéria de proteção e livre circulação de dados pessoais consiste, nomeadamente, em:o Regulamento Geral de Proteção de Dados (RGPD), que estabelece os direitos dos indivíduos no que diz respeito aos seus dados pessoais, protege-os no que diz respeito ao tratamento dos seus dados pessoais nos países da UE e assegura a livre circulação desses dados;  o Regulamento (UE) 2018/1725, que estabelece os direitos dos indivíduos no que diz respeito aos seus dados pessoais, protege-os no que diz respeito ao tratamento dos seus dados pessoais pelas instituições, órgãos, organismos e agências da UE e assegura a livre circulação desses dados.  Estes regulamentos são considerados equivalentes e devem ser interpretados como sendo os mesmos.
O artigo 25.o do Regulamento (UE) 2018/1725 prevê a possibilidade de, em certos casos, as instituições e órgãos da UE poderem limitar os direitos dos indivíduos, desde que tais limitações estejam previstas ao abrigo do direito da UE. Nesse sentido, a Comissão adotou sete decisões da Comissão, que fundamentam eventuais limitações, a fim de salvaguardar objetivos importantes de interesse público geral da UE.
Com base nessas decisões e na sequência de uma avaliação caso a caso da necessidade e proporcionalidade das limitações, a Comissão Europeia decide se os direitos de uma pessoa singular devem ser limitados num caso individual.
Os seguintes direitos dos indivíduos podem ser limitados:o direito à informação sobreo tratamento dos seus dados pessoais; eviolações dos seus dados pessoais que possam resultar num elevado risco para os seus direitos e liberdades;  o direito de acesso aos seus dados pessoais, de apagamento dos seus dados pessoais ou da limitação do tratamento dos seus dados pessoais.  As sete decisões da Comissão seguem todas um formato semelhante, incluindo cada uma delas alguns ou todos estes elementos:Objeto e âmbito de aplicação A exigência de uma avaliação caso a caso de cada pedido de um titular de dados.    Exceções e/ou limitações aplicáveis Antes de aplicar uma limitação, a Comissão deve, em primeiro lugar, considerar se é aplicável alguma das exceções aos direitos dos titulares dos dados previstas no Regulamento (UE) 2018/1725.    Comunicação de informações aos titulares dos dados A Comissão deve publicar no seu sítio Web avisos em matéria de proteção de dados que informem todos os titulares dos dados das suas atividades de tratamento de dados na área relevante.  A Comissão deve informar individualmente, num formato adequado, qualquer pessoa afetada individualmente por um inquérito ou por uma medida executada num dos domínios pertinentes.    Direitos dos titulares dos dados de acederem aos seus dados pessoais, ao apagamento dos mesmos ou de verem limitado o seu tratamento Se a Comissão limitar o acesso aos dados pessoais, o direito ao apagamento e/ou o direito à limitação do tratamento, deve informar o titular dos dados em causa da limitação aplicada, das principais razões para a sua aplicação e da possibilidade de apresentar queixa à Autoridade Europeia para a Proteção de Dados ou de interpor recurso judicial junto do Tribunal de Justiça da União Europeia.    Documentação e registo das limitações A Comissão deve registar os motivos de qualquer limitação aplicada, incluindo uma avaliação da necessidade e da proporcionalidade.    Duração das limitações As limitações continuam a aplicar-se enquanto subsistirem as razões que as justificam.    Reexame pelo responsável pela proteção de dados (RPD) da Comissão Europeia O RPD deve ser informado, sem demora injustificada, sempre que os direitos dos titulares dos dados forem limitados.  Mediante pedido, o RPD deve ter acesso ao registo e a quaisquer documentos que contenham os elementos factuais e jurídicos subjacentes.  O RPD pode solicitar o reexame da limitação e deve ser informado por escrito do resultado do reexame solicitado.    As sete decisões da Comissão abrangem a limitação dos direitos dos titulares dos dados nos seguintes domínios:Segurança interna das instituições da UE Aplica-se ao tratamento de dados pessoais para garantir a segurança das pessoas, bens e informações na Comissão.  A Comissão deve informar individualmente as testemunhas e as pessoas abrangidas por um inquérito de segurança do tratamento dos seus dados pessoais.  Além disso, a Comissão deve informar individualmente os titulares dos dados cujos dados sejam tratados no caso de inquéritos pessoais, em conformidade com o artigo 7.o, n.o 5, da Decisão (UE, Euratom) 2015/443 da Comissão.  Deve igualmente informar individualmente as pessoas cujos dados sejam tratados no âmbito de buscas nas instalações e nos sistemas de comunicação e de informação da Comissão.    Inquéritos administrativos, processos pré-disciplinares, disciplinares e de suspensão Os direitos e obrigações previstos no Regulamento (UE) 2018/1725 podem ser limitados se comprometerem o objetivo dos inquéritos administrativos, dos processos pré-disciplinares, disciplinares e de suspensão ou se afetarem os direitos e liberdades de outros titulares dos dados.    Dados médicos pessoais A Comissão pode limitar, caso a caso, o direito dos titulares dos dados de acederem diretamente a dados médicos pessoais de natureza psicológica ou psiquiátrica que lhes digam respeito, sempre que o acesso a esses dados seja suscetível de representar um risco para a saúde do titular dos dados.  Esta limitação deve ser proporcional ao estritamente necessário para proteger o titular dos dados.    Defesa comercial e inquéritos em matéria de política comercial Os direitos e obrigações previstos no Regulamento (UE) 2018/1725 podem ser limitados se comprometerem o objetivo das atividades da Comissão em matéria de política comercial e de defesa comercial, ou afetarem negativamente os direitos e liberdades de outros titulares dos dados.    Organismo Europeu de Luta Antifraude (OLAF) Aplica-se ao tratamento de dados pessoais pelo OLAF (bem como ao tratamento de dados pessoais pelos serviços da Comissão e pelas agências de execução que devem ser transmitidos ao OLAF) a fim de cumprir as suas funções;  As investigações do OLAF são totalmente independentes da Comissão;  O OLAF decide se devem ser aplicadas eventuais limitações aos direitos dos titulares dos dados.  Os avisos de proteção de dados que informam os titulares dos dados das atividades que envolvem o tratamento dos seus dados pessoais são publicados no sítio Web do OLAF.  O RPD do OLAF analisa qualquer limitação dos direitos dos titulares dos dados.    Atividades de auditoria interna Os direitos e obrigações previstos no Regulamento (UE) 2018/1725 podem ser limitados no âmbito das operações de tratamento efetuadas pela Comissão no exercício das suas atividades de auditoria interna, sempre que o exercício dos direitos dos titulares dos dados possa comprometer a realização de atividades de auditoria interna, nomeadamente revelando os seus instrumentos e métodos de auditoria ou afete negativamente os direitos e liberdades de outros titulares dos dados.  Além disso, pode ser necessário que a Comissão limite a aplicação dos direitos dos titulares dos dados a fim de proteger as operações de tratamento dos serviços da Comissão ou de outras instituições, órgãos, organismos e agências da União ou das autoridades dos Estados-Membros e organizações internacionais, bem como do Comité de Acompanhamento das Auditorias.  A Comissão informa os indivíduos das suas atividades de auditoria interna que envolvam o tratamento dos seus dados pessoais e dos seus direitos através de um aviso de proteção de dados publicado no sítio Web da Comissão. Se for caso disso, a Comissão assegura que os titulares dos dados sejam informados individualmente, num formato adequado.    Concorrência Os direitos e obrigações previstos no Regulamento (UE) 2018/1725 podem ser limitados se comprometerem o objetivo das atividades de investigação e execução da Comissão, nomeadamente revelando os seus instrumentos e métodos de investigação, ou se afetarem negativamente os direitos e liberdades de outros titulares dos dados.    
A PARTIR DE QUANDO SÃO APLICÁVEIS AS DECISÕES?
As Decisões (UE) 2018/1927, (UE) 2018/1961, (UE) 2018/1962, (UE) 2018/1996 e (UE) 2019/154 são aplicáveis a partir de 11 de dezembro de 2018.  A Decisão (UE) 2019/165 é aplicável a partir de 7 de fevereiro de 2019.  A Decisão (UE) 2019/236 é aplicável a partir de 11 de fevereiro de 2019.  
CONTEXTO
Para mais informações, consulte:Reforma de 2018 das regras de proteção de dados (Comissão Europeia).  
DOCUMENTOS PRINCIPAIS
Decisão (UE) 2018/1927 da Comissão, de 5 de dezembro de 2018, que estabelece regras internas relativas ao tratamento de dados pessoais pela Comissão Europeia no domínio da concorrência em relação à comunicação de informações aos titulares dos dados e à limitação de certos direitos (JO L 313 de 10.12.2018, p. 39-44).
Decisão (UE) 2018/1961 da Comissão, de 11 de dezembro de 2018, que estabelece regras internas relativas à comunicação de informações aos titulares de dados e à limitação de alguns dos seus direitos, no contexto do tratamento de dados pessoais, para efeitos de atividades de auditoria interna (JO L 315 de 12.12.2018, p. 35-40).
Decisão (UE) 2018/1962 da Comissão, de 11 de dezembro de 2018, que estabelece as normas internas para o tratamento dos dados pessoais pelo Organismo Europeu de Luta Antifraude (OLAF) no que respeita à prestação de informações aos titulares dos dados e à limitação de alguns dos direitos destes em conformidade com o artigo 25.° do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (JO L 315 de 12.12.2018, p. 41-46).
Decisão (UE) 2018/1996 da Comissão, de 14 de dezembro de 2018, que estabelece regras internas relativas à comunicação de informações aos titulares dos dados e à limitação de certos direitos no contexto do tratamento de dados pessoais para efeitos de inquéritos de defesa comercial e de política comercial (JO L 320 de 17.12.2018, p. 40-44).
Decisão (UE) 2019/154 da Comissão, de 30 de janeiro de 2019, que estabelece as regras internas relativas à limitação do direito de acesso dos titulares de dados aos seus processos médicos (JO L 27 de 31.1.2019, p. 33-35).
Decisão (UE) 2019/165 da Comissão, de 1 de fevereiro de 2019, que estabelece regras internas relativas à comunicação de informações aos titulares de dados e à limitação de alguns dos seus direitos em matéria de proteção de dados pela Comissão no contexto de inquéritos administrativos e processos pré-disciplinares, disciplinares e de suspensão (JO L 32 de 4.2.2019, p. 9-13).
Decisão (UE) 2019/236 da Comissão, de 7 de fevereiro de 2019, que estabelece regras internas relativas à comunicação de informações aos titulares de dados e à limitação de alguns dos seus direitos, no contexto do tratamento de dados pessoais pela Comissão Europeia, para efeitos da segurança interna das instituições da União (JO L 37 de 8.2.2019, p. 144-149).
DOCUMENTOS RELACIONADOS
Aplicável à Comissão Europeia:
Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39-98).
Decisão (UE, Euratom) 2017/46 da Comissão, de 10 de janeiro de 2017, relativa à segurança dos sistemas de comunicação e de informação na Comissão Europeia (JO L 6 de 11.1.2017, p. 40-51).
Foram incorporadas alterações sucessivas no texto básico da Decisão (UE, Euratom) 2017/46. Esta versão consolidada serve apenas de valor documental.
Decisão (UE, Euratom) 2015/443 da Comissão, de 13 de março de 2015, relativa à segurança na Comissão (JO L 72 de 17.3.2015, p. 41-52).
Aplicável nos países da UE:
Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1-88).
Ver versão consolidada.
Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89-131).
Ver versão consolidada.
última atualização 03.04.2019