CELEX: 32020Q0722(01)
Language: pt
Date: 2020-06-04 00:00:00
Title: Decisão do Fundo Europeu de Investimento de 4 de junho de 2020 relativo às regras internas em matéria de limitações de determinados direitos dos titulares dos dados no que diz respeito ao tratamento de dados pessoais no âmbito das atividades realizadas pelo Fundo Europeu de Investimento

22.7.2020   
               
               
                  PT
               
               
                  Jornal Oficial da União Europeia
               
               
                  L 236/1
               
            
         DECISÃO DO FUNDO EUROPEU DE INVESTIMENTO
         de 4 de junho de 2020
         relativo às regras internas em matéria de limitações de determinados direitos dos titulares dos dados no que diz respeito ao tratamento de dados pessoais no âmbito das atividades realizadas pelo Fundo Europeu de Investimento
         O FUNDO EUROPEU DE INVESTIMENTO (FEI),
         Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
         Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1) (a seguir designado «o regulamento»), nomeadamente o seu artigo 25.o,
         Tendo em conta o parecer (2) da Autoridade Europeia para a Proteção de Dados (AEPD),
         Considerando o seguinte:
         
                     (1)
                  
                  
                     O Departamento de Conformidade do FEI pode, no contexto do seu funcionamento, conduzir inquéritos administrativos com base no Código de Conduta do Pessoal do Grupo BEI, o que implica o tratamento de informações que incluem dados pessoais.
                  
               
                     (2)
                  
                  
                     O Encarregado da Proteção de Dados (EPD) do FEI pode, por iniciativa própria ou a pedido do responsável pelo tratamento ou de qualquer pessoa, investigar questões e factos diretamente relacionados com as suas funções de que tenha tido conhecimento e, se necessário, informar a pessoa que solicitou a investigação ou o responsável pelo tratamento, em conformidade com o artigo 45.o, n.o 2, do regulamento.
                  
               
                     (3)
                  
                  
                     O Departamento de Gestão de Recursos Humanos do FEI pode, no contexto do seu funcionamento, conduzir processos disciplinares, com base na secção 6 do Regulamento de Pessoal do FEI, no título IV da política em matéria de dignidade no trabalho e nos códigos de conduta do FEI aplicáveis.
                  
               
                     (4)
                  
                  
                     Os membros do Conselho de Administração do FEI, o Diretor-Geral, o Diretor-Geral Adjunto e os membros do pessoal, bem como as partes envolvidas em operações/transações têm a obrigação de comunicar à Divisão de Investigação de Fraudes do BEI (IG/IN) eventuais condutas proibidas (por exemplo, fraude e corrupção) lesivas dos interesses do FEI ou da União, e de comunicar a outros serviços competentes quaisquer condutas relacionadas com o exercício de atividades profissionais que possam constituir um incumprimento grave de quaisquer obrigações aplicáveis. Além disso, qualquer membro do público, indivíduo ou entidade pode comunicar uma alegada conduta proibida à IG/IN.
                  
               
                     (5)
                  
                  
                     As investigações de condutas proibidas, tal como definidas na Política Antifraude do FEI, são conduzidas pela IG/IN, na qualidade de subcontratante, com base no acordo-quadro de prestação de serviços celebrado entre o FEI e o BEI.
                  
               
                     (6)
                  
                  
                     O FEI realiza auditorias às suas atividades. Atualmente, estas auditorias são realizadas através da Direção de Auditoria Interna do BEI, com base no acordo-quadro de prestação de serviços celebrado entre o FEI e o BEI.
                  
               
                     (7)
                  
                  
                     No contexto das tarefas descritas nos considerandos 1 a 6, o FEI pode prestar assistência e cooperação a outras instituições, órgãos e organismos da União e receber assistência e cooperação prestadas por estes, tal como estabelecido nos acordos de serviço, nos memorandos de entendimento e nos acordos de cooperação relevantes.
                  
               
                     (8)
                  
                  
                     O FEI pode prestar assistência e cooperação a autoridades públicas dos Estados-Membros da UE e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa.
                  
               
                     (9)
                  
                  
                     O FEI pode prestar assistência e cooperação a autoridades nacionais de países terceiros e a organizações internacionais e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa.
                  
               
                     (10)
                  
                  
                     No contexto das atividades supramencionadas, o FEI, agindo na qualidade de responsável pelo tratamento de dados, ou qualquer um dos seus parceiros comerciais referidos no considerando 4, incluindo a Divisão de Investigação de Fraudes do BEI, agindo na qualidade de subcontratante, ou qualquer outro serviço competente, pode recolher e tratar informações e dados pessoais, incluindo dados de identificação de uma pessoa singular, dados de contacto, funções e tarefas profissionais, informações sobre conduta e desempenho privados e profissionais e dados financeiros.
                  
               
                     (11)
                  
                  
                     Existem garantias adequadas para proteger os dados pessoais e evitar o acesso e a transferência acidentais ou ilícitos, se forem conservados num ambiente físico ou eletrónico. Após o tratamento, os dados são conservados em conformidade com as regras de conservação aplicáveis do FEI, tal como definidas nos registos de proteção de dados com base no artigo 31.o do regulamento. No final do prazo de conservação, as informações relacionadas com os processos, incluindo os dados pessoais, são apagadas, totalmente anonimizadas ou transferidas para os arquivos históricos, em conformidade com os princípios da regulamentação europeia em matéria de proteção de dados e os atos regulamentares conexos ou as políticas do FEI.
                  
               
                     (12)
                  
                  
                     Neste contexto, o FEI está empenhado em cumprir a sua obrigação de informar os titulares dos dados sobre as atividades de tratamento supramencionadas e de respeitar os seus direitos, tal como previsto no regulamento.
                  
               
                     (13)
                  
                  
                     Pode ser necessário conciliar os direitos dos titulares dos dados nos termos do regulamento com as necessidades das atividades acima referidas, no pleno respeito pelos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o do regulamento prevê, sob condições estritas, a possibilidade de limitar a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, bem como do artigo 4.o, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 20.°. Neste caso, é necessário adotar regras internas com base nas quais o FEI possa limitar os direitos acima referidos dos titulares dos dados em conformidade com o mesmo artigo do regulamento.
                  
               
                     (14)
                  
                  
                     Tal poderá ser o caso, em especial, no contexto da prestação de informações sobre o tratamento de dados pessoais ao titular dos dados durante a fase de avaliação preliminar de um inquérito administrativo ou durante o próprio inquérito, antes de um eventual arquivamento do processo ou de uma fase pré-disciplinar. Em determinadas circunstâncias, a prestação dessas informações pode afetar seriamente a capacidade do FEI para conduzir o inquérito de forma eficaz, sempre que, por exemplo, exista o risco de a pessoa em causa destruir provas ou interferir com potenciais testemunhas antes de estas serem inquiridas. Além disso, o FEI poderá ter de proteger os direitos e as liberdades de outras pessoas envolvidas. Poderá ser necessário, nomeadamente, proteger a privacidade de uma testemunha ou de um denunciante que tenha pedido para não ser identificado. Nesse caso, o FEI pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais do denunciante e/ou de outras pessoas envolvidas, a fim de proteger os seus direitos e liberdades.
                  
               
                     (15)
                  
                  
                     Ao prestar assistência e cooperação a outras instituições, órgãos e organismos da União, autoridades públicas dos Estados-Membros da UE, autoridades nacionais de países terceiros e organizações internacionais ou ao receber assistência e cooperação prestadas por estas no contexto das atividades acima referidas, o FEI poderá, em determinadas circunstâncias, e sob reserva da manutenção do nível mínimo de proteção de dados exigido pela AEPD, ter de preservar a eficácia dos seus inquéritos ou dos inquéritos realizados pela entidade com quem coopera e proteger, se necessário, as pessoas envolvidas e os seus direitos e liberdades.
                  
               
                     (16)
                  
                  
                     O FEI só deve aplicar limitações, desde que estas respeitem a essência dos direitos e das liberdades fundamentais e constituam uma medida estritamente necessária e proporcionada numa sociedade democrática. O FEI deve apresentar justificações que expliquem os motivos dessas limitações.
                  
               
                     (17)
                  
                  
                     Com base no princípio da responsabilização, o FEI deve manter um registo da aplicação das limitações.
                  
               
                     (18)
                  
                  
                     Ao proceder ao tratamento de dados pessoais trocados com outras organizações no âmbito das suas funções, o FEI deve consultar e ser consultado por essas organizações sobre os eventuais motivos relevantes para a imposição de limitações e a necessidade e proporcionalidade das mesmas, a menos que tal ponha em perigo as atividades do FEI.
                  
               
                     (19)
                  
                  
                     O artigo 25.o, n.o 6, do regulamento obriga o responsável pelo tratamento a informar os titulares dos dados dos principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD.
                  
               
                     (20)
                  
                  
                     Nos termos do artigo 25.o, n.o 8, do regulamento, o FEI pode adiar, omitir ou recusar a comunicação das informações sobre os motivos para a aplicação de uma limitação ao titular dos dados, caso tal seja suscetível de anular o efeito da limitação imposta. O FEI deve avaliar caso a caso se a comunicação da limitação anularia o seu efeito.
                  
               
                     (21)
                  
                  
                     O EPD pode proceder a uma análise independente da aplicação das limitações, com vista a assegurar o cumprimento da presente decisão,
                  
               ADOTOU A PRESENTE DECISÃO:
         
            Artigo 1.o
            
            Objeto e âmbito de aplicação
            A presente decisão estabelece regras relativas às condições em que o FEI pode limitar a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, bem como do artigo 4.o, com base no artigo 25.o do regulamento.
         
         
            Artigo 2.o
            
            Limitações
            
               1.   Em conformidade com o artigo 25.o, n.o 1, do regulamento, o FEI pode, exclusivamente caso a caso, limitar a aplicação dos artigos 14.o a 20.o, dos artigos 35.o e 36.o, bem como do artigo 4.o, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 20.o, quando:
               
                           a)
                        
                        
                           conduzir inquéritos administrativos, com base no Código de Conduta do Pessoal do Grupo BEI e noutros códigos de conduta aplicáveis.
                        
                     
                           b)
                        
                        
                           conduzir investigações sobre questões e factos diretamente relacionados com as funções do EPD, nos termos do artigo 45.o, n.o 2, do regulamento.
                        
                     
                           c)
                        
                        
                           conduzir processos disciplinares, com base na secção 6 do Regulamento de Pessoal do FEI, no título IV da política em matéria de dignidade no trabalho, no Código de Conduta do Pessoal do Grupo BEI e noutros códigos de conduta do FEI aplicáveis.
                        
                     
                           d)
                        
                        
                           assegurar que os membros do pessoal do FEI possam comunicar de forma confidencial factos quando considerem que existem irregularidades graves, tal como previsto na Política de Deteção e Denúncia de Fraudes do Grupo BEI.
                        
                     
                           e)
                        
                        
                           assegurar que os membros do pessoal do FEI possam comunicar de forma confidencial factos quando considerem que existem suspeitas de condutas proibidas, nomeadamente fraude e corrupção, lesivas dos interesses da União, ou de condutas relacionadas com o exercício de atividades profissionais que possam constituir um incumprimento grave das obrigações dos membros do pessoal do FEI, conforme previsto na Política de Deteção e Denúncia de Fraudes do Grupo BEI, na Política Antifraude do FEI e nos códigos de conduta do FEI aplicáveis.
                        
                     
                           f)
                        
                        
                           realizar investigações de condutas proibidas, em conformidade com a Política Antifraude do FEI.
                        
                     
                           g)
                        
                        
                           realizar auditorias internas em relação a todas as atividades e departamentos do FEI.
                        
                     
                           h)
                        
                        
                           prestar assistência e cooperação a outras instituições, órgãos e organismos da União ou receber assistência e cooperação prestadas por estes, no contexto das atividades supramencionadas, tal como estabelecido em acordos de serviço, memorandos de entendimento e acordos de cooperação relevantes.
                        
                     
                           i)
                        
                        
                           prestar assistência e cooperação a autoridades públicas dos Estados-Membros da UE e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa.
                        
                     
                           j)
                        
                        
                           prestar assistência e cooperação a autoridades nacionais de países terceiros e a organizações internacionais e receber assistência e cooperação prestadas por estas, a pedido das mesmas ou por sua própria iniciativa.
                        
                     
            
               2.   As categorias de dados podem incluir os dados de identificação de uma pessoa singular, dados de contacto, funções e tarefas profissionais, informações sobre conduta e desempenho privados e profissionais, dados respeitantes ao envolvimento no processo e dados financeiros.
            
            
               3.   A aplicação das limitações acima referidas não prejudica a eventual aplicação do disposto no artigo 16.o, n.o 5, e no artigo 17.o, n.o 4, do regulamento, relativos, respetivamente, ao direito de informação quando os dados não tenham sido obtidos junto do titular dos dados e ao direito de acesso do titular dos dados.
            
            
               4.   Qualquer limitação deve respeitar a essência dos direitos e das liberdades fundamentais e constituir uma medida necessária e proporcionada numa sociedade democrática, conforme referido no regulamento, nos correspondentes atos regulamentares ou nas políticas internas do FEI ou do Grupo BEI.
            
            
               5.   Todas as limitações devem ter por base uma autorização expressa prevista numa política ou procedimento interno do FEI em vigor e só devem afetar os direitos do(s) titular(es) dos dados na medida estritamente necessária, de acordo com as indicações do EPD.
            
            
               6.   Antes da aplicação das limitações, deve ser realizada, caso a caso, uma avaliação da sua necessidade e proporcionalidade a contento do EPD. As limitações devem restringir-se ao estritamente necessário para alcançar os objetivos estabelecidos. As limitações só devem ser mantidas durante o tempo exigido pelo motivo previsto no n.o 1 indicado para a sua imposição, conforme demonstrado a contento do EPD.
            
            
               7.   Se a IG/IN limitar, no todo ou em parte, a comunicação da informação aos titulares dos dados relevantes para uma investigação (pessoa em causa, testemunha ou informador), deve documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação. Para o efeito, a documentação deve indicar de que forma a comunicação da informação comprometeria a finalidade das atividades de investigação da IG/IN ou das limitações aplicadas nos termos do artigo 2.o, n.o 1, alíneas f), g) e h), da presente decisão, ou prejudicaria os direitos e as liberdades de outros titulares de dados. A documentação e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. Devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados (AEPD), a pedido desta.
            
            
               8.   O FEI deve apresentar, para efeitos de responsabilização, um documento que descreva as razões para as limitações aplicadas, quais os motivos enumerados no n.o 1 que se aplicam e os resultados da avaliação da necessidade e da proporcionalidade. Esse documento deve ser incluído num registo ad hoc, que será facultado à AEPD, a pedido desta.
            
            
               9.   Ao proceder ao tratamento de dados pessoais trocados com outras organizações no âmbito das suas funções, o FEI deve consultar e ser consultado por essas organizações sobre os eventuais motivos relevantes para a imposição de limitações e a necessidade e proporcionalidade das mesmas, a menos que tal comprometa as atividades do FEI.
            
         
         
            Artigo 3.o
            
            Riscos para os direitos e as liberdades dos titulares de dados
            A avaliação dos riscos para os direitos e as liberdades dos titulares dos dados cujos dados pessoais possam ser objeto de limitações, bem como o respetivo prazo de conservação, são referidos no registo das atividades de tratamento pertinentes, em conformidade com o artigo 31.o do regulamento e, se for caso disso, em avaliações de impacto relativas à proteção de dados pertinentes baseadas no artigo 39.o do regulamento.
         
         
            Artigo 4.o
            
            Prazos de conservação e garantias
            O FEI deve aplicar garantias para evitar o abuso ou o acesso ou transferência ilícitos de dados pessoais que possam estar sujeitos a limitações. Estas garantias devem incluir medidas técnicas e organizativas e ser especificadas, conforme necessário, em decisões, procedimentos e regras de execução internas do FEI. As garantias devem incluir:
            
                        1.
                     
                     
                        uma definição adequada das funções, responsabilidades e etapas processuais;
                     
                  
                        2.
                     
                     
                        se for caso disso, um ambiente eletrónico seguro que impeça o acesso ou a transferência ilícitos ou acidentais de dados eletrónicos para pessoas não autorizadas;
                     
                  
                        3.
                     
                     
                        se for caso disso, o armazenamento seguro e o tratamento de documentos em papel;
                     
                  
                        4.
                     
                     
                        a monitorização adequada das limitações e uma revisão periódica pelo EPD, a efetuar pelo menos de seis em seis meses. Deve também ser efetuada uma revisão em caso de alteração de elementos essenciais do processo em questão. As limitações devem ser levantadas assim que as circunstâncias que as justificam deixem de se aplicar.
                     
                  
         
            Artigo 5.o
            
            Informação e reexame pelo Encarregado da Proteção de Dados
            
               1.   O EPD deve ser informado sem demora injustificada sempre que os direitos de um titular dos dados forem limitados em conformidade com a presente decisão e deve ser-lhe facultado acesso pleno e incondicional a todos os registos e documentos que contêm elementos factuais e jurídicos subjacentes que sejam relevantes para a decisão sobre a limitação e o controlo da manutenção da limitação.
            
            
               2.   O EPD pode pedir para reexaminar a aplicação da limitação.
            
            
               3.   Se, no decurso das suas próprias investigações, o EPD aplicar limitações, informará do facto o responsável pelo tratamento, sem demora injustificada.
            
            
               4.   A participação do EPD no procedimento de limitação, incluindo o intercâmbio de informações, deve ser documentada de forma adequada e mencionada na documentação e nos registos pertinentes.
            
            
               5.   No contexto da investigação de condutas proibidas, a Divisão de Investigação de Fraudes do BEI consultará o EPD antes da aplicação de determinados motivos, referidos no artigo 25.o do regulamento, para limitar as operações de tratamento de dados realizadas no âmbito das suas tarefas estabelecidas na Política Antifraude do FEI, na Carta da Divisão de Investigação de Fraudes e nos procedimentos de investigação.
            
         
         
            Artigo 6.o
            
            Informação dos titulares dos dados sobre as limitações dos seus direitos
            
               1.   O FEI deve incluir nos anúncios de proteção de dados publicados no seu sítio Web informações gerais destinadas aos titulares dos dados sobre as eventuais limitações de todos os direitos dos titulares dos dados a que se refere o artigo 2.o, n.o 1. As informações devem abranger os direitos que podem ser limitados.
            
            
               2.   O FEI deve informar individualmente os titulares dos dados sobre as limitações atuais ou futuras dos seus direitos, sem demora injustificada e por escrito, tal como especificado nos artigos 7.o, 8.o e 9.°.
            
         
         
            Artigo 7.o
            
            Direito à informação dos titulares dos dados e comunicação sobre violações de dados
            
               1.   Se, no contexto das atividades mencionadas na presente decisão, o FEI limitar, total ou parcialmente, os direitos dos titulares dos dados mencionados nos artigos 14.o a 16.o e no artigo 35.o do regulamento, estes devem ser informados dos principais motivos da aplicação da limitação e do seu direito de apresentar uma reclamação à AEPD, bem como de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia. Essa limitação deve obedecer às regras estabelecidas e ao processo descrito na presente decisão.
            
            
               2.   O FEI pode adiar, omitir ou recusar a comunicação de informações sobre os motivos da limitação referida no n.o 1, se e na medida em que essa comunicação for suscetível de comprometer a finalidade da limitação. Esta avaliação deve ser efetuada caso a caso. Qualquer adiamento ou recusa deve ser devidamente justificado a contento do EPD e será incluído nos documentos e registos pertinentes. Para evitar dúvidas, os titulares dos dados em causa devem ser informados do seu direito de apresentar uma reclamação à AEPD, bem como de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia, contra a decisão de adiar ou recusar a comunicação das informações a que se refere o n.o 1.
            
         
         
            Artigo 8.o
            
            Direito de acesso, retificação, apagamento e limitação do tratamento que assiste aos titulares dos dados
            
               1.   Se, no contexto das atividades mencionadas na presente decisão, o FEI limitar, total ou parcialmente, o direito de acesso aos dados pessoais, o direito de retificação, apagamento e limitação do tratamento, a que se referem, respetivamente, os artigos 17.o a 20.° do regulamento, deve informar o titular dos dados em causa, na sua resposta ao pedido, dos principais motivos da aplicação da limitação e da possibilidade de apresentar uma reclamação à AEPD ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia.
            
            
               2.   Caso o direito de acesso seja total ou parcialmente limitado, o FEI, ao analisar o pedido, deve apenas informar o titular dos dados se os dados foram corretamente tratados e, em caso negativo, se as correções necessárias foram introduzidas, em conformidade com o artigo 25.o, n.o 7, do regulamento.
            
            
               3.   O FEI pode adiar, omitir ou recusar a comunicação de informações sobre os motivos da limitação referida nos n.os 1 e 2, se e na medida em que essa comunicação for suscetível de comprometer a finalidade da limitação. Esta avaliação deve ser efetuada caso a caso e deve obedecer às regras estabelecidas e ao processo descrito na presente decisão.
            
         
         
            Artigo 9.o
            
            Confidencialidade das comunicações eletrónicas
            
               1.   O FEI pode, em circunstâncias excecionais e em conformidade com as disposições e os fundamentos da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (3), limitar o direito à confidencialidade das comunicações eletrónicas, tal como referido no artigo 36.o do regulamento. Neste caso, o FEI deve especificar as circunstâncias, os motivos, os riscos relevantes e as garantias conexas em regras internas específicas.
            
            
               2.   Se o FEI limitar o direito à confidencialidade das comunicações eletrónicas, deve informar o titular dos dados em causa, na sua resposta ao pedido, dos principais motivos da aplicação da limitação e da possibilidade de apresentar uma reclamação à AEPD ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia.
            
            
               3.   O FEI pode adiar, omitir ou recusar a comunicação de informações sobre os motivos da limitação referida nos n.os 1 e 2, se e na medida em que essa comunicação for suscetível de anular o efeito da limitação. Esta avaliação deve ser efetuada caso a caso.
            
         
         
            Artigo 10.o
            
            Entrada em vigor
            A presente decisão e eventuais alterações ao mesmo devem ser aprovados pelo Conselho de Administração do FEI e entram em vigor no vigésimo dia após a sua publicação no Jornal Oficial da União Europeia.
         
         
            Feito no Luxemburgo, em 4 de junho de 2020.
            
               
                   
               
            
         
         
            (1)  JO L 295 de 21.11.2018, p. 39.
         
            (2)  Observações e recomendações da AEDP de 20 de fevereiro de 2020 [DH/CCP/ALS/D(2020) 0372 C2019-1114].
         
            (3)  Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO L 201 de 31.7.2002, p. 37).