Source: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=uriserv:OJ.LI.2019.099.01.0001.01.SPA
Timestamp: 2019-04-20 13:11:48+00:00

Document:
Decisión del Supervisor Europeo de Protección de Datos, de 2 de abril de 2019, relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco de actividades realizadas por el Supervisor Europeo de Protección de Datos
DECISIÓN DEL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS
relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco de actividades realizadas por el Supervisor Europeo de Protección de Datos
En el contexto de su funcionamiento, el SEPD podrá llevar a cabo investigaciones administrativas, procedimientos predisciplinarios, disciplinarios y de suspensión, sobre la base del artículo 86 del Estatuto de los funcionarios de la Unión Europea (2) y de conformidad con su anexo IX, así como la Decisión del Supervisor Europeo de Protección de Datos de 23 de abril de 2015 por la que se adoptan disposiciones de aplicación relativas a la realización de investigaciones administrativas y procedimientos disciplinarios, y el Acuerdo de nivel de servicio relativo a la colaboración entre la DG HR de la Comisión Europea y el SEPD, firmado el 29 de enero de 2016, y podrá notificar los casos a la IDOC o a la OLAF, lo que implica el tratamiento de la información, incluidos los datos personales.
Los miembros del personal del SEPD tienen la obligación de notificar posibles actividades ilícitas, incluidos el fraude o la corrupción, perjudiciales para los intereses de la Unión, o una conducta relacionada con el desempeño de actividades profesionales que pueda constituir un incumplimiento grave de las obligaciones de los funcionarios de la Unión. Esto queda regulado por la Decisión del SEPD relativa a las normas internas en materia de denuncia de prácticas corruptas de 14 de junio de 2016.
El SEPD ha establecido una política para prevenir y abordar de forma eficaz y eficiente los casos reales o potenciales de acoso psicológico o sexual en el lugar de trabajo, tal como queda previsto en su Decisión de 10 de diciembre de 2014, por la que se adoptan medidas de ejecución relativas a los artículos 12 bis y 24 del Estatuto de los funcionarios sobre el procedimiento de lucha contra el acoso. La Decisión establece un procedimiento informal en el que la presunta víctima del acoso puede ponerse en contacto con consejeros confidenciales del SEPD.
De conformidad con el artículo 57, apartado 1, letra e), del Reglamento, el SEPD se ocupa de las denuncias sobre las actividades de tratamiento realizadas por las instituciones, órganos y organismos de la Unión Europea. En este contexto, el SEPD podrá llevar a cabo investigaciones sobre el objeto de la denuncia.
De conformidad con el artículo 57, apartado 1, letra f), del Reglamento, el SEPD lleva a cabo investigaciones sobre la aplicación del Reglamento para verificar el cumplimiento por parte de las instituciones, órganos y organismos de la Unión.
El SEPD podrá llevar a cabo investigaciones sobre posibles infracciones de la información clasificada de la UE (ICUE), sobre la base de la Decisión del Supervisor Europeo de Protección de Datos, de 18 de febrero de 2014, por la que se modifican sus normas en materia de seguridad de la ICUE.
El SEPD podrá realizar auditorías sobre sus actividades. Esto se lleva a cabo actualmente a través del Servicio de Auditoría Interna de la Comisión Europea (en lo sucesivo, «SAI»), sobre la base del Acuerdo de nivel de servicio firmado el 1 de junio de 2012, renovado. También podrá realizarlas el coordinador de control interno en toda su capacidad.
En el contexto de las tareas descritas en los considerandos n.o 1 a 7, el SEPD podrá proporcionar y recibir asistencia y cooperación con y de otras instituciones, órganos y organismos de la Unión, tal como se establece en los acuerdos de nivel de servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes.
El SEPD podrá proporcionar y recibir asistencia y cooperación con y procedente de las autoridades nacionales de terceros países y de las organizaciones internacionales, a petición de estas o por propia iniciativa, conforme a lo dispuesto en el artículo 51 del Reglamento.
El SEPD podrá proporcionar y recibir asistencia y cooperación con y procedente de las autoridades públicas de los Estados miembros de la UE, a petición de estas o por propia iniciativa.
Sobre la base del artículo 58, el SEPD puede intervenir en los asuntos ante el Tribunal de Justicia de la Unión Europea, bien para remitir un asunto al Tribunal, bien para defender decisiones impugnadas por el SEPD o para intervenir en asuntos relacionados con sus funciones.
En el contexto de las actividades mencionadas, el SEPD recoge y trata la información pertinente y varias categorías de datos personales, incluidos los datos de identificación de una persona física, la información de contacto, las funciones y tareas profesionales, la información sobre la conducta y el rendimiento profesional y privados, y los datos financieros. El SEPD actúa como responsable del tratamiento.
Existen garantías adecuadas para proteger los datos personales e impedir el acceso o la transferencia accidental o ilícita, tanto si se almacenan en un entorno físico como en un entorno electrónico. Una vez tratados, los datos se conservan de conformidad con las normas de retención del SEPD aplicables, tal como se definen en los registros de protección de datos basados en el artículo 31 del Reglamento. Al final del periodo de retención, la información relacionada con el caso, incluidos los datos personales, se suprimirá, se anonimizará o se transferirá a los archivos históricos.
En este contexto, el SEPD debe cumplir su obligación de facilitar información a los interesados en relación con las actividades de tratamiento mencionadas y respetar los derechos de los interesados, tal como se establece en el Reglamento.
Puede ser necesario conciliar los derechos de los interesados de conformidad con el Reglamento con las necesidades de las actividades antes mencionadas, respetando plenamente los derechos y libertades fundamentales de otros interesados. A tal efecto, el artículo 25 del Reglamento prevé, en condiciones estrictas, la posibilidad de limitar la aplicación de los artículos 14 a 20, 35 y 36, así como del artículo 4 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 20. En este caso, es necesario adoptar normas internas en virtud de las cuales el SEPD puede limitar dichos derechos de conformidad con el mismo artículo del Reglamento.
Este podría ser el caso, en particular, cuando se proporcione información sobre el tratamiento de datos personales al interesado en la fase de evaluación preliminar de una investigación administrativa o durante la propia investigación, antes de una posible desestimación del asunto o de una fase predisciplinaria. En determinadas circunstancias, el hecho de facilitar dicha información podría afectar gravemente a la capacidad del SEPD para realizar la investigación de manera eficaz, siempre que, por ejemplo, exista el riesgo de que la persona afectada destruya las pruebas o interfiera con los posibles testigos antes de que sean entrevistados. Además, el SEPD podría necesitar proteger sus derechos y libertades, así como los derechos y libertades de otras personas implicadas.
Podría ser necesario proteger la confidencialidad de un testigo o un denunciante que haya solicitado no ser identificado. En tal caso, el SEPD podrá decidir limitar el acceso a la identidad, las declaraciones y otros datos personales del denunciante y de otras personas implicadas, a fin de proteger sus derechos y libertades.
Podría ser necesario proteger la confidencialidad de un miembro del personal que haya contactado con consejeros confidencialidades del SEPD en el contexto de un procedimiento de acoso. En tal caso, el SEPD podrá decidir limitar el acceso a la identidad, las declaraciones y otros datos personales de la presunta víctima, el presunto acosador y de otras personas implicadas, a fin de proteger sus derechos y libertades.
Al tramitar las denuncias sobre actividades de tratamiento llevadas a cabo por las instituciones, órganos y organismos de la Unión, es posible que el SEPD, en determinadas circunstancias, necesite preservar la eficacia de sus investigaciones y proteger, en caso necesario, a las personas implicadas y sus derechos y libertades.
Al realizar investigaciones sobre la aplicación del Reglamento para verificar el cumplimiento de las instituciones, órganos y organismos europeos del Reglamento, es posible que el SEPD, en determinadas circunstancias, necesite preservar la eficacia de sus investigaciones y proteger, en caso necesario, a las personas implicadas y sus derechos y libertades.
Al llevar a cabo investigaciones sobre posibles infracciones de la información clasificada de la UE, es posible que el SEPD, en determinadas circunstancias, necesite preservar la eficacia de sus investigaciones y proteger, según sea necesario, la seguridad interior de las instituciones, órganos y organismos de la Unión, incluidas sus redes de comunicaciones electrónicas, así como los derechos y libertades de los interesados implicados.
Al prestar o recibir asistencia y cooperación a otras instituciones, órganos y organismos de la Unión, a las autoridades públicas de los Estados miembros de la UE, a las autoridades nacionales de terceros países y a las organizaciones internacionales en el contexto de las actividades antes mencionadas, es posible que el SEPD, en determinadas circunstancias, necesite preservar la eficacia de sus investigaciones o de las llevadas a cabo por la entidad que coopera, y proteger, en caso necesario, a las personas implicadas y sus derechos y libertades.
Al hacer referencia o intervenir ante el Tribunal de Justicia de la Unión Europea, es posible que el SEPD necesite preservar la confidencialidad de los datos personales contenidos en los documentos obtenidos por las partes o los interesados en el contexto del asunto en cuestión.
El SEPD debe aplicar las limitaciones solo cuando respetan la esencia de los derechos y las libertades fundamentales y son una medida estrictamente necesaria y proporcionada en una sociedad democrática. El SEPD debe justificar los motivos de dichas limitaciones.
Sobre la base del principio de responsabilidad, el SEPD deberá mantener un registro de la aplicación de las limitaciones.
Al tratar los datos personales intercambiados con otras organizaciones en el contexto de sus funciones, el SEPD consultará y será consultado por dichas organizaciones sobre los posibles motivos pertinentes para imponer limitaciones y la necesidad y proporcionalidad de las limitaciones, a menos que ello ponga en peligro las actividades del SEPD.
El artículo 25, apartado 6, del Reglamento (UE) n.o 2018/1725 obliga al responsable del tratamiento a informar a los interesados de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante la SEPD.
De conformidad con el artículo 25, apartado 8, del Reglamento, el SEPD podrá aplazar, omitir o denegar la comunicación de la información que justifica la limitación al interesado si dicha comunicación dejase sin efecto la limitación impuesta. El SEPD debe evaluar caso por caso si la comunicación de la limitación anula su efecto.
Deberá levantar la limitación tan pronto como las condiciones que la justifiquen ya no sean aplicables y evaluar dichas condiciones de forma periódica.
A fin de garantizar la máxima protección de los derechos y libertades de los interesados y de conformidad con el artículo 44, apartado 1, del Reglamento, el delegado de protección de datos (DPD) deberá ser informado a su debido tiempo de cualquier limitación que se esté aplicando y verificar el cumplimiento de la presente Decisión.
La aplicación de las limitaciones mencionadas se entiende sin perjuicio de la posible aplicación de las disposiciones del artículo 16, apartado 5, y el artículo 17, apartado 4, relativas, respectivamente, al derecho de información cuando los datos no se han obtenido del interesado y al derecho de acceso del interesado.
lleva a cabo investigaciones administrativas y los procedimientos predisciplinarios, disciplinarios y de suspensión, con arreglo al artículo 86 del Estatuto de los funcionarios de la Unión Europea (3) y de conformidad con su anexo IX, así como la Decisión del SEPD de 23 de abril de 2015, y podrá notificar los asuntos a la IDOC o a la OLAF. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento;
garantiza que los miembros del personal del SEPD puedan notificar de forma confidencial los hechos cuando consideren que existen irregularidades graves reguladas por la Decisión del SEPD relativa a las normas internas en materia de denuncia de prácticas corruptas de 14 de junio de 2016. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra h), del Reglamento;
garantiza que los miembros del personal del SEPD puedan informar de forma confidencial a los consejeros en el contexto de un procedimiento de acoso, tal como se define en la Decisión del Supervisor Europeo de Protección de Datos de 10 de diciembre de 2014. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra h), del Reglamento;
realiza investigaciones sobre cuestiones relativas a las denuncias sobre las actividades de tratamiento llevadas a cabo por las instituciones, órganos y organismos de la Unión, de conformidad con el artículo 57, apartado 1, letra e), del Reglamento. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento;
lleva a cabo investigaciones sobre la aplicación del Reglamento para verificar el cumplimiento de las instituciones, órganos y organismos de la Unión, de conformidad con el artículo 57, apartado 1, letra f), del Reglamento. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento;
lleva a cabo investigaciones sobre posibles violaciones de la seguridad de la información clasificada de la UE (ICUE), sobre la base de la Decisión del SEPD de 18 de febrero de 2014, por la que se modifican sus normas en materia de seguridad de la ICUE. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento;
lleva a cabo auditorías internas relacionadas con todas las actividades y departamentos del SEPD. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento;
presta o recibe asistencia y cooperación con y de otras instituciones, órganos y organismos de la Unión, en el contexto de las actividades anteriormente mencionadas, según lo establecido en los acuerdos de nivel de servicio, memorandos de acuerdo y acuerdos de cooperación pertinentes. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento;
proporciona y recibe asistencia y cooperación con y procedente de las autoridades nacionales de terceros países y de las organizaciones internacionales, a petición de estas o por propia iniciativa, conforme a lo dispuesto en el artículo 51 del Reglamento. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento;
proporciona y recibe asistencia y cooperación con y procedente de las autoridades públicas de los Estados miembros de la UE, a petición de estas o por propia iniciativa. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento;
trata datos personales de documentos obtenidos por las partes o los coadyuvantes en el contexto del asunto en cuestión al remitir asuntos o al intervenir ante el Tribunal de Justicia de la Unión Europea, sobre la base del artículo 58, apartado 4, del Reglamento. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra e), del Reglamento;
una definición adecuada de las funciones, responsabilidades y etapas del procedimiento;
en su caso, un entorno electrónico seguro que impida el acceso o la transferencia ilícitas o accidentales de datos electrónicos a personas no autorizadas;
en su caso, un almacenamiento y tratamiento seguros de los documentos en soporte papel.
un seguimiento adecuado de las limitaciones y una revisión periódica, que se llevará a cabo al menos cada seis meses. También deberá realizarse una revisión cuando se produzcan cambios en los elementos esenciales del caso en cuestión. Las limitaciones se levantarán tan pronto como dejen de ser aplicables las circunstancias que las justifiquen.

References: artículo 86
 artículo 57
 artículo 57
 artículo 51
 artículo 58
 artículo 31
 artículo 25
 artículo 4
 artículo 25
 artículo 25
 artículo 44
 artículo 16
 artículo 17
 artículo 86
 artículo 25
 artículo 25
 artículo 25
 artículo 57
 artículo 25
 artículo 57
 artículo 25
 artículo 25
 artículo 25
 artículo 25
 artículo 51
 artículo 25
 artículo 25
 artículo 58
 artículo 25