DECISIÓN DEL COMITÉ DIRECTOR

sobre las normas internas relativas a la limitación de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco de las actividades llevadas a cabo por la Agencia Ejecutiva en el ámbito Educativo, Audiovisual y Cultural

EL COMITÉ DIRECTOR,

Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, su artículo 249, apartado 1,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de estos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1) («el Reglamento»), y en particular su artículo 25,

Vista la Decisión de Ejecución 2013/776/UE de la Comisión, de 18 de diciembre de 2013, por la que se crea la Agencia Ejecutiva en el ámbito Educativo, Audiovisual y Cultural y se deroga la Decisión 2009/336/CE (2),

Tras haber consultado al Supervisor Europeo de Protección de Datos,

Considerando lo siguiente:

(1)	La Agencia Ejecutiva en el ámbito Educativo, Audiovisual y Cultural («la Agencia») se creó mediante la Decisión de Ejecución 2013/776/UE con vistas a la realización de las tareas relacionadas con la ejecución de los programas de la Unión en el ámbito educativo, audiovisual y cultural (3).

(2)

En el ámbito de su funcionamiento administrativo y operativo, la Agencia está facultada para llevar a cabo investigaciones administrativas y procedimientos predisciplinarios, disciplinarios y de suspensión, de conformidad con el Estatuto de los funcionarios de la Unión Europea y el régimen aplicable a los otros agentes de la Unión Europea, establecidos en el Reglamento (CEE, Euratom, CECA) n.o 259/68 del Consejo (4) («Estatuto de los funcionarios»), y con las disposiciones generales de aplicación relativas a la realización de investigaciones administrativas y procedimientos disciplinarios. Si es necesario, la Agencia puede llevar a cabo actividades preliminares relacionadas con casos de posibles fraudes e irregularidades y puede notificar casos a la Oficina Europea de Lucha contra el Fraude (OLAF).

(3)

Los miembros del personal de la Agencia están obligados a informar sobre actividades potencialmente ilegales, incluidos el fraude y la corrupción, que vayan en detrimento de los intereses de la Unión. El personal también está obligado a comunicar las actuaciones relativas al cumplimiento de las obligaciones profesionales que puedan constituir un incumplimiento grave de las obligaciones de los funcionarios de la Unión. Esto se regula mediante normas internas o políticas en materia de denuncia de irregularidades.

(4)

La Agencia ha instaurado una política para evitar y gestionar de manera eficaz los casos existentes o potenciales de acoso psicológico o sexual en el puesto de trabajo, como se dispone en las medidas de ejecución del Estatuto de los funcionarios, que establecen un procedimiento informal por el que la presunta víctima del acoso puede ponerse en contacto con los consejeros «confidenciales» de la Agencia.

(5)	La Agencia también puede llevar a cabo investigaciones internas de la seguridad (informática) y sobre posibles violaciones de las normas sobre la seguridad de la información clasificada de la UE («ICUE»).

(6)	La Agencia está sujeta a auditorías internas y externas relativas a sus actividades, incluidas las realizadas por los Servicios de Auditoría Interna de la Comisión Europea y el Tribunal de Cuentas Europeo.

(7)

La Agencia puede gestionar solicitudes de la Fiscalía Europea y solicitudes de acceso a las fichas médicas de los miembros del personal de la Agencia y llevar a cabo investigaciones a través del delegado de protección de datos, en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento.

(8)	En el contexto de tales consultas, auditorías, investigaciones o solicitudes administrativas, la Agencia coopera con otras instituciones, órganos, oficinas y agencias de la Unión.

(9)	La Agencia puede cooperar con las autoridades nacionales y organizaciones internacionales de terceros países, ya sea a petición suya o por propia iniciativa.

(10)	La Agencia también puede cooperar con las autoridades públicas de los Estados miembros de la UE, ya sea a petición suya o por propia iniciativa.

(11)	La Agencia puede ser objeto de reclamaciones, procedimientos o investigaciones a través de denunciantes o del Defensor del Pueblo Europeo.

(12)

La Agencia puede participar en los asuntos sometidos al Tribunal de Justicia de la Unión Europea cuando remite el asunto al Tribunal, defiende una decisión que ha adoptado y que ha sido recurrida ante el Tribunal, o interviene en asuntos relacionados con sus funciones. En este contexto, la Agencia puede tener que preservar el carácter confidencial de los datos personales contenidos en documentos obtenidos por las partes o por las partes coadyuvantes.

(13)

En el contexto de sus actividades, la Agencia trata varias categorías de datos personales, incluidos datos de identificación de personas físicas, información de contacto, funciones y tareas profesionales, información sobre la conducta y el rendimiento profesionales y privados y datos financieros, así como, en ciertos supuestos concretos, datos sensibles (p. ej., datos relativos a la salud). Los datos personales incluyen datos fácticos «objetivos» y datos de valoraciones «subjetivos».

A modo de ejemplos de los primeros cabe citar los datos de identificación, los datos de contacto, los datos profesionales, los detalles administrativos, los metadatos relacionados con las comunicaciones electrónicas y los datos de tráfico.

Los segundos son subjetivos e incluyen, en particular, la descripción y la valoración de situaciones y circunstancias, opiniones, observaciones relacionadas con los interesados, la evaluación de la conducta y el rendimiento de estos y el razonamiento subyacente a las decisiones particulares relacionadas con o presentadas con respecto al objeto del procedimiento o la actividad llevados a cabo por la Agencia, en consonancia con el marco jurídico aplicable.

Las evaluaciones, las observaciones y las opiniones se consideran datos personales en el sentido del artículo 3, apartado 1, del Reglamento.

(14)	Con arreglo al Reglamento, la Agencia está, por tanto, obligada a facilitar información a los interesados sobre dichas actividades de tratamiento y a respetar sus derechos como interesados.

(15)

La Agencia tiene el compromiso de respetar, en la medida de lo posible, los derechos fundamentales de los interesados, en particular el derecho a la comunicación de información, el acceso y la rectificación, el derecho a la supresión, la limitación del tratamiento, el derecho a la comunicación de una violación de la seguridad de los datos personales al interesado o la confidencialidad de las comunicaciones, de conformidad con el Reglamento. Sin embargo, la Agencia también podría verse obligada a limitar los derechos y obligaciones del interesado con el fin de proteger sus actividades y los derechos y libertades fundamentales de otras personas.

(16)

Por lo tanto, el artículo 25, apartados 1 y 5, del Reglamento brinda a la Agencia la posibilidad de limitar, en concurrencia de determinadas condiciones, la aplicación de los artículos 14 a 22, 35 y 36, así como el artículo 4 del Reglamento, en la medida en que sus disposiciones se corresponden con los derechos y obligaciones dispuestos en los artículos 14 a 20. La limitación se basará en normas internas que se habrán de adoptar al más alto nivel de dirección de la Agencia y estarán sujetas a su publicación en el Diario Oficial de la Unión Europea si no se basan en actos jurídicos adoptados con arreglo a los Tratados.

(17)

Las limitaciones pueden resultar de aplicación a diferentes derechos de los interesados, incluido el suministro de información a los interesados y los derechos de acceso, rectificación, supresión, limitación del tratamiento, comunicación de una violación de la seguridad de los datos personales al interesado o confidencialidad de la comunicación consagrados en el Reglamento.

(18)

La Agencia puede verse obligada a conciliar esos derechos con los objetivos de las investigaciones administrativas, las auditorías, las investigaciones y los procedimientos judiciales. También puede ser necesario equilibrar los derechos de un interesado frente a los derechos y libertades fundamentales de otros interesados.

(19)

La Agencia puede, por ejemplo, limitar la información que proporciona a un interesado sobre el tratamiento de sus datos personales durante la fase de evaluación preliminar de una investigación administrativa o durante la propia investigación, antes de la posible desestimación del asunto o en la fase predisciplinaria. En determinadas circunstancias, facilitar dicha información puede afectar gravemente a la capacidad de la Agencia para llevar a cabo la investigación de manera eficaz, por ejemplo, cuando exista el riesgo de que la persona afectada pueda destruir pruebas o interferir con posibles testigos antes de su declaración. La Agencia también puede tener que proteger los derechos y libertades de los testigos, así como los de otras personas implicadas.

(20)

Puede ser necesario que la Agencia proteja el anonimato de aquellos testigos o denunciantes que hayan solicitado no ser identificados. En tal caso, la Agencia puede decidir limitar el acceso a la identidad, las declaraciones y otros datos personales de esas personas o del sospechoso, a fin de proteger sus derechos y libertades.

(21)

Puede ser necesario que la Agencia proteja la información confidencial relativa a un miembro del personal que se haya puesto en contacto con asesores confidenciales de la Agencia en el contexto de un procedimiento por acoso. En tales casos, la Agencia puede tener que limitar el acceso a la identidad, las declaraciones y otros datos personales de la presunta víctima, el presunto acosador y otras personas implicadas, con el fin de proteger los derechos y libertades de todas las personas afectadas.

(22)

En relación con los procedimientos de selección y contratación, evaluación del personal y contratación pública, los derechos de acceso, rectificación, supresión y limitación solo se podrán ejercer en determinados momentos y bajo ciertas condiciones, según lo dispuesto en cada procedimiento, con el fin de proteger los derechos de otros interesados y respetar el principio de igualdad de trato y el secreto de las deliberaciones.

(23)

La Agencia puede limitar asimismo el acceso de los interesados a sus datos médicos, por ejemplo, de naturaleza psicológica o psiquiátrica, debido a su carácter potencialmente sensible, y el servicio médico de la Comisión podría optar por conceder a los interesados solo un acceso indirecto a través de su propio profesional sanitario. El interesado puede ejercer el derecho de rectificación de evaluaciones u opiniones del servicio médico de la Comisión presentando sus comentarios o un informe de un profesional sanitario de su elección.

(24)

La Agencia, representada por su director, actúa como responsable del tratamiento de datos, con independencia de las posteriores delegaciones de esta función dentro de la propia Agencia al objeto de reflejar las diversas responsabilidades operativas por las tareas específicas de tratamiento de datos personales en responsables delegados competentes.

(25)

Los datos personales se almacenan de forma segura en un entorno electrónico conforme a la Decisión (UE, Euratom) 2017/46 de la Comisión (5), sobre la seguridad de los sistemas de información y comunicación de la Comisión Europea o en papel, evitando el acceso ilícito o la transferencia de datos a personas que no tengan por qué conocerlos. Los datos personales tratados no se retienen durante un tiempo superior al necesario y al adecuado para los fines para los que estos se hayan tratado durante el período especificado en los avisos de protección de datos y los registros de la Agencia.

(26)

La Agencia aplicará limitaciones solo cuando estas respeten la esencia de los derechos y libertades fundamentales, sean estrictamente necesarias y constituyan una medida proporcionada en una sociedad democrática. La Agencia justificará dichas limitaciones e informará en consecuencia a los interesados sobre ellas y sobre su derecho a presentar una reclamación ante el SEPD, según lo dispuesto en el artículo 25, apartado 6, del Reglamento.

(27)	En aplicación del principio de responsabilidad, la Agencia debe llevar un registro de las limitaciones impuestas.

(28)

Al tratar los datos personales intercambiados con otras organizaciones en el marco de sus funciones, tanto la Agencia como dichas organizaciones se consultarán mutuamente sobre los posibles motivos de imposición de limitaciones, así como sobre la necesidad y proporcionalidad de estas, a menos que ello ponga en peligro las actividades de la Agencia.

(29)

Así, estas normas internas se aplicarán a todas las actividades de tratamiento llevadas a cabo por la Agencia que afecten a datos personales en la ejecución de investigaciones administrativas, procedimientos disciplinarios, actividades preliminares relacionadas con casos de posibles irregularidades comunicadas a la OLAF, investigaciones de la Fiscalía Europea, procedimientos de denuncia de irregularidades, procedimientos (formales e informales) por casos de acoso, tramitación de reclamaciones internas y externas, solicitudes de acceso o rectificación de las fichas médicas propias, las investigaciones llevadas a cabo por el delegado de protección de datos en consonancia con el artículo 45, apartado 2, del Reglamento, investigaciones de seguridad (informática) gestionadas internamente o con participación externa (p. ej., Equipo de respuesta a emergencias informáticas de las instituciones, órganos y organismos de la Unión Europea, CERT-UE), auditorías, procedimientos ante el Tribunal de Justicia de la Unión Europea o autoridades públicas nacionales, procedimientos de selección y contratación, evaluación del personal y contratación pública, según se enumera en lo que antecede.

(30)

Estas normas internas se aplicarán a las actividades de tratamiento de datos llevadas a cabo antes del inicio de los procedimientos citados previamente, durante estos y durante la supervisión del seguimiento de los resultados de dichos procedimientos. También se deben incluir la asistencia y la cooperación prestadas por la Agencia a otras instituciones de la UE, a las autoridades nacionales y las organizaciones internacionales al margen de sus investigaciones administrativas.

(31)

De conformidad con el artículo 25, apartado 8, del Reglamento, la Agencia podrá aplazar, omitir o denegar la comunicación de la información que justifica la limitación al interesado si dicha comunicación dejase sin efecto la limitación impuesta. La Agencia evaluará caso por caso si la comunicación de la limitación la deja sin efecto.

(32)	La Agencia levantará la limitación tan pronto como las condiciones que la justifiquen ya no sean aplicables y evaluará dichas condiciones de forma periódica.

(33)

Para garantizar la máxima protección de los derechos y libertades de los interesados y de conformidad con el artículo 44, apartado 1, del Reglamento, deberá consultarse al delegado de protección de datos de la Agencia a su debido tiempo antes de aplicar o revisar cualquier limitación, y verificar su conformidad con la presente Decisión.

(34)	El artículo 16, apartado 5, y el artículo 17, apartado 4, del Reglamento prevén excepciones al derecho a la información y al derecho de acceso de los interesados. Si se aplican estas excepciones, la Agencia no necesita aplicar una limitación con arreglo a la presente Decisión.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

Objeto y ámbito de aplicación

1. La presente Decisión establece normas relativas a las condiciones en las que la Agencia Ejecutiva en el ámbito Educativo, Audiovisual y Cultural, y cualquiera de sus sucesores («la Agencia») pueden limitar la aplicación de los artículos 4, 14 a 22, 35 y 36, de conformidad con el artículo 25 del Reglamento.

2. La Agencia, como responsable del tratamiento, está representada por su director, que podrá delegar a su vez la función del responsable.

Artículo 2

Limitaciones aplicables

1. La Agencia podrá limitar la aplicación de los artículos 14 a 22, 35 y 36, así como del artículo 4 del Reglamento, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20.

2. La presente Decisión se aplica al tratamiento de datos personales por parte de la Agencia en el ámbito de su funcionamiento administrativo y operativo:

con arreglo al artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento, al llevar a cabo una investigación administrativa, incluidas las basadas en reclamaciones externas, o un procedimiento predisciplinario, disciplinario o de suspensión con arreglo al artículo 86 y el anexo IX del Estatuto de los funcionarios y sus normas de desarrollo, investigaciones de seguridad o investigaciones de la OLAF;

de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que el personal de la Agencia pueda denunciar hechos de forma confidencial cuando considere que existen graves irregularidades, tal como se establece en las normas internas o las políticas sobre la denuncia de irregularidades;

c)	de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar que el personal de la Agencia pueda comunicarse con sus asesores confidenciales en el contexto de un procedimiento de acoso, según su definición en las normas internas;

d)	de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando lleve a cabo auditorías internas o externas en relación con actividades o con el funcionamiento de la Agencia;

de conformidad con el artículo 25, apartado 1, letras d) y h), del Reglamento, a la hora de llevar a cabo actividades de análisis de seguridad, incluso las relacionadas con incidentes de ciberseguridad o con un mal uso del sistema informático, gestionadas internamente o con participación externa (p. ej., CERT-UE), así como a la hora de garantizar la seguridad interna por medio de videovigilancia, el control del acceso y las necesidades de las investigaciones, proteger los sistemas de comunicación e información y aplicar contramedidas técnicas de seguridad;

f)	de conformidad con el artículo 25, apartado 1, letras g) y h), del Reglamento, cuando el delegado de protección de datos (el DPD) de la Agencia investigue asuntos relacionados directamente con sus tareas;

g)	de conformidad con el artículo 25, apartado 1, letras b), g) y h), del Reglamento, en el contexto de las investigaciones de la Fiscalía Europea;

h)	de conformidad con el artículo 25, apartado 1, letra h), del Reglamento, cuando los interesados soliciten el acceso a sus datos médicos o su rectificación, incluido si los conserva el Servicio Médico de la Comisión;

de conformidad con el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento, cuando preste asistencia a otras instituciones, organismos, oficinas y agencias de la Unión, cuando reciba asistencia de dichas instituciones, organismos, oficinas y agencias o cuando coopere con ellos en el contexto de las actividades contempladas en las letras a) a h) del presente apartado y con arreglo a los acuerdos de nivel servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes de su respectivo acto de establecimiento;

de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando preste asistencia a las autoridades nacionales y organizaciones internacionales de terceros países, cuando reciba asistencia de dichas autoridades y organizaciones o cuando coopere con estas, a petición de ellas o por iniciativa propia;

k)	de conformidad con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando preste asistencia a las autoridades públicas de los Estados miembros de la UE, cuando reciba asistencia de dichas autoridades o cuando coopere con estas, ya sea a petición suya o por iniciativa propia;

l)	de conformidad con el artículo 25, apartado 1, letra e), del Reglamento, cuando se traten datos personales en documentos obtenidos por las partes o partes coadyuvantes en el contexto de un procedimiento sometido al Tribunal de Justicia de la Unión Europea.

A efectos de la presente Decisión, las actividades anteriores incluirán las acciones preparatorias y de seguimiento relacionadas directamente con la misma actividad.

3. Además, la Agencia podrá aplicar limitaciones concretas a los derechos de los interesados mencionados en la presente Decisión en las circunstancias siguientes:

cuando los servicios de la Comisión u otras instituciones, órganos y organismos de la Unión estén facultados para limitar el ejercicio de los derechos enumerados y el objetivo de dicha limitación impuesta por el servicio, institución, órgano u organismo de que se trate se vería comprometido si la Agencia no aplicara una limitación equivalente respecto de los datos personales en cuestión;

cuando las autoridades competentes de los Estados miembros estén facultadas para limitar el ejercicio de los derechos enumerados y el objetivo de dicha limitación impuesta por dichas autoridades se vería comprometido si la Agencia no aplicara una limitación equivalente respecto de los datos personales en cuestión;

cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda comprometer la cooperación de la Agencia con terceros países u organizaciones internacionales en el desempeño de sus funciones, a menos que los intereses o los derechos y libertades fundamentales de los interesados prevalezcan sobre esta necesidad de cooperar;

Antes de aplicar una limitación en virtud del presente apartado, la Agencia consultará en su caso a los servicios de la Comisión o a la institución, órgano u organismo de la Unión, la organización internacional o las autoridades competentes del Estado miembro pertinentes, a menos que sea evidente que la limitación esté contemplada en uno de los actos jurídicos mencionados anteriormente o que tal consulta comprometa las actividades de la Agencia.

4. Las categorías de datos personales tratados en relación con las actividades antedichas podrán contener datos fácticos objetivos y datos de valoraciones subjetivos.

5. Cualquier limitación respetará la esencia de los derechos y libertades fundamentales y será necesaria y proporcionada en una sociedad democrática.

Artículo 3

Registro de las limitaciones

1. La persona responsable del tratamiento elaborará un registro de las limitaciones, en el que se describirán los aspectos siguientes:

a)	las razones de cualquier limitación aplicada en virtud de esta Decisión;

b)	qué fundamentos resultan de aplicación de entre los enumerados en el artículo 2;

c)	por qué el ejercicio del derecho supondría un riesgo para el interesado, comprometería la finalidad de las tareas de la Agencia o afectaría negativamente a los derechos y las libertades de otros interesados;

d)	el resultado de la apreciación de la necesidad y la proporcionalidad de la limitación, teniendo en consideración los elementos pertinentes del artículo 25, apartado 2, del Reglamento.

2. Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones. El responsable del tratamiento tendrá en cuenta los posibles riesgos para los derechos y libertades del interesado. Las limitaciones se ceñirán a lo estrictamente necesario para alcanzar su objetivo.

3. Se deberá registrar la limitación y, en su caso, los documentos que contengan los elementos de hecho y de Derecho subyacentes. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

Artículo 4

Riesgos para los derechos y libertades de los interesados

1. Las evaluaciones de los riesgos para los derechos y libertades de los interesados que supongan la aplicación de limitaciones y los detalles sobre el período de aplicación de dichas limitaciones se harán constar en el registro de actividades de tratamiento mantenido por el responsable del tratamiento en virtud del artículo 31 del Reglamento. También se harán constar en todas las evaluaciones de impacto de protección de datos relativas a las limitaciones llevadas a cabo con arreglo al artículo 39 del Reglamento, en su caso.

2. Cuando el responsable del tratamiento estudie aplicar una limitación, el riesgo para los derechos y las libertades del interesado deberá sopesarse, en particular, con el riesgo para los derechos y las libertades de otros interesados y el riesgo de incidir negativamente en las investigaciones o los procedimientos emprendidos por la Agencia, por ejemplo, por la destrucción de pruebas. Los riesgos para los derechos y las libertades del interesado consisten principalmente, aunque no de manera exclusiva, en riesgos para la reputación y riesgos para el derecho a la defensa y a ser oído.

Artículo 5

Garantías y plazos de conservación

1. La Agencia instaurará garantías específicas para evitar los abusos y el acceso o la transferencia ilícitos de datos personales respecto de los cuales se apliquen o puedan aplicarse limitaciones. Tales garantías incluirán medidas técnicas y organizativas y quedarán detalladas, en caso necesario, en las decisiones, procedimientos y normas de ejecución internos de la Agencia. Estas garantías incluirán:

a)	una definición clara de las funciones, responsabilidades y etapas del procedimiento;

b)	en su caso, un entorno electrónico seguro que impida el acceso o la transferencia ilícitos y accidentales de datos electrónicos a personas no autorizadas;

c)	en su caso, un almacenamiento y tratamiento seguros de los documentos en soporte papel;

d)	la garantía del cumplimiento de las obligaciones de confidencialidad por parte de todas las personas que tengan acceso a los datos personales.

2. El plazo de conservación de los datos personales en virtud de una limitación se determinará en el correspondiente registro con arreglo a lo dispuesto en el artículo 31 del Reglamento, teniendo en cuenta la finalidad del tratamiento, e incluirá el marco temporal necesario para el control judicial y administrativo. Al final del período de conservación, los datos personales se suprimirán, se anonimizarán o se transferirán a los archivos de conformidad con el artículo 13 del Reglamento.

Artículo 6

Duración de las limitaciones

1. Las limitaciones a que se refiere el artículo 2 seguirán en vigor mientras los motivos que las justifiquen sigan siendo aplicables.

2. Cuando dejen de ser aplicables las razones de una limitación, el responsable del tratamiento la levantará si el ejercicio del derecho limitado ya no afecta negativamente al procedimiento pertinente ni socava los derechos o las libertades de otros interesados.

3. En caso de que el interesado haya solicitado de nuevo acceso a los datos personales en cuestión, el responsable del tratamiento le facilitará al interesado las principales razones de la limitación. Al mismo tiempo, la Agencia informará al interesado de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

4. La Agencia revisará cada seis meses la aplicación de las limitaciones mencionadas en el artículo 2.

Artículo 7

Participación del delegado de protección de datos

1. El responsable del tratamiento de la Agencia informará al DPD de esta sin demora injustificada de cualquier decisión de limitación de los derechos del interesado de conformidad con la presente Decisión antes de que se adopte, o de cualquier decisión de ampliar la aplicación de la limitación. El responsable del tratamiento proporcionará al DPD acceso a los registros asociados y a cualquier documento relativo al contexto fáctico o jurídico.

2. El DPD podrá solicitar al responsable del tratamiento que revise la aplicación de una limitación. Este notificará por escrito al DPD el resultado de la revisión solicitada.

3. El responsable del tratamiento documentará la participación del DPD en la aplicación de la limitación, incluida la información compartida. Los documentos contemplados en este artículo formarán parte del registro relativo a la limitación y se pondrán a disposición del SEPD a petición suya.

Artículo 8

Información al interesado sobre las limitaciones de sus derechos

1. El responsable del tratamiento incluirá en los anuncios de protección de datos y los registros previstos en el artículo 31 del Reglamento, publicados en su sitio web y en la intranet, información general sobre la posible limitación de sus derechos, de conformidad con el artículo 2, apartado 2, de la presente Decisión. La información abarcará los derechos y las obligaciones que puedan ser objeto de limitaciones, los motivos por los que pueden aplicarse las limitaciones y su posible duración.

2. El responsable del tratamiento informará a los interesados individualmente, por escrito y sin demora injustificada de las limitaciones en curso o futuras de sus derechos. El responsable del tratamiento informará al interesado de los motivos principales en los que se fundamenta la limitación aplicada, de su derecho a consultar al DPD con el fin de impugnar la limitación y de sus derechos a presentar una reclamación ante el SEPD.

3. El responsable del tratamiento podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación a que se refieren los apartados 1 y 2 durante el tiempo en que ello deje sin efecto la limitación. La apreciación de esta justificación se realizará de manera individual y el responsable del tratamiento proporcionará la información al interesado tan pronto como tal extremo ya no deje sin efecto la limitación.

Artículo 9

Derecho de acceso del interesado

1. En casos debidamente justificados y con arreglo a las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho de acceso contemplado en el artículo 17 del Reglamento cuando sea necesario y proporcionado con respecto a las actividades acometidas en virtud de esta Decisión.

2. Cuando los interesados soliciten acceso a sus datos personales tratados en el contexto de una actividad específica mencionada en el artículo 2, apartado 2, de la presente Decisión, la Agencia limitará su respuesta a los datos personales tratados en dicho contexto.

3. Existe la posibilidad de limitar los derechos de los interesados a acceder directamente a los documentos de naturaleza psicológica o psiquiátrica. Mediante estas normas internas no se limitará el acceso indirecto ni el derecho de rectificación y comunicación de una violación de la seguridad de los datos personales. En consecuencia, a petición del interesado, se deberá facilitar el acceso de un médico intermediario a toda la información correspondiente, para que a su discreción pueda decidir qué información se facilita al interesado y de qué manera.

4. Si el responsable del tratamiento limita de forma total o parcial el derecho de acceso a datos personales, según se indica en el artículo 17 del Reglamento, en su respuesta a la solicitud de acceso informará al interesado afectado por escrito de la limitación aplicada y sus principales motivos, así como de la posibilidad de presentar una reclamación ante el SEPD o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

5. La información sobre la limitación de acceso podrá prorrogarse, omitirse o denegarse en caso de que pudiera dejar sin efecto la limitación, con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento.

6. Las limitaciones impuestas en virtud de este artículo se aplicarán de conformidad con la presente Decisión.

Artículo 10

Derecho de rectificación, supresión y limitación del tratamiento de datos

1. En casos debidamente justificados y con arreglo a las condiciones estipuladas en la presente Decisión, el responsable del tratamiento podrá limitar el derecho de rectificación, supresión y limitación del tratamiento contemplado en el artículo 18, el artículo 19, apartado 1, y el artículo 20, apartado 1, del Reglamento cuando sea necesario y oportuno con respecto a las actividades acometidas en virtud del artículo 2, apartado 2, de esta Decisión.

2. En relación con los datos médicos, los interesados podrán ejercer el derecho de rectificación de la evaluación o la opinión del Servicio Médico de la Comisión presentando sus comentarios o un informe de un médico de su elección (los comentarios o el informe pertinentes se podrán presentar directamente al Servicio Médico de la Comisión).

3. Las limitaciones impuestas en virtud de este artículo se aplicarán de conformidad con la presente Decisión.

Artículo 11

Comunicación de una violación de la seguridad de los datos personales al interesado

1. Cuando el responsable del tratamiento tenga la obligación de comunicar una violación de la seguridad de los datos con arreglo al artículo 35, apartado 1, del Reglamento, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. El responsable documentará en una nota los motivos de la limitación, su fundamento jurídico de conformidad con el artículo 2 y una evaluación de su necesidad y proporcionalidad. La nota se comunicará al SEPD en el momento en que se notifique la violación de datos personales.

2. Cuando dejen de ser aplicables las razones de la limitación, la Agencia comunicará al interesado la violación de la seguridad de los datos personales y le informará de los motivos principales de la limitación, así como de su derecho a presentar una reclamación ante el SEPD.

Artículo 12

Confidencialidad de las comunicaciones electrónicas

1. En circunstancias excepcionales, la Agencia podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas recogido en el artículo 36 del Reglamento. Dichas limitaciones se ajustarán a lo dispuesto en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (6).

2. Sin perjuicio de lo estipulado en el artículo 8, apartado 3, en caso de que la Agencia limite el derecho a la confidencialidad de las comunicaciones electrónicas, deberá informar al interesado, en su respuesta a cualquier solicitud procedente de este, de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el SEPD.

Artículo 13

Entrada en vigor

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Hecho en Bruselas, el 22 de octubre de 2020.

Por el Comité Director

La Presidenta

Themis CHRISTOPHIDOU

(1) DO L 295 de 21.11.2018, p. 39.

(2) Decisión de Ejecución 2013/776/UE de la Comisión, de 18 de diciembre de 2013, por la que se crea la Agencia Ejecutiva en el ámbito Educativo, Audiovisual y Cultural y se deroga la Decisión 2009/336/CE (DO L 343 de 19.12.2013, p. 46); modificada posteriormente por las Decisiones de Ejecución (UE) 2018/1716 (DO L 286 de 14.11.2018, p. 33) y (UE) 2019/1855 (DO L 285 de 6.11.2019, p. 14).

(3) Decisión C (2013) 9189 de la Comisión, de 18 de diciembre de 2013, por la que se delegan competencias en la EACEA con vistas a la ejecución de las tareas relacionadas con la aplicación de los programas de la Unión en los ámbitos educativo, audiovisual y cultural, incluida, en particular, la ejecución de los créditos consignados en el presupuesto general de la Unión y de las dotaciones del FED. Dicha Decisión fue modificada posteriormente por la Decisión C (2014) 4084 de la Comisión, de 26 de junio de 2014, la Decisión C (2015) 658 de la Comisión, de 12 de febrero de 2015, la Decisión C (2016) 401 de la Comisión, de 1 de febrero de 2016, la Decisión C (2016) 1851 de la Comisión, de 31 de marzo de 2016, la Decisión C (2017) 3049 de la Comisión, de 12 de mayo de 2017, la Decisión C (2018) 5011 de la Comisión, de 1 de agosto de 2018, la Decisión C (2018) 7435 de la Comisión, de 13 de noviembre de 2018, la Decisión C (2019) 1299 de la Comisión, de 19 de febrero de 2019, y la Decisión C (2019) 7856 de la Comisión, de 6 de noviembre de 2019.

(4) Reglamento (CEE, Euratom, CECA) n.o 259/68 del Consejo, de 29 de febrero de 1968, por el que se establece el Estatuto de los funcionarios de las Comunidades Europeas y el régimen aplicable a los otros agentes de estas Comunidades y por el que se establecen medidas específicas aplicables temporalmente a los funcionarios de la Comisión (DO L 56 de 4.3.1968, p. 1).

(5) Decisión (UE, Euratom) 2017/46 de la Comisión, de 10 de enero de 2017, sobre la seguridad de los sistemas de información y comunicación de la Comisión Europea (DO L 6 de 11.1.2017, p. 40).

(6) Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO L 201 de 31.7.2002, p. 37).