EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 32021Q1119(01)
Management Board Decision on internal rules concerning restrictions of certain rights of data subjects in relation to processing of personal data in the framework of the functioning of the European Union Agency for Fundamental Rights, repealing Executive Board Decision 2019/05 of 27 September 2019
Decisão do Conselho de Administração que estabelece regras internas relativas a limitações de certos direitos dos titulares dos dados em relação ao tratamento de dados pessoais no contexto do funcionamento da Agência dos Direitos Fundamentais da União Europeia, que revoga a Decisão 2019/05 da Comissão Executiva de 27 de setembro de 2019
Decisão do Conselho de Administração que estabelece regras internas relativas a limitações de certos direitos dos titulares dos dados em relação ao tratamento de dados pessoais no contexto do funcionamento da Agência dos Direitos Fundamentais da União Europeia, que revoga a Decisão 2019/05 da Comissão Executiva de 27 de setembro de 2019
JO L 413 de 19.11.2021, p. 41–49
(BG, ES, CS, DA, DE, ET, EL, EN, FR, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
19.11.2021 |
PT |
Jornal Oficial da União Europeia |
L 413/41 |
DECISÃO DO CONSELHO
de Administração que estabelece regras internas relativas a limitações de certos direitos dos titulares dos dados em relação ao tratamento de dados pessoais no contexto do funcionamento da Agência dos Direitos Fundamentais da União Europeia, que revoga a Decisão 2019/05 da Comissão Executiva de 27 de setembro de 2019
O CONSELHO DE ADMINISTRAÇÃO DA AGÊNCIA DOS DIREITOS FUNDAMENTAIS DA UNIÃO EUROPEIA,
Tendo em conta:
O Tratado sobre o Funcionamento da União Europeia,
O Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1) [«Regulamento (UE) 2018/1725»], e em especial o artigo 25.o,
O Regulamento (CE) n.o 168/2007 do Conselho, de 15 de fevereiro de 2007, que cria a Agência dos Direitos Fundamentais da União Europeia (2), nomeadamente o artigo 13.o,
O parecer da Autoridade Europeia para a Proteção de Dados (AEPD) de 19 de maio de 2019, bem como as suas orientações relativas ao artigo 25.o do novo regulamento e normas internas,
Considerando o seguinte:
(1) |
A Agência dos Direitos Fundamentais da União Europeia (a seguir designada «FRA» ou «a Agência») exerce as suas atividades em conformidade com o Regulamento (CE) n.o 168/2007. |
(2) |
Em conformidade com o artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, as limitações à aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o do mesmo regulamento, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 22.o, devem basear-se nas regras internas a adotar pela FRA quando não se baseiem em atos normativos adotados com base nos Tratados. |
(3) |
Estas regras internas, incluindo as respetivas disposições sobre a avaliação da necessidade e da proporcionalidade de uma limitação, não devem aplicar-se nos casos em que um ato normativo adotado com base nos Tratados preveja uma limitação dos direitos do titular dos dados. |
(4) |
Nos casos em que a FRA desempenha as suas funções relativamente a direitos do titular dos dados nos termos do Regulamento (UE) 2018/1725, deve ter em conta se são aplicáveis algumas das exceções previstas nesse regulamento. |
(5) |
No contexto do seu funcionamento administrativo, a FRA pode conduzir inquéritos administrativos e processos disciplinares, levar a cabo atividades preliminares relacionadas com casos de eventuais irregularidades comunicadas ao Organismo Europeu de Luta Antifraude (OLAF), tratar casos de denúncias, tratar procedimentos (formais e informais) relativos a casos de assédio, tratar reclamações internas e externas, realizar auditorias internas/externas, levar a cabo investigações através do encarregado da proteção de dados em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725 e realizar investigações em matéria de segurança (informática) interna. |
(6) |
A FRA intervém em processos no Tribunal de Justiça da União Europeia quando submete uma questão à apreciação do Tribunal de Justiça, quando defende uma decisão que tenha adotado e que tenha sido contestada perante o Tribunal de Justiça, ou quando intervém em processos relevantes para as suas funções. Neste contexto, a FRA poderá ter de preservar a confidencialidade dos dados pessoais contidos em documentos obtidos pelas partes ou pelos intervenientes. |
(7) |
A FRA trata várias categorias de dados pessoais, incluindo dados tangíveis (dados «objetivos», como dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego) e/ou dados intangíveis (dados «subjetivos» relacionados com o caso, como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com ou apresentados no âmbito da matéria a que se refere o procedimento ou a atividade). |
(8) |
A FRA, representada pelo seu diretor, atua como responsável pelo tratamento dos dados, sem prejuízo de subsequentes delegações dessa função no seio da FRA, a fim de refletir as responsabilidades operacionais no que se refere a operações específicas de tratamento de dados pessoais. |
(9) |
Os dados pessoais são armazenados em segurança num ambiente eletrónico ou em papel, evitando o acesso ou a transferência ilícitos de dados para pessoas que não tenham de os conhecer. Os dados pessoais tratados são conservados apenas durante o tempo necessário e adequado às finalidades do respetivo tratamento, num período especificado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos da FRA. |
(10) |
Estas regras internas devem ser aplicadas a todas as operações de tratamento realizadas pela FRA no âmbito de inquéritos administrativos, processos disciplinares, atividades relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, procedimentos de denúncia, procedimentos (formais e informais) relativos a casos de assédio, tratamento de reclamações internas e externas, auditorias internas/externas, investigações realizadas pelo encarregado da proteção de dados em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, a CERT-UE). |
(11) |
Devem ser aplicadas a operações de tratamento realizadas antes do início dos procedimentos acima referidos, ao longo dos mesmos e durante a supervisão do seguimento dado aos resultados de tais procedimentos. Devem ainda abranger a assistência e a cooperação disponibilizadas pela FRA, fora do âmbito das suas investigações administrativas, a autoridades nacionais e a organizações internacionais. |
(12) |
Sempre que tais regras internas se apliquem, a FRA tem de apresentar justificações em que explique a razão pela qual as limitações são estritamente necessárias e proporcionadas numa sociedade democrática, e a forma como respeitam a essência dos direitos e liberdades fundamentais. |
(13) |
Neste contexto, compete à FRA respeitar tanto quanto possível, durante os procedimentos acima referidos, os direitos fundamentais dos titulares dos dados, em especial os relacionados com o direito de comunicação de informações, direito de acesso e retificação, direito ao apagamento, limitação do tratamento, direito de comunicação ao titular dos dados de uma violação de dados pessoais ou a confidencialidade da comunicação, conforme estabelecido no Regulamento (UE) 2018/1725. |
(14) |
Contudo, a FRA poderá ser obrigada a limitar a comunicação de informações ao titular dos dados, e outros direitos deste, a fim de proteger, em especial, as suas próprias investigações, as investigações e os processos de outras autoridades públicas, bem como os direitos de outras pessoas relacionadas com as suas investigações ou com outros procedimentos. |
(15) |
Assim, a FRA pode limitar a comunicação de informações para proteger a investigação e os direitos e liberdades fundamentais de outros titulares de dados. |
(16) |
A FRA deve verificar regularmente se as condições que justificam a limitação ainda se mantêm e anular essa limitação em caso negativo. |
(17) |
A fim de garantir a máxima proteção dos direitos e liberdades dos titulares dos dados e em conformidade com o artigo 44.o, n.o 1, do regulamento, o encarregado da proteção de dados (EPD) deve ser consultado em tempo útil acerca de quaisquer limitações que possam ser aplicadas e verificar a sua conformidade com a presente decisão, |
ADOTOU A PRESENTE DECISÃO:
Artigo 1.o
Objeto e âmbito
1. A presente decisão estabelece as normas relativas às condições em que a Agência, no âmbito dos seus procedimentos descritos no n.o 2, pode limitar a aplicação dos direitos consagrados nos artigos 14.o a 21.o, 35.o e 36.° do Regulamento (UE) 2018/1725, bem como no artigo 4.o, conforme previsto no artigo 25.o do mesmo regulamento.
2. No âmbito do funcionamento administrativo da FRA, a presente decisão aplica-se às operações de tratamento de dados pessoais realizadas pela Agência com as seguintes finalidades: realizar inquéritos administrativos, processos pré-disciplinares, processos disciplinares, suspensões ao abrigo do anexo IX do Estatuto dos Funcionários, atividades relacionadas com casos de eventuais irregularidades comunicadas ao OLAF, tratar casos de denúncia, procedimentos (formais e informais) de assédio, tratamento de reclamações internas e externas, realizar auditorias internas/externas, investigações realizadas pelo encarregado da proteção de dados em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725, e investigações em matéria de segurança (informática), levadas a cabo internamente ou com participação externa (por exemplo, a CERT-UE).
3. A presente decisão aplica-se também às operações de tratamento de dados pessoais quando a FRA intervém em processos no Tribunal de Justiça da União Europeia quando submete uma questão para apreciação do Tribunal de Justiça, quando defende uma decisão adotada e contestada perante o Tribunal de Justiça ou quando intervém em processos relevantes para as suas funções. Neste contexto, a FRA poderá ter de preservar a confidencialidade dos dados pessoais contidos em documentos obtidos pelas partes ou pelos intervenientes.
4. As categorias de dados em questão consistem em dados tangíveis (dados «objetivos», como dados de identificação, dados de contacto, dados profissionais, detalhes administrativos, dados recebidos de fontes específicas, comunicações eletrónicas e dados de tráfego) e/ou dados intangíveis (dados «subjetivos» relacionados com o caso, como fundamentações, dados comportamentais, avaliações, dados de desempenho e conduta e dados relacionados com ou apresentados no âmbito da matéria a que se refere o procedimento ou a atividade).
5. Nos casos em que a FRA desempenha as suas funções relativamente a direitos do titular dos dados nos termos do Regulamento (UE) 2018/1725, deve ter em conta se são aplicáveis algumas das exceções previstas nesse regulamento.
6. Sob reserva das condições estabelecidas na presente decisão, as limitações podem aplicar-se aos seguintes direitos: comunicação de informações a titulares de dados, direito de acesso, retificação, apagamento, limitação do tratamento, comunicação de uma violação de dados pessoais ao titular dos dados ou confidencialidade da comunicação.
Artigo 2.o
Especificação do responsável pelo tratamento e salvaguardas
1. As salvaguardas existentes para evitar violações, fugas ou divulgações não autorizadas de dados são as seguintes:
a) |
os documentos em papel serão mantidos em armários de arquivo seguros e estarão acessíveis apenas a membros autorizados do pessoal; |
b) |
todos os dados eletrónicos devem ser conservados numa aplicação informática segura, de acordo com as normas de segurança da FRA, bem como em pastas eletrónicas específicas, acessíveis apenas a membros autorizados do pessoal. Os níveis adequados de acesso serão concedidos individualmente; |
c) |
o acesso à base de dados está protegido por uma palavra-passe num sistema de início de sessão único e associado automaticamente à palavra-passe e ao ID do utilizador. A substituição de utilizadores é estritamente proibida. Os registos eletrónicos serão mantidos em segurança para salvaguardar a confidencialidade e a privacidade dos dados que contêm; |
d) |
todas as pessoas que disponham de acesso aos dados estão sujeitas à obrigação de confidencialidade. |
2. O responsável pelas operações de tratamento é a FRA, representada pelo seu diretor, que pode delegar a função de responsável pelo tratamento. Os titulares dos dados são informados acerca do responsável pelo tratamento delegado por meio dos avisos sobre a proteção de dados ou de registos publicados no sítio Web e/ou na intranet da FRA.
3. O período de conservação dos dados pessoais mencionado no artigo 1.o, n.o 3, não excederá o necessário e adequado para os fins a que se destina o tratamento dos dados. Em qualquer caso, não pode exceder o período de conservação indicado nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos a que se refere o artigo 5.o, n.o 1.
4. Sempre que o EMCDDA pondere aplicar uma limitação, o risco para os direitos e as liberdades do titular dos dados é ponderado, em especial face ao risco para os direitos e liberdades de outros titulares dos dados e ao risco de anular o efeito de investigações ou procedimentos do EMCDDA, nomeadamente através da destruição de provas. Os riscos para os direitos e liberdades do titular dos dados dizem respeito sobretudo, mas não exclusivamente, a riscos para a reputação e a riscos para o direito de defesa e o direito a ser ouvido.
Artigo 3.o
Limitações
1. A FRA apenas aplicará uma limitação:
a) |
em conformidade com o artigo 25.o, n.o 1, alíneas b), c), f), g) e h), do regulamento, na realização de inquéritos administrativos e de processos disciplinares, processos pré-disciplinares, processos disciplinares, suspensões ao abrigo do anexo IX do Estatuto dos Funcionários e atividades relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; |
b) |
em conformidade com o artigo 25.o, n.o 1, alínea h), do regulamento, ao tratar casos de denúncia e procedimentos (formais e informais) de assédio, em conformidade com as respetivas regras internas; |
c) |
em conformidade com o artigo 25.o, n.o 1, alíneas c), d) e h), no tratamento de queixas internas e externas e na realização de auditorias internas/externas em relação a atividades ou serviços da FRA, investigações realizadas pelo encarregado da proteção de dados em conformidade com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725 e investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, a CERT-UE); |
d) |
nos termos do artigo 25.o, n.o 1, alínea e), do regulamento, no tratamento de dados pessoais em documentos obtidos pelas partes ou pelos intervenientes no âmbito tratamento de dados pessoais constantes de documentos obtidos pelas partes ou pelos intervenientes no âmbito de um processo no Tribunal de Justiça da União Europeia; |
2. Enquanto aplicação específica dos fins descritos no n.o 1 acima, a Agência pode aplicar limitações em relação a dados pessoais trocados com serviços da Comissão ou com outras instituições, órgãos, agências e serviços da União, autoridades competentes dos Estados-Membros ou de países terceiros ou organizações internacionais, nas seguintes circunstâncias:
a) |
se o exercício desses direitos e obrigações puder ser limitado por serviços da Comissão ou outras instituições, órgãos, agências e serviços da União com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725, ou em conformidade com o capítulo IX desse regulamento, ou com os atos constitutivos de outras instituições, órgãos, agências e serviços da União; |
b) |
se o exercício desses direitos e obrigações puder ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (3), ou ao abrigo de medidas nacionais de transposição dos artigos 13.o, n.o 3, 15.o, n.o 3, ou 16.°, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (4); |
c) |
nos casos em que o exercício desses direitos e obrigações possa pôr em causa a cooperação da FRA com países terceiros ou organizações internacionais no exercício das suas funções. |
Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do primeiro parágrafo, a FRA deve consultar os serviços competentes da Comissão, outras instituições, órgãos, agências e serviços da União ou as autoridades competentes dos Estados-Membros, salvo se, para a FRA, for claro que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas.
3. Qualquer limitação deve ser necessária e proporcionada tendo em conta os riscos para os direitos e liberdades dos titulares dos dados, devendo ainda respeitar a essência dos direitos e liberdades fundamentais numa sociedade democrática.
4. Se for ponderada a aplicação de uma limitação, será realizado um teste de necessidade e de proporcionalidade baseado nas presentes normas. O mesmo deve ser documentado, caso a caso, mediante uma nota de avaliação interna, para efeitos de responsabilização.
5. As limitações devem ser anuladas assim que cessarem as circunstâncias que as justificam. Em especial, é esse o caso quando se considera que o exercício do direito limitado já não anula o efeito da limitação imposta nem afeta negativamente os direitos ou liberdades de outros titulares dos dados.
Artigo 4.o
Participação do encarregado da proteção de dados
1. A FRA deve, sem demora injustificada, garantir a participação do EPD em todos os procedimentos relevantes estabelecidos pela presente decisão, bem como assegurar que a participação do EPD é documentada. Isso inclui a documentação escrita de quaisquer avaliações e opiniões relevantes apresentadas pelo EPD no que se refere à aplicabilidade de uma limitação a um determinado caso.
2. Em particular, a Agência deve informar o seu EPD, sem demora injustificada, sempre que o responsável pelo tratamento limite a aplicação de direitos dos titulares dos dados ou prorrogue a limitação, nos termos da presente decisão. O responsável pelo tratamento deve conceder ao EPD acesso ao registo que contém a avaliação da necessidade e proporcionalidade da limitação, bem como documentar, nesse registo, a data em que informou o EPD.
3. O EPD pode pedir por escrito ao responsável pelo tratamento o reexame da aplicação das limitações. O responsável pelo tratamento informará o EPD por escrito acerca do resultado do reexame solicitado.
4. O responsável pelo tratamento informará o EPD aquando da anulação da limitação.
Artigo 5.o
Comunicação de informações ao titular dos dados
1. Em casos devidamente fundamentados, e cumprindo as condições definidas na presente decisão, o direito à informação pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento:
a) |
realização de inquéritos administrativos e de processos disciplinares; |
b) |
atividades relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; |
c) |
procedimentos de denúncia; |
d) |
procedimentos (formais e informais) relativos a casos de assédio; |
e) |
tratamento de reclamações internas e externas; |
f) |
auditorias internas e externas; |
g) |
investigações realizadas pelo encarregado da proteção de dados em consonância com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725; |
h) |
investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, a CERT-UE); |
i) |
tratamento de dados pessoais constantes de documentos obtidos pelas partes ou pelos intervenientes no âmbito de um processo no Tribunal de Justiça da União Europeia. |
Nos avisos sobre a proteção de dados, nas declarações de privacidade ou nos registos na aceção do artigo 31.o do Regulamento (UE) 2018/1725, publicados no seu sítio Web e/ou na intranet para informar os titulares dos dados acerca dos seus direitos no âmbito de um determinado procedimento, a FRA deve incluir informações relacionadas com a eventual limitação desses direitos. As informações abrangerão os direitos passíveis de ser limitados, bem como os motivos e a duração da eventual limitação.
2. Sem prejuízo do disposto no n.o 3, quando tal for proporcionado, a Agência informará também individualmente, por escrito e sem demora injustificada, todos os titulares dos dados que sejam considerados pessoas afetadas pela operação de tratamento em causa acerca dos seus direitos no que diz respeito a limitações presentes e futuras.
3. Se a Agência limitar, no todo ou em parte, a comunicação de informações aos titulares dos dados a que se refere o n.o 2, deve documentar os motivos dessa limitação e a base jurídica em conformidade com o artigo 3.o da presente decisão, incluindo uma avaliação da necessidade e proporcionalidade da limitação.
O registo e, se for caso disso, os documentos que contêm os elementos factuais e jurídicos subjacentes devem ser inscritos. Estes elementos devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados mediante pedido.
4. A limitação a que se refere o n.o 3 continuará a aplicar-se enquanto se mantiverem aplicáveis as razões que a justificam.
Quando as razões para a limitação cessarem, a FRA fornecerá informações ao titular dos dados sobre os principais motivos em que se baseia a aplicação de uma limitação. Simultaneamente, a FRA informará o titular dos dados do direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados em qualquer altura, ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia.
A FRA reexaminará a aplicação da limitação semestralmente após a sua adoção e aquando do encerramento do inquérito, procedimento ou investigação pertinentes. Daí em diante, o responsável pelo tratamento deve verificar anualmente a necessidade de manter uma determinada limitação.
Artigo 6.o
Direito de acesso do titular dos dados
1. Em casos devidamente fundamentados, e cumprindo as condições definidas na presente decisão, o direito de acesso pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e proporcionado:
a) |
realização de inquéritos administrativos e de processos disciplinares; |
b) |
atividades relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; |
c) |
procedimentos de denúncia; |
d) |
procedimentos (formais e informais) relativos a casos de assédio; |
e) |
tratamento de reclamações internas e externas; |
f) |
auditorias internas e externas; |
g) |
investigações realizadas pelo encarregado da proteção de dados em consonância com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725; |
h) |
investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, a CERT-UE); |
i) |
tratamento de dados pessoais constantes de documentos obtidos pelas partes ou pelos intervenientes no âmbito de um processo no Tribunal de Justiça da União Europeia. |
Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no contexto de um ou mais casos específicos ou de uma determinada operação de tratamento, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, a FRA restringirá a sua apreciação do pedido a esses dados pessoais.
2. Se a FRA limitar, no todo ou em parte, o direito de acesso previsto no artigo 17.o do Regulamento (UE) 2018/1725, tomará as seguintes medidas:
a) |
informar o titular dos dados em causa, na sua resposta ao pedido, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia; |
b) |
documentar, numa nota de avaliação interna, os motivos da limitação, incluindo uma avaliação da necessidade e proporcionalidade da limitação e a respetiva duração. |
A comunicação das informações a que se refere a alínea a) pode ser adiada, omitida ou recusada caso se presuma que anule o efeito da limitação em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725.
A FRA deve reexaminar a aplicação da limitação semestralmente após a sua adoção e aquando do encerramento da investigação pertinente. Daí em diante, o responsável pelo tratamento deve verificar anualmente a necessidade de manter uma determinada limitação.
3. O registo e, se for caso disso, os documentos que contêm os elementos factuais e jurídicos subjacentes devem ser inscritos. Estes elementos devem ser disponibilizados à Autoridade Europeia para a Proteção de Dados mediante pedido.
Artigo 7.o
Direito de retificação, apagamento e limitação do tratamento
1. Em casos devidamente fundamentados, e cumprindo as condições definidas na presente decisão, o direito à retificação, apagamento e limitação pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e adequado:
a) |
realização de inquéritos administrativos e de processos disciplinares; |
b) |
atividades relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; |
c) |
procedimentos de denúncia; |
d) |
procedimentos (formais e informais) relativos a casos de assédio; |
e) |
tratamento de reclamações internas e externas; |
f) |
auditorias internas e externas; |
g) |
investigações realizadas pelo encarregado da proteção de dados em consonância com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725; |
h) |
investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, a CERT-UE); |
i) |
tratamento de dados pessoais constantes de documentos obtidos pelas partes ou pelos intervenientes no âmbito de um processo no Tribunal de Justiça da União Europeia. |
2. Se a Agência limitar, no todo ou em parte, a aplicação do direito de retificação, apagamento e limitação do tratamento a que se refere os artigos 18.o, 19.o, n.o 1, e 20.°, n.o 1, do Regulamento (UE) 2018/1725, tomará as medidas indicadas no artigo 6.o, n.o 2, da presente decisão e procederá à inscrição do registo em conformidade com o artigo 6.o, n.o 3.
Artigo 8.o
Comunicação de uma violação de dados pessoais ao titular dos dados e confidencialidade das comunicações eletrónicas
1. Em casos devidamente fundamentados, e cumprindo as condições definidas na presente decisão, o direito à comunicação de uma violação de dados pessoais pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e adequado:
a) |
realização de inquéritos administrativos e de processos disciplinares; |
b) |
atividades relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; |
c) |
procedimentos de denúncia; |
d) |
procedimentos (formais e informais) relativos a casos de assédio; |
e) |
tratamento de reclamações internas e externas; |
f) |
auditorias internas e externas; |
g) |
investigações realizadas pelo encarregado da proteção de dados em consonância com o artigo 45.o, n.o 2, do Regulamento (UE) 2018/1725; |
h) |
investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, a CERT-UE); |
i) |
tratamento de dados pessoais constantes de documentos obtidos pelas partes ou pelos intervenientes no âmbito de um processo no Tribunal de Justiça da União Europeia. |
2. Em casos devidamente fundamentados, e cumprindo as condições definidas na presente decisão, o direito à confidencialidade das comunicações eletrónicas pode ser limitado pelo responsável pelo tratamento no contexto das seguintes operações de tratamento, quando necessário e adequado:
a) |
realização de inquéritos administrativos e de processos disciplinares; |
b) |
atividades relacionadas com casos de eventuais irregularidades comunicadas ao OLAF; |
c) |
procedimentos de denúncia; |
d) |
procedimentos formais relativos a casos de assédio; |
e) |
tratamento de reclamações internas e externas; |
f) |
investigações em matéria de segurança (informática) levadas a cabo internamente ou com participação externa (por exemplo, a CERT-UE). |
g) |
tratamento de dados pessoais constantes de documentos obtidos pelas partes ou pelos intervenientes no âmbito de um processo no Tribunal de Justiça da União Europeia. |
3. Se a Agência limitar a comunicação de uma violação de dados pessoais ao titular de dados ou a confidencialidade das comunicações eletrónicas a que se referem os artigos 35.o e 36.o do Regulamento (UE) 2018/1725, deve documentar e registar os motivos para a limitação em conformidade com o artigo 5.o, n.o 3, da presente decisão. Aplica-se o artigo 5.o, n.o 4, da presente decisão.
Artigo 9.o
Disposições finais
A Decisão 2019/05 da Comissão Executiva, de 27 de setembro de 2019, que estabelece regras internas relativas a limitações de certos direitos dos titulares dos dados em relação ao tratamento de dados pessoais no contexto do funcionamento da Agência dos Direitos Fundamentais da União Europeia (2019/C 371/06) é pelo presente revogada.
Artigo 10.o
Entrada em vigor
A presente decisão entra em vigor no dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.
Feito em Viena, em 24 de setembro de 2021.
Pela Agência dos Direitos Fundamentais
da União Europeia
Elise BARBÉ
Presidente do Conselho de Administração
(1) JO L 295 de 21.11.2018, p. 39.
(2) JO L 53 de 22.2.2007, p. 1.
(3) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).
(4) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89)