10.4.2019 |
PT |
Jornal Oficial da União Europeia |
LI 99/1 |
DECISÃO DA AUTORIDADE EUROPEIA PARA A PROTEÇÃO DE DADOS
de 2 de abril de 2019
relativa às regras internas em matéria de limitações de determinados direitos dos titulares de dados no que diz respeito ao tratamento de dados pessoais no âmbito das atividades realizadas pela Autoridade Europeia para a Proteção de Dados
A AUTORIDADE EUROPEIA PARA A PROTEÇÃO DE DADOS (AEPD),
Tendo em conta o Tratado sobre o Funcionamento da União Europeia,
Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições, órgãos e organismos da União e à livre circulação desses dados (a seguir designado «o Regulamento») e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1), nomeadamente o artigo 25.o e o seu Capítulo VI,
Após consulta do Secretariado da Autoridade Europeia para a Proteção de Dados sobre esta decisão, nos termos do artigo 41.o, n.o 2, do Regulamento,
Considerando o seguinte:
(1) |
A AEPD pode, no contexto do seu funcionamento, conduzir inquéritos administrativos, processos pré-disciplinares, disciplinares e de suspensão, com base no artigo 86.o do Estatuto dos Funcionários da União Europeia (2) e em conformidade com o seu anexo IX, bem como com a Decisão da AEPD, de 23 de abril de 2015, que adota disposições de execução relativas à condução dos inquéritos administrativos e dos processos disciplinares, bem como o Acordo de Nível de Serviço relativo à colaboração entre a DG HR da Comissão Europeia e a AEPD, assinado em 29/1/2016, e pode notificar os casos ao IDOC ou ao OLAF, o que implica o tratamento de informações incluindo dados pessoais. |
(2) |
Os membros do pessoal da AEPD têm a obrigação de comunicar eventuais atividades ilegais, incluindo fraude ou corrupção, lesivas dos interesses da União, ou atos relacionados com o exercício de atividades profissionais que possam constituir um grave incumprimento das obrigações do funcionário da União. Esta obrigação é regulada pela Decisão da AEPD sobre as regras internas em matéria de denúncia de irregularidades, de 14 de junho de 2016. |
(3) |
A AEPD estabeleceu uma política para prevenir e lidar de forma eficaz e eficiente com casos reais ou potenciais de assédio moral ou sexual no local de trabalho, tal como previsto na sua Decisão de 10 de dezembro de 2014 que adota medidas de execução relativas aos artigos 12.o-A e 24.o do Estatuto dos Funcionários relativos ao procedimento contra o assédio. A Decisão estabelece um procedimento informal em que a alegada vítima do assédio pode contactar conselheiros confidenciais da AEPD. |
(4) |
A AEPD, nos termos do artigo 57.o, n.o 1, alínea e) do Regulamento, trata as reclamações relativas a atividades de tratamento realizadas pelas instituições, órgãos e organismos europeus. Neste contexto, a AEPD pode proceder a investigações sobre o objeto da reclamação. |
(5) |
A AEPD, nos termos do artigo 57.o, n.o 1, alínea f), do Regulamento, conduz investigações sobre a aplicação do Regulamento, a fim de verificar a conformidade das instituições, órgãos e organismos da UE. |
(6) |
A AEPD pode conduzir investigações sobre eventuais infrações de informações classificadas da UE (ICUE), com base na Decisão da AEPD, de 18 de fevereiro de 2014, que altera as suas regras em matéria de segurança das ICUE. |
(7) |
A AEPD pode realizar auditorias às suas atividades. Tal é atualmente realizado através do Serviço de Auditoria Interna da Comissão Europeia (SAI), com base no Acordo de Nível de Serviço assinado em 1 de junho de 2012, tal como renovado. Pode também ser realizado pelo coordenador de controlo interno na sua plena capacidade. |
(8) |
No contexto das tarefas descritas nos considerandos 1 a 7, a AEPD pode prestar e receber assistência e cooperação a e de outras instituições, órgãos e organismos da União, tal como estabelecido nos acordos de serviço, nos memorandos de entendimento e nos acordos de cooperação relevantes. |
(9) |
A AEPD pode prestar e receber assistência e cooperação a e de autoridades nacionais e organizações internacionais de países terceiros, a pedido destas ou por sua própria iniciativa, tal como previsto no artigo 51.o do Regulamento. |
(10) |
A AEPD pode prestar e receber assistência e cooperação às e das autoridades públicas dos Estados-Membros da UE, a pedido destas ou por sua própria iniciativa. |
(11) |
Com base no artigo 58.o, n.o 4, do Regulamento, a AEPD pode intervir em processos judiciais intentados junto do Tribunal de Justiça da União Europeia, quer para submeter questões à apreciação do Tribunal, defender decisões contestadas da AEPD, ou intervir em casos relevantes para as suas funções. |
(12) |
No contexto das atividades acima referidas, a AEPD recolhe e trata informações relevantes e diversas categorias de dados pessoais, incluindo os dados de identificação de uma pessoa singular, os dados de contacto, as funções e tarefas profissionais, as informações sobre conduta e desempenho privados e profissionais e os dados financeiros. A AEPD atua como responsável pelo tratamento dos dados. |
(13) |
Existem salvaguardas adequadas para proteger os dados pessoais e evitar o seu acesso acidental ou ilegal, ou a sua transferência, se forem armazenados num ambiente físico ou eletrónico. Após o tratamento, os dados são conservados em conformidade com as regras de conservação aplicáveis da AEPD, tal como definidas nos registos de proteção de dados com base no artigo 31.o do Regulamento. No final do período de retenção, as informações relacionadas com o caso, incluindo dados pessoais, são apagadas, anonimizadas ou transferidas para os arquivos históricos. |
(14) |
Neste contexto, a AEPD é obrigada a cumprir a sua obrigação de informar os titulares dos dados sobre as atividades de tratamento supramencionadas e de respeitar os direitos das pessoas em causa, tal como previsto no Regulamento. |
(15) |
Pode ser necessário conciliar os direitos dos titulares de dados nos termos do Regulamento com as necessidades das atividades acima referidas, no pleno respeito pelos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o do Regulamento prevê, sob condições estritas, a possibilidade de limitar a aplicação dos artigos 14.o a 20.o, 35.o e 36.o, bem como do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 20.o. Neste caso, é necessário adotar regras internas no âmbito das quais a AEPD pode limitar esses direitos em conformidade com o mesmo artigo do Regulamento. |
(16) |
Tal poderá ser o caso, em especial, do fornecimento de informações sobre o tratamento de dados pessoais ao titular dos dados durante a fase de avaliação preliminar de um inquérito administrativo ou durante o próprio inquérito, antes de um eventual arquivamento do processo ou de uma fase pré-disciplinar. Em determinadas circunstâncias, a prestação dessas informações pode afetar seriamente a capacidade da AEPD para realizar o inquérito de forma eficaz, sempre que, por exemplo, exista o risco de a pessoa em causa destruir provas ou interferir com potenciais testemunhas antes de serem entrevistadas. Além disso, a AEPD poderá ter de proteger os seus direitos e liberdades, bem como os direitos e as liberdades das outras pessoas envolvidas. |
(17) |
Poderá ser necessário proteger a confidencialidade de uma testemunha ou de um denunciante que não tenha solicitado a sua identificação. Nesse caso, a AEPD pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais do denunciante e de outras pessoas envolvidas, a fim de proteger os seus direitos e liberdades. |
(18) |
Poderá ser necessário proteger a confidencialidade de um membro do pessoal que tenha contactado os conselheiros confidenciais da AEPD no contexto de um procedimento de assédio. Nesse caso, a AEPD pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais da alegada vítima, do alegado autor do assédio e de outras pessoas envolvidas, a fim de proteger os seus direitos e liberdades. |
(19) |
No tratamento das reclamações a atividades de tratamento realizadas pelas instituições, órgãos e organismos europeus, a AEPD poderá, em determinadas circunstâncias, ter de preservar a eficácia dos seus inquéritos e proteger, na medida do necessário, as pessoas envolvidas e os seus direitos e liberdades. |
(20) |
Ao realizar investigações sobre a aplicação do Regulamento, a fim de verificar a conformidade das instituições, órgãos e organismos da UE com o Regulamento, a AEPD, em determinadas circunstâncias, poderá ter de preservar a eficácia dos seus inquéritos e proteger, se necessário, as pessoas envolvidas e os seus direitos e liberdades. |
(21) |
Ao realizar investigações sobre eventuais infrações de informações classificadas da UE, a AEPD, em determinadas circunstâncias, poderá ter de preservar a eficácia dos seus inquéritos e proteger, se necessário, a segurança interna das instituições, órgãos e organismos da União, incluindo das suas redes de comunicações eletrónicas, bem como os direitos e liberdades dos titulares dos dados envolvidos. |
(22) |
Ao prestar ou receber assistência e cooperação a e de outras instituições, órgãos e organismos da União, autoridades públicas dos Estados-Membros da UE, autoridades nacionais e organizações internacionais de países terceiros no contexto das atividades acima referidas, a AEPD poderá, em determinadas circunstâncias, ter de preservar a eficácia dos seus inquéritos ou dos realizados pela entidade que coopera com as mesmas e proteger, se necessário, as pessoas envolvidas e os seus direitos e liberdades. |
(23) |
Ao submeter questões ou intervir perante o Tribunal de Justiça da União Europeia, a AEPD poderá ter de preservar a confidencialidade dos dados pessoais contidos nos documentos obtidos pelas partes ou pelos intervenientes no âmbito do processo em causa. |
(24) |
A AEPD só deve aplicar limitações quando respeitem a essência dos direitos e liberdades fundamentais e sejam estritamente necessárias e uma medida proporcionada numa sociedade democrática. A AEPD deve apresentar justificações que expliquem os motivos dessas limitações. |
(25) |
Com base no princípio da responsabilização, a AEPD deve manter um registo da aplicação das limitações. |
(26) |
Ao proceder ao intercâmbio de dados pessoais com outras organizações no âmbito das suas funções, a AEPD deve consultar e ser consultada por essas organizações sobre os eventuais motivos relevantes para a imposição de limitações e a necessidade e proporcionalidade das limitações, a menos que tal ponha em perigo as atividades da AEPD. |
(27) |
O artigo 25.o, n.o 6, do Regulamento (UE) 2018/1725 obriga o responsável pelo tratamento a informar os titulares dos dados dos principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados; |
(28) |
Nos termos do artigo 25.o, n.o 8, do Regulamento, a AEPD pode diferir, omitir ou recusar a prestação de informações sobre os motivos para a aplicação de uma limitação ao titular dos dados, caso tal seja suscetível de anular o efeito da limitação. A AEPD deve avaliar caso a caso se a comunicação da limitação anularia o seu efeito. |
(29) |
A AEPD deve levantar a limitação logo que as condições que justificam a limitação deixem de ser aplicáveis e avaliar essas condições numa base regular. |
(30) |
A fim de garantir a máxima proteção dos direitos e liberdades dos titulares dos dados e em conformidade com o artigo 44.o, n.o 1, do Regulamento, o responsável pela proteção de dados (RPD) deve ser informado em tempo útil de quaisquer limitações que estejam a ser aplicadas e verificar o cumprimento da presente Decisão. |
(31) |
A aplicação das limitações acima referidas não prejudica a eventual aplicação do disposto no artigo 16.o, n.o 5, e no artigo 17.o n.o 4, relativos, respetivamente, ao direito de informação quando os dados não tenham sido obtidos junto da pessoa em causa e ao direito de acesso do titular dos dados. |
ADOTOU A PRESENTE DECISÃO:
Artigo 1.o
Objeto e âmbito de aplicação
A presente Decisão estabelece regras relativas às condições em que a AEPD pode limitar a aplicação dos artigos 14.o a 20.o, 35.o e 36.o, bem como do seu artigo 4.o, com base no artigo 25.o do Regulamento.
Artigo 2.o
Restrições
1. Em conformidade com o artigo 25.o, n.o 1, do Regulamento, a AEPD pode limitar a aplicação dos artigos 14.o a 20.o, 35.o e 36.o, bem como do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 20.o, quando:
a) |
conduzir inquéritos administrativos, processos pré-disciplinares, disciplinares e de suspensão, com base no artigo 86.o do Estatuto dos Funcionários da União Europeia (3) e em conformidade com o seu anexo IX, bem como com a Decisão da AEPD de 23 de abril de 2015, e pode notificar os casos ao IDOC ou ao OLAF. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento; |
b) |
assegurar que os membros do pessoal da AEPD possam comunicar de forma confidencial factos onde considerem que existem irregularidades graves, tal como previsto na Decisão da AEPD sobre regras internas em matéria de denúncia de irregularidades, de 14 de junho de 2016. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alínea h), do Regulamento; |
c) |
assegurar que os membros do pessoal da AEPD possam apresentar denúncias confidencialmente aos conselheiros confidenciais no contexto de um procedimento de assédio, tal como definido na Decisão da AEPD de 10 de dezembro de 2014. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alínea h), do Regulamento; |
d) |
realizar investigações sobre reclamações relativas a atividades de tratamento realizadas pelas instituições, órgãos e organismos europeus, em conformidade com o disposto no artigo 57.o, n.o 1, alínea e), do Regulamento. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento; |
e) |
realizar investigações sobre a aplicação do Regulamento, a fim de verificar a conformidade das instituições, órgãos e organismos da UE, em conformidade com o artigo 57.o, n.o 1, alínea f), do Regulamento. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento; |
f) |
realizar investigações sobre eventuais infrações de ICUE, com base na Decisão da AEPD de 18 de fevereiro de 2014, que altera as suas regras em matéria de segurança das ICUE. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), d), g), e h), do Regulamento; |
g) |
realizar auditorias internas em relação a todas as atividades e departamentos da AEPD. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento; |
h) |
prestar ou receber assistência e cooperação a e de outras instituições, órgãos e organismos da União, no contexto das atividades supramencionadas, tal como estabelecido em acordos de nível de serviço, memorandos de entendimento e acordos de cooperação relevantes. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), d), g) e h), do Regulamento; |
i) |
prestar ou receber assistência e cooperação a e de autoridades nacionais e organizações internacionais de países terceiros, a pedido destas ou por sua própria iniciativa, tal como previsto no artigo 51.o do Regulamento. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento; |
j) |
prestar ou receber assistência e cooperação de e para as autoridades públicas dos Estados-Membros da UE, a pedido destas ou por sua própria iniciativa. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento; |
k) |
o tratamento de dados pessoais em documentos obtidos pelas partes ou pelos intervenientes no âmbito do processo em causa, ao remeter uma questão para o Tribunal de Justiça da União Europeia ou intervir perante o Tribunal de Justiça da União Europeia, com base no artigo 58.o, n.o 4, do Regulamento. As limitações pertinentes podem basear-se no artigo 25.o, n.o 1, alínea e), do Regulamento; |
2. As categorias de dados incluem os dados de identificação de uma pessoa singular, os dados de contacto, as funções e tarefas profissionais, as informações sobre conduta e desempenho privados e profissionais e os dados financeiros.
3. Qualquer limitação deve respeitar a essência dos direitos e das liberdades fundamentais e constituir uma medida necessária e proporcionada numa sociedade democrática.
4. Um teste da necessidade e da proporcionalidade deve ser efetuado caso a caso antes da aplicação das limitações. As limitações devem limitar-se ao estritamente necessário para alcançar os objetivos fixados.
5. A AEPD apresenta, para efeitos de responsabilização, um registo que descreva os motivos das limitações aplicadas, quais os motivos enumerados no n.o 1 e os resultados do teste da necessidade e da proporcionalidade. Esses registos devem fazer parte de um registo ad hoc, que deve ser disponibilizado à AEPD a pedido desta. É periodicamente publicado um relatório sobre a aplicação do artigo 25.o do Regulamento.
6. Ao proceder ao intercâmbio de dados pessoais com outras organizações no âmbito das suas funções, a AEPD consulta e deverá ser consultada por essas organizações sobre os eventuais motivos pertinentes para a imposição de limitações e a necessidade e proporcionalidade das limitações, a menos que tal ponha em perigo as atividades da AEPD.
Artigo 3.o
Riscos para os direitos e liberdades dos titulares de dados
A avaliação dos riscos para os direitos e liberdades dos titulares de dados cujos dados pessoais possam ser objeto de limitações, bem como o respetivo período de conservação, são referidos no registo das atividades de tratamento pertinentes, em conformidade com o artigo 31.o do Regulamento e, se for caso disso, em avaliações de impacto sobre a proteção de dados pertinentes baseadas no artigo 39.o do Regulamento.
Artigo 4.o
Períodos de armazenagem e salvaguardas
A AEPD aplica salvaguardas para evitar o abuso ou o acesso ou transferência ilegais de dados pessoais que possam estar sujeitos a limitações. Estas salvaguardas incluem medidas técnicas e organizativas e, se necessário, são descritas nas decisões, nos procedimentos e nas normas de execução internos da AEPD. As salvaguardas incluem:
a) |
uma definição adequada das funções, responsabilidades e etapas processuais; |
b) |
se for caso disso, um ambiente eletrónico seguro que impeça o acesso ou a transferência ilegais ou acidentais de dados eletrónicos a pessoas não autorizadas; |
c) |
se for caso disso, o armazenamento seguro e o tratamento de documentos em papel. |
d) |
a monitorização adequada das limitações e uma revisão periódica, a efetuar pelo menos de seis em seis meses. Deverá também ser efetuada uma revisão quando elementos essenciais do caso em apreço se alteram. As limitações devem ser levantadas assim que as circunstâncias que o justificam deixem de se aplicar. |
Artigo 5.o
Informação e revisão pelo responsável pela proteção de dados
1. O RPD da AEPD deve ser informado sem demora injustificada sempre que os direitos do titular dos dados forem limitados em conformidade com a presente Decisão e deve ser facultado o acesso ao registo e a quaisquer documentos subjacentes aos elementos factuais e jurídicos.
2. O RPD da AEPD pode pedir para rever a aplicação da limitação. A AEPD deve informar o seu RPD por escrito sobre o resultado da revisão solicitada.
3. A participação do RPD da AEPD no procedimento de limitação, incluindo o intercâmbio de informações, deve ser documentada de forma adequada.
Artigo 6.o
Informação aos titulares de dados sobre as limitações aos seus direitos
1. A AEPD inclui nos anúncios de proteção de dados publicados no seu sítio Web informações gerais aos titulares dos dados relacionados com as eventuais limitações dos direitos de todos os titulares dos dados a que se refere o artigo 2.o, n.o 1. As informações devem abranger os direitos que podem ser limitados, os motivos e a duração potencial da limitação.
2. Além disso, a AEPD informa os titulares dos dados individualmente sobre as limitações atuais ou futuras dos seus direitos, sem demora injustificada e por escrito, tal como especificado nos artigos 7.o, 8.o e 9.o.
Artigo 7.o
Direito à informação dos titulares dos dados e comunicação sobre violações de dados
1. Se, no contexto das atividades mencionadas na presente Decisão, a AEPD limitar, total ou parcialmente, os direitos mencionados nos artigos 14.o a 16.o e 35.o do Regulamento, os titulares dos dados devem ser informados dos principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados, bem como de interpor recurso junto do Tribunal de Justiça da União Europeia.
2. A AEPD pode adiar, omitir ou recusar a comunicação de informações relativas aos motivos da limitação a que se refere o n.o 1 caso se presuma que anule o efeito da limitação. Esta avaliação deve ser efetuada caso a caso.
Artigo 8.o
Direito de acesso, retificação, apagamento e limitação do tratamento dos titulares dos dados
1. Se, no contexto das atividades referidas na presente Decisão, a AEPD limitar, total ou parcialmente, o direito de acesso aos dados pessoais, o direito de retificação, apagamento e limitação do tratamento, a que se referem, respetivamente, os artigos 17.o a 20.o do Regulamento, deverá informar o titular dos dados em causa, na sua resposta ao pedido, dos principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de interpor recurso perante o Tribunal de Justiça da União Europeia.
2. Caso o direito de acesso seja total ou parcialmente limitado, a AEPD, ao investigar a reclamação, deve apenas informar o titular dos dados se os dados foram corretamente tratados e, em caso negativo, se foram introduzidas quaisquer correções necessárias, em conformidade com o artigo 25.o, n.o 7, do Regulamento.
3. A AEPD pode adiar, omitir ou recusar a prestação de informações sobre os motivos da limitação a que se referem os n.os 1 e 2 se anular o efeito da limitação. Esta avaliação deve ser efetuada caso a caso.
Artigo 9.o
Confidencialidade da comunicação eletrónica
1. A AEPD, em circunstâncias excecionais e em conformidade com as disposições e os fundamentos da Diretiva 2002/58/CE, pode limitar o direito à confidencialidade das comunicações eletrónicas, tal como referido no artigo 36.o do Regulamento. Neste caso, a AEPD deve especificar as circunstâncias, os motivos, os riscos relevantes e as garantias conexas em regras internas específicas.
2. Sempre que a AEPD limita o direito à confidencialidade das comunicações eletrónicas, informa o titular dos dados em causa, na sua resposta ao pedido, dos principais motivos em que se baseia a aplicação da limitação, bem como da possibilidade de apresentar uma reclamação à AEPD ou de interpor recurso perante o Tribunal de Justiça da União Europeia.
3. A AEPD pode adiar, omitir ou recusar a comunicação de informações relativas aos motivos da limitação a que se referem os n.os 1 e 2 caso se presuma que anule o efeito da limitação. Esta avaliação deve ser efetuada caso a caso.
Artigo 10.o
Entrada em vigor
A presente Decisão entra em vigor no dia da sua publicação no Jornal Oficial da União Europeia.
Feito em Bruxelas, em 2 de abril de 2019
Pela Autoridade Europeia para a Proteção de Dados
Giovanni BUTTARELLI
(1) JO L 295, 21.11. 2018, p. 39.
(2) Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho, de 29 de fevereiro de 1968, que fixa o Estatuto dos Funcionários das Comunidades Europeias assim como o Regime aplicável aos outros agentes destas Comunidades, e institui medidas especiais temporariamente aplicáveis aos funcionários da Comissão (JO L 56 de 4.3.1968, p. 1).
(3) Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho, de 29 de fevereiro de 1968, que fixa o Estatuto dos Funcionários das Comunidades Europeias assim como o Regime aplicável aos outros agentes destas Comunidades, e institui medidas especiais temporariamente aplicáveis aos funcionários da Comissão (JO L 56 de 4.3.1968, p. 1).