DECISÃO DO CONSELHO

de 13 de Setembro de 2004

que aprova regras de execução do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados

(2004/644/CE)

O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o artigo 286.o,

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (1), nomeadamente o n.o 8 do artigo 24.o,

Considerando o seguinte:

DECIDE:

SECÇÃO 1

DISPOSIÇÕES GERAIS

Artigo 1.o

Objecto e âmbito de aplicação

A presente decisão estabelece regras de execução complementares do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, adiante designado «Regulamento», em relação ao Conselho da União Europeia.

Artigo 2.o

Definições

Para efeitos da presente decisão, e sem prejuízo das definições previstas no regulamento, entende-se por:

SECÇÃO 2

ENCARREGADO DA PROTECÇÃO DE DADOS

Artigo 3.o

Nomeação e estatuto do encarregado da protecção de dados

1.   O secretário-geral adjunto do Conselho nomeia o encarregado da protecção de dados e regista-o junto da Autoridade Europeia para a Protecção de Dados. O encarregado da protecção de dados depende directamente do secretário-geral adjunto do Conselho.

2.   O mandato do encarregado da protecção de dados é de três anos, podendo ser renovado duas vezes.

3.   No desempenho das suas funções, o encarregado da protecção de dados age de forma independente e em cooperação com a Autoridade Europeia para a Protecção de Dados. O encarregado da protecção de dados não pode, nomeadamente, receber instruções da entidade competente para proceder a nomeações do Secretariado-Geral do Conselho nem de qualquer outra pessoa no que respeita à aplicação interna das disposições do regulamento ou à sua cooperação com a Autoridade Europeia para a Protecção de Dados.

4.   A avaliação do desempenho das funções do encarregado da protecção de dados é feita depois de consulta prévia à Autoridade Europeia para a Protecção de Dados. O encarregado da protecção de dados só pode ser exonerado das suas funções com o acordo da Autoridade Europeia para a Protecção de Dados, se deixar de preencher as condições exigidas para o desempenho das suas funções.

5.   Sem prejuízo do procedimento previsto para a sua nomeação, o encarregado da protecção de dados é informado de todos os contactos com terceiros, relacionados com a aplicação do regulamento, designadamente no que diz respeito à interacção com a Autoridade Europeia para a Protecção de Dados.

6.   Sem prejuízo das disposições pertinentes do regulamento, o encarregado da protecção de dados e o seu pessoal estão sujeitos às regras e regulamentações aplicáveis aos funcionários e outros agentes das Comunidades Europeias.

Artigo 4.o

Funções

O encarregado da protecção de dados:

Artigo 5.o

Deveres

1.   Para além das funções de carácter geral a desempenhar, o encarregado da protecção de dados deve:

2.   Sem prejuízo da alínea b) do artigo 40.o, das alíneas b) e c) do n.o 1 do artigo 5.o e do artigo 15.o, o encarregado da protecção de dados e o pessoal que lhe está adstrito não podem divulgar informações ou documentos a que tenham acesso tido no desempenho das suas funções.

Artigo 6.o

Competências

No desempenho das suas funções, o encarregado da protecção de dados:

Artigo 7.o

Recursos

O encarregado da protecção de dados deve dispor do pessoal adequado e dos recursos necessários ao exercício das suas funções.

SECÇÃO 3

DIREITOS E DEVERES DOS INTERVENIENTES NO DOMÍNIO DA PROTECÇÃO DE DADOS

Artigo 8.o

Entidade competente para proceder a nomeações

1.   Em caso de reclamação na acepção do artigo 90.o do Estatuto, relativa a uma violação do regulamento, a entidade competente para proceder a nomeações consultará o encarregado da protecção de dados que emitirá parecer por escrito, no prazo de 15 dias a contar da data de recepção do pedido. Se, findo este prazo, o encarregado da protecção de dados não tiver transmitido o seu parecer à entidade competente para proceder a nomeações, este deixa de ser necessário. A entidade competente para proceder a nomeações não fica vinculada ao parecer do encarregado da protecção de dados.

2.   O encarregado da protecção de dados deve ser informado sempre que uma questão que esteja a ser considerada tenha ou possa ter implicações no domínio da protecção de dados.

Artigo 9.o

Responsáveis pelo tratamento

1.   Cabe aos responsáveis pelo tratamento garantir que todos os tratamentos sob o seu controlo estejam em conformidade com o regulamento.

2.   Os responsáveis pelo tratamento devem, nomeadamente:

Artigo 10.o

Pessoas de contacto

1.   Sem prejuízo das responsabilidades do encarregado da protecção de dados, a pessoa de contacto deve:

2.   Sem prejuízo das responsabilidades do encarregado da protecção de dados, as pessoas de contacto devem:

Artigo 11.o

Pessoal do Secretariado-Geral do Conselho

1.   Todo o pessoal do Secretariado-Geral do Conselho deve, nomeadamente, contribuir para a aplicação das regras de confidencialidade e de segurança relativas ao tratamento de dados pessoais estabelecidas nos artigos 21.o e 22.o do regulamento. Nenhum membro do pessoal do Secretariado-Geral do Conselho com acesso a dados pessoais pode tratá-los sem instruções do responsável pelo tratamento, excepto se tal for exigido pela legislação nacional ou comunitária.

2.   Nenhum membro do pessoal do Secretariado-Geral do Conselho pode, sem passar pela via oficial, tal como especificado nas regras da Autoridade Europeia para a Protecção de Dados, apresentar uma reclamação à Autoridade Europeia para a Protecção de Dados por alegada violação das disposições do regulamento que regulam o tratamento de dados pessoais.

Artigo 12.o

Pessoas em causa

1.   Na sequência do direito das pessoas em causa de serem adequadamente informadas sobre todos os tratamentos de dados pessoais que lhes digam respeito, nos termos dos artigos 11.o e 12.o do regulamento, as pessoas em causa podem dirigir-se ao responsável pelo tratamento para exercer os seus direitos nos termos dos artigos 13.o a 19.o do regulamento, tal como especificado na secção 5 da presente decisão.

2.   Sem prejuízo de um recurso judicial, qualquer pessoa em causa pode apresentar reclamações à Autoridade Europeia para a Protecção de Dados, se considerar que os direitos que lhe são reconhecidos no regulamento foram violados na sequência do tratamento dos seus dados pessoais pelo Conselho, tal como especificado nas regras da Autoridade Europeia para a Protecção de Dados.

3.   Ninguém pode ser prejudicado por ter apresentado uma reclamação à Autoridade Europeia para a Protecção de Dados ou por ter levado ao conhecimento do encarregado da protecção de dados uma alegada violação das disposições do regulamento.

SECÇÃO 4

REGISTO DOS TRATAMENTOS NOTIFICADOS

Artigo 13.o

Processo de notificação

1.   O responsável pelo tratamento notifica o encarregado da protecção de dados dos tratamentos de dados pessoais com base num formulário de notificação acessível no sítio intranet do Secretariado-Geral do Conselho (protecção dos dados). A notificação é transmitida por via electrónica ao encarregado da protecção de dados. Uma nota confirmando a notificação é enviada ao encarregado da protecção de dados no prazo de 10 dias úteis. Após recepção da confirmação, o encarregado da protecção de dados publica-a no registo.

2.   A notificação inclui todas as informações especificadas no n.o 2 do artigo 25.o do regulamento. O encarregado da protecção de dados deve ser imediatamente informado de qualquer alteração que afecte essas informações.

3.   As normas e procedimentos complementares relativos ao processo de notificação a seguir pelos responsáveis pelo tratamento constam das recomendações de carácter geral emitidas pelo encarregado da protecção de dados.

Artigo 14.o

Conteúdo e finalidade do registo

1.   O encarregado da protecção de dados mantém um registo das operações de tratamento efectuadas sobre dados pessoais, que deve ser elaborado com base nas notificações recebidas dos responsáveis pelo tratamento.

2.   O registo contém, pelo menos, as informações indicadas nas alíneas a) a g) do n.o 2 do artigo 25.o do regulamento. Todavia, as informações introduzidas no registo pelo encarregado da protecção de dados podem, excepcionalmente, ser limitadas, sempre que tal seja necessário para acautelar a segurança de um tratamento específico.

3.   O registo serve de índice dos tratamentos de dados pessoais efectuados no Conselho. O registo deve fornecer informações às pessoas em causa e facilitar o exercício dos seus direitos, estabelecidos nos artigos 13.o a 19.o do regulamento.

Artigo 15.o

Acesso ao registo

1.   O encarregado da protecção de dados toma as medidas adequadas para garantir que qualquer pessoa tenha acesso ao registo, directa ou indirectamente, através da Autoridade Europeia para a Protecção de Dados. O encarregado da protecção de dados presta, nomeadamente, informações e assistência às pessoas interessadas sobre o modo e o local onde podem ser apresentados os pedidos de acesso ao registo.

2.   Salvo quando for concedido acesso em linha, os pedidos de acesso ao registo devem ser efectuados por escrito, incluindo por via electrónica, numa das línguas referidas no artigo 314.o do Tratado e de forma suficientemente precisa para permitir que o encarregado da protecção de dados identifique as operações de tratamento em questão. Um aviso de recepção é imediatamente enviado ao requerente.

3.   Se um pedido não for suficientemente preciso, o encarregado da protecção de dados solicitará ao requerente que o clarifique e ajudá-lo-á nessa tarefa. No caso de um pedido relativo a um grande número de operações de tratamento, o encarregado da protecção de dados pode conferenciar informalmente com o requerente com vista a encontrar uma solução justa.

4.   Qualquer pessoa pode pedir ao encarregado da protecção de dados uma cópia da informação disponível no registo relativa a qualquer tratamento notificado.

SECÇÃO 5

PROCEDIMENTO PARA O EXERCÍCIO DOS DIREITOS DAS PESSOAS EM CAUSA

Artigo 16.o

Disposições gerais

1.   Os direitos das pessoas em causa especificados na presente secção só podem ser exercidos pelas pessoas singulares em causa ou, em casos excepcionais, em nome dessas pessoas singulares, mediante autorização adequada. Os pedidos devem ser transmitidos por escrito ao responsável pelo tratamento em causa, com cópia para o encarregado da protecção de dados. Se necessário, o encarregado da protecção de dados prestará assistência à pessoa em causa na identificação do responsável pelo tratamento em questão. O encarregado da protecção de dados disponibiliza formulários específicos. Os responsáveis pelo tratamento só aceitam o pedido se o formulário tiver sido completado na íntegra e se a identidade do queixoso tiver sido devidamente verificada. O exercício dos direitos por parte das pessoas em causa é gratuito.

2.   O responsável pelo tratamento envia ao requerente um aviso de recepção no prazo de cinco dias úteis a contar do registo do pedido. Salvo disposição em contrário, o responsável pelo tratamento responde ao pedido no prazo máximo de 15 dias úteis a contar do registo do mesmo, devendo deferi-lo ou declarar por escrito os motivos do indeferimento total ou parcial, nomeadamente nos casos em que o requerente não seja considerado pessoa em causa.

3.   No caso de irregularidades ou de abuso óbvio por parte da pessoa em causa no exercício dos seus direitos, e sempre que a pessoa em causa alegue que o processo é ilícito, o responsável pelo tratamento deve consultar o encarregado da protecção de dados sobre o pedido e/ou remeter a pessoa em causa para o encarregado da protecção de dados, que decidirá quanto à elegibilidade do pedido e ao seguimento adequado a dar-lhe.

4.   Qualquer pessoa em causa pode consultar o encarregado da protecção de dados em relação ao exercício dos seus direitos num caso específico. Sem prejuízo de um recurso judicial, qualquer pessoa em causa pode apresentar reclamações à Autoridade Europeia para a Protecção de Dados, se considerar que os direitos que lhe são reconhecidos no regulamento foram violados na sequência do tratamento dos seus dados pessoais.

Artigo 17.o

Direito de acesso

A pessoa em causa tem o direito de obter do responsável pelo tratamento, sem limitações e a qualquer momento, no prazo de três meses a contar da data de recepção do pedido, as informações referidas nas alíneas a) a d) do artigo 13.o do regulamento, quer consultando esses dados in loco, quer recebendo uma cópia, incluindo, quando apropriado, uma cópia por via electrónica, consoante a preferência do requerente.

Artigo 18.o

Direito de rectificação

Cada pedido apresentado por uma pessoa em causa relativo à rectificação de dados pessoais inexactos ou incompletos deve especificar os dados em questão assim como a rectificação a efectuar. O pedido deve ser tratado o mais rapidamente possível.

Artigo 19.o

Direito de bloqueio

O responsável pelo tratamento trata imediatamente qualquer pedido de bloqueio de dados ao abrigo do artigo 15.o do regulamento. O pedido deve especificar os dados em questão assim como os motivos para o seu bloqueio. O responsável pelo tratamento informa a pessoa em causa que efectuou o pedido antes de os dados serem desbloqueados.

Artigo 20.o

Direito de apagamento

A pessoa em causa pode pedir ao responsável pelo tratamento que apague dados o mais rapidamente possível, em caso de tratamento ilícito, em especial em caso de violação dos artigos 4.o a 10.o do regulamento. O pedido deve especificar os dados em questão e fornecer os motivos ou provas da ilicitude do tratamento. Nos ficheiros automatizados, o apagamento é, em princípio, assegurado por todos os meios técnicos apropriados, tornando impossível o tratamento posterior dos dados apagados. Se, por razões de ordem técnica, não for possível o apagamento, o responsável pelo tratamento, após consulta do encarregado da protecção de dados e da pessoa em causa, efectuará o bloqueio imediato dos referidos dados.

Artigo 21.o

Comunicação a terceiros

Em caso de rectificação, bloqueio ou apagamento na sequência de um pedido feito pela pessoa em causa, esta poderá obter do responsável pelo tratamento a notificação de terceiros a quem os seus dados pessoais tenham sido transmitidos, excepto se tal for impossível ou implicar um esforço desproporcionado.

Artigo 22.o

Direito de oposição

A pessoa em causa pode opor-se ao tratamento dos dados que lhe digam respeito e à divulgação ou utilização dos seus dados pessoais, nos termos do artigo 18.o do regulamento. O pedido deve especificar os dados em questão e fornecer os motivos que justificam o pedido. Em caso de oposição justificada, o referido tratamento deixa de poder incidir sobre esses dados.

Artigo 23.o

Decisões individuais automatizadas

A pessoa em causa tem o direito de não ficar sujeita a decisões individuais automatizadas, como as referidas no artigo 19.o do regulamento, excepto se a decisão for expressamente autorizada por força da legislação nacional ou comunitária, ou por uma decisão da Autoridade Europeia para a Protecção de Dados que garanta a defesa dos legítimos interesses da pessoa em causa. Em ambos os casos, a pessoa em causa deve ter a oportunidade de dar previamente a conhecer o seu ponto de vista e de consultar o encarregado da protecção de dados.

Artigo 24.o

Excepções e restrições

1.   Na medida em que motivos legítimos, especificados no artigo 20.o do regulamento, o justifiquem claramente, o responsável pelo tratamento pode restringir os direitos referidos nos artigos 17.o a 21.o da presente decisão. Excepto em caso de necessidade absoluta, o responsável pelo tratamento consulta primeiro o encarregado da protecção de dados, cujo parecer não vincula a Instituição. O responsável pelo tratamento responde aos pedidos relativos à aplicação das excepções ou restrições ao exercício dos direitos o mais rapidamente possível, devendo fundamentar a decisão que tomar.

2.   Qualquer pessoa interessada pode pedir à Autoridade Europeia para a Protecção de Dados que aplique a alínea c) do n.o 1 do artigo 47.o do regulamento.

SECÇÃO 6

PROCEDIMENTO DE INVESTIGAÇÃO

Artigo 25.o

Regras práticas

1.   Os pedidos de investigação devem ser transmitidos por escrito ao encarregado da protecção de dados, utilizando um formulário específico facultado por este último. Em caso de abuso óbvio do direito de requerer uma investigação, por exemplo, quando a mesma pessoa fez pedido idêntico recentemente, o encarregado da protecção de dados não é obrigado a responder ao requerente.

2.   No prazo de 15 dias após a recepção, o encarregado da protecção de dados envia um aviso de recepção à entidade competente para proceder a nomeações ou à pessoa que pediu a investigação e verifica se o pedido deve ser tratado como confidencial.

3.   O encarregado da protecção de dados pede ao responsável pela operação de tratamento de dados em causa uma declaração por escrito sobre a questão. O responsável pelo tratamento dá a sua resposta ao encarregado da protecção de dados no prazo de 15 dias. O encarregado da protecção de dados pode querer receber informações complementares de outras partes, como, por exemplo, do Serviço de Segurança e do Serviço de Segurança das Informações (INFOSEC) do Secretariado-Geral do Conselho. Se for caso disso, pode pedir um parecer sobre a questão ao Serviço Jurídico do Conselho. As informações ou o parecer são transmitidos ao encarregado da protecção de dados no prazo de 30 dias.

4.   O encarregado da protecção de dados deve apresentar um relatório à entidade competente para proceder a nomeações ou à pessoa que apresentou o pedido, no prazo máximo de três meses após a sua recepção.

SECÇÃO 7

DISPOSIÇÕES FINAIS

Artigo 26.o

Produção de efeitos

A presente decisão produz efeitos a partir do dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

(1)  JO L 8 de 12.1.2001, p. 1.

(2)  Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho, de 30 de Maio de 2001, relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão (JO L 145 de 31.5.2001, p. 43).

(3)  Decisão 2004/338/CE, Euratom do Conselho, de 22 de Março de 2004, que aprova o Regulamento Interno do Conselho (JO L 106 de 15.4.2004, p. 22).

(4)  Decisão 2001/264/CE do Conselho, de 19 de Março de 2001, que aprova as regras de segurança do Conselho (JO L 101 de 11.4.2001, p. 1). Decisão alterada pela Decisão 2004/194/CE (JO L 63 de 28.2.2004, p. 48).

(5)  Decisão do secretário-geral do Conselho/alto representante para a política externa e de segurança comum de 25 de Junho de 2001, sobre um código de boas práticas administrativas para uso do secretariado-geral do Conselho da União Europeia e do seu pessoal no relacionamento profissional com o público (JO C 189 de 5.7.2001, p. 1).

(6)  JO L 56 de 4.3.1968, p. 1. Regulamento com a última redacção que lhe foi dada pelo Regulamento (CE, Euratom) n.o 723/2004 (JO L 124 de 27.4.2004, p. 1).

(7)  JO L 248 de 16.9.2002, p. 1.