Por: Carlos A. FERREYROS SOTO
Université de Montpellier I Francia.
M. Sc. Institut Agronomique Méditerranéen
cferreyros@hotmail.com
________________________________________________
DECISIÓN
DEL COMITÉ DIRECTOR DE LA AGENCIA EJECUTIVA PARA LAS PEQUEÑAS Y MEDIANAS
EMPRESAS
relativa
a las normas internas sobre las limitaciones de determinados derechos de los
interesados en relación con el tratamiento de datos personales en el marco de las
actividades llevadas a cabo por la Agencia
EL
COMITÉ DIRECTOR,
Visto
el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo
249, apartado 1,
Visto
el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de
octubre de 2018, relativo a la protección de las personas físicas en lo que
respecta al tratamiento de datos personales por las instituciones, órganos y
organismos de la Unión, y a la libre circulación de estos datos, y por el que
se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1) («Reglamento»), y en
particular su artículo 25,
Vista
la Decisión de Ejecución 2013/771/UE de la Comisión, de 17 de diciembre de
2013, por la que se establece la Agencia Ejecutiva para las Pequeñas y Medianas
Empresas y se derogan las Decisiones 2004/20/CE y 2007/372/CE (2),
Tras
consultar al Supervisor Europeo de Protección de Datos,
Considerando lo
siguiente:
|
(1) |
La Agencia
Ejecutiva para las Pequeñas y Medianas Empresas (EASME, por sus siglas en
inglés) («Agencia») se estableció mediante la Decisión de Ejecución
2013/771/UE, con vistas a la realización de tareas vinculadas a la ejecución
de programas de la Unión en los ámbitos de la energía, el medio ambiente, la
acción por el clima, la competitividad y las pymes, la investigación e
innovación y las TIC (3). |
|
(2) |
En el ámbito de
su funcionamiento administrativo y operativo, la Agencia está facultada para
llevar a cabo investigaciones administrativas y procedimientos
predisciplinarios, disciplinarios y de suspensión, de conformidad con el
Estatuto de los funcionarios de la Unión Europea y el régimen aplicable a los
otros agentes de la Unión Europea, establecidos en el Reglamento (CEE,
Euratom, CECA) n.o 259/68 del Consejo («Estatuto de los
funcionarios») (4), y con las disposiciones
generales de aplicación relativas a la realización de investigaciones
administrativas y procedimientos disciplinarios. Si es necesario, la Agencia
puede llevar a cabo actividades preliminares relacionadas con casos de
posibles fraudes e irregularidades y puede notificar casos a la Oficina
Europea de Lucha contra el Fraude (OLAF). |
|
(3) |
Los miembros del
personal de la Agencia están obligados a informar sobre actividades
potencialmente ilegales, incluidos el fraude y la corrupción, que vayan en
detrimento de los intereses de la Unión. Los miembros del personal también
están obligados a comunicar las actuaciones relativas al cumplimiento de las
obligaciones profesionales que puedan constituir un incumplimiento grave de
las obligaciones de los funcionarios de la Unión. Esto se regula mediante
normas internas o políticas en materia de denuncia de irregularidades. |
|
(4) |
La Agencia ha
instaurado una política para evitar y gestionar de manera eficaz los casos
existentes o potenciales de acoso psicológico o sexual en el puesto de
trabajo, como se dispone en las medidas de ejecución del Estatuto de los
funcionarios, que establecen un procedimiento informal por el que la presunta
víctima del acoso puede ponerse en contacto con los consejeros
«confidenciales» de la Agencia. |
|
(5) |
La Agencia
también puede llevar a cabo investigaciones internas de la seguridad
(informática) y sobre posibles violaciones de las normas sobre la seguridad
de la información clasificada de la UE («ICUE»). |
|
(6) |
La Agencia está
sujeta a auditorías internas y externas relativas a sus actividades,
incluidas las realizadas por los Servicios de Auditoría Interna de la
Comisión Europea y el Tribunal de Cuentas Europeo. |
|
(7) |
La Agencia puede
gestionar solicitudes de la Fiscalía Europea y solicitudes de acceso a las
fichas médicas de los miembros del personal de la Agencia y llevar a cabo
investigaciones a través del delegado de protección de datos, en consonancia
con lo dispuesto en el artículo 45, apartado 2, del Reglamento. |
|
(8) |
En el contexto de
tales consultas, auditorías, investigaciones o solicitudes administrativas,
la Agencia coopera con otras instituciones, órganos, oficinas y agencias de
la Unión. |
|
(9) |
La Agencia puede
cooperar con las autoridades nacionales y organizaciones internacionales de
terceros países, ya sea a petición suya o por propia iniciativa. |
|
(10) |
La Agencia
también puede cooperar con las autoridades públicas de los Estados miembros
de la UE, ya sea a petición suya o por propia iniciativa. |
|
(11) |
La Agencia puede
ser objeto de reclamaciones, procedimientos o investigaciones a través de
denunciantes o del Defensor del Pueblo Europeo. |
|
(12) |
La Agencia puede
participar en los asuntos sometidos al Tribunal de Justicia de la Unión
Europea cuando remite el asunto al Tribunal, defiende una decisión que ha
adoptado y que ha sido recurrida ante el Tribunal, o interviene en asuntos
relacionados con sus funciones. En este contexto, la Agencia puede tener que
preservar el carácter confidencial de los datos personales contenidos en
documentos obtenidos por las partes o por las partes coadyuvantes. |
|
(13) |
En el contexto de
sus actividades, la Agencia trata varias categorías de datos personales,
incluidos datos de identificación de personas físicas, información de
contacto, funciones y tareas profesionales, información sobre la conducta y
el rendimiento profesionales y privados y datos financieros, así como, en
ciertos supuestos concretos, datos sensibles (por ejemplo, datos relativos a
la salud). Los datos personales incluyen datos fácticos «objetivos» y datos
de valoraciones «subjetivos». A modo de
ejemplos de los primeros cabe citar los datos de identificación, los datos de
contacto, los datos profesionales, los detalles administrativos, los
metadatos relacionados con las comunicaciones electrónicas y los datos de
tráfico. Los segundos son
subjetivos e incluyen, en particular, la descripción y la valoración de
situaciones y circunstancias, opiniones, observaciones relacionadas con los
interesados, la evaluación de la conducta y el rendimiento de estos y el
razonamiento subyacente a las decisiones particulares relacionadas con o
presentadas con respecto al objeto del procedimiento o la actividad llevados
a cabo por la Agencia, en consonancia con el marco jurídico aplicable. Las evaluaciones,
las observaciones y las opiniones se consideran datos personales en el
sentido del artículo 3, apartado 1, del Reglamento. |
|
(14) |
Con arreglo al
Reglamento, la Agencia está, por tanto, obligada a facilitar información a
los interesados sobre dichas actividades de tratamiento y a respetar sus
derechos como interesados. |
|
(15) |
La Agencia tiene
el compromiso de respetar, en la medida de lo posible, los derechos
fundamentales de los interesados, en particular el derecho a la comunicación
de información, el acceso y la rectificación, el derecho a la supresión, la
limitación del tratamiento, el derecho a la comunicación de una violación de
la seguridad de los datos personales al interesado o la confidencialidad de
las comunicaciones, de conformidad con el Reglamento. Sin embargo, la Agencia
también podría verse obligada a limitar los derechos y obligaciones del
interesado con el fin de proteger sus actividades y los derechos y libertades
fundamentales de otras personas. |
|
(16) |
Por lo tanto, el
artículo 25, apartados 1 y 5, del Reglamento brinda a la Agencia la
posibilidad de limitar, en concurrencia de determinadas condiciones, la
aplicación de los artículos 14 a 22, 35 y 36, así como el artículo 4 del
Reglamento, en la medida en que sus disposiciones se corresponden con los
derechos y obligaciones dispuestos en los artículos 14 a 20; para ello se
basará en normas internas que se habrán de adoptar al más alto nivel de
dirección de la Agencia y estarán sujetas a su publicación en el Diario
Oficial de la Unión Europea si no se basan en actos jurídicos adoptados con
arreglo a los Tratados. |
|
(17) |
Las limitaciones
pueden resultar de aplicación a diferentes derechos de los interesados,
incluido el suministro de información a los interesados y los derechos de
acceso, rectificación, supresión, limitación del tratamiento, comunicación de
una violación de la seguridad de los datos personales al interesado o
confidencialidad de la comunicación consagrados en el Reglamento. |
|
(18) |
La Agencia puede
verse obligada a conciliar esos derechos con los objetivos de las
investigaciones administrativas, las auditorías, las investigaciones y los
procedimientos judiciales. También puede ser necesario equilibrar los
derechos de un interesado frente a los derechos y libertades fundamentales de
otros interesados. |
|
(19) |
La Agencia puede,
por ejemplo, limitar la información que proporciona a un interesado sobre el
tratamiento de sus datos personales durante la fase de evaluación preliminar
de una investigación administrativa o durante la propia investigación, antes
de la posible desestimación del asunto o en la fase predisciplinaria. En
determinadas circunstancias, facilitar dicha información puede afectar
gravemente a la capacidad de la Agencia para llevar a cabo la investigación
de manera eficaz, por ejemplo, cuando exista el riesgo de que la persona
afectada pueda destruir pruebas o interferir con posibles testigos antes de
su declaración. La Agencia también puede tener que proteger los derechos y
libertades de los testigos, así como los de otras personas implicadas. |
|
(20) |
Puede ser
necesario que la Agencia proteja el anonimato de aquellos testigos o
denunciantes que hayan solicitado no ser identificados. En tal caso, la
Agencia puede decidir limitar el acceso a la identidad, las declaraciones y
otros datos personales de esas personas o del sospechoso, a fin de proteger
sus derechos y libertades. |
|
(21) |
Puede ser
necesario que la Agencia proteja la información confidencial relativa a un
miembro del personal que se haya puesto en contacto con asesores
confidenciales de la Agencia en el contexto de un procedimiento por acoso. En
tales casos, la Agencia puede tener que limitar el acceso a la identidad, las
declaraciones y otros datos personales de la presunta víctima, el presunto
acosador y otras personas implicadas, con el fin de proteger los derechos y
libertades de todas las personas afectadas. |
|
(22) |
En relación con
los procedimientos de selección y contratación, evaluación del personal y
contratación pública, los derechos de acceso, rectificación, supresión y
limitación solo se podrán ejercer en determinados momentos y bajo ciertas
condiciones, según lo dispuesto en cada procedimiento, con el fin de proteger
los derechos de otros interesados y respetar el principio de igualdad de
trato y el secreto de las deliberaciones. |
|
(23) |
La Agencia puede
limitar asimismo el acceso de los interesados a sus datos médicos, por
ejemplo, de naturaleza psicológica o psiquiátrica, debido a su carácter
potencialmente sensible, y el servicio médico de la Comisión podría optar por
conceder a los interesados solo un acceso indirecto a través de su propio
profesional sanitario. El interesado puede ejercer el derecho de
rectificación de evaluaciones u opiniones del servicio médico de la Comisión
presentando sus comentarios o un informe de un profesional sanitario de su
elección. |
|
(24) |
La Agencia,
representada por su director, actúa como responsable del tratamiento de
datos, con independencia de las posteriores delegaciones de esta función
dentro de la propia Agencia al objeto de reflejar las diversas
responsabilidades operativas por las tareas específicas de tratamiento de
datos personales en responsables delegados competentes. |
|
(25) |
Los datos
personales se almacenan de forma segura en un entorno electrónico conforme a
la Decisión (UE, Euratom) 2017/46 de la Comisión, sobre la seguridad de los
sistemas de información y comunicación de la Comisión Europea (5) o en papel, evitando el
acceso ilícito o la transferencia de datos a personas que no tengan por qué
conocerlos. Los datos personales tratados no se retienen durante un tiempo
superior al necesario y al adecuado para los fines para los que estos se
hayan tratado durante el período especificado en los avisos de protección de
datos y los registros de la Agencia. |
|
(26) |
La Agencia
aplicará limitaciones solo cuando estas respeten la esencia de los derechos y
libertades fundamentales, sean estrictamente necesarias y constituyan una
medida proporcionada en una sociedad democrática. La Agencia ofrecerá razones
para explicar la justificación de dichas limitaciones e informará en
consecuencia a los interesados sobre ellas y sobre su derecho a presentar una
reclamación ante el SEPD, según lo dispuesto en el artículo 25, apartado 6,
del Reglamento. |
|
(27) |
En aplicación del
principio de responsabilidad, la Agencia debe llevar un registro de las
limitaciones impuestas. |
|
(28) |
Al tratar los
datos personales intercambiados con otras organizaciones en el marco de sus
funciones, tanto la Agencia como dichas organizaciones se consultarán
mutuamente sobre los posibles motivos de imposición de limitaciones, así como
sobre la necesidad y proporcionalidad de estas, a menos que ello ponga en
peligro las actividades de la Agencia. |
|
(29) |
Así, estas normas
internas se aplicarán a todas las actividades de tratamiento llevadas a cabo
por la Agencia que afecten a datos personales en la ejecución de
investigaciones administrativas, procedimientos disciplinarios, actividades
preliminares relacionadas con casos de posibles irregularidades comunicadas a
la OLAF, investigaciones de la Fiscalía Europea, procedimientos de denuncia
de irregularidades, procedimientos (formales e informales) por casos de
acoso, tramitación de reclamaciones internas y externas, solicitudes de
acceso o rectificación de las fichas médicas propias, las investigaciones
llevadas a cabo por el delegado de protección de datos en consonancia con el
artículo 45, apartado 2, del Reglamento, investigaciones de seguridad
(informática) gestionadas internamente o con participación externa (por
ejemplo, Equipo de respuesta a emergencias informáticas de las instituciones,
órganos y organismos de la Unión Europea, CERT-UE), auditorías,
procedimientos ante Tribunal de Justicia de la Unión Europea o autoridades
públicas nacionales, procedimientos de selección y contratación, evaluación
del personal y contratación pública, según se enumera en lo que antecede. |
|
(30) |
Estas normas
internas se aplicarán a las actividades de tratamiento de datos llevadas a
cabo antes del inicio de los procedimientos citados previamente, durante
estos y durante la supervisión del seguimiento de los resultados de dichos
procedimientos. También se deben incluir la asistencia y la cooperación
prestadas por la Agencia a otras instituciones de la UE, a las autoridades
nacionales y las organizaciones internacionales al margen de sus
investigaciones administrativas. |
|
(31) |
De conformidad
con el artículo 25, apartado 8, del Reglamento, la Agencia podrá aplazar,
omitir o denegar la comunicación de la información que justifica la
limitación al interesado si dicha comunicación dejase sin efecto la
limitación impuesta. La Agencia evaluará caso por caso si la comunicación de
la limitación la deja sin efecto. |
|
(32) |
La Agencia
levantará la limitación tan pronto como las condiciones que la justifiquen ya
no sean aplicables y evaluará dichas condiciones de forma periódica. |
|
(33) |
Para garantizar
la máxima protección de los derechos y libertades de los interesados y de
conformidad con el artículo 44, apartado 1, del Reglamento, deberá
consultarse al delegado de protección de datos de la Agencia a su debido
tiempo antes de aplicar o revisar cualquier limitación, y verificar su
conformidad con la presente Decisión. |
|
(34) |
El artículo 16,
apartado 5, y el artículo 17, apartado 4, del Reglamento prevén excepciones
al derecho a la información y al derecho de acceso de los interesados. Si se
aplican estas excepciones, la Agencia no necesita aplicar una limitación con
arreglo a la presente Decisión. |
HA
ADOPTADO LA PRESENTE DECISIÓN:
Artículo
1
Objeto
y ámbito de aplicación
1. La
presente Decisión establece normas relativas a las condiciones en las que la
Agencia Ejecutiva para las Pequeñas y Medianas Empresas (EASME) y cualquiera de
sus sucesores («Agencia») pueden limitar la aplicación de los artículos 4, 14 a
22, 35 y 36, de conformidad con el artículo 25 del Reglamento.
2. La
Agencia, como responsable del tratamiento, está representada por su director,
que podrá delegar a su vez la función del responsable.
Artículo
2
Limitaciones
aplicables
1. La
Agencia podrá limitar la aplicación de los artículos 14 a 22, 35 y 36, así como
del artículo 4 del Reglamento, en la medida en que sus disposiciones se
correspondan con los derechos y obligaciones previstos en los artículos 14 a
20.
2. La
presente Decisión se aplica al tratamiento de datos personales por parte de la
Agencia en el ámbito de su funcionamiento administrativo y operativo:
|
a) |
con arreglo al
artículo 25, apartado 1, letras b), c), f), g) y h), del Reglamento, al
llevar a cabo una investigación administrativa, incluidas las basadas en
reclamaciones externas, o un procedimiento predisciplinario, disciplinario o
de suspensión con arreglo al artículo 86 y el anexo IX del Estatuto de los
funcionarios y sus normas de desarrollo, investigaciones de seguridad o
investigaciones de la OLAF; |
|
b) |
de conformidad
con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de garantizar
que los miembros del personal de la Agencia puedan denunciar hechos de forma
confidencial cuando consideren que existen graves irregularidades, tal como
se establece en las normas internas o las políticas sobre la denuncia de
irregularidades; |
|
c) |
de conformidad
con el artículo 25, apartado 1, letra h), del Reglamento, a la hora de
garantizar que los miembros del personal de la Agencia puedan comunicarse con
sus asesores confidenciales en el contexto de un procedimiento de acoso,
según su definición en las normas internas; |
|
d) |
de conformidad
con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando
lleve a cabo auditorías internas o externas en relación con actividades o con
el funcionamiento de la Agencia; |
|
e) |
de conformidad
con el artículo 25, apartado 1, letras d) y h), del Reglamento, a la hora de
llevar a cabo actividades de análisis de seguridad, incluso las relacionadas
con incidentes de ciberseguridad con o un mal uso del sistema informático,
gestionadas internamente o con participación externa (por ejemplo, CERT-UE),
así como a la hora de garantizar la seguridad interna por medio de
videovigilancia, el control del acceso y las necesidades de las
investigaciones, proteger los sistemas de comunicación e información y la
aplicar contramedidas técnicas de seguridad; |
|
f) |
de conformidad
con el artículo 25, apartado 1, letras g) y h), del Reglamento, cuando el
delegado de protección de datos (DPD) de la Agencia investigue asuntos
relacionados directamente con sus tareas; |
|
g) |
de conformidad
con el artículo 25, apartado 1, letras b), g) y h), del Reglamento, en el
contexto de investigaciones de la Fiscalía Europea; |
|
h) |
de conformidad
con el artículo 25, apartado 1, letra h), del Reglamento, cuando los
interesados soliciten el acceso a sus datos médicos o su rectificación,
incluido si los conserva el Servicio Médico de la Comisión; |
|
i) |
de conformidad
con el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento,
cuando preste asistencia a otras instituciones, organismos, oficinas y
agencias de la Unión, cuando reciba asistencia de dichas instituciones,
organismos, oficinas y agencias o cuando coopere con ellos en el contexto de
las actividades contempladas en las letras a) a h) del presente apartado y
con arreglo a los acuerdos de nivel servicio, memorandos de entendimiento y
acuerdos de cooperación pertinentes de su respectivo acto de establecimiento; |
|
j) |
de conformidad
con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando
preste asistencia a las autoridades nacionales y organizaciones
internacionales de terceros países, cuando reciba asistencia de dichas
autoridades y organizaciones o cuando coopere con estas, a petición de ellas
o por iniciativa propia; |
|
k) |
de conformidad
con el artículo 25, apartado 1, letras c), g) y h), del Reglamento, cuando
preste asistencia a las autoridades públicas de los Estados miembros de la
UE, cuando reciba asistencia de dichas autoridades o cuando coopere con
estas, ya sea a petición suya o por iniciativa propia; |
|
l) |
de conformidad
con el artículo 25, apartado 1, letra e), del Reglamento, cuando se traten
datos personales en documentos obtenidos por las partes o partes coadyuvantes
en el contexto de un procedimiento sometido al Tribunal de Justicia de la
Unión Europea. |
A
efectos de la presente Decisión, las actividades anteriores incluirán las
acciones preparatorias y de seguimiento relacionadas directamente con la misma
actividad.
3. Además,
la Agencia podrá aplicar limitaciones concretas a los derechos de los
interesados mencionados en la presente Decisión en las circunstancias
siguientes:
|
a) |
cuando los
servicios de la Comisión u otras instituciones, órganos y organismos de la
Unión estén facultados para limitar el ejercicio de los derechos enumerados y
el objetivo de dicha limitación impuesta por el servicio, institución, órgano
u organismo de que se trate se vería comprometido si la Agencia no aplicara
una limitación equivalente respecto de los datos personales en cuestión; |
|
b) |
cuando las
autoridades competentes de los Estados miembros estén facultadas para limitar
el ejercicio de los derechos enumerados y el objetivo de dicha limitación
impuesta por dichas autoridades se vería comprometido si la Agencia no
aplicara una limitación equivalente respecto de los datos personales en
cuestión; |
|
c) |
cuando el
ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda
comprometer la cooperación de la Agencia con terceros países u organizaciones
internacionales en el desempeño de sus funciones, a menos que los intereses o
los derechos y libertades fundamentales de los interesados prevalezcan sobre
esta necesidad de cooperar; |
|
d) |
antes de
aplicar una limitación en virtud del presente apartado, la Agencia consultará
en su caso a los servicios de la Comisión o a la institución, órgano u organismo
de la Unión, la organización internacional o las autoridades competentes del
Estado miembro pertinentes, a menos que sea evidente que la limitación esté
contemplada en uno de los actos jurídicos mencionados anteriormente o que tal
consulta comprometa las actividades de la Agencia. |
4. Las
categorías de datos personales tratados en relación con las actividades
antedichas podrán contener datos fácticos objetivos y datos de valoraciones
subjetivos.
5. Cualquier
limitación respetará la esencia de los derechos y libertades fundamentales y
será necesaria y proporcionada en una sociedad democrática.
Artículo
3
Registro
de las limitaciones
1. El
responsable del tratamiento elaborará un registro de las limitaciones, en el
que se describirán los aspectos siguientes:
|
a) |
las razones de
cualquier limitación aplicada en virtud de esta Decisión; |
|
b) |
qué
fundamentos resultan de aplicación de entre los enumerados en el artículo 2; |
|
c) |
por qué el
ejercicio del derecho supondría un riesgo para el interesado, comprometería
la finalidad de las tareas de la Agencia o afectaría negativamente a los
derechos y las libertades de otros interesados; |
|
d) |
el resultado
de la apreciación de la necesidad y la proporcionalidad de la limitación,
teniendo en consideración los elementos pertinentes del artículo 25, apartado
2, del Reglamento. |
2. Se
llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes
de aplicar limitaciones. El responsable del tratamiento tendrá en cuenta los
posibles riesgos para los derechos y libertades del interesado. Las
limitaciones se ceñirán a lo estrictamente necesario para alcanzar su objetivo.
3. Se
deberá registrar la limitación y, en su caso, los documentos que contengan los
elementos de hecho y de Derecho subyacentes. Estos se pondrán a disposición del
Supervisor Europeo de Protección de Datos, previa solicitud.
Artículo
4
Riesgos
para los derechos y libertades de los interesados
1. Las
evaluaciones de los riesgos para los derechos y libertades de los interesados
que supongan la aplicación de limitaciones y los detalles sobre el período de
aplicación de dichas limitaciones se harán constar en el registro de
actividades de tratamiento mantenido por el responsable del tratamiento en
virtud del artículo 31 del Reglamento. También se harán constar en todas las
evaluaciones de impacto de protección de datos relativas a las limitaciones
llevadas a cabo con arreglo al artículo 39 del Reglamento, en su caso.
2. Cuando
el responsable del tratamiento estudie aplicar una limitación, el riesgo para
los derechos y las libertades del interesado deberá sopesarse, en particular,
con el riesgo para los derechos y las libertades de otros interesados y el
riesgo de incidir negativamente en las investigaciones o los procedimientos
emprendidos por la Agencia, por ejemplo, por la destrucción de pruebas. Los
riesgos para los derechos y las libertades del interesado consisten
principalmente, aunque no de manera exclusiva, en riesgos para la reputación y
riesgos para el derecho a la defensa y a ser oído.
Artículo
5
Garantías
y plazos de conservación
1. La
Agencia instaurará garantías específicas para evitar los abusos y el acceso o
la transferencia ilícitos de datos personales respecto de los cuales se
apliquen o puedan aplicarse limitaciones. Tales garantías incluirán medidas
técnicas y organizativas y quedarán detalladas, en caso necesario, en las
decisiones, procedimientos y normas de ejecución internos de la Agencia. Estas garantías incluirán:
|
a) |
una definición
clara de las funciones, responsabilidades y etapas del procedimiento; |
|
b) |
en su caso, un
entorno electrónico seguro que impida el acceso o la transferencia ilícitos y
accidentales de datos electrónicos a personas no autorizadas; |
|
c) |
en su caso, un
almacenamiento y tratamiento seguros de los documentos en soporte papel; |
|
d) |
la garantía
del cumplimiento de las obligaciones de confidencialidad por parte de todas
las personas que tengan acceso a los datos personales. |
2. El
plazo de conservación de los datos personales en virtud de una limitación se
determinará en el correspondiente registro con arreglo a lo dispuesto en el
artículo 31 del Reglamento, teniendo en cuenta la finalidad del tratamiento, e
incluirá el marco temporal necesario para el control judicial y administrativo.
Al final del período de conservación, los datos personales se suprimirán, se
anonimizarán o se transferirán a los archivos de conformidad con el artículo 13
del Reglamento.
Artículo
6
Duración
de las limitaciones
1. Las
limitaciones a que se refiere el artículo 2 seguirán en vigor mientras los
motivos que las justifiquen sigan siendo aplicables.
2. Cuando
dejen de ser aplicables las razones de una limitación, el responsable del
tratamiento la levantará si el ejercicio del derecho limitado ya no afecta
negativamente al procedimiento pertinente ni socava los derechos o las
libertades de otros interesados.
3. En
caso de que el interesado haya solicitado de nuevo acceso a los datos
personales en cuestión, el responsable del tratamiento le facilitará al
interesado las principales razones de la limitación. Al mismo tiempo, la
Agencia informará al interesado de la posibilidad de presentar una reclamación
ante el Supervisor Europeo de Protección de Datos en cualquier momento o de
interponer un recurso ante el Tribunal de Justicia de la Unión Europea.
4. La
Agencia revisará cada seis meses la aplicación de las limitaciones mencionadas
en el artículo 2.
Artículo
7
Participación
del delegado de protección de datos
1. El
responsable del tratamiento de la Agencia informará al DPD de esta sin demora
injustificada de cualquier decisión de limitación de los derechos del
interesado de conformidad con la presente Decisión antes de que se adopte, o de
cualquier decisión de ampliar la aplicación de la limitación. El responsable
del tratamiento proporcionará al DPD acceso a los registros asociados y a
cualquier documento relativo al contexto fáctico o jurídico.
2. El
DPD podrá solicitar al responsable del tratamiento que revise la aplicación de
una limitación. Este notificará por escrito al DPD el resultado de la revisión
solicitada.
3. El
responsable del tratamiento documentará la participación del DPD en la
aplicación de la limitación, incluida la información compartida. Los documentos
contemplados en este artículo formarán parte del registro relativo a la
limitación y se pondrán a disposición del SEPD a petición suya.
Artículo
8
Información
al interesado sobre las limitaciones de sus derechos
1. El
responsable del tratamiento incluirá en los anuncios de protección de datos y
los registros previstos en el artículo 31 del Reglamento, publicados en su
sitio web y en la intranet, información general sobre la posible limitación de
sus derechos, de conformidad con el artículo 2, apartado 2, de la presente
Decisión. La información abarcará los derechos y las obligaciones que puedan
ser objeto de limitaciones, los motivos por los que pueden aplicarse las
limitaciones y su posible duración.
2. El
responsable del tratamiento informará a los interesados individualmente, por
escrito y sin demora injustificada de las limitaciones en curso o futuras de
sus derechos. El responsable del tratamiento informará al interesado de los
motivos principales en los que se fundamenta la limitación aplicada, de su
derecho a consultar al DPD con el fin de impugnar la limitación y de sus
derechos a presentar una reclamación ante el SEPD.
3. El
responsable del tratamiento podrá aplazar, omitir o denegar la comunicación de
información sobre las razones de la limitación a que se refieren los apartados
1 y 2 durante el tiempo en que ello deje sin efecto la limitación. La
apreciación de esta justificación se realizará de manera individual y el
responsable del tratamiento proporcionará la información al interesado tan
pronto como tal extremo ya no deje sin efecto la limitación.
Artículo
9
Derecho
de acceso del interesado
1. En
casos debidamente justificados y con arreglo a las condiciones estipuladas en
la presente Decisión, el responsable del tratamiento podrá limitar el derecho
de acceso contemplado en el artículo 17 del Reglamento cuando sea necesario y
proporcionado con respecto a las actividades acometidas en virtud de esta
Decisión.
2. Cuando
los interesados soliciten acceso a sus datos personales tratados en el contexto
de una actividad específica mencionada en el artículo 2, apartado 2, de la
presente Decisión, la Agencia limitará su respuesta a los datos personales
tratados en dicho contexto.
3. Existe
la posibilidad de limitar los derechos de los interesados a acceder
directamente a los documentos de naturaleza psicológica o psiquiátrica.
Mediante estas normas internas no se limitará el acceso indirecto ni el derecho
de rectificación y comunicación de una violación de la seguridad de los datos
personales. En consecuencia, a petición del interesado, se deberá facilitar el
acceso de un médico intermediario a toda la información correspondiente, para
que a su discreción pueda decidir qué información se facilita al interesado y
de qué manera.
4. Si
el responsable del tratamiento limita de forma total o parcial el derecho de
acceso a datos personales, según se indica en el artículo 17 del Reglamento, en
su respuesta a la solicitud de acceso informará al interesado afectado por
escrito de la limitación aplicada y sus principales motivos, así como de la
posibilidad de presentar una reclamación ante el SEPD o de interponer un
recurso ante el Tribunal de Justicia de la Unión Europea.
5. La
información sobre la limitación de acceso podrá prorrogarse, omitirse o
denegarse en caso de que pudiera dejar sin efecto la limitación, con arreglo a
lo dispuesto en el artículo 25, apartado 8, del Reglamento.
6. Las
limitaciones impuestas en virtud de este artículo se aplicarán de conformidad
con la presente Decisión.
Artículo
10
Derecho
de rectificación, supresión y limitación del tratamiento
1. En
casos debidamente justificados y con arreglo a las condiciones estipuladas en
la presente Decisión, el responsable del tratamiento podrá limitar el derecho
de rectificación, supresión y limitación del tratamiento contemplado en el
artículo 18, el artículo 19, apartado 1, y el artículo 20, apartado 1, del
Reglamento cuando sea necesario y oportuno con respecto a las actividades
acometidas en virtud del artículo 2, apartado 2, de esta Decisión.
2. En
relación con los datos médicos, los interesados podrán ejercer el derecho de
rectificación de la evaluación o la opinión del Servicio Médico de la Comisión
presentando sus comentarios o un informe de un médico de su elección (los
comentarios o el informe pertinentes se podrán presentar directamente al
Servicio Médico de la Comisión).
3. Las
limitaciones impuestas en virtud de este artículo se aplicarán de conformidad
con la presente Decisión.
Artículo
11
Comunicación
de una violación de la seguridad de los datos personales al interesado
1. Cuando
el responsable del tratamiento tenga la obligación de comunicar una violación
de la seguridad de los datos con arreglo al artículo 35, apartado 1, del
Reglamento, podrá, en casos excepcionales, limitar dicha comunicación total o
parcialmente. El responsable documentará en una nota los motivos de la
limitación, su fundamento jurídico de conformidad con el artículo 2 y una
evaluación de su necesidad y proporcionalidad. La nota se comunicará al SEPD en
el momento en que se notifique la violación de datos personales.
2. Cuando
dejen de ser aplicables las razones de la limitación, la Agencia comunicará al
interesado la violación de la seguridad de los datos personales y le informará
de los motivos principales de la limitación, así como de su derecho a presentar
una reclamación ante el SEPD.
Artículo
12
Confidencialidad
de las comunicaciones electrónicas
1. En
circunstancias excepcionales, la Agencia podrá limitar el derecho a la
confidencialidad de las comunicaciones electrónicas recogido en el artículo 36
del Reglamento. Dichas limitaciones se ajustarán a lo dispuesto en la Directiva
2002/58/CE del Parlamento Europeo y del Consejo.
2. Sin
perjuicio de lo estipulado en el artículo 8, apartado 3, en caso de que la
Agencia limite el derecho a la confidencialidad de las comunicaciones
electrónicas, deberá informar al interesado, en su respuesta a cualquier
solicitud procedente de este, de las razones principales que justifican la
limitación y de su derecho a presentar una reclamación ante el SEPD.
Artículo
13
Entrada
en vigor
La
presente Decisión entrará en vigor el vigésimo día siguiente al de su
publicación en el Diario Oficial de la Unión Europea.
Hecho en Bruselas,
el 9 de noviembre de 2020.
Por
el Comité Director de la EASME
(firma
electrónica)
Kristin SCHREIBER
La
Presidenta
(1) DO L 295 de
21.11.2018, p. 39.
(2) Decisión de Ejecución
2013/771/UE de la Comisión, de 17 de diciembre de 2013, por la que se establece
la Agencia Ejecutiva para las Pequeñas y Medianas Empresas y se derogan las
Decisiones 2004/20/CE y 2007/372/CE (DO L 341 de 18.12.2013, p. 73),.y la ficha de
financiación de la EASME, modificada por la ficha de financiación de la EASME
el 2 de octubre de 2014.
(3) Decisión C(2013) 9414
de la Comisión, de 23 de diciembre de 2013, por la que se delegan competencias
a la Agencia Ejecutiva para las Pequeñas y Medianas Empresas con vistas a la
realización de las tareas relativas a la ejecución de los programas de la Unión
en los ámbitos de la energía, el medio ambiente, la acción por el clima, la
competitividad y las pymes, la investigación y la innovación y las TIC, y que
incluye, en particular, la ejecución de créditos consignados en el presupuesto
de la Unión, modificada por última vez por la Decisión C(2019) 3353 de la
Comisión, de 30 de abril de 2019, y su anexo.
(4) Reglamento (CEE,
Euratom, CECA) n.o 259/68 del Consejo, de 29 de febrero de
1968, por el que se establece el Estatuto de los funcionarios de las
Comunidades Europeas y el régimen aplicable a los otros agentes de estas
Comunidades y por el que se establecen medidas específicas aplicables
temporalmente a los funcionarios de la Comisión (DO L 56/1 de 4.3.1968, p. 1).
(5) Decisión (UE,
Euratom) 2017/46 de la Comisión, de 10 de enero de 2017, sobre la seguridad de
los sistemas de información y comunicación de la Comisión Europea (DO L 6 de 11.1.2017, p. 40).
No hay comentarios:
Publicar un comentario