Decisión del Consejo de Administración sobre las normas internas relativas a la limitación de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco del funcionamiento de la Agencia de los Derechos Fundamentales de la Unión Europea

• Section: Serie C
• Issuing Organization: Consejo de la Unión Europea

4.11.2019 ES Diario Oficial de la Unión Europea C 371/6

EL CONSEJO EJECUTIVO DE LA AGENCIA DE LOS DERECHOS FUNDAMENTALES DE LA UNIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1) [en lo sucesivo, el «Reglamento (UE) 2018/1725»], y, en particular, su artículo 25,

Visto el Reglamento (CE) n.o 168/2007 del Consejo por el que se crea una Agencia de los Derechos Fundamentales de la Unión Europea (FRA) y en particular su artículo 13,

Visto el dictamen del SEPD de 19 de mayo de 2019 y la orientación del SEPD sobre el artículo 25 del nuevo Reglamento y las normas internas,

CONSIDERANDO LO SIGUIENTE:

(1) La Agencia de los Derechos Fundamentales de la Unión Europea (en lo sucesivo la «FRA») desarrolla sus actividades con arreglo al Reglamento (CE) n.o 168/2007.

(2) De conformidad con lo dispuesto en el artículo 25, apartado 1, del Reglamento (UE) 2018/1725, las limitaciones a la aplicación de los artículos 14 a 22, 35 y 36, y también del artículo 4 de dicho Reglamento en la medida en que sus disposiciones se correspondan con los derechos y obligaciones que disponen los artículos 14 a 22, deben basarse en normas internas adoptadas por la FRA cuando no estén fundamentadas en actos jurídicos adoptados con arreglo a los Tratados.

(3) Estas normas internas, incluidas sus disposiciones sobre la evaluación de la necesidad y la proporcionalidad de una limitación, no deben aplicarse cuando un acto jurídico adoptado con arreglo a los Tratados prevea una limitación de los derechos de los interesados.

(4) Cuando la Agencia ejerza sus funciones en relación con los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho Reglamento.

(5) En el marco de su funcionamiento administrativo, la FRA puede hacer indagaciones administrativas, incoar procedimientos disciplinarios, llevar a cabo actividades preliminares relacionadas con casos de posibles irregularidades notificadas a la OLAF, tramitar casos de denuncia de irregularidades, tramitar procedimientos (formales e informales) para la prevención del acoso, tramitar reclamaciones internas y externas, realizar auditorías internas y externas, emprender investigaciones a través del delegado de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 y llevar a cabo investigaciones internas en materia de seguridad (informática).

(6) La FRA trata diversas categorías de datos personales, incluidos los datos sólidos (datos «objetivos», como los datos de identificación, los datos de contacto, los datos profesionales, los datos administrativos, los datos recibidos de determinadas fuentes y los datos de las comunicaciones y el tráfico electrónicos) y los datos frágiles (datos «subjetivos» relacionados con el caso, como el razonamiento, los datos de comportamiento, las valoraciones, los datos de actuación y conducta, y los datos relacionados con el objeto del procedimiento o la actividad o presentados en relación con estos).

(7) La FRA, representada por su director ejecutivo, actúa como responsable del tratamiento de datos, con independencia de las posteriores delegaciones de esta función dentro de la propia FRA al objeto de reflejar las diversas responsabilidades operativas para las operaciones específicas de tratamiento de datos personales.

(8) Los datos personales se almacenan en un entorno electrónico o en papel de un modo seguro que impide el acceso y la transferencia ilícitos a personas que no necesiten conocerlos. Los datos personales tratados no se retienen durante un tiempo superior al necesario y al adecuado para los fines para los que estos se hayan tratado durante el período especificado en los avisos de protección de datos, las declaraciones de confidencialidad y privacidad o los registros de la Agencia.

(9) Estas normas internas deben aplicarse a todas las operaciones de tratamiento de datos llevadas a cabo por la FRA en el ejercicio de sus investigaciones administrativas, procedimientos disciplinarios, actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF, procedimientos de denuncia de irregularidades, procedimientos (formales e informales) en casos de acoso, tramitación de quejas internas y externas, auditorías internas, investigaciones llevadas a cabo por el RPD en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE).

(10) Deben aplicarse a las operaciones de tratamiento de datos llevadas a cabo antes del inicio de los procedimientos citados anteriormente, durante los mismos y durante la supervisión del seguimiento de los resultados de dichos procedimientos. También se deben incluir la asistencia y la cooperación prestadas por la FRA a las autoridades nacionales y las organizaciones internacionales al margen de sus investigaciones administrativas.

(11) En los casos en los que resulten aplicables estas normas internas, la FRA debe justificar el carácter estrictamente necesario y proporcionado de las limitaciones en una sociedad democrática y respetar el contenido esencial de los derechos y las libertades fundamentales.

(12) En este contexto, la FRA debe respetar, en la medida de lo posible, los derechos fundamentales de los interesados durante los procedimientos anteriores, en particular, los relativos al derecho a la comunicación de información, el acceso y la rectificación, el derecho a la supresión, la limitación del tratamiento, el derecho a la comunicación de una violación de la seguridad de los datos personales al interesado o la confidencialidad de las comunicaciones, de conformidad con el Reglamento (UE) n.o 2018/1725.

(13) No obstante, la FRA puede verse obligada a limitar la comunicación de información al interesado y otros derechos del interesado para proteger, en particular, sus propias investigaciones, las investigaciones y los procedimientos de otras autoridades públicas y los derechos de otras personas relacionadas con sus investigaciones o con los procedimientos de otro tipo que se lleven a cabo.

(14) En consecuencia, la FRA puede restringir la información a los efectos de proteger la investigación y los derechos y libertades fundamentales de otros interesados.

(15) La FRA debe controlar periódicamente que se cumplan las condiciones que justifiquen la limitación y levantar la restricción en cuanto dejen de resultar aplicables.

(16) El responsable del tratamiento debe informar al delegado de protección de datos en el momento del aplazamiento y durante las revisiones.

...