Decisión del Consejo de Administración de la Oficina de Propiedad Intelectual de la Unión Europea de 26 de marzo de 2020 relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco del funcionamiento de la Oficina de Propiedad Intelectual de la Unión Europea

• Section: Serie L
• Issuing Organization: Consejo de la Unión Europea

27.3.2020 ES Diario Oficial de la Unión Europea L 94/46

EL CONSEJO DE ADMINISTRACIÓN,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1), y, en particular, su artículo 25,

Visto el Reglamento (UE) 2017/1001 del Parlamento Europeo y del Consejo, de 14 de junio de 2017, sobre la marca de la Unión Europea (2) y, en particular, su artículo 153,

Visto el Reglamento interno del Consejo de Administración de la Oficina de Propiedad Intelectual de la Unión Europea, y, en particular, su artículo 9,

Vista la consulta del Supervisor Europeo de Protección de Datos de 18 de diciembre de 2019,

Considerando lo siguiente:

(1) La Oficina de Propiedad Intelectual de la Unión Europea («la Oficina») desarrolla sus actividades con arreglo a lo dispuesto en el Reglamento (UE) 2017/1001.

(2) De conformidad con lo dispuesto en el artículo 25, apartado 1, del Reglamento (UE) 2018/1725, las limitaciones a la aplicación de los artículos 14 a 22, 35 y 36 y, también, del artículo 4 de dicho Reglamento en la medida en que sus disposiciones se correspondan con los derechos y obligaciones que disponen los artículos 14 a 22, deben basarse en normas internas adoptadas por la Oficina cuando no se encuentren fundamentadas en actos jurídicos adoptados con arreglo a los Tratados.

(3) Estas normas internas, incluidas sus disposiciones sobre la evaluación de la necesidad y la proporcionalidad de la limitación, no se aplican cuando un acto jurídico adoptado con arreglo a los Tratados prevea una limitación de los derechos de los interesados.

(4) Cuando la Oficina ejerza sus funciones en relación con los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho Reglamento.

(5) En su funcionamiento administrativo, la Oficina puede verse obligada a limitar los derechos de los interesados de conformidad con el artículo 25 del Reglamento (UE) 2018/1725.

(6) La Oficina, representada por su director ejecutivo, actúa como responsable del tratamiento de datos, con independencia de las posteriores delegaciones de esta función dentro de la propia Oficina, al objeto de reflejar las diversas responsabilidades operativas con respecto a las tareas específicas de tratamiento de datos personales.

(7) Los datos personales se almacenan en un entorno electrónico o en papel de un modo seguro que impide el acceso ilícito a personas que no necesiten conocerlos y la transferencia ilícita a estas personas. Los datos personales tratados se conservan tal como especifican los avisos de protección de datos, las declaraciones de confidencialidad o los registros de la Oficina.

(8) Estas normas internas deben aplicarse a todas las operaciones de tratamiento de datos llevadas a cabo por la Oficina en el ejercicio de sus investigaciones administrativas, procedimientos disciplinarios, procedimientos de denuncia de irregularidades, procedimientos (formales e informales) en casos de acoso, tramitación de quejas y tratamiento de datos médicos, auditorías internas, investigaciones llevadas a cabo por el delegado de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones en materia de seguridad informática realizadas internamente o con la participación de agentes externos (p. ej., CERT-UE).

(9) En los casos en que estas normas internas resultan aplicables, la Oficina debe justificar el carácter estrictamente necesario y proporcionado de las limitaciones en una sociedad democrática y respetar el contenido esencial de los derechos y las libertades fundamentales.

(10) En este contexto, la Oficina debe respetar, en la medida de lo posible, los derechos fundamentales de los interesados durante los procedimientos anteriores, en particular los relativos al derecho a la información, el acceso y la rectificación, el derecho a la supresión, la limitación del tratamiento, el derecho a la comunicación de una violación de la seguridad de los datos personales al interesado o la confidencialidad de las comunicaciones, de conformidad con el Reglamento (UE) 2018/1725.

(11) La Oficina debe controlar de manera periódica que sigan existiendo las condiciones que justifiquen la aplicación de la limitación y levantarla en cuanto dejen de ser aplicables.

(12) El responsable del tratamiento de datos debe informar al delegado de protección de datos acerca de cada limitación aplicada a los derechos del interesado y sobre el momento en que dicha limitación se haya levantado o revisado.

HA ADOPTADO LA PRESENTE DECISIÓN:

1. La presente Decisión establece las normas relativas a las condiciones en las que la Oficina, en el marco de sus procedimientos establecidos en el apartado 2 del presente artículo, puede limitar la aplicación de los derechos previstos en los artículos 4, 14 a 21, 35 y 36 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25 de dicho Reglamento.

2. En el funcionamiento administrativo de la Oficina, esta Decisión es aplicable al tratamiento de datos personales llevado a cabo por la Oficina para los fines de: investigaciones administrativas, procedimientos disciplinarios, procedimientos de denuncia de irregularidades, procedimientos (formales e informales) en casos de acoso, tramitación de quejas, tratamiento de datos y expedientes médicos, auditorías internas, investigaciones llevadas a cabo por el delegado de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones en materia de seguridad informática realizadas internamente o con la participación de agentes externos (p. ej., CERT-UE).

   Esta Decisión es aplicable a las operaciones de tratamiento de datos llevadas a cabo por la Oficina antes del inicio de los procedimientos citados, durante estos y durante la supervisión del seguimiento de los resultados de dichos procedimientos. También es aplicable a la asistencia y cooperación, prestada por la Oficina fuera de sus procedimientos administrativos a la Oficina Europea de Lucha contra el Fraude, a los servicios competentes de los Estados miembros y a otros servicios competentes.

3. Las categorías de datos en cuestión son los datos sólidos (datos «objetivos», como los datos de identificación, los datos de contacto, los datos profesionales, los detalles administrativos, los datos recibidos de determinadas fuentes y los datos de las comunicaciones y el tráfico electrónicos) y los datos frágiles (datos «subjetivos» relacionados con el caso, como el razonamiento, los datos de comportamiento, las valoraciones, los datos de actuación y conducta, y los datos relacionados con el objeto del procedimiento o la actividad o presentados en relación con estos).

4. La...