Decisión (UE) 2020/655 del Banco Central Europeo de 5 de mayo de 2020 por la que se adoptan normas complementarias sobre la protección de datos en el Banco Central Europeo y se deroga la Decisión BCE/2007/1 (BCE/2020/28)

• Section: Serie L
• Issuing Organization: Banco Central Europeo

15.5.2020 ES Diario Oficial de la Unión Europea L 152/13

EL COMITÉ EJECUTIVO DEL BANCO CENTRAL EUROPEO,

Visto el Tratado de Funcionamiento de la Unión Europea,

Vistos los Estatutos del Sistema Europeo de Bancos Centrales y del Banco Central Europeo, en particular el artículo 11.6,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1), en particular el artículo 45, apartado 3,

Considerando lo siguiente:

(1) El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (2) establece normas generales para proteger a las personas físicas en lo que respecta al tratamiento de datos personales y para garantizar la libre circulación de datos personales en la Unión.

(2) El Reglamento (UE) 2018/1725 deroga el Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo (3) y establece los principios y normas de protección de datos aplicables a las instituciones y organismos de la Unión.

(3) A fin de garantizar un tratamiento coherente de la protección de los datos personales en toda la Unión y la libre circulación de dichos datos en ella, es necesario adaptar en lo posible las normas de protección de datos aplicables a las instituciones y organismos de la Unión a las normas de protección de datos adoptadas para el sector público en los Estados miembros. Siempre que las disposiciones del Reglamento (UE) 2018/1725 sigan los mismos principios que las disposiciones del Reglamento (UE) 2016/679, ambos conjuntos de disposiciones deben interpretarse de manera homogénea, en particular porque debe entenderse que la estructura del Reglamento (UE) 2018/1725 es equivalente a la del Reglamento (UE) 2016/679.

(4) El artículo 43 del Reglamento (UE) 2018/1725 dispone que cada institución u organismo de la Unión designe un delegado de protección de datos. Según el artículo 45, apartado 3, de dicho reglamento, cada institución u organismo de la Unión debe adoptar normas complementarias respecto al delegado de protección de datos referidas en especial a las tareas, funciones y competencias de dicho delegado.

(5) Por razones de eficiencia y conforme a la práctica seguida hasta el momento, puede facultarse al responsable de la protección de datos del Banco Central Europeo (BCE) para ocuparse de las cuestiones de protección de datos relativas a la Junta Europea de Riesgo Sistémico (JERS) si la Junta General de la JERS decide designar al responsable de la protección de datos del BCE como responsable de la protección de datos de la JERS.

(6) Además, las normas complementarias deben regular el modo en que los interesados pueden ejercer sus derechos y el modo en que los responsables del tratamiento de los datos personales deben desempeñar sus funciones en las instituciones y organismos de la Unión.

(7) Aunque el BCE sea la persona jurídica encargada de proteger a las personas físicas en lo relativo al tratamiento de sus datos personales tanto en virtud del Reglamento (UE) 2018/1725 como de la presente Decisión, las operaciones de tratamiento de datos personales pueden llevarlas a cabo en la práctica diversas unidades organizativas del BCE.

(8) El Reglamento (UE) 2018/1725 pone a disposición de los interesados determinados recursos contra las instituciones de la Unión en materia de protección de datos, como el derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos, establecido en los artículos 63 y 68 de dicho reglamento. Por consiguiente, los empleados del BCE deben servirse de esos recursos cuando, como interesados, presenten reclamaciones sobre protección de datos a partir de la fecha de aplicación de la presente Decisión, en lugar de los recursos que se establecen en las Condiciones de contratación del personal del BCE.

(9) El BCE pretende establecer separadamente una serie de limitaciones a ciertos principios, derechos y obligaciones de protección de datos en circunstancias determinadas previstas en el artículo 25 del Reglamento (UE) 2018/1725, por lo que la presente Decisión debe aplicarse desde el 1 de noviembre de 2020 para que puedan establecerse esas limitaciones separadas.

(10) Dada la derogación del Reglamento (CE) n.o 45/2001 por el Reglamento (UE) 2018/1725, la presente Decisión debe derogar la Decisión BCE/2007/1 (4) y sustituirla.

HA ADOPTADO LA PRESENTE DECISIÓN:

1. La presente Decisión establece las normas generales que complementan el Reglamento (UE) 2018/1725 en lo relativo al BCE, en particular respecto del nombramiento y de las funciones, obligaciones y facultades del responsable de la protección de datos (RPD) del BCE.

2. La presente Decisión detalla además las funciones y obligaciones de los responsables del tratamiento de datos y de los coordinadores de la protección de datos, así como las normas con arreglo a las cuales los interesados pueden ejercer sus derechos.

   A efectos de la presente Decisión, se entenderá por:

   1) «responsable del tratamiento de datos»: el BCE y, en particular, la unidad organizativa del BCE que sola o conjuntamente con otras determina los fines y medios del tratamiento de datos personales;

   2) «coordinador de la protección de datos»: un empleado del BCE que ayuda al responsable del tratamiento de datos y al RPD a desempeñar sus funciones conforme al Reglamento (UE) 2018/1725 y a la presente Decisión;

   3) «interesado»: una persona física identificada o identificable; es identificable la persona cuya identidad pueda determinarse directa o indirectamente, en particular mediante identificadores tales como un nombre, un número de identificación, unos datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de esa persona;

   4) «tratamiento»: el definido en el artículo 3, punto 3, del Reglamento (UE) 2018/1725;

   5) «instituciones y organismos de la Unión»: las instituciones y organismos a que se refiere el artículo 3, punto 10, del Reglamento (UE) 2018/1725;

   6) «encargado del tratamiento»: el definido en el artículo 3, punto 12, del Reglamento (UE) 2018/1725;

   7) «datos personales»: los definidos en el artículo 3, punto 1, del Reglamento (UE) 2018/1725;

   8) «consentimiento»: el definido en el artículo 3, punto 15, del Reglamento (UE) 2018/1725.

1. El Comité Ejecutivo:

   1. nombrará al RPD en razón de sus cualidades personales y profesionales, en especial su experiencia en la normativa y práctica de la...