Agencia Estatal Boletín Oficial del Estado

EL CONSEJO DE ADMINISTRACIÓN DE LA AGENCIA EUROPEA DE MEDICAMENTOS,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1), y en particular, su artículo 25,

Visto el Reglamento (UE, Euratom) n.o 883/2013 del Parlamento Europeo y del Consejo, de 11 de septiembre de 2013, relativo a las investigaciones efectuadas por la Oficina Europea de Lucha contra el Fraude (OLAF) y por el que se deroga el Reglamento (CE) n.o 1073/1999 del Parlamento Europeo y del Consejo y el Reglamento (Euratom) n.o 1074/1999 del Consejo (2),

Visto el Estatuto de los funcionarios de la Unión Europea y, en particular, su artículo 2, apartado 3, y el artículo 30 de su anexo IX, y el Régimen aplicable a los otros agentes de la Unión Europea,

Vistas las normas de desarrollo de la EMA sobre la realización de investigaciones administrativas y procedimientos disciplinarios de 8 de junio de 2012 (3),

Vistas las orientaciones del SEPD publicadas el 18 de diciembre de 2018 y la notificación al SEPD a efectos del artículo 41, apartado 2, del Reglamento (UE) 2018/1725,

Previa consulta al Comité de Personal,

Considerando lo siguiente:

(1)

La Agencia Europea de Medicamentos («EMA» o «la Agencia») fue creada en virtud del Reglamento (CE) n.o 726/2004 del Parlamento Europeo y del Consejo (4), por el que se coordinan los recursos científicos existentes que los Estados miembros ponen a su disposición para la evaluación, supervisión y farmacovigilancia de los medicamentos.

(2)

La Agencia lleva a cabo investigaciones administrativas y procedimientos disciplinarios de conformidad con las normas establecidas en el Estatuto de los funcionarios de la Unión Europea y el Régimen aplicable a los otros agentes de la Unión Europea, la Agencia también puede llevar a cabo actividades preliminares relacionadas con casos de irregularidades potenciales comunicadas a la OLAF (con arreglo al Reglamento (UE, Euratom) n.o 883/2013), tramitar casos de denuncia de irregularidades, tramitar procedimientos (formales e informales) de acoso, tramitar reclamaciones internas y externas, realizar auditorías internas, llevar a cabo investigaciones por parte del responsable de la protección de datos de conformidad con el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones sobre la seguridad (informática) gestionadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE).

(3)

La Agencia trata varias categorías de datos personales, como datos de identificación, datos de contacto, datos profesionales. La Agencia Europea de Medicamentos, representada por su Director Ejecutivo, es responsable del tratamiento de los datos. A nivel interno, el Jefe de la División de Administración y Gestión Empresarial ha sido nombrado para actuar por delegación como responsable del tratamiento de los datos correspondientes a las actividades a que se refiere la presente Decisión (a los efectos del presente documento, en adelante, el «responsable»). Si la investigación administrativa o los procedimientos disciplinarios se refieren al Jefe de la División de Administración y Gestión Empresarial, el Director Ejecutivo Adjunto será el responsable del tratamiento de los datos para la investigación o el procedimiento pertinente. Los datos personales se almacenan en un fichero electrónico y en papel. El expediente en papel se almacena en un armario cerrado con llave, al que solo puede acceder el personal autorizado por la alta dirección. Los ficheros electrónicos se almacenan en un entorno electrónico seguro diseñado y mantenido para evitar la destrucción accidental o ilícita, la pérdida, la alteración, la transferencia, la divulgación no autorizada o el acceso a datos personales por parte de socios internos y externos que no estén autorizados a tener acceso a dichos datos.

(4)

Los datos personales tratados se conservan de conformidad con el artículo 13 de las normas de desarrollo de la EMA sobre la realización de investigaciones administrativas y procedimientos disciplinarios de 8 de junio de 2012, tal como se explica en el artículo 2, apartado 3, de la presente Decisión.

(5)

La presente Decisión relativa a las normas internas debe aplicarse a todas las operaciones de tratamiento de datos llevadas a cabo por la Agencia en el ejercicio de sus investigaciones administrativas y procedimientos disciplinarios, así como en la realización de actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF, procedimientos de denuncia de irregularidades, procedimientos (formales e informales) de casos de acoso, tramitación de reclamaciones internas y externas, realización de auditorías internas, realización de investigaciones por parte del responsable de protección de datos de conformidad con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE). La presente Decisión debe aplicarse a las operaciones de tratamiento de datos llevadas a cabo antes del inicio de los procedimientos citados previamente, durante estos y durante el seguimiento de los resultados de dichos procedimientos.

(6)

La presente Decisión sobre normas internas debe aplicarse también a actividades relacionadas con la asistencia y la cooperación proporcionadas por la Agencia al margen de sus investigaciones administrativas a otras instituciones, órganos, oficinas y agencias de la Unión, autoridades competentes de los Estados miembros y organizaciones internacionales para proteger sus operaciones de tratamiento; así como a actividades relacionadas con la cooperación con las instituciones y organismos de la UE y la transmisión de información relativa a una investigación administrativa o a un procedimiento disciplinario. A tal efecto, la Agencia debe consultar a las instituciones, organismos, oficinas, agencias, autoridades u organizaciones sobre los motivos pertinentes para imponer limitaciones y sobre la necesidad y proporcionalidad de las mismas.

(7)   (8)

La Agencia tiene que justificar el carácter estrictamente necesario y proporcionado de las limitaciones en una sociedad democrática y respetar la esencia de los derechos y las libertades fundamentales.   En este marco, la Agencia debe respetar, en la mayor medida posible, los derechos fundamentales de los interesados durante los procedimientos antes mencionados, en particular, pero no exclusivamente, los relacionados con el derecho de acceso y rectificación y el derecho de supresión establecidos en el Reglamento (UE) 2018/1725.

(9)

Sin embargo, la Agencia puede verse obligada a aplazar la comunicación de información al interesado y otros derechos del interesado con el fin de proteger, en particular, sus propias investigaciones y procedimientos, las investigaciones y los procedimientos de otras autoridades públicas y los derechos de otras personas relacionadas con sus investigaciones y procedimientos.

(10)

Así pues, la Agencia puede aplazar la comunicación de información a efectos de proteger sus investigaciones administrativas y procedimientos disciplinarios, las investigaciones y los procedimientos de otras autoridades públicas, así como de proteger la identidad de los informantes y otras personas implicadas en los procedimientos, incluidos los denunciantes y los testigos, que no deben sufrir repercusiones negativas en relación con su cooperación. En particular, el artículo 5, apartado 3, de las normas de desarrollo de la EMA sobre la realización de investigaciones administrativas y procedimientos disciplinarios de 8 de junio de 2012 establece la obligación de informar a todo miembro del personal que pueda estar personalmente implicado en una investigación, siempre que dicha notificación no suponga un obstáculo para la investigación. Esto constituye una limitación de la aplicación de los derechos de los interesados, en particular, los artículos 14 a 21, 35 y 36 del Reglamento (UE) 2018/1725. Por consiguiente, de conformidad con el artículo 25 de dicho Reglamento, se establecerán normas internas para garantizar que dicha limitación respete en lo esencial los derechos y libertades fundamentales y que sea una medida necesaria y proporcionada en una sociedad democrática.

(11)

De conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, el responsable del tratamiento de los datos podría aplazar o denegar la comunicación al interesado de la información sobre las razones que justifican la limitación si dicha comunicación comprometiese la finalidad de la limitación. Con el fin de garantizar que el derecho de los interesados a ser informados en virtud de los artículos 16 y 35 del Reglamento (UE) 2018/1725 solo se restrinja en la medida en que subsistan los motivos del aplazamiento, la Agencia debe revisar periódicamente su posición.

(12)   (13)

Cuando se restrinjan los derechos de otros interesados, el responsable del tratamiento debe evaluar, caso por caso, si la comunicación de la restricción pudiera comprometer su finalidad.   De acuerdo con el principio de proporcionalidad, la Agencia debe supervisar periódicamente (aproximadamente cada seis meses) que siguen existiendo las condiciones que justifican una limitación concreta. De este modo, la Agencia debe suprimir la limitación cuando dejen de cumplirse las condiciones que la justifican.

(14)

La Agencia debe consultar al responsable de la protección de datos («el RPD») en el momento del aplazamiento de la comunicación de información o cuando se aplique otra limitación de los derechos de los interesados, así como con ocasión de la evaluación de las condiciones para determinar si la limitación sigue estando justificada.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

Objeto y ámbito de aplicación

1.   La presente Decisión establece normas relativas a las condiciones en las que la Agencia, en el marco de la realización de investigaciones administrativas y procedimientos disciplinarios, al notificar casos a la OLAF con arreglo al Reglamento (UE, Euratom) n.o 883/2013, puede limitar, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725, la aplicación de los derechos consagrados en los artículos 14 a 21, 35 y 36, así como en el artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 21.

2.   La presente Decisión se aplica a las operaciones de tratamiento de datos personales realizadas por la Agencia a efectos de llevar a cabo investigaciones administrativas y procedimientos disciplinarios, así como de realizar actividades preliminares relacionadas con casos de posibles irregularidades comunicadas a la OLAF [con arreglo al Reglamento (UE, Euratom) n.o 883/2013], tramitar casos de denuncia de irregularidades, tramitar procedimientos (formales e informales) de acoso, tramitar reclamaciones internas y externas, realizar auditorías internas, llevar a cabo investigaciones por parte del responsable de la protección de datos de conformidad con el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE).

La presente Decisión debe aplicarse también a las actividades de asistencia y cooperación facilitadas por la Agencia al margen de sus investigaciones administrativas a otras instituciones, órganos, oficinas y agencias de la Unión, autoridades competentes de los Estados miembros y organizaciones internacionales para proteger sus operaciones de tratamiento.

Además, la presente Decisión se aplica a actividades relacionadas con la cooperación con las instituciones y organismos de la UE y con la transmisión de información relativa a una investigación administrativa o a un procedimiento disciplinario, cuando dicha información sea necesaria para que el destinatario evalúe los motivos para incoar un procedimiento o investigación formal.

3.   La Agencia trata varias categorías de datos personales, como datos de identificación, datos de contacto, datos profesionales. Las categorías de datos en cuestión pueden ser datos exactos (por ejemplo, datos administrativos, teléfono, dirección privada, comunicaciones electrónicas y datos sobre tráfico) o datos subjetivos (por ejemplo, informes de evaluación, apertura de investigaciones, informes sobre investigaciones preliminares, informes/actas de declaraciones de testigos y audiencias de investigación, actividades sociales y comportamiento de los miembros del personal, comentarios sobre la capacidad y la eficiencia del miembro o miembros del personal en cuestión, etc.).

4.   Las categorías de interesados que pueden estar sujetos a la presente Decisión son el personal actual y antiguo de la Agencia, es decir, (antiguos) agentes, funcionarios y administradores, expertos nacionales en comisión de servicios y personas en prácticas, así como (antiguos) contratistas de la Agencia.

5.   De conformidad con las condiciones establecidas en la presente Decisión, las limitaciones pueden aplicarse a los siguientes derechos: transmisión de información y comunicación de una violación de la seguridad de los datos personales al interesado de conformidad con los artículos 16 y 35 del Reglamento (UE) 2018/1725; derecho de acceso del interesado de conformidad con el artículo 17 del Reglamento (UE) 2018/1725; derecho de rectificación, supresión, limitación del tratamiento y notificación relativa a la rectificación o supresión de conformidad con los artículos 18, 19, apartado 1, 20 y 21 del Reglamento (UE) 2018/1725.

Artículo 2

Especificaciones de los responsables de la protección de los datos y salvaguardias

1.   La Agencia Europea de Medicamentos, representada por su Director Ejecutivo, es responsable del tratamiento de los datos. A nivel interno, el Jefe de la División de Administración y Gestión Empresarial ha sido nombrado para actuar por delegación como responsable del tratamiento de los datos correspondientes a las actividades a que se refiere la presente Decisión. Si la investigación administrativa o los procedimientos disciplinarios se refieren al Jefe de la División de Administración y Gestión Empresarial, el Director Ejecutivo Adjunto será el responsable del tratamiento de los datos para la investigación o el procedimiento pertinente.

2.   Los datos personales se almacenan en un fichero electrónico y/o en papel. Las garantías aplicadas para evitar las violaciones de datos personales, las filtraciones o las revelaciones no autorizadas son las siguientes:

 a) El expediente en papel se guarda en un armario cerrado con llave que solo es accesible para el personal autorizado sobre la base de la necesidad de conocer. También se aplica un sistema de seguridad de los locales, políticas internas de gestión de los registros, formación del personal y auditorías para garantizar unas salvaguardias adecuadas.

 b) Los ficheros electrónicos se almacenan en un entorno electrónico seguro diseñado y mantenido para evitar la destrucción accidental o ilícita, la pérdida, la alteración, la transferencia, la divulgación no autorizada o el acceso a datos personales a socios internos y externos sin autorización para acceder a dichos datos

 c) Las estrictas normas de confidencialidad y secreto profesional aplicables a los investigadores designados o a cualquier persona que participe de otro modo en la investigación administrativa o en un procedimiento disciplinario según se exige en las normas de desarrollo de la EMA sobre la realización de investigaciones administrativas y procedimientos disciplinarios de 8 de junio de 2012, así como en el Estatuto de los funcionarios y el Régimen aplicable a los otros agentes de la Unión Europea, garantizan un elevado nivel de protección frente a los riesgos para los derechos y libertades de los interesados a los que afecta el tratamiento.

 d) De conformidad con el principio de minimización de datos, la Agencia solo recopilará y tratará datos personales adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se tratan. Cuando se tratan categorías especiales de datos se aplican salvaguardias adicionales, así como cuando se tratan datos personales relativos a condenas e infracciones penales o medidas de seguridad relacionadas.

3.   Los períodos de conservación y retención aplicables serán los siguientes:

 a) De conformidad con el artículo 13 de las normas de desarrollo de la EMA sobre la realización de investigaciones administrativas y procedimientos disciplinarios de 8 de junio de 2012, cuando no haya cargo alguno contra el miembro del personal o cuando se haya realizado algún cargo, pero no se hayan adoptado medidas disciplinarias, el documento y el expediente electrónico de los procedimientos de investigación administrativa, así como la copia en el expediente personal de la notificación inicial al miembro del personal, con arreglo al artículo 5 de las mismas normas de desarrollo, se conservarán durante un período de 5 años a partir de la fecha de la decisión en el sentido de que no es necesario aplicar ningún cargo ni ninguna sanción disciplinaria. Esta disposición no es aplicable a la decisión incluida en el expediente personal del miembro del personal a petición de este, de conformidad con el artículo 1, apartado 3, del anexo IX del Estatuto de los funcionarios y el artículo 5, apartado 5, de las normas de desarrollo de la EMA sobre la realización de investigaciones administrativas y procedimientos disciplinarios de 8 de junio de 2012. Dicha decisión solo será suprimida del expediente personal a petición del interesado.

 b) Cuando se realice un cargo contra el miembro del personal, el documento en papel y los ficheros electrónicos, así como la copia en el expediente personal de la notificación inicial al miembro del personal, se conservarán durante un período de 10 años a partir de la fecha de la decisión de sanción disciplinaria. En casos excepcionales, cuando sea en interés de la Agencia conservar el expediente de investigación administrativa una vez transcurridos los 10 años, se emitirá una decisión motivada 6 meses antes de que expire el período de 10 años y se comunicará al interesado. En la decisión motivada se indicará el período adicional durante el cual se conservará el expediente de investigación administrativa. En estos casos, se conservará también la notificación en el expediente del miembro del personal.

4.   El riesgo para los derechos y libertades del interesado puede implicar riesgos para el derecho a respetar la confidencialidad de sus comunicaciones privadas, el derecho a la libertad de expresión y de información y el derecho a la defensa y a ser oído. Estos riesgos se sopesarán en relación con los motivos y finalidades que justifiquen la aplicación de las limitaciones previstas en la presente Decisión. Esta ponderación se documentará debidamente y se realizará sobre la base de un análisis caso por caso, a fin de garantizar que las limitaciones solo se aplican cuando sea necesario y de manera proporcionada, así como con arreglo a las normas establecidas en la presente Decisión.

Artículo 3

Limitaciones

1.   Con arreglo al artículo 25, apartado 1, del Reglamento (UE) 2018/1725, las limitaciones solo se aplicarán para salvaguardar:

 a) la prevención, investigación, detección y enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención;

 b) otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular un interés importante de la Unión o de un Estado miembro, inclusive en los ámbitos de la sanidad pública y la seguridad social;

 c) la seguridad interna de las instituciones y organismos de la Unión, incluida la de sus redes de comunicación electrónica;

 d) la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas;

 e) una función de supervisión, inspección o reglamentación vinculada, incluso ocasionalmente, con el ejercicio de la autoridad pública en los casos enunciados en las letras a) a c);

 f) la protección del interesado o de los derechos y libertades de otros.

2.   Como aplicación concreta de los fines descritos en el anterior apartado 1, la Agencia puede aplicar limitaciones en relación con los datos personales compartidos con los servicios de la Comisión u otras instituciones, organismos, agencias y oficinas de la Unión, autoridades competentes de los Estados miembros o de terceros países u organizaciones internacionales, en las siguientes circunstancias:

 a) cuando el ejercicio de esos derechos y obligaciones pueda ser restringido por los servicios de la Comisión o por otras instituciones, organismos, agencias y oficinas de la Unión, sobre la base de otros actos contemplados en el artículo 25 del Reglamento (UE) 2018/1725 o de conformidad con el capítulo IX de dicho Reglamento o con los actos fundacionales de otras instituciones, organismos, agencias y oficinas de la Unión;

 b) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda verse limitado por parte de las autoridades competentes de los Estados miembros sobre la base de los actos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (5), o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3; del artículo 15, apartado 3; o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (6);

 c) cuando el ejercicio de esos derechos y obligaciones pueda comprometer la cooperación de la Agencia con terceros países u organizaciones internacionales en el desempeño de sus funciones.

Antes de aplicar limitaciones en las circunstancias mencionadas en el apartado 1, letras a) y b), la Agencia consultará a los servicios pertinentes de la Comisión, a las instituciones, organismos, agencias y oficinas pertinentes de la Unión o a las autoridades competentes de los Estados miembros, a menos que para la Agencia resulte evidente que la aplicación de una limitación está contemplada en uno de los actos a que se hace referencia en dichas letras.

3.   Toda limitación será la necesaria y proporcionada en una sociedad democrática y respetará la esencia de los derechos y libertades fundamentales.

4.   Se realizará una prueba de necesidad y proporcionalidad sobre la base de las presentes normas. Esta se documentará con una nota interna de evaluación para cumplir con la obligación de rendir cuentas en cada caso.

5.   Las limitaciones serán debidamente supervisadas y se realizará una revisión periódica a más tardar cada seis meses para evaluar si persisten las condiciones que justifican una limitación concreta.

6.   Las restricciones se levantarán tan pronto como dejen de existir las condiciones que las justifican, por ejemplo cuando el ejercicio de los derechos de los interesados (por ejemplo, de facilitar información sobre el tratamiento de los datos y el acceso al expediente) deje de poner en peligro el objetivo de la investigación o del procedimiento de que se trate.

Artículo 4

Información al responsable de la protección de datos y revisión

1.   El responsable del tratamiento (en nombre de la Agencia) informará, sin demora injustificada, al responsable de la protección de datos (RPD) de la Agencia siempre que se limite la aplicación de los derechos de los interesados de conformidad con la presente Decisión y facilitará el acceso a los registros y la documentación de la evaluación de la necesidad y la proporcionalidad de la restricción (incluidos los documentos que contengan elementos de hecho y de derecho). Este requisito se aplica también a cualquier revisión posterior de la restricción.

2.   El RPD podrá solicitar por escrito al responsable del tratamiento que revise la aplicación de las limitaciones. La Agencia notificará por escrito al RPD el resultado de la revisión solicitada.

3.   Los intercambios de información con el RPD a lo largo del procedimiento se registrarán y documentarán por escrito.

Artículo 5

Limitación de la comunicación de información a los interesados

1.   La Agencia incluirá en la declaración de confidencialidad relativa a las investigaciones administrativas y el procedimiento disciplinario y publicada en su intranet la información relativa a la posible limitación de estos derechos. Esta información abarcará los derechos que pueden limitarse, las razones de la limitación y su posible duración.

2.   Además, la Agencia informará a los interesados individualmente de sus derechos en relación con las limitaciones presentes o futuras, sin demora injustificada y por escrito, y sin perjuicio de lo dispuesto en los apartados siguientes.

3.   Cuando la Agencia restrinja, total o parcialmente, la comunicación de información a los interesados de conformidad con la presente Decisión, deberá consignar los motivos de la limitación, incluida una evaluación de su necesidad y proporcionalidad. A tal efecto, en la consignación se indicará de qué manera la comunicación de información podría poner en peligro la finalidad de la investigación o del procedimiento de que se trate, o afectar negativamente a los derechos y libertades de otros. La consignación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes serán registrados. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

4.   La limitación a que se refiere el apartado 3 seguirá en vigor mientras los motivos que la justifiquen sigan siendo aplicables. Cuando los motivos de la limitación dejen de ser aplicables, la Agencia comunicará la información de que se trate y los motivos de la limitación al interesado. Los interesados podrán formular preguntas al RPD.

5.   Al mismo tiempo, la Agencia informará al interesado sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

6.   La Agencia revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre del procedimiento.

Artículo 6

Limitación del derecho de acceso de los interesados

1.   Cuando los interesados soliciten acceso a sus datos personales tratados en el contexto de uno o varios casos específicos o a una operación de tratamiento determinada, de conformidad con el artículo 17 del Reglamento (UE) 2018/1725, la Agencia circunscribirá su evaluación de la solicitud únicamente a dichos datos personales.

2.   Cuando la Agencia limite, en su totalidad o en parte, el derecho de acceso a que se refiere el artículo 17 del Reglamento (UE) 2018/1725, deberá adoptar las siguientes medidas:

 a) informará al interesado, en su respuesta a la solicitud, de la limitación aplicada y de los motivos principales en la medida en que no comprometa el objetivo de la investigación o del procedimiento de que se trate, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea;

 b) consignará los motivos de la limitación, incluida una evaluación de la necesidad y la proporcionalidad de la limitación; a tal efecto, la consignación deberá indicar de qué modo el acceso podría poner en peligro la finalidad del procedimiento o investigación en cuestión, o cómo podría afectar negativamente a los derechos y libertades de otros.

La comunicación de la información mencionada en la letra a) podrá aplazarse, omitirse o denegarse con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) 2018/1725.

3.   La anotación a que se refiere la letra b) del apartado 2 y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes serán registrados. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud. Será de aplicación el artículo 25, apartado 7, del Reglamento (UE) 2018/1725.

Artículo 7

Limitación del derecho de rectificación, supresión y restricción del tratamiento

Cuando la Agencia limite, total o parcialmente, la aplicación del derecho a la rectificación, supresión o limitación del tratamiento a que se refieren el artículo 18; el artículo 19, apartado 1; el artículo 20, apartado 1; y el artículo 21 del Reglamento (UE) 2018/1725, adoptará las medidas contempladas en el artículo 6, apartado 2, de la presente Decisión y las consignará de conformidad con lo dispuesto en su artículo 6, apartado 3.

Artículo 8

Limitación de comunicación de una violación de la seguridad de los datos personales al interesado y confidencialidad de las comunicaciones electrónicas

1.   Cuando la Agencia limite la comunicación de una violación de datos personales al interesado, de conformidad con el artículo 35 del Reglamento (UE) 2018/1725, anotará y registrará los motivos de la limitación de conformidad con lo dispuesto en el artículo 5, apartados 3 a 6, de la presente Decisión.

2.   Cuando la Agencia limite el derecho a la confidencialidad de las comunicaciones electrónicas de un interesado, de conformidad con el artículo 36 del Reglamento (UE) 2018/1725, anotará y registrará los motivos de la limitación de conformidad con lo dispuesto en el artículo 5, apartados 3 a 6, de la presente Decisión.

Artículo 9

Entrada en vigor

La presente Decisión entrará en vigor al día siguiente de su publicación en el Diario Oficial de la Unión Europea.

Hecho en Ámsterdam, el 12 de junio de 2019.

Christa WIRTHUMER-HOCHE

Presidenta del Consejo de Administración de la EMA

(1)  DO L 295 de 21.11.2018, p. 39.

(2)  DO L 248 de 18.9.2013, p. 1.

(3)  Ref. doc. 7.20/08.

(4)  Reglamento (CE) n.o 726/2004 del Parlamento Europeo y del Consejo, de 31 de marzo de 2004, por el que se establecen procedimientos de la Unión para la autorización y el control de los medicamentos de uso humano y veterinario y por el que se crea la Agencia Europea de Medicamentos (DO L 136 de 30.4.2004, p. 1).

(5)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(6)  Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).