Agencia Estatal Boletín Oficial del Estado

EL TRIBUNAL DE CUENTAS EUROPEO,

Visto el Tratado de Funcionamiento de la Unión Europea («TFUE»),

VIsto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE («Reglamento»), y en particular el artículo 25 y el capítulo VI del mismo,

Vistos los debates mantenidos por el Tribunal de Cuentas Europeo en su reunión del día 20 de mayo de 2021,

Habiendo consultado al Supervisor Europeo de Protección de Datos sobre la presente Decisión, de conformidad con el artículo 41, apartado 2, del Reglamento, que emitió su dictamen el 23 de septiembre de 2019,

 

Considerando que, en el marco de sus actividades, el Tribunal de Cuentas Europeo («Tribunal») trata varias categorías de datos personales y está obligado a respetar los derechos de las personas físicas en relación con el tratamiento de datos personales reconocidos en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16, apartado 1, del TFUE;

Considerando que, en determinadas circunstancias, es necesario conciliar los derechos de los interesados en virtud del Reglamento con las necesidades derivadas de las tareas y actividades del Tribunal. A tal efecto, el artículo 25 del Reglamento prevé, en condiciones estrictas, la posibilidad de limitar la aplicación de los artículos 14 a 20, 35 y 36, así como del artículo 4;

Considerando que el Tribunal solo debe aplicar limitaciones cuando respeten el contenido esencial de los derechos y libertades fundamentales y constituyan una medida necesaria y proporcionada en una sociedad democrática. El Tribunal debe tratar todas las limitaciones de manera transparente y facilitar información sobre los motivos de la aplicación de una limitación al interesado;

Considerando que el Tribunal debe levantar la limitación tan pronto como dejen de cumplirse las condiciones que la justifican, y evaluar dichas condiciones periódicamente;

Considerando que el delegado de protección de datos del Tribunal (el «DPD») debe ser informado a su debido tiempo de cualquier limitación aplicada y llevar a cabo una revisión independiente de la aplicación de las limitaciones con el fin de garantizar el cumplimiento de la presente Decisión,

DECIDE:

Artículo 1

Objeto y ámbito de aplicación

La presente Decisión establece normas relativas a las condiciones en las que el Tribunal, sobre la base del artículo 25 del Reglamento, puede limitar la aplicación de los artículos 14 a 20, 35 y 36, así como de su artículo 4.

Artículo 2

Limitaciones

1.   De conformidad con el artículo 25, apartado 1, del Reglamento, el Tribunal podrá limitar, caso por caso, la aplicación de los artículos 14 a 20, 35 y 36, así como de su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20, cuando:

 a) realice auditorías, sobre la base del artículo 287 del TFUE. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento;

 b) lleve a cabo investigaciones administrativas y procedimientos predisciplinarios, disciplinarios y de suspensión, sobre la base del artículo 86 del Estatuto de los funcionarios de la Unión Europea (1) (el «Estatuto») y de conformidad con su anexo IX. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras b), c), d), f), g) y h), del Reglamento;

 c) tramite reclamaciones internas y externas contra un miembro del personal o un Miembro del Tribunal. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra h), del Reglamento;

 d) realice actividades preliminares relacionadas con casos de posibles irregularidades notificadas a la OLAF. Las restricciones pertinentes podrán basarse en el artículo 25, apartado 1, letras b), c) y h), del Reglamento;

 e) garantice que los miembros del personal del Tribunal puedan facilitar confidencialmente información sobre las irregularidades graves de las que tengan conocimiento en el ejercicio de sus funciones, de conformidad con el Reglamento interno del Tribunal, para facilitar información en caso de notificación de irregularidades graves (denuncia). Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras f) y h), del Reglamento;

 f) garantice que los miembros del personal del Tribunal que se consideren víctimas de acoso puedan solicitar confidencialmente asesoramiento y apoyo a un directivo, una persona de contacto, un médico asesor o un mediador, de conformidad con la Decisión n.o  26-2017 del Tribunal sobre la política de mantenimiento de un entorno de trabajo satisfactorio y de lucha contra el acoso psicológico y sexual. Las restricciones pertinentes podrán basarse en el artículo 25, apartado 1, letras f) y h), del Reglamento;

 g) realice auditorías internas, de conformidad con la Decisión n.o  38-2016 por la que se establecen disposiciones de aplicación del Reglamento interno del Tribunal de Cuentas. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento;

 h) garantice el acceso, de conformidad con el artículo 26 bis del Estatuto de los funcionarios y los artículos 16 y 91 del Régimen aplicable a los otros agentes, de los interesados a los datos médicos de carácter psicológico o psiquiátrico que les conciernan, cuando el acceso directo a dichos datos pueda representar un riesgo para la salud del interesado o a datos médicos cuando el ejercicio de ese derecho afecte negativamente a los derechos y libertades del interesado o de otros interesados. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra h), del Reglamento;

 i) garantice la seguridad interior en el Tribunal, es decir, la seguridad de las personas, los bienes y la información, incluida la realización de investigaciones de seguridad interior, en su caso con participación externa (CERT-UE, autoridades policiales nacionales, etc.). Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras a), b), c), d), g) y h), del Reglamento;

 j) garantice que el DPD pueda llevar a cabo investigaciones de conformidad con el artículo 45, apartado 2, del Reglamento. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras d), g) y h), del Reglamento;

 k) preste asistencia y cooperación a otras instituciones, órganos y organismos de la Unión o la reciba de estos. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), d), g) y h), del Reglamento;

 l) preste asistencia y cooperación a las autoridades públicas de los Estados miembros de la UE, terceros países y organizaciones internacionales, o la reciba, a petición de estos o por iniciativa propia. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento;

 m) trate datos personales en documentos obtenidos por las partes o los coadyuvantes en el marco de un procedimiento judicial ante el Tribunal de Justicia de la Unión Europea. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra e), del Reglamento.

2.   Las categorías de datos incluyen los datos de identificación de una persona física, la información de contacto, las funciones y tareas profesionales, la información sobre la conducta y el rendimiento privados y profesionales, y los datos financieros.

3.   Toda limitación respetará el contenido esencial de los derechos y libertades fundamentales en una sociedad democrática y será necesaria y proporcionada.

4.   El responsable del tratamiento y el DPD llevarán a cabo una prueba de necesidad y proporcionalidad caso por caso antes de aplicar limitaciones. Las limitaciones se ceñirán a lo estrictamente necesario para alcanzar los objetivos fijados.

5.   El Tribunal consignará los motivos de las limitaciones aplicadas, la base jurídica, la evaluación de los riesgos para los derechos y las libertades de los interesados cuyos datos personales puedan estar sujetos a limitaciones, y la evaluación de la necesidad y proporcionalidad de la limitación. El registro y, en su caso, los documentos que contengan los elementos de hecho y de Derecho subyacentes formarán parte de un registro ad hoc, que se pondrá a disposición del Supervisor Europeo de Protección de Datos («SEPD») previa solicitud. La documentación relativa a las limitaciones del expediente médico solo se registrará en el expediente médico pertinente.

6.   Al tratar datos personales intercambiados con otras organizaciones en el marco de sus funciones, el Tribunal consultará y será consultado por dichas organizaciones sobre los posibles motivos pertinentes para imponer limitaciones y la necesidad y proporcionalidad de las mismas, a menos que ello ponga en peligro las actividades del Tribunal.

Artículo 3

Seguimiento de las limitaciones y revisión

1.   Las limitaciones a que se refiere el artículo 2 seguirán aplicándose mientras sigan siendo aplicables las circunstancias que las justifiquen.

2.   El Tribunal revisará la aplicación de una limitación cada seis meses a partir de su adopción. También debe llevarse a cabo una revisión cuando cambien los elementos esenciales de un caso.

Artículo 4

Salvaguardias

1.   El Tribunal aplicará salvaguardias para evitar abusos o acceso o transferencia ilícitos de datos personales que puedan estar sujetos a limitaciones. Estas salvaguardias incluirán medidas técnicas y organizativas y se detallarán, en caso necesario, en las decisiones, procedimientos y normas de desarrollo internos del Tribunal. Las salvaguardias incluirán:

a) una definición adecuada de las funciones, responsabilidades y etapas del procedimiento;

b) en su caso, un entorno electrónico seguro que impida el acceso o la transferencia ilícitos o accidentales de datos electrónicos a personas no autorizadas;

c) en su caso, un almacenamiento y tratamiento seguros de los documentos en soporte papel.

Artículo 5

Información que debe comunicarse al DPD y revisión por el mismo

1.   El DPD será informado sin demora indebida siempre que se limiten los derechos de los interesados de conformidad con la presente Decisión y se le facilitará acceso al registro y a cualquier documento que contenga elementos de hecho y de Derecho subyacentes.

2.   El DPD podrá presentar una solicitud para revisar la aplicación de una limitación. El Tribunal informará por escrito al DPD del resultado de la solicitud.

3.   La participación del DPD en el procedimiento de limitación, incluidos los intercambios de información, se documentará de forma adecuada.

Artículo 6

Información facilitada a los interesados sobre las limitaciones de sus derechos

1.   El Tribunal publicará en su sitio web información general sobre las limitaciones de los derechos de los interesados descritas en el artículo 2. Se explicarán el alcance de la restricción, las razones subyacentes y la duración potencial.

2.   Cuando el Tribunal aplique el artículo 2 de la presente Decisión, informará a los interesados, sin demora indebida y por escrito, de los principales motivos en los que se basa la aplicación de la limitación, así como del derecho de los interesados a presentar una reclamación ante el SEPD y a interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

3.   El Tribunal podrá aplazar, omitir o denegar la comunicación de información relativa a los motivos de la limitación a que se refiere el apartado 2 mientras esto anule el efecto de la limitación. Esta evaluación se realizará caso por caso.

Artículo 7

Comunicación de una violación de la seguridad de los datos personales al interesado

Cuando el Tribunal limite la comunicación de una violación de la seguridad de los datos personales al interesado, tal como se contempla en el artículo 35 del Reglamento, consignará y registrará los motivos de la limitación de conformidad con el artículo 2, apartado 5, de la presente Decisión.

Artículo 8

Confidencialidad de las comunicaciones electrónicas

1.   El Tribunal, en circunstancias excepcionales y de conformidad con las disposiciones de la Directiva 2002/58/CE sobre la intimidad y las comunicaciones electrónicas, podrá restringir el derecho a la confidencialidad de las comunicaciones electrónicas, tal como se contempla en el artículo 36 del Reglamento. En este caso, el Tribunal detallará las circunstancias, los motivos, los riesgos pertinentes y las garantías conexas en normas internas específicas.

2.   Cuando el Tribunal limite el derecho a la confidencialidad de las comunicaciones electrónicas, informará al interesado, en su respuesta a su solicitud, de los principales motivos en los que se basa la aplicación de la limitación, así como de la posibilidad de presentar una reclamación ante el SEPD o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

3.   El Tribunal podrá aplazar, omitir o denegar la comunicación de información relativa a los motivos de la limitación a que se refieren los apartados 1 y 2 mientras esto anule el efecto de la limitación. Esta evaluación se realizará caso por caso.

Artículo 9

Entrada en vigor

La presente Decisión entrará en vigor el día de su publicación en el Diario Oficial de la Unión Europea.

Hecho en Luxemburgo, el 20 de mayo de 2021.

Por el Tribunal de Cuentas

Klaus-Heiner LEHNE

Presidente

(1)  Reglamento (CEE, Euratom, CECA) n.o 259/68 del Consejo, de 29 de febrero de 1968, por el que se establece el Estatuto de los funcionarios de las Comunidades Europeas y el régimen aplicable a los otros agentes de estas Comunidades y por el que se establecen medidas específicas aplicables temporalmente a los funcionarios de la Comisión (DO L 56 de 4.3.1968, p. 1).