EL CONSEJO DE ADMINISTRACIÓN,
Visto el Tratado de Funcionamiento de la Unión Europea,
Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.° 45/2001 y la Decisión n.° 1247/2002/CE (1), y en particular su artículo 25,
Visto el Reglamento (UE) n.° 1093/2010 del Parlamento Europeo y del Consejo, de 24 de noviembre de 2010, por el que se crea una Autoridad Europea de Supervisión (Autoridad Bancaria Europea), se modifica la Decisión n.° 716/2009/CE y se deroga la Decisión 2009/78/CE (2) de la Comisión, en particular sus artículos 47, apartado 1, y 71,
Considerando lo siguiente:
(1)
(2) | La Autoridad Bancaria Europea (ABE) lleva a cabo sus actividades de conformidad con el Reglamento (UE) n.o 1093/2010, que podrá ser modificado, derogado o sustituido.
De conformidad con lo dispuesto en el artículo 25, apartado 1, del Reglamento (UE) 2018/1725, las limitaciones a la aplicación de los artículos 14 a 22, 35 y 36, y también del artículo 4 de dicho Reglamento en la medida en que sus disposiciones se correspondan con los derechos y obligaciones que disponen los artículos 14 a 22, deben basarse en normas internas adoptadas por la ABE cuando no se encuentren fundamentadas en actos jurídicos adoptados con arreglo a los Tratados. |
(3) | Cuando la ABE ejerza sus funciones en relación con los derechos de las personas interesadas en virtud del Reglamento (UE) 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho Reglamento. |
(4) | La ABE trata diversas categorías de datos personales, incluidos los datos «objetivos» (como los datos de identificación, los datos de contacto, los datos profesionales, los datos administrativos, los datos recibidos de determinadas fuentes, los datos de las comunicaciones y el tráfico electrónicos) y los datos «subjetivos» (relacionados con el caso, como el razonamiento, los datos de comportamiento, los datos de conducta y los datos relacionados con el objeto del procedimiento o la actividad, o presentados en relación con los mismos). |
(5) | La ABE, representada por su director ejecutivo, actúa como responsable del tratamiento de datos, con independencia de las posteriores delegaciones de esta función dentro de la propia ABE al objeto de reflejar las diversas responsabilidades operativas por las distintas tareas de tratamiento de datos personales. |
(6) | Los datos personales se almacenan en un entorno electrónico o en papel de un modo seguro que impide el acceso ilícito a personas que no necesiten conocerlos y la transferencia ilícita a estas personas. Los datos personales tratados no se retienen durante un tiempo superior al necesario y adecuado para los fines para los que se hubieran tratado durante el período especificado en los registros de protección de datos y las declaraciones de confidencialidad de la ABE. |
(7) | Para el ejercicio de sus misiones, la ABE debe respetar, en la medida de lo posible, los derechos fundamentales de las personas interesadas, en particular, los relativos al derecho a la comunicación de información, el acceso y la rectificación, el derecho a la supresión, la limitación del tratamiento, el derecho a la comunicación de una violación de la seguridad de los datos personales a la persona interesada o la confidencialidad de las comunicaciones, de conformidad con el Reglamento (UE) 2018/1725. |
(8) | Sin embargo, la ABE puede verse obligada a limitar la comunicación de información a la persona interesada y otros derechos de la persona interesada para proteger, en particular, la confidencialidad y la efectividad de sus propias investigaciones, las investigaciones y los procedimientos de otras autoridades públicas, así como los derechos de otras personas relacionadas con sus investigaciones o con procedimientos de otro tipo que se lleven a cabo. |
(9) | En el marco de su funcionamiento administrativo, la ABE puede llevar a cabo una serie de investigaciones, como investigaciones administrativas, procedimientos disciplinarios, actividades preliminares relacionadas con el fraude financiero, investigaciones relativas a casos de denuncias de irregularidades o acoso, auditorías internas, investigaciones realizadas por el delegado de protección de datos o investigaciones deontológicas, investigaciones sobre las TIC, investigaciones sobre la seguridad de la información y actividades realizadas en el contexto de la gestión de riesgos e incidentes de seguridad. Además, para el ejercicio de sus funciones, la ABE podrá llevar a cabo investigaciones relativas a posibles infracciones del Derecho de la Unión, resolución de diferencias entre autoridades competentes, mediación entre autoridades competentes e investigaciones relacionadas con la prevención y la lucha contra el blanqueo de capitales y la financiación del terrorismo, investigaciones relacionadas con la protección de los consumidores y actividades financieras con el fin de evaluar las posibles amenazas para la integridad de los mercados financieros o la estabilidad del sistema financiero de la Unión. |
(10) | Deben aplicarse las normas internas a todas las operaciones de tratamiento llevadas a cabo por la ABE en el ejercicio de las investigaciones mencionadas. Estas normas internas también son aplicables a las operaciones de tratamiento de datos realizadas con anterioridad a la apertura de las investigaciones citadas anteriormente, durante las mismas y durante el seguimiento de la actuación consecutiva a los resultados de dichas investigaciones. También debe incluir la asistencia, la coordinación y/o la cooperación solicitadas a la ABE por parte de las autoridades nacionales y las organizaciones internacionales en el contexto de sus propias investigaciones administrativas. |
(11) | Antes de hacer uso de las limitaciones previstas en estas normas internas, la ABE debe considerar si se aplica alguna de las excepciones establecidas en el Reglamento (UE) 2018/1725. En los casos en los que resultan aplicables limitaciones con arreglo a estas normas internas, la ABE debe explicar el carácter estrictamente necesario y proporcionado de las limitaciones en una sociedad democrática y respetar el contenido esencial de los derechos y las libertades fundamentales. |
(12)
(13) | La ABE debe supervisar si las condiciones que justifican la limitación siguen aplicándose y levantar la limitación cuando dejen de ser aplicables.
El responsable del tratamiento debe informar al delegado de protección de datos cuando restrinja la aplicación de determinados derechos de las personas interesadas en virtud de esta decisión, cuando amplíe dicha limitación y cuando esta se levante. |
HA DECIDIDO:
Artículo 1
Objeto y ámbito de aplicación
1. La siguiente decisión establece las normas internas relativas a las condiciones en las que la ABE, en el marco de las actividades establecidas en los apartados 2 a 5, puede limitar la aplicación de los derechos previstos en los artículos 14 a 21, y 35, y también del artículo 4 del mismo, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725. Estas limitaciones se entienden sin perjuicio de las excepciones a los derechos de las personas interesadas previstas en el Reglamento (UE) 2018/1725.
2. En el marco del funcionamiento administrativo de la ABE, las limitaciones previstas en el apartado 1 se aplicarán al tratamiento de datos personales por parte de la ABE a los efectos de:
a) investigaciones administrativas y procedimientos disciplinarios, de conformidad con el artículo 25, apartado 1, letra f), del Reglamento (UE) 2018/1725;
b) tratamiento de las irregularidades en colaboración con la Oficina Europea de Lucha contra el Fraude (OLAF), de conformidad con el artículo 25, apartado 1, letras b) o f), del Reglamento (UE) 2018/1725;
c) tratamiento de los casos de denuncia de irregularidades, los casos de acoso (formales e informales), así como las reclamaciones internas y externas, de conformidad con el artículo 25, apartado 1, letra f), del Reglamento (UE) 2018/1725;
d) auditorías internas, investigaciones deontológicas, procedimientos e investigaciones realizadas por el delegado de protección de datos (en lo sucesivo, «DPD»), de conformidad con el artículo 25, apartado 1, letras f) o g), o el artículo 45, apartado 2, del Reglamento (UE) 2018/1725;
e) investigaciones sobre TIC, investigaciones sobre seguridad de la información y actividades realizadas en el contexto de la gestión de riesgos e incidentes de seguridad, gestionadas internamente o con participación externa, de conformidad con el artículo 25, apartado 1, letra d), del Reglamento (UE) 2018/1725.
3. En el ejercicio de las misiones de la ABE, las limitaciones previstas en el apartado 1 se aplicarán al tratamiento de datos personales por parte de la ABE a efectos de cualesquiera de los siguientes fines:
a) investigaciones de posibles infracciones del Derecho de la Unión de conformidad con el artículo 17 del Reglamento (UE) n.o 1093/2010;
b) investigaciones y procedimientos relacionados con la protección de los consumidores y las actividades financieras con el fin de evaluar las posibles amenazas para la integridad de los mercados financieros o la estabilidad del sistema financiero de la Unión, de conformidad con los artículos 9 y 22 del Reglamento (UE) n.o 1093/2010;
c) procedimientos relacionados con la solución de diferencias entre las autoridades competentes de conformidad con el artículo 19 del Reglamento (UE) n.o 1093/2010 y los actos legislativos a que se refiere el artículo 1, apartado 2, de dicho Reglamento;
d) procedimientos relacionados con la mediación no vinculante llevada a cabo por la ABE de conformidad con el artículo 31, apartado 2, letra c), del Reglamento (UE) n.o 1093/2010 y los actos legislativos a que se refiere el artículo 1, apartado 2, de dicho Reglamento (UE);
e) investigaciones relacionadas con la prevención y la lucha contra el blanqueo de capitales y la financiación del terrorismo, de conformidad con el artículo 9, letra b) del Reglamento (UE) n.o 1093/2010 y los actos legislativos a que se refiere el artículo 1, apartado 2, de dicho Reglamento.
4. Además, estas limitaciones se aplican a la asistencia, coordinación y/o cooperación que la ABE presta a las autoridades competentes definidas en el artículo 4, apartado 2, del Reglamento (UE) n.o 1093/2010, incluidas las autoridades de terceros países, y a las organizaciones internacionales en el contexto de las investigaciones realizadas para el ejercicio de sus misiones estatutarias.
5. Las limitaciones que se mencionan en el apartado 1 se aplicarán también a las operaciones de tratamiento llevadas a cabo antes de la apertura de las investigaciones u otras investigaciones administrativas mencionadas en los apartados 2 a 4, durante estas investigaciones y durante el seguimiento de la actuación consecutiva a los resultados de dichas investigaciones.
6. La presente decisión se aplicará a cualquier categoría de datos personales tratados en el contexto de las actividades mencionadas en los apartados 2 a 5.
7. Con arreglo a las condiciones previstas en esta decisión, las limitaciones pueden aplicarse a los siguientes derechos: la comunicación de información a las personas interesadas, el derecho de acceso, la rectificación, la supresión, la limitación del tratamiento y la comunicación de una violación de la seguridad de los datos personales a la persona interesada.
Artículo 2
Responsable del tratamiento encargada de las investigaciones y salvaguardias aplicables
1. Las salvaguardias establecidas para prevenir el abuso o acceso o transferencia ilícita en el contexto de las investigaciones mencionadas en el artículo 1 son las siguientes:
a) los documentos en papel se guardarán en armarios cerrados con llave a los que solo podrá acceder el personal autorizado en función de sus necesidades. Se establecerá, además, un sistema de seguridad de los locales, políticas internas de gestión de registros, formación del personal y auditorías para garantizar las adecuadas salvaguardias;
b) los archivos electrónicos se gestionarán con los dispositivos, sistemas de información, aplicaciones y recursos de almacenamiento de medios aprobados por la ABE. Los datos se almacenarán en un entorno electrónico seguro, diseñado y mantenido para evitar la destrucción accidental o ilícita, la pérdida, la alteración, la transferencia, la comunicación no autorizada o el acceso a datos personales a socios internos y externos que no estén autorizados a acceder a dichos datos. Deben utilizarse las aplicaciones del sistema de gestión de documentos de la ABE para organizar, encontrar, compartir, mantener y proteger los datos electrónicos de la ABE. El personal autorizado de la ABE solo tendrá acceso a los datos electrónicos en función de sus necesidades;
c) Las bases de datos y los archivos electrónicos estarán protegidos por contraseña en virtud de un sistema de autenticación única y conectados automáticamente al identificador y la contraseña del usuario. Queda estrictamente prohibida la sustitución de los usuarios. Los registros electrónicos se conservarán de manera segura para salvaguardar la confidencialidad y la privacidad de los datos que contengan;
d) todas las personas que tengan acceso a los datos estarán sujetas a la obligación de confidencialidad y firmarán un documento en el que reconocerán dicha obligación y los requisitos establecidos en este apartado.
2. El responsable del tratamiento es la ABE, representada por su director ejecutivo. Se informará a las personas interesadas sobre la identidad del responsable del tratamiento delegado por medio de los registros de protección de datos publicados en el sitio web de la ABE.
3. El período de retención de los datos personales no será superior a lo necesario y apropiado para los fines para los que se traten. El periodo de retención se especificará en los registros de protección de datos y en las declaraciones de confidencialidad mencionadas en el artículo 5, apartado 1.
4. Cuando la ABE estudie aplicar una limitación, deberá sopesarse el riesgo para los derechos y las libertades de la persona interesada, en particular, con el riesgo para los derechos y las libertades de otras personas interesadas y el riesgo de dejar sin efecto las investigaciones o los procedimientos emprendidos por la ABE, por ejemplo, mediante la destrucción de pruebas. Los riesgos para los derechos y las libertades de la persona interesada consisten principalmente, aunque no de manera exclusiva, en riesgos para la reputación y para el derecho a la defensa y a la audiencia.
Artículo 3
Limitaciones
1. De conformidad con el artículo 25, apartado 1, del Reglamento (UE) 2018/1725, la ABE solo debe aplicar restricciones para salvaguardar:
a) la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a las amenazas a la seguridad pública y su prevención, en particular en relación con las operaciones de tratamiento con arreglo al artículo 1, apartado 2, letra b), de esta Decisión;
b) otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular los objetivos de la política exterior y de seguridad común de la Unión o un interés económico o financiero importante de la Unión o de un Estado miembro, inclusive en los ámbitos fiscal, presupuestario y monetario, la sanidad pública y la seguridad social, en especial en lo que se refiere a las operaciones de tratamiento con arreglo al artículo 1, apartado 3, de esta Decisión;
c) la seguridad interior de las instituciones y organismos de la Unión, incluidas sus redes de comunicaciones electrónicas, en particular en relación con la operación de tratamiento con arreglo al artículo 1, apartado 2, letra c), de esta Decisión;
d) la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas, en particular en relación con las operaciones de tratamiento con arreglo al artículo 1, apartado 2, letras a) y c), de esta Decisión;
e) la función de supervisión, inspección o reglamentación relacionada, incluso ocasionalmente, con el ejercicio de la autoridad pública en los casos contemplados en las letras a) y b), en particular en relación con las operaciones de tratamiento con arreglo al artículo 1, apartado 2, letra d), de esta Decisión;
f) la protección de la persona interesada o de los derechos y libertades de terceros.
2. Como aplicación concreta de los fines descritos en el apartado 1 anterior, la ABE puede introducir limitaciones en relación con los datos personales compartidos con los servicios de la Comisión u otras instituciones, organismos, agencias y oficinas de la Unión, autoridades competentes de los Estados miembros o de terceros países u organizaciones internacionales, en alguna de las siguientes circunstancias:
a) cuando el ejercicio de esos derechos y obligaciones pudiera ser restringido por los servicios de la Comisión o por otras instituciones, organismos, agencias y oficinas de la Unión, sobre la base de los actos jurídicos contemplados en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento o con los actos fundacionales de otras instituciones, organismos, agencias y oficinas de la Unión;
b) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda verse limitado por parte de las autoridades competentes de los Estados miembros sobre la base de los actos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3; del artículo 15, apartado 3; o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo;
c) cuando el ejercicio de dichos derechos y obligaciones pudiera poner en peligro la cooperación de la ABE con terceros países u organizaciones internacionales en el desempeño de sus funciones o de las funciones del tercer país u organizaciones internacionales.
Antes de aplicar las limitaciones en las circunstancias mencionadas en el subapartado 1, letras a) y b), la ABE consultará a los servicios pertinentes de la Comisión, a las instituciones, organismos, agencias y oficinas pertinentes de la Unión o a las autoridades competentes de los Estados miembros, a menos que para la ABE resulte evidente que la aplicación de una limitación está prevista en alguno de los actos a que se hace referencia en dichas letras.
3. Toda limitación deberá ser necesaria y proporcionada teniendo en cuenta los riesgos para los derechos y las libertades de las personas interesadas y el respeto del contenido esencial de los derechos y las libertades fundamentales en una sociedad democrática.
4. Si se estudia aplicar una limitación, deberá llevarse a cabo una prueba de la necesidad y la proporcionalidad basada en las presentes normas. Esta se documentará con una nota interna de evaluación para cumplir con la obligación de rendir cuentas en cada caso.
5. Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las hayan justificado. En particular, cuando se considere que el ejercicio del derecho limitado ya no anula el efecto de la limitación impuesta ni afecta negativamente a los derechos o las libertades de las demás personas interesadas.
Artículo 4
Revisión por parte del delegado de protección de datos
1. El responsable del tratamiento informará a su DPD, sin dilaciones indebidas, de toda situación en que tenga intención de limitar la aplicación de los derechos de las personas interesadas o extienda la limitación de conformidad con esta Decisión. El responsable del tratamiento facilitará al DPD el acceso a la nota interna que contenga la evaluación de la necesidad y proporcionalidad de la limitación, así como, en su caso, los elementos de hecho y de derecho subyacentes, y documentará la fecha en que se informó al DPD.
2. El DPD podrá solicitar por escrito al responsable del tratamiento que revise la aplicación de las limitaciones. Este notificará por escrito al DPD el resultado de la revisión solicitada.
3. El responsable del tratamiento notificará al DPD el levantamiento de las limitaciones.
4. El responsable del tratamiento documentará la participación del DPD a lo largo de las distintas fases del proceso, a partir de la fecha en que se informe al DPD.
5. La nota interna y, en su caso, los elementos de hecho y de derecho subyacentes se pondrán a disposición del Supervisor Europeo de Protección de Datos previa solicitud.
Artículo 5
Comunicación de información a la persona interesada
1. La ABE publicará en su sitio web registros de protección de datos que informen a todas las personas interesadas de sus actividades que impliquen el tratamiento de datos personales, incluida la información relativa a la posible limitación de los derechos de las personas interesadas con arreglo al artículo 3 de esta Decisión. La información abarcará los derechos que puedan ser objeto de limitaciones, los motivos por los que pueden aplicarse las limitaciones y su posible duración.
2. La ABE notificará individualmente a todos las personas interesadas a las que considere afectadas por la investigación el registro de la protección de datos de las operaciones de tratamiento específicas de que se trate, sin demoras indebidas y por escrito.
3. En casos debidamente justificados y en las condiciones estipuladas en esta Decisión, la ABE podrá limitar, total o parcialmente, el suministro de información a las personas interesadas a que se refiere el apartado 2. En tal caso, documentará en una nota interna de evaluación los motivos de la limitación, el fundamento jurídico de conformidad con el artículo 3 de esta Decisión, incluida una evaluación de la necesidad y la proporcionalidad de la limitación.
4. La limitación a que se refiere el apartado 3 seguirá en vigor mientras los motivos que la justifiquen sigan siendo aplicables.
Cuando dejen de aplicarse las razones de la limitación, la ABE notificará a la persona interesada el registro de protección de datos pertinente y las principales razones de la limitación. Esta notificación podrá combinarse con una invitación a presentar observaciones sobre los resultados de la investigación en curso, como parte del ejercicio de los derechos a la defensa de la persona interesada de que se trate. Al mismo tiempo, la ABE informará a la persona interesada de que se trate del derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o a interponer un recurso ante el Tribunal de Justicia de la Unión Europea.
La ABE revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre de la investigación pertinente.
Artículo 6
Derecho de acceso de la persona interesada
1. A raíz de una solicitud de una persona interesada, la ABE podrá limitar, total o parcialmente, su derecho a obtener confirmación de si los datos personales que le conciernen están siendo tratados por la ABE en el contexto de una investigación contemplada en el artículo 1 de esta Decisión y, en su caso, el derecho de acceso a dichos datos y a otra información contemplada en el artículo 17 del Reglamento (UE) 2018/1725.
2. Cuando la ABE limite el derecho de acceso, informará a la persona interesada, en su respuesta a la solicitud, de la limitación y de los principales motivos de esta, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.
3. La comunicación de la información mencionada en apartado 2 podrá aplazarse, omitirse o denegarse en caso de que pudiera dejar sin efecto la limitación, con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) 2018/1725. Cuando así sea, la ABE documentará en una nota interna de evaluación los motivos de la limitación, incluida una evaluación de la necesidad, la proporcionalidad y la duración de la limitación.
4. La ABE revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre de la investigación pertinente.
Artículo 7
Derecho de rectificación, supresión y limitación del tratamiento de datos
1. A raíz de la solicitud de una persona interesada, la ABE podrá, en el contexto de una investigación contemplada en el artículo 1 de esta Decisión, limitar, total o parcialmente, el derecho de la persona interesada a obtener la rectificación de los datos personales que le conciernan, a suprimir o limitar el tratamiento de sus datos personales con arreglo a lo dispuesto en los artículos 18, 19 y 20 del Reglamento (UE) 2018/1725.
2. Cuando la ABE limite la aplicación del derecho de rectificación, supresión o limitación del tratamiento antes mencionado, adoptará las medidas establecidas en el artículo 6, apartado 2, y lo documentará con arreglo al artículo 6, apartado 3.
3. La ABE revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre de la investigación pertinente.
Artículo 8
Comunicación de una violación de la seguridad de los datos personales a la persona interesada
1. La ABE comunicará, sin demora justificada, cualquier violación de los datos personales a la persona interesada cuando dicha violación pueda suponer un riesgo elevado para los derechos y libertades de las personas físicas, tal como se establece en el artículo 35 del Reglamento (UE) 2018/1725.
2. En casos debidamente justificados y en las condiciones estipuladas en esta Decisión, la ABE podrá restringir, total o parcialmente, el suministro de información a las personas interesadas a que se refiere el apartado 1 del presente artículo. En tal caso, documentará en una nota interna de evaluación los motivos de la limitación, el fundamento jurídico de conformidad con el artículo 3 de esta Decisión, incluida una evaluación de la necesidad y la proporcionalidad de la limitación.
3. La limitación a que se refiere el apartado 2 seguirá en vigor mientras los motivos que la justifiquen sigan siendo aplicables.
Cuando dejen de aplicarse las razones de la limitación, la ABE notificará a la persona interesada la violación de la seguridad de los datos personales y le informará de las principales razones de la limitación. Al mismo tiempo, la ABE informará a la persona interesada de que se trate del derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o a interponer un recurso ante el Tribunal de Justicia de la Unión Europea.
La ABE revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre de la investigación pertinente.
Artículo 9
Entrada en vigor
Esta Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
Hecho en París, el 23 de abril de 2021.
Por el Consejo de Administración
José Manuel CAMPA
Presidente