EL TRIBUNAL DE JUSTICIA DE LA UNIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 16,
Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1) (en lo sucesivo, «Reglamento»), y en particular su artículo 25,
Visto el dictamen del Supervisor Europeo de Protección de Datos (en lo sucesivo, «SEPD») de 26 de julio de 2019, consultado con arreglo al artículo 41, apartado 2, del Reglamento,
Visto el dictamen del comité administrativo de 16 de septiembre de 2019,
Considerando que el Reglamento se aplica, del mismo modo que a cualquier institución de la Unión, al Tribunal de Justicia de la Unión Europea en lo que respecta al tratamiento de datos personales en el ejercicio de sus funciones no jurisdiccionales;
Considerando que procede, por consiguiente, aplicar, en lo que respecta a tal tratamiento, el artículo 25 del Reglamento mediante la adopción de las normas internas contempladas en dicho artículo,
HA ADOPTADO LA SIGUIENTE DECISIÓN:
Artículo 1
Objeto y ámbito de aplicación
La presente Decisión establece las normas relativas a las condiciones en que el Tribunal de Justicia de la Unión Europea, en el ejercicio de sus funciones no jurisdiccionales, puede limitar la aplicación de los artículos 14 a 21, 35 y 36 del Reglamento, así como del artículo 4 del Reglamento, en virtud de su artículo 25.
Artículo 2
Limitaciones
1. De conformidad con el artículo 25, apartado 1, del Reglamento, podrá limitarse la aplicación de los artículos 14 a 21, 35 y 36 del Reglamento, así como del artículo 4 del Reglamento en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 21, en caso:
a) de investigaciones administrativas, instruidas con arreglo a las normas internas en la materia; de procedimientos predisciplinarios y disciplinarios y procedimientos de suspensión, tramitados al amparo del artículo 86 del Estatuto de los Funcionarios de la Unión Europea (en lo sucesivo, «Estatuto») y de las disposiciones de su anexo IX; de tratamiento de una denuncia de irregularidades, con arreglo a las normas internas en la materia; de investigaciones de seguridad, instruidas con arreglo a las normas internas en la materia; de investigaciones efectuadas por el Delegado de Protección de Datos, con arreglo al artículo 45, apartado 2, última frase, del Reglamento y a las normas internas en la materia, y de notificación de un caso a la Oficina Europea de Lucha contra el Fraude (OLAF). Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento;
b) de que un miembro del personal del Tribunal de Justicia de la Unión Europea se ponga en contacto con el asesor en el marco del procedimiento informal en materia de acoso. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra h), del Reglamento;
c) de tramitación de una petición o una reclamación en el sentido del artículo 90 del Estatuto. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letra h), del Reglamento;
d) de realización de una auditoría interna. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras c), g) y h), del Reglamento;
e) de cooperación con las demás instituciones, órganos u organismos de la Unión. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras b), c), d), g) y h), del Reglamento;
f) de cooperación con las autoridades de los Estados miembros y de los terceros países y con organizaciones internacionales. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras b), c), g) y h), del Reglamento.
g) de tratamiento de datos personales contenidos en documentos aportados u obtenidos en el marco de procedimientos judiciales en los que el Tribunal de Justicia de la Unión Europea sea parte. Las limitaciones pertinentes podrán basarse en el artículo 25, apartado 1, letras e) y h), del Reglamento.
2. Las categorías de datos incluyen los datos de identificación de las personas físicas, sus datos de contacto, sus funciones y actividades profesionales, la información sobre su conducta y rendimiento en la esfera profesional y particular, así como sus datos financieros. 3. Cualquier limitación deberá respetar en lo esencial los derechos y libertades fundamentales y ser una medida necesaria y proporcionada en una sociedad democrática.
4. Antes de aplicar las limitaciones se llevará a cabo una evaluación caso por caso de su necesidad y su proporcionalidad atendiendo, en particular, al riesgo de vulneración de los derechos y libertades de los interesados. Las limitaciones se reducirán a lo estrictamente necesario para alcanzar los objetivos fijados.
5. Las limitaciones aplicadas, así como el resultado del análisis de su necesidad y su proporcionalidad atendiendo, en particular, al riesgo de vulneración de los derechos y libertades de los interesados, se consignarán en una nota elaborada por el responsable del tratamiento. Estas notas formarán parte de un registro ad hoc que llevará el Delegado de Protección de Datos y que se pondrá a disposición del SEPD cuando este lo solicite. El Delegado de Protección de Datos tendrá acceso a cualquier documento subyacente en dichas notas.
6. Cuando se intercambien datos personales con otras organizaciones, se efectuará una consulta sobre los motivos pertinentes de la imposición de las limitaciones y sobre la necesidad y la proporcionalidad de estas. Tal consulta no impedirá la aplicación de limitaciones con arreglo a la presente Decisión.
Artículo 3
Evaluación de los riesgos, plazo de conservación y garantías
1. La evaluación de los riesgos para los derechos y libertades de los interesados cuyos derechos en materia de protección de datos personales puedan ser objeto de limitaciones con arreglo al artículo 25 del Reglamento, así como el plazo de conservación de tales datos, se mencionarán en el registro de las actividades de tratamiento pertinentes, de conformidad con lo dispuesto en el artículo 31 del Reglamento, y, en su caso, en las evaluaciones de impacto relativas a la protección de datos, de conformidad con lo dispuesto en el artículo 39 del Reglamento.
2. Se establecerán garantías para evitar accesos o transferencias ilícitos o abusivos de datos personales que puedan ser objeto de limitaciones con arreglo al artículo 25 del Reglamento. Tales garantías comprenderán, en particular:
a) medidas técnicas y organizativas que se describirán, respecto de cada tratamiento afectado, en el registro de las actividades de tratamiento;
b) un seguimiento regular de las limitaciones y una revisión periódica, que deberá llevarse a cabo al menos una vez por semestre. También deberá llevarse a cabo una revisión en caso de modificación de aspectos esenciales del supuesto concreto. Las limitaciones se suprimirán una vez que desaparezcan las circunstancias que las justifiquen.
Artículo 4
Confidencialidad de las comunicaciones electrónicas
Además de los casos contemplados en el artículo 2, apartado 1, y en particular en la letra a), el derecho a la confidencialidad de las comunicaciones electrónicas reconocido en el artículo 36 del Reglamento podrá limitarse, en casos excepcionales, sobre la base de normas internas específicas que precisen los motivos, el procedimiento a seguir y las garantías que han de respetarse.
Artículo 5
Información a los interesados sobre la limitación de sus derechos
1. En el sitio de Internet del Tribunal de Justicia de la Unión Europea se publicará información general dirigida a los interesados en relación con los derechos que pueden limitarse, así como los motivos y la duración de tales limitaciones, de conformidad con la presente Decisión.
2. Cuando se limiten, total o parcialmente, los derechos contemplados en los artículos 14 a 21, 35 y 36 del Reglamento, así como en el artículo 4 del Reglamento en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 21, se informará al interesado de las razones principales que justifican la aplicación de la limitación y de su derecho a presentar una reclamación ante el SEPD.
3. La comunicación de información sobre las razones de la limitación a que se refiere el apartado 2 se aplazará, se omitirá o se denegará si deja sin efecto la limitación. La evaluación al respecto se hará caso por caso.
Artículo 6
Entrada en vigor
La presente Decisión entrará en vigor el día de su publicación en el Diario Oficial de la Unión Europea.
Hecho en Luxemburgo, a 8 de octubre de 2019.
El Secretario
A. CALOT ESCOBAR
Presidente
K. LENAERTS
(1) DO L 295 de 21.11.2018, p. 39.