Decisão do Comité Europeu do Risco Sistémico de 13 de julho de 2012 que aplica regras em matéria de proteção de dados ao Comité Europeu do Risco Sistémico (CERS/2012/1) 2012/C 286/11
Classificação B
mapeado a partir da marcação do editor. Uma classificação diz como foi obtida a estrutura de um documento, e não quão fiável é a lei.
Não é a própria lei: Aviso
Endereço https://gelex.eu/eli/EU/notice/oj/C/2012/286/11@2012-07-13/pt
O CONSELHO GERAL DO COMITÉ EUROPEU DO RISCO SISTÉMICO,
Tendo em conta o artigo 16.o do Tratado sobre o Funcionamento da União Europeia,
Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados, nomeadamente o artigo 24.o, n.o 8, assim como o seu anexo,
Tendo consultado a Autoridade Europeia para a Proteção de Dados (AEPD),
Considerando o seguinte:
(1) O Regulamento (CE) n.o 45/2001 define os princípios e regras aplicáveis a todas as instituições e órgãos da União Europeia, e dispõe que cada instituição e órgão da União deve nomear um delegado para a proteção de dados (DPO).
(2) Nos termos do artigo 24.o, n.o 8 do Regulamento (CE) n.o 45/2001, cada instituição e órgão da União deve adotar regras de execução complementares aplicáveis ao DPO nos termos do anexo ao referido regulamento.
(3) Torna-se conveniente incluir disposições relativas aos responsáveis e aos coordenadores da proteção de dados cujas funções e deveres se articulam com as do DPO, assim como à regulamentação dos direitos das pessoas interessadas,
ADOTOU A PRESENTE DECISÃO:
SECÇÃO 1 DISPOSIÇÕES GERAIS
Artigo 1.o Objeto e âmbito
A presente decisão estabelece as regras relativas:
a) à nomeação e estatuto do DPO do Comité Europeu do Risco Sistémico (CERS), bem como às respetivas funções, deveres e competências;
b) às funções e deveres dos responsáveis pelo tratamento de dados e dos coordenadores da proteção de dados;
c) ao exercício dos direitos das pessoas interessadas.
Artigo 2.o Definições
Para efeitos da presente decisão, entende-se por:
a) responsável pelo tratamento de dados, um gestor responsável por uma unidade organizacional que determine a finalidade e os meios do tratamento dos dados pessoais;
b) coordenador da proteção de dados, um membro do pessoal que coadjuve o responsável pelo tratamento de dados no cumprimento das suas obrigações de proteção de dados. O coordenador da proteção de dados deverá ser especialista em gestão de registos.
SECÇÃO 2 DELEGADO PARA A PROTEÇÃO DE DADOS
Artigo 3.o Nomeação, estatuto e questões organizativas
1. O Conselho Geral deve:
a) nomear um DPO de nível hierárquico suficientemente elevado, de modo a cumprir os requisitos estabelecidos no artigo 24.o do Regulamento (CE) n.o 45/2001;
b) fixar a duração do mandato do DPO entre dois e cinco anos.
2. O Conselho Geral deve garantir a independência do DPO no desempenho das respetivas funções e deveres. Sem prejuízo dessa independência, os avaliadores do DPO devem consultar a AEPD antes de avaliarem o desempenho das funções e o cumprimento dos deveres do DPO.
3. O responsável pelo tratamento de dados em causa deverá garantir que o DPO é imediatamente informado:
a) do surgimento de qualquer questão que tenha ou possa ter implicações no domínio da proteção de dados; e
b) de todos os contactos entre o CERS e terceiros relacionados com a aplicação do Regulamento (CE) n.o 45/201, designadamente no que diz respeito a qualquer interação com a AEPD.
4. O Conselho Geral pode nomear um DPO adjunto, ao qual se aplicará o disposto nos n.os 1, 2 e 6 do artigo 24.o do Regulamento (CE) n.o 45/2001. O DPO adjunto coadjuvará o DPO no exercício das suas funções e substitui-lo-á na sua ausência.
5. Qualquer membro do pessoal que preste apoio ao DPO em assuntos relacionados com a proteção de dados atuará unicamente sob as instruções do DPO.
6. O DPO pode ser destituído com o consentimento da AEPD se deixar de cumprir as condições exigidas para o exercício das suas funções e deveres.
Artigo 4.o Funções e deveres do DPO
No exercício das funções especificadas no artigo 24.o e no anexo do Regulamento (CE) n.o 45/2001, o DPO deverá exercer as seguintes funções, tendo em conta a contribuição do Secretariado do CERS:
a) suscitar interesse pelas questões da proteção de dados e incentivar uma cultura de proteção de dados pessoais no âmbito do CERS;
b) aconselhar o Conselho Geral, o Comité Diretor, o Secretariado o responsável pelo tratamento de dados e o coordenador da proteção de dados sobre questões respeitantes à aplicação de disposições relativas à proteção de dados no CERS. O DPO pode ser consultado pelo Conselho Geral, pelo Comité Diretor, pelo Secretariado, pelo responsável pelo tratamento de dados ou por qualquer pessoa singular sobre qualquer questão relativa à interpretação ou aplicação do Regulamento (CE) n.o 45/2001;
c) cooperar com a AEPD, a pedido desta ou por iniciativa própria, e responder aos pedidos que a AEPD dirija ao DPO do CERS;
d) determinar em que medida uma operação de tratamento pode apresentar riscos específicos na aceção do artigo 27.o do Regulamento (CE) n.o 45/2001 e careça, por conseguinte, de ser sujeita a controlo prévio. O DPO deve, se necessário, consultar o responsável pelo tratamento de dados. Nos termos do artigo 27.o, n.o 3, do Regulamento (CE) n.o 45/2001, a AEPD deve ser consultada em caso de dúvida quanto à necessidade de controlo prévio;
e) por iniciativa própria do Conselho Geral, do Comité Diretor, do Secretariado ou de qualquer pessoa singular, investigar questões e factos diretamente relacionados com as suas funções e apresentar um relatório ao requerente da investigação. O DPO examinará as questões e os factos com imparcialidade e o devido respeito pelos direitos das pessoas interessadas. Se assim o entender, o DPO informará do assunto todas as outras partes interessadas. Se o requerente for uma pessoa singular ou atuar por conta de uma pessoa singular, o DPO deve, na medida do possível, garantir a confidencialidade do pedido, a não ser que a pessoa interessada dê o seu consentimento inequívoco para que o pedido seja tratado de outra forma;
f) cooperar com os DPO de outras instituições e órgãos da União, nomeadamente através do intercâmbio de experiências e da partilha de conhecimentos, e representar o CERS em todos os debates — exceto processos judiciais — relacionados com questões respeitantes à proteção de dados; e
g) apresentar um programa de trabalho e um relatório anuais sobre as atividades do DPO ao Conselho Geral e à AEPD.
Artigo 5.o Competências do DPO
1. O DPO pode:
a) pedir parecer ao Secretariado do CERS sobre qualquer questão relacionada com as funções e os deveres do DPO;
b) dar parecer sobre a licitude das operações de tratamento de dados, em curso ou previstas, ou sobre qualquer questão ligada à notificação das operações de tratamento de dados;
c) chamar a atenção do Chefe do Secretariado do CERS para qualquer incumprimento das obrigações decorrentes do Regulamento (CE) n.o 45/2001 por parte de um membro do pessoal;
d) ter acesso, a qualquer momento, aos dados sujeitos a operações de tratamento e a todos os gabinetes, instalações de tratamento de dados e suportes informáticos;
e) participar nos processos de aprovação pelo CERS de regras internas relacionadas com a proteção de dados pessoais;
f) manter uma lista anónima de pedidos escritos apresentados pelas pessoas interessadas relacionados com o exercício dos seus direitos; e
g) desempenhar quaisquer outras funções enunciadas no anexo do Regulamento (CE) n.o 45/2001.
2. Sem prejuízo das funções e competências do responsável pelo tratamento de dados, o DPO tem os poderes de assinatura da correspondência por si elaborada nos limites estabelecidos no seu mandato.
SECÇÃO 3 RESPONSÁVEL E COORDENADOR DA PROTEÇÃO DE DADOS
Artigo 6.o Funções e deveres dos responsáveis e dos coordenadores da proteção de dados
1. Os responsáveis pelo tratamento de dados devem assegurar que todas as operações envolvendo dados pessoais realizadas sob sua a responsabilidade estão conformes com o disposto no Regulamento (CE) n.o 45/2001.
2. No desempenho da sua obrigação de coadjuvar o DPO e a AEPD no exercício das respetivas funções, os responsáveis pelo tratamento devem fornecer-lhes informações completas, facultar acesso a dados pessoais e responder a questões no prazo de 20 dias úteis a contar da data de receção do pedido.
3. Os responsáveis pelo tratamento de dados devem informar o DPO em tempo útil da receção de pedidos de acesso, retificação, bloqueio ou supressão de dados pessoais ou respeitantes ao direito de oposição da pessoa interessada, ou de qualquer reclamação relacionada com a proteção de dados.
4. Sem prejuízo das competências do responsável pelo tratamento de dados:
a) os coordenadores da proteção de dados coadjuvarão os responsáveis pelo tratamento de dados no cumprimento das suas obrigações, quer a pedido dos últimos, quer por iniciativa própria. Para isso, os coordenadores da proteção de dados estabelecerão contacto com o pessoal dos responsáveis pelo tratamento de dados, que deve fornecer-lhes todas as informações necessárias. Se o responsável pelo tratamento de dados considerar conveniente, tais informações podem incluir o acesso a dados pessoais tratados sob a sua responsabilidade.
b) os coordenadores da proteção de dados auxiliarão o DPO a:
i) identificar quais os responsáveis do tratamento de dados de caráter pessoal em causa;
ii) difundir os conselhos do DPO e dar apoio ao responsável pelo tratamento de dados de acordo com as orientações do DPO; e
iii) prestar assistência noutros aspetos do programa de trabalho do DPO, consoante o convencionado entre o DPO e os superiores hierárquicos dos coordenadores.
Artigo 7.o Processo de notificação
1. Antes de iniciar novas operações de tratamento respeitantes a dados pessoais, o responsável pelo tratamento em causa notificá-las-á ao DPO, utilizando a interface em linha acessível através das páginas web na Intranet do CERS. As operações de tratamento de dados sujeitas a controlo prévio nos termos do artigo 27.o, n.o 3, do Regulamento (CE) n.o 45/2001 serão notificadas com antecedência suficiente do seu início para permitir o controlo prévio pela AEPD.
2. Os responsáveis pelo tratamento de dados devem informar imediatamente o DPO de qualquer alteração que afete as informações constantes de notificação já apresentada ao DPO.
SECÇÃO 4 DIREITOS DAS PESSOAS INTERESSADAS
Artigo 8.o Registo
O registo mantido pelo DPO nos termos do artigo 26.o do Regulamento (CE) n.o 45/2001 serve de índice de todas as operações de tratamento de dados pessoais realizadas no CERS. No exercício dos direitos que lhes são conferidos pelos artigos 13.o a 19.o do Regulamento (CE) n.o 45/2001, as pessoas interessadas podem fazer uso das informações constantes desse registo.
Artigo 9.o Exercício dos direitos das pessoas interessadas
1. Para além do direito de ser adequadamente informado sobre qualquer tratamento dos seus dados pessoais, as pessoas interessadas podem dirigir-se ao responsável pelo tratamento de dados para exercerem os seus direitos nos termos dos artigos 13.o a 19.o do Regulamento (CE) n.o 45/2001, tal como especificado a seguir:
a) os referidos direitos só podem ser exercidos pela pessoa interessada ou por um seu representante devidamente mandatado. O exercício dos direitos é gratuito para as referidas pessoas;
b) os pedidos de exercício de direitos devem ser transmitidos por escrito ao responsável pelo tratamento de dados pertinente. Este só aceitará o pedido se a identidade do requerente e, se for caso disso, a legitimidade do seu mandato de representação, tiver(em) sido devidamente verificada(s). O responsável pelo tratamento de dados comunicará imediatamente por escrito à pessoa interessada se o pedido foi ou não deferido. Se o pedido tiver sido indeferido, o responsável pelo tratamento de dados deve indicar os fundamentos do indeferimento;
c) o responsável pelo tratamento de dados deve, a qualquer momento no prazo de três meses de calendário a contar da data de receção do pedido, conceder o acesso previsto no artigo 13.o do Regulamento (CE) n.o 45/2001, permitindo à pessoa interessada consultar estes dados no local ou receber uma cópia dos mesmos, consoante a preferência do requerente;
d) as pessoas interessadas podem contactar o DPO no caso de o responsável pelo tratamento de dados não respeitar os prazos previstos nas alíneas b) ou c). No caso de abuso manifesto no exercício dos seus direitos por parte da pessoa interessada, o responsável pelo tratamento de dados pode remeter a pessoa em causa para o DPO, o qual, neste caso, decidirá quanto ao mérito do pedido e ao seguimento adequado a dar-lhe. No caso de desacordo entre a pessoa interessada e o responsável pelo tratamento de dados, ambas as partes terão o direito de consultar o DPO.
2. Os membros do pessoal podem consultar o DPO antes de apresentarem uma reclamação à AEPD.
Artigo 10.o Exceção e restrições
1. Na condição de o DPO ter sido previamente consultado, o responsável pelo tratamento de dados pode restringir os direitos previstos nos artigos 13.o a 17.o do Regulamento (CE) n.o 45/2001 pelos motivos referidos e nas condições estabelecidas no artigo 20.o do Regulamento (CE) n.o 45/2001.
2. Qualquer pessoa afetada pode solicitar à AEPD a aplicação do disposto no artigo 47.o, n.o 1, alínea c), do Regulamento (CE) n.o 45/2001.
Artigo 11.o Investigação
1. Os pedidos de investigação ao abrigo do n.o 1 do Anexo ao Regulamento (CE) n.o 45/2001 devem ser apresentados por escrito ao DPO.
2. O DPO deve enviar um aviso de receção ao requerente no prazo de 20 dias úteis após a receção do pedido.
3. O DPO pode investigar a questão no local e pedir ao responsável pelo tratamento de dados pertinente uma declaração por escrito sobre a questão. O responsável pelo tratamento de dados pertinente deve dar a sua resposta ao DPO no prazo de 20 dias úteis a contar da data de receção do pedido do DPO. O DPO pode solicitar informações complementares ou a assistência do Secretariado. As informações ou a assistência referidas devem ser prestadas no prazo de 20 dias úteis a contar da receção do pedido do DPO.
4. O DPO deverá apresentar um relatório ao requerente no prazo de três meses a contar da data de receção do pedido.
SECÇÃO 5 ENTRADA EM VIGOR
Artigo 12.o Entrada em vigor
A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.
Feito em Frankfurt am Main, em 13 de julho de 2012. O Presidente do CERS Mario Draghi