Decisión del Banco Europeo de inversiones, de 9 de octubre de 2023, por la que se establece el reglamento interno relativo al tratamiento de datos personales por la Dirección de Recursos Humanos del Banco Europeo de Inversiones en lo que respecta a la comunicación de información a los interesados y la restricción de algunos de sus derechos [2023/2717]., - Diario Oficial de la Unión Europea, de 05-12-2023

EL BANCO EUROPEO DE INVERSIONES («BEI»),

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 309,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión y a la libre circulación de estos datos y por el que se deroga el Reglamento (CE) n.º 45/2001 y la Decisión n.º 1247/2002/CE (1),

Considerando lo siguiente:

(1)De conformidad con lo establecido en el artículo 38 de los Reglamentos del Personal I y II del BEI, podrán adoptarse medidas disciplinarias contra miembros del personal que no cumplan con sus obligaciones para con el BEI de acuerdo con el procedimiento establecido en el artículo 40 de dichos Reglamentos. De conformidad con lo establecido en el artículo 41 de los Reglamentos del Personal I y II del BEI, los miembros del personal podrán presentar una solicitud de revisión de un acto que les afecte negativamente. En el marco de dicha solicitud, el BEI podrá, en ciertos casos, proponer al miembro del personal que acuda a una Comisión de conciliación para llegar a un acuerdo amistoso. En las normas de aplicación relativas a la revisión administrativa se define más detalladamente el ámbito de aplicación del mecanismo de revisión administrativa, así como el procedimiento que debe seguirse. En cumplimiento de la Política en materia de dignidad en el trabajo del BEI, el BEI debe tramitar las denuncias de acoso.

(2)La organización y gestión de los procedimientos establecidos en los artículos 40 y 41 de los Reglamentos del Personal I y II del BEI, así como en la Política en materia de dignidad en el trabajo del BEI y en las normas de aplicación relativas a la revisión administrativa son competencia principal de la Dirección de Recursos Humanos del BEI.

(3)En el desempeño de sus funciones, la Dirección de Recursos Humanos está obligada a respetar los derechos de las personas físicas en relación con el tratamiento de los datos de carácter personal reconocidos en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea, así como por actos jurídicos basados en dichas disposiciones. Al mismo tiempo, la Dirección de Recursos Humanos tiene la obligación de cumplir las estrictas normas de confidencialidad y secreto profesional a que se refieren los Reglamentos del Personal del BEI y el Código de Conducta del Personal del BEI, y de garantizar el respeto de los derechos procedimentales de los interesados y los testigos, en particular, el derecho de toda persona a un juicio justo, los derechos de defensa y la presunción de inocencia.

(4)En determinadas circunstancias, es necesario conciliar los derechos de los interesados en virtud del Reglamento (UE) 2018/1725 con los fines y las necesidades de las tareas de la Dirección de Recursos Humanos, así como con el pleno respeto de los derechos fundamentales y libertades de otros titulares de datos. A tal efecto, el artículo 25 de este reglamento otorga a la Dirección de Recursos Humanos la posibilidad de restringir la aplicación de los artículos 14 a 21 y 35, así como también del artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 21.

(5)A fin de garantizar la eficacia de los procedimientos llevados a cabo por la Comisión de disciplina establecida al amparo del artículo 40 de los Reglamentos del Personal I y II, por el servicio encargado de la revisión administrativa con arreglo a lo establecido en el artículo 41 de los Reglamentos del Personal I y II y, si procede, por la Comisión de conciliación establecida para buscar un acuerdo amistoso, así como por el Comité de dignidad en el trabajo establecido en virtud de la Política en materia de dignidad en el trabajo del BEI dentro del respeto de las normas de protección de datos personales previstas en el Reglamento (UE) 2018/1725, es necesario adoptar normas internas al amparo de las cuales la Dirección de Recursos Humanos pueda restringir los derechos de los titulares de datos de conformidad con el artículo 25, apartado 1, letras c), g) y h) del Reglamento (UE) 2018/1725.

(6)Las normas internas deben aplicarse a todas las operaciones de tratamiento llevadas a cabo por la Dirección de Recursos Humanos en el cumplimiento de su mandato conforme a lo previsto en los artículos 40 y 41 de los Reglamentos del Personal I y II del BEI, así como de conformidad con lo previsto en la Política en materia de dignidad en el trabajo del BEI. Dichas normas deben aplicarse a operaciones de tratamiento realizadas con anterioridad al inicio del cualquier procedimiento llevado a cabo por la Comisión de disciplina, por el servicio encargado de la revisión administrativa y/o la Comisión de conciliación y el Comité de dignidad en el trabajo, mientras estos procedimientos están en curso y durante el seguimiento del resultado de los mismos.

(7)En cumplimiento de lo dispuesto en los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, el responsable del tratamiento de datos debe informar a todos los interesados de las actividades de tratamiento de sus datos personales y de sus derechos de un modo transparente y coherente, en forma de anuncios de protección de datos publicados en la intranet del BEI, así como informar individualmente a los titulares de los datos afectados por sus actividades, a saber: interesados, partes y testigos.

(8)Además, con el fin de mantener una cooperación eficaz, la Dirección de Recursos Humanos podría necesitar aplicar restricciones a los derechos de los titulares de datos para proteger la información que contenga datos personales procedentes de otras instituciones, órganos, oficinas y agencias de la Unión Europea, de las autoridades competentes de los Estados miembros y de terceros países, así como de organizaciones internacionales. A dicho efecto, la Dirección de Recursos Humanos consultará con dichas otras instituciones, organismos, oficinas y agencias de la Unión Europea, autoridades y organizaciones internacionales los motivos y la necesidad y proporcionalidad de las restricciones.

(9)La Dirección de Recursos Humanos gestionará todas las restricciones de manera transparente y consignará cada aplicación de restricciones en el sistema de registro correspondiente.

(10)De conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, los responsables del tratamiento podrán aplazar, omitir o denegar la comunicación de información sobre los motivos de la aplicación de una restricción al interesado cuando dicha comunicación deje sin efecto la restricción impuesta. Este es, en particular, el caso de las restricciones de los derechos contemplados en los artículos 16 y 35 del Reglamento (UE) 2018/1725. Con el fin de garantizar que el derecho de los interesados a ser informados en virtud de los artículos 16 y 35 del Reglamento (UE) 2018/1725 solo se restrinja en la medida en que subsistan los motivos del aplazamiento, la Dirección de Recursos Humanos revisará periódicamente su posición.

(11)Cuando se restrinjan los derechos de los interesados, la Dirección de Recursos Humanos evaluará, caso por caso, si la comunicación de la restricción compromete su finalidad.

(12)El Responsable de la Protección de Datos («RPD») del BEI podrá llevar a cabo una revisión independiente de la aplicación de las restricciones a fin de garantizar el cumplimiento de la presente Decisión.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

Contenido y ámbito de aplicación

1. La presente Decisión establece las normas que deberá cumplir el responsable del tratamiento de datos, según se define en el artículo 2, apartado 1, para informar a los interesados sobre el tratamiento de sus datos de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725.

Establece asimismo las condiciones en las que el responsable del tratamiento de datos pertinente podrá restringir la aplicación de los artículos 14 a 21 y 35, así como el artículo 4 del Reglamento, de conformidad con el artículo 25, apartado 1, letras c), g) y h) de dicho Reglamento.

2. La presente Decisión se aplica al tratamiento de datos personales por la Dirección de Recursos Humanos al objeto de o en relación con las actividades realizadas para desempeñar las funciones mencionadas en los artículos 40 y 41 de los Reglamentos del Personal I y II del BEI, así como en la Política en materia de dignidad en el trabajo del BEI y en las posteriores modificaciones de los mismos.

3. En el marco de su mandato, la Dirección de Recursos Humanos trata varias categorías de datos personales, en particular, datos de identificación, datos de contacto, datos profesionales y datos relacionados con los asuntos.

Artículo 2

Determinación del responsable del tratamiento y medidas de salvaguardia

1. El responsable del tratamiento de datos es la Directora General de Recursos Humanos.

2. Los datos personales se almacenan en un entorno electrónico y físico seguro que impide el acceso o la transferencia ilícita de datos a personas que no deban conocerlos.

3. Los datos personales tratados se conservan durante al menos seis meses a partir del punto de partida definido en el calendario de conservación. En el calendario de conservación de la Dirección de Recursos Humanos puede hallarse más información sobre la duración exacta de los períodos de conservación para cada procedimiento.

Artículo 3

Excepciones y restricciones aplicables

1. Cuando la Dirección de Recursos Humanos ejerza sus funciones con respecto a los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, considerará si debe aplicarse alguna de las excepciones establecidas en dicho Reglamento.

2. Con arreglo a los artículos 4 a 7 de la presente Decisión, la Dirección de Recursos Humanos podrá limitar la aplicación de los artículos 14 a 21 y 35 del Reglamento (UE) 2018/1725, así como de su artículo 4 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 22 de dicho Reglamento, cuando el ejercicio de esos derechos y obligaciones pudiera comprometer el objetivo de los procedimientos previstos en los artículos 40 y 41 de los Reglamentos del Personal I y II del BEI, así como de la Política en materia de dignidad en el trabajo del BEI o pudiera afectar negativamente a los derechos y libertades de otros titulares de datos.

3. Con arreglo a los artículos 4 a 7 de la presente Decisión, la Dirección de Recursos Humanos podrá limitar los derechos y obligaciones a que se refiere el apartado 2 del presente artículo en lo que respecta a los datos personales obtenidos de otras instituciones, organismos, agencias y oficinas de la Unión Europea, de autoridades competentes de los Estados miembros o de organizaciones internacionales, en las circunstancias siguientes:

a)cuando el ejercicio de esos derechos y obligaciones pueda ser restringido por otras instituciones, organismos, agencias y oficinas de la Unión Europea sobre la base de otros actos jurídicos contemplados en el artículo 25 del Reglamento, o de conformidad con el capítulo IX de dicho Reglamento;

b)cuando el ejercicio de esos derechos y obligaciones pueda ser restringido por las autoridades competentes de los Estados miembros sobre la base de los actos jurídicos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (2), o con arreglo a las medidas nacionales de transposición de los artículos 13, apartado 3; 15, apartado 3; o 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (3);

c)cuando el ejercicio de esos derechos y obligaciones pueda comprometer la cooperación de la Dirección de Recursos Humanos con terceros países y organizaciones internacionales en el desempeño de sus funciones.

Antes de aplicar las restricciones en las circunstancias mencionadas en las letras a) y b) del párrafo primero, la Dirección de Recursos Humanos consultará a las instituciones, organismos, oficinas, agencias de la Unión Europea pertinentes o a las autoridades competentes de los Estados miembros, a menos que esté claro para la Dirección de Recursos Humanos que la aplicación de la restricción está prevista en uno de los actos a que se hace referencia en dichas letras.

La letra c) del párrafo primero no se aplicará cuando sobre el interés de la Unión Europea en cooperar con terceros países u organizaciones internacionales prevalezca el interés o los derechos y libertades fundamentales de los interesados.

4. Los apartados 1, 2 y 3 se entenderán sin perjuicio de la aplicación de otras decisiones del BEI (4) por las que se establecen normas internas relativas a la comunicación de información a interesados y la restricción de ciertos derechos al amparo del artículo 25 del Reglamento (UE) 2018/1725.

Artículo 4

Comunicación de información a los titulares de los datos

1. La Dirección de Recursos Humanos publicará en la intranet del BEI anuncios de protección de datos en los que se informará a todos los titulares de los datos acerca de las actividades de tratamiento de sus datos personales, incluido un aviso general de protección de datos sobre las posibles restricciones de sus derechos. En la información se especificará qué derechos podrán limitarse, los motivos para la aplicación de dichas restricciones y su posible duración.

2. La Dirección de Recursos Humanos informará individualmente a los interesados que sean partes en un procedimiento, personas afectadas por un procedimiento o testigos, mediante un aviso específico de protección de datos, que incluirá información relativa a los derechos que podrían ser restringidos, los motivos de dichas restricciones y la posible duración de las mismas.

3. Cuando la Dirección de Recursos Humanos restrinja, total o parcialmente, la comunicación de información a los titulares de los datos a que se refiere el apartado 2, hará constar los motivos de la restricción, incluida una evaluación de la necesidad y la proporcionalidad de la restricción. Esta evaluación también documentará los riesgos para el procedimiento correspondiente y para los derechos y libertades de los interesados.

En particular, la anotación deberá indicar cómo la comunicación de información anularía el efecto de la restricción o restricciones aplicadas de conformidad con el artículo 3, apartados 2 y 3, o cómo podría afectar negativamente a los derechos y libertades de otros titulares de datos.

La anotación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Se pondrán a disposición del Supervisor Europeo de Protección de Datos (SEPD), previa solicitud.

4. La restricción a que se refiere el apartado 3 seguirá siendo de aplicación mientras los motivos que la justifican sigan siendo aplicables.

Cuando los motivos de la restricción dejen de ser aplicables, la Dirección de Recursos Humanos comunicará la información de que se trate y los motivos de la restricción al titular de los datos. Al mismo tiempo, la Dirección de Recursos Humanos informará al titular de los datos de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

La Dirección de Recursos Humanos revisará la aplicación de la restricción al menos cada seis meses desde la fecha de su adopción y al cierre del procedimiento en cuestión. Posteriormente, el responsable del tratamiento deberá supervisar cada seis meses la necesidad de mantener cualquier restricción.

Artículo 5

Derecho de acceso del interesado

1. Cuando la Dirección de Recursos Humanos restrinja, en su totalidad o en parte, el derecho de acceso a que se refiere el artículo 17 del Reglamento (UE) 2018/1725, deberá adoptar las medidas siguientes:

a)informará al interesado, en su respuesta a la solicitud de acceso, de la restricción aplicada, de los principales motivos de esta, de la duración de la restricción, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea;

b)consignará los motivos de la restricción, incluida una evaluación de la necesidad y proporcionalidad de la restricción; a tal efecto, la anotación deberá indicar cómo la comunicación de información y el ejercicio del derecho comprometería el objetivo del procedimiento correspondiente o anularía el efecto de las restricciones aplicadas de conformidad con el artículo 3, apartados 2 y 3, o cómo podría afectar negativamente a los derechos y libertades de otros titulares de datos.

La comunicación de la información mencionada en la letra a) podrá aplazarse, omitirse o denegarse con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) 2018/1725.

2. La anotación a que se refiere el apartado 2, párrafo primero, letra b) y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud. Será de aplicación el artículo 25, apartado 7, del Reglamento (UE) 2018/1725.

3. La restricción a que se refiere el apartado 1 seguirá siendo de aplicación mientras los motivos que la justifican sigan siendo aplicables.

Cuando los motivos de la restricción dejen de ser aplicables, la Dirección de Recursos Humanos comunicará la información de que se trate y los motivos de la restricción al titular de los datos. Al mismo tiempo, la Dirección de Recursos Humanos informará al titular de los datos de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

La Dirección de Recursos Humanos revisará la aplicación de la restricción al menos cada seis meses desde la fecha de su adopción y al cierre del procedimiento en cuestión. Posteriormente, el responsable del tratamiento deberá supervisar cada seis meses la necesidad de mantener cualquier restricción.

Artículo 6

Derecho de rectificación, supresión y limitación del tratamiento de datos

Cuando la Dirección de Recursos Humanos restrinja, total o parcialmente, la aplicación del derecho a la rectificación, el derecho a la supresión o el derecho a la limitación del tratamiento a que se refieren los artículos 18; 19, apartado 1, y 20, apartado 1, del Reglamento (UE) 2018/1725, adoptará las medidas contempladas en el artículo 5, apartados 2 y 3, de la presente Decisión.

Artículo 7

Comunicación de una violación de datos personales al interesado

Cuando la Dirección de Recursos Humanos limite la comunicación de una violación de datos personales al interesado a que se refiere el artículo 35 del Reglamento (UE) 2018/1725, deberá anotar y registrar los motivos de la restricción de conformidad con lo dispuesto en el artículo 4, apartado 3, de la presente Decisión. Será de aplicación el artículo 4, apartado 4, de la presente Decisión.

Artículo 8

Control del responsable de la protección de datos (RPD)

La Dirección de Recursos Humanos informará, sin dilaciones injustificadas, al RPD antes de restringir el ejercicio de los derechos de los interesados de conformidad con la presente Decisión. El RPD revisará el expediente y la evaluación de la necesidad y proporcionalidad de la restricción. La revisión del RPD estará documentada.

El RPD podrá solicitar por escrito a la Dirección de Recursos Humanos una revisión de la aplicación de las restricciones. La Dirección de Recursos Humanos informará por escrito al RPD sobre el resultado de la revisión solicitada.

Artículo 9

Entrada en vigor

La presente Decisión, aprobada por el Consejo de Administración del BEI el 9 de octubre de 2023, sustituye a la decisión del BEI por la que se establecen normas internas relativas al tratamiento de datos personales por la Dirección de Recursos Humanos del Banco Europeo de Inversiones en relación con la comunicación de información a los interesados y la restricción de algunos de sus derechos que fue aprobada por el Consejo de Administración del BEI el 26 de febrero de 2019. La presente decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Hecho en Luxemburgo, el 9 de octubre de 2023.

(1) DO L 295 de 21.11.2018, p. 39.

(2) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(3) Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).

(4) Como decisiones similares adoptadas por otras Direcciones del BEI.