(1)

A AEPD pode, no contexto do seu funcionamento, conduzir inquéritos administrativos, processos pré-disciplinares, disciplinares e de suspensão, com base no artigo 86.o do Estatuto dos Funcionários da União Europeia (2) e em conformidade com o seu anexo IX, bem como com a Decisão da AEPD, de 23 de abril de 2015, que adota disposições de execução relativas à condução dos inquéritos administrativos e dos processos disciplinares, bem como o Acordo de Nível de Serviço relativo à colaboração entre a DG HR da Comissão Europeia e a AEPD, assinado em 29/1/2016, e pode notificar os casos ao IDOC ou ao OLAF, o que implica o tratamento de informações incluindo dados pessoais.

(2)

Os membros do pessoal da AEPD têm a obrigação de comunicar eventuais atividades ilegais, incluindo fraude ou corrupção, lesivas dos interesses da União, ou atos relacionados com o exercício de atividades profissionais que possam constituir um grave incumprimento das obrigações do funcionário da União. Esta obrigação é regulada pela Decisão da AEPD sobre as regras internas em matéria de denúncia de irregularidades, de 14 de junho de 2016.

(3)

A AEPD estabeleceu uma política para prevenir e lidar de forma eficaz e eficiente com casos reais ou potenciais de assédio moral ou sexual no local de trabalho, tal como previsto na sua Decisão de 10 de dezembro de 2014 que adota medidas de execução relativas aos artigos 12.o-A e 24.o do Estatuto dos Funcionários relativos ao procedimento contra o assédio. A Decisão estabelece um procedimento informal em que a alegada vítima do assédio pode contactar conselheiros confidenciais da AEPD.

(4)

A AEPD, nos termos do artigo 57.o, n.o 1, alínea e) do Regulamento, trata as reclamações relativas a atividades de tratamento realizadas pelas instituições, órgãos e organismos europeus. Neste contexto, a AEPD pode proceder a investigações sobre o objeto da reclamação.

(5)

A AEPD, nos termos do artigo 57.o, n.o 1, alínea f), do Regulamento, conduz investigações sobre a aplicação do Regulamento, a fim de verificar a conformidade das instituições, órgãos e organismos da UE.

(6)

A AEPD pode conduzir investigações sobre eventuais infrações de informações classificadas da UE (ICUE), com base na Decisão da AEPD, de 18 de fevereiro de 2014, que altera as suas regras em matéria de segurança das ICUE.

(7)

A AEPD pode realizar auditorias às suas atividades. Tal é atualmente realizado através do Serviço de Auditoria Interna da Comissão Europeia (SAI), com base no Acordo de Nível de Serviço assinado em 1 de junho de 2012, tal como renovado. Pode também ser realizado pelo coordenador de controlo interno na sua plena capacidade.

(8)

No contexto das tarefas descritas nos considerandos 1 a 7, a AEPD pode prestar e receber assistência e cooperação a e de outras instituições, órgãos e organismos da União, tal como estabelecido nos acordos de serviço, nos memorandos de entendimento e nos acordos de cooperação relevantes.

(9)

A AEPD pode prestar e receber assistência e cooperação a e de autoridades nacionais e organizações internacionais de países terceiros, a pedido destas ou por sua própria iniciativa, tal como previsto no artigo 51.o do Regulamento.

(10)

A AEPD pode prestar e receber assistência e cooperação às e das autoridades públicas dos Estados-Membros da UE, a pedido destas ou por sua própria iniciativa.

(11)

Com base no artigo 58.o, n.o 4, do Regulamento, a AEPD pode intervir em processos judiciais intentados junto do Tribunal de Justiça da União Europeia, quer para submeter questões à apreciação do Tribunal, defender decisões contestadas da AEPD, ou intervir em casos relevantes para as suas funções.

(12)

No contexto das atividades acima referidas, a AEPD recolhe e trata informações relevantes e diversas categorias de dados pessoais, incluindo os dados de identificação de uma pessoa singular, os dados de contacto, as funções e tarefas profissionais, as informações sobre conduta e desempenho privados e profissionais e os dados financeiros. A AEPD atua como responsável pelo tratamento dos dados.

(13)

Existem salvaguardas adequadas para proteger os dados pessoais e evitar o seu acesso acidental ou ilegal, ou a sua transferência, se forem armazenados num ambiente físico ou eletrónico. Após o tratamento, os dados são conservados em conformidade com as regras de conservação aplicáveis da AEPD, tal como definidas nos registos de proteção de dados com base no artigo 31.o do Regulamento. No final do período de retenção, as informações relacionadas com o caso, incluindo dados pessoais, são apagadas, anonimizadas ou transferidas para os arquivos históricos.

(14)

Neste contexto, a AEPD é obrigada a cumprir a sua obrigação de informar os titulares dos dados sobre as atividades de tratamento supramencionadas e de respeitar os direitos das pessoas em causa, tal como previsto no Regulamento.

(15)

Pode ser necessário conciliar os direitos dos titulares de dados nos termos do Regulamento com as necessidades das atividades acima referidas, no pleno respeito pelos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o do Regulamento prevê, sob condições estritas, a possibilidade de limitar a aplicação dos artigos 14.o a 20.o, 35.o e 36.o, bem como do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 20.o. Neste caso, é necessário adotar regras internas no âmbito das quais a AEPD pode limitar esses direitos em conformidade com o mesmo artigo do Regulamento.

(16)

Tal poderá ser o caso, em especial, do fornecimento de informações sobre o tratamento de dados pessoais ao titular dos dados durante a fase de avaliação preliminar de um inquérito administrativo ou durante o próprio inquérito, antes de um eventual arquivamento do processo ou de uma fase pré-disciplinar. Em determinadas circunstâncias, a prestação dessas informações pode afetar seriamente a capacidade da AEPD para realizar o inquérito de forma eficaz, sempre que, por exemplo, exista o risco de a pessoa em causa destruir provas ou interferir com potenciais testemunhas antes de serem entrevistadas. Além disso, a AEPD poderá ter de proteger os seus direitos e liberdades, bem como os direitos e as liberdades das outras pessoas envolvidas.

(17)

Poderá ser necessário proteger a confidencialidade de uma testemunha ou de um denunciante que não tenha solicitado a sua identificação. Nesse caso, a AEPD pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais do denunciante e de outras pessoas envolvidas, a fim de proteger os seus direitos e liberdades.

(18)

Poderá ser necessário proteger a confidencialidade de um membro do pessoal que tenha contactado os conselheiros confidenciais da AEPD no contexto de um procedimento de assédio. Nesse caso, a AEPD pode decidir limitar o acesso à identidade, às declarações e a outros dados pessoais da alegada vítima, do alegado autor do assédio e de outras pessoas envolvidas, a fim de proteger os seus direitos e liberdades.

(19)

No tratamento das reclamações a atividades de tratamento realizadas pelas instituições, órgãos e organismos europeus, a AEPD poderá, em determinadas circunstâncias, ter de preservar a eficácia dos seus inquéritos e proteger, na medida do necessário, as pessoas envolvidas e os seus direitos e liberdades.

(20)

Ao realizar investigações sobre a aplicação do Regulamento, a fim de verificar a conformidade das instituições, órgãos e organismos da UE com o Regulamento, a AEPD, em determinadas circunstâncias, poderá ter de preservar a eficácia dos seus inquéritos e proteger, se necessário, as pessoas envolvidas e os seus direitos e liberdades.

(21)

Ao realizar investigações sobre eventuais infrações de informações classificadas da UE, a AEPD, em determinadas circunstâncias, poderá ter de preservar a eficácia dos seus inquéritos e proteger, se necessário, a segurança interna das instituições, órgãos e organismos da União, incluindo das suas redes de comunicações eletrónicas, bem como os direitos e liberdades dos titulares dos dados envolvidos.

(22)

Ao prestar ou receber assistência e cooperação a e de outras instituições, órgãos e organismos da União, autoridades públicas dos Estados-Membros da UE, autoridades nacionais e organizações internacionais de países terceiros no contexto das atividades acima referidas, a AEPD poderá, em determinadas circunstâncias, ter de preservar a eficácia dos seus inquéritos ou dos realizados pela entidade que coopera com as mesmas e proteger, se necessário, as pessoas envolvidas e os seus direitos e liberdades.

(23)

Ao submeter questões ou intervir perante o Tribunal de Justiça da União Europeia, a AEPD poderá ter de preservar a confidencialidade dos dados pessoais contidos nos documentos obtidos pelas partes ou pelos intervenientes no âmbito do processo em causa.

(24)

A AEPD só deve aplicar limitações quando respeitem a essência dos direitos e liberdades fundamentais e sejam estritamente necessárias e uma medida proporcionada numa sociedade democrática. A AEPD deve apresentar justificações que expliquem os motivos dessas limitações.

(25)

Com base no princípio da responsabilização, a AEPD deve manter um registo da aplicação das limitações.

(26)

Ao proceder ao intercâmbio de dados pessoais com outras organizações no âmbito das suas funções, a AEPD deve consultar e ser consultada por essas organizações sobre os eventuais motivos relevantes para a imposição de limitações e a necessidade e proporcionalidade das limitações, a menos que tal ponha em perigo as atividades da AEPD.

(27)

O artigo 25.o, n.o 6, do Regulamento (UE) 2018/1725 obriga o responsável pelo tratamento a informar os titulares dos dados dos principais motivos de aplicação da limitação e do seu direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados;

(28)

Nos termos do artigo 25.o, n.o 8, do Regulamento, a AEPD pode diferir, omitir ou recusar a prestação de informações sobre os motivos para a aplicação de uma limitação ao titular dos dados, caso tal seja suscetível de anular o efeito da limitação. A AEPD deve avaliar caso a caso se a comunicação da limitação anularia o seu efeito.

(29)

A AEPD deve levantar a limitação logo que as condições que justificam a limitação deixem de ser aplicáveis e avaliar essas condições numa base regular.

(30)

A fim de garantir a máxima proteção dos direitos e liberdades dos titulares dos dados e em conformidade com o artigo 44.o, n.o 1, do Regulamento, o responsável pela proteção de dados (RPD) deve ser informado em tempo útil de quaisquer limitações que estejam a ser aplicadas e verificar o cumprimento da presente Decisão.

(31)

A aplicação das limitações acima referidas não prejudica a eventual aplicação do disposto no artigo 16.o, n.o 5, e no artigo 17.o n.o 4, relativos, respetivamente, ao direito de informação quando os dados não tenham sido obtidos junto da pessoa em causa e ao direito de acesso do titular dos dados.