4.5.2007

PT

Jornal Oficial da União Europeia

L 116/64

---

DECISÃO DO BANCO CENTRAL EUROPEU

de 17 de Abril de 2007

que aprova disposições de aplicação relativas à protecção de dados no Banco Central Europeu

(BCE/2007/1)

(2007/279/CE)

A COMISSÃO EXECUTIVA DO BANCO CENTRAL EUROPEU,

Tendo em conta o Tratado que institui a Comunidade Europeia, nomeadamente o seu artigo 286.o,

Tendo em conta o Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de Dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (1), nomeadamente o n.o 8 do seu artigo 24.o,

Considerando o seguinte:

(1)	O Regulamento (CE) n.o 45/2001 define os princípios e as regras aplicáveis a todas as instituições e órgãos comunitários e prevê a designação, por cada instituição e órgão comunitário, de um encarregado da protecção de dados (EPD).

(2)	Em conformidade com o n.o 8 do artigo 24.o do Regulamento (CE) n.o 45/2001, as instituições ou órgãos comunitários adoptarão regras de execução complementares relativas ao EPD nos termos do anexo do referido regulamento,

DECIDE:

SECÇÃO 1

DISPOSIÇÕES GERAIS

Artigo 1.o

Objecto e âmbito de aplicação

1.   A presente decisão estabelece as regras gerais de aplicação do Regulamento (CE) n.o 45/2001 no que respeita ao Banco Central Europeu (BCE) e completando, em particular, as disposições do Regulamento (CE) n.o 45/2001 no que respeita à nomeação e estatuto do EPD, bem como às respectivas atribuições, deveres e competências.

2.   A presente decisão clarifica igualmente o papel, atribuições e deveres dos responsáveis pelo tratamento de dados e dos coordenadores da protecção de dados, e dá aplicação às disposições que permitem aos interessados a quem os dados respeitam exercerem os seus direitos.

Artigo 2.o

Definições

Para os efeitos da presente decisão, e sem prejuízo das definições contidas no Regulamento (CE) n.o 45/2001, entende-se por:

a)	«Responsável pelo tratamento de dados»: um gestor responsável por uma unidade organizacional que determina a finalidade e os meios do tratamento dos dados pessoais;

b)	«Coordenador da protecção de dados»: um membro do pessoal que coadjuva o responsável pelo tratamento de dados no cumprimento das suas obrigações de protecção de dados. O coordenador da protecção de dados deverá ser especialista em gestão de registos.

SECÇÃO 2

ENCARREGADO DA PROTECÇÃO DE DADOS

Artigo 3.o

Nomeação, estatuto e questões organizativas

1.   A Comissão Executiva deverá:

a)	Nomear o EPD de entre pessoal do BCE de nível hierárquico suficientemente elevado para cumprir os requisitos estabelecidos no artigo 24.o do Regulamento (CE) n.o 45/2001;

b)	Fixar a duração do mandato do EPD entre dois e cinco anos; e

c)	Registar o EPD junto da Autoridade Europeia para a Protecção de Dados (AEPD).

2.   A Comissão Executiva deverá garantir a independência do EPD no desempenho das respectivas atribuições e deveres. Sem prejuízo dessa independência:

a)	O EPD estará sujeito às condições de emprego do BCE;

b)	Para fins administrativos, o EPD será integrado numa das áreas de negócio do BCE; e

c)	Os avaliadores do EPD devem consultar a AEPD antes de avaliarem o desempenho das atribuições e deveres do EPD.

3.   O responsável pelo tratamento de dados em causa deverá garantir que o EPD é imediatamente informado:

a)	Sempre que surgir uma questão que tenha ou possa ter implicações no domínio da protecção de dados; e

b)	De todos os contactos com terceiros, relacionados com a aplicação do Regulamento (CE) n.o 45/2001, designadamente no que diz respeito a qualquer interacção com a AEPD.

4.   A Comissão Executiva pode nomear um EPD adjunto, ao qual se aplicará o disposto nos n.os 1 e 2. O EPD adjunto coadjuvará o EPD no exercício das suas funções e substituí-lo-á na sua ausência.

5.   Qualquer membro do pessoal que preste apoio ao EPD em assuntos relacionados com a protecção de dados actuará unicamente sob as instruções do EPD.

Artigo 4.o

Atribuições e deveres do encarregado da protecção de dados

Na prossecução das atribuições especificadas no artigo 24.o e no anexo do Regulamento (CE) n.o 45/2001, o EPD deverá exercer as seguintes funções, tendo em conta as contribuições das pertinentes áreas de negócio do BCE sempre que for necessário:

a)

Aconselhar a Comissão Executiva, os responsáveis pelo tratamento de dados e os coordenadores da protecção de dados sobre questões respeitantes à aplicação de disposições referentes à protecção de dados no BCE. O EPD pode ser consultado pela Comissão Executiva, por um responsável pelo tratamento de dados, pelo Comité do Pessoal ou por qualquer pessoa singular sobre qualquer questão relativa à interpretação ou aplicação do Regulamento (CE) n.o 45/2001;

b)

Por iniciativa própria do EPD ou a pedido da Comissão Executiva, de um responsável pelo tratamento de dados, do Comité do Pessoal ou de qualquer pessoa singular, investigar questões e factos directamente relacionados com as suas funções de que tenha tido conhecimento, e apresentar relatório à pessoa que pediu a investigação. O EPD examinará as questões e os factos com imparcialidade e o devido respeito pelo direitos das pessoas interessadas. Se assim o entender, o EPD informará todas as outras partes interessadas. Se o requerente for uma pessoa singular ou actuar por conta de uma pessoa singular, o EPD deve, na medida do possível, garantir a confidencialidade do pedido, a não ser que a pessoa interessada dê o seu consentimento, de forma inequívoca, para que o pedido seja tratado de outra maneira;

c)	Cooperar com os EPD de outras instituições e órgãos comunitários, nomeadamente através do intercâmbio de experiências e da partilha de conhecimentos e representar o BCE em todos os debates — excepto processos judiciais — relacionados com questões respeitantes à protecção de dados; e

d)	Apresentar um programa de trabalho e um relatório anuais sobre as actividades do EPD à Comissão Executiva e à AEPD.

Artigo 5.o

Competências do encarregado da protecção de dados

O EPD pode:

a)	Pedir parecer a qualquer área de negócio do BCE sobre qualquer questão relacionada com as atribuições e deveres do EPD;

b)	Dar parecer sobre a licitude das operações de tratamento, em curso ou previstas, ou sobre qualquer questão ligada à notificação das operações de tratamento de dados;

c)	Chamar a atenção da Comissão Executiva para qualquer incumprimento das obrigações decorrentes do Regulamento (CE) n.o 45/2001 por parte de um membro do pessoal; e

d)	Desempenhar quaisquer outras atribuições enunciadas no anexo do Regulamento (CE) n.o 45/2001.

SECÇÃO 3

RESPONSÁVEIS E COORDENADORES DA PROTECÇÃO DE DADOS

Artigo 6.o

Atribuições e deveres dos responsáveis e dos coordenadores da protecção de dados

1.   Os responsáveis pelo tratamento de dados devem assegurar que todas as operações envolvendo dados pessoais realizadas sob a sua responsabilidade estão conformes com o disposto no Regulamento (CE) n.o 45/2001.

2.   No desempenho da sua obrigação de coadjuvar o EPD e a AEPD no exercício das respectivas funções, os responsáveis pelo tratamento devem fornecer-lhes informações completas, facultar acesso a dados pessoais e responder a questões no prazo de 20 dias úteis a contar da data de recepção do pedido.

3.   Sem prejuízo das responsabilidades dos responsáveis pelo tratamento de dados:

a)

Os coordenadores da protecção de dados coadjuvarão os responsáveis pelo tratamento de dados no cumprimento das suas obrigações, quer a pedido dos últimos, quer por iniciativa própria. Para isso, os coordenadores da protecção de dados estabelecerão contacto com o pessoal dos responsáveis pelo tratamento de dados, os quais devem fornecer-lhes todas as informações necessárias. Isso pode incluir o acesso a dados pessoais tratados sob a responsabilidade desse responsável pelo tratamento de dados em causa, a opção deste;

b)

Os coordenadores da protecção de dados auxiliarão o EPD a: i) identificar os competentes responsáveis pelo tratamento de dados pessoais; ii) difundir os conselhos do EPD e dar apoio aos responsáveis pelo tratamento de dados de acordo com as orientações do EPD; e iii) prestarão assistência noutros aspectos do programa de trabalho do EPD consoante o acordado entre o EPD e os superiores hierárquicos do coordenador.

Artigo 7.o

Processo de notificação

1.   Antes de iniciar novas operações de tratamento respeitantes a dados pessoais, o responsável pelo tratamento em causa notificá-las-á ao EPD, utilizando a interface em linha acessível através do sítio do EPD na intranet do BCE. As operações de tratamento de dados sujeitas a controlo prévio nos termos do n.o 3 do artigo 27.o do Regulamento (CE) n.o 45/2001 serão notificadas com antecedência suficiente do seu início para permitir o controlo prévio pela AEPD.

2.   Os responsáveis pelo tratamento devem informar imediatamente o EPD de qualquer alteração que afecte as informações constantes de notificação já apresentada ao EPD.

SECÇÃO 4

DIREITOS DAS PESSOAS INTERESSADAS

Artigo 8.o

Registo

O registo mantido pelo EPD nos termos do artigo 26.o do Regulamento (CE) n.o 45/2001 serve de índice de todas as operações de tratamento de dados pessoais efectuadas no BCE. No exercício dos direitos que lhes são conferidos pelos artigos 13.o a 19.o do Regulamento (CE) n.o 45/2001, as pessoas interessadas podem fazer uso das informações constantes desse registo.

Artigo 9.o

Exercício dos direitos das pessoas interessadas

1.   Para além do direito de ser adequadamente informado sobre qualquer tratamento dos seus dados pessoais, as pessoas interessadas podem dirigir-se ao responsável pelo tratamento de dados para exercer os seus direitos nos termos dos artigos 13.o a 19.o do Regulamento (CE) n.o 45/2001, tal como especificado a seguir:

a)	Os referidos direitos só podem ser exercidos pela pessoa interessada ou por um seu representante devidamente mandatado. O exercício dos direitos é gratuito para as referidas pessoas;

b)

Os pedidos de exercício de direitos devem ser transmitidos por escrito ao competente responsável pelo tratamento de dados. Este só aceitará o pedido se a identidade do requerente e, se for caso disso, a legitimidade do seu mandato de representação, tiver(em) sido devidamente verificada(s). O responsável pelo tratamento de dados comunicará imediatamente por escrito à pessoa interessada se o pedido foi ou não deferido. Se o pedido tiver sido indeferido, o responsável pelo tratamento de dados deve indicar os fundamentos do indeferimento;

c)

O responsável pelo tratamento de dados deve, a qualquer momento no prazo de três meses de calendário a contar da data de recepção do pedido, conceder o acesso previsto no artigo 13.o do Regulamento (CE) n.o 45/2001, permitindo à pessoa interessada consultar estes dados no local ou receber uma cópia dos mesmos, consoante a preferência do requerente;

d)

As pessoas interessadas podem contactar o EPD no caso de o responsável pelo tratamento de dados não respeitar os prazos previstos nas alíneas b) ou c). No caso de abuso manifesto no exercício dos seus direitos por parte da pessoa interessada, o responsável pelo tratamento de dados pode remeter a pessoa em causa para o EPD o qual, neste caso, decidirá quanto ao mérito do pedido e ao seguimento adequado a dar-lhe. No caso de desacordo entre a pessoa interessada e o responsável pelo tratamento de dados, ambas as partes terão o direito de consultar o EPD.

2.   Os membros do pessoal do BCE podem consultar o EPD antes de apresentarem uma reclamação à AEPD nos termos do artigo 33.o do Regulamento (CE) n.o 45/2001.

Artigo 10.o

Excepções e restrições

1.   Contanto que o EPD tenha sido previamente consultado, o responsável pelo tratamento de dados pode restringir os direitos previstos nos artigos 13.o a 17.o do Regulamento (CE) n.o 45/2001 pelos motivos referidos e nas condições estabelecidas no artigo 20.o do Regulamento (CE) n.o 45/2001.

2.   Qualquer pessoa afectada pode solicitar à AEPD a aplicação do disposto na alínea c) do n.o 1 do artigo 47.o do Regulamento (CE) n.o 45/2001.

Artigo 11.o

Procedimento de investigação

1.   Os pedidos de investigação ao abrigo da alínea b) do artigo 4.o devem ser apresentados por escrito ao EPD.

2.   O EPD deve enviar um aviso de recepção ao requerente no prazo de 20 dias úteis após a recepção do pedido.

3.   O EPD pode investigar a questão no local e pedir ao responsável pelo tratamento de dados uma declaração por escrito sobre a questão. O responsável pelo tratamento de dados deve dar a sua resposta ao EPD no prazo de 20 dias úteis a contar da data de recepção do pedido do EPD. O EPD pode solicitar informações complementares ou assistência a qualquer área de negócio do BCE. Esta deve prestar as referidas informações complementares ou a assistência no prazo de 20 dias úteis a contar da data de recepção do pedido do EPD.

4.   O EPD deverá apresentar relatório ao requerente no prazo de três meses de calendário a contar da data de recepção do pedido.

Artigo 12.o

Recursos

Para além dos recursos estabelecidos no artigo 32.o do Regulamento (CE) n.o 45/2001, a que podem ter acesso todas as pessoas interessadas, os recursos hierárquicos estabelecidos nas Condições de Emprego do BCE estarão acessíveis a todas as pessoas interessadas que sejam membros do pessoal do BCE.

SECÇÃO 5

ENTRADA EM VIGOR

Artigo 13.o

Disposição final

A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

---

(1)  JO L 8 de 12.1.2001, p. 1.

---