Decisión del Banco Central Europeo 2007/279/CE, de 17 de abril de 2007 , por la que se adoptan normas complementarias sobre la protección de datos en el Banco Central Europeo (BCE/2007/1) (Diario Oficial L 116 de 4.5.2007, pp. 64-67).

EL COMITÉ EJECUTIVO DEL BANCO CENTRAL EUROPEO,

Visto el Tratado constitutivo de la Comunidad Europea y, en particular, su artículo 286,

Visto el Reglamento (CE) nº 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (1), y, en particular, su artículo 24, apartado 8,

Considerando lo siguiente:

(1) El Reglamento (CE) nº 45/2001 establece los principios y normas aplicables a todas las instituciones y organismos comunitarios en materia de protección de datos y dispone que cada institución u organismo comunitario nombre a un responsable de la protección de datos (en adelante, “RPD”).

(2) El artículo 24, apartado 8, del Reglamento (CE) nº 45/2001 dispone que cada institución u organismo comunitario adopte normas complementarias sobre el responsable de la protección de datos, con arreglo a lo dispuesto en el anexo de dicho Reglamento.

DECIDE:

SECCIÓN 1. DISPOSICIONES GENERALES

Artículo 1. Objeto y ámbito de aplicación

1. La presente Decisión establece las normas generales que complementan al Reglamento (CE) nº 45/2001 en lo que respecta al Banco Central Europeo (BCE). Concretamente, complementa al Reglamento (CE) nº 45/2001 en lo relativo al nombramiento y condición del RPD del BCE, así como a sus tareas, obligaciones y competencias.

2. La presente Decisión clarifica además las funciones, tareas y obligaciones de los responsables del tratamiento de datos y de los coordinadores de la protección de datos, y desarrolla las normas con arreglo a las cuales los interesados pueden ejercer sus derechos.

Artículo 2. Definiciones

A efectos de la presente Decisión, sin perjuicio de las definiciones del Reglamento (CE) nº 45/2001, se entenderá por:

a) “responsable del tratamiento de datos”: un jefe de una unidad organizativa que se encarga de determinar los fines y los medios del tratamiento de datos personales;

b) “coordinador de la protección de datos”: un empleado que ayuda al responsable del tratamiento de datos a cumplir sus obligaciones de protección de datos. Deberá ser especialista en archivo de documentos.

SECCIÓN 2. EL RESPONSABLE DE LA PROTECCION DE DATOS

Artículo 3. Nombramiento, condición y cuestiones de organización

1. El Comité Ejecutivo:

a) nombrará al RPD de entre empleados de nivel suficiente para desempeñar las funciones del artículo 24 del Reglamento (CE) nº 45/2001;

b) fijará el mandato del RPD, que será de entre dos y cinco años, y

c) comunicará el nombramiento al Supervisor Europeo de Protección de Datos (SEPD).

2. El Comité Ejecutivo velará por que el RPD pueda desempeñar sus tareas y cumplir sus obligaciones de manera independiente. Sin perjuicio de su independencia:

a) el RPD estará sujeto a las condiciones de contratación del BCE;

b) a efectos administrativos, el RPD será asignado a una de las dependencias del BCE, y

c) antes de evaluar la actuación del RPD en cuanto a sus tareas y obligaciones de RPD, los encargados de la evaluación consultarán con el SEPD.

3. El responsable del tratamiento de datos correspondiente velará por que el RPD sea informado sin demora de:

a) todo hecho que incida o pudiera incidir en la protección de datos, y

b) todo contacto exterior respecto de la aplicación del Reglamento (CE) nº 45/2001, especialmente toda relación con el SEPD.

4. El Comité Ejecutivo podrá nombrar a un RPD adjunto que estará sujeto a lo dispuesto en los apartados 1 y 2. El RPD adjunto ayudará al RPD a desempeñar sus tareas y cumplir sus obligaciones de RPD y lo suplirá cuando esté ausente.

5. Todo empleado que ayude al RPD en materia de protección de datos actuará exclusivamente con arreglo a las instrucciones del RPD.

Artículo 4. Tareas y obligaciones del responsable de la protección de datos

En el desempeño de las tareas que se especifican en el artículo 24 y el anexo del Reglamento (CE) nº 45/2001, el RPD cumplirá las obligaciones siguientes, tomando en consideración en caso necesario la información que le faciliten las distintas dependencias del BCE:

a) asesorar al Comité Ejecutivo, los responsables del tratamiento de datos y los coordinadores de la protección de datos, en lo relativo a la aplicación de las disposiciones sobre protección de datos en el BCE. El RPD podrá recibir consultas del Comité Ejecutivo, de cualquier responsable del tratamiento de datos afectado, del Comité de personal o de cualquier particular, sobre todo asunto relacionado con la interpretación o aplicación del Reglamento (CE) nº 45/2001;

b) investigar, por propia iniciativa o a solicitud del Comité Ejecutivo, de un responsable del tratamiento de datos, del Comité de personal o de cualquier particular, los asuntos e incidentes directamente relacionados con las tareas y obligaciones de RPD que lleguen a su conocimiento, e informar a la persona que haya solicitado la investigación. El RPD examinará las cuestiones y los hechos imparcialmente y con la consideración debida a los derechos del interesado. Si lo considera apropiado, informará a todas las demás partes afectadas. Si el solicitante es un particular o actúa en nombre de un particular, el RPD velará por que, en la medida de lo posible, se mantenga la confidencialidad de la solicitud, salvo que el interesado consienta inequívocamente en que la solicitud se trate de otro modo;

c) cooperar con los RPD de otras instituciones y organismos comunitarios, en particular intercambiando experiencias y compartiendo conocimientos técnicos y representando al BCE en todo debate, salvo en juicio, sobre cuestiones de protección de datos;

d) presentar al Comité Ejecutivo y al SEPD un programa de trabajo anual y un informe anual.

Artículo 5. Competencias del responsable de la protección de datos

El RPD podrá:

a) solicitar a cualquier dependencia del BCE un dictamen sobre cualquier cuestión relacionada con las tareas y obligaciones del RPD;

b) dictaminar sobre la legalidad de operaciones de tratamiento de datos en curso o en fase de propuesta, o sobre cualquier cuestión relativa a la notificación de operaciones de tratamiento de datos;

c) informar al Comité Ejecutivo de todo incumplimiento del Reglamento (CE) nº 45/2001 por parte de cualquier empleado, y

d) desempeñar las demás tareas que especifica el anexo del Reglamento (CE) nº 45/2001.

SECCIÓN 3. RESPONSABLES DEL TRATAMIENTO DE DATOS Y COORDINADORES DE LA PROTECCION DE DATOS

Artículo 6. Tareas y obligaciones de los responsables del tratamiento de datos y de los coordinadores de la protección de datos

1. Los responsables del tratamiento de datos velarán por que todas las operaciones de tratamiento de datos personales que se ejecuten en su esfera de responsabilidad cumplan el Reglamento (CE) nº 45/2001.

2. En el marco de su obligación de ayudar al RPD y al SEPD a desempeñar sus funciones, los responsables del tratamiento de datos les facilitarán información completa y acceso a los datos personales, y responderán a sus preguntas en los 20 días hábiles siguientes a su recepción.

3. Sin perjuicio de las responsabilidades de los responsables del tratamiento de datos:

a) los coordinadores de la protección de datos ayudarán a los responsables del tratamiento de datos a cumplir sus obligaciones, ya sea por propia iniciativa o a solicitud de los responsables del tratamiento de datos. En este contexto, los coordinadores de la protección de datos se coordinarán con el personal dependiente de los responsables del tratamiento de datos. Dicho personal les facilitará toda la información necesaria, que podrá incluir, si el responsable del tratamiento de datos correspondiente lo juzga conveniente, el acceso a datos personales tramitados bajo la responsabilidad de ese responsable del tratamiento de datos;

b) los coordinadores de la protección de datos ayudarán al RPD:

i) a determinar quién es el responsable del tratamiento de datos de una operación de tratamiento de datos personales determinada,

ii) a difundir el asesoramiento proporcionado por el RPD y a apoyar a los responsables del tratamiento de datos conforme a las orientaciones del RPD,

iii) en otros aspectos del programa de trabajo del RPD según acuerde el RPD con los superiores de los coordinadores.

Artículo 7. Procedimiento de notificación

1. Antes de iniciar una operación de tratamiento de datos personales, el responsable del tratamiento de datos correspondiente lo notificará al RPD mediante la interfaz en línea accesible desde la dirección del RPD en la intranet del BCE. Toda operación de tratamiento de datos sujeta a control previo con arreglo al artículo 27, apartado 3, del Reglamento (CE) nº 45/2001 se notificará con suficiente antelación antes de iniciarse, a fin de que pueda someterse al control previo del SEPD.

2. Los responsables del tratamiento de datos informarán sin demora al RPD de todo cambio de la información contenida en una notificación ya efectuada al RPD.

SECCIÓN 4. DERECHOS DEL INTERESADO

Artículo 8. Registro

El registro que en virtud del artículo 26 del Reglamento (CE) nº 45/2001 debe llevar el RPD servirá de relación de todas las operaciones de tratamiento de datos personales efectuadas en el BCE. Los interesados podrán usar la información contenida en el registro para ejercer los derechos que les otorgan los artículos 13 a 19 del Reglamento (CE) nº 45/2001.

Artículo 9. Ejercicio de los derechos de los interesados

1. Además de su derecho de ser debidamente informados de toda operación de tratamiento de sus datos personales, los interesados podrán dirigirse al responsable del tratamiento de datos correspondiente a fin de ejercer los derechos que les otorgan los artículos 13 a 19 del Reglamento (CE) nº 45/2001 en la forma siguiente:

a) estos derechos solo podrán ejercerlos el interesado o su representante debidamente autorizado, los cuales podrán ejercer cualquiera de estos derechos gratuitamente;

b) las solicitudes de ejercicio de estos derechos se dirigirán por escrito al responsable del tratamiento de datos correspondiente. Este solamente admitirá la solicitud si se ha verificado debidamente la identidad del solicitante y, en su caso, su poder de representación del interesado. El responsable del tratamiento de datos informará sin demora y por escrito al interesado de si acepta o rechaza su solicitud. El rechazo de la solicitud incluirá los motivos en los que se basa;

c) en cualquier momento dentro del plazo de tres meses naturales desde la recepción de la solicitud, el responsable del tratamiento de datos dará al interesado el acceso que se establece en el artículo 13 del Reglamento (CE) nº 45/2001, permitiéndole que consulte los datos in situ o mediante recepción de copia, según prefiera el solicitante;

d) los interesados podrán dirigirse al RPD cuando el responsable del tratamiento de datos no respete los plazos establecidos en las letras b) o c). En caso de que un interesado ejerza sus derechos de manera manifiestamente abusiva, el responsable del tratamiento de datos podrá remitir a ese interesado al RPD, en cuyo caso el RPD decidirá sobre el fundamento de la solicitud y las medidas que corresponda adoptar. En caso de desacuerdo entre un interesado y el responsable del tratamiento de datos, ambos tendrán derecho a consultar al RPD.

2. Todo empleado del BCE podrá consultar al RPD antes de presentar una reclamación ante el SEPD conforme a lo dispuesto en el artículo 33 del Reglamento (CE) nº 45/2001.

Artículo 10. Excepciones y limitaciones

1. Previa consulta al RPD, el responsable del tratamiento de datos podrá limitar los derechos incluidos en los artículos 13 a 17 del Reglamento (CE) nº 45/2001 por las causas y con las condiciones establecidas en el artículo 20 de dicho Reglamento.

2. Todo afectado podrá pedir al SEPD que aplique el artículo 47, apartado 1, letra c), del Reglamento (CE) nº 45/2001.

Artículo 11. Procedimiento de investigación

1. Toda solicitud de investigación al amparo del artículo 4, letra b), de la presente Decisión se dirigirá al RPD por escrito.

2. El RPD acusará recibo de la solicitud en los 20 días hábiles siguientes a su recepción.

3. El RPD podrá investigar el asunto in situ y solicitar del responsable del tratamiento de datos un informe escrito. El responsable del tratamiento de datos responderá a la solicitud del RPD en los 20 días hábiles siguientes a su recepción. El RPD podrá solicitar información o ayuda complementarias de cualquier dependencia del BCE, que la facilitará en los 20 días hábiles siguientes a la recepción de la solicitud.

4. El RPD informará de la investigación al solicitante en los tres meses naturales siguientes a la recepción de la solicitud.

Artículo 12. Recursos

Los interesados que sean empleados del BCE tendrán a su disposición, además de los recursos establecidos en el artículo 32 del Reglamento (CE) nº 45/2001, disponibles para todo interesado, los recursos establecidos en las condiciones de contratación del BCE.

SECCIÓN 5. ENTRADA EN VIGOR

Artículo 13. Disposición final

La presente Decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.

Hecho en Fráncfort del Meno, el 17 de abril de 2007.

El Presidente del BCE

Jean-Claude Trichet

————————————————————————————————-

(1) DO L 8 de 12.1.2001, p. 1.