Decisión (UE) 2018/1927 de la Comisión, de 5 de diciembre de 2018, por la que se establecen las normas internas sobre el tratamiento de datos personales por la Comisión Europea en el ámbito de la competencia en relación con la comunicación de información a los interesados y la limitación de determinados derechos

1 La presente Decisión establece las normas que deberá seguir la Comisión para informar a los interesados sobre el tratamiento de sus datos, de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, en el marco de sus actividades en el ámbito de la competencia. Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con su artículo 25.

2 La presente Decisión se aplica al tratamiento de datos personales por parte de la Comisión a efectos de o en relación con las actividades llevadas a cabo para cumplir sus tareas de conformidad con los artículos 101 a 109 del Tratado.

1 Cuando la Comisión ejerza sus funciones con respecto a los derechos de los interesados en virtud del Reglamento (UE) 2018/1725 deberá plantearse si es aplicable alguna de las excepciones establecidas por dicho Reglamento.

2 Con sujeción a los artículos 3 a 7 de la presente Decisión, la Comisión podrá restringir la aplicación de los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, así como el principio de transparencia establecido en el artículo 4, apartado 1, letra a), en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones ponga en peligro el objetivo de las actividades de investigación y ejecución de la Comisión, incluso revelando sus herramientas y métodos de investigación, o pueda afectar negativamente a los derechos y libertades de otros interesados.

3 Con sujeción a los artículos 3 a 7, la Comisión podrá limitar los derechos y obligaciones a que se refiere el apartado 2 del presente artículo en lo que respecta a los datos personales obtenidos de otras instituciones, órganos y organismos de la Unión, autoridades competentes de los Estados miembros, de terceros países o de organizaciones internacionales, en las siguientes circunstancias: a) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones podría verse limitado por otras instituciones, órganos y organismos de la Unión, sobre la base de otros actos previstos en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento, o de conformidad con el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo o con el Reglamento (UE) 2017/1939 del Consejo ; b) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones podría verse limitado por parte de las autoridades competentes de los Estados miembros sobre la base de los actos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo , o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3, del artículo 15, apartado 3, o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo ; c) cuando el ejercicio de esos derechos y obligaciones podría poner en peligro la cooperación de la Comisión con terceros países u organizaciones internacionales en la realización de investigaciones en materia de competencia o en la ejecución de decisiones en materia de competencia. Antes de la aplicación de limitaciones en las circunstancias mencionadas en las letras a) y b) del párrafo primero, la Comisión deberá consultar a las instituciones, órganos y organismos de la Unión pertinentes o a las autoridades competentes de los Estados miembros, a menos que para la Comisión resulte evidente que está prevista la aplicación de una limitación por uno de los actos a que se hace referencia en dichos puntos. La letra c) del párrafo primero no se aplicará cuando el interés de la Comisión en cooperar con los terceros países o con la organización internacional no prevalezca sobre los intereses o los derechos y libertades fundamentales de los interesados.

4 Los apartados 1, 2 y 3 se entienden sin perjuicio de la aplicación de otras decisiones de la Comisión por las que se establecen normas internas sobre la comunicación de información a los interesados y la limitación de determinados derechos en virtud del artículo 25 del Reglamento (UE) 2018/1725 y del artículo 23 del Reglamento interno de la Comisión.

1 La Comisión publicará en su sitio web anuncios de protección de datos que informarán a todos los interesados de sus actividades que impliquen tratamiento de sus datos personales.

2 Sin perjuicio de los artículos 14, apartado 5, y 16, apartado 5, del Reglamento (UE) 2018/1725, en caso de que la Comisión restrinja, total o parcialmente, la comunicación de información a los interesados, cuyos datos se traten para fines de investigación o ejecución relacionadas con la competencia (incluidas actividades operativas conexas) deberá guardar y registrar los motivos de la limitación de conformidad con lo dispuesto en el artículo 6.

1 Cuando la Comisión restrinja, total o parcialmente, el derecho de acceso a los datos por parte de los interesados, el derecho de supresión, o el derecho a la limitación del tratamiento contemplados en los artículos 17, 19 y 20, respectivamente, del Reglamento (UE) 2018/1725, informará al interesado, en su respuesta a la petición de acceso, supresión o limitación del tratamiento, de la limitación aplicada y de las principales razones de la misma, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer recurso judicial ante el Tribunal de Justicia de la Unión Europea.

2 La comunicación de información sobre los motivos de la limitación contemplada en el apartado 1 podrá omitirse en la medida en que ponga en peligro el objetivo de la limitación.

3 La Comisión guardará y registrará los motivos de la limitación conforme a lo dispuesto en el artículo 6.

4 Cuando el derecho de acceso se limite total o parcialmente, el interesado ejercerá su derecho de acceso a través de la mediación del Supervisor Europeo de Protección de Datos, de conformidad con los apartados 6, 7 y 8 del artículo 25 del Reglamento (UE) 2018/1725.

Cuando la Comisión restrinja la comunicación de una violación de la seguridad de los datos personales al interesado, a que se refiere el artículo 35 del Reglamento (UE) 2018/1725, deberá guardar y registrar los motivos de limitación conforme a lo dispuesto en el artículo 6 de la presente Decisión.

1 La Comisión deberá consignar los motivos de cualquier limitación aplicada con arreglo a la presente Decisión, incluida una evaluación de la necesidad y proporcionalidad de la limitación.

2 Para ello, la consignación deberá indicar de qué modo el ejercicio del derecho pondría en peligro el objetivo de las actividades de investigación y ejecución de la Comisión, o de las limitaciones aplicadas de conformidad con el artículo 2, apartados 2 o 3, o podría afectar negativamente a los derechos y libertades de otros interesados.

3 Se registrarán la consignación y, en su caso, los documentos que contengan los elementos de hecho y de Derecho subyacentes. Se pondrán a disposición del Supervisor Europeo de Protección de Datos previa solicitud.

1 Las limitaciones contempladas en los artículos 3, 4 y 5 seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen.

2 Cuando dejen de ser aplicables las razones que justifiquen una limitación prevista en los artículos 3 o 5, la Comisión suspenderá la limitación y comunicará las razones de la limitación al interesado. Al mismo tiempo, la Comisión informará al interesado sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

3 La Comisión revisará la aplicación de las limitaciones a que se refieren los artículos 3 y 5 cada año y al cierre de la investigación en cuestión.

1 El responsable de la protección de datos será informado, sin demora injustificada, cada vez que se limiten los derechos de los interesados con arreglo a lo dispuesto en la presente Decisión. A petición del responsable de la protección de datos, se facilitará al mismo el acceso a las consignaciones y a todos los documentos que contengan los elementos de hecho y de Derecho subyacentes.

2 El responsable de la protección de datos podrá solicitar que se examine la limitación. El responsable de la protección de datos será informado sobre el resultado de la revisión solicitada.

La presente Decisión entrará en vigor en la fecha de entrada en vigor del Reglamento (UE) 2018/1725.