Decisión (UE) 2018/1961 de la Comisión, de 11 de diciembre de 2018, por la que se establecen normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales a efectos de las actividades de auditoría interna

1 La presente Decisión establece las normas que deberá seguir la Comisión para informar a los interesados sobre el tratamiento de sus datos, de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, cuando lleve a cabo sus actividades de auditoría interna de conformidad con los artículos 117 a 123 del Reglamento (UE, Euratom) 2018/1046. Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25, apartado 1, letras c), g) y h) de dicho Reglamento.

2 La presente Decisión se aplica al tratamiento de datos personales por parte de la Comisión a efectos de o en relación con las actividades llevadas a cabo para cumplir sus tareas de conformidad con el artículo 118 y el artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046.

3 La presente Decisión resulta aplicable al tratamiento de datos personales en el seno de la Comisión, en la medida en que la Comisión trate datos personales contenidos en información que deba tratar a efectos de las actividades a que se refiere el presente artículo o en relación con estas.

1 Cuando la Comisión ejerza sus funciones con respecto a los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, deberá analizar si es aplicable alguna de las excepciones establecidas en dicho Reglamento.

2 Sin perjuicio de lo dispuesto en los artículos 3 a 7 de la presente Decisión, la Comisión podrá limitar la aplicación de los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, así como el principio de transparencia establecido en el artículo 4, apartado 1, letra a), de dicho Reglamento en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19, 20 y 35 de ese Reglamento, cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones ponga en peligro el objetivo de las actividades de la Comisión en virtud del artículo 118 y del artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046, en particular revelando sus herramientas y métodos de auditoría, o pueda afectar negativamente a los derechos y libertades de otros interesados.

3 Sin perjuicio de lo dispuesto en los artículos 3 a 7, la Comisión podrá limitar los derechos y obligaciones a que se refiere el apartado 2 del presente artículo en lo que respecta a los datos personales obtenidos de otras instituciones, órganos y organismos de la Unión, autoridades competentes de los Estados miembros o de terceros países o de organizaciones internacionales, en las siguientes circunstancias: a) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda verse limitado por otras instituciones, órganos y organismos de la Unión, sobre la base de otros actos previstos en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento, o de conformidad con el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo o con el Reglamento (UE) 2017/1939 del Consejo ; b) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda verse limitado por parte de las autoridades competentes de los Estados miembros sobre la base de los actos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo , o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3, del artículo 15, apartado 3, o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo ; c) cuando el ejercicio de esos derechos y obligaciones pueda poner en peligro la cooperación de la Comisión con terceros países u organizaciones internacionales en la realización de actividades de auditoría interna. Antes de la aplicación de limitaciones en las circunstancias señaladas en las letras a) y b) del párrafo primero, la Comisión deberá consultar a las instituciones, órganos y organismos de la Unión pertinentes o a las autoridades competentes de los Estados miembros, a menos que para la Comisión resulte evidente que la aplicación de una limitación está prevista en uno de los actos a que se hace referencia en dichos puntos, o que dicha consulta ponga en peligro el objetivo de sus actividades en virtud del artículo 118 y del artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046. La letra c) del párrafo primero no se aplicará cuando el interés de la Comisión en cooperar con los terceros países o las organizaciones internacionales no prevalezca sobre los intereses o los derechos y libertades fundamentales de los interesados.

4 Los apartados 1, 2 y 3 se entienden sin perjuicio de la aplicación de otras decisiones de la Comisión por las que se establezcan normas internas sobre la comunicación de información a los interesados y la limitación de determinados derechos en virtud del artículo 25 del Reglamento (UE) 2018/1725 y del artículo 23 del Reglamento interno de la Comisión.

La Comisión publicará en su sitio web anuncios de protección de datos que informarán a todos los interesados de las actividades que lleve a cabo y que impliquen el tratamiento de sus datos personales a efectos de las actividades que realiza en virtud del artículo 118 y del artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046. Cuando proceda, la Comisión deberá velar por que los interesados sean informados individualmente y en un formato adecuado. En caso de que la Comisión limite, total o parcialmente, la comunicación de información a interesados cuyos datos se traten a efectos de las actividades que realice en virtud del artículo 118 y del artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046, consignará y registrará los motivos de esa limitación de conformidad con lo dispuesto en el artículo 6.

1 Cuando la Comisión limite, total o parcialmente, el derecho de acceso a los datos por parte de los interesados, el derecho de supresión o el derecho a la limitación del tratamiento contemplados en los artículos 17, 19 y 20, respectivamente, del Reglamento (UE) 2018/1725, informará al interesado, en su respuesta a la petición de acceso, supresión o limitación del tratamiento, de la limitación aplicada y de los principales motivos de la misma, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer recurso judicial ante el Tribunal de Justicia de la Unión Europea.

2 La comunicación de información sobre los motivos de la limitación contemplada en el apartado 1 del presente artículo podrá aplazarse, omitirse o denegarse en la medida en que ponga en peligro el objetivo de la limitación.

3 La Comisión consignará los motivos de la limitación conforme a lo dispuesto en el artículo 6 de la presente Decisión.

4 Cuando el derecho de acceso se limite total o parcialmente, el interesado ejercerá su derecho de acceso a través de la mediación del Supervisor Europeo de Protección de Datos, de conformidad con el artículo 25, apartados 6, 7 y 8, del Reglamento (UE) 2018/1725.

Cuando la Comisión limite la comunicación de una violación de la seguridad de los datos personales al interesado, a que se refiere el artículo 35 del Reglamento (UE) 2018/1725, deberá consignar y registrar los motivos de limitación conforme a lo dispuesto en el artículo 6 de la presente Decisión.

La Comisión consignará los motivos de cualquier limitación aplicada con arreglo a la presente Decisión, incluida la evaluación de la necesidad y proporcionalidad de la limitación, teniendo en cuenta los aspectos pertinentes previstos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725. Para ello, la consignación deberá indicar de qué modo el ejercicio del derecho pondría en peligro el objetivo de las actividades de la Comisión en virtud del artículo 118 y del artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046, o de las limitaciones aplicadas de conformidad con el artículo 2, apartados 2 o 3, o afectaría negativamente a los derechos y libertades de otros interesados. Se registrarán la consignación y, en su caso, los documentos que contengan los elementos de hecho y de Derecho subyacentes. Se pondrán a disposición del Supervisor Europeo de Protección de Datos previa solicitud.

1 Las limitaciones contempladas en los artículos 3, 4 y 5 de la presente Decisión seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen.

2 Cuando dejen de ser aplicables los motivos que justifiquen una limitación prevista en los artículos 3 o 5 de la presente Decisión, la Comisión suspenderá las limitaciones y comunicará los motivos principales de la limitación al interesado. Al mismo tiempo, la Comisión informará al interesado sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

3 La Comisión revisará la aplicación de las limitaciones previstas en los artículos 3 y 5 de la presente Decisión cada seis meses a partir de su adopción y antes y después la conclusión de la auditoría interna correspondiente. Posteriormente, la Comisión revisará la necesidad de mantener cualquier limitación o aplazamiento con periodicidad anual.

El responsable de protección de datos de la Comisión Europea será informado, sin demora injustificada, cada vez que se limiten los derechos de los interesados con arreglo a lo dispuesto en la presente Decisión. A petición del responsable de protección de datos, se facilitará a este el acceso a las consignaciones y a todos los documentos que contengan los elementos de hecho y de Derecho subyacentes. El responsable de protección de datos podrá solicitar que se revise la limitación. El responsable de protección de datos será informado por escrito sobre el resultado de la revisión solicitada.

La presente Decisión entrará en vigor el día de su publicación en el Diario Oficial de la Unión Europea. Será aplicable a partir del 11 de diciembre de 2018.