Decisión (UE) 2018/1962 de la Comisión, de 11 de diciembre de 2018, por la que se establece el reglamento interno relativo al tratamiento de datos personales por la Oficina Europea de Lucha contra el Fraude (OLAF) en lo que respecta a la comunicación de información a los interesados y la restricción de algunos de sus derechos, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo

1 La presente Decisión establece las normas que deberá cumplir la Oficina Europea de Lucha contra el Fraude («la Oficina») para informar a los interesados sobre el tratamiento de sus datos, de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725. Establece asimismo las condiciones en las que la Oficina podrá restringir la aplicación de los artículos 4, 14 a 20, y 35 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25 de dicho Reglamento.

2 La presente Decisión se aplica al tratamiento de datos personales por la Oficina al objeto de o en relación con las actividades realizadas para desempeñar las funciones de la Oficina a que se refiere el artículo 2 de la Decisión 1999/352/CE, CECA, Euratom y el Reglamento (UE, Euratom) n.o 883/2013.

3 La presente Decisión se aplica al tratamiento de datos personales por los servicios de la Comisión y las agencias ejecutivas, en la medida en que traten los datos personales contenidos en la información que deban transmitir a la Oficina, con arreglo al artículo 8, apartado 1, del Reglamento (UE, Euratom) n.o 883/2013, o los datos personales ya tratados por la Oficina al objeto de o en relación con las actividades a que se refiere el apartado 2 del presente artículo.

1 Cuando la Oficina ejerza sus funciones con respecto a los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, deberá considerar si alguna de las excepciones establecidas en dicho Reglamento es de aplicación.

2 Con arreglo a los artículos 3 a 6 de la presente Decisión, la Oficina podrá limitar la aplicación de los artículos 14 a 20 y 35 del Reglamento (UE) 2018/1725, así como de su artículo 4 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 20 y 35 del Reglamento (UE) 2018/1725, cuando el ejercicio de esos derechos y obligaciones pudiera comprometer el objetivo de las actividades de investigación de la Oficina, incluso mediante la revelación de sus herramientas y métodos de investigación, o pudiera afectar negativamente a los derechos y libertades de terceros.

3 Con arreglo a los artículos 3 a 6 de la presente Decisión, la Oficina podrá limitar los derechos y obligaciones a que se refiere el apartado 2 del presente artículo en lo que respecta a los datos personales obtenidos por los servicios de la Comisión u otras instituciones, organismos, agencias y oficinas de la Unión, así como por las autoridades competentes de los Estados miembros, de terceros países o de organizaciones internacionales, en las circunstancias siguientes: a) cuando el ejercicio de esos derechos y obligaciones pueda ser restringido por los servicios de la Comisión o por otras instituciones, organismos, agencias y oficinas de la Unión, sobre la base de los actos jurídicos contemplados en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento o con los actos fundacionales de otras instituciones, organismos, agencias y oficinas de la Unión; b) cuando el ejercicio de esos derechos y obligaciones pueda ser restringido por las autoridades competentes de los Estados miembros sobre la base de los actos jurídicos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo , o con arreglo a las medidas nacionales de transposición de los artículos 13, apartado 3; 15, apartado 3 o 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo ; c) cuando el ejercicio de esos derechos y obligaciones pueda comprometer la cooperación de la Oficina con terceros países u organizaciones internacionales en el desempeño de sus funciones. Antes de aplicar las restricciones en las circunstancias mencionadas en las letras a) y b) del párrafo primero, la Oficina consultará a los servicios pertinentes de la Comisión, a las instituciones, organismos, oficinas, agencias de la Unión o a las autoridades competentes de los Estados miembros, a menos que esté claro para la Oficina que la aplicación de la restricción está prevista en uno de los actos a que se hace referencia en dichas letras. La letra c) del párrafo primero no se aplicará cuando sobre el interés de la Unión en cooperar con terceros países u organizaciones internacionales prevalezca el interés o los derechos y libertades fundamentales de los interesados.

4 Cuando los servicios de la Comisión y las agencias ejecutivas traten datos personales en los supuestos contemplados en el artículo 1, apartado 3, podrán, en su caso, aplicar restricciones de conformidad con la presente Decisión. A tal fin, consultarán a la Oficina, a menos que esté claro para el servicio de la Comisión o la agencia ejecutiva de que se trate que la aplicación de la restricción está justificada en virtud de la presente Decisión.

1 La Oficina publicará en su sitio web anuncios de protección de datos que informarán a todos los titulares de los datos de las actividades de tratamiento de sus datos personales.

2 La Oficina informará individualmente a todos los titulares de los datos que considere interesados, testigos o informadores en el sentido del Reglamento (UE, Euratom) n.o 883/2013.

3 Cuando la Oficina restrinja, total o parcialmente, la comunicación de información a los titulares de los datos a que se refiere el apartado 2, hará constar los motivos de la restricción, incluida una evaluación de la necesidad y la proporcionalidad de la restricción. A tal efecto, la anotación deberá indicar de qué modo la comunicación de información comprometería la finalidad de las actividades de investigación de la Oficina o de las restricciones aplicadas de conformidad con el artículo 2, apartado 3, o podría afectar negativamente a los derechos y libertades de terceros. La anotación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

4 La restricción a que se refiere el apartado 3 seguirá siendo de aplicación mientras los motivos que la justifican sigan siendo aplicables. Cuando los motivos de la restricción dejen de ser aplicables, la Oficina comunicará la información de que se trate y los motivos de la restricción al titular de los datos. Al mismo tiempo, la Oficina informará al titular de los datos de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea. La Oficina revisará la aplicación de la restricción cada seis meses desde la fecha de su adopción y al cierre de la investigación. Posteriormente, el responsable del tratamiento deberá supervisar anualmente la necesidad de mantener cualquier restricción.

1 Cuando los interesados soliciten el acceso a sus datos personales tratados en el contexto de uno o varios casos específicos o a una determinada operación de tratamiento, de conformidad con el artículo 17 del Reglamento (UE) 2018/1725, la Oficina deberá circunscribir su evaluación de la solicitud a dichos datos personales únicamente.

2 Cuando la Oficina restrinja, en su totalidad o en parte, el derecho de acceso a que se refiere el artículo 17 del Reglamento (UE) 2018/1725, deberá adoptar las medidas siguientes: a) informará al interesado, en su respuesta a la solicitud, de la restricción y de los principales motivos de esta, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea; b) consignará los motivos de la restricción, incluida una evaluación de la necesidad y proporcionalidad de la restricción; a tal efecto, la anotación deberá indicar cómo comprometería la concesión de acceso el objetivo de las actividades de investigación de la Oficina o de las restricciones aplicadas de conformidad con el artículo 2, apartado 3, o cómo podría afectar negativamente a los derechos y libertades de otros titulares de datos. La comunicación de la información mencionada en la letra a) podrá aplazarse, omitirse o denegarse con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) 2018/1725.

3 La anotación a que se refiere la letra b) del apartado 2 y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud. Será de aplicación el artículo 25, apartado 7, del Reglamento (UE) 2018/1725.

Cuando la Oficina restrinja, total o parcialmente, la aplicación del derecho a la rectificación, supresión o limitación del tratamiento a que se refieren los artículos 18; 19, apartado 1, y 20, apartado 1, del Reglamento (UE) 2018/1725, adoptará las medidas contempladas en el artículo 4, apartado 2, de la presente Decisión y registrará la anotación de conformidad con lo dispuesto en su artículo 4, apartado 3.

Cuando la Oficina limite la comunicación de una violación de datos personales al interesado a que se refiere el artículo 35 del Reglamento (UE) 2018/1725, deberá anotar y registrar los motivos de la restricción de conformidad con lo dispuesto en el artículo 3, apartado 3, de la presente Decisión. Será de aplicación el artículo 3, apartado 4, de la presente Decisión.

1 Se informará, sin demora injustificada, al Responsable de la Protección de Datos de la Oficina (en lo sucesivo, «el RPD de la Oficina») cuando se restrinjan los derechos de los interesados con arreglo a lo dispuesto en la presente Decisión. Se proporcionará al RPD de la Oficina acceso a los registros y a todos los documentos que contengan elementos de hecho y de derecho. El RPD de la Oficina podrá solicitar que se revisen las restricciones. Se informará al RPD de la Oficina por escrito sobre el resultado de la revisión solicitada.

2 Cuando los servicios de la Comisión y las agencias ejecutivas traten datos personales en los casos a que se refiere el artículo 1, apartado 3, se informará sin demora al responsable de la protección de datos de la Comisión («el RPD de la Comisión») o, en su caso, al responsable de la protección de datos de la agencia ejecutiva («el RPD de la Agencia») cuando se restrinjan derechos de los interesados con arreglo a lo dispuesto en la presente Decisión. Previa petición, se proporcionará al RPD de la Comisión o, en su caso, al RPD de la Agencia acceso a los registros y a todos los documentos que contengan elementos de hecho y de derecho. El RPD de la Comisión o, en su caso, el RPD de la Agencia podrán solicitar que se revisen las restricciones. Se informará al RPD de la Comisión o al RPD de la Agencia por escrito sobre el resultado de la revisión solicitada.

3 Todos los intercambios de información con el RPD a lo largo del procedimiento se registrarán en la forma apropiada.

La presente Decisión entrará en vigor el día de su publicación en el Diario Oficial de la Unión Europea. Se aplicará desde el 11 de diciembre de 2018.