Decisión (UE) 2019/236 de la Comisión, de 7 de febrero de 2019, por la que se establecen normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales por la Comisión Europea a efectos de la seguridad interna de las instituciones de la Unión

1 La presente Decisión establece las normas que debe seguir la Comisión para informar a los interesados acerca del tratamiento de sus datos de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725 en el ejercicio de todas sus funciones de conformidad con la Decisión (UE, Euratom) 2015/443. Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25, apartado 1, letras c), d) y h), de dicho Reglamento.

2 La presente Decisión se aplica al tratamiento de datos personales por la Comisión a efectos de las actividades realizadas para garantizar la seguridad de las personas, los activos y la información en la Comisión con arreglo a lo dispuesto en la Decisión (UE, Euratom) 2015/443, o en relación con dichas actividades.

1 Cuando la Comisión ejerza sus funciones con respecto a los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho Reglamento.

2 Sin perjuicio de los artículos 3 a 7 de la presente Decisión, la Comisión podrá limitar la aplicación de los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, y del principio de transparencia establecido en el artículo 4, apartado 1, letra a), de este Reglamento, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19 y 20 del Reglamento (UE) 2018/1725, cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda poner en peligro la seguridad interna de las instituciones, órganos y organismos de la Unión, incluidas sus redes de comunicaciones electrónicas, en particular revelando sus herramientas y métodos de investigación en el contexto de investigaciones de seguridad, o pueda afectar negativamente a los derechos y libertades de otros interesados.

3 Sin perjuicio de los artículos 3 a 7, la Comisión podrá limitar los derechos y obligaciones a que se refiere el apartado 2 del presente artículo en lo que respecta a los datos personales obtenidos de otras instituciones, órganos y organismos de la Unión, de autoridades competentes de los Estados miembros o terceros países o de organizaciones internacionales, en las siguientes circunstancias: a) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda verse limitado por otras instituciones, órganos y organismos de la Unión, sobre la base de otros actos previstos en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento, o de conformidad con el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo o con el Reglamento (UE) 2017/1939 del Consejo ; b) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda verse limitado por parte de las autoridades competentes de los Estados miembros sobre la base de los actos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo , o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3, del artículo 15, apartado 3, o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo ; c) cuando el ejercicio de tales derechos y el cumplimiento de esas obligaciones pueda poner en peligro la cooperación de la Comisión con terceros países u organizaciones internacionales en lo que respecta al intercambio de información sobre posibles amenazas asociadas a la contrainteligencia y la lucha contra el terrorismo y en el ámbito de sus investigaciones de seguridad. Antes de aplicar limitaciones en las circunstancias señaladas en las letras a) y b) del párrafo primero, la Comisión deberá consultar a las instituciones, órganos y organismos de la Unión pertinentes o a las autoridades competentes de los Estados miembros, a menos que para la Comisión resulte evidente que la aplicación de una limitación está prevista en uno de los actos a que se hace referencia en dichas letras, o que dicha consulta pueda poner en peligro el objetivo de sus actividades en virtud de la Decisión (UE, Euratom) 2015/443. La letra c) del párrafo primero del presente apartado no se aplicará cuando sobre el interés de la Comisión en cooperar con los terceros países o las organizaciones internacionales prevalezcan los intereses o los derechos y libertades fundamentales de los interesados.

4 Los apartados 1, 2 y 3 se entenderán sin perjuicio de la aplicación de otras decisiones de la Comisión por las que se establezcan normas internas sobre la comunicación de información a los interesados y la limitación de determinados derechos en virtud del artículo 25 del Reglamento (UE) 2018/1725 y del artículo 23 del Reglamento interno de la Comisión.

1 La Comisión publicará en su sitio web anuncio relativos a la protección de datos que informen a todos los interesados de sus actividades relacionadas con el tratamiento de sus datos personales que lleve a cabo para desempeñar sus funciones de conformidad con la Decisión (UE, Euratom) 2015/443.

2 La Comisión informará individualmente a los testigos y a las personas afectadas por una investigación de seguridad sobre el tratamiento de sus datos personales en un formato adecuado. Asimismo, informará individualmente a las personas cuyos datos se traten en el contexto de las medidas de seguridad adoptadas en virtud del artículo 7, apartado 5, y del artículo 12, apartado 1, letras d) y e), de la Decisión (UE, Euratom) 2015/443, en particular en los registros en los locales de la Comisión y en los sistemas y equipos de comunicación e información.

3 Cuando la Comisión limite, total o parcialmente, la comunicación de información a los interesados a que se refiere el apartado 2 del presente artículo, consignará y registrará los motivos de la limitación de conformidad con el artículo 6 de la presente Decisión.

1 Cuando la Comisión limite, total o parcialmente, el derecho de acceso a los datos por parte del interesado, el derecho de supresión o el derecho a la limitación del tratamiento, contemplados en los artículos 17, 19 y 20, respectivamente, del Reglamento (UE) 2018/1725, informará al interesado, en su respuesta a la petición de acceso, supresión o limitación del tratamiento, de la limitación aplicada y de las principales motivos de la misma, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer recurso judicial ante el Tribunal de Justicia de la Unión Europea.

2 La comunicación de información sobre los motivos de la limitación contemplada en el apartado 1 del presente artículo podrá aplazarse, omitirse o denegarse en la medida en que pueda poner en peligro el objetivo de la limitación.

3 La Comisión consignará y registrará los motivos de la limitación conforme a lo dispuesto en el artículo 6 de la presente Decisión.

4 Cuando el derecho de acceso se limite total o parcialmente, el interesado podrá ejercer su derecho de acceso a través de la mediación del Supervisor Europeo de Protección de Datos, de conformidad con el artículo 25, apartados 6, 7 y 8, del Reglamento (UE) 2018/1725.

Cuando la Comisión limite la comunicación al interesado de una violación de la seguridad de los datos personales, a que se refiere el artículo 35 del Reglamento (UE) 2018/1725, consignará y registrará los motivos de la limitación conforme a lo dispuesto en el artículo 6 de la presente Decisión.

1 La Comisión consignará los motivos de cualquier limitación aplicada con arreglo a la presente Decisión, incluida la evaluación de la necesidad y proporcionalidad de la limitación, teniendo en cuenta los aspectos pertinentes previstos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725. Para ello, la consignación indicará de qué modo el ejercicio del derecho podría poner en peligro el objetivo de las tareas de la Comisión con arreglo a la Decisión (UE, Euratom) 2015/443, o de las limitaciones aplicadas de conformidad con el artículo 2, apartados 2 o 3, o podría afectar negativamente a los derechos y libertades de otros interesados.

2 La consignación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

1 Las limitaciones contempladas en los artículos 3, 4 y 5 de la presente Decisión seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen.

2 Cuando dejen de ser aplicables los motivos que justifiquen una limitación prevista en los artículos 3 o 5 de la presente Decisión, la Comisión suspenderá la limitación y comunicará los motivos de la misma al interesado. Al mismo tiempo, la Comisión informará al interesado sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

3 La Comisión revisará la aplicación de las limitaciones a que se refieren los artículos 4 y 6 cada seis meses a partir de su aplicación y al cierre de la investigación en cuestión. Posteriormente, la Comisión evaluará cada año la necesidad de mantener cualquier limitación o aplazamiento.

1 El responsable de la protección de datos de la Comisión será informado, sin demora injustificada, cada vez que se limiten los derechos de los interesados con arreglo a lo dispuesto en la presente Decisión. A petición del responsable de la protección de datos, se facilitará al mismo el acceso a las consignaciones y a todos los documentos que contengan los elementos de hecho y de Derecho subyacentes.

2 El responsable de la protección de datos de la Comisión podrá solicitar que se revise la limitación. El responsable de la protección de datos será informado sobre el resultado de la revisión solicitada.

3 Los intercambios de información con el responsable de la protección de datos a lo largo de todo el procedimiento se consignarán en la forma adecuada.

La presente Decisión entrará en vigor el tercer día siguiente al de su publicación en el Diario Oficial de la Unión Europea.