Decisión de la Autoridad para los partidos políticos europeos y las fundaciones políticas europeas de 18 de mayo de 2021 por la que se adoptan normas sobre la aplicación del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE, en relación con la limitación de algunos derechos de los interesados, de conformidad con el artículo 25 de dicho Reglamento 2021/C 257 I/01

La presente Decisión establece las normas internas en virtud de las cuales la Autoridad para los partidos políticos europeos y las fundaciones políticas europeas (la «Autoridad») puede aplicar exenciones, excepciones o limitaciones con respecto a los derechos de los interesados, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725.

1 La Autoridad determina los fines y medios del tratamiento de datos personales y, por tanto, actúa como responsable del tratamiento con respecto a esos datos en el sentido del artículo 3, apartado 8, del Reglamento (UE) 2018/1725, y según lo dispuesto en el artículo 25, apartado 2, letra e), de dicho Reglamento.

2 Cuando la Autoridad y al menos otra entidad, en particular las instituciones y los organismos de la Unión, determinen los fines y medios de una operación de tratamiento determinada, los agentes competentes serán considerados corresponsables del tratamiento en el sentido del artículo 28, apartado 1, del Reglamento (UE) 2018/1725.

3 El responsable del tratamiento se encargará de garantizar que las operaciones de tratamiento se efectúen de conformidad con el Reglamento (UE) 2018/1725 y deberá poder demostrar la conformidad con dicho Reglamento. En especial, el responsable del tratamiento será responsable de: (a) aplicar las medidas técnicas y organizativas adecuadas para dar aplicación a los principios de protección de datos desde el diseño y por defecto; (b) ofrecer al personal bajo su autoridad instrucciones adecuadas para garantizar que el tratamiento es lícito, justo, transparente y confidencial, y proporcionar un nivel adecuado de seguridad a la vista de los riesgos que entraña el tratamiento; (c) cooperar con el delegado de protección de datos y el Supervisor Europeo de Protección de Datos en el ejercicio de sus respectivas funciones, comunicándoles en particular toda información que le hayan solicitado; (d) en tiempo oportuno, informar al delegado de protección de datos e involucrarle, en particular, en proyectos relativos a nuevas operaciones de tratamiento de datos o a modificaciones significativas de las operaciones existentes.

1 Antes de aplicar una limitación conforme a la sección 2 del presente capítulo, el responsable del tratamiento examinará si se aplica alguna de las exenciones contempladas en el Reglamento (UE) 2018/1725, en particular aquellas en virtud del artículo 15, apartado 4, del artículo 16, apartado 5, del artículo 19, apartado 3, y del artículo 35, apartado 3, de dicho Reglamento.

2 En el tratamiento con fines de archivo en interés público, así como en el tratamiento con fines de investigación científica o histórica o con fines estadísticos, el responsable del tratamiento examinará si se aplican las exenciones en virtud del artículo 16, apartado 5, letra b), y del artículo 19, apartado 3, letra d), del Reglamento (UE) 2018/1725.

1 En el tratamiento con fines de archivo en interés público, el responsable del tratamiento podrá aplicar excepciones conforme al artículo 25, apartado 4, del Reglamento (UE) 2018/1725. A tal fin, el responsable del tratamiento podrá establecer excepciones a los derechos contemplados en los artículos 17, 18, 20, 21, 22 y 23 del Reglamento (UE) 2018/1725, de conformidad con las condiciones establecidas en el artículo 25, apartado 4, de dicho Reglamento.

2 En el tratamiento con fines de investigación científica o histórica o con fines estadísticos, el responsable del tratamiento podrá aplicar excepciones conforme al artículo 25, apartado 3, del Reglamento (UE) 2018/1725. A tal fin, el responsable del tratamiento podrá establecer excepciones a los derechos contemplados en los artículos 17, 18, 20 y 23 del Reglamento (UE) 2018/1725 de conformidad con las condiciones establecidas en el artículo 25, apartado 3, de dicho Reglamento.

3 Dichas excepciones estarán sujetas a las garantías adecuadas de conformidad con el artículo 13 del Reglamento (UE) 2018/1725 y del artículo 6, apartados 1 y 2, de la presente Decisión. Se establecerán las medidas técnicas y organizativas para garantizar que se respeta la minimización de datos y, en su caso, la seudonimización.

1 La presente sección establece las condiciones generales en las que el responsable del tratamiento podrá limitar la aplicación de los artículos 14 a 21, 35 y 36 del Reglamento (UE) 2018/1725, así como su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 21 de dicho Reglamento, de conformidad con su artículo 25. Las condiciones generales a que se refiere el párrafo primero se completan con las disposiciones de los anexos de la presente Decisión, en los que se especifican las condiciones en las que la Autoridad podrá limitar los derechos de los interesados en cada una de sus actividades y procedimientos, en caso de que los datos personales sean objeto de tratamiento y fuese necesario aplicar limitaciones.

2 La presente sección se aplica al tratamiento de datos personales a los efectos de las actividades y procedimientos llevados a cabo por la Autoridad, tal y como se especifica en los anexos de la presente Decisión.

1 Los datos personales objeto de limitación se almacenarán en un entorno físico o electrónico seguro que impida el acceso ilícito o la transferencia de datos a personas que no tienen necesidad de conocerlos.

2 Antes de aplicar una limitación, se valorará si la limitación es necesaria y proporcionada, así como los riesgos para los interesados, de conformidad con el artículo 12 de la presente Decisión.

1 A reserva de los artículos 8 a 13 y de las especificaciones establecidas en los anexos de la presente Decisión aplicables, el responsable del tratamiento podrá aplicar limitaciones con respecto a los derechos del interesado mencionados expresamente en los anexos aplicables, cuando el ejercicio de tales derechos comprometa la finalidad de una de las actividades o procedimientos contemplados en dichos anexos.

2 En caso de que el responsable del tratamiento aplique una limitación y, en particular, cuando aplace, omita o deniegue, en su totalidad o en parte, el ejercicio del derecho de un interesado, procederá de conformidad con el artículo 12 de la presente Decisión.

1 En caso de que el responsable del tratamiento limite el derecho de información a que se refieren los artículos 15 y 16 del Reglamento (UE) 2018/1725, se informará a los interesados, de conformidad con el artículo 25, apartado 6, de dicho Reglamento, sobre las razones principales que justifican la aplicación de la limitación y sobre su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos.

2 No obstante, la comunicación de la información podrá, tras una evaluación caso por caso, aplazarse, omitirse o denegarse, de conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, en tanto deje sin efecto la limitación. Tan pronto como esto ocurra, se facilitará la información al interesado.

1 En caso de que el responsable del tratamiento limite, en su totalidad o en parte, el derecho de acceso a los datos personales por parte de los interesados, el derecho de rectificación, el derecho de supresión o el derecho a la limitación del tratamiento contemplados en los artículos 17, 18, 19 y 20, respectivamente, del Reglamento (UE) 2018/1725, así como la obligación de notificación con arreglo al artículo 21 de dicho Reglamento, informará al interesado afectado, en su respuesta a la solicitud de acceso, rectificación, supresión o limitación del tratamiento, acerca de la limitación aplicada y de las razones principales de dicha limitación, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea (el «Tribunal de Justicia»).

2 La comunicación de información sobre las razones de la limitación a que se refiere el apartado 1 podrá, tras una evaluación caso por caso, aplazarse, omitirse o denegarse en tanto deje sin efecto la limitación. Tan pronto como esto ocurra, se facilitará la información al interesado.

3 En caso de que se limite total o parcialmente el derecho de acceso y de que el interesado haya ejercido su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos, únicamente el interesado será informado por el Supervisor acerca de si los datos se han tratado correctamente y, de no ser así, de si se han efectuado correcciones de conformidad con el artículo 25, apartado 7, del Reglamento (UE) 2018/1725.

En caso de que el responsable del tratamiento limite la aplicación del artículo 35 del Reglamento (UE) 2018/1725, procederá de conformidad con el artículo 12 de la presente Decisión. Si se limita la comunicación al interesado de una violación de la seguridad de los datos por esta razón, se documentará mediante una nota y se comunicará al Supervisor Europeo de Protección de Datos en el momento de la notificación de la violación de la seguridad de los datos personales.

En caso de que el responsable del tratamiento limite la obligación de garantizar la confidencialidad de las comunicaciones electrónicas a que se refiere el artículo 36 del Reglamento (UE) 2018/1725, procederá de conformidad con el artículo 12 de la presente Decisión.

1 Antes de aplicar cualquier limitación, el responsable del tratamiento evaluará, caso por caso, si las limitaciones son necesarias y proporcionadas, teniendo en cuenta el artículo 25, apartados 2 y 8, del Reglamento (UE) 2018/1725.

2 Dicha evaluación expondrá por escrito las razones de la aplicación de cualquier limitación en virtud de la presente Decisión, e incluirá un examen de los riesgos para los derechos y las libertades de los interesados, en particular el riesgo de que sus datos personales puedan ser tratados ulteriormente sin su conocimiento y de que se les impida ejercer sus derechos de conformidad con el Reglamento (UE) 2018/1725, así como de la forma en que el ejercicio de los derechos de los interesados comprometa la finalidad de una de las actividades o procedimientos llevados a cabo por la Autoridad, tal como se define en los anexos de la presente Decisión.

3 Las evaluaciones se conservarán en un registro central y se pondrán a disposición del Supervisor Europeo de Protección de Datos previa solicitud.

4 En caso de que el responsable del tratamiento limite el derecho a la confidencialidad de las comunicaciones electrónicas a que se refiere el artículo 36 del Reglamento (UE) 2018/1725 en virtud del presente artículo, el responsable del tratamiento informará al interesado, en respuesta a cualquier solicitud del interesado, sobre las razones principales que justifican la aplicación de la limitación y sobre su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos.

5 La comunicación de información a que se refiere el apartado 4 podrá, tras una evaluación caso por caso, aplazarse, omitirse o denegarse en tanto deje sin efecto la limitación. Tan pronto como esto ocurra, se facilitará la información al interesado.

1 Las limitaciones a que se refiere la presente Decisión, en relación con los anexos de la presente Decisión aplicables, seguirán en vigor mientras las razones que las justifiquen sigan siendo aplicables.

2 Cuando ya no concurran las razones de una limitación a los que hace referencia la presente Decisión, en relación con los anexos de la presente Decisión aplicables, el responsable del tratamiento levantará la limitación. Al mismo tiempo, el responsable del tratamiento facilitará al interesado las razones principales de la limitación y le informará de la posibilidad de presentar en todo momento una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso judicial ante el Tribunal de Justicia.

3 El responsable del tratamiento revisará la aplicación de las limitaciones a que se refiere la presente Decisión, en relación con los anexos de la presente Decisión aplicables, cada seis meses a partir de su adopción y al cierre del procedimiento correspondiente. A continuación, a los efectos de las actividades y procedimientos contemplados en los anexos I, II, III, IV, V, VI, VII y VIII de la presente Decisión, el responsable del tratamiento supervisará con carácter anual la necesidad de mantener cualesquiera limitaciones.

1 El delegado de protección de datos será informado, sin dilación indebida, cada vez que se limiten los derechos de los interesados de conformidad con la presente sección. En la medida de lo posible, el delegado de protección de datos será consultado antes y durante el procedimiento de limitación, y participará en la evaluación. La participación del delegado de protección de datos se documentará mediante una nota que será elaborada por el responsable del tratamiento. La nota documentará la información que se ha compartido con el delegado de protección de datos. Se facilitará al delegado de protección de datos, previa petición, el acceso a todos los documentos que contengan elementos de hecho y de derecho subyacentes.

2 El delegado de protección de datos podrá solicitar al responsable del tratamiento una revisión de las limitaciones. El delegado de protección de datos será informado por escrito del resultado de la revisión solicitada.

Los anexos de la presente Decisión forman parte integrante de ella.

La presente Decisión entrará en vigor el día siguiente al de su publicación en el Diario Oficial de la Unión Europea.