Decisión (UE) 2021/2243 de la Comisión de 15 de diciembre de 2021 por la que se establecen normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales a efectos de la seguridad de los sistemas de información y comunicación de la Comisión

1 La presente Decisión establece las normas que debe seguir la Comisión para informar a los interesados acerca del tratamiento de sus datos personales de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725 en el ejercicio de sus funciones de conformidad con la Decisión (UE, Euratom) 2017/46. Establece asimismo las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25, apartado 1, letras c), d) y h), de dicho Reglamento, en el desempeño de sus funciones de conformidad con la Decisión (UE, Euratom) 2017/46.

2 La presente Decisión se aplica al tratamiento de datos personales por la Comisión o en su nombre a efectos de actividades realizadas para garantizar la seguridad informática de personas, bienes e información en la Comisión de conformidad con la Decisión (UE, Euratom) 2017/46, o en relación con dichas actividades.

1 Cuando la Comisión ejerza sus funciones con respecto a los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho Reglamento.

2 A reserva de lo dispuesto en los artículos 3 a 7 de la presente Decisión, cuando el ejercicio de los derechos y obligaciones previstos en los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725 en relación con los datos personales tratados por la Comisión socave la finalidad de las operaciones y servicios de seguridad informática, en particular al revelar los instrumentos de investigación, vulnerabilidades y métodos de la Comisión, o afecte negativamente a los derechos, libertades y seguridad de otros interesados, en particular para el tratamiento de datos personales con el fin de: comunicar alertas y avisos relativos a eventos e incidentes de seguridad informática, responder y contener eventos e incidentes de seguridad informática, facilitar herramientas y operaciones mediante auditorías de seguridad, evaluaciones de seguridad y gestión de vulnerabilidades, aumentar la sensibilización del personal de la Comisión en el ámbito de la ciberseguridad, supervisar, detectar y prevenir la aparición de eventos e incidentes de seguridad informática, revisar cuentas de usuario privilegiado. la Comisión podrá limitar la aplicación de: a) los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725; b) el principio de transparencia establecido en el artículo 4, apartado 1, letra a), del Reglamento (UE) 2018/1725, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19 y 20 de dicho Reglamento. La Comisión podrá hacerlo de conformidad con el artículo 25, apartado 1, letras c), d) y h), del Reglamento (UE) 2018/1725.

3 A reserva de los artículos 3 a 7, la Comisión podrá limitar los derechos y obligaciones contemplados en el apartado 2 del presente artículo: a) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones con respecto a los datos personales obtenidos de otra institución, órgano u organismo de la UE pueda estar limitado por esa otra institución, órgano u organismo de la UE sobre la base de los actos jurídicos mencionados en el artículo 25 del Reglamento (UE) 2018/1725 o de conformidad con el capítulo IX de dicho Reglamento; o de conformidad con el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo o de conformidad con el Reglamento (UE) 2017/1939 del Consejo ; b) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones con respecto a los datos personales obtenidos de la autoridad competente de un Estado miembro pueda estar limitado por las autoridades competentes de dicho Estado miembro sobre la base de las medidas legislativas mencionadas en el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3, el artículo 15, apartado 3, o el artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo ; c) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones socave la cooperación de la Comisión con países no pertenecientes a la UE u organizaciones internacionales en materia de amenazas comunes a la ciberseguridad. Antes de aplicar limitaciones en las circunstancias mencionadas en el párrafo primero, letras a) y b), la Comisión consultará a las instituciones, órganos y organismos de la UE pertinentes o a las autoridades de los Estados miembros sobre los posibles motivos para la imposición de limitaciones, así como sobre la necesidad y proporcionalidad de estas, a menos que ello socave las actividades de la Comisión y a menos que para la Comisión resulte evidente que la imposición de una limitación se establece en uno de los actos mencionados en dichas letras o que la consulta socave el propósito de sus actividades en virtud de la Decisión (UE, Euratom) 2017/46. La letra c) del párrafo primero no se aplicará cuando los intereses o los derechos y libertades fundamentales del interesado prevalezcan sobre el interés de la Comisión en cooperar con países no pertenecientes a la UE u organizaciones internacionales.

4 Los apartados 1, 2 y 3 se entenderán sin perjuicio de la aplicación de otras Decisiones de la Comisión que establezcan normas internas que regulan la comunicación de información a los interesados y la limitación de la aplicación de determinados derechos con arreglo al artículo 25 del Reglamento (UE) 2018/1725.

5 Toda limitación de los derechos y obligaciones con arreglo al apartado 2 deberá ser necesaria y proporcionada a los riesgos para los derechos y libertades de los interesados.

6 Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso, antes de aplicar limitaciones, y estas se ceñirán a lo estrictamente necesario para alcanzar la finalidad prevista.

1 La Comisión publicará en su sitio web un aviso de protección de datos que informe a todos los interesados de aquellas actividades que impliquen el tratamiento de sus datos personales a efectos del desempeño de sus funciones de conformidad con la Decisión (UE, Euratom) 2017/46, incluida una descripción de las categorías de datos personales en cuestión. Cuando sea posible hacerlo sin comprometer la seguridad informática, la Comisión se asegurará de que se informe individualmente a los interesados en un formato adecuado.

2 Cuando la Comisión limite, total o parcialmente, la comunicación de información a interesados cuyos datos personales se traten a efectos del desempeño de sus funciones de conformidad con la Decisión (UE, Euratom) 2017/46, consignará y registrará los motivos de esa limitación de conformidad con el artículo 6 de la presente Decisión.

1 Cuando la Comisión limite, total o parcialmente, el derecho de acceso de los interesados a sus datos personales, el derecho de supresión o el derecho a la limitación del tratamiento de datos a que se refieren los artículos 17, 19 y 20 del Reglamento (UE) 2018/1725, informará al interesado, en su respuesta a la solicitud de acceso, supresión o limitación del tratamiento, de lo siguiente: a) la limitación impuesta y los motivos principales de dicha limitación; b) la manera de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

2 La Comisión podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación a que se refiere el apartado 1 mientras esto socave la finalidad de la limitación.

3 La Comisión consignará y registrará los motivos de la limitación de conformidad con el artículo 6.

4 Cuando se limite total o parcialmente el derecho de acceso, los interesados podrán ejercer su derecho poniéndose en contacto con el Supervisor Europeo de Protección de Datos, de conformidad con el artículo 25, apartados 6, 7 y 8, del Reglamento (UE) 2018/1725.

Cuando la Comisión limite la comunicación de una violación de la seguridad de sus datos personales al interesado, según lo dispuesto en el artículo 35 del Reglamento (UE) 2018/1725, consignará y registrará los motivos de la limitación conforme a lo dispuesto en el artículo 6 de la presente Decisión. La Comisión comunicará el registro al Supervisor Europeo de Protección de Datos en el momento de la notificación de la violación de la seguridad de los datos personales.

1 La Comisión registrará los motivos de toda limitación impuesta con arreglo a la presente Decisión, incluida una referencia a los fundamentos jurídicos aplicados para la limitación y una evaluación de la necesidad y proporcionalidad de la limitación en cuestión, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

2 En el registro se indicará de qué manera el ejercicio de un derecho por parte del interesado podría socavar la finalidad de proporcionar operaciones y servicios de seguridad informática a la Comisión de conformidad con la Decisión (UE, Euratom) 2017/46, o de las limitaciones impuestas con arreglo al artículo 2, apartado 2 o 3, de la presente Decisión, o afectar negativamente a los derechos y libertades de otros interesados.

3 La Comisión registrará estos documentos y todos los que contengan elementos de hecho y de Derecho subyacentes. Dichos documentos se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

1 Las limitaciones contempladas en los artículos 3, 4 y 5 seguirán siendo aplicables mientras sigan siendo válidos los motivos que las justifiquen.

2 Cuando los motivos de una limitación contemplada en los artículos 3, 4 y 5 hayan dejado de ser válidos, la Comisión: a) levantará la limitación; b) informará al interesado de los principales motivos de la limitación; c) informará al interesado del procedimiento por el que puede presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

1 La Comisión revisará la aplicación de las limitaciones contempladas en los artículos 3, 4 y 5 seis meses después de su adopción y al cierre de cada operación de seguridad informática. Posteriormente, la Comisión revisará y evaluará cada año la necesidad de mantener cualquier limitación. La revisión incluirá una evaluación de la necesidad y proporcionalidad de la limitación, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

2 La Comisión ha adoptado medidas técnicas y organizativas con el fin de evitar cualquier destrucción accidental o ilícita, pérdida, alteración, divulgación no autorizada o acceso no autorizado a datos personales transmitidos, almacenados o tratados de otro modo, como la gestión de los derechos de acceso, la política de copias de seguridad y cualquier otra medida en consonancia con la Decisión (UE, Euratom) 2017/46.

3 La Comisión registrará los plazos de conservación aplicables en consonancia con la lista común de conservación de expedientes de la Comisión y pondrá a disposición de los interesados los plazos de conservación pertinentes para las actividades de tratamiento en su aviso de protección de datos.

1 Se informará sin demora injustificada al delegado de protección de datos de la Comisión cada vez que se limiten los derechos de los interesados con arreglo a lo dispuesto en la presente Decisión. Se facilitará al delegado de protección de datos, previa petición, el acceso al registro y a todos los documentos que contengan elementos de hecho y de Derecho subyacentes.

2 El delegado de protección de datos podrá solicitar una revisión de las limitaciones y será informado del resultado de dicha revisión.

3 La Comisión documentará la participación del delegado de protección de datos en cada uno de los casos en los que se limiten los derechos de los interesados con arreglo a lo dispuesto en la presente Decisión.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.