Decisión (UE) 2022/121 de la Comisión de 27 de enero de 2022 por la que se establecen normas internas relativas a la comunicación de información a las personas interesadas y a la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales a efectos del examen de las peticiones y reclamaciones presentadas en virtud del Estatuto de los funcionarios

1 La presente Decisión establece las normas que deberá seguir la Comisión para informar a las personas interesadas del tratamiento de sus datos de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725 cuando tramite peticiones y reclamaciones con arreglo al Estatuto. Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25, apartado 1, letras b), c), g) y h) de dicho Reglamento.

2 La presente Decisión se aplicará al tratamiento de datos personales por parte de la Comisión a efectos de la tramitación de las peticiones y reclamaciones con arreglo a los artículos 22 quater y 24 y al artículo 90, apartados 1 y 2 del Estatuto.

3 Las categorías de datos personales incluidos en el ámbito de la presente Decisión son los datos de identificación, de contacto y de comportamiento, así como las categorías especiales de datos personales en el sentido del artículo 10, apartado 1, del Reglamento (UE) 2018/1725.

1 Cuando la Comisión ejerza sus funciones con respecto a los derechos de las personas interesadas en virtud del Reglamento (UE) 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho Reglamento.

2 Sin perjuicio de lo dispuesto en los artículos 3 a 7, cuando el ejercicio de los derechos y obligaciones previstos en los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725 en relación con los datos personales tratados por la Comisión vaya en detrimento de los motivos contemplados en el artículo 25, apartado 1, letras b), c), g) o h), de dicho Reglamento, la Comisión podrá limitar la aplicación de: a) los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, así como b) el principio de transparencia establecido en el artículo 4, apartado 1, letra a), del Reglamento (UE) 2018/1725, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones establecidos en los artículos 14 a 17, 19 y 20 de dicho Reglamento, con el fin de salvaguardar la prevención, investigación, detección y enjuiciamiento de delitos que las personas solicitantes, denunciantes o testigos notifiquen a los servicios competentes de la Comisión en relación con la persona afectada por acusaciones de acoso u otros comportamientos impropios o agresiones.

3 Los apartados 1 y 2 se entenderán sin perjuicio de la aplicación de otras decisiones de la Comisión que establezcan normas internas sobre la comunicación de información a las personas interesadas y la limitación de determinados derechos con arreglo al artículo 25 del Reglamento (UE) 2018/1725.

4 Toda limitación de los derechos y obligaciones a que se refiere el apartado 2 será necesaria y proporcionada, teniendo en cuenta los riesgos para los derechos y libertades de las personas interesadas.

5 Antes de aplicar limitaciones, la Comisión deberá llevar a cabo una evaluación «caso por caso» de la necesidad y proporcionalidad de estas. Las limitaciones serán las estrictamente necesarias para alcanzar su objetivo.

1 La Comisión publicará en su sitio web un aviso de protección de datos que informará a todas las personas interesadas de sus actividades que impliquen el tratamiento de los datos personales de estas a los efectos de tramitar peticiones y reclamaciones presentadas con arreglo al Estatuto.

2 La Comisión informará individualmente, por los medios adecuados, a las personas solicitantes y denunciantes, a las personas afectadas, así como a las personas testigos a las que se haya solicitado información en relación con dichas peticiones o denuncias, sobre el tratamiento de sus datos personales.

3 Cuando la Comisión limite, de conformidad con el artículo 2, total o parcialmente, la comunicación de la información a que se refiere el apartado 2 a las personas afectadas cuyos datos personales sean tratados con el fin de tramitar las peticiones y reclamaciones con arreglo al Estatuto, consignará y registrará los motivos de la limitación de conformidad con el artículo 6.

1 Cuando la Comisión limite, total o parcialmente, el derecho de acceso de las personas interesadas a sus datos personales, el derecho de supresión o el derecho a la limitación del tratamiento a que se refieren, respectivamente, los artículos 17, 19 y 20 del Reglamento (UE) 2018/1725, informará a la persona interesada, en su respuesta a la solicitud de acceso, supresión o limitación del tratamiento, de lo siguiente: a) la limitación impuesta y los motivos principales de dicha limitación; b) la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

2 La comunicación de la información sobre los motivos de la limitación a que se refiere el apartado 1 podrá aplazarse, omitirse o denegarse en la medida en que anule el objetivo de la limitación.

3 La Comisión consignará los motivos de la limitación conforme a lo dispuesto en el artículo 6.

4 Cuando el derecho de acceso se limite total o parcialmente, la persona interesada podrá ejercer su derecho de acceso a través de la mediación del Supervisor Europeo de Protección de Datos, de conformidad con el artículo 25, apartados 6, 7 y 8, del Reglamento (UE) 2018/1725.

Cuando la Comisión limite la comunicación de una violación de la seguridad de sus datos personales a la persona interesada, en virtud de lo dispuesto en el artículo 35 del Reglamento (UE) 2018/1725, consignará y registrará los motivos de la limitación conforme a lo dispuesto en el artículo 6. La Comisión comunicará el registro al Supervisor Europeo de Protección de Datos en el momento de la notificación de la violación de la seguridad de los datos personales.

1 La Comisión registrará los motivos de toda limitación impuesta con arreglo a la presente Decisión, incluida la evaluación de la necesidad y proporcionalidad de la limitación en cuestión, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

2 El registro indicará cómo el ejercicio del derecho por la persona interesada de que se trate socavaría uno o varios de los motivos aplicables contemplados en el artículo 25, apartado 1, letras b), c), g) y h), del Reglamento (UE) 2018/1725.

3 Se consignará el registro y, en su caso, los documentos que contengan elementos subyacentes de hecho y de derecho. Dichos documentos se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

1 Las limitaciones a que se refieren los artículos 3, 4 y 5 seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen.

2 Cuando los motivos de una limitación contemplada en los artículos 3, 4 y 5 dejen de ser aplicables, la Comisión levantará la limitación.

3 Además, comunicará a la persona interesada los principales motivos por los que se aplica dicha limitación y le informará sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

4 La Comisión revisará la aplicación de las limitaciones a que se refieren los artículos 3, 4 y 5 cuando responda a peticiones presentadas con arreglo a los artículos 22 quater y 24 y al artículo 90, apartado 1, del Estatuto y a reclamaciones presentadas con arreglo al artículo 22 quater y al artículo 90, apartado 2, del Estatuto, o al archivar dichas peticiones y reclamaciones, si la fecha de esta actuación fuera anterior. Posteriormente, la Comisión revisará con periodicidad anual la necesidad de mantener cualquier limitación. La revisión incluirá una evaluación de la necesidad y proporcionalidad de la limitación, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

1 La Comisión, concretamente la Unidad de Apelaciones y Seguimiento de Asuntos de la DG HR, aplicará salvaguardias para prevenir los abusos y el acceso ilícito a los datos personales que sean objeto o puedan ser objeto de limitaciones, o la transferencia ilícita de estos. Dichas salvaguardias incluirán medidas técnicas y organizativas tales como: a) la definición clara de las funciones, responsabilidades, derechos de acceso y fases del procedimiento; b) un entorno electrónico seguro que impida el acceso o la transferencia ilícitos y accidentales de datos electrónicos a personas no autorizadas; c) el almacenamiento y tratamiento seguros de los documentos en papel limitado a lo estrictamente necesario para alcanzar el objetivo del tratamiento; d) la debida supervisión de las limitaciones y la revisión periódica de su aplicación. Las revisiones mencionadas en la letra d) se llevarán a cabo al menos cada seis meses.

2 Las limitaciones se levantarán tan pronto como dejen de cumplirse las circunstancias que las justifiquen.

3 Los datos personales se conservarán de conformidad con las normas de conservación aplicables de la Comisión, definidas en los registros mantenidos en virtud del artículo 31 del Reglamento (UE) 2018/1725. Al final del período de conservación, los datos personales se suprimirán, anonimizarán o transferirán a los archivos de conformidad con el artículo 13 del Reglamento (UE) 2018/1725.

1 Se informará sin demora injustificada al delegado de la protección de datos de la Comisión cada vez que se limiten los derechos de las personas interesadas de conformidad con la presente Decisión. A petición del delegado de la protección de datos, se le facilitará el acceso al registro y a todos los documentos que contengan los elementos de hecho y de derecho subyacentes.

2 El delegado de la protección de datos podrá solicitar que se revise la limitación. El delegado de la protección de datos será informado por escrito sobre el resultado de la revisión solicitada.

3 La Comisión documentará la participación del delegado de la protección de datos en cada uno de los casos en los que se limiten los derechos y obligaciones contemplados en el artículo 2, apartado 2.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.