Decisión (UE) 2024/1043 de la Comisión, de 9 de abril de 2024, por la que se establecen normas internas relativas a la limitación de determinados derechos de los interesados en el contexto del tratamiento de datos personales por parte del consejero confidencial jefe y los consejeros confidenciales en el desempeño de funciones relacionadas con la prevención del acoso psicológico y sexual y la lucha contra este

1 La presente Decisión se aplica al tratamiento de datos personales por parte de la Comisión, como responsable del tratamiento, a efectos del desempeño de las funciones del consejero confidencial jefe y de los consejeros confidenciales para prevenir y combatir el acoso psicológico o sexual, tal como se establece en la Decisión C(2023) 8630.

2 Las categorías de datos personales amparadas por la presente Decisión incluyen los datos de identificación, contacto y comportamiento relacionados con el comportamiento del presunto acosador hacia la víctima u otras personas afectadas, así como los datos personales a que se refieren el artículo 10, apartado 1, y el artículo 11 del Reglamento (UE) 2018/1725.

3 La presente Decisión establece las normas que deberá seguir la Comisión para informar a los interesados sobre el tratamiento de sus datos personales, de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725.

4 Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con su artículo 25, apartado 1, letra h).

1 Sin perjuicio de lo dispuesto en los artículos 3 a 7 de la presente Decisión, cuando el ejercicio de los derechos y obligaciones a que se refieren las siguientes disposiciones pueda afectar negativamente a la protección del interesado o a los derechos y libertades de terceros de conformidad con el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725, la Comisión podrá limitar la aplicación de: a) los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725; b) el principio de transparencia establecido en el artículo 4, apartado 1, letra a), del Reglamento (UE) 2018/1725, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19 y 20 de dicho Reglamento. La Comisión ejercerá las competencias conferidas por el párrafo primero únicamente con el fin de salvaguardar: a) los objetivos del procedimiento informal establecido en el título II, capítulo II, de la Decisión C(2023) 8630; b) el desempeño de las funciones del consejero confidencial jefe y de los consejeros confidenciales de la Comisión para la prevención del acoso psicológico y sexual y la lucha contra este. La Comisión ejercerá las competencias conferidas por el párrafo primero únicamente en relación con cualquiera de las siguientes categorías de datos personales por ella tratadas: a) los datos que las víctimas comunican al consejero confidencial jefe y a los consejeros confidenciales de la Comisión; b) los datos recogidos por el consejero confidencial jefe en el marco de su misión de informar al director general o al jefe de servicio afectado y, si la víctima está de acuerdo, a la IDOC, de acusaciones recurrentes de acoso en la misma Dirección General o Servicio.

2 La Comisión podrá actuar en este sentido cuando el ejercicio de dichos derechos y obligaciones pueda afectar negativamente a la protección de los interesados o a los derechos y libertades de terceros, de conformidad con el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725.

3 El apartado 1 no afectará a la aplicación de otras decisiones de la Comisión que establezcan normas internas sobre la comunicación de información a las personas interesadas y de las limitaciones con arreglo al artículo 25 del Reglamento (UE) 2018/1725.

4 Antes de aplicar limitaciones, la Comisión llevará a cabo una evaluación caso por caso de su necesidad y proporcionalidad. Las limitaciones serán las estrictamente necesarias para alcanzar su objetivo.

1 La Comisión publicará en su sitio web un aviso de protección de datos que informará a todos los interesados de toda actividad que implique el tratamiento de sus datos personales para los fines descritos en el artículo 2, apartado 1, párrafo segundo.

2 El aviso de protección de datos incluirá una sección que proporcione información general a los interesados sobre la posible limitación de sus derechos con arreglo al artículo 2, apartado 1. Se especificará qué derechos podrán limitarse, los motivos para la aplicación de dichas limitaciones y su posible duración.

3 La Comisión informará individualmente, por los medios adecuados, a las víctimas y testigos que denuncien casos de acoso psicológico y sexual sobre el tratamiento de sus datos personales.

4 Una vez concluido el procedimiento informal con el consejero confidencial jefe, la Comisión informará individualmente, por escrito y sin demora indebida al presunto acosador de las limitaciones pertinentes de sus derechos como interesado cuando estas se hayan aplicado de conformidad con la presente Decisión. La Comisión informará al interesado de los principales motivos en los que se basa la limitación, de su derecho a consultar al delegado de protección de datos con el fin de impugnar la limitación y de su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos. Una vez concluido el procedimiento informal, la Comisión podrá seguir limitando determinados derechos de los interesados que estén vinculados a los datos personales tratados a efectos de dicho procedimiento si ello es estrictamente necesario para la protección de la víctima o de otras personas afectadas, y, si es posible, indicará el período al término del cual se restablecerán plenamente los derechos.

1 Cuando la Comisión limite, total o parcialmente, el derecho de acceso de los interesados a sus datos personales, el derecho de supresión o el derecho a la limitación del tratamiento a que se refieren los artículos 17, 19 y 20 del Reglamento (UE) 2018/1725, informará al interesado, por escrito y sin demora injustificada, en su respuesta a la solicitud de acceso, supresión o limitación del tratamiento, de lo siguiente: a) la limitación aplicada y los principales motivos en los que se basa su aplicación; b) la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

2 La comunicación de la información sobre los principales motivos de la limitación a que se refiere el apartado 1, letra a), podrá aplazarse, omitirse o denegarse en la medida en que anule el objetivo de la limitación. La Comisión evaluará, caso por caso, si dicha limitación está justificada.

1 Cuando la Comisión tenga la obligación de comunicar al interesado alguna violación de la seguridad de los datos personales en virtud del artículo 35, apartado 1, del Reglamento (UE) 2018/1725, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. Documentará en una nota los motivos de la limitación, su fundamento jurídico de conformidad con el artículo 2 y una evaluación de su necesidad y proporcionalidad. La nota se comunicará al Supervisor Europeo de Protección de Datos en el momento de la notificación de la violación de la seguridad de los datos personales.

2 Cuando dejen de ser aplicables los motivos de la limitación, la Comisión comunicará al interesado la violación de la seguridad de los datos personales y los motivos principales de la limitación, así como de su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos.

3 Cuando la Comisión notifique la violación de la seguridad de los datos personales al Supervisor Europeo de Protección de Datos de conformidad con el artículo 34, apartado 1, del Reglamento (UE) 2018/1725, adjuntará a la notificación el registro realizado de conformidad con el artículo 6 de la presente Decisión.

1 Las evaluaciones de los riesgos para los derechos y libertades de los interesados que suponga la aplicación de limitaciones y los detalles sobre el período de aplicación de dichas limitaciones se harán constar en el registro de actividades de tratamiento llevado por la Comisión en virtud del artículo 31 del Reglamento (UE) 2018/1725. El registro indicará la medida en que el ejercicio del derecho por el interesado socavaría el motivo aplicable contemplado en el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725.

2 La Comisión registrará los motivos de toda evaluación individual relativa a cada limitación impuesta con arreglo a la presente Decisión, incluida la evaluación de los riesgos para los derechos y libertades de los interesados que acarree la limitación en cuestión, así como la necesidad y proporcionalidad de la misma, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

3 Se consignará el registro y, en su caso, los documentos que contengan elementos subyacentes de hecho y de derecho. Se pondrán, previa solicitud, a disposición del Supervisor Europeo de Protección de Datos.

4 La Comisión elaborará informes periódicos sobre la aplicación del artículo 25 del Reglamento (UE) 2018/1725.

1 Las limitaciones a que se refieren los artículos 3, 4 y 5 seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen.

2 Cuando los motivos que justifiquen una limitación contemplada en los artículos 3, 4 y 5 dejen de ser aplicables, la Comisión levantará la limitación. Al mismo tiempo, la Comisión comunicará al interesado los principales motivos por los que se aplica dicha limitación y le informará sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

3 La Comisión revisará la aplicación de las limitaciones contempladas en los artículos 3, 4 y 5 cada seis meses. La revisión incluirá una evaluación de la necesidad y proporcionalidad de la limitación, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

1 La Comisión aplicará salvaguardias para prevenir los abusos y el acceso ilícito a los datos personales que sean objeto o puedan ser objeto de limitaciones, o la transferencia ilícita de estos. Dichas salvaguardias incluirán medidas técnicas y organizativas tales como: a) la definición clara de las funciones, responsabilidades, derechos de acceso y fases del procedimiento; b) un entorno electrónico seguro que impida el acceso ilícito o accidental a datos electrónicos a personas no autorizadas, o la transferencia de estos; c) el almacenamiento y tratamiento seguros de los documentos en papel, limitados a lo estrictamente necesario para alcanzar el objetivo del tratamiento; d) la debida supervisión de las limitaciones y la revisión periódica de su aplicación, que se llevará a cabo al menos cada seis meses.

2 Las limitaciones a que se refiere el artículo 2 se levantarán tan pronto como dejen de existir los motivos que las justifiquen.

3 Los datos personales se conservarán de conformidad con las normas de conservación vigentes de la Comisión, definidas en los registros mantenidos en virtud del artículo 31 del Reglamento (UE) 2018/1725. Al final del período de conservación, los datos personales se suprimirán, anonimizarán o transferirán a los archivos de conformidad con el artículo 13 del Reglamento (UE) 2018/1725.

1 Se consultará al coordinador de protección de datos de la Dirección General de Recursos Humanos antes de la aplicación de cualquier limitación, cuya conformidad con la presente Decisión se comprobará.

2 Se informará sin demora injustificada al delegado de protección de datos de la Comisión cada vez que se limiten los derechos de las personas interesadas de conformidad con la presente Decisión. A petición del delegado de protección de datos, se le facilitará el acceso al registro y a todos los documentos que contengan los elementos de hecho y de derecho subyacentes.

3 El delegado de protección de datos podrá solicitar que se revise la aplicación de una limitación. El delegado de protección de datos será informado por escrito sobre el resultado de la revisión solicitada.

4 La Comisión documentará la participación del delegado de protección de datos y del coordinador de protección de datos, incluida la información que se les haya facilitado, en cada uno de los casos en los que se limiten los derechos y obligaciones contemplados en el artículo 2, apartado 1, párrafo primero.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.