Decisión (UE) 2024/1245 de la Comisión, de 2 de mayo de 2024, por la que se establecen normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos por parte de la Comisión en el contexto de las actividades del Servicio de Mediación

1 La presente Decisión se aplica al tratamiento de datos personales por parte de la Comisión como responsable del tratamiento a efectos de la tramitación de las solicitudes con arreglo al artículo 6 de la Decisión C(2024) 1420.

2 La presente Decisión establece las normas que deberá seguir la Comisión para informar a los interesados del tratamiento de sus datos de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725 cuando tramite peticiones y reclamaciones con arreglo al artículo 6 de la Decisión C(2024) 1420.

3 Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con su artículo 25, apartado 1, letra h).

4 Las categorías de datos personales comprendidas en el ámbito de la presente Decisión incluyen datos de identificación, información de contacto, información sobre funciones y tareas profesionales e información sobre la conducta privada y profesional y el rendimiento profesional. Las personas solicitantes también podrán facilitar las categorías sensibles de datos personales a que se refieren los artículos 10 y 11 del Reglamento (UE) 2018/1725 en el contexto de la solicitud de asistencia del Servicio de Mediación en un caso específico.

1 A reserva de lo dispuesto en los artículos 3 a 9 de la presente Decisión, la Comisión podrá limitar la aplicación de los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, así como el principio de transparencia establecido en su artículo 4, apartado 1, letra a), en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19, 20 y 35. La Comisión podrá actuar en este sentido cuando el ejercicio de dichos derechos y obligaciones pueda afectar negativamente a la protección de los interesados o a los derechos y libertades de terceros, de conformidad con el artículo 25, apartado 1, letra h), de dicho Reglamento.

2 El apartado 1 se entenderá sin perjuicio de la aplicación de otras decisiones de la Comisión que establezcan normas internas sobre la comunicación de información a los interesados y la limitación de determinados derechos con arreglo al artículo 25 del Reglamento (UE) 2018/1725.

3 Toda limitación de los derechos y obligaciones a que se refiere el apartado 1 deberá respetar el contenido esencial de los derechos y libertades fundamentales y será necesaria y proporcionada, teniendo en cuenta los riesgos para los derechos y libertades de los interesados.

4 Antes de aplicar limitaciones, la Comisión llevará a cabo una evaluación caso por caso de su necesidad y proporcionalidad. Las limitaciones serán las estrictamente necesarias para alcanzar su objetivo.

1 La Comisión publicará en su sitio web un aviso de protección de datos que informará a todos los interesados de sus actividades que impliquen el tratamiento de los datos personales de estos a los efectos de tramitar peticiones presentadas con arreglo al artículo 6 de la Decisión C(2024) 1420. La notificación también proporcionará información sobre la posibilidad de limitar los derechos de los interesados de conformidad con los artículos 2, 3, 4 y 5 de la presente Decisión, así como sobre los derechos que pueden limitarse, los motivos por los que pueden aplicarse las limitaciones y su posible duración.

2 La Comisión informará individualmente, por los medios adecuados, a las personas solicitantes del tratamiento de sus datos personales. La Comisión también informará individualmente, por los medios adecuados, a la persona afectada cuando la persona solicitante haya dado su consentimiento a una mediación informal con la persona afectada.

3 Cuando la Comisión limite, de conformidad con el artículo 2, total o parcialmente, la comunicación de la información a que se refiere el apartado 2 a las personas afectadas cuyos datos personales sean tratados con el fin de tramitar las solicitudes con arreglo al artículo 6 de la Decisión C(2024) 1420, consignará y registrará los motivos de la limitación de conformidad con el artículo 6 de la presente Decisión.

1 Cuando la Comisión limite, total o parcialmente, el derecho de acceso de los interesados a sus datos personales, el derecho de supresión o el derecho a la limitación del tratamiento a que se refieren los artículos 17, 19 y 20 del Reglamento (UE) 2018/1725, respectivamente, informará al interesado afectado, por escrito y sin demora injustificada, en su respuesta a la solicitud de acceso, supresión o limitación del tratamiento, de lo siguiente: a) la limitación impuesta y los motivos principales de dicha limitación, y b) la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

2 La comunicación de la información sobre los motivos de la limitación a que se refiere el apartado 1 podrá aplazarse, omitirse o denegarse en la medida en que deje sin efecto la limitación.

3 La Comisión consignará los motivos de la limitación conforme a lo dispuesto en el artículo 6.

4 Cuando el derecho de acceso se limite total o parcialmente, el interesado podrá ejercer su derecho de acceso a través de la mediación del Supervisor Europeo de Protección de Datos, de conformidad con el artículo 25, apartados 6, 7 y 8, del Reglamento (UE) 2018/1725.

Cuando la Comisión tenga la obligación de comunicar al interesado alguna violación de la seguridad de los datos personales tal como establece el artículo 35 del Reglamento (UE) 2018/1725, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. La Comisión consignará y registrará los motivos de la limitación conforme a lo dispuesto en el artículo 6 de la presente Decisión. La Comisión comunicará la consignación al Supervisor Europeo de Protección de Datos en el momento de la notificación de la violación de la seguridad de los datos personales.

1 La Comisión consignará los motivos de toda limitación impuesta con arreglo a la presente Decisión, incluida la evaluación de los riesgos para los derechos y libertades de los interesados que acarree la limitación en cuestión, así como la necesidad y proporcionalidad de esta, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

2 El registro indicará la medida en que el ejercicio del derecho por el interesado pueda afectar negativamente a la protección de los interesados o a los derechos y libertades de terceros, de conformidad con el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725.

3 Se consignará el registro y, en su caso, los documentos que contengan elementos subyacentes de hecho y de derecho. Se pondrán, previa solicitud, a disposición del Supervisor Europeo de Protección de Datos.

1 Las limitaciones a que se refieren los artículos 3, 4 y 5 seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen.

2 Cuando los motivos de una limitación contemplada en los artículos 3, 4 y 5 dejen de ser aplicables, la Comisión levantará la limitación.

3 Además, comunicará al interesado los principales motivos por los que se aplica dicha limitación y le informará sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

4 La Comisión revisará la aplicación de las limitaciones a que se refieren los artículos 3, 4 y 5 de la presente Decisión cuando la persona solicitante dé su consentimiento para llevar a cabo una mediación informal con la persona afectada o, a más tardar, cuando se archiven las solicitudes presentadas en virtud de la Decisión C(2024) 1420. Posteriormente, la Comisión deberá supervisar cada seis meses la necesidad de mantener cualquier limitación. La revisión incluirá una evaluación de la necesidad y proporcionalidad de la limitación, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

1 La Comisión aplicará salvaguardias para prevenir los abusos y el acceso ilícito a los datos personales que sean objeto o puedan ser objeto de limitaciones, o la transferencia ilícita de estos. Dichas salvaguardias incluirán medidas técnicas y organizativas y se detallarán en caso necesario en los procedimientos internos de la Comisión. Las salvaguardias comprenderán: a) la definición clara de las funciones, responsabilidades, derechos de acceso y fases del procedimiento; b) un entorno electrónico seguro que impida el acceso ilícito y accidental a los datos electrónicos o la transferencia ilícita o accidental de datos electrónicos a personas no autorizadas; c) un almacenamiento y un tratamiento seguro de los documentos en soporte papel, y d) la debida supervisión de las limitaciones y la revisión periódica de su aplicación.

2 Los datos se conservarán de conformidad con el artículo 6, apartado 11, de la Decisión C(2024) 1420. Al final del período de conservación, la Comisión suprimirá los datos personales.

1 Se consultará al coordinador de la protección de datos nombrado para asesorar al departamento de la Comisión afectado antes de la aplicación de cualquier limitación y comprobar la conformidad de esta con la presente Decisión.

2 Sin perjuicio de lo dispuesto en el apartado 1, se informará sin demora injustificada al delegado de la protección de datos de la Comisión cada vez que se limiten los derechos de los interesados de conformidad con la presente Decisión. Se facilitará al delegado de protección de datos, previa petición, el acceso al registro pertinente y a todos los documentos que contengan elementos de hecho y de Derecho subyacentes.

3 El delegado de protección de datos podrá solicitar que se revise la aplicación de una limitación. La Comisión notificará por escrito al responsable de protección de datos el resultado de la revisión solicitada.

4 La Comisión documentará la participación del delegado de protección de datos y, cuando proceda, del coordinador de protección de datos, incluida la información que se les haya facilitado, en cada uno de los casos en los que se limiten los derechos y obligaciones contemplados en el artículo 2, apartado 2, párrafo primero.

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.