Reglamento de Ejecución (UE) 2024/3084 de la Comisión, de 4 de diciembre de 2024, sobre el funcionamiento del sistema de información en virtud del Reglamento (UE) 2023/1115 del Parlamento Europeo y del Consejo relativo a la comercialización en el mercado de la Unión y a la exportación desde la Unión de determinadas materias primas y productos asociados a la deforestación y la degradación forestal

El presente Reglamento establece las normas para el funcionamiento del sistema de información, entre las que se encuentran las normas para la protección de los datos personales y el intercambio de datos con otros sistemas informáticos.

1 La Comisión deberá: a) desarrollar el sistema de información como un módulo independiente de la plataforma TRACES; b) asegurar el funcionamiento, el mantenimiento, el apoyo y cualquier actualización o desarrollo necesarios del sistema de información.

2 El sistema de información será usado por operadores y comerciantes y, en su caso, por sus representantes autorizados, para presentar y gestionar las declaraciones de diligencia debida y para comprobar la validez de los números de referencia, así como por las autoridades competentes, las autoridades aduaneras y la Comisión para acceder a las declaraciones de diligencia debida y actuar en relación con ellas, por ejemplo mediante el intercambio de información que contenga datos personales entre las autoridades competentes, las autoridades aduaneras y la Comisión en relación con la aplicación y el cumplimiento del Reglamento (UE) 2023/1115. Todo intercambio de información de este tipo cumplirá las normas sobre protección de datos personales establecidas en el Reglamento (UE) 2016/679 y en el Reglamento (UE) 2018/1725.

3 Las declaraciones de diligencia debida se asignan en el sistema de información a las autoridades competentes en el siguiente orden: a) si el usuario del sistema de información proporciona información que indique el Estado miembro en el que el producto en cuestión entra o sale del mercado de la Unión, o, en su defecto, si el producto pertinente se introduce en el mercado o se comercializa, las declaraciones de diligencia debida se asignarán a las autoridades competentes de dicho Estado miembro; b) si no se dispone de la información exigida en la letra a), las declaraciones de diligencia debida se asignarán a las autoridades competentes del Estado miembro en el que esté establecido el usuario del sistema de información. En caso de que el usuario del sistema de información esté establecido fuera de la Unión, las declaraciones de diligencia debida se atribuirán a las autoridades competentes del Estado miembro al que esté asociado el usuario del sistema de información en función del identificador que haya facilitado en el momento del registro en el sistema de información.

A efectos del presente Reglamento, además de las definiciones que figuran en el artículo 2, del Reglamento (UE) 2023/1115, en el artículo 4 del Reglamento (UE) 2016/679 y en el artículo 3 del Reglamento (UE) 2018/1725, se entenderá por: a) «sistema de información»: el sistema de información establecido y mantenido por la Comisión de conformidad con el artículo 33 del Reglamento (UE) 2023/1115; b) «agente del sistema de información»: las autoridades competentes y las autoridades aduaneras en virtud del Reglamento (UE) 2023/1115, así como la Comisión, que llevan a cabo las tareas que se les atribuyen de conformidad con el Reglamento (UE) 2023/1115; c) «usuario del sistema de información»: operadores y comerciantes, y sus representantes autorizados, en su caso, en virtud del Reglamento (UE) 2023/1115, identificados mediante registro individual en EU Login, el servicio de autenticación de usuarios de la Comisión Europea; d) «declaración de diligencia debida»: declaración de diligencia debida presentada por el usuario del sistema de información en virtud del Reglamento (UE) 2023/1115; e) «número de referencia»: el número de referencia asignado por el sistema de información a la declaración de diligencia debida presentada por el usuario del sistema de información en virtud del Reglamento (UE) 2023/1115; f) «número de verificación»: número de seguridad asignado por el sistema de información a la declaración de diligencia debida presentada por el usuario del sistema de información para garantizar una mayor seguridad de los datos contenidos en la declaración de diligencia debida; g) «elaboración de perfiles de riesgo»: la identificación en el sistema de información de los riesgos de incumplimiento de un producto pertinente dentro del ámbito de aplicación del Reglamento (UE) 2023/1115, sobre la base de criterios de riesgo, con el fin de asignar a cada declaración de diligencia debida presentada en el sistema de información, así como a cualquier modificación de la misma, un estado de riesgo que refleje estos riesgos.

1 Salvo en aquellos casos en que la declaración de diligencia debida esté disponible a través de la interfaz electrónica a que se refiere el artículo 28, apartado 2, del Reglamento (UE) 2023/1115, los usuarios del sistema de información presentarán y gestionarán las declaraciones de diligencia debida de los productos pertinentes en el sistema de información.

2 Cuando un producto pertinente contenga o se haya fabricado con madera, los usuarios del sistema de información introducirán en la declaración de diligencia debida los nombres comunes y los nombres científicos completos de las especies de madera contenidas en los productos pertinentes o con las que se hayan fabricado estos.

1 El sistema de información dará la posibilidad a sus usuarios de modificar o retirar las declaraciones de diligencia debida en un plazo de setenta y dos horas a partir de la puesta a disposición del número de referencia de la declaración de diligencia debida en el sistema de información.

2 Las declaraciones de diligencia debida no podrán modificarse ni retirarse dentro del plazo establecido en el apartado 1 después de que la declaración de diligencia debida se haya utilizado como referencia en una declaración de diligencia debida presentada por el mismo usuario u otro usuario del sistema de información.

3 La declaración de diligencia debida no será modificada ni retirada por un usuario una vez que: a) se haya notificado al usuario del sistema de información acerca de la intención de llevar a cabo un control de la declaración de diligencia debida o del producto pertinente asociado a la declaración de diligencia debida para el período de control; b) el producto pertinente se haya introducido o comercializado en el mercado de la Unión en virtud del Reglamento (UE) 2023/1115; c) el número de referencia de la declaración de diligencia debida se haya facilitado o puesto a disposición de las autoridades aduaneras antes del despacho a libre práctica o la exportación de un producto pertinente que entra en el mercado o sale del mismo como parte de los procedimientos establecidos en el capítulo 4 del Reglamento (UE) 2023/1115.

4 Sin perjuicio de lo dispuesto en los apartados 2 y 3, previa solicitud individual y motivada de un usuario del sistema de información, las autoridades competentes podrán prorrogar el plazo a que se refiere el apartado 1 únicamente cuando haya expirado dicho plazo. Dicha prórroga no podrá ser superior a ocho días naturales. La solicitud se basará en motivos ajenos al control del usuario del sistema de información, que, como parte de su solicitud motivada, declarará que no es de aplicación el apartado 3 del presente artículo. Dicha prórroga también será posible de manera retroactiva una vez transcurrido el período a que se refiere el apartado 1.

5 La declaración de diligencia debida modificada estará sujeta a la elaboración de perfiles de riesgo, tal como se establece en el artículo 6. La elaboración de perfiles de riesgo se aplicará a la totalidad de la declaración de diligencia debida modificada.

1 El sistema de información permitirá a las autoridades competentes identificar situaciones dentro del sistema de información en las que los productos pertinentes presenten un riesgo tan elevado de incumplimiento que requieran una actuación inmediata antes de que dichos productos pertinentes se introduzcan en el mercado o se comercialicen o exporten, en virtud del artículo 17 del Reglamento (UE) 2023/1115. Asimismo, permitirá informar a las autoridades competentes para determinar los controles que deben realizarse y completar las tareas que les hayan sido encomendadas en virtud del capítulo 3 del Reglamento (UE) 2023/1115.

2 A efectos del apartado 1, el sistema de información permitirá a las autoridades competentes elaborar perfiles de riesgo en el sistema de información para apoyar una decisión fundada sobre la selección de los operadores o comerciantes o de los productos pertinentes asociados a las declaraciones de diligencia debida sobre los que llevar a cabo los controles. Estos perfiles de riesgo se basarán, entre otras cosas, en los criterios de riesgo establecidos en su plan anual de controles en virtud del artículo 16, apartado 5, del Reglamento (UE) 2023/1115, que se establece de conformidad con su enfoque basado en el riesgo de conformidad con el artículo 16, apartado 3, del Reglamento (UE) 2023/1115.

3 Tras su presentación en el sistema de información, toda declaración de diligencia debida se someterá a la elaboración electrónica automatizada de un perfil de riesgo y el sistema de información asignará un estado de riesgo a cada declaración de diligencia debida.

4 En cualquier momento tras la presentación de una declaración de diligencia debida, las autoridades competentes podrán revisar una declaración de diligencia debida para determinar si un producto pertinente cumple lo dispuesto en el artículo 3 del Reglamento (UE) 2023/1115. En tal caso, podrán asignar a la declaración de diligencia debida un nuevo estado de riesgo como resultado de la revisión. Si la autoridad competente asigna un nuevo estado de riesgo a una declaración de diligencia debida, este prevalecerá sobre el estado de riesgo asignado con arreglo al apartado 3 del presente artículo.

1 El sistema de información asignará, sin demora indebida, un número de referencia y un número de verificación a la declaración de diligencia debida presentada por el usuario del sistema de información tras concluir la elaboración del perfil de riesgo a que se refiere el artículo 6.

2 El número de referencia y el número de verificación se pondrán a disposición del usuario del sistema de información una vez concluida la elaboración del perfil de riesgo a que se refiere el artículo 6.

3 El sistema de información permitirá a las autoridades competentes retrasar la puesta a disposición del número de referencia para determinar si los productos pertinentes cumplen lo dispuesto en el artículo 3 del Reglamento (UE) 2023/1115 y, en particular, permitirá comprobar que la situación detectada a que se refiere el artículo 6, apartado 1, del presente Reglamento no es aplicable a dicho producto pertinente. Dicho retraso será lo más breve posible y no excederá del período establecido en el artículo 17, apartado 3, del Reglamento (UE) 2023/1115. Podrá seguir prorrogándose a discreción de la autoridad competente.

1 Las autoridades competentes podrán rechazar una declaración de diligencia debida con objeto de evitar que se introduzca en el mercado, se comercialice o se exporte en virtud del artículo 17 del Reglamento (UE) 2023/1115 un producto pertinente que no cumpla lo dispuesto en dicho Reglamento, a menos que el número de referencia de una declaración de diligencia debida ya esté disponible en el sistema de información.

2 El producto pertinente declarado en una declaración de diligencia debida rechazada se considerará no cubierto por una declaración de diligencia debida conforme a lo dispuesto en el artículo 3, letra c), del Reglamento (UE) 2023/1115.

3 El rechazo se reflejará en el sistema de información mediante la asignación de un estado específico a la declaración de diligencia debida de que se trate.

Además de las tareas enumeradas en el artículo 2, apartado 1, la Comisión será responsable de llevar a cabo las siguientes tareas en relación con el sistema de información: a) proporcionar conocimientos, formación y apoyo, en particular asistencia técnica, a los usuarios y agentes del sistema de información en relación con el uso del sistema de información; b) conceder acceso a agentes del sistema de información designados por cada Estado miembro; c) conceder acceso a usuarios del sistema de información, que estén bajo la supervisión de las autoridades competentes; d) realizar el tratamiento de datos personales en el sistema de información, cuando así lo exija el presente Reglamento, o para la aplicación y el cumplimiento con arreglo al Reglamento (UE) 2023/1115; e) prestar servicios web para que los usuarios del sistema de información presenten y gestionen de manera automatizada las declaraciones de diligencia debida; f) prestar servicios web para que las autoridades competentes de los Estados miembros lleven a cabo las tareas relativas a las declaraciones de diligencia debida presentadas en el sistema de información de manera automatizada; g) proporcionar la interfaz electrónica con arreglo al artículo 28 del Reglamento (UE) 2023/1115; h) suspender y revocar el acceso de los usuarios del sistema de información a petición de las autoridades competentes del Estado miembro en el que esté establecido el usuario del sistema de información o, en caso de que el usuario esté establecido fuera de la Unión, a petición de las autoridades competentes del Estado miembro al que esté asociado el usuario del sistema de información con arreglo a su identificador facilitado en el momento del registro en el sistema de información.

1 Solo los usuarios registrados del sistema de información tendrán acceso al sistema de información.

2 La autenticación para el sistema de información se realizará a través de EU Login, el servicio de autenticación de la Comisión Europea.

3 Los usuarios del sistema de información tendrán acceso a la información que ellos mismos hayan presentado o a la que otro usuario del sistema de información les haya dado acceso a través de números de referencia y números de verificación de las declaraciones de diligencia debida asociadas.

1 La Comisión tendrá acceso a todos los datos, información y documentos del sistema de información para la elaboración de informes y para el desarrollo, el funcionamiento y el mantenimiento del sistema.

2 La Comisión concederá y podrá revocar derechos de acceso a los agentes del sistema de información en caso de cambios de competencias en virtud del artículo 14, apartado 2, del Reglamento (UE) 2023/1115.

3 La autenticación para el sistema de información se realizará a través de EU Login, el servicio de autenticación de la Comisión Europea.

4 Los agentes del sistema de información establecerán medios adecuados para velar por que los usuarios individuales que representen a agentes del sistema de información puedan acceder a los datos personales tratados en dicho sistema únicamente cuando sea estrictamente necesario con fines de aplicación y control del cumplimiento en virtud del Reglamento (UE) 2023/1115.

5 Los agentes del sistema de información tendrán acceso a toda la información pertinente del sistema de información que sea necesaria para el cumplimiento de sus obligaciones y tareas en virtud del Reglamento (UE) 2023/1115.

1 La transmisión, el almacenamiento y otros tratamientos de los datos personales en el sistema de información solo podrán realizarse en la medida en que sean necesarios y proporcionados y únicamente para los fines siguientes: a) apoyar las comunicaciones entre los agentes del sistema de información en relación con la aplicación y el cumplimiento con arreglo al Reglamento (UE) 2023/1115; b) tramitar casos por parte de los agentes del sistema de información cuando realicen sus propias actividades en relación con la aplicación y el control del cumplimiento con arreglo al Reglamento (UE) 2023/1115; c) llevar a cabo las transformaciones empresariales y técnicas de los datos enumerados en el presente Reglamento, cuando sea necesario para permitir el intercambio y el uso de información a que se refieren las letras a) y b).

2 Los datos personales en el sistema de información se podrán tratar únicamente respecto de las siguientes categorías de datos personales: a) datos de identificación: nombre y apellidos, identificador único, incluido el número de registro e identificación de los operadores económicos (EORI), de conformidad con el artículo 9 del Reglamento (UE) n.o 952/2013 del Parlamento Europeo y del Consejo , si procede; b) datos de contacto profesionales: dirección de correo electrónico y dirección postal, país de residencia o país del domicilio social, número de teléfono y número de fax, si procede; c) función del usuario del sistema de información; d) datos sobre geolocalización en virtud del artículo 2, apartado 28, del Reglamento (UE) 2023/1115, cuando se pueda identificar a personas físicas; e) autenticación del usuario y datos de acceso al sistema de información: dirección IP y nombre de usuario.

3 El sistema de información almacenará las categorías de datos personales enumeradas en el apartado 2 que se hayan procesado para la aplicación y el control del cumplimiento en virtud del Reglamento (UE) 2023/1115.

4 El almacenamiento de los datos a que se refiere el apartado 2 se llevará a cabo utilizando una infraestructura informática situada en el Espacio Económico Europeo.

5 El sistema de información almacenará los datos personales almacenados en las declaraciones de diligencia debida no más de diez años a partir de la fecha en que la declaración de diligencia debida se presente en el sistema de información. La Comisión podrá prorrogar el período de almacenamiento previa solicitud individual por parte de los usuarios o agentes del sistema de información cuando sea necesario para cumplir sus responsabilidades y obligaciones al amparo del Reglamento (UE) 2023/1115.

6 Sin perjuicio de las actividades de tratamiento de datos establecidas en el artículo 14, cada agente del sistema de información será un responsable del tratamiento independiente en el sentido del Reglamento (UE) 2016/679 y del Reglamento (UE) 2018/1725 con respecto a las actividades de tratamiento de datos que lleve a cabo el agente del sistema de información.

7 Las autoridades nacionales de control y el Supervisor Europeo de Protección de Datos, cada uno dentro del ámbito de sus competencias respectivas, garantizarán una supervisión coordinada del sistema de información y su uso por parte de los agentes y usuarios del sistema de información de conformidad con el artículo 62 del Reglamento (UE) 2018/1725.

1 La Comisión será un responsable del tratamiento en el sentido del artículo 3, punto 8), del Reglamento (UE) 2018/1725 con respecto al tratamiento de datos personales de los usuarios del sistema de información, en particular el tratamiento de datos personales al registrar usuarios del sistema de información en dicho sistema.

2 Cuando la Comisión trate datos personales en el funcionamiento del sistema de información en nombre de otros agentes del sistema de información con el fin de intercambiar información en virtud del artículo 27 del Reglamento (UE) 2023/1115, se considerará un encargado del tratamiento en el sentido del artículo 3, punto 12), del Reglamento (UE) 2018/1725.

3 La Comisión será un encargado del tratamiento en el sentido del artículo 3, punto 12), del Reglamento (UE) 2018/1725 para el tratamiento de datos personales llevado a cabo para las investigaciones conjuntas con arreglo al artículo 21 del Reglamento (UE) 2023/1115 llevadas a cabo en el contexto de la aplicación y el control del cumplimiento con arreglo al Reglamento (UE) 2023/1115.

Cuando las autoridades competentes y las autoridades aduaneras en virtud del Reglamento (UE) 2023/1115 cooperen para llevar a cabo la aplicación y el control del cumplimiento con arreglo al artículo 21 del Reglamento (UE) 2023/1115, las autoridades competentes y las autoridades aduaneras afectadas serán corresponsables del tratamiento, en el sentido del artículo 26, apartado 1, del Reglamento (UE) 2016/679, para la transmisión, el almacenamiento y otros tratamientos de los datos personales en el sistema de información en el contexto de dicha cooperación particular. Cuando así lo exija el artículo 26, apartado 1, del Reglamento (UE) 2016/679, los responsables del tratamiento determinarán sus responsabilidades respectivas en el cumplimiento de las obligaciones en virtud del Reglamento (UE) 2016/679 mediante un acuerdo entre ellos.

1 La Comisión incorporará las medidas necesarias más avanzadas para velar por la seguridad de los datos de carácter personal objeto de tratamiento en el sistema de información, incluidas las medidas apropiadas de control de acceso a los datos y un plan de seguridad que se mantendrá actualizado.

2 La Comisión adoptará las medidas necesarias y más avanzadas en caso de incidente de seguridad, adoptará medidas correctoras y velará por que sea posible verificar qué datos personales han sido tratados en el sistema de información, cuándo, por quién y con qué fin.

3 La Comisión informará a las autoridades competentes sobre las medidas relativas a los apartados 1 y 2 del presente artículo.

1 Cada Estado miembro y la Comisión aplicarán sus propias normas sobre secreto profesional u otras obligaciones equivalentes de confidencialidad con respecto al sistema de información de conformidad con el Derecho nacional o de la Unión.

2 Cada agente del sistema de información velará por que las personas que trabajen bajo su autoridad cumplan las exigencias de otros agentes del sistema de información de tratamiento confidencial de la información intercambiada en dicho sistema.

1 La Comisión velará por que el sistema de información esté disponible en todas las lenguas oficiales de la Unión.

2 Un agente del sistema de información podrá generar y usar, en relación con el desempeño de cualquiera de las funciones que le hayan sido conferidas de conformidad con el Reglamento (UE) 2023/1115, cualquier información, documento, constatación, declaración o copia certificada conforme que haya recibido en el sistema de información, sobre la misma base que la información similar obtenida en su propio país, con fines compatibles con aquellos para los que se recogieron originalmente los datos y de conformidad con el Derecho nacional y de la Unión pertinente.

1 Los gastos contraídos para la creación, el mantenimiento y el funcionamiento del sistema de información correrán a cargo de la Comisión.

2 Los gastos asociados del sistema de información a nivel de los Estados miembros, entre los que se encuentran los recursos humanos necesarios para las actividades de formación, promoción y asistencia técnica, así como para la utilización del sistema de información a nivel nacional y cualquier adaptación necesaria en las redes y sistemas de información nacionales, correrán a cargo del Estado miembro que los realice.

El presente Reglamento entrará en vigor a los tres días de su publicación en el Diario Oficial de la Unión Europea.