Agencia Estatal Boletín Oficial del Estado

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1), y en particular su artículo 25, apartado 1,

Considerando lo siguiente:

(1)

El Estatuto de los funcionarios de la Unión Europea y el régimen aplicable a los otros agentes de la Unión Europea, establecidos en el Reglamento (CEE, Euratom, CECA) n.o 259/68 del Consejo (en lo sucesivo, «Estatuto de los funcionarios») (2), disponen que los miembros del personal deben abstenerse de todo acto o comportamiento que pudiera atentar a la dignidad de su función, incluida cualquier forma de acoso psicológico o sexual.

(2)	La Comisión ha instaurado una política destinada a prevenir y abordar efectivamente los casos efectivos o potenciales de acoso psicológico o sexual en el ámbito laboral de la Comisión, tal como se dispone en su Decisión C(2023) 8630 (3).

(3)

La Decisión C(2023) 8630 introduce la figura del consejero confidencial jefe y establece un procedimiento informal a través del cual una víctima de acoso o un testigo de acoso pueden ponerse en contacto con él. El consejero confidencial jefe es el principal punto de contacto para las víctimas de acoso, a quienes proporciona asesoramiento rápido y confidencial, información sobre los servicios disponibles y apoyo. Con arreglo al procedimiento informal, puede asignar el caso a alguno de los consejeros confidenciales o bien, en situaciones excepcionales, optar por desempeñar personalmente las funciones de estos. Los consejeros confidenciales acogen, escuchan, apoyan, informan y orientan a las víctimas y se esfuerzan por encontrar una solución satisfactoria en situaciones que, desde el punto de vista de las víctimas, implican acoso. El procedimiento informal tiene por objeto ofrecer una asistencia adecuada para responder a las cuestiones planteadas por la víctima, pero sin proporcionar una evaluación jurídica del comportamiento en cuestión. En los casos de denuncias recurrentes de acoso en la misma Dirección General o Servicio, el consejero confidencial jefe puede informar al director general o al jefe de servicio de que se trate y, si la víctima está de acuerdo, a la Oficina de Investigación y Disciplina de la Comisión («IDOC»). El consejero confidencial jefe también puede ponerse en contacto con los agentes o servicios pertinentes para proporcionar información o asesoramiento sobre las medidas que conviene adoptar, sin perjuicio de sus respectivas competencias.

(4)

En el contexto de este procedimiento informal llevado a cabo por el consejero confidencial jefe y los consejeros confidenciales, la Comisión recopila y trata información. Dicha información puede incluir datos personales de la víctima, del presunto acosador, de los posibles testigos y de cualquier otra persona afectada.

(5)

Además de dirigir el procedimiento informal, el consejero confidencial jefe también debe poder, cuando proceda, facilitar la aplicación de medidas provisionales de protección y medidas de acompañamiento y ponerse en contacto con los servicios pertinentes. En este contexto, el consejero confidencial jefe también tiene acceso a los datos personales de la víctima, de los presuntos acosadores, de los posibles testigos y de cualquier otra persona afectada.

(6)

Asimismo, se puede solicitar al consejero confidencial jefe que asesore a las víctimas de acoso que hayan iniciado el procedimiento formal. Como parte de este procedimiento, de conformidad con el artículo 39, apartado 2, de la Decisión C(2023) 8630, el consejero confidencial jefe puede, a petición de la víctima, emitir un dictamen independiente sobre determinados aspectos del examen preliminar y, a tal fin, puede tener acceso a los datos personales de la víctima, del presunto acosador, de los testigos y de cualquier otra persona afectada.

(7)

Para cumplir su cometido, el consejero confidencial jefe y los consejeros confidenciales podrán recopilar y tratar varias categorías de datos personales, incluidos los datos de identificación, contacto y comportamiento, así como los datos personales a que se refieren el artículo 10, apartado 1, y el artículo 11 del Reglamento (UE) 2018/1725. La Comisión actúa como responsable del tratamiento de los datos.

(8)

En el desempeño de sus funciones en virtud del Estatuto de los funcionarios, la Comisión está obligada a respetar los derechos de las personas físicas en relación con el tratamiento de los datos personales reconocidos en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea, así como los derechos contemplados en el Reglamento (UE) 2018/1725. Al mismo tiempo, todo el personal de la Comisión debe respetar las normas de confidencialidad.

(9)

En determinadas circunstancias, es necesario conciliar los derechos de los interesados amparados por el Reglamento (UE) 2018/1725 con la necesidad de garantizar la eficacia de la respuesta de la Comisión ante acusaciones de acoso y demás comportamientos impropios, respetando plenamente los derechos y libertades fundamentales de otras personas interesadas. A tal fin, el artículo 25 del Reglamento (UE) 2018/1725 ofrece a la Comisión la posibilidad de limitar, bajo condiciones estrictas, la aplicación de los artículos 14 a 22, 35 y 36 del Reglamento (UE) 2018/1725, así como de su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20 del Reglamento (UE) 2018/1725. A menos que se establezcan limitaciones en un acto jurídico adoptado en virtud de los Tratados, es necesario adoptar normas internas con arreglo a las cuales la Comisión esté facultada para limitar esos derechos.

(10)

Con el fin de garantizar la confidencialidad y la eficacia de los procedimientos contra el acoso, incluidas las investigaciones administrativas y los procedimientos predisciplinarios, disciplinarios y de suspensión, la Comisión adoptó la Decisión (UE) 2019/165 (4) y la Decisión (UE) 2022/121 (5), que restringen, respectivamente, el ejercicio de los derechos de los interesados de conformidad con el artículo 25, apartado 1, letras b), c), g) y h), del Reglamento (UE) 2018/1725.

(11)

La Comisión puede verse obligada a conciliar los derechos de los interesados con la necesidad de salvaguardar tanto los objetivos del procedimiento informal llevado a cabo por el consejero confidencial jefe y los consejeros confidenciales como el desempeño de otras funciones del consejero confidencial jefe, tal como se establece en la Decisión C(2023) 8630.

(12)

En particular, puede resultar necesario equilibrar los derechos del presunto acosador en calidad de interesado, como su derecho a acceder a sus datos personales recogidos por el consejero confidencial jefe y los consejeros confidenciales, con los derechos y libertades fundamentales de todas las demás personas afectadas, como la víctima y los testigos potenciales. La Comisión puede actuar en este sentido, especialmente para proteger a estas personas de posibles represalias por parte de las personas contra las que se hayan formulado acusaciones que, sin embargo, no hayan dado lugar a la adopción de medidas por parte de la administración. Para ello, la Comisión puede ampararse en el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725.

(13)

Puede resultar necesario proteger la información confidencial relativa a un miembro del personal que se haya puesto en contacto con el consejero confidencial jefe o los consejeros confidenciales en el contexto de un procedimiento por acoso. En tales casos, la Comisión podría tener que limitar el acceso a la identidad, las declaraciones y otros datos personales de la presunta víctima, los testigos y otras personas afectadas, con el fin de proteger los derechos y libertades de todos los afectados.

(14)

Con el fin de cumplir lo dispuesto en los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, la Comisión debe informar a todas las personas tanto de las actividades que lleve a cabo e impliquen el tratamiento de sus datos personales como de sus derechos, de manera transparente y coherente, mediante la publicación de un aviso de protección de datos en el sitio web de la Comisión. Cuando proceda, la Comisión debe informar de forma individual, por los medios adecuados, a los interesados implicados en el procedimiento de denuncia informal.

(15)

El artículo 16, apartado 5, del Reglamento (UE) 2018/1725 establece excepciones al derecho de los interesados a la información. Si se aplican dichas excepciones, la Comisión no necesita aplicar ninguna limitación al derecho a la información en el marco de la presente Decisión. En los casos de acusaciones de acoso psicológico y sexual que den lugar a un procedimiento informal, los datos personales deben seguir siendo confidenciales. Facilitar dicha información al presunto acosador perjudicaría gravemente la consecución de los objetivos de dicho tratamiento. Por lo tanto, dichas excepciones deben aplicarse al derecho a la información de los presuntos acosadores en lo que respecta a los datos personales recogidos por el consejero confidencial jefe y los consejeros confidenciales.

(16)

La Comisión solo debe aplicar limitaciones cuando estas respeten la esencia de los derechos y libertades fundamentales, sean estrictamente necesarias y constituyan una medida proporcionada en una sociedad democrática. La Comisión debe justificar dichas limitaciones. En aplicación de los principios de transparencia, equidad y rendición de cuentas, la Comisión debe gestionar todas las limitaciones de manera transparente y llevar un registro de las limitaciones impuestas.

(17)	El artículo 25, apartado 6, del Reglamento (UE) 2018/1725 obliga al responsable del tratamiento a informar a los interesados de los motivos principales que justifican la limitación y de su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos.

(18)

De conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, los responsables del tratamiento pueden aplazar, omitir o denegar la comunicación al interesado de información sobre los principales motivos de la aplicación de una limitación si el hecho de comunicar esta información fuera a dejar sin efecto la limitación. La Comisión debe evaluar en cada caso si la comunicación de la limitación puede dejarla sin efecto.

(19)	La Comisión debe levantar la limitación tan pronto como las razones que la justifiquen dejen de ser aplicables y debe evaluar dichas condiciones de forma periódica.

(20)	Es preciso consultar al coordinador de la protección de datos de la Dirección General de Recursos Humanos antes de la aplicación de cualquier limitación y comprobar la conformidad de esta con la presente Decisión.

(21)	El delegado de protección de datos de la Comisión debe realizar una revisión independiente de la aplicación de las limitaciones, a fin de garantizar el cumplimiento de la presente Decisión.

(22)	El Supervisor Europeo de Protección de Datos, consultado de conformidad con el artículo 41, apartado 2, del Reglamento (UE) 2018/1725, emitió su dictamen el 13 de octubre de 2023.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

Ámbito de aplicación y objeto

1.   La presente Decisión se aplica al tratamiento de datos personales por parte de la Comisión, como responsable del tratamiento, a efectos del desempeño de las funciones del consejero confidencial jefe y de los consejeros confidenciales para prevenir y combatir el acoso psicológico o sexual, tal como se establece en la Decisión C(2023) 8630.

2.   Las categorías de datos personales amparadas por la presente Decisión incluyen los datos de identificación, contacto y comportamiento relacionados con el comportamiento del presunto acosador hacia la víctima u otras personas afectadas, así como los datos personales a que se refieren el artículo 10, apartado 1, y el artículo 11 del Reglamento (UE) 2018/1725.

3.   La presente Decisión establece las normas que deberá seguir la Comisión para informar a los interesados sobre el tratamiento de sus datos personales, de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725.

4.   Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con su artículo 25, apartado 1, letra h).

Artículo 2

Limitaciones aplicables

1.   Sin perjuicio de lo dispuesto en los artículos 3 a 7 de la presente Decisión, cuando el ejercicio de los derechos y obligaciones a que se refieren las siguientes disposiciones pueda afectar negativamente a la protección del interesado o a los derechos y libertades de terceros de conformidad con el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725, la Comisión podrá limitar la aplicación de:

a)	los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725;

b)	el principio de transparencia establecido en el artículo 4, apartado 1, letra a), del Reglamento (UE) 2018/1725, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19 y 20 de dicho Reglamento.

La Comisión ejercerá las competencias conferidas por el párrafo primero únicamente con el fin de salvaguardar:

a)	los objetivos del procedimiento informal establecido en el título II, capítulo II, de la Decisión C(2023) 8630;

b)	el desempeño de las funciones del consejero confidencial jefe y de los consejeros confidenciales de la Comisión para la prevención del acoso psicológico y sexual y la lucha contra este.

La Comisión ejercerá las competencias conferidas por el párrafo primero únicamente en relación con cualquiera de las siguientes categorías de datos personales por ella tratadas:

a)	los datos que las víctimas comunican al consejero confidencial jefe y a los consejeros confidenciales de la Comisión;

b)	los datos recogidos por el consejero confidencial jefe en el marco de su misión de informar al director general o al jefe de servicio afectado y, si la víctima está de acuerdo, a la IDOC, de acusaciones recurrentes de acoso en la misma Dirección General o Servicio.

2.   La Comisión podrá actuar en este sentido cuando el ejercicio de dichos derechos y obligaciones pueda afectar negativamente a la protección de los interesados o a los derechos y libertades de terceros, de conformidad con el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725.

3.   El apartado 1 no afectará a la aplicación de otras decisiones de la Comisión que establezcan normas internas sobre la comunicación de información a las personas interesadas y de las limitaciones con arreglo al artículo 25 del Reglamento (UE) 2018/1725.

4.   Antes de aplicar limitaciones, la Comisión llevará a cabo una evaluación caso por caso de su necesidad y proporcionalidad. Las limitaciones serán las estrictamente necesarias para alcanzar su objetivo.

Artículo 3

Comunicación de información a las personas interesadas

1.   La Comisión publicará en su sitio web un aviso de protección de datos que informará a todos los interesados de toda actividad que implique el tratamiento de sus datos personales para los fines descritos en el artículo 2, apartado 1, párrafo segundo.

2.   El aviso de protección de datos incluirá una sección que proporcione información general a los interesados sobre la posible limitación de sus derechos con arreglo al artículo 2, apartado 1. Se especificará qué derechos podrán limitarse, los motivos para la aplicación de dichas limitaciones y su posible duración.

3.   La Comisión informará individualmente, por los medios adecuados, a las víctimas y testigos que denuncien casos de acoso psicológico y sexual sobre el tratamiento de sus datos personales.

4.   Una vez concluido el procedimiento informal con el consejero confidencial jefe, la Comisión informará individualmente, por escrito y sin demora indebida al presunto acosador de las limitaciones pertinentes de sus derechos como interesado cuando estas se hayan aplicado de conformidad con la presente Decisión. La Comisión informará al interesado de los principales motivos en los que se basa la limitación, de su derecho a consultar al delegado de protección de datos con el fin de impugnar la limitación y de su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos. Una vez concluido el procedimiento informal, la Comisión podrá seguir limitando determinados derechos de los interesados que estén vinculados a los datos personales tratados a efectos de dicho procedimiento si ello es estrictamente necesario para la protección de la víctima o de otras personas afectadas, y, si es posible, indicará el período al término del cual se restablecerán plenamente los derechos.

Artículo 4

Derecho de acceso de las personas interesadas, derecho de supresión y derecho a la limitación del tratamiento

1.   Cuando la Comisión limite, total o parcialmente, el derecho de acceso de los interesados a sus datos personales, el derecho de supresión o el derecho a la limitación del tratamiento a que se refieren los artículos 17, 19 y 20 del Reglamento (UE) 2018/1725, informará al interesado, por escrito y sin demora injustificada, en su respuesta a la solicitud de acceso, supresión o limitación del tratamiento, de lo siguiente:

a)	la limitación aplicada y los principales motivos en los que se basa su aplicación;

b)	la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

2.   La comunicación de la información sobre los principales motivos de la limitación a que se refiere el apartado 1, letra a), podrá aplazarse, omitirse o denegarse en la medida en que anule el objetivo de la limitación. La Comisión evaluará, caso por caso, si dicha limitación está justificada.

Artículo 5

Comunicación y notificación de las violaciones de la seguridad de los datos personales

1.   Cuando la Comisión tenga la obligación de comunicar al interesado alguna violación de la seguridad de los datos personales en virtud del artículo 35, apartado 1, del Reglamento (UE) 2018/1725, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. Documentará en una nota los motivos de la limitación, su fundamento jurídico de conformidad con el artículo 2 y una evaluación de su necesidad y proporcionalidad. La nota se comunicará al Supervisor Europeo de Protección de Datos en el momento de la notificación de la violación de la seguridad de los datos personales.

2.   Cuando dejen de ser aplicables los motivos de la limitación, la Comisión comunicará al interesado la violación de la seguridad de los datos personales y los motivos principales de la limitación, así como de su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos.

3.   Cuando la Comisión notifique la violación de la seguridad de los datos personales al Supervisor Europeo de Protección de Datos de conformidad con el artículo 34, apartado 1, del Reglamento (UE) 2018/1725, adjuntará a la notificación el registro realizado de conformidad con el artículo 6 de la presente Decisión.

Artículo 6

Consignación y registro de las limitaciones

1.   Las evaluaciones de los riesgos para los derechos y libertades de los interesados que suponga la aplicación de limitaciones y los detalles sobre el período de aplicación de dichas limitaciones se harán constar en el registro de actividades de tratamiento llevado por la Comisión en virtud del artículo 31 del Reglamento (UE) 2018/1725. El registro indicará la medida en que el ejercicio del derecho por el interesado socavaría el motivo aplicable contemplado en el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725.

2.   La Comisión registrará los motivos de toda evaluación individual relativa a cada limitación impuesta con arreglo a la presente Decisión, incluida la evaluación de los riesgos para los derechos y libertades de los interesados que acarree la limitación en cuestión, así como la necesidad y proporcionalidad de la misma, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

3.   Se consignará el registro y, en su caso, los documentos que contengan elementos subyacentes de hecho y de derecho. Se pondrán, previa solicitud, a disposición del Supervisor Europeo de Protección de Datos.

4.   La Comisión elaborará informes periódicos sobre la aplicación del artículo 25 del Reglamento (UE) 2018/1725.

Artículo 7

Duración de las limitaciones

1.   Las limitaciones a que se refieren los artículos 3, 4 y 5 seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen.

2.   Cuando los motivos que justifiquen una limitación contemplada en los artículos 3, 4 y 5 dejen de ser aplicables, la Comisión levantará la limitación. Al mismo tiempo, la Comisión comunicará al interesado los principales motivos por los que se aplica dicha limitación y le informará sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

3.   La Comisión revisará la aplicación de las limitaciones contempladas en los artículos 3, 4 y 5 cada seis meses. La revisión incluirá una evaluación de la necesidad y proporcionalidad de la limitación, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

Artículo 8

Garantías y períodos de conservación

1.   La Comisión aplicará salvaguardias para prevenir los abusos y el acceso ilícito a los datos personales que sean objeto o puedan ser objeto de limitaciones, o la transferencia ilícita de estos. Dichas salvaguardias incluirán medidas técnicas y organizativas tales como:

a)	la definición clara de las funciones, responsabilidades, derechos de acceso y fases del procedimiento;

b)	un entorno electrónico seguro que impida el acceso ilícito o accidental a datos electrónicos a personas no autorizadas, o la transferencia de estos;

c)	el almacenamiento y tratamiento seguros de los documentos en papel, limitados a lo estrictamente necesario para alcanzar el objetivo del tratamiento;

d)	la debida supervisión de las limitaciones y la revisión periódica de su aplicación, que se llevará a cabo al menos cada seis meses.

2.   Las limitaciones a que se refiere el artículo 2 se levantarán tan pronto como dejen de existir los motivos que las justifiquen.

3.   Los datos personales se conservarán de conformidad con las normas de conservación vigentes de la Comisión, definidas en los registros mantenidos en virtud del artículo 31 del Reglamento (UE) 2018/1725. Al final del período de conservación, los datos personales se suprimirán, anonimizarán o transferirán a los archivos de conformidad con el artículo 13 del Reglamento (UE) 2018/1725.

Artículo 9

Revisión ex ante por parte del coordinador de la protección de datos y revisión ex post por parte del delegado de protección de datos de la Comisión

1.   Se consultará al coordinador de protección de datos de la Dirección General de Recursos Humanos antes de la aplicación de cualquier limitación, cuya conformidad con la presente Decisión se comprobará.

2.   Se informará sin demora injustificada al delegado de protección de datos de la Comisión cada vez que se limiten los derechos de las personas interesadas de conformidad con la presente Decisión. A petición del delegado de protección de datos, se le facilitará el acceso al registro y a todos los documentos que contengan los elementos de hecho y de derecho subyacentes.

3.   El delegado de protección de datos podrá solicitar que se revise la aplicación de una limitación. El delegado de protección de datos será informado por escrito sobre el resultado de la revisión solicitada.

4.   La Comisión documentará la participación del delegado de protección de datos y del coordinador de protección de datos, incluida la información que se les haya facilitado, en cada uno de los casos en los que se limiten los derechos y obligaciones contemplados en el artículo 2, apartado 1, párrafo primero.

Artículo 10

Entrada en vigor

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Hecho en Bruselas, el 9 de abril de 2024.

Por la Comisión

La Presidenta

Ursula VON DER LEYEN

 

(1)   DO L 295 de 21.11.2018, p. 39.

(2)  Reglamento (CEE, Euratom, CECA) n.o 259/68 del Consejo, de 29 de febrero de 1968, por el que se establece el Estatuto de los funcionarios de las Comunidades Europeas y el régimen aplicable a los otros agentes de estas Comunidades y por el que se establecen medidas específicas aplicables temporalmente a los funcionarios de la Comisión (DO L 56 de 4.3.1968, p. 1).

(3)  Decisión C(2023) 8630 de la Comisión, de 12 de diciembre de 2023, sobre la prevención del acoso psicológico y sexual y la lucha contra este.

(4)  Decisión (UE) 2019/165 de la Comisión, de 1 de febrero de 2019, por la que se establecen normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos de protección de datos por parte de la Comisión en el contexto de las investigaciones administrativas y los procedimientos predisciplinarios, disciplinarios y de suspensión (DO L 32 de 4.2.2019, p. 9).

(5)  Decisión (UE) 2022/121 de la Comisión, de 27 de enero de 2022, por la que se establecen normas internas relativas a la comunicación de información a las personas interesadas y a la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales a efectos del examen de las peticiones y reclamaciones presentadas en virtud del Estatuto de los funcionarios (DO L 19 de 28.1.2022, p. 77).