Butlletí Oficial de l'Estat
Contingut no disponible en valencià
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea,
Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1), y en particular su artículo 25,
Considerando lo siguiente:
|
(1) |
La Comisión lleva a cabo investigaciones con el fin de hacer cumplir las normas establecidas en el Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo (2) con respecto a las empresas o asociaciones de empresas. A tal fin, la Comisión ejerce las competencias de investigación, ejecución y supervisión que le confiere dicho Reglamento. |
|
(2) |
La Dirección General de Competencia y la Dirección General de Redes de Comunicación, Contenido y Tecnologías de la Comisión desempeñan las funciones que el Reglamento (UE) 2022/1925 atribuye a la Comisión. |
|
(3) |
La Comisión trata información en el contexto de las funciones de investigación, ejecución y supervisión que le atribuye el Reglamento (UE) 2022/1925. Dicha información puede incluir datos personales de personas físicas, como representantes legales y miembros del personal de los guardianes de acceso y de terceros interesados, testigos y denunciantes, así como de personas físicas cuyos datos personales figuren en documentos obtenidos en relación con las funciones de investigación, ejecución y supervisión previstas en el Reglamento (UE) 2022/1925. |
|
(4) |
El tratamiento de datos personales, en el sentido del artículo 3, punto 3, del Reglamento (UE) 2018/1725, llevado a cabo en el marco de las actividades de investigación y ejecución realizadas en virtud del Reglamento (UE) 2022/1925 podría tener lugar incluso antes de que la Comisión incoe el procedimiento formal con arreglo al artículo 20 del Reglamento (UE) 2022/1925. También podría continuar durante la investigación e incluso después de su cierre formal, por ejemplo, para las actividades de supervisión del cumplimiento o de detección, evaluando la necesidad de iniciar nuevas actividades de investigación o procedimientos judiciales. |
|
(5) |
A efectos de la investigación, ejecución y supervisión con arreglo al Reglamento (UE) 2022/1925, la Comisión, como responsable del tratamiento, procede al tratamiento de diversas categorías de datos personales, por ejemplo, datos de identificación, datos de contacto, datos sobre la implicación en el asunto (como el puesto y la función de la persona física en la empresa a la que concierne), datos relacionados con el asunto (como los datos personales que contengan los documentos, declaraciones, dictámenes y archivos) y cualquier otra información que se considere necesaria a tal fin (incluidos los datos de los usuarios finales y profesionales de los servicios básicos de plataforma). Aunque es poco probable, entre los datos personales tratados también podría haber datos correspondientes a las categorías especiales a que se refiere el artículo 10, apartado 1, del Reglamento (UE) 2018/1725. |
|
(6) |
En el desempeño de las funciones que le atribuye el Reglamento (UE) 2022/1925, la Comisión está obligada a respetar los derechos de las personas físicas en relación con el tratamiento de los datos de carácter personal reconocidos en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea, así como los requisitos previstos en el Reglamento (UE) 2018/1725. Al mismo tiempo, la Comisión, en las actividades que realice en el marco del Reglamento (UE) 2022/1925, debe cumplir las estrictas normas de confidencialidad y secreto profesional a que se refieren el artículo 36 de dicho Reglamento y el artículo 339 del Tratado de Funcionamiento de la Unión Europea. |
|
(7) |
En determinadas circunstancias es necesario conciliar los derechos de los interesados recogidos en el Reglamento (UE) 2018/1725 con el desempeño efectivo de las funciones de investigación, ejecución y supervisión de la Comisión con arreglo al Reglamento (UE) 2022/1925, incluida la cooperación con las autoridades competentes de los Estados miembros, o con los derechos y libertades fundamentales de otros interesados. A tal fin, el artículo 25, apartado 1, del Reglamento (UE) 2018/1725 ofrece a la Comisión la posibilidad de limitar, en estrictas condiciones, la aplicación de los artículos 14 a 22, 35 y 36 del Reglamento (UE) 2018/1725, así como de su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones a los que se hace referencia en los artículos 14 a 22 del Reglamento (UE) 2018/1725. |
|
(8) |
En determinadas circunstancias es necesario conciliar los derechos de los interesados con la necesidad de salvaguardar las funciones de investigación, ejecución y supervisión desempeñadas por la Comisión en virtud del Reglamento (UE) 2022/1925 en el ejercicio de su autoridad pública en pro del interés público de la Unión, de conformidad con el artículo 25, apartado 1, letra g), en relación con la letra c), del Reglamento (UE) 2018/1725. La Comisión podría aplicar limitaciones cuando, por ejemplo, el ejercicio de esos derechos ponga en peligro una investigación en curso, como en los casos de riesgo de destrucción de pruebas o de interferencia con agentes clave (por ejemplo, testigos) durante una investigación. |
|
(9) |
En determinadas circunstancias es necesario equilibrar los derechos de los interesados con los derechos y libertades fundamentales de otras personas afectadas en el contexto de las funciones de investigación, ejecución y seguimiento de la Comisión con arreglo al Reglamento (UE) 2022/1925, como terceros interesados y testigos. En esos casos, la Comisión podría decidir limitar el acceso a la identidad, las declaraciones y otros datos personales de dichas personas cuando los datos personales en cuestión estén relacionados con otra persona con el fin de proteger sus derechos y libertades amparándose en el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725. La Comisión podría adoptar esa decisión, especialmente para proteger a esas personas de posibles represalias. |
|
(10) |
En concreto, es necesario proteger la información confidencial relativa a los denunciantes o a cualquier otra persona física que haya comunicado información a la Comisión en el marco de las funciones de investigación, ejecución y supervisión que esta lleva a cabo con arreglo al Reglamento (UE) 2022/1925. En estos casos, la Comisión puede tener que limitar el acceso a la identidad, las declaraciones y otros datos personales de dichas personas con el fin de proteger los derechos y libertades de todos aquellos a quienes conciernen amparándose para ello en el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725. La Comisión puede revelar la identidad del denunciante o informante únicamente si este lo autoriza, y estará obligada a hacerlo por imperativo legal o mandato judicial. |
|
(11) |
Si el interesado presenta una solicitud de acceso a sus datos personales, se le debe conceder el acceso a dichos datos, incluidos los facilitados por un denunciante. Para proteger su confidencialidad, la Comisión no debe facilitar al interesado el nombre del denunciante, ni cualquier otra información que permita su identificación directa o indirecta. |
|
(12) |
Además, con el fin de desempeñar sus funciones destinadas a garantizar la aplicación efectiva del Reglamento (UE) 2022/1925, en particular en el contexto de la cooperación entre la Comisión y las autoridades competentes de los Estados miembros, la Comisión podría limitar la aplicación de los derechos de los interesados para salvaguardar así el ejercicio de su autoridad pública en interés público general, tal como se contempla en el artículo 25, apartado 1, letra g), en relación con la letra c) del Reglamento (UE) 2018/1725. La Comisión podría actuar en este sentido si la finalidad de una limitación impuesta por una autoridad de un Estado miembro pudiera verse comprometida si la Comisión no aplicara una limitación equivalente a los mismos datos personales. Al aplicar dicha limitación, la Comisión debe consultar a ese Estado miembro sobre los motivos pertinentes que puedan justificar la imposición de limitaciones, así como sobre la necesidad y proporcionalidad de dichas limitaciones, a menos que dicha consulta ponga en peligro las actividades de la Comisión. |
|
(13) |
La Comisión solo debe aplicar limitaciones cuando estas respeten la esencia de los derechos y libertades fundamentales, sean estrictamente necesarias y constituyan una medida proporcionada en una sociedad democrática. La Comisión debe justificar las limitaciones aplicables. |
|
(14) |
El artículo 25, apartado 6, del Reglamento (UE) 2018/1725 obliga al responsable del tratamiento a informar a los interesados de las razones principales que justifican la limitación, así como de su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos. |
|
(15) |
De conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, la Comisión puede aplazar, omitir o denegar la comunicación de información al interesado relativa a las razones principales de la aplicación de una limitación si el hecho de comunicar esa información fuera a dejar sin efecto la limitación. La Comisión debe evaluar en cada caso si la comunicación de la limitación puede dejarla sin efecto. |
|
(16) |
La Comisión debe levantar la limitación tan pronto como las circunstancias que la justifiquen dejen de ser aplicables y debe evaluar dichas condiciones de forma periódica. |
|
(17) |
Con el fin de cumplir lo dispuesto en los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, la Comisión debe informar a los interesados de sus derechos y de las actividades que lleve a cabo que impliquen el tratamiento de sus datos personales, de manera transparente y coherente, mediante la publicación de un aviso de protección de datos en el sitio web de la Comisión. La Comisión debe informar individualmente, por los canales adecuados, a los representantes legales y a los miembros del personal de los guardianes de acceso, los representantes legales y los miembros del personal de los terceros interesados, los testigos y los denunciantes sobre el tratamiento de sus datos personales. |
|
(18) |
El artículo 16, apartado 5, del Reglamento (UE) 2018/1725 establece excepciones al derecho de los interesados a la información cuando los datos personales no se hayan obtenido de los propios interesados. Si se aplican dichas excepciones, la Comisión no necesita aplicar ninguna limitación al derecho a la información en el marco de la presente Decisión. Las excepciones establecidas en el artículo 16, apartado 5, letra b), del Reglamento (UE) 2018/1725 serán aplicables cuando la comunicación de la información a que se refiere el artículo 16, apartados 1 a 4 de dicho Reglamento, resulte imposible, suponga un esfuerzo desproporcionado o pueda imposibilitar u obstaculizar gravemente el logro de los objetivos del tratamiento. En los casos en que los documentos obtenidos en el transcurso de la investigación, ejecución y supervisión previstas en el Reglamento (UE) 2022/1925 contengan datos personales de interesados que no sean relevantes para la investigación y distintos de los interesados a los que se haya informado individualmente, la comunicación de dicha información podría resultar imposible o suponer un esfuerzo desproporcionado. Esto podría ocurrir cuando la Comisión obtenga datos personales a través de una denuncia o durante sus acciones de supervisión para garantizar la aplicación efectiva y el cumplimiento del Reglamento (UE) 2022/1925. |
|
(19) |
Conforme a los principios de transparencia, equidad y rendición de cuentas, la Comisión debe proceder con transparencia siempre que aplique excepciones y limitaciones y llevar un registro de estas. |
|
(20) |
Para garantizar la protección de los derechos y libertades de los interesados y conforme al artículo 44, apartado 1, del Reglamento (UE) 2018/1725, la Comisión debe implicar a los coordinadores de la protección de datos de la Dirección General de Competencia y de la Dirección General de Redes de Comunicación, Contenido y Tecnologías durante el proceso de aplicación de limitaciones, y documentar esta consulta. En particular, es preciso consultar oportunamente a los coordinadores de la protección de datos sobre cualquier limitación que pueda aplicarse y comprobar su conformidad con la presente Decisión. |
|
(21) |
El delegado de protección de datos de la Comisión debe realizar una revisión independiente de la aplicación de las limitaciones a fin de garantizar el cumplimiento de la presente Decisión. |
|
(22) |
El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 41, apartado 2, del Reglamento (UE) 2018/1725, emitió su dictamen el 26 de marzo de 2026. |
HA ADOPTADO LA PRESENTE DECISIÓN:
Objeto
1. La presente Decisión establece las normas que deberá seguir la Comisión para informar a los interesados del tratamiento de sus datos personales, de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725 en el desempeño de las funciones de investigación, ejecución y supervisión que le atribuye el Reglamento (UE) 2022/1925.
2. Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación del artículo 4, los artículos 14 a 20 y el artículo 35 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25, apartado 1, letras c), g) y h), de dicho Reglamento.
Ámbito de aplicación
1. La presente Decisión se aplica al tratamiento de datos personales por parte de la Comisión de las siguientes categorías de interesados:
|
a) |
representantes legales y miembros del personal de los guardianes de acceso definidos en el artículo 2, apartado 1, del Reglamento (UE) 2022/1925; |
|
b) |
representantes legales y miembros del personal de terceros interesados; |
|
c) |
testigos; |
|
d) |
denunciantes; |
|
e) |
personas físicas cuyos datos personales figuren en los documentos u otros soportes recopilados en el ejercicio de las funciones de investigación, ejecución y supervisión, de conformidad con el Reglamento (UE) 2022/1925. |
2. La presente Decisión se aplica al tratamiento de datos personales que pertenezcan a las siguientes categorías:
|
a) |
datos de identificación; |
|
b) |
datos de contacto; |
|
c) |
datos sobre la implicación en el asunto; |
|
d) |
datos relacionados con el asunto; |
|
e) |
cualquier otra información que se considere necesaria para cumplir los requisitos del Reglamento (UE) 2022/1925, incluidos los datos personales a que se refiere el artículo 10, apartado 1, del Reglamento (UE) 2018/1725. |
Comunicación de información a los interesados
1. La Comisión publicará en la página web correspondiente un aviso sobre protección de datos para informar a todos los interesados de las actividades de la Comisión que impliquen el tratamiento de sus datos personales con el fin de llevar a cabo funciones de investigación, ejecución y supervisión, de conformidad con el Reglamento (UE) 2022/1925.
2. El aviso sobre protección de datos ofrecerá información sobre la posibilidad de limitar los derechos de los interesados, tal y como se establece en el artículo 4. La información especificará qué derechos pueden limitarse, los motivos por los que pueden aplicarse las limitaciones y la duración prevista de las mismas, e incluirá información sobre el derecho de los interesados a presentar una reclamación ante el Supervisor Europeo de Protección de Datos.
3. La Comisión informará individualmente, por los canales adecuados, a los denunciantes, los testigos, los representantes legales y los miembros del personal de los guardianes de acceso y de los terceros interesados sobre el tratamiento de sus datos personales.
Limitaciones
1. La Comisión podrá limitar la aplicación de los artículos 14 a 20, y del artículo 35, del Reglamento (UE) 2018/1725, así como la aplicación de los principios de licitud, lealtad y transparencia a que se refiere el artículo 4, apartado 1, letra a), de dicho Reglamento, en la medida en que las disposiciones relativas a las limitaciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 20 del Reglamento (UE) 2018/1725 cuando:
|
a) |
el ejercicio de dichos derechos y obligaciones pudiera poner en peligro las investigación, ejecución y supervisión llevadas a cabo por la Comisión con el fin de garantizar la aplicación efectiva del Reglamento (UE) 2022/1925, con arreglo al artículo 25, apartado 1, letras c) y g), del Reglamento (UE) 2018/1725; |
|
b) |
el ejercicio de dichos derechos y obligaciones afecte negativamente a la protección del interesado o a los derechos y libertades de terceros, con arreglo al artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725; |
|
c) |
el ejercicio de dichos derechos y obligaciones pueda poner en peligro la cooperación de la Comisión con las autoridades competentes de los Estados miembros en el desempeño de sus funciones destinadas a garantizar la aplicación efectiva del Reglamento (UE) 2022/1925, con arreglo al artículo 25, apartado 1, letras c) y g), del Reglamento (UE) 2018/1725. |
2. Antes de aplicar limitaciones en las circunstancias a que se refiere el apartado 1, letra c), la Comisión consultará a las autoridades competentes de los Estados miembros pertinentes sobre los motivos que puedan justificar la imposición de limitaciones y sobre la necesidad y proporcionalidad de dichas limitaciones, a menos que dicha consulta ponga en peligro las actividades de la Comisión.
3. Cualquier limitación respetará la esencia de los derechos y libertades fundamentales y se atendrá a lo necesario y proporcionado en una sociedad democrática.
4. Antes de aplicar las limitaciones a que se refiere el apartado 1, la Comisión llevará a cabo, y documentará, una evaluación de su necesidad y proporcionalidad en cada caso. Dichas limitaciones serán las estrictamente necesarias para alcanzar su objetivo.
Derecho de acceso del interesado, derecho de rectificación, derecho de supresión y derecho a la limitación del tratamiento
1. Cuando, en aplicación del artículo 4, la Comisión limite a los interesados, total o parcialmente, el derecho de acceso, el derecho de rectificación, el derecho de supresión o el derecho a la limitación del tratamiento a que se refieren, respectivamente, los artículos 17 a 20 del Reglamento (UE) 2018/1725, informará de los siguientes aspectos al interesado en su respuesta a la solicitud de acceso, rectificación, supresión o limitación del tratamiento:
|
a) |
la limitación aplicada y las razones principales para ello; |
|
b) |
la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos. |
2. La Comisión podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación y el derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos durante el tiempo en que dicha comunicación pudiera anular el efecto de la limitación. La Comisión evaluará caso por caso si dicho proceder está justificado. Tan pronto como dicha comunicación de información ya no anule el efecto de la limitación, la Comisión facilitará la información al interesado.
Comunicación de violaciones de la seguridad de los datos personales a los interesados
1. Cuando la Comisión tenga la obligación de comunicar una violación de la seguridad de los datos personales con arreglo al artículo 35, apartado 1, del Reglamento (UE) 2018/1725, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente, de conformidad con el artículo 4 de la presente Decisión. La Comisión consignará y registrará las razones de la limitación, sus fundamentos jurídicos con arreglo al artículo 4 y una evaluación de su necesidad y proporcionalidad.
2. Cuando dejen de ser aplicables las razones de la limitación, la Comisión comunicará al interesado la violación de la seguridad de los datos personales y las razones principales de la limitación, así como su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos.
3. Cuando la Comisión notifique la violación de la seguridad de los datos personales al Supervisor Europeo de Protección de Datos de conformidad con el artículo 34, apartado 1, del Reglamento (UE) 2018/1725, adjuntará a la notificación el registro realizado con arreglo al artículo 7 de la presente Decisión.
Consignación y registro de las limitaciones
1. La Comisión consignará las razones de cualquier limitación aplicada con arreglo a la presente Decisión, los fundamentos jurídicos establecidos en el artículo 4 para su aplicación, los detalles relativos al período de aplicación, una evaluación de los riesgos para los derechos y libertades de los interesados derivados de la imposición de la limitación, y una evaluación de la necesidad y proporcionalidad de la limitación.
2. La anotación recogerá la manera en que el ejercicio del derecho por el interesado en cuestión podría socavar uno o varios de los objetivos aplicables establecidos en el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725.
3. Se procederá al registro de lo consignado y, en su caso, de los documentos que contengan los elementos de hecho y de derecho subyacentes, y se pondrán a disposición del Supervisor Europeo de Protección de Datos, cuando así lo solicite.
Duración de las limitaciones
1. Las limitaciones a que se refiere el artículo 4 seguirán aplicándose mientras se mantengan las razones que las justifiquen.
2. Cuando dejen de existir las razones que justifican una limitación, la Comisión levantará dicha limitación.
3. Tras su levantamiento, la Comisión comunicará al interesado las razones para la aplicación de la limitación y le informará sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.
4. La Comisión revisará cada seis meses la aplicación de las limitaciones mencionadas en el artículo 4. Dicha revisión incluirá una evaluación de la necesidad y proporcionalidad de la limitación.
Salvaguardias y plazos de conservación
1. La Comisión aplicará salvaguardias para evitar accesos abusivos o transferencias ilícitas respecto de los datos personales que sean objeto o puedan ser objeto de limitaciones. Dichas salvaguardias incluirán las siguientes medidas técnicas y organizativas:
|
a) |
la definición clara de las funciones, responsabilidades, fases del procedimiento y derechos de acceso; |
|
b) |
un entorno electrónico seguro que evite el acceso ilícito o accidental o la transferencia de datos electrónicos a personas no autorizadas; |
|
c) |
el almacenamiento y tratamiento seguros de los documentos en papel, que se limitarán a lo estrictamente necesario para alcanzar el objetivo del tratamiento; |
|
d) |
la debida supervisión de las limitaciones. |
2. Los datos personales se conservarán con arreglo a las normas de la Comisión aplicables a la conservación que deben definirse en el registro de las actividades de tratamiento previsto en el artículo 31 del Reglamento (UE) 2018/1725. Al final del período de conservación, los datos personales se suprimirán, anonimizarán o transferirán a los archivos con arreglo al artículo 13 del Reglamento (UE) 2018/1725.
Participación de los coordinadores de la protección de datos y del delegado de protección de datos de la Comisión
1. Antes de aplicar cualquier limitación se consultará a los coordinadores de protección de datos de la Dirección General de Competencia y de la Dirección General de Redes de Comunicación, Contenido y Tecnologías.
2. Los coordinadores de protección de datos de la Dirección General de Competencia y de la Dirección General de Redes de Comunicación, Contenido y Tecnologías verificarán que las limitaciones se ajusten a lo dispuesto en la presente Decisión.
3. El delegado de protección de datos de la Comisión será informado, sin retrasos innecesarios, siempre que se limiten los derechos de los interesados con arreglo a la presente Decisión. Previa petición, se le facilitará el acceso al registro y a todos los documentos que contengan los elementos de hecho y de derecho subyacentes.
4. El delegado de protección de datos de la Comisión podrá solicitar la revisión de la aplicación de una limitación y se le informará por escrito del resultado de dicha revisión.
5. La Comisión documentará y registrará la participación del delegado de protección de datos de la Comisión y de los coordinadores de la protección de datos, en particular la información que se les haya facilitado, en relación con cada uno de los casos en los que se apliquen las limitaciones a que se refiere el artículo 4, apartado 1.
Entrada en vigor
La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
Hecho en Bruselas, el 30 de junio de 2026.
Por la Comisión
La Presidenta
Ursula VON DER LEYEN
(1) DO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj.
(2) Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo, de 14 de septiembre de 2022, sobre mercados disputables y equitativos en el sector digital y por el que se modifican las Directivas (UE) 2019/1937 y (UE) 2020/1828 (Reglamento de Mercados Digitales) (DO L 265 de 12.10.2022, p. 1, ELI: http://data.europa.eu/eli/reg/2022/1925/oj).
Agència Estatal Butlletí Oficial de l'Estat
Avda. de Manoteras, 54 - 28050 Madrid
