Axencia Estatal Boletín Oficial do Estado
Contido non dispoñible en galego
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea,
Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1), y en particular su artículo 25,
Considerando lo siguiente:
|
(1) |
El Reglamento (UE) 2022/2560 del Parlamento Europeo y del Consejo (2) faculta a la Comisión para recabar información con fines de investigación, ejecución y supervisión a través de varios medios, como solicitudes de información, inspecciones y entrevistas. Además, el Reglamento (UE) 2022/2560 obliga a las empresas y a los operadores económicos a notificar a la Comisión las concentraciones y los procedimientos de contratación pública que impliquen contribuciones financieras extranjeras, siempre que se cumplan determinados umbrales. La eficacia de la investigación, la ejecución y la supervisión previstas en el Reglamento (UE) 2022/2560 precisan de la cooperación entre los Estados miembros y la Comisión, así como del intercambio fluido de información entre aquellos y esta. |
|
(2) |
La Dirección General de Competencia y la Dirección General de Mercado Interior, Industria, Emprendimiento y Pymes desempeñan las funciones previstas en el Reglamento (UE) 2022/2560. |
|
(3) |
La Comisión trata información en el contexto de las funciones de investigación, ejecución y supervisión que le atribuye el Reglamento (UE) 2022/2560. Dicha información incluye datos personales de personas físicas, como informantes, miembros del personal de las empresas investigadas, así como de personas físicas cuyos datos personales figuren en documentos obtenidos en relación con las actividades de investigación, ejecución y supervisión previstas en el Reglamento (UE) 2022/2560. |
|
(4) |
El tratamiento de datos personales, en el sentido del artículo 3, punto 3, del Reglamento (UE) 2018/1725, llevado a cabo en el marco de las actividades de investigación, ejecución y supervisión previstas en el Reglamento (UE) 2022/2560 puede tener lugar incluso antes de que la Comisión inicie formalmente el examen preliminar o decida llevar a cabo una investigación exhaustiva, y puede continuar incluso después de su cierre formal, por ejemplo, para las actividades de supervisión del cumplimiento o de detección, al evaluar la necesidad de iniciar nuevas actividades de investigación o un proceso judicial. |
|
(5) |
Con el fin de desempeñar las funciones asignadas en virtud del Reglamento (UE) 2022/2560, la Comisión, como responsable del tratamiento, recopila y trata varias categorías de datos personales, por ejemplo, datos de identificación, datos de contacto y otra información relacionada con los asuntos (como los datos personales que figuran en documentos, declaraciones, dictámenes y registros). Aunque es poco probable, entre las categorías de datos personales tratados podrían contarse también las categorías especiales de datos personales a que se refiere el artículo 10, apartado 1, del Reglamento (UE) 2018/1725, así como los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 11 del Reglamento (UE) 2018/1725. |
|
(6) |
En el desempeño de las funciones que le atribuye el Reglamento (UE) 2022/2560, la Comisión está obligada a respetar los derechos de las personas físicas en relación con el tratamiento de los datos de carácter personal reconocidos en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea, así como los requisitos previstos en el Reglamento (UE) 2018/1725. Al mismo tiempo, la Comisión, en las actividades que realice en el marco del Reglamento (UE) 2022/2560, debe cumplir las estrictas normas de confidencialidad y secreto profesional a que se refiere su artículo 43. |
|
(7) |
En determinadas circunstancias pudiera ser necesario conciliar los derechos de los interesados recogidos en el Reglamento (UE) 2018/1725 con la necesidad de garantizar que la Comisión puede desempeñar efectivamente las funciones de investigación, ejecución y supervisión con arreglo al Reglamento (UE) 2022/2560, incluida la cooperación con las autoridades competentes de los Estados miembros, o con los derechos y libertades fundamentales de otros interesados. A tal fin, el artículo 25, apartado 1, del Reglamento (UE) 2018/1725 ofrece a la Comisión la posibilidad de limitar, en estrictas condiciones, la aplicación de los artículos 14 a 22, 35 y 36 del Reglamento (UE) 2018/1725, así como de su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones a los que se hace referencia en los artículos 14 a 22 del Reglamento (UE) 2018/1725. |
|
(8) |
En determinadas circunstancias es necesario conciliar los derechos de los interesados con la necesidad de salvaguardar las funciones de investigación, ejecución y supervisión desempeñadas por la Comisión en virtud del Reglamento (UE) 2022/2560 en el ejercicio de su autoridad pública en pro del interés público de la Unión, de conformidad con el artículo 25, apartado 1, letra g), en relación con la letra c), del Reglamento (UE) 2018/1725. La Comisión podría aplicar limitaciones cuando, por ejemplo, el ejercicio de esos derechos ponga en peligro una investigación en curso, como en los casos de riesgo de destrucción o manipulación de pruebas o de interferencia con agentes clave durante una investigación. |
|
(9) |
En determinadas circunstancias es necesario equilibrar los derechos de los interesados con los derechos y libertades fundamentales de otras personas afectadas, como informantes o cualquier otra persona física que haya comunicado información a la Comisión en el marco de las funciones de investigación, ejecución y supervisión que esta lleva a cabo con arreglo al Reglamento (UE) 2022/2560. En estos casos, la Comisión puede tener que limitar el acceso a la identidad, las declaraciones y otros datos personales de dichas personas con el fin de proteger los derechos y libertades de todos aquellos a quienes conciernen amparándose para ello en el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725. La Comisión puede adoptar esa decisión, especialmente para proteger a esas personas de posibles represalias. La Comisión puede asimismo revelar la identidad del denunciante o informante únicamente si este lo autoriza, y estará obligada a hacerlo por imperativo legal o mandato judicial. |
|
(10) |
Si el interesado presenta una solicitud de acceso a sus datos personales, se le debe conceder el acceso a dichos datos, incluidos los facilitados por un denunciante. Con el fin de proteger la confidencialidad de los denunciantes y velar por que sus derechos no se vean lesionados, debe permitirse a la Comisión abstenerse de facilitar al interesado el nombre del denunciante, y cualquier otra información que permita su identificación directa o indirecta. |
|
(11) |
Además, con el fin de desempeñar sus funciones destinadas a garantizar la aplicación efectiva del Reglamento (UE) 2022/2560, en particular en el contexto de la cooperación entre la Comisión y las autoridades competentes de los Estados miembros, la Comisión puede limitar la aplicación de los derechos de los interesados para salvaguardar así el ejercicio de su autoridad pública en interés público general, tal como se contempla en el artículo 25, apartado 1, letra g), en relación con la letra c) del Reglamento (UE) 2018/1725. La Comisión puede actuar en este sentido si la finalidad de una limitación impuesta por una autoridad de un Estado miembro pudiera verse comprometida en el caso de que la Comisión no aplicara una limitación equivalente a los mismos datos personales. Al aplicar dicha limitación, la Comisión debe consultar a ese Estado miembro sobre los motivos pertinentes que puedan justificar la imposición de limitaciones, así como sobre la necesidad y proporcionalidad de dichas limitaciones, a menos que dicha consulta ponga en peligro las actividades de la Comisión. |
|
(12) |
Al limitar los derechos de los interesados, la Comisión debe asegurarse de que las limitaciones respeten la esencia de los derechos y libertades fundamentales, sean estrictamente necesarias y constituyan una medida proporcionada en una sociedad democrática. La Comisión debe justificar las limitaciones aplicables. |
|
(13) |
El artículo 25, apartado 6, del Reglamento (UE) 2018/1725 obliga al responsable del tratamiento a informar a los interesados de las razones principales que justifican la limitación, así como de su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos. |
|
(14) |
De conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, la Comisión puede aplazar, omitir o denegar la comunicación al interesado relativa a las razones principales de la aplicación de una limitación si el hecho de comunicar esa información fuera a dejar sin efecto la limitación. La Comisión debe evaluar en cada caso si la comunicación de la limitación y de sus razones puede dejarla sin efecto. |
|
(15) |
La Comisión debe levantar la limitación tan pronto como las circunstancias que la justifiquen dejen de ser aplicables y debe evaluar dichas condiciones de forma periódica. |
|
(16) |
Con el fin de cumplir lo dispuesto en los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, la Comisión debe informar a los interesados de sus derechos y de las actividades que lleve a cabo que impliquen el tratamiento de sus datos personales, de manera transparente y coherente, mediante la publicación de un aviso de protección de datos en el sitio web de la Comisión. La Comisión debe informar individualmente, por los canales adecuados, a los representantes legales y a los miembros del personal de las empresas investigadas, a los informantes y a otras personas físicas que comuniquen información a la Comisión sobre el tratamiento de sus datos personales. |
|
(17) |
El artículo 16, apartado 5, del Reglamento (UE) 2018/1725, establece excepciones al derecho de los interesados a la información cuando los datos personales no se hayan obtenido de los propios interesados. Si se aplican dichas excepciones, la Comisión no necesita aplicar ninguna limitación al derecho a la información en el marco de la presente Decisión. Las excepciones establecidas en el artículo 16, apartado 5, letra b), del Reglamento (UE) 2018/1725 serán aplicables cuando la comunicación de la información a que se refiere el artículo 16, apartados 1 a 4 de dicho Reglamento, resulte imposible, suponga un esfuerzo desproporcionado o pueda imposibilitar u obstaculizar gravemente el logro de los objetivos del tratamiento, por ejemplo, en los casos en los que los interesados no sean relevantes para la investigación, cuya información personal figure en documentos recopilados durante la investigación, ejecución y supervisión realizadas con arreglo al Reglamente (UE) 2022/2560. |
|
(18) |
Conforme a los principios de transparencia, equidad y rendición de cuentas, la Comisión debe proceder con transparencia siempre que aplique excepciones y limitaciones y llevar un registro de estas. |
|
(19) |
Para garantizar la protección de los derechos y libertades de los interesados y conforme al artículo 44, apartado 1, del Reglamento (UE) 2018/1725, la Comisión debe implicar al coordinador de la protección de datos de la Dirección General de Competencia o de la Dirección General de Mercado Interior, Industria, Emprendimiento y Pymes durante el proceso de aplicación de limitaciones, y documentar esta consulta. En particular, es preciso consultar oportunamente al coordinador de la protección de datos sobre cualquier limitación que pueda aplicarse y comprobar su conformidad con la presente Decisión. |
|
(20) |
El delegado de protección de datos de la Comisión debe realizar una revisión independiente de la aplicación de las limitaciones, a fin de garantizar el cumplimiento de la presente Decisión. |
|
(21) |
El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 41, apartado 2, del Reglamento (UE) 2018/1725, emitió su dictamen el 16 de abril de 2026. |
HA ADOPTADO LA PRESENTE DECISIÓN:
Objeto
1. La presente Decisión establece las normas que deberá seguir la Comisión para informar a los interesados del tratamiento de sus datos personales de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725 en el desempeño de las funciones de investigación, ejecución y supervisión que le atribuye el Reglamento (UE) 2022/2560.
2. Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación del artículo 4, los artículos 14 a 20 y el artículo 35 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25, apartado 1, letras c), g) y h), de dicho Reglamento.
Ámbito de aplicación
1. La presente Decisión se aplica al tratamiento de datos personales de las siguientes categorías de interesados:
|
a) |
informantes; |
|
b) |
representantes legales y personal de las empresas investigadas; |
|
c) |
personas físicas cuyos datos personales figuren en los documentos u otros soportes recopilados en el ejercicio de las actividades de investigación, ejecución y supervisión, de conformidad con el Reglamento (UE) 2022/2560. |
2. La presente Decisión se aplica al tratamiento de datos personales que pertenezcan a las siguientes categorías:
|
a) |
datos de identificación; |
|
b) |
datos de contacto; |
|
c) |
otros datos relacionados con el asunto, incluidos los datos personales a que se refieren el artículo 10, apartado 1, y el artículo 11 del Reglamento (UE) 2018/1725. |
Comunicación de información a los interesados
1. La Comisión publicará en la página web correspondiente un aviso sobre protección de datos para informar a todos los interesados de las actividades de la Comisión que impliquen el tratamiento de sus datos personales con el fin de llevar a cabo funciones de investigación, ejecución y supervisión, de conformidad con el Reglamento (UE) 2022/2560.
2. El aviso sobre protección de datos ofrecerá información sobre la posibilidad de limitar los derechos de los interesados, tal y como se establece en el artículo 4. La información especificará qué derechos pueden limitarse, los motivos por los que pueden aplicarse las limitaciones y la duración prevista de las mismas, e incluirá información sobre el derecho de los interesados a presentar una reclamación ante el Supervisor Europeo de Protección de Datos.
3. La Comisión informará individualmente, por los canales adecuados, a los representantes legales, a los miembros del personal de las empresas investigadas y a los informantes sobre el tratamiento de sus datos personales.
Limitaciones
1. La Comisión podrá limitar la aplicación de los artículos 14 a 20, y del artículo 35, del Reglamento (UE) 2018/1725, así como la aplicación del principio de transparencia a que se refiere el artículo 4, apartado 1, letra a), de dicho Reglamento, en la medida en que las disposiciones relativas a las limitaciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 20 del Reglamento (UE) 2018/1725 cuando:
|
a) |
el ejercicio de dichos derechos y obligaciones pudiera poner en peligro el objeto de la investigación, ejecución y supervisión llevadas a cabo por la Comisión con el fin de garantizar la aplicación efectiva del Reglamento (UE) 2022/2560, con arreglo al artículo 25, apartado 1, letra g), en relación con la letra c), del Reglamento (UE) 2018/1725; |
|
b) |
el ejercicio de dichos derechos y obligaciones afecte negativamente a la protección del interesado o a los derechos y libertades de terceros, con arreglo al artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725; |
|
c) |
el ejercicio de dichos derechos y obligaciones ponga en peligro la cooperación de la Comisión con las autoridades competentes de los Estados miembros en el desempeño de sus funciones destinadas a garantizar la aplicación efectiva del Reglamento (UE) 2022/2560, con arreglo al artículo 25, apartado 1, letra g), en relación con la letra c), del Reglamento (UE) 2018/1725. |
2. Antes de aplicar limitaciones en las circunstancias a que se refiere el apartado 1, letra c), la Comisión consultará a las autoridades competentes de los Estados miembros pertinentes sobre los motivos que puedan justificar la imposición de limitaciones y sobre la necesidad y proporcionalidad de dichas limitaciones, a menos que dicha consulta ponga en peligro las actividades de la Comisión.
3. Cualquier limitación respetará la esencia de los derechos y libertades fundamentales y se atendrá a lo necesario y proporcionado en una sociedad democrática.
4. Antes de aplicar las limitaciones a que se refiere el apartado 1, la Comisión llevará a cabo, y documentará, una evaluación de su necesidad y proporcionalidad en cada caso. Dichas limitaciones serán las estrictamente necesarias para alcanzar su objetivo.
Derecho de acceso del interesado, derecho de rectificación, derecho de supresión y derecho a la limitación del tratamiento
1. Cuando, en aplicación del artículo 4, la Comisión limite a los interesados, total o parcialmente, el derecho de acceso, el derecho de rectificación, el derecho de supresión o el derecho a la limitación del tratamiento a que se refieren, respectivamente, los artículos 17 a 20 del Reglamento (UE) 2018/1725, informará de los siguientes aspectos al interesado en su respuesta a la solicitud de acceso, rectificación, supresión o limitación del tratamiento:
|
a) |
la limitación aplicada y las razones principales para ello; |
|
b) |
la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos. |
2. La Comisión podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación y el derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos durante el tiempo en que dicha comunicación pudiera anular el efecto de la limitación. La Comisión evaluará caso por caso si dicho proceder está justificado. Tan pronto como dicha comunicación de información ya no anule el efecto de la limitación, la Comisión facilitará la información al interesado.
Comunicación de violaciones de la seguridad de los datos personales a los interesados
1. Cuando la Comisión tenga la obligación de comunicar una violación de la seguridad de los datos personales con arreglo al artículo 35, apartado 1, del Reglamento (UE) 2018/1725, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente, de conformidad con el artículo 4 de la presente Decisión. La Comisión consignará y registrará las razones de la limitación, sus fundamentos jurídicos con arreglo al artículo 4 y una evaluación de su necesidad y proporcionalidad.
2. Cuando dejen de ser aplicables las razones de la limitación, la Comisión comunicará al interesado la violación de la seguridad de los datos personales y las razones principales de la limitación, así como su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos.
3. Cuando la Comisión notifique la violación de la seguridad de los datos personales al Supervisor Europeo de Protección de Datos de conformidad con el artículo 34, apartado 1, del Reglamento (UE) 2018/1725, adjuntará a la notificación el registro realizado con arreglo al artículo 7 de la presente Decisión.
Consignación y registro de las limitaciones
1. La Comisión consignará las razones de cualquier limitación aplicada con arreglo a la presente Decisión, los fundamentos jurídicos establecidos en el artículo 4 para su aplicación, los detalles relativos al período de aplicación, una evaluación de los riesgos para los derechos y libertades de los interesados derivados de la imposición de la limitación, y una evaluación de la necesidad y proporcionalidad de la limitación.
2. La anotación recogerá la manera en que el ejercicio del derecho por el interesado en cuestión podría socavar uno o varios de los objetivos aplicables establecidos en el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725.
3. Se procederá al registro de lo consignado y, en su caso, de los documentos que contengan los elementos de hecho y de derecho subyacentes, y se pondrán a disposición del Supervisor Europeo de Protección de Datos, cuando así lo solicite.
Duración de las limitaciones
1. Las limitaciones a que se refieren los artículos 4 y 6 seguirán aplicándose mientras se mantengan las razones las razones que las justifiquen.
2. Cuando dejen de existir las razones que justifican una limitación, la Comisión levantará dicha limitación.
3. Tras su levantamiento, la Comisión comunicará al interesado las razones para haber aplicado la limitación y le informará sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.
4. La Comisión revisará cada seis meses la aplicación de las limitaciones mencionadas en los artículos 4 y 6. Dicha revisión incluirá una evaluación de la necesidad y proporcionalidad de la limitación.
Salvaguardias y plazos de conservación
1. La Comisión aplicará salvaguardias para evitar accesos abusivos o transferencias ilícitas respecto de los datos personales que sean objeto o puedan ser objeto de limitaciones o excepciones. Dichas salvaguardias incluirán las siguientes medidas técnicas y organizativas:
|
a) |
la definición clara de las funciones, responsabilidades, fases del procedimiento y derechos de acceso; |
|
b) |
un entorno electrónico seguro que evite el acceso ilícito o accidental o la transferencia de datos electrónicos a personas no autorizadas; |
|
c) |
el almacenamiento y tratamiento seguros de los documentos en papel, que se limitarán a lo estrictamente necesario para alcanzar el objetivo del tratamiento; |
|
d) |
la debida supervisión de las limitaciones. |
2. Los datos personales se conservarán con arreglo a las normas de la Comisión aplicables a la conservación que deben definirse en el registro de las actividades de tratamiento previsto en el artículo 31 del Reglamento (UE) 2018/1725. Al final del período de conservación, los datos personales se suprimirán, anonimizarán o transferirán a los archivos con arreglo al artículo 13 del Reglamento (UE) 2018/1725.
Participación de los coordinadores de la protección de datos y del delegado de protección de datos de la Comisión
1. Antes de aplicar cualquier limitación en relación con las concentraciones notificadas y las investigaciones de oficio, se consultará al coordinador de protección de datos de la Dirección General de Competencia, y se comprobará su conformidad con la presente Decisión.
2. Antes de aplicar cualquier limitación en relación con los procedimientos de contratación pública notificados y las investigaciones de oficio relacionadas con la contratación pública, se consultará al coordinador de protección de datos de la Dirección General de Mercado Interior, Industria, Emprendimiento y Pymes, y se comprobará su conformidad con la presente Decisión.
3. El delegado de protección de datos de la Comisión será informado, sin retrasos innecesarios, siempre que se limiten los derechos de los interesados con arreglo a la presente Decisión. Previa petición, se le facilitará el acceso al registro y a todos los documentos que contengan los elementos de hecho y de derecho subyacentes.
4. El delegado de protección de datos de la Comisión podrá solicitar la revisión de la aplicación de una limitación y se le informará por escrito del resultado de dicha revisión.
5. La Comisión documentará la participación del delegado de protección de datos y del coordinador de la protección de datos correspondiente, en particular la información que se les haya facilitado, en relación con cada uno de los casos en los que se apliquen las limitaciones a que se refiere el artículo 4, apartado 1.
Entrada en vigor
La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
Hecho en Bruselas, el 30 de junio de 2026.
Por la Comisión
La Presidenta
Ursula VON DER LEYEN
(1) DO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj.
(2) Reglamento (UE) 2022/2560 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre las subvenciones extranjeras que distorsionan el mercado interior (DO L 330 de 23.12.2022, p. 1, ELI: http://data.europa.eu/eli/reg/2022/2560/oj).
Axencia Estatal Boletín Oficial do Estado
Avda. de Manoteras, 54 - 28050 Madrid
