# Diario Oficial L 236/2020

| | ISSN 1977-0685 |
| --- | --- |
| Diario Oficial
  de la Unión Europea | L 236 |
| | |
| Edición en lengua española | Legislación | 63.° año22 de julio de 2020 |

ISSN 1977-0685

Diario Oficial

de la Unión Europea

L 236

Edición en lengua española

Legislación

63.° año22 de julio de 2020

---

| Sumario | | II   Actos no legislativos | Página |
| --- | --- | --- | --- |
| | | REGLAMENTOS INTERNOS Y DE PROCEDIMIENTO |
| | * | Decisión del Fondo Europeo de Inversiones de 4 de junio de 2020 relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco de actividades realizadas por el Fondo Europeo de Inversiones | 1 |
| | * | Decisión N.o 1/2020 del Consejo de Administración de la Empresa Común Shift2Rail de 26 de marzo de 2020 relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco del funcionamiento de la Empresa Común S2R | 7 |

Sumario

II   Actos no legislativos

Página

REGLAMENTOS INTERNOS Y DE PROCEDIMIENTO

*

Decisión del Fondo Europeo de Inversiones de 4 de junio de 2020 relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco de actividades realizadas por el Fondo Europeo de Inversiones

1

*

Decisión N.o 1/2020 del Consejo de Administración de la Empresa Común Shift2Rail de 26 de marzo de 2020 relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco del funcionamiento de la Empresa Común S2R

o

7

| ES | Los actos cuyos títulos van impresos en caracteres finos son actos de gestión corriente, adoptados en el marco de la política agraria, y que tienen generalmente un período de validez limitado.
  Los actos cuyos títulos van impresos en caracteres gruesos y precedidos de un asterisco son todos los demás actos. |
| --- | --- |

ES

Los actos cuyos títulos van impresos en caracteres finos son actos de gestión corriente, adoptados en el marco de la política agraria, y que tienen generalmente un período de validez limitado.

Los actos cuyos títulos van impresos en caracteres gruesos y precedidos de un asterisco son todos los demás actos.

---

II Actos no legislativos

REGLAMENTOS INTERNOS Y DE PROCEDIMIENTO

| 22.7.2020 | ES | Diario Oficial de la Unión Europea | L 236/1 |
| --- | --- | --- | --- |

22.7.2020

ES

Diario Oficial de la Unión Europea

L 236/1

---

DECISIÓN DEL FONDO EUROPEO DE INVERSIONES

de 4 de junio de 2020

relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco de actividades realizadas por el Fondo Europeo de Inversiones

EL FONDO EUROPEO DE INVERSIONES (FEI),

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión y a la libre circulación de estos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1) (en lo sucesivo, «el Reglamento»), y en particular su artículo 25,

Visto el dictamen (2) del Supervisor Europeo de Protección de Datos (SEPD),

Considerando que:

| (1) | En el contexto de su funcionamiento, el Departamento de Conformidad del FEI podrá llevar a cabo investigaciones administrativas sobre la base del Código de Conducta del Personal del Grupo BEI, lo que implica el tratamiento de información, incluidos datos personales. |
| --- | --- |

(1)

En el contexto de su funcionamiento, el Departamento de Conformidad del FEI podrá llevar a cabo investigaciones administrativas sobre la base del Código de Conducta del Personal del Grupo BEI, lo que implica el tratamiento de información, incluidos datos personales.

| (2) | El delegado de protección de datos (DPD) del FEI, de oficio o a instancias del responsable o de cualquier persona física, podrá investigar las cuestiones y los incidentes directamente relacionados con sus funciones que lleguen a su conocimiento e informar de ello a la persona que solicitó la investigación o al responsable conforme a lo dispuesto en el artículo 45, apartado 2, del Reglamento. |
| --- | --- |

(2)

El delegado de protección de datos (DPD) del FEI, de oficio o a instancias del responsable o de cualquier persona física, podrá investigar las cuestiones y los incidentes directamente relacionados con sus funciones que lleguen a su conocimiento e informar de ello a la persona que solicitó la investigación o al responsable conforme a lo dispuesto en el artículo 45, apartado 2, del Reglamento.

| (3) | En el contexto de su funcionamiento, el Departamento de Recursos Humanos del FEI podrá llevar a cabo procedimientos disciplinarios, sobre la base del artículo 6 del Estatuto del personal del FEI, Título IV de la Política de Dignidad en el Trabajo, y los códigos de conducta del FEI aplicables. |
| --- | --- |

(3)

En el contexto de su funcionamiento, el Departamento de Recursos Humanos del FEI podrá llevar a cabo procedimientos disciplinarios, sobre la base del artículo 6 del Estatuto del personal del FEI, Título IV de la Política de Dignidad en el Trabajo, y los códigos de conducta del FEI aplicables.

| (4) | Los miembros del Consejo de Administración, el Director General, el Director General Adjunto y los miembros del personal, así como las personas vinculadas a la operación/transacción tienen la obligación de notificar a la División Investigación de Fraudes del BEI («IG/IN») cualesquiera posibles prácticas prohibidas, (por ejemplo fraude o corrupción), perjudiciales para los intereses del FEI y de la Unión, o de notificar a otros servicios competentes cualquier conducta relacionada con el desempeño de actividades profesionales que puedan constituir un incumplimiento grave de cualesquiera obligaciones aplicables. Además, cualquier miembro del público, persona física o jurídica, puede denunciar una posible Conducta Prohibida a IG/IN. |
| --- | --- |

(4)

Los miembros del Consejo de Administración, el Director General, el Director General Adjunto y los miembros del personal, así como las personas vinculadas a la operación/transacción tienen la obligación de notificar a la División Investigación de Fraudes del BEI («IG/IN») cualesquiera posibles prácticas prohibidas, (por ejemplo fraude o corrupción), perjudiciales para los intereses del FEI y de la Unión, o de notificar a otros servicios competentes cualquier conducta relacionada con el desempeño de actividades profesionales que puedan constituir un incumplimiento grave de cualesquiera obligaciones aplicables. Además, cualquier miembro del público, persona física o jurídica, puede denunciar una posible Conducta Prohibida a IG/IN.

| (5) | Cualquier investigación de prácticas prohibidas, tal y como se definen en la Política de Lucha contra el Fraude del FEI, será llevada a cabo por IG/IN, en calidad de procesador de datos, en virtud del Acuerdo Marco entre el FEI y el BEI relativo a la prestación de servicios. |
| --- | --- |

(5)

Cualquier investigación de prácticas prohibidas, tal y como se definen en la Política de Lucha contra el Fraude del FEI, será llevada a cabo por IG/IN, en calidad de procesador de datos, en virtud del Acuerdo Marco entre el FEI y el BEI relativo a la prestación de servicios.

| (6) | El FEI realiza auditorías sobre sus actividades. Esto se lleva a cabo actualmente a través del Departamento de Auditoría Interna del BEI en virtud del Acuerdo Marco entre el FEI y el BEI relativo a la prestación de servicios. |
| --- | --- |

(6)

El FEI realiza auditorías sobre sus actividades. Esto se lleva a cabo actualmente a través del Departamento de Auditoría Interna del BEI en virtud del Acuerdo Marco entre el FEI y el BEI relativo a la prestación de servicios.

| (7) | En el contexto de las tareas descritas en los considerandos 1 a 6, el FEI podrá proporcionar y recibir asistencia y cooperación a y de otras instituciones, órganos y organismos de la Unión, tal como se establece en los acuerdos de nivel de servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes. |
| --- | --- |

(7)

En el contexto de las tareas descritas en los considerandos 1 a 6, el FEI podrá proporcionar y recibir asistencia y cooperación a y de otras instituciones, órganos y organismos de la Unión, tal como se establece en los acuerdos de nivel de servicio, memorandos de entendimiento y acuerdos de cooperación pertinentes.

| (8) | El FEI podrá proporcionar y recibir asistencia y cooperación a y de las autoridades públicas de los Estados miembros de la UE, a petición de estas o por propia iniciativa. |
| --- | --- |

(8)

El FEI podrá proporcionar y recibir asistencia y cooperación a y de las autoridades públicas de los Estados miembros de la UE, a petición de estas o por propia iniciativa.

| (9) | El FEI podrá proporcionar y recibir asistencia y cooperación a y de las autoridades nacionales de terceros países y organizaciones internacionales, a petición de estas o por propia iniciativa. |
| --- | --- |

(9)

El FEI podrá proporcionar y recibir asistencia y cooperación a y de las autoridades nacionales de terceros países y organizaciones internacionales, a petición de estas o por propia iniciativa.

| (10) | En el contexto de las actividades mencionadas, el FEI, en su calidad de responsable de los datos, o cualquiera de los colaboradores del FEI a los que se hace referencia en el considerando 4, incluida la División Investigación de Fraudes del BEI, en su calidad de procesador de datos, o cualquier otro servicio competente para recabar y procesar información y datos personales, incluidos datos de identificación de una persona física, información de contacto, funciones y tareas profesionales, información sobre la conducta y el rendimiento profesional y privado, y datos financieros. |
| --- | --- |

(10)

En el contexto de las actividades mencionadas, el FEI, en su calidad de responsable de los datos, o cualquiera de los colaboradores del FEI a los que se hace referencia en el considerando 4, incluida la División Investigación de Fraudes del BEI, en su calidad de procesador de datos, o cualquier otro servicio competente para recabar y procesar información y datos personales, incluidos datos de identificación de una persona física, información de contacto, funciones y tareas profesionales, información sobre la conducta y el rendimiento profesional y privado, y datos financieros.

| (11) | Existen garantías adecuadas para proteger los datos personales e impedir el acceso o la transferencia accidental o ilícita a los mismos, tanto si se almacenan en un entorno físico como en un entorno electrónico. Una vez tratados, los datos se conservan de conformidad con las normas de retención del FEI aplicables, tal como se definen en los registros de protección de datos basados en el artículo 31 del Reglamento. Al final del período de retención, la información relacionada con el caso, incluidos los datos personales, se suprimirá, se anonimizará o se transferirá a los archivos históricos de acuerdo con los principios de los Reglamentos de Protección de Datos de la Unión Europea, así como de los actos regulatorios o las políticas correspondientes del FEI. |
| --- | --- |

(11)

Existen garantías adecuadas para proteger los datos personales e impedir el acceso o la transferencia accidental o ilícita a los mismos, tanto si se almacenan en un entorno físico como en un entorno electrónico. Una vez tratados, los datos se conservan de conformidad con las normas de retención del FEI aplicables, tal como se definen en los registros de protección de datos basados en el artículo 31 del Reglamento. Al final del período de retención, la información relacionada con el caso, incluidos los datos personales, se suprimirá, se anonimizará o se transferirá a los archivos históricos de acuerdo con los principios de los Reglamentos de Protección de Datos de la Unión Europea, así como de los actos regulatorios o las políticas correspondientes del FEI.

| (12) | En este contexto, el FEI se compromete a cumplir su obligación de facilitar información a los interesados en relación con las actividades de tratamiento mencionadas y respetar los derechos de los interesados, tal como se establece en el Reglamento. |
| --- | --- |

(12)

En este contexto, el FEI se compromete a cumplir su obligación de facilitar información a los interesados en relación con las actividades de tratamiento mencionadas y respetar los derechos de los interesados, tal como se establece en el Reglamento.

| (13) | Podría ser necesario conciliar los derechos de los interesados de conformidad con el Reglamento con las necesidades de las actividades antes mencionadas, respetando plenamente los derechos y libertades fundamentales de otros interesados. A tal efecto, el artículo 25 del Reglamento prevé, en condiciones estrictas, la posibilidad de limitar la aplicación de los artículos 14 a 20, 35 y 36, así como del artículo 4 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 20. En este caso, es necesario adoptar normas internas en virtud de las cuales el FEI pueda limitar los derechos de los interesados anteriormente indicados de conformidad con el mismo artículo del Reglamento. |
| --- | --- |

(13)

Podría ser necesario conciliar los derechos de los interesados de conformidad con el Reglamento con las necesidades de las actividades antes mencionadas, respetando plenamente los derechos y libertades fundamentales de otros interesados. A tal efecto, el artículo 25 del Reglamento prevé, en condiciones estrictas, la posibilidad de limitar la aplicación de los artículos 14 a 20, 35 y 36, así como del artículo 4 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 20. En este caso, es necesario adoptar normas internas en virtud de las cuales el FEI pueda limitar los derechos de los interesados anteriormente indicados de conformidad con el mismo artículo del Reglamento.

| (14) | Este podría ser el caso, en particular, cuando se proporcione información sobre el tratamiento de datos personales al interesado en la fase de evaluación preliminar de una investigación administrativa o durante la propia investigación, antes de una posible desestimación del asunto o de una fase predisciplinaria. En determinadas circunstancias, el hecho de facilitar dicha información podría afectar gravemente a la capacidad del FEI para realizar la investigación de manera eficaz, siempre que, por ejemplo, exista el riesgo de que la persona afectada destruya las pruebas o interfiera con los posibles testigos antes de que sean entrevistados. Además, el FEI podría necesitar proteger los derechos y libertades de otras personas implicadas. En particular, podría ser necesario proteger la confidencialidad de un testigo o un denunciante que haya solicitado no ser identificado. En tal caso, el FEI podrá decidir limitar el acceso a la identidad, las declaraciones y otros datos personales del denunciante y/o de otras personas implicadas, a fin de proteger sus derechos y libertades. |
| --- | --- |

(14)

Este podría ser el caso, en particular, cuando se proporcione información sobre el tratamiento de datos personales al interesado en la fase de evaluación preliminar de una investigación administrativa o durante la propia investigación, antes de una posible desestimación del asunto o de una fase predisciplinaria. En determinadas circunstancias, el hecho de facilitar dicha información podría afectar gravemente a la capacidad del FEI para realizar la investigación de manera eficaz, siempre que, por ejemplo, exista el riesgo de que la persona afectada destruya las pruebas o interfiera con los posibles testigos antes de que sean entrevistados. Además, el FEI podría necesitar proteger los derechos y libertades de otras personas implicadas. En particular, podría ser necesario proteger la confidencialidad de un testigo o un denunciante que haya solicitado no ser identificado. En tal caso, el FEI podrá decidir limitar el acceso a la identidad, las declaraciones y otros datos personales del denunciante y/o de otras personas implicadas, a fin de proteger sus derechos y libertades.

| (15) | Al prestar o recibir asistencia y cooperación a y de otras instituciones, órganos y organismos de la Unión, las autoridades públicas de los Estados miembros de la UE, las autoridades nacionales de terceros países y las organizaciones internacionales en el contexto de las actividades antes mencionadas, es posible que el FEI, en determinadas circunstancias, y sujeto al mantenimiento del nivel mínimo de protección de datos exigido por el SEPD, necesite preservar la eficacia de sus investigaciones o de las llevadas a cabo por la entidad con la que coopera, y proteger, en caso necesario, a las personas implicadas y sus derechos y libertades. |
| --- | --- |

(15)

Al prestar o recibir asistencia y cooperación a y de otras instituciones, órganos y organismos de la Unión, las autoridades públicas de los Estados miembros de la UE, las autoridades nacionales de terceros países y las organizaciones internacionales en el contexto de las actividades antes mencionadas, es posible que el FEI, en determinadas circunstancias, y sujeto al mantenimiento del nivel mínimo de protección de datos exigido por el SEPD, necesite preservar la eficacia de sus investigaciones o de las llevadas a cabo por la entidad con la que coopera, y proteger, en caso necesario, a las personas implicadas y sus derechos y libertades.

| (16) | El FEI aplicará las limitaciones solo cuando respeten la esencia de los derechos y las libertades fundamentales y sean una medida estrictamente necesaria y proporcionada en una sociedad democrática. El FEI justificará los motivos de dichas limitaciones. |
| --- | --- |

(16)

El FEI aplicará las limitaciones solo cuando respeten la esencia de los derechos y las libertades fundamentales y sean una medida estrictamente necesaria y proporcionada en una sociedad democrática. El FEI justificará los motivos de dichas limitaciones.

| (17) | Sobre la base del principio de responsabilidad, el FEI mantendrá un registro de la aplicación de las limitaciones. |
| --- | --- |

(17)

Sobre la base del principio de responsabilidad, el FEI mantendrá un registro de la aplicación de las limitaciones.

| (18) | Al tratar los datos personales intercambiados con otras organizaciones en el contexto de sus funciones, el FEI consultará a y será consultado por dichas organizaciones sobre los posibles motivos pertinentes para imponer limitaciones y la necesidad y proporcionalidad de las limitaciones, a menos que ello ponga en peligro las actividades del FEI. |
| --- | --- |

(18)

Al tratar los datos personales intercambiados con otras organizaciones en el contexto de sus funciones, el FEI consultará a y será consultado por dichas organizaciones sobre los posibles motivos pertinentes para imponer limitaciones y la necesidad y proporcionalidad de las limitaciones, a menos que ello ponga en peligro las actividades del FEI.

| (19) | El artículo 25, apartado 6, del Reglamento obliga al responsable del tratamiento a informar a los interesados de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el SEPD. |
| --- | --- |

(19)

El artículo 25, apartado 6, del Reglamento obliga al responsable del tratamiento a informar a los interesados de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el SEPD.

| (20) | De conformidad con el artículo 25, apartado 8, del Reglamento, el FEI podrá aplazar, omitir o denegar la comunicación de la información que justifica la limitación al interesado si dicha comunicación dejase sin efecto la limitación impuesta. El FEI evaluará caso por caso si la comunicación de la limitación anula su efecto. |
| --- | --- |

(20)

De conformidad con el artículo 25, apartado 8, del Reglamento, el FEI podrá aplazar, omitir o denegar la comunicación de la información que justifica la limitación al interesado si dicha comunicación dejase sin efecto la limitación impuesta. El FEI evaluará caso por caso si la comunicación de la limitación anula su efecto.

| (21) | El DPD podrá llevar a cabo una revisión independiente de la aplicación de las limitaciones a fin de garantizar el cumplimiento de la presente Decisión. |
| --- | --- |

(21)

El DPD podrá llevar a cabo una revisión independiente de la aplicación de las limitaciones a fin de garantizar el cumplimiento de la presente Decisión.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

Contenido y ámbito de aplicación

La presente Decisión establece normas relativas a las condiciones en las que el FEI podrá restringir la aplicación de los artículos 14 a 20, 35 y 36, así como su artículo 4, al amparo de lo dispuesto en el artículo 25 del Reglamento.

Artículo 2

Limitaciones

1.   De conformidad con el artículo 25, apartado 1, del Reglamento, el FEI podrá, caso por caso únicamente, limitar la aplicación de los artículos 14 a 20, 35 y 36, así como su artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones previstos en los artículos 14 a 20, cuando:

| a) | realice investigaciones administrativas, sobre la base del Código de Conducta del Personal del Grupo BEI y otros Códigos de Conducta aplicables. |
| --- | --- |

a)

realice investigaciones administrativas, sobre la base del Código de Conducta del Personal del Grupo BEI y otros Códigos de Conducta aplicables.

| b) | lleve a cabo investigaciones sobre cuestiones e incidentes directamente relacionados con las funciones del DPD, conforme a lo dispuesto en el artículo 45, apartado 2, del Reglamento. |
| --- | --- |

b)

lleve a cabo investigaciones sobre cuestiones e incidentes directamente relacionados con las funciones del DPD, conforme a lo dispuesto en el artículo 45, apartado 2, del Reglamento.

| c) | instruya procedimientos disciplinarios, sobre la base del artículo 6 del Estatuto del Personal del FEI, Título IV de la Política de Dignidad en el Trabajo, el Código de Conducta del Personal del Grupo BEI y otros códigos de conducta del FEI aplicables. |
| --- | --- |

c)

instruya procedimientos disciplinarios, sobre la base del artículo 6 del Estatuto del Personal del FEI, Título IV de la Política de Dignidad en el Trabajo, el Código de Conducta del Personal del Grupo BEI y otros códigos de conducta del FEI aplicables.

| d) | garantice que los miembros del personal del FEI puedan notificar de forma confidencial los hechos cuando consideren que existan irregularidades graves reguladas por la Política de denuncia de irregularidades del Grupo BEI. |
| --- | --- |

d)

garantice que los miembros del personal del FEI puedan notificar de forma confidencial los hechos cuando consideren que existan irregularidades graves reguladas por la Política de denuncia de irregularidades del Grupo BEI.

| e) | garantice que los miembros del personal del FEI puedan denunciar confidencialmente hechos cuando consideren que son presuntas prácticas prohibidas, incluidos fraude o corrupción, perjudiciales para los intereses de la Unión, o conductas relacionadas con el desempeño de actividades profesionales que puedan constituir un incumplimiento grave de las obligaciones de los miembros del personal del FEI, de conformidad con lo establecido en la Política de denuncia de irregularidades del Grupo BEI, la Política de Lucha contra el Fraude del FEI y los Códigos de Conducta del FEI pertinentes. |
| --- | --- |

e)

garantice que los miembros del personal del FEI puedan denunciar confidencialmente hechos cuando consideren que son presuntas prácticas prohibidas, incluidos fraude o corrupción, perjudiciales para los intereses de la Unión, o conductas relacionadas con el desempeño de actividades profesionales que puedan constituir un incumplimiento grave de las obligaciones de los miembros del personal del FEI, de conformidad con lo establecido en la Política de denuncia de irregularidades del Grupo BEI, la Política de Lucha contra el Fraude del FEI y los Códigos de Conducta del FEI pertinentes.

| f) | realice investigaciones de prácticas prohibidas, de acuerdo con la Política de Lucha contra el Fraude del FEI. |
| --- | --- |

f)

realice investigaciones de prácticas prohibidas, de acuerdo con la Política de Lucha contra el Fraude del FEI.

| g) | lleve a cabo auditorías internas relacionadas con todas las actividades y departamentos del FEI. |
| --- | --- |

g)

lleve a cabo auditorías internas relacionadas con todas las actividades y departamentos del FEI.

| h) | preste o reciba asistencia y cooperación a y de otras instituciones, órganos y organismos de la Unión, en el contexto de las actividades anteriormente mencionadas, según lo establecido en los acuerdos de nivel de servicio, memorandos de acuerdo y acuerdos de cooperación pertinentes. |
| --- | --- |

h)

preste o reciba asistencia y cooperación a y de otras instituciones, órganos y organismos de la Unión, en el contexto de las actividades anteriormente mencionadas, según lo establecido en los acuerdos de nivel de servicio, memorandos de acuerdo y acuerdos de cooperación pertinentes.

| i) | proporcione o reciba asistencia y cooperación a y de las autoridades públicas de los Estados miembros de la UE, a petición de estas o por propia iniciativa. |
| --- | --- |

i)

proporcione o reciba asistencia y cooperación a y de las autoridades públicas de los Estados miembros de la UE, a petición de estas o por propia iniciativa.

| j) | preste o reciba asistencia y cooperación a y de las autoridades nacionales de terceros países y organizaciones internacionales, a petición de estas o por propia iniciativa. |
| --- | --- |

j)

preste o reciba asistencia y cooperación a y de las autoridades nacionales de terceros países y organizaciones internacionales, a petición de estas o por propia iniciativa.

2.   Las categorías de datos podrán incluir los datos de identificación de una persona física, información de contacto, funciones y tareas profesionales, información sobre conducta y rendimiento profesional y privado, datos relacionados con los asuntos y datos financieros.

3.   La aplicación de las limitaciones mencionadas se entiende sin perjuicio de la posible aplicación de las disposiciones del artículo 16, apartado 5, y el artículo 17, apartado 4, del Reglamento, relativas, respectivamente, al derecho de información cuando los datos no se han obtenido del interesado y al derecho de acceso del interesado.

4.   Toda restricción respetará la esencia de los derechos y las libertades fundamentales y será una medida necesaria y proporcionada en una sociedad democrática, tal como se indica en el Reglamento, en consonancia con actos regulatorios o políticas internas del FEI o Grupo BEI.

5.   Cualquier limitación se basará en una autorización expresa contenida en una política o procedimiento interno en vigor del FEI y afectará a los derechos de los interesados en la menor medida posible, conforme determine el DPD.

6.   Se llevará a cabo una prueba de necesidad y proporcionalidad, caso por caso y a satisfacción del DPD, antes de aplicar limitaciones. Las limitaciones quedarán restringidas a lo estrictamente necesario para alcanzar los objetivos fijados. Solo se establecerán limitaciones durante el tiempo que lo exija cualquier motivo pertinente en virtud del apartado 1, al que se denominará motivación de la limitación, conforme quede acreditado a satisfacción del DPD.

7.   Cuando IG/IN restrinja, total o parcialmente, la comunicación de información a los interesados relativa a una investigación (persona afectada, testigo o informante), hará constar los motivos de la limitación, incluida una evaluación de la necesidad y la proporcionalidad de la limitación. A tal efecto, la anotación deberá indicar de qué modo la comunicación de información comprometería la finalidad de las actividades de investigación de IG/IN o de las limitaciones aplicadas de conformidad con el artículo 2, apartado 1, letras (f), (g) y (h) de la presente Decisión, o podría afectar negativamente a los derechos y libertades de otros interesados. La anotación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Se pondrán a disposición del Supervisor Europeo de Protección de Datos (SEPD), previa solicitud.

8.   A efectos de rendición de cuentas, el FEI presentará un registro en el que se describan las razones de las limitaciones aplicadas, entre las enumeradas en el apartado 1, y el resultado de la prueba de necesidad y proporcionalidad. Dichos registros formarán parte de un registro ad hoc, que se pondrá a disposición del SEPD, previa solicitud.

9.   Al tratar los datos personales intercambiados con otras organizaciones en el contexto de sus funciones, el FEI consultará y será consultado por dichas organizaciones sobre los posibles motivos pertinentes para imponer limitaciones y la necesidad y proporcionalidad de las limitaciones, a menos que ello ponga en peligro las actividades del FEI.

Artículo 3

Riesgos para los derechos y las libertades de los interesados

La evaluación de los riesgos para los derechos y libertades de los interesados cuyos datos personales puedan estar sujetos a limitaciones, así como su período de retención, se citan en el registro de las actividades de tratamiento pertinentes de conformidad con el artículo 31 del Reglamento y, si procede, en las evaluaciones de impacto relativas a la protección de datos pertinentes basadas en el artículo 39 del Reglamento.

Artículo 4

Plazos de almacenamiento y garantías

El FEI aplicará garantías para evitar los abusos o el acceso o la transferencia ilícitos de datos personales que pueden estar sujetos a limitaciones. Estas garantías incluirán medidas técnicas y organizativas y quedarán detalladas, en caso necesario, en las decisiones, procedimientos y normas de ejecución internos del FEI. Estas garantías incluirán:

| 1. | una definición adecuada de las funciones, responsabilidades y etapas del procedimiento; |
| --- | --- |

1.

una definición adecuada de las funciones, responsabilidades y etapas del procedimiento;

| 2. | en su caso, un entorno electrónico seguro que impida el acceso o la transferencia ilícitos o accidentales de datos electrónicos a personas no autorizadas; |
| --- | --- |

2.

en su caso, un entorno electrónico seguro que impida el acceso o la transferencia ilícitos o accidentales de datos electrónicos a personas no autorizadas;

| 3. | en su caso, un almacenamiento y tratamiento seguros de los documentos en soporte papel; |
| --- | --- |

3.

en su caso, un almacenamiento y tratamiento seguros de los documentos en soporte papel;

| 4. | un seguimiento adecuado de las limitaciones y una revisión periódica por el DPD, que se harán al menos cada seis meses. También deberá realizarse una revisión cuando se produzcan cambios en los elementos esenciales del caso en cuestión. Las limitaciones se levantarán tan pronto como dejen de ser aplicables las circunstancias que las justifiquen. |
| --- | --- |

4.

un seguimiento adecuado de las limitaciones y una revisión periódica por el DPD, que se harán al menos cada seis meses. También deberá realizarse una revisión cuando se produzcan cambios en los elementos esenciales del caso en cuestión. Las limitaciones se levantarán tan pronto como dejen de ser aplicables las circunstancias que las justifiquen.

Artículo 5

Información y revisión por el delegado de protección de datos

1.   El DPD será informado sin demora injustificada cuando los derechos de los interesados queden limitados de conformidad con la presente Decisión y se le facilitará acceso pleno y sin restricciones a todos los registros y cualesquiera documentos subyacentes a los elementos de hecho y de derecho, que sean relevantes para la decisión sobre la limitación y la supervisión del mantenimiento de la limitación.

2.   El DPD podrá solicitar que se revise la aplicación de la limitación.

3.   Si, en el curso de sus investigaciones, el DPD aplicara limitaciones, informará sin dilación indebida al responsable del tratamiento.

4.   La participación del DPD en el proceso de aplicación de limitaciones, incluidos los intercambios de información, se documentará en el formato adecuado y se incluirá en los registros y expedientes pertinentes.

5.   En el contexto de cualesquiera investigaciones sobre prácticas prohibidas, la División Investigación de Fraudes del BEI consultará con el DPD antes de aplicar algunas de las motivaciones de limitación, previstas en el artículo 25 del Reglamento, a las operaciones de tratamiento de datos realizadas en el marco de las funciones que tiene encomendadas en virtud de la Política de Lucha contra el Fraude del FEI, el Mandato de la División Investigación de Fraudes y los Procedimientos de Investigación.

Artículo 6

Información a los interesados sobre las limitaciones de sus derechos

1.   El FEI incluirá en los anuncios de protección de datos publicados en su sitio web información general para los interesados sobre las posibles limitaciones de los derechos de todos los interesados que se describen en el artículo 2, apartado 1. En la información se especificará qué derechos podrán limitarse.

2.   Además, el FEI informará individualmente a los interesados sobre las limitaciones actuales o futuras de sus derechos, sin demoras indebidas y por escrito, según se especifica en los artículos 7, 8 y 9.

Artículo 7

Derecho a la información que debe facilitarse a los interesados y comunicación de las infracciones de la seguridad de los datos

1.   Cuando, en el contexto de las actividades mencionadas en la presente Decisión, el FEI limite, total o parcialmente, los derechos de los interesados previstos en los artículos 14 a 16 y 35 del Reglamento, se informará a los interesados de las razones principales en las que se basa la aplicación de la limitación, así como de su derecho a presentar una reclamación ante el SEPD y a interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea. Dicha limitación se ajustará a las normas establecidas y al proceso descrito en la presente Decisión.

2.   El FEI podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación previstas en el apartado 1 en la medida y durante el tiempo en que ponga el peligro el efecto de la limitación. Esta evaluación se realizará caso por caso. Todo aplazamiento o denegación de ese tipo debe justificarse adecuadamente a satisfacción del SEPD y se incluirá en los registros y expedientes pertinentes. Para evitar cualquier duda, los interesados afectados deberán ser informados de sus derechos a presentar una reclamación ante el SEPD y a interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea contra la decisión de aplazar o denegarles la comunicación de información prevista en el anterior apartado 1.

Artículo 8

Derecho de acceso de los interesados, rectificación, supresión y limitación del tratamiento

1.   Cuando, en el contexto de las actividades mencionadas en la presente Decisión, el FEI limite, total o parcialmente, el derecho de acceso a los datos personales, el derecho de rectificación, supresión y limitación del tratamiento a que se refieren, respectivamente, los artículos 17 a 20 del Reglamento, se informará al interesado, en su respuesta a la solicitud, de las razones principales en las que se basa la aplicación de la limitación, así como de la posibilidad de presentar una reclamación ante el SEPD y de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

2.   Cuando se limite total o parcialmente el derecho de acceso, el FEI, al investigar la solicitud, solo informará al interesado de si los datos han sido tratados correctamente y, de no ser así, si se han efectuado las correcciones necesarias, de conformidad con el artículo 25, apartado 7, del Reglamento.

3.   El FEI podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación a que se refieren los apartados 1 y 2 en la medida y durante el tiempo en que ponga en peligro la finalidad de la limitación. Esta evaluación se realizará caso por caso y se ajustará a las normas establecidas y al proceso descrito en la presente Decisión.

Artículo 9

Confidencialidad de las comunicaciones electrónicas

1.   El FEI, en circunstancias excepcionales y de conformidad con las disposiciones y la justificación de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo (3), podrá limitar el derecho a la confidencialidad de las comunicaciones electrónicas, tal como se contempla en el artículo 36 del Reglamento. En dicho caso, el FEI detallará las circunstancias, los motivos, los riesgos pertinentes y las garantías relacionadas en las normas internas aplicables.

2.   Cuando limite el derecho a la confidencialidad de las comunicaciones electrónicas, el FEI informará a los interesados, en la respuesta a su solicitud, de las razones principales en las que se basa la aplicación de la limitación, así como de la posibilidad de presentar una reclamación ante el SEPD y de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

3.   El FEI podrá aplazar, omitir o denegar la comunicación de información sobre las razones de la limitación a que se refieren los apartados 1 y 2 durante el tiempo en que anule el efecto de la limitación. Esta evaluación se realizará caso por caso.

Artículo 10

Entrada en vigor

La presente Decisión y cualesquiera modificaciones del mismo serán aprobados por el Consejo de Administración del FEI y entrarán en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Diario Oficial de la Unión Europea

Hecho en Luxemburgo, el 4 de junio de 2020.

---

(1)  
  DO L 295 de 21.11.2018, p. 39.

1

(2)  Comentarios y recomendaciones del SEPD de 20 de febrero de 2020 (DH/CCP/ALS/D(2020) 0372 C2019-1114).

2

(3)  Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO L 201 de 31.7.2002, p. 37).

3

---

| 22.7.2020 | ES | Diario Oficial de la Unión Europea | L 236/7 |
| --- | --- | --- | --- |

22.7.2020

ES

Diario Oficial de la Unión Europea

L 236/7

---

DECISIÓN N.o 1/2020 DEL CONSEJO DE ADMINISTRACIÓN DE LA EMPRESA COMÚN SHIFT2RAIL

de 26 de marzo de 2020

relativa a las normas internas sobre las limitaciones de determinados derechos de los interesados en relación con el tratamiento de datos personales en el marco del funcionamiento de la Empresa Común S2R

EL CONSEJO DE ADMINISTRACIÓN DE LA EMPRESA COMÚN SHIFT2RAIL (en lo sucesivo, la «Empresa Común S2R»),

Visto el Tratado de Funcionamiento de la Unión Europea (1),

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (2), y, en particular, su artículo 25,

Visto el Reglamento (UE) n.o 642/2014 del Consejo, de 16 junio de 2014, por el que se establece la Empresa Común S2R (3), y, en particular, el artículo 8 de los Estatutos anexos a este Reglamento,

Vistas las orientaciones del Supervisor Europeo de Protección de Datos sobre el artículo 25 del nuevo Reglamento y las normas internas,

Previa consulta al SEPD el 12 de noviembre de 2019, con arreglo a lo dispuesto en el artículo 41, apartado 2, del Reglamento (UE) 2018/1725,

Vistas las recomendaciones del Supervisor Europeo de Protección de Datos (SEPD) de 18 de diciembre de 2019,

Previa consulta al Comité de Personal de la Empresa Común S2R,

Considerando lo siguiente:

| (1) | Solo los actos jurídicos adoptados en virtud de los Tratados permiten limitar los derechos de los interesados. Cuando dichas limitaciones no puedan fundamentarse en actos jurídicos adoptados con arreglo a los Tratados, el Reglamento (UE) 2018/1725 contempla la posibilidad de incluir limitaciones en aspectos relacionados con las operaciones de la Empresa Común S2R por medio de normas internas, incluidas sus disposiciones sobre la evaluación de la necesidad y la proporcionalidad de la limitación. |
| --- | --- |

(1)

Solo los actos jurídicos adoptados en virtud de los Tratados permiten limitar los derechos de los interesados. Cuando dichas limitaciones no puedan fundamentarse en actos jurídicos adoptados con arreglo a los Tratados, el Reglamento (UE) 2018/1725 contempla la posibilidad de incluir limitaciones en aspectos relacionados con las operaciones de la Empresa Común S2R por medio de normas internas, incluidas sus disposiciones sobre la evaluación de la necesidad y la proporcionalidad de la limitación.

| (2) | De conformidad con lo dispuesto en el artículo 25, apartado 1, del Reglamento (UE) 2018/1725, las limitaciones a la aplicación de los artículos 14 a 22, 35 y 36, y también del artículo 4 de dicho Reglamento en la medida en que sus disposiciones se correspondan con los derechos y obligaciones que disponen los artículos 14 a 22, deben basarse en normas internas adoptadas por la Empresa Común S2R. |
| --- | --- |

(2)

De conformidad con lo dispuesto en el artículo 25, apartado 1, del Reglamento (UE) 2018/1725, las limitaciones a la aplicación de los artículos 14 a 22, 35 y 36, y también del artículo 4 de dicho Reglamento en la medida en que sus disposiciones se correspondan con los derechos y obligaciones que disponen los artículos 14 a 22, deben basarse en normas internas adoptadas por la Empresa Común S2R.

| (3) | En el marco de su funcionamiento administrativo, la Empresa Común S2R puede realizar investigaciones administrativas, tramitar procedimientos disciplinarios, llevar a cabo actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la Oficina Europea de Lucha contra el Fraude (OLAF), tramitar casos de denuncia de irregularidades, tramitar procedimientos (formales e informales) en casos de acoso, tramitar quejas internas y externas, realizar auditorías internas, emprender investigaciones a través del delegado de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 y llevar a cabo investigaciones internas sobre la seguridad (informática). |
| --- | --- |

(3)

En el marco de su funcionamiento administrativo, la Empresa Común S2R puede realizar investigaciones administrativas, tramitar procedimientos disciplinarios, llevar a cabo actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la Oficina Europea de Lucha contra el Fraude (OLAF), tramitar casos de denuncia de irregularidades, tramitar procedimientos (formales e informales) en casos de acoso, tramitar quejas internas y externas, realizar auditorías internas, emprender investigaciones a través del delegado de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 y llevar a cabo investigaciones internas sobre la seguridad (informática).

| (4) | La Empresa Común S2R trata diversas categorías de datos personales, (como los datos de identificación, los datos de contacto, los datos profesionales, los datos administrativos, los datos recibidos de determinadas fuentes y los datos de las comunicaciones y el tráfico electrónicos; y datos relacionados con el caso, como el razonamiento, los datos de comportamiento, las valoraciones, los datos de actuación y conducta, y los datos relacionados con el objeto del procedimiento o la actividad o presentados en relación con estos) (4). |
| --- | --- |

(4)

La Empresa Común S2R trata diversas categorías de datos personales, (como los datos de identificación, los datos de contacto, los datos profesionales, los datos administrativos, los datos recibidos de determinadas fuentes y los datos de las comunicaciones y el tráfico electrónicos; y datos relacionados con el caso, como el razonamiento, los datos de comportamiento, las valoraciones, los datos de actuación y conducta, y los datos relacionados con el objeto del procedimiento o la actividad o presentados en relación con estos) (4).

| (5) | La Empresa Común S2R, representada por su director ejecutivo, actúa como responsable del tratamiento de datos. |
| --- | --- |

(5)

La Empresa Común S2R, representada por su director ejecutivo, actúa como responsable del tratamiento de datos.

| (6) | Los datos personales se almacenan en un entorno electrónico o en papel de un modo seguro que impide el acceso ilícito a personas que no necesiten conocerlos y la transferencia ilícita a estas personas. Los datos personales tratados no se conservan durante un tiempo superior al necesario y al adecuado a los fines para los que se hubieran tratado, durante el período especificado en los avisos de protección de datos, las declaraciones de confidencialidad o los registros de la Empresa Común S2R. |
| --- | --- |

(6)

Los datos personales se almacenan en un entorno electrónico o en papel de un modo seguro que impide el acceso ilícito a personas que no necesiten conocerlos y la transferencia ilícita a estas personas. Los datos personales tratados no se conservan durante un tiempo superior al necesario y al adecuado a los fines para los que se hubieran tratado, durante el período especificado en los avisos de protección de datos, las declaraciones de confidencialidad o los registros de la Empresa Común S2R.

| (7) | Estas normas internas deben aplicarse a todas las operaciones de tratamiento de datos llevadas a cabo por la Empresa Común S2R en el ejercicio de sus investigaciones administrativas, procedimientos disciplinarios, actividades preliminares relacionadas con casos de posibles irregularidades notificadas a la OLAF, procedimientos de denuncia de irregularidades, procedimientos (formales e informales) en casos de acoso, tramitación de quejas internas y externas, auditorías internas, investigaciones llevadas a cabo por el delegado de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones en materia de seguridad (informática) realizadas a nivel interno o con la participación de agentes externos (por ejemplo, CERT-UE). |
| --- | --- |

(7)

Estas normas internas deben aplicarse a todas las operaciones de tratamiento de datos llevadas a cabo por la Empresa Común S2R en el ejercicio de sus investigaciones administrativas, procedimientos disciplinarios, actividades preliminares relacionadas con casos de posibles irregularidades notificadas a la OLAF, procedimientos de denuncia de irregularidades, procedimientos (formales e informales) en casos de acoso, tramitación de quejas internas y externas, auditorías internas, investigaciones llevadas a cabo por el delegado de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones en materia de seguridad (informática) realizadas a nivel interno o con la participación de agentes externos (por ejemplo, CERT-UE).

| (8) | Las normas internas deben aplicarse a las operaciones de tratamiento de datos efectuadas antes del inicio de los procedimientos citados anteriormente, durante dichos procedimientos y durante el seguimiento de la actuación consecutiva a los resultados de dichos procedimientos. También deben incluir la asistencia y la cooperación prestadas por la Empresa Común S2R a las autoridades nacionales y a las organizaciones internacionales al margen de sus investigaciones administrativas. |
| --- | --- |

(8)

Las normas internas deben aplicarse a las operaciones de tratamiento de datos efectuadas antes del inicio de los procedimientos citados anteriormente, durante dichos procedimientos y durante el seguimiento de la actuación consecutiva a los resultados de dichos procedimientos. También deben incluir la asistencia y la cooperación prestadas por la Empresa Común S2R a las autoridades nacionales y a las organizaciones internacionales al margen de sus investigaciones administrativas.

| (9) | En los casos en los que sean aplicables estas normas internas, la Empresa Común S2R debe justificar el carácter estrictamente necesario y proporcionado de las limitaciones en una sociedad democrática y respetar el contenido esencial de los derechos y las libertades fundamentales. |
| --- | --- |

(9)

En los casos en los que sean aplicables estas normas internas, la Empresa Común S2R debe justificar el carácter estrictamente necesario y proporcionado de las limitaciones en una sociedad democrática y respetar el contenido esencial de los derechos y las libertades fundamentales.

| (10) | En este contexto, la Empresa Común S2R debe respetar, en la máxima medida de lo posible, los derechos fundamentales de los interesados durante los procedimientos anteriores, en particular, los correspondientes al derecho a la comunicación de información, el acceso y la rectificación, el derecho a la supresión, la limitación del tratamiento, el derecho a la comunicación de una violación de la seguridad de los datos personales al interesado y la confidencialidad de las comunicaciones, de conformidad con el Reglamento (UE) 2018/1725. |
| --- | --- |

(10)

En este contexto, la Empresa Común S2R debe respetar, en la máxima medida de lo posible, los derechos fundamentales de los interesados durante los procedimientos anteriores, en particular, los correspondientes al derecho a la comunicación de información, el acceso y la rectificación, el derecho a la supresión, la limitación del tratamiento, el derecho a la comunicación de una violación de la seguridad de los datos personales al interesado y la confidencialidad de las comunicaciones, de conformidad con el Reglamento (UE) 2018/1725.

| (11) | Sin embargo, la Empresa Común S2R puede verse obligada a limitar la comunicación de información al interesado y otros derechos del interesado para proteger, en particular, sus propias investigaciones, las investigaciones y los procedimientos de otras autoridades públicas y los derechos de otras personas relacionadas con sus investigaciones o con los procedimientos de otro tipo que se lleven a cabo. |
| --- | --- |

(11)

Sin embargo, la Empresa Común S2R puede verse obligada a limitar la comunicación de información al interesado y otros derechos del interesado para proteger, en particular, sus propias investigaciones, las investigaciones y los procedimientos de otras autoridades públicas y los derechos de otras personas relacionadas con sus investigaciones o con los procedimientos de otro tipo que se lleven a cabo.

| (12) | Cuando la Empresa Común S2R estudie aplicar una limitación, debe sopesar el riesgo para los derechos y las libertades del interesado, en particular, el riesgo para los derechos y las libertades de otros interesados y el riesgo de dejar sin efecto las investigaciones o los procedimientos emprendidos por la Empresa Común S2R, por ejemplo, mediante la destrucción de pruebas. Los riesgos para los derechos y las libertades del interesado consisten principalmente, aunque no de manera exclusiva, en riesgos para la reputación y riesgos para el derecho a la defensa y a ser oído. |
| --- | --- |

(12)

Cuando la Empresa Común S2R estudie aplicar una limitación, debe sopesar el riesgo para los derechos y las libertades del interesado, en particular, el riesgo para los derechos y las libertades de otros interesados y el riesgo de dejar sin efecto las investigaciones o los procedimientos emprendidos por la Empresa Común S2R, por ejemplo, mediante la destrucción de pruebas. Los riesgos para los derechos y las libertades del interesado consisten principalmente, aunque no de manera exclusiva, en riesgos para la reputación y riesgos para el derecho a la defensa y a ser oído.

| (13) | En consecuencia, la Empresa Común S2R puede restringir la información a efectos de proteger la investigación y los derechos y libertades fundamentales de otros interesados. |
| --- | --- |

(13)

En consecuencia, la Empresa Común S2R puede restringir la información a efectos de proteger la investigación y los derechos y libertades fundamentales de otros interesados.

| (14) | La Empresa Común S2R debe controlar de manera periódica que se cumplan las condiciones que justifiquen la aplicación de la limitación y levantar esta en cuanto dejen de resultar aplicables. |
| --- | --- |

(14)

La Empresa Común S2R debe controlar de manera periódica que se cumplan las condiciones que justifiquen la aplicación de la limitación y levantar esta en cuanto dejen de resultar aplicables.

| (15) | El responsable del tratamiento debe realizar la notificación pertinente al delegado de protección de datos en el momento del aplazamiento y durante las revisiones. |
| --- | --- |

(15)

El responsable del tratamiento debe realizar la notificación pertinente al delegado de protección de datos en el momento del aplazamiento y durante las revisiones.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

Objeto y ámbito de aplicación

1.   La presente decisión establece las normas relativas a las condiciones en virtud de las cuales la Empresa Común S2R, en el marco de sus procedimientos establecidos en el apartado 2, puede limitar el ejercicio de los derechos consagrados en los artículos 14 a 21, 35 y 36, así como la aplicación del artículo 4 del mismo, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725.

2.   En el marco del funcionamiento administrativo de la Empresa Común S2R, esta decisión se aplica a las operaciones de tratamiento de datos personales llevadas a cabo por la oficina del programa a los efectos de llevar a cabo investigaciones administrativas, procedimientos disciplinarios, actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF, tramitaciones de casos de denuncia de irregularidades, procedimientos (formales e informales) en casos de acoso, tramitaciones de quejas internas y externas, auditorías internas, investigaciones realizadas por el delegado de protección de datos en línea con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725 e investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE).

3.   Las categorías de datos de que se trata son los datos de identificación, los datos de contacto, los datos profesionales, los datos administrativos, los datos recibidos de determinadas fuentes y los datos de las comunicaciones y el tráfico electrónicos; así como los datos relacionados con el caso, como el razonamiento, los datos de comportamiento, las valoraciones, los datos de actuación y conducta, y los datos relacionados con el objeto del procedimiento o la actividad o presentados en relación con estos.

4.   Cuando la Empresa Común S2R ejerza sus funciones en relación con los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, analizará si es aplicable alguna de las excepciones establecidas en dicho Reglamento.

Artículo 2

Especificación del responsable del tratamiento

El responsable del tratamiento en las operaciones de tratamiento será la Empresa Común S2R, representada por su director ejecutivo.

Artículo 3

Especificación de las salvaguardias

1.   Para prevenir el uso indebido de los datos personales, el acceso ilícito a estos o la transferencia ilícita de dichos datos, la Empresa Común S2R aplicará las salvaguardias siguientes:

| a) | Los documentos en papel deberán conservarse en armarios protegidos a los que únicamente pueda acceder el personal autorizado. |
| --- | --- |

a)

Los documentos en papel deberán conservarse en armarios protegidos a los que únicamente pueda acceder el personal autorizado.

| b) | Todos los datos en formato electrónico deberán almacenarse en una aplicación informática segura que respete las normas de seguridad de la Empresa Común S2R y en carpetas electrónicas específicas a las que únicamente pueda acceder el personal autorizado. Deberán concederse de manera individualizada los niveles de acceso adecuados. |
| --- | --- |

b)

Todos los datos en formato electrónico deberán almacenarse en una aplicación informática segura que respete las normas de seguridad de la Empresa Común S2R y en carpetas electrónicas específicas a las que únicamente pueda acceder el personal autorizado. Deberán concederse de manera individualizada los niveles de acceso adecuados.

| c) | La base de datos estará protegida por contraseña en virtud de un sistema de autenticación única y conectada automáticamente al identificador y la contraseña del usuario, e incorporará técnicas de «seudonimización» y/o «cifrado» cuando resulten pertinentes. Queda estrictamente prohibida la sustitución de los usuarios. Los registros electrónicos se conservarán de manera segura para salvaguardar la confidencialidad y la privacidad de los datos que contengan. |
| --- | --- |

c)

La base de datos estará protegida por contraseña en virtud de un sistema de autenticación única y conectada automáticamente al identificador y la contraseña del usuario, e incorporará técnicas de «seudonimización» y/o «cifrado» cuando resulten pertinentes. Queda estrictamente prohibida la sustitución de los usuarios. Los registros electrónicos se conservarán de manera segura para salvaguardar la confidencialidad y la privacidad de los datos que contengan.

| d) | Todas las personas que dispongan de acceso a los datos quedarán sujetas a una obligación de confidencialidad. |
| --- | --- |

d)

Todas las personas que dispongan de acceso a los datos quedarán sujetas a una obligación de confidencialidad.

2.   Con arreglo a lo dispuesto en el artículo 6, apartado 3, las salvaguardias a que hace referencia el apartado 1 deberán ser objeto de revisión periódica.

3.   El período de conservación de los datos personales al que se refiere el artículo 1, apartado 3, se indicará en los correspondientes avisos de protección de datos, declaraciones de confidencialidad o registros mencionados en el artículo 7, apartado 1. El período de conservación no superará en ningún caso el necesario ni el adecuado para los fines que justifiquen el tratamiento de los datos. (5)

Artículo 4

Motivos que justifican las limitaciones

1.   La Empresa Común S2R solo adoptará limitaciones para salvaguardar:

| a) | la seguridad nacional, el orden público o la defensa de los Estados miembros; |
| --- | --- |

a)

la seguridad nacional, el orden público o la defensa de los Estados miembros;

| b) | la prevención, investigación, detección y enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención; |
| --- | --- |

b)

la prevención, investigación, detección y enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención;

| c) | otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular los objetivos de la política exterior y de seguridad común de la Unión o un interés económico o financiero importante de la Unión o de un Estado miembro, inclusive en los ámbitos fiscal, presupuestario y monetario, la sanidad pública y la seguridad social; |
| --- | --- |

c)

otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular los objetivos de la política exterior y de seguridad común de la Unión o un interés económico o financiero importante de la Unión o de un Estado miembro, inclusive en los ámbitos fiscal, presupuestario y monetario, la sanidad pública y la seguridad social;

| d) | la seguridad interna de las instituciones y organismos de la Unión, incluida la de sus redes de comunicación electrónica; |
| --- | --- |

d)

la seguridad interna de las instituciones y organismos de la Unión, incluida la de sus redes de comunicación electrónica;

| e) | la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas; |
| --- | --- |

e)

la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas;

| f) | una función de supervisión, inspección o reglamentación vinculada, incluso ocasionalmente, con el ejercicio de la autoridad pública en los casos enunciados en las letras a) a c); |
| --- | --- |

f)

una función de supervisión, inspección o reglamentación vinculada, incluso ocasionalmente, con el ejercicio de la autoridad pública en los casos enunciados en las letras a) a c);

| g) | la protección del interesado o de los derechos y las libertades de terceros; |
| --- | --- |

g)

la protección del interesado o de los derechos y las libertades de terceros;

| h) | la ejecución de demandas civiles. |
| --- | --- |

h)

la ejecución de demandas civiles.

2.   Como aplicación concreta de los fines descritos en el apartado 1, la Empresa Común S2R podrá aplicar limitaciones en las siguientes circunstancias:

| a) | en relación con los datos personales compartidos con los servicios de la Comisión o demás instituciones, órganos, agencias y organismos de la Unión:






  — | cuando dicho servicio de la Comisión o institución, órgano u organismo de la Unión esté facultado para limitar el ejercicio de los citados derechos sobre la base de otros actos jurídicos contemplados en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento o con los actos fundacionales de otras instituciones, órganos, agencias y organismos de la Unión; |
| --- | --- | --- |

a)

en relación con los datos personales compartidos con los servicios de la Comisión o demás instituciones, órganos, agencias y organismos de la Unión:

—

cuando dicho servicio de la Comisión o institución, órgano u organismo de la Unión esté facultado para limitar el ejercicio de los citados derechos sobre la base de otros actos jurídicos contemplados en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento o con los actos fundacionales de otras instituciones, órganos, agencias y organismos de la Unión;

| — | cuando la finalidad de dicha limitación impuesta por dicho servicio de la Comisión o institución, órgano, agencia u organismo de la Unión se pudiera ver comprometida en caso de que la Empresa Común S2R no aplicara una limitación equivalente en relación con los datos personales en cuestión; |
| --- | --- |

—

cuando la finalidad de dicha limitación impuesta por dicho servicio de la Comisión o institución, órgano, agencia u organismo de la Unión se pudiera ver comprometida en caso de que la Empresa Común S2R no aplicara una limitación equivalente en relación con los datos personales en cuestión;

| b) | en relación con los datos personales compartidos con las autoridades competentes de los Estados miembros:






  — | cuando dichas autoridades competentes de los Estados miembros estén facultadas para limitar el ejercicio de los citados derechos sobre la base de los actos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (6), o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3, del artículo 15, apartado 3, o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (7); |
| --- | --- | --- |

b)

en relación con los datos personales compartidos con las autoridades competentes de los Estados miembros:

—

cuando dichas autoridades competentes de los Estados miembros estén facultadas para limitar el ejercicio de los citados derechos sobre la base de los actos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (6), o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3, del artículo 15, apartado 3, o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (7);

| — | cuando la finalidad de dicha limitación impuesta por dicha autoridad competente se pudiera ver comprometida en caso de que la Empresa Común S2R no aplicara una limitación equivalente en relación con los datos personales en cuestión; |
| --- | --- |

—

cuando la finalidad de dicha limitación impuesta por dicha autoridad competente se pudiera ver comprometida en caso de que la Empresa Común S2R no aplicara una limitación equivalente en relación con los datos personales en cuestión;

| c) | en relación con los datos personales compartidos con terceros países u organizaciones internacionales, cuando existan pruebas claras de que el ejercicio de esos derechos y el cumplimiento de esas obligaciones podrían comprometer la cooperación de la Empresa Común S2R con los terceros países o las organizaciones internacionales en el desempeño de sus funciones. |
| --- | --- |

c)

en relación con los datos personales compartidos con terceros países u organizaciones internacionales, cuando existan pruebas claras de que el ejercicio de esos derechos y el cumplimiento de esas obligaciones podrían comprometer la cooperación de la Empresa Común S2R con los terceros países o las organizaciones internacionales en el desempeño de sus funciones.

Antes de aplicar las limitaciones en las circunstancias mencionadas en el párrafo 1, letras a) y b), la Empresa Común S2R consultará a los servicios pertinentes de la Comisión; a las instituciones, órganos y organismos pertinentes de la Unión; o a las autoridades competentes de los Estados miembros, a menos que para la Empresa Común S2R resulte evidente que la aplicación de una limitación esté prevista en uno de los actos a que se hace referencia en dichas letras.

Artículo 5

Limitaciones y derechos de los interesados

1.   En los casos debidamente justificados y en las condiciones estipuladas en la presente decisión, el responsable del tratamiento podrá limitar los siguientes derechos, cuando resulte necesario y proporcionado, en el contexto de las operaciones de tratamiento previstas en el artículo 1, apartado 2, y en el siguiente apartado 2:

| a) | el derecho a la información; |
| --- | --- |

a)

el derecho a la información;

| b) | el derecho de acceso; |
| --- | --- |

b)

el derecho de acceso;

| c) | el derecho de rectificación, supresión y limitación del tratamiento de datos; |
| --- | --- |

c)

el derecho de rectificación, supresión y limitación del tratamiento de datos;

| d) | el derecho a la comunicación de una violación de la seguridad de los datos personales al interesado; |
| --- | --- |

d)

el derecho a la comunicación de una violación de la seguridad de los datos personales al interesado;

| e) | el derecho a la confidencialidad de las comunicaciones electrónicas. |
| --- | --- |

e)

el derecho a la confidencialidad de las comunicaciones electrónicas.

2.   En los casos debidamente justificados y a fin de salvaguardar los fines citados en el artículo 4, apartado 1, el responsable del tratamiento podrá aplicar limitaciones en el contexto de las siguientes operaciones de tratamiento a que hace referencia el artículo 1, apartado 2:

| a) | la realización de investigaciones administrativas y los procedimientos disciplinarios; |
| --- | --- |

a)

la realización de investigaciones administrativas y los procedimientos disciplinarios;

| b) | las actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF; |
| --- | --- |

b)

las actividades preliminares relacionadas con casos de posibles irregularidades puestas en conocimiento de la OLAF;

| c) | los procedimientos de denuncia de irregularidades; |
| --- | --- |

c)

los procedimientos de denuncia de irregularidades;

| d) | los procedimientos (formales e informales) en casos de acoso; |
| --- | --- |

d)

los procedimientos (formales e informales) en casos de acoso;

| e) | las tramitaciones de quejas internas y externas; |
| --- | --- |

e)

las tramitaciones de quejas internas y externas;

| f) | las auditorías internas; |
| --- | --- |

f)

las auditorías internas;

| g) | las investigaciones realizadas por el delegado de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725; |
| --- | --- |

g)

las investigaciones realizadas por el delegado de protección de datos en consonancia con lo dispuesto en el artículo 45, apartado 2, del Reglamento (UE) 2018/1725;

| h) | las investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE); |
| --- | --- |

h)

las investigaciones sobre la seguridad (informática) realizadas internamente o con la participación de agentes externos (por ejemplo, CERT-UE);

| i) | en el marco de la gestión de subvenciones o el procedimiento de licitación, tras la fecha límite de la convocatoria de propuestas o la fecha límite para la presentación de ofertas. |
| --- | --- |

i)

en el marco de la gestión de subvenciones o el procedimiento de licitación, tras la fecha límite de la convocatoria de propuestas o la fecha límite para la presentación de ofertas.

3.   En el contexto de los procedimientos por casos de acoso, los derechos mencionados en el apartado 1 podrán limitarse en las mismas condiciones, con la salvedad del derecho a la comunicación de una violación de la seguridad de los datos personales al interesado a que hace referencia el apartado 1, letra d).

4.   En el contexto de un procedimiento de licitación o de gestión de subvenciones, los derechos mencionados en el apartado 1 podrán limitarse en las mismas condiciones, con la salvedad del derecho de rectificación, supresión y limitación del tratamiento de datos a que hace referencia el apartado 1, letra c).

5.   En casos debidamente justificados y en las condiciones estipuladas en la presente decisión, el responsable del tratamiento podrá limitar el derecho de rectificación, supresión y limitación del tratamiento de datos, con las salvedades previstas en los apartados 3 y 4.

6.   Cuando la Empresa Común S2R limite, en todo o en parte, la aplicación de los derechos a que se refieren los apartados 1, 3, 4 y 5, adoptará las medidas contempladas en los artículos 6 y 7 de la presente decisión.

7.   Cuando los interesados soliciten acceso a sus datos personales tratados en el contexto de uno o varios casos específicos o a una operación de tratamiento determinada, de conformidad con el artículo 17 del Reglamento (UE) 2018/1725, la Empresa Común S2R circunscribirá su evaluación de la solicitud únicamente a dichos datos personales.

Artículo 6

Necesidad y proporcionalidad de las limitaciones

1.   Toda limitación adoptada en virtud del artículo 4 deberá ser necesaria y proporcionada teniendo en cuenta los riesgos para los derechos y las libertades de los interesados y el respeto del contenido esencial de los derechos y las libertades fundamentales en una sociedad democrática.

2.   Si se estudia aplicar una limitación, deberá llevarse a cabo una prueba de la necesidad y la proporcionalidad basada en las presentes normas. La prueba también se llevará a cabo en el contexto de la revisión periódica, una vez se haya evaluado si continúan siendo aplicables los fundamentos de hecho y de derecho en los que se basa la limitación. Esta se documentará con una nota interna de evaluación para cumplir con la obligación de rendir cuentas en cada caso.

3.   Las limitaciones tendrán carácter temporal. Seguirán aplicándose mientras persistan los motivos que las justifiquen. Se levantarán, en particular, cuando se considere que el ejercicio del derecho limitado ya no anula el efecto de la limitación impuesta ni afecta negativamente a los derechos o las libertades de los demás interesados.

La Empresa Común S2R revisará la aplicación de la limitación cada seis meses desde la fecha de su adopción y al cierre de la investigación o el procedimiento pertinentes. Posteriormente, el responsable del tratamiento deberá supervisar cada seis meses la necesidad de mantener cualquier limitación.

4.   Cuando la Empresa Común S2R aplique, total o parcialmente, las limitaciones a que se refiere el artículo 4 de la presente decisión, hará constar los motivos de la limitación y el fundamento jurídico con arreglo al apartado 1 anterior, incluida una evaluación de la necesidad y la proporcionalidad de la limitación.

La consignación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes deberán registrarse. Estos se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

Artículo 7

Obligación de información

1.   En los avisos de protección de datos, las declaraciones de confidencialidad o los registros, en el sentido del artículo 31 del Reglamento (UE) 2018/1725, publicados en el sitio web o en la intranet de la Empresa Común S2R, donde se informe a los interesados de sus derechos en el marco de determinado procedimiento, la Empresa Común S2R incluirá información sobre la posible limitación de dichos derechos. Esta información abarcará los derechos que pueden limitarse, las razones de la limitación y la posible duración de esta.

Sin perjuicio de lo dispuesto en el artículo 6, apartado 4, cuando resulte proporcionado, la Empresa Común S2R también notificará de manera individualizada a todos los titulares de datos que se consideren interesados en la operación de tratamiento concreta cuáles son sus derechos con respecto a las limitaciones presentes o futuras, sin dilaciones indebidas y por escrito.

2.   Cuando la Empresa Común S2R limite, en todo o en parte, los derechos previstos en el artículo 5, informará al interesado sobre la limitación y sobre los principales motivos de la misma, así como sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

La comunicación de la información mencionada en el apartado 2 anterior podrá aplazarse, omitirse o denegarse cuando pudiera dejar sin efecto la limitación, con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) 2018/1725.

Artículo 8

Revisión por parte del responsable de la protección de datos

1.   La Empresa Común S2R informará a su delegado de protección de datos (en lo sucesivo, «DPD»), sin dilaciones indebidas, de toda situación en que el responsable del tratamiento limite la aplicación de los derechos de los interesados o prorrogue la limitación, de conformidad con la presente decisión. El responsable del tratamiento proporcionará al DPD acceso al registro que contenga la evaluación de la necesidad y la proporcionalidad de la limitación y documentará en dicho registro la fecha de la notificación al DPD.

2.   El DPD podrá solicitar por escrito al responsable del tratamiento que revise la aplicación de las limitaciones. Este notificará por escrito al DPD el resultado de la revisión solicitada.

3.   El DPD deberá participar a lo largo de todo el procedimiento. El responsable del tratamiento notificará al DPD el levantamiento de las limitaciones.

Artículo 9

Entrada en vigor

La presente decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Diario Oficial de la Unión Europea.

Hecho en Bruselas, el 26 de marzo de 2020.

Por el Consejo de Administración de la Empresa Común S2R

El Presidente

Henrik HOLOLEI

---

(1)  
  DO C 202 de 7.6.2016, p. 47.

1

(2)  
  DO L 295 de 21.11.2018, p. 39.

2

(3)  
  DO L 177 de 17.6.2014, p. 9.

3

(4)  En caso de corresponsabilidad por el tratamiento, los datos deben tratarse de conformidad con los objetivos y los medios establecidos en el correspondiente acuerdo entre los corresponsables del tratamiento, con arreglo a los términos previstos en el artículo 28 del Reglamento (UE) 2018/1725.

4

(5)  La política de conservación de la Empresa Común S2R se basa en la conservación de los expedientes en la Comisión, regulada por la Lista común de conservación, un documento normativo —cuya última versión es el documento SEC(2019)900— en forma de calendario de conservación que establece los períodos de conservación de los distintos tipos de expedientes de la Comisión.

5

(6)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

6

(7)  Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).

7

---