# Diario Oficial C 258/2022

| | ISSN 1977-0928 |
| --- | --- |
| Diario Oficial
  de la Unión Europea | C 258 |
| | |
| Edición en lengua española | Comunicaciones e informaciones | 65.° año5 de julio de 2022 |

ISSN 1977-0928

Diario Oficial

de la Unión Europea

C 258

Edición en lengua española

Comunicaciones e informaciones

65.° año5 de julio de 2022

---

| Sumario | Página |
| --- | --- |
| | II   Comunicaciones |
| | COMUNICACIONES PROCEDENTES DE LAS INSTITUCIONES, ÓRGANOS Y ORGANISMOS DE LA UNIÓN EUROPEA |
| | Comisión Europea |
| 2022/C 258/01 | No oposición a una concentración notificada (Asunto M.10708 — CURA / OCG / DEUTSCHE EUROSHOP JV) (
  1
  ) | 1 |
| 2022/C 258/02 | No oposición a una concentración notificada (Asunto M.10529 — HEIDELBERGCEMENT / THOMA BRAVO / COMMAND ALKON) (
  1
  ) | 2 |

Sumario

Página

II   Comunicaciones

COMUNICACIONES PROCEDENTES DE LAS INSTITUCIONES, ÓRGANOS Y ORGANISMOS DE LA UNIÓN EUROPEA

Comisión Europea

2022/C 258/01

No oposición a una concentración notificada (Asunto M.10708 — CURA / OCG / DEUTSCHE EUROSHOP JV) (
  1
  )

1

1

2022/C 258/02

No oposición a una concentración notificada (Asunto M.10529 — HEIDELBERGCEMENT / THOMA BRAVO / COMMAND ALKON) (
  1
  )

1

2

---

| | IV   Información |
| --- | --- |
| | INFORMACIÓN PROCEDENTE DE LAS INSTITUCIONES, ÓRGANOS Y ORGANISMOS DE LA UNIÓN EUROPEA |
| | Comisión Europea |
| 2022/C 258/03 | Tipo de cambio del euro — 4 de julio de 2022 | 3 |
| | Tribunal de Cuentas |
| 2022/C 258/04 | Informe Especial 14/2022 — Respuesta de la Comisión al fraude en la política agrícola común – Ha llegado el momento de profundizar | 4 |
| | Supervisor Europeo de Protección de Datos |
| 2022/C 258/05 | Resumen del Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Reglamento relativo a la protección de las indicaciones geográficas de los productos artesanales e industriales
  (El texto completo de este dictamen puede consultarse en inglés, francés y alemán en el sitio web del SEPD www.edps.europa.eu) | 5 |
| 2022/C 258/06 | Resumen del dictamen del Supervisor Europeo de Protección de Datos sobre la Propuesta de Reglamento sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión
  (El texto completo de este dictamen puede consultarse en anglais, français et allemand en el sitio web del SEPD www.edps.europa.eu) | 7 |
| 2022/C 258/07 | Resumen del dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Reglamento por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión
  [El texto completo de este dictamen puede consultarse en inglés, francés y alemán en el sitio web del SEPD www.edps.europa.eu] | 10 |
| | INFORMACIÓN PROCEDENTE DE LOS ESTADOS MIEMBROS |
| 2022/C 258/08 | Actualización de los importes de referencia para el cruce de las fronteras exteriores, de conformidad con lo establecido en el artículo 6, apartado 4, del Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo, por el que se establece un Código comunitario de normas para el cruce de personas por las fronteras (Código de fronteras Schengen) | 13 |

IV   Información

INFORMACIÓN PROCEDENTE DE LAS INSTITUCIONES, ÓRGANOS Y ORGANISMOS DE LA UNIÓN EUROPEA

Comisión Europea

2022/C 258/03

Tipo de cambio del euro — 4 de julio de 2022

3

Tribunal de Cuentas

2022/C 258/04

Informe Especial 14/2022 — Respuesta de la Comisión al fraude en la política agrícola común – Ha llegado el momento de profundizar

4

Supervisor Europeo de Protección de Datos

2022/C 258/05

Resumen del Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Reglamento relativo a la protección de las indicaciones geográficas de los productos artesanales e industriales
  (El texto completo de este dictamen puede consultarse en inglés, francés y alemán en el sitio web del SEPD www.edps.europa.eu)

(El texto completo de este dictamen puede consultarse en inglés, francés y alemán en el sitio web del SEPD www.edps.europa.eu)

5

2022/C 258/06

Resumen del dictamen del Supervisor Europeo de Protección de Datos sobre la Propuesta de Reglamento sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión
  (El texto completo de este dictamen puede consultarse en anglais, français et allemand en el sitio web del SEPD www.edps.europa.eu)

(El texto completo de este dictamen puede consultarse en anglais, français et allemand en el sitio web del SEPD www.edps.europa.eu)

7

2022/C 258/07

Resumen del dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Reglamento por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión
  [El texto completo de este dictamen puede consultarse en inglés, francés y alemán en el sitio web del SEPD www.edps.europa.eu]

[El texto completo de este dictamen puede consultarse en inglés, francés y alemán en el sitio web del SEPD www.edps.europa.eu]

10

INFORMACIÓN PROCEDENTE DE LOS ESTADOS MIEMBROS

2022/C 258/08

Actualización de los importes de referencia para el cruce de las fronteras exteriores, de conformidad con lo establecido en el artículo 6, apartado 4, del Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo, por el que se establece un Código comunitario de normas para el cruce de personas por las fronteras (Código de fronteras Schengen)

13

---

| | |
| --- | --- |
| | (1)   Texto pertinente a efectos del EEE. |

---

(1)   Texto pertinente a efectos del EEE.

1

| ES | |
| --- | --- |

ES

---

II Comunicaciones

COMUNICACIONES PROCEDENTES DE LAS INSTITUCIONES, ÓRGANOS Y ORGANISMOS DE LA UNIÓN EUROPEA

Comisión Europea

| 5.7.2022 | ES | Diario Oficial de la Unión Europea | C 258/1 |
| --- | --- | --- | --- |

5.7.2022

ES

Diario Oficial de la Unión Europea

C 258/1

---

No oposición a una concentración notificada

(Asunto M.10708 — CURA / OCG / DEUTSCHE EUROSHOP JV)

(Texto pertinente a efectos del EEE)

(2022/C 258/01)

El 23 de junio de 2022, la Comisión decidió no oponerse a la concentración notificada que se cita en el encabezamiento y declararla compatible con el mercado interior. Esta decisión se basa en el artículo 6, apartado 1, letra b), del Reglamento (CE) no 139/2004 del Consejo (1). El texto íntegro de la decisión solo está disponible en inglés y se hará público una vez que se elimine cualquier secreto comercial que pueda contener. Estará disponible:

| — | en la sección de concentraciones del sitio web de competencia de la Comisión (http://ec.europa.eu/competition/mergers/cases/). Este sitio web permite localizar las decisiones sobre concentraciones mediante criterios de búsqueda tales como el nombre de la empresa, el número de asunto, la fecha o el sector de actividad, |
| --- | --- |

—

en la sección de concentraciones del sitio web de competencia de la Comisión (http://ec.europa.eu/competition/mergers/cases/). Este sitio web permite localizar las decisiones sobre concentraciones mediante criterios de búsqueda tales como el nombre de la empresa, el número de asunto, la fecha o el sector de actividad,

| — | en formato electrónico en el sitio web EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=es) con el número de documento 32022M10708. EUR-Lex da acceso al Derecho de la Unión en línea. |
| --- | --- |

—

en formato electrónico en el sitio web EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=es) con el número de documento 32022M10708. EUR-Lex da acceso al Derecho de la Unión en línea.

---

(1)  DO L 24 de 29.1.2004, p. 1.

---

| 5.7.2022 | ES | Diario Oficial de la Unión Europea | C 258/2 |
| --- | --- | --- | --- |

5.7.2022

ES

Diario Oficial de la Unión Europea

C 258/2

---

No oposición a una concentración notificada

(Asunto M.10529 — HEIDELBERGCEMENT / THOMA BRAVO / COMMAND ALKON)

(Texto pertinente a efectos del EEE)

(2022/C 258/02)

El 11 de abril de 2022, la Comisión decidió no oponerse a la concentración notificada que se cita en el encabezamiento y declararla compatible con el mercado interior. Esta decisión se basa en el artículo 6, apartado 1, letra b), del Reglamento (CE) no 139/2004 del Consejo (1). El texto íntegro de la decisión solo está disponible en inglés y se hará público una vez que se elimine cualquier secreto comercial que pueda contener. Estará disponible:

| — | en la sección de concentraciones del sitio web de competencia de la Comisión (http://ec.europa.eu/competition/mergers/cases/). Este sitio web permite localizar las decisiones sobre concentraciones mediante criterios de búsqueda tales como el nombre de la empresa, el número de asunto, la fecha o el sector de actividad, |
| --- | --- |

—

en la sección de concentraciones del sitio web de competencia de la Comisión (http://ec.europa.eu/competition/mergers/cases/). Este sitio web permite localizar las decisiones sobre concentraciones mediante criterios de búsqueda tales como el nombre de la empresa, el número de asunto, la fecha o el sector de actividad,

| — | en formato electrónico en el sitio web EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=es) con el número de documento 32022M10529. EUR-Lex da acceso al Derecho de la Unión en línea. |
| --- | --- |

—

en formato electrónico en el sitio web EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=es) con el número de documento 32022M10529. EUR-Lex da acceso al Derecho de la Unión en línea.

---

(1)  DO L 24 de 29.1.2004, p. 1.

---

IV Información

INFORMACIÓN PROCEDENTE DE LAS INSTITUCIONES, ÓRGANOS Y ORGANISMOS DE LA UNIÓN EUROPEA

Comisión Europea

| 5.7.2022 | ES | Diario Oficial de la Unión Europea | C 258/3 |
| --- | --- | --- | --- |

5.7.2022

ES

Diario Oficial de la Unión Europea

C 258/3

---

Tipo de cambio del euro (1)

4 de julio de 2022

(2022/C 258/03)

1 euro =

| | Moneda | Tipo de cambio |
| --- | --- | --- |
| USD | dólar estadounidense | 1,0455 |
| JPY | yen japonés | 141,51 |
| DKK | corona danesa | 7,4391 |
| GBP | libra esterlina | 0,85960 |
| SEK | corona sueca | 10,7658 |
| CHF | franco suizo | 1,0037 |
| ISK | corona islandesa | 139,30 |
| NOK | corona noruega | 10,2958 |
| BGN | leva búlgara | 1,9558 |
| CZK | corona checa | 24,745 |
| HUF | forinto húngaro | 401,52 |
| PLN | esloti polaco | 4,7100 |
| RON | leu rumano | 4,9440 |
| TRY | lira turca | 17,5994 |
| AUD | dólar australiano | 1,5205 |
| CAD | dólar canadiense | 1,3435 |
| HKD | dólar de Hong Kong | 8,2033 |
| NZD | dólar neozelandés | 1,6748 |
| SGD | dólar de Singapur | 1,4587 |
| KRW | won de Corea del Sur | 1 353,40 |
| ZAR | rand sudafricano | 17,0275 |
| CNY | yuan renminbi | 6,9977 |
| HRK | kuna croata | 7,5301 |
| IDR | rupia indonesia | 15 684,13 |
| MYR | ringit malayo | 4,6138 |
| PHP | peso filipino | 57,487 |
| RUB | rublo ruso | |
| THB | bat tailandés | 37,298 |
| BRL | real brasileño | 5,5663 |
| MXN | peso mexicano | 21,1972 |
| INR | rupia india | 82,5067 |

Moneda

Tipo de cambio

USD

dólar estadounidense

1,0455

JPY

yen japonés

141,51

DKK

corona danesa

7,4391

GBP

libra esterlina

0,85960

SEK

corona sueca

10,7658

CHF

franco suizo

1,0037

ISK

corona islandesa

139,30

NOK

corona noruega

10,2958

BGN

leva búlgara

1,9558

CZK

corona checa

24,745

HUF

forinto húngaro

401,52

PLN

esloti polaco

4,7100

RON

leu rumano

4,9440

TRY

lira turca

17,5994

AUD

dólar australiano

1,5205

CAD

dólar canadiense

1,3435

HKD

dólar de Hong Kong

8,2033

NZD

dólar neozelandés

1,6748

SGD

dólar de Singapur

1,4587

KRW

won de Corea del Sur

1 353,40

ZAR

rand sudafricano

17,0275

CNY

yuan renminbi

6,9977

HRK

kuna croata

7,5301

IDR

rupia indonesia

15 684,13

MYR

ringit malayo

4,6138

PHP

peso filipino

57,487

RUB

rublo ruso

THB

bat tailandés

37,298

BRL

real brasileño

5,5663

MXN

peso mexicano

21,1972

INR

rupia india

82,5067

---

(1)  Fuente: tipo de cambio de referencia publicado por el Banco Central Europeo.

---

Tribunal de Cuentas

| 5.7.2022 | ES | Diario Oficial de la Unión Europea | C 258/4 |
| --- | --- | --- | --- |

5.7.2022

ES

Diario Oficial de la Unión Europea

C 258/4

---

Informe Especial 14/2022

«Respuesta de la Comisión al fraude en la política agrícola común – Ha llegado el momento de profundizar»

(2022/C 258/04)

El Tribunal de Cuentas Europeo acaba de publicar el Informe Especial 14/2022: «Respuesta de la Comisión al fraude en la política agrícola común – Ha llegado el momento de profundizar»

El informe puede consultarse directamente o descargarse en el sitio web del Tribunal de Cuentas Europeo: https://www.eca.europa.eu/es/Pages/DocItem.aspx?did=61337

---

Supervisor Europeo de Protección de Datos

| 5.7.2022 | ES | Diario Oficial de la Unión Europea | C 258/5 |
| --- | --- | --- | --- |

5.7.2022

ES

Diario Oficial de la Unión Europea

C 258/5

---

Resumen del Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Reglamento relativo a la protección de las indicaciones geográficas de los productos artesanales e industriales

(El texto completo de este dictamen puede consultarse en inglés, francés y alemán en el sitio web del SEPD www.edps.europa.eu)

(2022/C 258/05)

El 13 de abril de 2022, la Comisión Europea adoptó una propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las indicaciones geográficas de los productos artesanales e industriales y por el que se modifican los Reglamentos (UE) 2017/1001 y (UE) 2019/1753 del Parlamento Europeo y del Consejo y la Decisión (UE) 2019/1754 del Consejo (en lo sucesivo, «la propuesta»).

La presente propuesta tiene por objeto complementar el sistema de protección de las indicaciones geográficas de la UE, que ya existe para los productos agrícolas y alimenticios, los vinos y las bebidas espirituosas, y permitir el cumplimiento efectivo de las obligaciones derivadas de la adhesión de la UE al Acta de Ginebra del Arreglo de Lisboa.

El SEPD observa con agrado que la propuesta determina las funciones de la Comisión, la EUIPO y las autoridades competentes de los Estados miembros en lo que respecta al tratamiento de datos personales en los procedimientos previstos en la presente propuesta.

El SEPD recomienda que se especifique claramente si los diferentes responsables del tratamiento que participan en el tratamiento de datos personales actuarán como corresponsables del tratamiento o no. En caso afirmativo, el SEPD recomienda que se establezca un acuerdo con arreglo a lo previsto en los artículos 28 del RPDUE o el artículo 26 del RGPD. A este respecto, el SEPD recuerda que, en caso necesario, también pueden definirse disposiciones detalladas para garantizar el cumplimiento de los requisitos en materia de protección de datos mediante un acto de ejecución.

El SEPD observa que la propuesta prevé la creación de un registro electrónico de acceso público de las indicaciones geográficas para los productos artesanales e industriales. A este respecto, el SEPD recomienda delimitar claramente las categorías de datos que serán objeto de tratamiento. El SEPD recomienda especificar en la propia propuesta todas las categorías de datos personales implicadas. Por último, el SEPD considera que el período elegido de conservación de los datos para la documentación relacionada con la anulación de las indicaciones geográficas precisa justificación adicional.

1.   INTRODUCCIÓN

| 1. | El 13 de abril de 2022, la Comisión Europea adoptó una propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las indicaciones geográficas de los productos artesanales e industriales y por el que se modifican los Reglamentos (UE) 2017/1001 y (UE) 2019/1753 del Parlamento Europeo y del Consejo y la Decisión (UE) 2019/1754 del Consejo (en lo sucesivo, «la propuesta»). |
| --- | --- |

1.

El 13 de abril de 2022, la Comisión Europea adoptó una propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las indicaciones geográficas de los productos artesanales e industriales y por el que se modifican los Reglamentos (UE) 2017/1001 y (UE) 2019/1753 del Parlamento Europeo y del Consejo y la Decisión (UE) 2019/1754 del Consejo (en lo sucesivo, «la propuesta»).

| 2. | El objetivo de la propuesta es establecer una protección de las indicaciones geográficas (IG) directamente aplicable a los productos artesanales e industriales a escala de la UE. También tiene por objeto garantizar que los productores puedan beneficiarse del marco internacional para el registro y la protección de las indicaciones geográficas («sistema de Lisboa») (1). |
| --- | --- |

2.

El objetivo de la propuesta es establecer una protección de las indicaciones geográficas (IG) directamente aplicable a los productos artesanales e industriales a escala de la UE. También tiene por objeto garantizar que los productores puedan beneficiarse del marco internacional para el registro y la protección de las indicaciones geográficas («sistema de Lisboa») (1).

| 3. | La propuesta complementa la actual protección de las indicaciones geográficas de la UE en el ámbito agrícola. Sigue enfoques similares adoptados en relación con las condiciones de admisibilidad y la protección de las indicaciones geográficas de los productos agrícolas y alimenticios, los vinos y las bebidas espirituosas, tal como se establecen en:






  — | Reglamento (UE) n.o 1151/2012 del Parlamento Europeo y del Consejo (2) sobre los regímenes de calidad de los productos agrícolas y alimenticios, |
| --- | --- | --- |

3.

La propuesta complementa la actual protección de las indicaciones geográficas de la UE en el ámbito agrícola. Sigue enfoques similares adoptados en relación con las condiciones de admisibilidad y la protección de las indicaciones geográficas de los productos agrícolas y alimenticios, los vinos y las bebidas espirituosas, tal como se establecen en:

—

Reglamento (UE) n.o 1151/2012 del Parlamento Europeo y del Consejo (2) sobre los regímenes de calidad de los productos agrícolas y alimenticios,

| — | Reglamento (UE) 2019/787 del Parlamento Europeo y del Consejo (3), relativo a la definición, designación, presentación y etiquetado de las bebidas espirituosas, y |
| --- | --- |

—

Reglamento (UE) 2019/787 del Parlamento Europeo y del Consejo (3), relativo a la definición, designación, presentación y etiquetado de las bebidas espirituosas, y

| — | Reglamento (UE) n.o 1308/2013 del Parlamento Europeo y del Consejo (4) por el que se crea la organización común de mercados de los productos agrarios (5). |
| --- | --- |

—

Reglamento (UE) n.o 1308/2013 del Parlamento Europeo y del Consejo (4) por el que se crea la organización común de mercados de los productos agrarios (5).

| 4. | La propuesta modificaría el Reglamento (UE) 2017/1001 del Parlamento Europeo y del Consejo, sobre la marca de la Unión Europea, en relación con posibles conflictos entre indicaciones geográficas y marcas, y especificaría tareas adicionales para la Oficina de Propiedad Intelectual de la Unión Europea («EUIPO»). También propone una modificación de la Decisión (UE) 2019/1754 del Consejo relativa a la adhesión de la Unión Europea al Acta de Ginebra del Arreglo de Lisboa relativo a las Denominaciones de Origen y las Indicaciones Geográficas, con el fin de establecer una conexión entre el sistema de protección de las indicaciones geográficas de la UE para los productos de IC y el sistema de Lisboa (6). |
| --- | --- |

4.

La propuesta modificaría el Reglamento (UE) 2017/1001 del Parlamento Europeo y del Consejo, sobre la marca de la Unión Europea, en relación con posibles conflictos entre indicaciones geográficas y marcas, y especificaría tareas adicionales para la Oficina de Propiedad Intelectual de la Unión Europea («EUIPO»). También propone una modificación de la Decisión (UE) 2019/1754 del Consejo relativa a la adhesión de la Unión Europea al Acta de Ginebra del Arreglo de Lisboa relativo a las Denominaciones de Origen y las Indicaciones Geográficas, con el fin de establecer una conexión entre el sistema de protección de las indicaciones geográficas de la UE para los productos de IC y el sistema de Lisboa (6).

| 5. | El presente Dictamen del SEPD se emite en respuesta a una consulta de la Comisión Europea, de 13 de abril de 2022, con arreglo al artículo 42, apartado 1, del RPDUE. EL SEPD también acoge con satisfacción la referencia a esta consulta en el considerando 63 de la Propuesta. Las observaciones y recomendaciones del presente Dictamen se limitan a las disposiciones de la propuesta que son más pertinentes desde el punto de vista de la protección de datos. |
| --- | --- |

5.

El presente Dictamen del SEPD se emite en respuesta a una consulta de la Comisión Europea, de 13 de abril de 2022, con arreglo al artículo 42, apartado 1, del RPDUE. EL SEPD también acoge con satisfacción la referencia a esta consulta en el considerando 63 de la Propuesta. Las observaciones y recomendaciones del presente Dictamen se limitan a las disposiciones de la propuesta que son más pertinentes desde el punto de vista de la protección de datos.

4.   CONCLUSIONES

| 16. | En vista de lo anteriormente expuesto, el SEPD:






  — | acoge con satisfacción la designación explícita de los responsables del tratamiento en relación con el tratamiento de datos personales en los procedimientos establecidos en la propuesta; |
| --- | --- | --- |

16.

En vista de lo anteriormente expuesto, el SEPD:

—

acoge con satisfacción la designación explícita de los responsables del tratamiento en relación con el tratamiento de datos personales en los procedimientos establecidos en la propuesta;

| — | recomienda que se aclare si los responsables del tratamiento deben considerarse o no «corresponsables del tratamiento» en el sentido de los artículos 28 del RPDUE y 26 del RGPD; |
| --- | --- |

—

recomienda que se aclare si los responsables del tratamiento deben considerarse o no «corresponsables del tratamiento» en el sentido de los artículos 28 del RPDUE y 26 del RGPD;

| — | recomienda especificar en la propuesta las categorías de datos que deben incluirse en el registro de indicaciones geográficas de la Unión para productos artesanales e industriales; |
| --- | --- |

—

recomienda especificar en la propuesta las categorías de datos que deben incluirse en el registro de indicaciones geográficas de la Unión para productos artesanales e industriales;

| — | considera que el período de conservación propuesto para la documentación relacionada con la anulación del registro de indicaciones geográficas debe justificarse más o reducirse en la medida en que se refiera a datos personales. |
| --- | --- |

—

considera que el período de conservación propuesto para la documentación relacionada con la anulación del registro de indicaciones geográficas debe justificarse más o reducirse en la medida en que se refiera a datos personales.

Bruselas, 2 de junio de 2022.

Wojciech Rafał WIEWIÓROWSKI

---

(1)  COM(2022) 174 final, p. 1.

1

(2)  DO L 343 de 14.12.2012, p. 1.

2

(3)  DO L 130 de 17.5.2019, p. 1.

3

(4)  DO L 347 de 20.12.2013, p. 671.

4

(5)  El SEPD fue consultado sobre el Reglamento (UE) n.o 1308/2013 y adoptó su dictamen el 14 de diciembre de 2011.

5

o

(6)  COM(2022) 174 final, p. 2.

6

---

| 5.7.2022 | ES | Diario Oficial de la Unión Europea | C 258/7 |
| --- | --- | --- | --- |

5.7.2022

ES

Diario Oficial de la Unión Europea

C 258/7

---

Resumen del dictamen del Supervisor Europeo de Protección de Datos sobre la Propuesta de Reglamento sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión

(El texto completo de este dictamen puede consultarse en anglais, français et allemand en el sitio web del SEPD www.edps.europa.eu)

(2022/C 258/06)

El 22 de marzo de 2022, la Comisión Europea adoptó una Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión (en lo sucesivo, «la Propuesta»).

El SEPD acoge con satisfacción el objetivo de la Propuesta de mejorar la seguridad de la información manejada por los IUE mediante el establecimiento de normas comunes de seguridad de la información y el fomento de una cultura coherente de la seguridad de la información en un instrumento jurídico específico.

El SEPD observa que la seguridad de los datos personales con arreglo al mandato del RPDUE tiene un alcance que solo se solapa parcialmente con el ámbito de la seguridad de la información en virtud de la Propuesta. Esta última se centra en la confidencialidad de la información, mientras que el RPDUE también garantiza la integridad y la disponibilidad. Además, las disposiciones sobre seguridad de los datos personales del RPDUE abordan específicamente los riesgos para los derechos y libertades de las personas físicas.

La Propuesta exige que los IUE adopten medidas de seguridad de la información que inevitablemente implicarán el tratamiento de datos personales y de comunicaciones electrónicas, incluidos los datos de tráfico. El SEPD considera que debe quedar claro que todas las medidas de seguridad de la información que implican el tratamiento de datos personales deberán ajustarse al marco jurídico vigente en materia de protección de datos y privacidad, y que las IUE deberán adoptar las salvaguardias técnicas y organizativas pertinentes para garantizar este cumplimiento de manera responsable.

Para lograr la seguridad jurídica y la previsibilidad, y para garantizar el cumplimiento del RPDUE, el SEPD recomienda encarecidamente que la Propuesta, o al menos un acto delegado que la Comisión adopte posteriormente, defina claramente las actividades de tratamiento de datos personales autorizadas a efectos de dicho Reglamento. El SEPD también llama la atención sobre la necesidad de garantizar el cumplimiento de las normas del RPDUE relativas a las transferencias de datos personales a terceros países y organizaciones internacionales. Además, el SEPD recomienda explicar en un considerando que se aplicarán todas las disposiciones del RPDUE, incluidas las normas sobre transferencias internacionales.

El SEPD destaca la importancia de la integración de la perspectiva de protección de datos y privacidad en la gestión de seguridad de la información con el fin de lograr sinergias positivas entre la Propuesta y la legislación de protección de datos y privacidad, y ofrece recomendaciones específicas respecto a cómo se pueden lograr dichas sinergias: la obligación específica de que el funcionariado de la UE responsable de la seguridad de la información coopere estrechamente con la persona delegada de protección de datos designada de conformidad con el artículo 43 del RPDUE; la integración del cifrado de extremo a extremo en la lista de medidas mínimas de seguridad de la Propuesta, cuando proceda, y en particular cuando se intercambie información sensible no clasificada; y un proceso integrado de gestión de incidentes que sirva tanto a las obligaciones en materia de seguridad de la información como a las obligaciones en materia de protección de datos en las notificaciones de violación de la seguridad de los datos.

1.   INTRODUCCIÓN Y ANTECEDENTES

| 1. | El 22 de marzo de 2022, la Comisión Europea adoptó una Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión (1) (en lo sucesivo, «la Propuesta»). |
| --- | --- |

1.

El 22 de marzo de 2022, la Comisión Europea adoptó una Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión (1) (en lo sucesivo, «la Propuesta»).

| 2. | En la misma fecha, la Comisión Europea adoptó otra propuesta de Reglamento por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión (2) (en lo sucesivo, la «Propuesta de ciberseguridad»). |
| --- | --- |

2.

En la misma fecha, la Comisión Europea adoptó otra propuesta de Reglamento por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión (2) (en lo sucesivo, la «Propuesta de ciberseguridad»).

| 3. | Ambas propuestas se habían previsto en la Estrategia de Ciberseguridad de la UE para la Década Digital, presentada el 16 de diciembre de 2020 (3) (en lo sucesivo, «la Estrategia»). La Estrategia tiene por objeto reforzar la autonomía estratégica de la Unión en los ámbitos de la ciberseguridad y mejorar su resiliencia y su respuesta colectiva, así como construir una internet global y abierta con fuertes vallas para hacer frente a los riesgos para la seguridad y los derechos y libertades fundamentales de las personas en Europa (4). |
| --- | --- |

3.

Ambas propuestas se habían previsto en la Estrategia de Ciberseguridad de la UE para la Década Digital, presentada el 16 de diciembre de 2020 (3) (en lo sucesivo, «la Estrategia»). La Estrategia tiene por objeto reforzar la autonomía estratégica de la Unión en los ámbitos de la ciberseguridad y mejorar su resiliencia y su respuesta colectiva, así como construir una internet global y abierta con fuertes vallas para hacer frente a los riesgos para la seguridad y los derechos y libertades fundamentales de las personas en Europa (4).

| 4. | La Propuesta constituye una de las iniciativas reguladoras de la Estrategia y, en particular, en el ámbito de la ciberseguridad de las instituciones, órganos y organismos de la UE (en lo sucesivo, «IUE»). Según la Estrategia, el objetivo de la Propuesta es doble:






  — | facilitar la interoperabilidad de los sistemas de información clasificada, permitiendo una transferencia de información sin fisuras entre las diferentes entidades, y |
| --- | --- | --- |

4.

La Propuesta constituye una de las iniciativas reguladoras de la Estrategia y, en particular, en el ámbito de la ciberseguridad de las instituciones, órganos y organismos de la UE (en lo sucesivo, «IUE»). Según la Estrategia, el objetivo de la Propuesta es doble:

—

facilitar la interoperabilidad de los sistemas de información clasificada, permitiendo una transferencia de información sin fisuras entre las diferentes entidades, y

| — | permitir un enfoque interinstitucional para el manejo de información clasificada de la UE y de la información sensible no clasificada, que también pueda servir como modelo de interoperabilidad entre los Estados miembros, que indique que la UE también deberá seguir desarrollando su capacidad de comunicación segura con los socios pertinentes, aprovechando en la medida de lo posible los acuerdos y procedimientos existentes. |
| --- | --- |

—

permitir un enfoque interinstitucional para el manejo de información clasificada de la UE y de la información sensible no clasificada, que también pueda servir como modelo de interoperabilidad entre los Estados miembros, que indique que la UE también deberá seguir desarrollando su capacidad de comunicación segura con los socios pertinentes, aprovechando en la medida de lo posible los acuerdos y procedimientos existentes.

| 5. | El SEPD observa que el objeto de la Propuesta también está directamente relacionado con la Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en la Unión y por la que se deroga la Directiva (UE) 2016/1148 («Propuesta SRI 2.0»). El SEPD recuerda que emitió el Dictamen 5/2021 sobre la Estrategia de Ciberseguridad (5) y la Directiva SRI 2.0 («Dictamen SRI 2.0») (6). Por este motivo, el presente Dictamen se remite al Dictamen SRI 2.0. |
| --- | --- |

5.

El SEPD observa que el objeto de la Propuesta también está directamente relacionado con la Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en la Unión y por la que se deroga la Directiva (UE) 2016/1148 («Propuesta SRI 2.0»). El SEPD recuerda que emitió el Dictamen 5/2021 sobre la Estrategia de Ciberseguridad (5) y la Directiva SRI 2.0 («Dictamen SRI 2.0») (6). Por este motivo, el presente Dictamen se remite al Dictamen SRI 2.0.

| 6. | Según la exposición de motivos de la Propuesta, debido a la creciente cantidad de información sensible no clasificada y de información clasificada de la Unión Europea (ICUE) que las IUE deben compartir entre sí, y teniendo en cuenta la drástica evolución del panorama de amenazas, la Administración europea está expuesta a ataques en todos sus ámbitos de actividad. La información que tratan las IUE es muy atractiva para quienes nos amenazan y debe protegerse adecuadamente. |
| --- | --- |

6.

Según la exposición de motivos de la Propuesta, debido a la creciente cantidad de información sensible no clasificada y de información clasificada de la Unión Europea (ICUE) que las IUE deben compartir entre sí, y teniendo en cuenta la drástica evolución del panorama de amenazas, la Administración europea está expuesta a ataques en todos sus ámbitos de actividad. La información que tratan las IUE es muy atractiva para quienes nos amenazan y debe protegerse adecuadamente.

| 7. | Según la exposición de motivos, la Propuesta debería:






  — | establecer categorías armonizadas y exhaustivas de información , así como de normas comunes de tratamiento para todas las IUE, |
| --- | --- | --- |

7.

Según la exposición de motivos, la Propuesta debería:

—

establecer categorías armonizadas y exhaustivas de información , así como de normas comunes de tratamiento para todas las IUE,

| — | establecer un programa de cooperación sencillo en materia de seguridad de la información entre las IUE capaz de fomentar una cultura coherente de la seguridad de la información en toda la Administración europea, |
| --- | --- |

—

establecer un programa de cooperación sencillo en materia de seguridad de la información entre las IUE capaz de fomentar una cultura coherente de la seguridad de la información en toda la Administración europea,

| — | modernizar las políticas de seguridad de la información en todos los grados de clasificación y categorización para todas las IUE, teniendo en cuenta la transformación digital y el desarrollo del teletrabajo como práctica estructural. |
| --- | --- |

—

modernizar las políticas de seguridad de la información en todos los grados de clasificación y categorización para todas las IUE, teniendo en cuenta la transformación digital y el desarrollo del teletrabajo como práctica estructural.

| 8. | El 22 de marzo de 2022, la Comisión consultó al Supervisor Europeo de Protección de Datos de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (RPDUE) (7). Los comentarios y recomendaciones del presente Dictamen se limitan a las disposiciones de la Propuesta que son más pertinentes desde el punto de vista de la protección de datos y la privacidad. |
| --- | --- |

8.

El 22 de marzo de 2022, la Comisión consultó al Supervisor Europeo de Protección de Datos de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (RPDUE) (7). Los comentarios y recomendaciones del presente Dictamen se limitan a las disposiciones de la Propuesta que son más pertinentes desde el punto de vista de la protección de datos y la privacidad.

4.   CONCLUSIONES

| 31. | En vista de lo anterior, el SEPD formula las recomendaciones siguientes:






  — | El SEPD recomienda encarecidamente que la Propuesta defina claramente las actividades de tratamiento de datos personales que están permitidas a efectos de dicho Reglamento, en particular: categorías de datos personales; categorías de personas interesadas; definición de funciones según proceda (responsable, persona encargada del tratamiento, corresponsables del tratamiento), períodos de conservación, personas destinatarias en caso de transmisión a entidades no sujetas al RPDUE. El SEPD considera que estos elementos deberán figurar explícitamente en la Propuesta o, al menos, en un acto delegado que la Comisión adopte posteriormente. La propuesta deberá prever dicha delegación. |
| --- | --- | --- |

31.

En vista de lo anterior, el SEPD formula las recomendaciones siguientes:

—

El SEPD recomienda encarecidamente que la Propuesta defina claramente las actividades de tratamiento de datos personales que están permitidas a efectos de dicho Reglamento, en particular: categorías de datos personales; categorías de personas interesadas; definición de funciones según proceda (responsable, persona encargada del tratamiento, corresponsables del tratamiento), períodos de conservación, personas destinatarias en caso de transmisión a entidades no sujetas al RPDUE. El SEPD considera que estos elementos deberán figurar explícitamente en la Propuesta o, al menos, en un acto delegado que la Comisión adopte posteriormente. La propuesta deberá prever dicha delegación.

| — | El SEPD recomienda explicar en un considerando que se aplicarán todas las disposiciones del RPDUE, incluidas las normas sobre transferencias internacionales. El considerando 6 también puede utilizarse para incluir cualquier otra recomendación general de protección de datos formulada en el presente dictamen que no tenga por objeto modificar las disposiciones sustantivas. |
| --- | --- |

—

El SEPD recomienda explicar en un considerando que se aplicarán todas las disposiciones del RPDUE, incluidas las normas sobre transferencias internacionales. El considerando 6 también puede utilizarse para incluir cualquier otra recomendación general de protección de datos formulada en el presente dictamen que no tenga por objeto modificar las disposiciones sustantivas.

| — | El SEPD recomienda encarecidamente que se incluya el cifrado de extremo a extremo en la lista de medidas mínimas de seguridad de la Propuesta, cuando proceda, y en particular cuando se intercambie información sensible no clasificada. |
| --- | --- |

—

El SEPD recomienda encarecidamente que se incluya el cifrado de extremo a extremo en la lista de medidas mínimas de seguridad de la Propuesta, cuando proceda, y en particular cuando se intercambie información sensible no clasificada.

| — | El SEPD recomienda añadir en el artículo 5, apartado 3, que en los factores considerados por el proceso de gestión de riesgos para la seguridad de la información se tengan en cuenta también las amenazas derivadas del acceso basado en la jurisdicción de terceros países (por ejemplo, por parte de sus autoridades públicas). |
| --- | --- |

—

El SEPD recomienda añadir en el artículo 5, apartado 3, que en los factores considerados por el proceso de gestión de riesgos para la seguridad de la información se tengan en cuenta también las amenazas derivadas del acceso basado en la jurisdicción de terceros países (por ejemplo, por parte de sus autoridades públicas).

| — | El SEPD recomienda encarecidamente explicar en un considerando pertinente las ventajas de contar con una gestión integrada de los riesgos para la seguridad de la información y un proceso integrado de gestión de incidentes que sirva tanto a las obligaciones en materia de seguridad de la información como a las obligaciones en materia de protección de datos en las notificaciones de violación de la seguridad de los datos. |
| --- | --- |

—

El SEPD recomienda encarecidamente explicar en un considerando pertinente las ventajas de contar con una gestión integrada de los riesgos para la seguridad de la información y un proceso integrado de gestión de incidentes que sirva tanto a las obligaciones en materia de seguridad de la información como a las obligaciones en materia de protección de datos en las notificaciones de violación de la seguridad de los datos.

| — | El SEPD recomienda encarecidamente que la propuesta establezca la obligación específica de que el personal funcionario de la UE responsable de la seguridad de la información coopere estrechamente con la persona responsable de protección de datos designada de conformidad con el artículo 43 del RPDUE, cuando se trate de actividades como la aplicación de la protección de datos desde el diseño y por defecto a las medidas de seguridad de la información, la selección de medidas de seguridad que impliquen datos personales, la gestión integrada de riesgos y la gestión integrada de incidentes de seguridad. |
| --- | --- |

—

El SEPD recomienda encarecidamente que la propuesta establezca la obligación específica de que el personal funcionario de la UE responsable de la seguridad de la información coopere estrechamente con la persona responsable de protección de datos designada de conformidad con el artículo 43 del RPDUE, cuando se trate de actividades como la aplicación de la protección de datos desde el diseño y por defecto a las medidas de seguridad de la información, la selección de medidas de seguridad que impliquen datos personales, la gestión integrada de riesgos y la gestión integrada de incidentes de seguridad.

Bruselas, 17 de mayo de 2022.

Wojciech Rafał Wiewiórowski

---

(1)  COM(2022) 119 final.

1

(2)  COM(2022) 122 final.

2

(3)  La Estrategia de Ciberseguridad de la UE para la Década Digital «Configurar el futuro digital de Europa» (europa.eu), incluida una Comunicación conjunta con el Alto Representante de la Unión para Asuntos Exteriores y Política de Seguridad (JOIN (2020) 18)

3

(4)  Véase el capítulo I. INTRODUCCIÓN, página 4, de la Estrategia.

4

(5)  Comunicación conjunta de la Comisión Europea y el Alto Representante de la Unión para Asuntos Exteriores y Política de Seguridad publicaron al Parlamento Europeo y el Consejo, titulada «La estrategia de ciberseguridad de la UE para la década digital».

5

(6)  Dictamen 5/2021 del SEPD sobre la Estrategia de Ciberseguridad y la Directiva SRI 2.0.

6

(7)  Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.° 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

7

o

---

| 5.7.2022 | ES | Diario Oficial de la Unión Europea | C 258/10 |
| --- | --- | --- | --- |

5.7.2022

ES

Diario Oficial de la Unión Europea

C 258/10

---

Resumen del dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Reglamento por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión

[El texto completo de este dictamen puede consultarse en inglés, francés y alemán en el sitio web del SEPD www.edps.europa.eu]

(2022/C 258/07)

El 22 de marzo de 2022, la Comisión Europea adoptó una Propuesta de Reglamento por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión (en lo sucesivo, «la Propuesta»).

El SEPD acoge con satisfacción el objetivo de la Propuesta de mejorar la posición en materia de ciberseguridad de las instituciones, organismos y agencias de la Unión («IUE»), y también acoge con satisfacción el nuevo papel del antiguo «equipo de respuesta a emergencias informáticas», ahora denominado «Centro de Ciberseguridad» (CERT-UE), teniendo en cuenta la digitalización amplificada, la rápida evolución del panorama de amenazas a la ciberseguridad y el reciente cambio de digitalización debido también a la pandemia de COVID-19.

El SEPD lamenta que la Propuesta no se ajuste a la Directiva SRI ni a la Propuesta SRI 2.0 de alcanzar unas normas coherentes y homogéneas para los Estados miembros y las IUE que contribuyan al nivel general de ciberseguridad de la Unión. El SEPD recomienda añadir en la Propuesta que sus requisitos mínimos de seguridad deberán ser al menos iguales o superiores a los requisitos mínimos de seguridad de las entidades de SRI y de la Propuesta SRI 2.0.

Para cumplir con la propuesta, las IUE, así como el CERT-UE, tendrán que desplegar determinados procesos y medidas de ciberseguridad que implicarán un tratamiento adicional de datos personales. Con vistas a alcanzar la seguridad jurídica y la previsibilidad, y para garantizar el cumplimiento del RPDUE, el SEPD recomienda encarecidamente que la Propuesta, o al menos un acto delegado que la Comisión adopte posteriormente, proporcione claramente un fundamento jurídico para el tratamiento de datos personales por el CERT-UE y las IUE que incluya en particular los fines del tratamiento y las categorías de datos personales.

El SEPD destaca la importancia de integrar la perspectiva de la privacidad y la protección de datos en la gestión de la ciberseguridad con el fin de alcanzar sinergias positivas entre la Propuesta y la legislación en materia de privacidad y protección de datos, y formula recomendaciones específicas sobre cómo pueden lograrse dichas sinergias, incluida la obligación específica de que el personal funcionario de la UE responsable de la ciberseguridad coopere estrechamente con la persona delegada de protección de datos designada de conformidad con el RPDUE.

El SEPD recomienda encarecidamente que la Propuesta prevea una estrecha cooperación entre el CERT-UE y el SEPD en actividades como la resolución de incidentes que den lugar a violaciones de la seguridad de los datos personales, al abordar vulnerabilidades significativas, incidentes significativos o ataques graves que puedan dar lugar a dichas violaciones, así como cuando el CERT-UE tenga indicios de que una infracción de la Propuesta implica una violación de datos personales.

Asimismo, el SEPD recomienda encarecidamente que la Propuesta prevea la participación del SEPD en el Consejo Interinstitucional de Ciberseguridad (CIIC).

1.   INTRODUCCIÓN Y ANTECEDENTES

| 1. | El 22 de marzo de 2022, la Comisión Europea adoptó una Propuesta de Reglamento por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión (1) (en lo sucesivo, «la Propuesta»). |
| --- | --- |

1.

El 22 de marzo de 2022, la Comisión Europea adoptó una Propuesta de Reglamento por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión (1) (en lo sucesivo, «la Propuesta»).

| 2. | En la misma fecha, la Comisión Europea adoptó la Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión (2) (en lo sucesivo, «la Propuesta Infosec»). |
| --- | --- |

2.

En la misma fecha, la Comisión Europea adoptó la Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión (2) (en lo sucesivo, «la Propuesta Infosec»).

| 3. | Ambas Propuestas estaban previstas en la Estrategia de Ciberseguridad de la UE para la Década Digital, presentada el 16 de diciembre de 2020 (3) (en lo sucesivo, «la Estrategia»). La Estrategia tiene por objeto reforzar la autonomía estratégica de la Unión en los ámbitos de la ciberseguridad y mejorar su resiliencia y su respuesta colectiva, así como construir una internet global y abierta con fuertes vallas para hacer frente a los riesgos para la seguridad y los derechos y libertades fundamentales de las personas en Europa (4). |
| --- | --- |

3.

Ambas Propuestas estaban previstas en la Estrategia de Ciberseguridad de la UE para la Década Digital, presentada el 16 de diciembre de 2020 (3) (en lo sucesivo, «la Estrategia»). La Estrategia tiene por objeto reforzar la autonomía estratégica de la Unión en los ámbitos de la ciberseguridad y mejorar su resiliencia y su respuesta colectiva, así como construir una internet global y abierta con fuertes vallas para hacer frente a los riesgos para la seguridad y los derechos y libertades fundamentales de las personas en Europa (4).

| 4. | La Propuesta constituye una de las iniciativas reguladoras de la Estrategia y, en particular, en el ámbito de la ciberseguridad para las instituciones, organismos y agencias de la UE (IUE). Según su exposición de motivos, el objetivo de la Propuesta es doble:






  — | hacer frente al panorama de ciberamenazas, cada vez más hostil, y al aumento de la incidencia de ciberataques más sofisticados que afectan a las instituciones, organismos y agencias de la UE e impulsan la necesidad de aumentar las inversiones para alcanzar un alto nivel de madurez cibernética, y |
| --- | --- | --- |

4.

La Propuesta constituye una de las iniciativas reguladoras de la Estrategia y, en particular, en el ámbito de la ciberseguridad para las instituciones, organismos y agencias de la UE (IUE). Según su exposición de motivos, el objetivo de la Propuesta es doble:

—

hacer frente al panorama de ciberamenazas, cada vez más hostil, y al aumento de la incidencia de ciberataques más sofisticados que afectan a las instituciones, organismos y agencias de la UE e impulsan la necesidad de aumentar las inversiones para alcanzar un alto nivel de madurez cibernética, y

| — | reforzar el equipo de respuesta a emergencias informáticas de la UE (CERT-UE) con un mecanismo de financiación mejorado que sea necesario para aumentar su capacidad de ayuda a las instituciones, organismos y agencias de la UE en la aplicación de las nuevas normas de ciberseguridad y mejorar su capacidad de adaptación cibernética. |
| --- | --- |

—

reforzar el equipo de respuesta a emergencias informáticas de la UE (CERT-UE) con un mecanismo de financiación mejorado que sea necesario para aumentar su capacidad de ayuda a las instituciones, organismos y agencias de la UE en la aplicación de las nuevas normas de ciberseguridad y mejorar su capacidad de adaptación cibernética.

| 5. | El SEPD observa que el objeto de la presente Propuesta está interrelacionado con la Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en la Unión y por la que se deroga la Directiva (UE) 2016/1148 (la «Propuesta SRI 2.0»). El SEPD recuerda que emitió el Dictamen 5/2021 sobre la Estrategia de Ciberseguridad (5) y la Directiva SRI 2.0 («Dictamen SRI 2.0») (6). Por este motivo, el presente Dictamen se remite al Dictamen SRI 2.0. |
| --- | --- |

5.

El SEPD observa que el objeto de la presente Propuesta está interrelacionado con la Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en la Unión y por la que se deroga la Directiva (UE) 2016/1148 (la «Propuesta SRI 2.0»). El SEPD recuerda que emitió el Dictamen 5/2021 sobre la Estrategia de Ciberseguridad (5) y la Directiva SRI 2.0 («Dictamen SRI 2.0») (6). Por este motivo, el presente Dictamen se remite al Dictamen SRI 2.0.

| 6. | En consonancia con la Estrategia, la Propuesta tiene por objeto seguir mejorando la resiliencia de todas las instituciones, organismos y agencias de la Unión, junto con sus capacidades de respuesta a incidentes. Además, concuerda con las prioridades de la Comisión de adaptar Europa a la era digital y forjar una economía con visión de futuro al servicio de las personas. Asimismo, destaca que la seguridad y la resiliencia de la administración pública son una piedra angular de la transformación digital de la sociedad en su conjunto. |
| --- | --- |

6.

En consonancia con la Estrategia, la Propuesta tiene por objeto seguir mejorando la resiliencia de todas las instituciones, organismos y agencias de la Unión, junto con sus capacidades de respuesta a incidentes. Además, concuerda con las prioridades de la Comisión de adaptar Europa a la era digital y forjar una economía con visión de futuro al servicio de las personas. Asimismo, destaca que la seguridad y la resiliencia de la administración pública son una piedra angular de la transformación digital de la sociedad en su conjunto.

| 7. | Según la exposición de motivos, la Propuesta:






  — | esboza medidas destinadas a garantizar un elevado nivel común de ciberseguridad para las instituciones, organismos y agencias de la Unión Europea; |
| --- | --- | --- |

7.

Según la exposición de motivos, la Propuesta:

—

esboza medidas destinadas a garantizar un elevado nivel común de ciberseguridad para las instituciones, organismos y agencias de la Unión Europea;

| — | crea el «Consejo Interinstitucional de Ciberseguridad», que será responsable de supervisar la aplicación del Reglamento propuesto; |
| --- | --- |

—

crea el «Consejo Interinstitucional de Ciberseguridad», que será responsable de supervisar la aplicación del Reglamento propuesto;

| — | establece el nuevo papel del Equipo de Respuesta a Emergencias Informáticas de las instituciones, los órganos y los organismos de la UE (CERT-UE) (7) como «Centro de Ciberseguridad» para las instituciones, los órganos y los organismos de la Unión, en sintonía con los cambios observados en los Estados miembros y en otras partes del mundo. |
| --- | --- |

—

establece el nuevo papel del Equipo de Respuesta a Emergencias Informáticas de las instituciones, los órganos y los organismos de la UE (CERT-UE) (7) como «Centro de Ciberseguridad» para las instituciones, los órganos y los organismos de la Unión, en sintonía con los cambios observados en los Estados miembros y en otras partes del mundo.

| 8. | El 22 de marzo de 2022, la Comisión Europea pidió al SEPD que emitiese un Dictamen sobre la Propuesta, con arreglo a lo previsto en el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (el «RPDUE») (8). Las observaciones y recomendaciones del presente Dictamen se limitan a las disposiciones de la Propuesta que son más pertinentes desde el punto de vista de la protección de datos. |
| --- | --- |

8.

El 22 de marzo de 2022, la Comisión Europea pidió al SEPD que emitiese un Dictamen sobre la Propuesta, con arreglo a lo previsto en el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (el «RPDUE») (8). Las observaciones y recomendaciones del presente Dictamen se limitan a las disposiciones de la Propuesta que son más pertinentes desde el punto de vista de la protección de datos.

4.   CONCLUSIONES

| 48. | En vista de lo anterior, el SEPD formula las recomendaciones siguientes:






  — | El SEPD recomienda que se añada en un considerando que la Propuesta se basa en la Propuesta SRI 2.0 y que se explique con más detalle el vínculo entre la Propuesta y la Directiva SRI, así como la Propuesta SRI 2.0 en los considerandos 4 y 5. Además, el SEPD recomienda incluir la siguiente redacción en el texto principal: «Los requisitos mínimos de seguridad deberán ser al menos iguales o superiores a los requisitos mínimos de seguridad de las entidades de SRI y de la Propuesta SRI 2.0»; |
| --- | --- | --- |

48.

En vista de lo anterior, el SEPD formula las recomendaciones siguientes:

—

El SEPD recomienda que se añada en un considerando que la Propuesta se basa en la Propuesta SRI 2.0 y que se explique con más detalle el vínculo entre la Propuesta y la Directiva SRI, así como la Propuesta SRI 2.0 en los considerandos 4 y 5. Además, el SEPD recomienda incluir la siguiente redacción en el texto principal: «Los requisitos mínimos de seguridad deberán ser al menos iguales o superiores a los requisitos mínimos de seguridad de las entidades de SRI y de la Propuesta SRI 2.0»;

| — | El SEPD recomienda encarecidamente que la Propuesta establezca claramente un fundamento jurídico para el tratamiento de datos personales por parte del CERT-UE y las IUE, incluidos, en particular, los fines del tratamiento y las categorías de datos personales. Además, deberán establecerse explícitamente los siguientes elementos: a) Identificación de las personas responsables, encargadas o corresponsables, según proceda; b) Categorías de personas interesadas; c) Períodos de retención o, al menos, criterios para determinarlos. El SEPD considera que estos elementos deberán figurar explícitamente en la Propuesta o, al menos, en un acto delegado que la Comisión adopte posteriormente. La Propuesta deberá prever dicha delegación; |
| --- | --- |

—

El SEPD recomienda encarecidamente que la Propuesta establezca claramente un fundamento jurídico para el tratamiento de datos personales por parte del CERT-UE y las IUE, incluidos, en particular, los fines del tratamiento y las categorías de datos personales. Además, deberán establecerse explícitamente los siguientes elementos: a) Identificación de las personas responsables, encargadas o corresponsables, según proceda; b) Categorías de personas interesadas; c) Períodos de retención o, al menos, criterios para determinarlos. El SEPD considera que estos elementos deberán figurar explícitamente en la Propuesta o, al menos, en un acto delegado que la Comisión adopte posteriormente. La Propuesta deberá prever dicha delegación;

| — | El SEPD recomienda encarecidamente que se incluya el «cifrado en reposo», el «cifrado en tránsito» y el «cifrado de extremo a extremo» en la lista de medidas mínimas de ciberseguridad del anexo II de la Propuesta; |
| --- | --- |

—

El SEPD recomienda encarecidamente que se incluya el «cifrado en reposo», el «cifrado en tránsito» y el «cifrado de extremo a extremo» en la lista de medidas mínimas de ciberseguridad del anexo II de la Propuesta;

| — | El SEPD recomienda encarecidamente que la propuesta establezca una obligación específica para la persona responsable local de ciberseguridad definida en el artículo 4, apartado 5, de cooperar con la persona delegada de protección de datos designada de conformidad con el artículo 43 del RPDUE, cuando se trate de actividades que se solapen, como la aplicación de la protección de datos desde el diseño y por defecto a las medidas de ciberseguridad, la selección de medidas de ciberseguridad que impliquen datos personales, la gestión integrada de riesgos y la gestión integrada de los incidentes de seguridad; |
| --- | --- |

—

El SEPD recomienda encarecidamente que la propuesta establezca una obligación específica para la persona responsable local de ciberseguridad definida en el artículo 4, apartado 5, de cooperar con la persona delegada de protección de datos designada de conformidad con el artículo 43 del RPDUE, cuando se trate de actividades que se solapen, como la aplicación de la protección de datos desde el diseño y por defecto a las medidas de ciberseguridad, la selección de medidas de ciberseguridad que impliquen datos personales, la gestión integrada de riesgos y la gestión integrada de los incidentes de seguridad;

| — | El SEPD recomienda encarecidamente que se añada una disposición en el artículo 12 «Misión y funciones del CERT-UE» de la Propuesta según la cual «el CERT-UE trabajará en estrecha cooperación con el SEPD a la hora de abordar incidentes que den lugar a violaciones de la seguridad de los datos personales o que vulneren la confidencialidad de las comunicaciones electrónicas»; |
| --- | --- |

—

El SEPD recomienda encarecidamente que se añada una disposición en el artículo 12 «Misión y funciones del CERT-UE» de la Propuesta según la cual «el CERT-UE trabajará en estrecha cooperación con el SEPD a la hora de abordar incidentes que den lugar a violaciones de la seguridad de los datos personales o que vulneren la confidencialidad de las comunicaciones electrónicas»;

| — | El SEPD recomienda añadir la obligación de que el CERT-UE informe al SEPD a la hora de abordar vulnerabilidades, incidentes significativos o ataques importantes que puedan dar lugar a violaciones de la seguridad de los datos personales o de la confidencialidad de las comunicaciones electrónicas; |
| --- | --- |

—

El SEPD recomienda añadir la obligación de que el CERT-UE informe al SEPD a la hora de abordar vulnerabilidades, incidentes significativos o ataques importantes que puedan dar lugar a violaciones de la seguridad de los datos personales o de la confidencialidad de las comunicaciones electrónicas;

| — | El SEPD recomienda que en el artículo 12 se disponga que el SEPD participará en las actividades de sensibilización del CERT-UE en materia de ciberseguridad de las IUE, con el fin de cubrir la interacción entre la violación de la seguridad de los datos personales y los incidentes de ciberseguridad; |
| --- | --- |

—

El SEPD recomienda que en el artículo 12 se disponga que el SEPD participará en las actividades de sensibilización del CERT-UE en materia de ciberseguridad de las IUE, con el fin de cubrir la interacción entre la violación de la seguridad de los datos personales y los incidentes de ciberseguridad;

| — | El SEPD recomienda que se añada una disposición en el artículo 12 «Misión y funciones del CERT-UE» de la Propuesta que especifique que el CERT-UE informará sin demora indebida al SEPD cuando tenga indicios de que una infracción por parte de las IUE de las obligaciones establecidas en la Propuesta implica una violación de la seguridad de los datos personales; |
| --- | --- |

—

El SEPD recomienda que se añada una disposición en el artículo 12 «Misión y funciones del CERT-UE» de la Propuesta que especifique que el CERT-UE informará sin demora indebida al SEPD cuando tenga indicios de que una infracción por parte de las IUE de las obligaciones establecidas en la Propuesta implica una violación de la seguridad de los datos personales;

| — | El SEPD recomienda encarecidamente que el Supervisor Europeo de Protección de Datos se añada en el artículo 9, apartado 3, como participante permanente en el CIIC con una persona representante. |
| --- | --- |

—

El SEPD recomienda encarecidamente que el Supervisor Europeo de Protección de Datos se añada en el artículo 9, apartado 3, como participante permanente en el CIIC con una persona representante.

Bruselas, 17 de mayo de 2022

Wojciech Rafał WIEWIÓROWSKI

---

(1)  COM(2022) 122 final.

1

(2)  COM(2022) 119 final.

2

(3)  La Estrategia de Ciberseguridad de la UE para la Década Digital «Configurar el futuro digital de Europa» (europa.eu), incluida una Comunicación conjunta con el Alto Representante de la Unión para Asuntos Exteriores y Política de Seguridad (JOIN(2020)18).

3

(4)  Véase el capítulo I. INTRODUCCIÓN de la Estrategia, página 4.

4

(5)  Comunicación conjunta de la Comisión Europea y el Alto Representante de la Unión para Asuntos Exteriores y Política de Seguridad al Parlamento Europeo y el Consejo, titulada «La estrategia de ciberseguridad de la UE para la década digital».

5

(6)  Dictamen 5/2021 del SEPD sobre la Estrategia de Ciberseguridad y la Directiva SRI 2.0.

6

(7)  El papel actual del CERT-UE se deriva del Acuerdo Interinstitucional 2018/C 12/01.

7

(8)  Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.° 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

8

o

---

INFORMACIÓN PROCEDENTE DE LOS ESTADOS MIEMBROS

| 5.7.2022 | ES | Diario Oficial de la Unión Europea | C 258/13 |
| --- | --- | --- | --- |

5.7.2022

ES

Diario Oficial de la Unión Europea

C 258/13

---

Actualización de los importes de referencia para el cruce de las fronteras exteriores, de conformidad con lo establecido en el artículo 6, apartado 4, del Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo, por el que se establece un Código comunitario de normas para el cruce de personas por las fronteras (Código de fronteras Schengen) (1)

(2022/C 258/08)

La publicación de los importes de referencia en relación con el cruce de las fronteras exteriores, de conformidad con lo establecido en el artículo 6, apartado 4 del Reglamento (UE) 2016/399 del Parlamento Europeo y del Consejo, de 9 de marzo de 2016, por el que se establece un Código comunitario de normas para el cruce de personas por las fronteras (Código de fronteras Schengen) (2), se basa en la información notificada por los Estados miembros a la Comisión de conformidad con el artículo 39 del Código de fronteras Schengen (codificación).

Además de publicarse en el Diario Oficial, una actualización mensual está disponible en el sitio de internet de la Dirección General de Asuntos de Interior.

IMPORTES DE REFERENCIA ESTABLECIDOS POR LAS AUTORIDADES NACIONALES PARA EL CRUCE DE LAS FRONTERAS EXTERIORES

ISLANDIA

Modificación de la información publicada en DO C 247 de 13.10.2006, p. 19.

En virtud de la legislación islandesa, los extranjeros han de demostrar que poseen dinero suficiente para cubrir sus necesidades en Islandia y para efectuar el viaje de regreso. En la práctica, la cantidad de referencia es de 8 000 ISK por persona y día. En caso de que un tercero se haga cargo de los gastos de estancia de una persona, dicha cantidad se reducirá a la mitad. La cantidad total mínima asciende a 40 000 ISK por entrada.

Lista de publicaciones anteriores

DO C 247 de 13.10.2006, p. 19.

DO C 77 de 5.4.2007, p. 11.

DO C 153 de 6.7.2007, p. 22.

DO C 164 de 18.7.2007, p. 45.

DO C 182 de 4.8.2007, p. 18.

DO C 57 de 1.3.2008, p. 38.

DO C 134 de 31.5.2008, p. 19.

DO C 331 de 31.12.2008, p. 13.

DO C 33 de 10.2.2009, p. 1.

DO C 36 de 13.2.2009, p. 100.

DO C 37 de 14.2.2009, p. 8.

DO C 98 de 29.4.2009, p. 11.

DO C 35 de 12.2.2010, p. 7.

DO C 304 de 10.11.2010, p. 5.

DO C 24 de 26.1.2011, p. 6.

DO C 157 de 27.5.2011, p. 8.

DO C 203 de 9.7.2011, p. 16.

DO C 11 de 13.1.2012, p. 13.

DO C 72 de 10.3.2012, p. 44.

DO C 199 de 7.7.2012, p. 8.

DO C 298 de 4.10.2012, p. 3.

DO C 56 de 26.2.2013, p. 13.

DO C 98 de 5.4.2013, p. 3.

DO C 269 de 18.9.2013, p. 2.

DO C 57 de 28.2.2014, p. 2.

DO C 152 de 20.5.2014, p. 25.

DO C 224 de 15.7.2014, p. 31.

DO C 434 de 4.12.2014, p. 3.

DO C 447 de 13.12.2014, p. 32.

DO C 38 de 4.2.2015, p. 20.

DO C 96 de 11.3.2016, p. 7.

DO C 146 de 26.4.2016, p. 12.

DO C 248 de 8.7.2016, p. 12.

DO C 111 de 8.4.2017, p. 11.

DO C 21 de 20.1.2018, p. 3.

DO C 93 de 12.3.2018, p. 4.

DO C 153 de 2.5.2018, p. 8.

DO C 186 de 31.5.2018, p. 10.

DO C 264 de 26.07.2018, p. 6.

DO C 366 de 10.10.2018, p. 12.

DO C 459 de 20.12.2018, p. 38.

DO C 140 de 16.4.2019, p. 7.

DO C 178 de 28.5.2020, p. 3.

DO C 102 de 24.3.2021, p. 8.

DO C 486 de 3.12.2021, p. 26.

DO C 139 de 29.3.2022, p. 3.

DO C 143 de 31.3.2022, p. 6.

---

(1)  Véase la lista de publicaciones anteriores al final de la presente actualización.

(2)  DO L 77 de 23.3.2016, p. 1.

---