DECISIÓN (UE) 2020/1502 DE LA COMISIÓN

de 15 de octubre de 2020

por la que se establecen normas internas relativas a la comunicación de información a los interesados y a las limitaciones de algunos de sus derechos en el contexto del tratamiento de datos personales que lleva a cabo la Comisión en el mecanismo de cooperación establecido por el Reglamento (UE) 2019/452 del Parlamento Europeo y del Consejo

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 249, apartado 1,

Considerando lo siguiente:

(1) Mediante el Reglamento (UE) 2019/452 del Parlamento Europeo y del Consejo (1) se estableció un mecanismo de cooperación entre la Comisión y los Estados miembros en materia de inversiones extranjeras directas. Dicho mecanismo se basa en un intercambio de información que puede incluir datos personales en el sentido del artículo 3, punto 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (2). El objetivo de este mecanismo es permitir que cada Estado miembro examine si una inversión extranjera directa en otro Estado miembro puede afectar a su seguridad o a su orden público y que la Comisión examine si una inversión extranjera directa puede afectar a la seguridad o al orden público en más de un Estado miembro.

(2) Las categorías de los datos personales tratados por la Comisión para el control de las inversiones extranjeras directas realizadas por los Estados miembros y para garantizar la eficacia del mecanismo de cooperación establecido por el Reglamento (UE) 2019/452 incluyen datos de identificación y de contacto, datos profesionales y datos relacionados con la inversión extranjera directa.

(3) Los servicios de la Comisión responsables de la actividad de control conservan los datos personales durante el tiempo necesario para el control de las inversiones extranjeras directas realizadas por los Estados miembros y para garantizar el funcionamiento del mecanismo de cooperación, y los almacenan en un entorno electrónico protegido a fin de evitar el acceso ilícito a los datos de personas ajenas a la Comisión o la transferencia ilícita de los datos a personas ajenas a la Comisión (3).

(4) La Comisión, en el desempeño de sus funciones, está obligada a respetar los derechos de las personas físicas en relación con el tratamiento de datos de carácter personal, reconocidos en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea, así como los derechos establecidos en el Reglamento (UE) 2018/1725. Al mismo tiempo, la Comisión está obligada a cumplir las estrictas normas de confidencialidad establecidas en el artículo 10 del Reglamento (UE) 2019/452.

(5) En determinadas circunstancias, es necesario conciliar los derechos de los interesados en virtud del Reglamento (UE) 2018/1725 con la necesidad de eficacia del mecanismo de cooperación y con el pleno respeto de los derechos y libertades fundamentales de otros interesados. A tal fin, el artículo 25, apartado 1, del Reglamento (UE) 2018/1725 ofrece a la Comisión la posibilidad de limitar la aplicación de sus artículos 14 a 17, 19, 20 y 35, así como el principio de transparencia establecido en su artículo 4, apartado 1, letra a), en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19 y 20.

(6) La política comercial común de la Unión exige que la Comisión lleve a cabo sus tareas con eficacia y eficiencia en el marco del mecanismo de cooperación. Para ello, al tiempo que se respetan las normas de protección de datos personales del Reglamento (UE) 2018/1725, es necesario adoptar normas internas con arreglo a las cuales la Comisión pueda limitar los derechos de los interesados de conformidad con el artículo 25 del Reglamento (UE) 2018/1725.

(7) Dichas normas internas deben abarcar todas las operaciones de tratamiento de datos realizadas por la Comisión en el desempeño de sus funciones en el marco del mecanismo de cooperación establecido por el Reglamento (UE) 2019/452 desde el momento en que recibe la información sobre las inversiones extranjeras directas en cuestión.

(8) A fin de cumplir lo dispuesto en los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, la Comisión debe informar a todas las personas, de manera transparente y coherente, mediante avisos de protección de datos publicados en su sitio web, de las actividades que lleve a cabo y que impliquen el tratamiento de sus datos personales, así como de los derechos que les asisten. Cuando proceda, la Comisión debe prever salvaguardias adicionales para garantizar que se informe a los interesados individualmente y en un formato adecuado.

(9) Sin perjuicio de lo dispuesto en el apartado 5 de los artículos 14 y 16 del Reglamento (UE) 2018/1725, con el fin de salvaguardar sus competencias para llevar a cabo los análisis y procedimientos relacionados con el control de las inversiones extranjeras directas o el mecanismo de cooperación establecido por el Reglamento (UE) 2019/452, la Comisión tiene la posibilidad, en virtud del artículo 25 del Reglamento (UE) 2018/1725, de limitar la comunicación de información a los interesados sobre el tratamiento de sus datos personales y la aplicación de sus otros derechos. A este respecto, puede resultar necesario que la Comisión limite la aplicación de tales derechos y obligaciones con arreglo al artículo 25, apartado 1, letras a), c), d), g) y h), de este último Reglamento. Por ejemplo, cuando de no actuar así pueda verse comprometido el propósito de sus análisis y procedimientos relacionados con el control de las inversiones extranjeras directas o el mecanismo de cooperación con respecto a la aplicación efectiva de la política comercial común de la Unión.

(10) Además, a fin de mantener una cooperación efectiva, puede ser necesario que la Comisión limite la aplicación de los derechos de los interesados para proteger las operaciones de tratamiento de otras instituciones, órganos y organismos de la Unión o de las autoridades de los Estados miembros. La Comisión puede hacerlo cuando, en caso de no imponer ella una limitación equivalente respecto de los mismos datos personales, pueda verse comprometido el propósito de la limitación impuesta por otra institución, órgano u organismo de la Unión o por una autoridad de un Estado miembro. A tal fin, la Comisión debe consultar a esas instituciones, órganos, organismos o autoridades sobre los motivos pertinentes para imponer limitaciones, así como sobre la necesidad y proporcionalidad de estas.

(11) Es posible que la Comisión tenga que limitar la comunicación de información a los interesados y la aplicación de sus otros derechos en relación con los datos personales recibidos de los Estados miembros u otras fuentes, ya sean anónimas o identificadas, cuando resulte necesario para salvaguardar la seguridad nacional, el orden público o la defensa de los Estados miembros, tal como se contempla en el artículo 25, apartado 1, letra a), del Reglamento (UE) 2018/1725, o para salvaguardar la seguridad interna de las instituciones y organismos de la Unión, tal como se contempla en el artículo 25, apartado 1, letra d), de dicho Reglamento. La seguridad interna de las instituciones y organismos de la Unión puede correr riesgo, en particular, cuando las inversiones extranjeras directas puedan afectar a proyectos o programas de interés para la Unión por motivos de seguridad o de orden público.

(12) Es posible que la Comisión también tenga que limitar la comunicación de información a los interesados y la aplicación de sus otros derechos en relación con los datos personales recibidos de los Estados miembros, de terceros países o de organizaciones internacionales, a fin de cooperar con los Estados miembros o con esos terceros países u organizaciones y salvaguardar así un objetivo importante de interés público general de la Unión, tal como se contempla en el artículo 25, apartado 1, letra c), del Reglamento (UE) 2018/1725. Sin embargo, en determinadas circunstancias puede que el interés de los derechos fundamentales del interesado prevalezca sobre el interés de la cooperación internacional.

(13) Por consiguiente, cuando resulte necesario de cara a una función de supervisión, inspección o reglamentación vinculada con el ejercicio de la autoridad pública en el desempeño de sus funciones en el marco del mecanismo de cooperación establecido por el Reglamento (UE) 2019/452, es posible que la Comisión tenga que limitar la comunicación de información a los interesados y la aplicación de sus otros derechos, tal como se contempla en el artículo 25, apartado 1, letra g), del Reglamento (UE) 2018/1725.

(14) Además, puede que la Comisión tenga que limitar la comunicación de información a los interesados y la aplicación de sus otros derechos en relación con los datos personales recibidos de fuentes anónimas o identificadas, como informantes, cuyos derechos y libertades tengan que ser protegidos, de conformidad con el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725.

(15) Así pues, la Comisión ha establecido los motivos enumerados en el artículo 25, apartado 1, letras a), c), d), g) y h), del Reglamento (UE) 2018/1725 como motivos que justifican las limitaciones que puede ser necesario imponer a las operaciones de tratamiento de datos llevadas a cabo en el marco de sus análisis y procedimientos relacionados con el control de las inversiones extranjeras directas o el mecanismo de cooperación establecido por el Reglamento (UE) 2019/452.

(16) Toda limitación impuesta con arreglo a la presente Decisión debe ser necesaria y proporcionada teniendo en cuenta los riesgos para los derechos y libertades de los interesados.

(17) La Comisión debe gestionar todas las limitaciones de manera transparente y consignar cada imposición en el sistema de registro correspondiente.

(18) En el marco del Reglamento (UE) 2019/452, la Comisión trata los datos personales conjuntamente con las autoridades competentes de los Estados miembros. La Comisión lleva a cabo la evaluación y los procedimientos relacionados con el control de las inversiones extranjeras directas o el mecanismo de cooperación a través de diferentes servicios, pero la responsabilidad principal de la coordinación recae en la Dirección General de Comercio.

(19) Con arreglo al artículo 25, apartado 8, del Reglamento (UE) 2018/1725, los responsables del tratamiento pueden aplazar, omitir o denegar la comunicación de la información sobre los motivos para la imposición de una limitación al interesado si dicha comunicación de alguna forma deja sin efecto la limitación en cuestión. Así sucede, en particular, en el caso de las limitaciones contempladas en los artículos 16 y 35 de dicho Reglamento.

(20) La Comisión debe revisar periódicamente las limitaciones impuestas, a fin de garantizar que los derechos de los interesados a ser informados de conformidad con los artículos 16 y 35 del Reglamento (UE) 2018/1725 estén limitados únicamente en la medida en que tales limitaciones sean necesarias para que pueda llevar a cabo los análisis y procedimientos relacionados con el control de las inversiones extranjeras directas o el mecanismo de cooperación.

(21) Cuando se limiten otros derechos de los interesados, el responsable del tratamiento debe evaluar, caso por caso, si la comunicación de la limitación comprometería su propósito.

(22) El delegado de protección de datos de la Comisión debe llevar a cabo una revisión independiente de la imposición de las limitaciones, con vistas a garantizar el cumplimiento de la presente Decisión.

(23) A fin de permitir inmediatamente a la Comisión que limite la aplicación de determinados derechos y obligaciones de conformidad con el artículo 25 del Reglamento (UE) 2018/1725 y para no comprometer los análisis y procedimientos relacionados con el control de las inversiones extranjeras directas o el mecanismo de cooperación establecido por el Reglamento (UE) 2019/452, la presente Decisión debe entrar en vigor a los tres días de su publicación en el Diario Oficial de la Unión Europea.

(24) Se ha consultado al Supervisor Europeo de Protección de Datos, quien emitió su dictamen el 29 de julio de 2020.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1 Objeto y ámbito de aplicación 1. La presente Decisión establece las normas que debe seguir la Comisión a la hora de informar a los interesados del tratamiento de sus datos personales, de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, en el marco del mecanismo de cooperación establecido por el Reglamento (UE) 2019/452. Establece asimismo las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25, apartado 1, letras a), c), d), g) y h), de ese mismo Reglamento, en el marco del mencionado mecanismo. 2. La presente Decisión se aplica al tratamiento de datos personales que realiza la Comisión para llevar a cabo las actividades que le permiten cumplir sus obligaciones con arreglo al Reglamento (UE) 2019/452 y en relación con esas actividades.

Artículo 2 Excepciones y limitaciones aplicables 1. La Comisión, en el ejercicio de sus funciones con respecto a los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, considerará si es aplicable alguna de las excepciones establecidas en dicho Reglamento. 2. A reserva de los artículos 3 a 7 de la presente Decisión, cuando el ejercicio de los derechos y obligaciones establecidos en los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725 en relación con los datos personales tratados por la Comisión pueda comprometer el propósito de los análisis y procedimientos de la Comisión relacionados con el control de las inversiones extranjeras directas o el mecanismo de cooperación establecido por el Reglamento (UE) 2019/452, incluida la comunicación de sus herramientas y métodos, o afectar negativamente a los derechos y libertades de otros interesados, la Comisión podrá limitar la aplicación de: a) los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, y b) el principio de transparencia establecido en el artículo 4, apartado 1, letra a), de dicho Reglamento, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los mencionados artículos 14 a 17, 19, 20 y 35. 3. A reserva de los artículos 3 a 7, la Comisión podrá limitar los derechos y obligaciones contemplados en el apartado 2 del presente artículo: a) cuando el ejercicio de esos derechos y obligaciones con respecto a los datos personales obtenidos de otra institución, órgano u organismo de la Unión pueda estar limitado por esa otra institución, órgano u organismo sobre la base de los actos jurídicos mencionados en el artículo 25 del Reglamento (UE) 2018/1725 o de conformidad con el capítulo IX de dicho Reglamento; o de conformidad con el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (4) o con el Reglamento (UE) 2017/1939 del Consejo (5); b) cuando el ejercicio de esos derechos y obligaciones con respecto a los datos personales obtenidos de una autoridad competente de un Estado miembro pueda estar limitado por las autoridades competentes de dicho Estado miembro sobre la base de los actos mencionados en el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (6) o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3, el artículo 15, apartado 3, o el artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (7); c) cuando el ejercicio de esos derechos y obligaciones pueda comprometer la cooperación de la Comisión con terceros países u organizaciones internacionales con respecto al control de las inversiones extranjeras directas. Antes de imponer limitaciones en las circunstancias mencionadas en el párrafo primero, letras a) y b), la Comisión deberá consultar a las instituciones, órganos y organismos de la Unión pertinentes o a las autoridades competentes de los Estados miembros, a menos que tenga claro que la imposición de una limitación se establece en uno de los actos mencionados en dichas letras. La letra c) del párrafo primero no se aplicará cuando los intereses o los derechos y libertades fundamentales del interesado prevalezcan sobre el interés de la Comisión en cooperar con terceros países u organizaciones internacionales. 4. Los apartados 1, 2 y 3 se entenderán sin perjuicio de: a) la aplicación de otras decisiones de la Comisión que establezcan normas internas relativas a la comunicación de información a los interesados y a las limitaciones de determinados derechos con arreglo al artículo 25 del Reglamento (UE) 2018/1725; b) el artículo 23 del Reglamento interno de la Comisión (8). 5. Toda limitación de los derechos y obligaciones con arreglo al apartado 2 deberá ser necesaria y proporcionada teniendo en cuenta los riesgos para los derechos y libertades de los interesados.

Artículo 3 Comunicación de información a los interesados 1. La Comisión publicará en su sitio web avisos de protección de datos para informar a todos los interesados de sus actividades que impliquen el tratamiento de los datos personales de estos con fines de análisis y procedimientos relacionados con el control de las inversiones extranjeras directas o el mecanismo de cooperación establecido por el Reglamento (UE) 2019/452. Cuando sea posible hacerlo sin comprometer el funcionamiento del mecanismo de cooperación, la Comisión se asegurará de que se informe individualmente a los interesados en un formato adecuado. 2. Cuando la Comisión limite, total o parcialmente, la comunicación de información a interesados cuyos datos sean tratados con fines de análisis y procedimientos relacionados con el control de las inversiones extranjeras directas o el mecanismo de cooperación establecido por el Reglamento (UE) 2019/452, registrará y consignará los motivos de la limitación de conformidad con el artículo 6 de la presente Decisión.

Artículo 4 Derecho de acceso del interesado, derecho de supresión y derecho a la limitación del tratamiento 1. Cuando la Comisión limite, total o parcialmente, el derecho de acceso de los interesados a sus datos personales, el derecho de supresión o el derecho a la limitación del tratamiento a que se refieren, respectivamente, los artículos 17, 19 y 20 del Reglamento (UE) 2018/1725, informará al interesado, en su respuesta a la solicitud de acceso, supresión o limitación del tratamiento, de lo siguiente: a) la limitación impuesta y los motivos principales de dicha limitación, y b) la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea. 2. La comunicación de información sobre los motivos de la limitación a que se refiere el apartado 1 podrá aplazarse, omitirse o denegarse en la medida en que menoscabe el propósito de la limitación. 3. La Comisión registrará y consignará los motivos de la limitación de conformidad con el artículo 6. 4. Cuando se limite total o parcialmente el derecho de acceso, el interesado podrá ejercer dicho derecho a través de la mediación del Supervisor Europeo de Protección de Datos, de conformidad con el artículo 25, apartados 6, 7 y 8, del Reglamento (UE) 2018/1725.

Artículo 5 Comunicación a los interesados de violaciones de la seguridad de los datos personales Cuando la Comisión limite la comunicación al interesado de una violación de la seguridad de sus datos personales, regulada en el artículo 35 del Reglamento (UE) 2018/1725, registrará y consignará los motivos de la limitación de conformidad con el artículo 6 de la presente Decisión.

Artículo 6 Registro y consignación de las limitaciones 1. La Comisión registrará los motivos de toda limitación impuesta con arreglo a la presente Decisión, incluida la evaluación de la necesidad y proporcionalidad de la limitación en cuestión, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725. 2. En el registro se indicará de qué manera el ejercicio de un derecho por parte del interesado podría comprometer el propósito de los análisis y procedimientos de la Comisión relacionados con el control de las inversiones extranjeras directas o el mecanismo de cooperación establecido por el Reglamento (UE) 2019/452, o de las limitaciones impuestas con arreglo al artículo 2, apartado 2 o 3, de la presente Decisión, o afectar negativamente a los derechos y libertades de otros interesados. 3. Se consignarán el registro y, en su caso, los documentos que contengan elementos de hecho y de derecho subyacentes. Se pondrán a disposición del Supervisor Europeo de Protección de Datos, previa solicitud.

Artículo 7 Duración de las limitaciones 1. Se mantendrán las limitaciones contempladas en los artículos 3, 4 y 5 mientras sigan estando vigentes los motivos que las justifiquen. 2. Cuando dejen de estar vigentes los motivos que justifiquen una limitación contemplada en el artículo 3 o 5, la Comisión levantará dicha limitación y comunicará al interesado los motivos principales de su imposición. Al mismo tiempo, la Comisión informará al interesado de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea. 3. La Comisión revisará la imposición de las limitaciones contempladas en los artículos 3 y 5 un año después de la adopción y en el momento que cierre los análisis y procedimientos pertinentes que haya llevado a cabo en relación con el control de las inversiones extranjeras directas o el mecanismo de cooperación establecido por el Reglamento (UE) 2019/452. Posteriormente, la Comisión hará un seguimiento para determinar la necesidad de mantener cualquier limitación. La revisión incluirá una evaluación de la necesidad y proporcionalidad de la limitación, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

Artículo 8 Revisión por parte del delegado de protección de datos de la Comisión 1. Se informará sin demora injustificada al delegado de protección de datos de la Comisión cada vez que se limiten los derechos de los interesados de conformidad con la presente Decisión. Se facilitará al delegado de protección de datos, previa petición, el acceso al registro y a todos los documentos que contengan elementos de hecho y de derecho subyacentes. 2. El delegado de protección de datos podrá solicitar que se revise la limitación. Se informará al delegado de protección de datos del resultado de la revisión solicitada. 3. La Comisión documentará la participación del delegado de protección de datos en cada uno de los casos en los que se limite el ejercicio de los derechos y obligaciones contemplados en el artículo 2, apartado 2.

Artículo 9 Entrada en vigor La presente Decisión entrará en vigor a los tres días de su publicación en el Diario Oficial de la Unión Europea.

Hecho en Bruselas, el 15 de octubre de 2020. Por la Comisión La Presidenta Ursula VON DER LEYEN

(1) Reglamento (UE) 2019/452 del Parlamento Europeo y del Consejo, de 19 de marzo de 2019, para el control de las inversiones extranjeras directas en la Unión (DO L 79I de 21.3.2019, p. 1).

(2) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).

(3) La conservación de expedientes en la Comisión está regulada por la lista común de conservación de expedientes de la Comisión Europea [SEC(2019) 900]. El período de conservación para este tratamiento concreto se define en los registros de protección de datos.

(4) Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO L 135 de 24.5.2016, p. 53).

(5) Reglamento (UE) 2017/1939 del Consejo, de 12 de octubre de 2017, por el que se establece una cooperación reforzada para la creación de la Fiscalía Europea (DO L 283 de 31.10.2017, p. 1).

(6) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(7) Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).

(8) C(2000) 3614 (DO L 308 de 8.12.2000, p. 26).