DECISIÓN (UE) 2018/1927 DE LA COMISIÓN

de 5 de diciembre de 2018

por la que se establecen las normas internas sobre el tratamiento de datos personales por la Comisión Europea en el ámbito de la competencia en relación con la comunicación de información a los interesados y la limitación de determinados derechos

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 249, apartado 1,

Considerando lo siguiente:

(1) La Comisión lleva a cabo investigaciones administrativas con el fin de hacer cumplir las normas de competencia de conformidad con el Tratado y con el Derecho derivado, así como con los acuerdos internacionales adoptados a tal fin (1). Para ello, ejerce las competencias de investigación y ejecución (incluidas las actividades operativas conexas) en los ámbitos de la normativa antimonopolio, control de operaciones de concentración y control de las ayudas estatales que confieren a la Comisión los actos pertinentes de la Unión.

(2) Las actividades de investigación y ejecución de la Comisión en el ámbito de la competencia van dirigidas a las empresas o a los Estados miembros que están sujetos a las normas de competencia del Tratado, y no a las personas físicas como tales. No obstante, durante las investigaciones sobre competencia, los datos personales en el sentido del artículo 3, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (2), son tratados inevitablemente en el sentido del artículo 3, apartado 3, del Reglamento (UE) 2018/1725. La Comisión debe tratar dichos datos personales para cumplir las tareas que le han sido encomendadas como autoridad pública responsable de la aplicación de las normas de competencia de la Unión. La investigación en el ámbito de las medidas antimonopolio, el control de las operaciones de concentración y el control de las ayudas estatales, y la aplicación de las normas de competencia, constituyen funciones de supervisión, inspección o reglamentación vinculadas con el ejercicio de la autoridad pública en los casos a que se refiere el artículo 25, apartado 1, letras c) y g), del Reglamento (UE) 2018/1725. Estas actividades sirven para el fomento y la protección de un mercado interior competitivo, salvaguardando de este modo un importante interés económico y financiero de la Unión y de los Estados miembros.

(3) A efectos de sus actividades de investigación y ejecución en el ámbito de las medidas antimonopolio, el control de las operaciones de concentración y el control de las ayudas estatales, la Comisión trata datos personales adquiridos o recibidos de personas jurídicas, personas físicas, Estados miembros y otras entidades (como las autoridades nacionales de competencia, los organismos reguladores y otras autoridades y organismos públicos), autoridades de competencia de terceros países y organismos y organizaciones internacionales. Durante las actividades de investigación y ejecución en el ámbito de la competencia, tanto si actúan por propia iniciativa como si lo hacen sobre la base de la información recibida, la Comisión también puede tratar datos personales adquiridos o recibidos procedentes de fuentes públicamente disponibles (por ejemplo, en el marco de actividades de supervisión o control del mercado), de fuentes anónimas (por ejemplo, los denunciantes de irregularidades o informadores) o fuentes identificadas (por ejemplo, denunciantes) que requieran protección de su identidad.

(4) La Comisión puede, a su vez, transmitir datos personales a personas físicas o jurídicas (por ejemplo, en el contexto del procedimiento de acceso a un expediente), a las autoridades nacionales en materia de competencia y a otras autoridades y organismos en el marco de la cooperación bilateral o multilateral con Estados miembros o autoridades y organizaciones de terceros países, cuando sea necesario y oportuno para ejercer sus competencias, salvaguardar los derechos de defensa de las partes objeto de procedimientos de la Comisión y garantizar la aplicación eficiente y efectiva de las normas de competencia de la Unión.

(5) Las actividades de tratamiento de datos personales, en el sentido del artículo 3, apartado 3, del Reglamento (UE) 2018/1725, llevadas a cabo en el marco de las actividades de investigación y ejecución en el ámbito de la competencia, pueden tener lugar incluso antes de que la Comisión incoe el procedimiento formal, proseguir durante la tramitación de la investigación y continuar incluso después del cierre formal de la misma (por ejemplo, a efectos de las actividades de control o seguimiento del mercado o del cumplimiento de las normas, evaluando la necesidad de iniciar nuevas actividades de investigación, procedimientos jurídicos, etc.).

(6) Los datos personales tratados por la Comisión son, por ejemplo, datos identificativos, de contacto, profesionales y los relativos o relacionados con el asunto de la investigación o del procedimiento. Se almacenan en un entorno electrónico seguro para evitar el acceso ilícito o la transferencia de datos a personas que no tengan por qué conocerlos. Se conservan en los servicios de la Comisión responsables de la investigación durante el tiempo necesario para la misma, con el fin de evaluar la necesidad de iniciar nuevas actividades de investigación, a lo largo del procedimiento administrativo, y durante los posteriores procedimientos de revisión judicial, así como a lo largo del período de conservación administrativa que sigue al cierre definitivo del expediente. Al final del período de conservación, la información relacionada con el caso, incluidos los datos personales, se transfieren a los archivos históricos de la Comisión (3).

(7) Al realizar sus tareas, la Comisión está obligada a respetar los derechos de las personas físicas en relación con el tratamiento de los datos de carácter personal reconocidos en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16, apartado 1, del Tratado. Al mismo tiempo, la Comisión es la responsable de la aplicación de las normas de competencia, lo cual le impone la obligación de llevar a cabo investigaciones de manera oportuna, respetando al mismo tiempo las normas de confidencialidad y el secreto profesional (4), así como los derechos de defensa de las partes objeto de sus investigaciones, (5) y los derechos de las personas que requieran protección de su identidad.

(8) En determinadas circunstancias, es necesario conciliar los derechos de los interesados en virtud del Reglamento (UE) 2018/1725 con las necesidades de actividades de investigación y ejecución, así como con el pleno respeto de los derechos y libertades fundamentales de otros interesados. A tal efecto, el artículo 25 del Reglamento (UE) 2018/1725 ofrece a la Comisión la posibilidad de limitar la aplicación de los artículos 14 a 22 y 35, así como del artículo 4, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 22 de dicho Reglamento.

(9) Estas normas internas deben cubrir todas las operaciones de tratamiento realizadas por la Comisión en el ejercicio de sus competencias de investigación, ya sea por propia iniciativa o sobre la base de información recibida, y las actividades de ejecución y operativas relacionadas en los ámbitos de la normativa antimonopolio, control de operaciones de concentración y control de las ayudas estatales cuando el ejercicio de los derechos de los interesados pueda poner en peligro el desarrollo de las actividades de investigación o ejecución. Estas normas deben aplicarse a las operaciones de tratamiento efectuadas antes de la incoación formal del procedimiento, durante la realización de las investigaciones, así como después del cierre formal de las mismas, incluido el tratamiento en el contexto de la cooperación bilateral o multilateral con las autoridades nacionales de competencia, los Estados miembros o autoridades y organizaciones de terceros países.

(10) Con el fin de cumplir lo dispuesto en los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, la Comisión debe informar a todas las personas de sus actividades que implican el tratamiento de sus datos personales y de sus derechos de manera transparente y coherente en forma de anuncios sobre protección de datos publicados en el sitio web de la Comisión.

(11) Sin perjuicio de los artículos 14, apartado 5, y 16, apartado 5, del Reglamento (UE) 2018/1725, la Comisión también puede, sobre la base del artículo 25 de dicho Reglamento, restringir la comunicación de información a los interesados y la aplicación de otros derechos de los mismos a fin de proteger sus propias investigaciones sobre competencia y la aplicación de las normas de competencia, investigaciones y procedimientos de las autoridades de competencia de los Estados miembros, herramientas y métodos de investigación, así como los derechos de otras personas relacionadas con sus investigaciones.

(12) Además, con el fin de mantener una cooperación efectiva, puede ser necesario que la Comisión restrinja la aplicación de los derechos de los interesados con el fin de proteger las operaciones de tratamiento de otras instituciones, órganos y organismos de la Unión o de las autoridades de los Estados miembros. En este sentido, la Comisión debería consultar a los servicios, instituciones, órganos, organismos y autoridades sobre los motivos pertinentes para imponer limitaciones y la necesidad y proporcionalidad de las mismas.

(13) La Comisión también puede tener que restringir la comunicación de información a los interesados y la aplicación de otros derechos de los mismos en lo que respecta a los datos personales recibidos de terceros países u organizaciones internacionales, a fin de cooperar con dichos países u organizaciones, salvaguardando, de este modo, un importante objetivo de interés público general de la Unión. Sin embargo, en determinadas circunstancias los intereses o los derechos fundamentales del interesado pueden prevalecer sobre el interés de la cooperación internacional.

(14) Así pues, la Comisión ha señalado los motivos enumerados en el artículo 25, apartado 1, letras c), g) y h) del Reglamento (UE) 2018/1725, como justificación de las limitaciones previstas en el artículo 25 del Reglamento que puede resultar necesario aplicar a las operaciones de tratamiento de datos efectuadas en el marco de las actividades de investigación y ejecución de la Comisión en el ámbito de la competencia, que abarca los ámbitos de la normativa antimonopolio, control de operaciones de concentración y control de las ayudas estatales.

(15) La Comisión debería tratar todas las limitaciones de manera transparente y registrar cada aplicación de limitaciones en el sistema de registro correspondiente.

(16) De conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, los responsables del tratamiento pueden diferir o abstenerse de facilitar información sobre los motivos para la aplicación de una limitación al interesado si el hecho de proporcionar esta información afectara en algún caso la finalidad de la limitación. Es, en particular, el caso de las limitaciones a los derechos previstos en los artículos 16 y 35 del Reglamento (UE) 2018/1725. Con el fin de garantizar que los derechos de los interesados en virtud de los artículos 16 y 35 del Reglamento (UE) 2018/1725 se limiten únicamente al período durante el cual subsistan las razones para dicha limitación, la Comisión debería revisar su posición periódicamente y en el momento de cerrar la investigación relevante.

(17) Cuando se aplique una limitación de otros derechos de los interesados, el responsable del tratamiento debería evaluar, caso por caso, si la comunicación de la limitación podría poner en peligro su finalidad. El responsable del tratamiento es el servicio encargado de la política de competencia en la Comisión.

(18) El responsable de la protección de datos de la Comisión deberá realizar una revisión independiente de la aplicación de las limitaciones, a fin de garantizar el cumplimiento de la presente Decisión.

(19) La presente Decisión se adopta a efectos de la aplicación del artículo 25 del Reglamento (UE) 2018/1725 y debe entrar en vigor al mismo tiempo que dicho Reglamento a fin de garantizar la seguridad jurídica.

(20) El Supervisor Europeo de Protección de Datos ha sido consultado.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1 Objeto y ámbito de aplicación 1. La presente Decisión establece las normas que deberá seguir la Comisión para informar a los interesados sobre el tratamiento de sus datos, de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, en el marco de sus actividades en el ámbito de la competencia. Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con su artículo 25. 2. La presente Decisión se aplica al tratamiento de datos personales por parte de la Comisión a efectos de o en relación con las actividades llevadas a cabo para cumplir sus tareas de conformidad con los artículos 101 a 109 del Tratado.

Artículo 2 Excepciones y limitaciones aplicables 1. Cuando la Comisión ejerza sus funciones con respecto a los derechos de los interesados en virtud del Reglamento (UE) 2018/1725 deberá plantearse si es aplicable alguna de las excepciones establecidas por dicho Reglamento. 2. Con sujeción a los artículos 3 a 7 de la presente Decisión, la Comisión podrá restringir la aplicación de los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, así como el principio de transparencia establecido en el artículo 4, apartado 1, letra a), en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones ponga en peligro el objetivo de las actividades de investigación y ejecución de la Comisión, incluso revelando sus herramientas y métodos de investigación, o pueda afectar negativamente a los derechos y libertades de otros interesados. 3. Con sujeción a los artículos 3 a 7, la Comisión podrá limitar los derechos y obligaciones a que se refiere el apartado 2 del presente artículo en lo que respecta a los datos personales obtenidos de otras instituciones, órganos y organismos de la Unión, autoridades competentes de los Estados miembros, de terceros países o de organizaciones internacionales, en las siguientes circunstancias: a) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones podría verse limitado por otras instituciones, órganos y organismos de la Unión, sobre la base de otros actos previstos en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento, o de conformidad con el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (6) o con el Reglamento (UE) 2017/1939 del Consejo (7); b) cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones podría verse limitado por parte de las autoridades competentes de los Estados miembros sobre la base de los actos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (8), o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3, del artículo 15, apartado 3, o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (9); c) cuando el ejercicio de esos derechos y obligaciones podría poner en peligro la cooperación de la Comisión con terceros países u organizaciones internacionales en la realización de investigaciones en materia de competencia o en la ejecución de decisiones en materia de competencia. Antes de la aplicación de limitaciones en las circunstancias mencionadas en las letras a) y b) del párrafo primero, la Comisión deberá consultar a las instituciones, órganos y organismos de la Unión pertinentes o a las autoridades competentes de los Estados miembros, a menos que para la Comisión resulte evidente que está prevista la aplicación de una limitación por uno de los actos a que se hace referencia en dichos puntos. La letra c) del párrafo primero no se aplicará cuando el interés de la Comisión en cooperar con los terceros países o con la organización internacional no prevalezca sobre los intereses o los derechos y libertades fundamentales de los interesados. 4. Los apartados 1, 2 y 3 se entienden sin perjuicio de la aplicación de otras decisiones de la Comisión por las que se establecen normas internas sobre la comunicación de información a los interesados y la limitación de determinados derechos en virtud del artículo 25 del Reglamento (UE) 2018/1725 y del artículo 23 del Reglamento interno de la Comisión.

Artículo 3 Comunicación de información a los interesados 1. La Comisión publicará en su sitio web anuncios de protección de datos que informarán a todos los interesados de sus actividades que impliquen tratamiento de sus datos personales. 2. Sin perjuicio de los artículos 14, apartado 5, y 16, apartado 5, del Reglamento (UE) 2018/1725, en caso de que la Comisión restrinja, total o parcialmente, la comunicación de información a los interesados, cuyos datos se traten para fines de investigación o ejecución relacionadas con la competencia (incluidas actividades operativas conexas) deberá guardar y registrar los motivos de la limitación de conformidad con lo dispuesto en el artículo 6.

Artículo 4 Derecho de acceso del interesado, derecho de supresión y limitación del tratamiento 1. Cuando la Comisión restrinja, total o parcialmente, el derecho de acceso a los datos por parte de los interesados, el derecho de supresión, o el derecho a la limitación del tratamiento contemplados en los artículos 17, 19 y 20, respectivamente, del Reglamento (UE) 2018/1725, informará al interesado, en su respuesta a la petición de acceso, supresión o limitación del tratamiento, de la limitación aplicada y de las principales razones de la misma, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer recurso judicial ante el Tribunal de Justicia de la Unión Europea. 2. La comunicación de información sobre los motivos de la limitación contemplada en el apartado 1 podrá omitirse en la medida en que ponga en peligro el objetivo de la limitación. 3. La Comisión guardará y registrará los motivos de la limitación conforme a lo dispuesto en el artículo 6. 4. Cuando el derecho de acceso se limite total o parcialmente, el interesado ejercerá su derecho de acceso a través de la mediación del Supervisor Europeo de Protección de Datos, de conformidad con los apartados 6, 7 y 8 del artículo 25 del Reglamento (UE) 2018/1725.

Artículo 5 Comunicación de violaciones de la seguridad de los datos personales a los interesados Cuando la Comisión restrinja la comunicación de una violación de la seguridad de los datos personales al interesado, a que se refiere el artículo 35 del Reglamento (UE) 2018/1725, deberá guardar y registrar los motivos de limitación conforme a lo dispuesto en el artículo 6 de la presente Decisión.

Artículo 6 Consignación y registro de las limitaciones 1. La Comisión deberá consignar los motivos de cualquier limitación aplicada con arreglo a la presente Decisión, incluida una evaluación de la necesidad y proporcionalidad de la limitación. 2. Para ello, la consignación deberá indicar de qué modo el ejercicio del derecho pondría en peligro el objetivo de las actividades de investigación y ejecución de la Comisión, o de las limitaciones aplicadas de conformidad con el artículo 2, apartados 2 o 3, o podría afectar negativamente a los derechos y libertades de otros interesados. 3. Se registrarán la consignación y, en su caso, los documentos que contengan los elementos de hecho y de Derecho subyacentes. Se pondrán a disposición del Supervisor Europeo de Protección de Datos previa solicitud.

Artículo 7 Duración de las limitaciones 1. Las limitaciones contempladas en los artículos 3, 4 y 5 seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen. 2. Cuando dejen de ser aplicables las razones que justifiquen una limitación prevista en los artículos 3 o 5, la Comisión suspenderá la limitación y comunicará las razones de la limitación al interesado. Al mismo tiempo, la Comisión informará al interesado sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea. 3. La Comisión revisará la aplicación de las limitaciones a que se refieren los artículos 3 y 5 cada año y al cierre de la investigación en cuestión.

Artículo 8 Revisión por parte del responsable de la protección de datos 1. El responsable de la protección de datos será informado, sin demora injustificada, cada vez que se limiten los derechos de los interesados con arreglo a lo dispuesto en la presente Decisión. A petición del responsable de la protección de datos, se facilitará al mismo el acceso a las consignaciones y a todos los documentos que contengan los elementos de hecho y de Derecho subyacentes. 2. El responsable de la protección de datos podrá solicitar que se examine la limitación. El responsable de la protección de datos será informado sobre el resultado de la revisión solicitada.

Artículo 9 Entrada en vigor La presente Decisión entrará en vigor en la fecha de entrada en vigor del Reglamento (UE) 2018/1725.

Hecho en Bruselas, el 5 de diciembre de 2018. Por la Comisión El Presidente Jean-Claude JUNCKER

(1) Véase, en particular, para la normativa antimonopolio, el Reglamento (CE) n.o 1/2003 del Consejo, de 16 de diciembre de 2002, relativo a la aplicación de las normas sobre competencia previstas en los artículos 81 y 82 del Tratado, (DO L 1 de 4.1.2003, p. 1), para el control de operaciones de concentración, el Reglamento (CE) n.o 139/2004 del Consejo, de 20 de enero de 2004, sobre el control de las operaciones de concentración entre empresas («Reglamento comunitario de concentraciones») (DO L 24 de 29.1.2004, p. 1), y para las ayudas estatales, el Reglamento (UE) 2015/1589 del Consejo, de 13 de julio de 2015, por el que se establecen normas detalladas para la aplicación del artículo 108 del Tratado de Funcionamiento de la Unión Europea, (DO L 248 de 24.9.2015, p. 9).

(2) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se deroga el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39). El tratamiento en el sentido del artículo 3, apartado 3, del Reglamento (UE) 2018/1725 también incluye las situaciones en las que la Comisión recibe datos personales que se le presentan de forma voluntaria.

(3) La conservación de los expedientes en la Comisión está regulada por la Lista común de conservación, documento normativo cuya última versión es el documento SEC(2012) 713, en forma de calendario de conservación que establece los períodos de conservación de los distintos tipos de expedientes de la Comisión.

(4) Véase, en particular, el artículo 339 del Tratado, así como el artículo 28 del Reglamento (CE) n.o 1/2003; el artículo 15, apartado 4, del Reglamento (CE) n.o 773/2004 de la Comisión, de 7 de abril de 2004, relativo al desarrollo de los procedimientos de la Comisión con arreglo a los artículos 81 y 82 del Tratado CE (DO L 123 de 27.4.2004, p. 18); el artículo 17 del Reglamento (CE) n.o 139/2004 y el artículo 18 del Reglamento (CE) n.o 802/2004 de la Comisión, de 21 de abril de 2004, por el que se aplica el Reglamento (CE) no 139/2004 del Consejo sobre el control de las concentraciones entre empresas (DO L 133 de 30.4.2004, p. 1); los artículos 30 y 31 del Reglamento (UE) 2015/1589; declaraciones requeridas sobre la información confidencial de los formularios de notificación de ayudas estatales como anexos del Reglamento (CE) n.o 794/2004 en su versión modificada.

(5) La aplicación de los derechos de los interesados con arreglo al Reglamento (UE) 2018/1725 y el cumplimiento de las obligaciones de los responsables del tratamiento de datos en virtud de dicho Reglamento no afecta a la tramitación por parte de la Comisión de los derechos de defensa de las partes objeto de los procedimientos de competencia. La integridad y autenticidad de las pruebas de los expedientes recogidas en el curso de las investigaciones de competencia no pueden, por tanto, verse afectadas por documentos modificadores recibidos o recogidos de conformidad con las normas de procedimiento aplicables en el ámbito de la competencia.

(6) Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO L 135 de 24.5.2016, p. 53).

(7) Reglamento (UE) 2017/1939 del Consejo, de 12 de octubre de 2017, por el que se establece una cooperación reforzada para la creación de la Fiscalía Europea («la Fiscalía Europea») (DO L 283 de 31.10.2017, p. 1).

(8) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(9) Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).