REGLAMENTO DE EJECUCIÓN (UE) 2019/1799 DE LA COMISIÓN

de 22 de octubre de 2019

por el que se establecen especificaciones técnicas para sistemas individuales de recogida en línea, de conformidad con el Reglamento (UE) 2019/788 del Parlamento Europeo y del Consejo sobre la iniciativa ciudadana europea

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2019/788 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre la iniciativa ciudadana europea (1), y en particular su artículo 11, apartado 5,

Considerando lo siguiente:

(1) El Reglamento (UE) 2019/788 establece normas revisadas sobre la iniciativa ciudadana europea y deroga el Reglamento (UE) n.o 211/2011 del Parlamento Europeo y del Consejo (2).

(2) El Reglamento (UE) 2019/788 establece que, para la recogida en línea de declaraciones de apoyo a las iniciativas ciudadanas registradas, los organizadores deben utilizar el sistema central de recogida en línea creado y gestionado por la Comisión. Sin embargo, para facilitar la transición, en el caso de las iniciativas registradas con arreglo al Reglamento (UE) 2019/788 antes del final de 2022, los organizadores pueden optar por utilizar su propio sistema de recogida en línea.

(3) En virtud del Reglamento (UE) 2019/788, los sistemas individuales que se utilicen para la recogida en línea de declaraciones de apoyo deben tener características técnicas y de seguridad adecuadas para garantizar que los datos se recojan, almacenen y transfieran de manera segura durante el procedimiento de recogida. La Comisión debe definir, junto con los Estados miembros, las especificaciones técnicas que deben reunir los sistemas individuales de recogida en línea para cumplir los requisitos del Reglamento.

(4) Las normas establecidas en el presente Reglamento sustituyen a las del Reglamento de Ejecución (UE) n.o 1179/2011 de la Comisión (3), que, por lo tanto, quedarán obsoletas.

(5) Las medidas técnicas y organizativas que deban aplicarse deben tener por objeto evitar, tanto en el momento de la concepción del sistema como durante todo el período de recogida, cualquier tratamiento no autorizado de datos personales y protegerlos contra la destrucción accidental o ilícita, la pérdida accidental, la alteración o la difusión o el acceso no autorizados.

(6) A tal fin, los organizadores deben aplicar procedimientos adecuados de gestión de riesgos para detectar los riesgos para sus sistemas y determinar contramedidas apropiadas y proporcionales que reduzcan dichos riesgos a niveles aceptables. Los organizadores documentarán adecuadamente los riesgos detectados en materia de seguridad y protección de datos y las medidas adoptadas para contrarrestarlos, teniendo en cuenta las normas y requisitos de seguridad aplicados por la autoridad de certificación. Las normas y requisitos de seguridad deben estar en consonancia con el Reglamento (UE) 2019/788 y deben facilitados por la autoridad de certificación, previa solicitud.

(7) La aplicación de las especificaciones técnicas establecidas en el presente Reglamento debe entenderse sin perjuicio de la obligación de los organizadores de cumplir los requisitos de protección de datos que se derivan del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (4), incluida la posible necesidad de realizar una evaluación de impacto relativa a la protección de datos.

(8) El representante de un grupo de organizadores o, en su caso, una persona jurídica, como se contempla en el artículo 5, apartado 7, de dicho Reglamento, se considerará responsable del tratamiento de datos en el sentido del Reglamento (UE) 2016/679 en relación con el tratamiento de datos personales en un sistema individual de recogida en línea.

(9) Los organizadores que introduzcan cambios en su sistema individual de recogida en línea después de que el sistema haya sido certificado deben notificar sin dilación indebida a la autoridad de certificación pertinente si el cambio puede afectar a la evaluación en que se basa la certificación. Antes de hacerlo, los organizadores pueden solicitar el dictamen de la autoridad de certificación sobre si el cambio puede tener tal impacto.

(10) El Supervisor Europeo de Protección de Datos, que fue consultado de conformidad con el artículo 42 del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (5), presentó sus observaciones el 16 de septiembre de 2019. Se consultó a la Agencia Europea de Seguridad de las Redes y de la Información, que presentó sus observaciones el 18 de julio de 2019.

(11) Las medidas contempladas en el presente Reglamento se ajustan al dictamen del Comité creado en virtud del artículo 22 del Reglamento (UE) 2019/788.

HA ADOPTADO EL PRESENTE REGLAMENTO:

Artículo 1 Se fijan en el anexo del presente Reglamento las especificaciones técnicas a que se hace referencia en el artículo 11, apartado 5, del Reglamento (UE) 2019/788.

Artículo 2 1. Los organizadores se asegurarán de que su sistema individual de recogida en línea se ajuste a las especificaciones técnicas establecidas en el anexo durante todo el período de recogida. 2. Los organizadores notificarán, sin dilación indebida, a la autoridad competente del Estado miembro mencionada en el artículo 11, apartado 3, del Reglamento (UE) 2019/788 los cambios introducidos en el sistema o en las medidas organizativas de apoyo después de que el sistema haya sido certificado por dicha autoridad, cuando dichos cambios puedan afectar a la evaluación en que se basa la certificación. Antes de hacerlo, los organizadores podrán solicitar el dictamen de la autoridad competente sobre si el cambio puede tener tal impacto.

Artículo 3 El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. Será aplicable a partir del 1 de enero de 2020.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro. Hecho en Bruselas, el 22 de octubre de 2019. Por la Comisión El Presidente Jean-Claude JUNCKER

(1) DO L 130 de 17.5.2019, p. 55.

(2) Reglamento (UE) n.o 211/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, sobre la iniciativa ciudadana (DO L 65 de 11.3.2011, p. 1).

(3) Reglamento de Ejecución (UE) n.o 1179/2011 de la Comisión, de 17 de noviembre de 2011, por el que se establecen especificaciones técnicas para sistemas de recogida en línea, de conformidad con el Reglamento (UE) n.o 211/2011 del Parlamento Europeo y del Consejo sobre la iniciativa ciudadana (DO L 301 de 18.11.2011, p. 3).

(4) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

(5) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.° 45/2001 y la Decisión n.° 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).