No se desprende ni de lo dispuesto en el artículo 274 CE ni en el Reglamento no 1605/2002, por el que se aprueba el Reglamento financiero aplicable al presupuesto general de las Comunidades Europeas, que la Comisión tenga una competencia explícita para adoptar una decisión como la Decisión 2008/969, relativa al sistema de alerta rápida para uso de los ordenadores de la Comisión y de las agencias ejecutivas. Ciertamente, según el artículo 274 CE, la Comisión ejecutará el presupuesto de la Unión de conformidad con las disposiciones de los reglamentos adoptados en virtud del artículo 279 CE. Éste prevé el recurso al procedimiento legislativo ordinario. Sin embargo, el Reglamento no 1605/2002, cuya base legal es el artículo 279 CE, no recoge un sistema como el sistema de alerta rápida. Dicho Reglamento prevé únicamente la creación de una base de datos central de exclusiones obligatorias sobre los candidatos y licitadores que se hallen en alguna de las situaciones de exclusión obligatoria previstas por el Reglamento.

Del mismo modo, a pesar de que un sistema de alerta puede ser un instrumento útil en el marco de las tareas de la Comisión como guardiana y ejecutora del presupuesto de la Unión, ello no permite concluir que existe una facultad implícita para adoptar la Decisión 2008/969. En efecto, si bien la Comisión esté facultada a organizar su funcionamiento interno para garantizar que su funcionamiento sea lo más eficaz posible, con arreglo a los artículos 51 y 59, apartado 2, del Reglamento no 1605/2002, no lo es menos que su facultad de autorregulación encuentra sus límites en las atribuciones que se le confieren. Pues bien, aunque las medidas internas sólo producen efectos en la esfera interna de la Administración y no generan derechos u obligaciones para terceros, éste no es el caso de la Decisión 2008/969, que produce efectos jurídicos hacia el exterior.

Además, si bien el legislador de la Unión creó una base jurídica para las alertas de exclusión, no consideró oportuno hacerlo para el resto de alertas que figuran en la Decisión 2008/969. Por otro lado, contrariamente a las alertas W5, que se basan en elementos objetivos, y, en cierta medida, probados, el registro de las alertas W1a o W1b es consecuencia de una investigación de la Oficina Europea de Lucha contra el Fraude, aunque no se hayan demostrado las apreciaciones de fraude o de errores administrativos. A mayor abundamiento, no puede aceptarse el adagio qui potest maius potest et minus sin violar los derechos fundamentales, entre los que figura la presunción de inocencia. Pues bien, a diferencia de las alertas de exclusión, es innegable que las alertas W1a y W1b se refieren a una situación en la que las investigaciones están aún en curso y, por tanto, en la que un juez no ha declarado aún esta culpabilidad. En consecuencia, si la Comisión considera necesario adoptar medidas preventivas en una fase temprana necesita, máxime por esta razón, una base jurídica que permita crear tal sistema de alerta y adoptar las medidas correspondientes, sistema que respete el derecho de defensa, el principio de proporcionalidad y el principio de seguridad jurídica, principio este último que entraña que las normas jurídicas sean claras, precisas y previsibles en sus efectos, en particular, cuando pueden tener consecuencias desfavorables para las personas y las empresas.

(véanse los apartados 43, 45, 58, 59 y 61 a 67)