DECISÃO (UE) 2018/1927 DA COMISSÃO

de 5 de dezembro de 2018

que estabelece regras internas relativas ao tratamento de dados pessoais pela Comissão Europeia no domínio da concorrência em relação à comunicação de informações aos titulares dos dados e à limitação de certos direitos

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 249.o, n.o 1,

Considerando o seguinte:

(1) A Comissão efetua inquéritos administrativos para efeitos de aplicação das regras de concorrência em conformidade com o Tratado e o direito derivado, bem como com os acordos internacionais adotados para o efeito (1). Para tal, exerce as competências em matéria de investigação e aplicação da legislação (incluindo atividades operacionais conexas) nos domínios antitrust, controlo das concentrações e controlo dos auxílios estatais conferidas à Comissão pelos atos pertinentes da União.

(2) As investigações e as medidas de aplicação da legislação no domínio da concorrência realizadas pela Comissão visam as empresas ou os Estados-Membros sujeitos às regras de concorrência do Tratado e não as pessoas singulares, enquanto tal. No entanto, durante as investigações no domínio da concorrência, os dados pessoais, na aceção do artigo 3.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (2), são inevitavelmente tratados na aceção do artigo 3.o, n.o 3, do Regulamento (UE) 2018/1725. A Comissão deve tratar esses dados pessoais a fim de desempenhar as funções que lhe são confiadas enquanto autoridade pública que aplica as regras de concorrência da União. A investigação nos domínios antitrust, controlo das concentrações e controlo dos auxílios estatais, e a aplicação das regras de concorrência constituem uma missão de controlo, inspeção ou regulamentação associada ao exercício da autoridade pública nos casos referidos no artigo 25.o, n.o 1, alíneas c) e g), do Regulamento (UE) 2018/1725. Essas atividades servem a promoção e a proteção de um mercado interno competitivo, salvaguardando assim um interesse económico e financeiro importante da União e dos Estados-Membros.

(3) Para efeitos das suas atividades de investigação e de aplicação da legislação nos domínios antitrust, controlo das concentrações e controlo dos auxílios estatais, a Comissão trata os dados pessoais adquiridos ou recebidos de pessoas coletivas, pessoas singulares, Estados-Membros e outras entidades (tais como autoridades nacionais da concorrência, entidades reguladoras e outros organismos e autoridades públicos), autoridades da concorrência de países terceiros e organismos e organizações internacionais. Durante as investigações no domínio da concorrência e as atividades de aplicação da legislação, quer por iniciativa própria, quer com base em contribuições recebidas, a Comissão pode igualmente tratar dados pessoais adquiridos ou recebidos de fontes publicamente disponíveis (por exemplo, no contexto da fiscalização do mercado ou de atividades de análise), de fontes anónimas (por exemplo, denunciantes/informadores) ou de fontes identificadas (por exemplo, autores da denúncia) que exijam proteção da sua identidade.

(4) A Comissão pode, por sua vez, transmitir dados pessoais a pessoas singulares ou coletivas (por exemplo, no contexto do procedimento de acesso ao ficheiro), às autoridades nacionais da concorrência e a outras autoridades e organismos, no contexto da cooperação bilateral ou multilateral com as autoridades e organizações dos Estados-Membros ou de países terceiros, na medida do necessário e adequado ao exercício das suas competências, para salvaguardar os direitos de defesa das partes objeto de um processo da Comissão e para assegurar a aplicação eficiente e efetiva das regras de concorrência da União.

(5) As atividades de tratamento de dados pessoais, na aceção do artigo 3.o, ponto 3), do Regulamento (UE) 2018/1725, realizadas no decurso de atividades de investigação e de aplicação da legislação no domínio da concorrência podem ocorrer mesmo antes de a Comissão iniciar formalmente o processo, prosseguir no decurso de toda a investigação, podendo continuar mesmo após o encerramento formal da investigação (por exemplo, para efeitos de fiscalização do mercado ou da conformidade ou de atividades de análise, de avaliação da necessidade de iniciar novas atividades de investigação, processos judiciais, etc.).

(6) Os dados pessoais tratados pela Comissão são, por exemplo, dados de identificação, dados de contacto, dados profissionais e dados relacionados com o objeto da investigação ou do procedimento, ou apresentados no contexto desse objeto. Os dados pessoais são armazenados num ambiente eletrónico seguro para impedir o acesso ou a transferência ilegais de dados a pessoas que não têm necessidade de os conhecer. Os dados pessoais são conservados nos serviços da Comissão responsáveis pela investigação durante o tempo necessário para a investigação, para avaliar a necessidade de iniciar novas atividades de investigação, durante o procedimento administrativo e durante quaisquer processos de recurso judicial subsequentes, bem como durante o período de conservação administrativa que se segue ao encerramento definitivo do processo. No final do período de conservação, as informações relativas ao processo, incluindo os dados pessoais, são transferidas para os arquivos históricos da Comissão (3).

(7) No exercício das suas funções, a Comissão é obrigada a respeitar os direitos das pessoas singulares no que diz respeito ao tratamento de dados pessoais reconhecidos no artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia e no artigo 16.o, n.o 1, do Tratado. Ao mesmo tempo, a Comissão é responsável pela aplicação das regras de concorrência, pelo que necessita de realizar investigações em tempo útil, respeitando as regras de confidencialidade e sigilo profissional (4), bem como os direitos de defesa das partes sujeitas às suas investigações (5) e os direitos das pessoas que exigem a proteção da sua identidade.

(8) Em determinadas circunstâncias, é necessário conciliar os direitos dos titulares dos dados nos termos do Regulamento (UE) 2018/1725 com as necessidades inerentes às atividades de investigação e aplicação da legislação, bem como com o pleno respeito dos direitos e liberdades fundamentais de outros titulares dos dados. Para o efeito, o artigo 25.o do Regulamento (UE) 2018/1725 confere à Comissão a possibilidade de limitar a aplicação dos artigos 14.o a 22.o e 35.o, bem como o artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 22.o do referido regulamento.

(9) Estas regras internas devem abranger todas as operações de tratamento de dados efetuadas pela Comissão no exercício das suas competências de investigação, quer por iniciativa própria, quer com base em contribuições recebidas, e de aplicação da legislação, bem como as atividades operacionais conexas nos domínios antitrust, do controlo das concentrações e do controlo dos auxílios estatais, sempre que o exercício dos direitos dos titulares dos dados possa prejudicar a realização de investigações ou atividades de aplicação da legislação. Estas regras devem ser aplicáveis a operações de tratamento realizadas antes do início formal do processo, durante o tratamento das investigações, bem como após o encerramento formal das investigações, incluindo o tratamento no contexto da cooperação bilateral ou multilateral com as autoridades nacionais da concorrência, os Estados-Membros ou as autoridades e organizações de países terceiros.

(10) A fim de dar cumprimento aos artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725, a Comissão deve informar todos as pessoas das suas atividades de tratamento dos seus dados pessoais e dos seus direitos, de forma transparente e coerente, através da publicação de avisos relativos à proteção de dados no sítio Web da Comissão.

(11) Sem prejuízo do disposto nos artigos 14.o, n.o 5, e 16.o, n.o 5, do Regulamento (UE) 2018/1725, a Comissão pode também, com base no artigo 25.o do referido regulamento, limitar a comunicação de informações aos titulares dos dados e a aplicação de outros direitos dos titulares dos dados, a fim de proteger as suas próprias investigações no domínio da concorrência e a aplicação das regras de concorrência, as investigações e os procedimentos das autoridades de concorrência dos Estados-Membros, os instrumentos e os métodos de investigação, bem como os direitos de outras pessoas relacionados com as suas investigações.

(12) Além disso, a fim de manter uma cooperação eficaz, pode ser necessário que a Comissão limite a aplicação dos direitos dos titulares dos dados, a fim de proteger as operações de tratamento de outras instituições e outros órgãos e organismos da União ou das autoridades dos Estados-Membros. Para o efeito, a Comissão deve consultar essas instituições e esses órgãos e organismos, e essas autoridades sobre os motivos relevantes para a imposição de limitações, e sobre a necessidade e a proporcionalidade das limitações.

(13) A Comissão pode igualmente ter de limitar a comunicação de informações aos titulares dos dados e a aplicação de outros direitos dos titulares dos dados, no que diz respeito aos dados pessoais recebidos de países terceiros ou de organizações internacionais, a fim de cooperar com esses países ou organizações e, dessa forma, salvaguardar um importante objetivo de interesse público geral da União. No entanto, em determinadas circunstâncias, o interesse ou os direitos fundamentais do titular dos dados podem prevalecer sobre o interesse da cooperação internacional.

(14) Por conseguinte, a Comissão identificou os motivos enumerados no artigo 25.o, n.o 1, alíneas c), g) e h), do Regulamento (UE) 2018/1725 como justificação para as limitações ao abrigo do artigo 25.o do Regulamento (UE) 2018/1725 que pode ser necessário aplicar às operações de tratamento de dados efetuadas no âmbito das atividades de investigação e de aplicação da legislação da Comissão no domínio da concorrência, englobando as medidas antitrust, o controlo das concentrações e o controlo dos auxílios estatais.

(15) A Comissão deve tratar todas as limitações de forma transparente e registar cada aplicação de limitações no sistema de registo correspondente.

(16) Nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, os responsáveis pelo tratamento podem adiar ou abster-se de comunicar ao titular dos dados informações sobre os motivos que levaram à aplicação de uma limitação, desde que essa informação possa, de qualquer modo, comprometer a finalidade da limitação. Tal é, em especial, o caso das limitações de direitos previstas nos artigos 16.o e 35.o do Regulamento (UE) 2018/1725. A fim de garantir que os direitos dos titulares dos dados nos termos dos artigos 16.o e 35.o do Regulamento (UE) 2018/1725 só são limitados enquanto os motivos da limitação existirem, a Comissão deve reexaminar a sua posição regularmente e aquando do encerramento da investigação em causa.

(17) Sempre que seja aplicada uma limitação a outros direitos dos titulares dos dados, o responsável pelo tratamento deve avaliar, caso a caso, se a comunicação da limitação comprometeria a sua finalidade. O responsável pelo tratamento é o serviço responsável pela política de concorrência na Comissão.

(18) O encarregado da proteção de dados da Comissão deve proceder a uma análise independente da aplicação das limitações, a fim de assegurar o cumprimento da presente decisão.

(19) A presente decisão é adotada para efeitos do artigo 25.o do Regulamento (UE) 2018/1725 e deve entrar em vigor ao mesmo tempo que o referido regulamento, a fim de garantir a segurança jurídica.

(20) A Autoridade Europeia para a Proteção de Dados foi consultada,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o Objeto e âmbito de aplicação 1. A presente decisão estabelece as regras a seguir pela Comissão a fim de informar os titulares dos dados do tratamento dos seus dados, em conformidade com os artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725, no âmbito das suas atividades no domínio da concorrência. Estabelece igualmente as condições em que a Comissão pode limitar a aplicação dos artigos 4.o, 14.o a 17.o, 19.o, 20.o e 35.o do Regulamento (UE) 2018/1725, em conformidade com o artigo 25.o do referido regulamento. 2. A presente decisão aplica-se ao tratamento de dados pessoais, por parte da Comissão, para efeitos de ou relacionado com as atividades realizadas a fim de cumprir as suas tarefas previstas nos artigos 101.o a 109.o do Tratado.

Artigo 2.o Exceções e limitações aplicáveis 1. Sempre que a Comissão exercer as suas funções, no que diz respeito aos direitos dos titulares dos dados, nos termos do Regulamento (UE) 2018/1725, deve considerar se se aplicam quaisquer exceções previstas nesse regulamento. 2. Sob reserva do disposto nos artigos 3.o a 7.o da presente decisão, a Comissão pode limitar a aplicação dos artigos 14.o a 17.o, 19.o, 20.o e 35.o do Regulamento (UE) 2018/1725, bem como o princípio da transparência previsto no artigo 4.o, n.o 1, alínea a), na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 17.o, 19.o, 20.o e 35.o do Regulamento (UE) 2018/1725, sempre que o exercício desses direitos e obrigações ponha em perigo a finalidade das atividades de investigação e aplicação da legislação da Comissão, ao revelar por exemplo os instrumentos e métodos de investigação, ou prejudique os direitos e as liberdades de outros titulares dos dados. 3. Sob reserva do disposto nos artigos 3.o a 7.o, a Comissão pode limitar os direitos e obrigações referidos no n.o 2 do presente artigo, no que respeita aos dados pessoais obtidos junto de outras instituições e de outros órgãos e organismos da União, de autoridades competentes dos Estados-Membros ou de países terceiros ou de organizações internacionais, nas seguintes circunstâncias: a) Quando o exercício desses direitos e obrigações possa ser limitado por outras instituições, órgãos e organismos da União, com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725 ou em conformidade com o capítulo IX do referido regulamento, ou em conformidade com o Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho (6) ou com o Regulamento (UE) 2017/1939 do Conselho (7); b) Quando o exercício desses direitos e obrigações possa ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (8), ou em medidas nacionais de transposição dos artigos 13.o, n.o 3, 15.o, n.o 3, ou 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (9); c) Quando o exercício desses direitos e obrigações possa pôr em causa a cooperação da Comissão com países terceiros ou organizações internacionais na condução de investigações no domínio da concorrência ou na aplicação de decisões em matéria de concorrência. Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do primeiro parágrafo, a Comissão deve consultar os serviços competentes das instituições, órgãos e organismos da União ou as autoridades competentes dos Estados-Membros, a menos que seja claro para a Comissão que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas. A alínea c) do primeiro parágrafo não se aplica caso os interesses ou direitos fundamentais e liberdades dos titulares dos dados prevaleçam sobre o interesse da Comissão em cooperar com países terceiros ou com organizações internacionais. 4. Os n.os 1, 2 e 3 não prejudicam a aplicação de outras decisões da Comissão que estabelecem regras internas relativas à comunicação de informações aos titulares dos dados e à limitação de determinados direitos ao abrigo do artigo 25.o do Regulamento (UE) 2018/1725 e do artigo 23.o do Regulamento Interno da Comissão.

Artigo 3.o Comunicação de informações aos titulares dos dados 1. A Comissão publica avisos relativos à proteção de dados no seu sítio Web, a fim de informar todos os titulares dos dados das suas atividades que envolvam o tratamento dos seus dados pessoais. 2. Sem prejuízo dos artigos 14.o, n.o 5, e 16.o, n.o 5, do Regulamento (UE) 2018/1725, sempre que a Comissão limitar, total ou parcialmente, a comunicação de informações aos titulares dos dados cujos dados sejam tratados para efeitos de investigações no domínio da concorrência ou de aplicação da legislação (incluindo as atividades operacionais conexas), deve documentar e registar os motivos da limitação, em conformidade com o artigo 6.o.

Artigo 4.o Direito de acesso do titular dos dados, direito ao apagamento e à limitação do tratamento 1. Sempre que a Comissão limitar, total ou parcialmente, o direito de acesso aos dados por parte dos titulares dos dados, o direito ao apagamento ou o direito à limitação do tratamento, a que se referem, respetivamente, os artigos 17.o, 19.o e 20.o do Regulamento (UE) 2018/1725, deve informar o titular dos dados em causa, na sua resposta ao pedido de acesso, apagamento ou limitação do tratamento, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar reclamações à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia. 2. A comunicação de informações sobre os motivos da limitação a que se refere o n.o 1 pode ser omitida caso prejudique a finalidade da limitação. 3. A Comissão documenta e regista os motivos da limitação em conformidade com o artigo 6.o. 4. Sempre que o direito de acesso for limitado total ou parcialmente, o titular dos dados exerce o seu direito de acesso por intermédio da Autoridade Europeia para a Proteção de Dados, nos termos do artigo 25.o, n.os 6, 7 e 8, do Regulamento (UE) 2018/1725.

Artigo 5.o Comunicação de violações de dados pessoais aos titulares dos dados Sempre que limitar a comunicação de uma violação de dados pessoais ao titular dos dados, nos termos do artigo 35.o do Regulamento (UE) 2018/1725, a Comissão documenta e regista os motivos da limitação, em conformidade com o artigo 6.o da presente decisão.

Artigo 6.o Documentação e registo das limitações 1. A Comissão deve documentar os motivos de qualquer limitação aplicada nos termos da presente decisão, incluindo uma avaliação da necessidade e da proporcionalidade da limitação. 2. Para o efeito, a documentação deve indicar de que forma o exercício desse direito comprometeria a finalidade das atividades de investigação e de aplicação da legislação da Comissão, ou das limitações aplicadas nos termos do artigo 2.o, n.os 2 ou 3, ou afetaria negativamente os direitos e as liberdades de outros titulares dos dados. 3. A documentação e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. São colocados à disposição da Autoridade Europeia para a Proteção de Dados, a pedido desta.

Artigo 7.o Duração das limitações 1. As limitações referidas nos artigos 3.o, 4.o e 5.oContinuam a ser aplicáveis enquanto as razões que as justificam continuarem a ser aplicáveis. 2. Sempre que os motivos para uma limitação referida nos artigos 3.o ou 5.o deixem de existir, a Comissão deve anular a limitação e expor os motivos da limitação ao titular dos dados. Simultaneamente, a Comissão informa o titular dos dados da possibilidade de apresentar, em qualquer momento, uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia. 3. A Comissão deve reexaminar a aplicação das limitações referidas nos artigos 3.o e 5.o todos os anos e aquando do encerramento do inquérito pertinente.

Artigo 8.o Reexame pelo encarregado da proteção de dados 1. O encarregado da proteção de dados deve ser informado, sem demora injustificada, sempre que os direitos dos titulares dos dados forem limitados em conformidade com a presente decisão. Mediante pedido, o encarregado da proteção de dados deve ter acesso ao registo e a quaisquer documentos que contenham elementos factuais e jurídicos subjacentes. 2. O encarregado da proteção de dados pode solicitar o reexame da limitação. O encarregado da proteção de dados deve ser informado do resultado do reexame solicitados.

Artigo 9.o Entrada em vigor A presente decisão entra em vigor na data de entrada em vigor do Regulamento (UE) 2018/1725.

Feito em Bruxelas, em 5 de dezembro de 2018. Pela Comissão O Presidente Jean-Claude JUNCKER

(1) Ver, em especial, no domínio antitrust, o Regulamento (CE) n.o 1/2003 do Conselho, de 16 de dezembro de 2002, relativo à execução das regras de concorrência estabelecidas nos artigos 81.o e 82.o do Tratado (JO L 1 de 4.1.2003, p. 1); no domínio do controlo das concentrações, o Regulamento (CE) n.o 139/2004 do Conselho, de 20 de janeiro de 2004, relativo ao controlo das concentrações de empresas (o Regulamento da Concentrações) (JO L 24 de 29.1.2004, p. 1); e no domínio dos auxílios estatais, o Regulamento (UE) 2015/1589 do Conselho, de 13 de julho de 2015, que estabelece as regras de execução do artigo 108.o do Tratado sobre o Funcionamento da União Europeia (JO L 248 de 24.9.2015, p. 9).

(2) Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39). O tratamento, na aceção do artigo 3.o, n.o 3, do Regulamento (UE) 2018/1725, abrange igualmente as situações em que a Comissão recebe voluntariamente dados pessoais.

(3) A conservação dos ficheiros na Comissão é regulamentada pela lista de conservação comum, um documento regulamentar [última versão: SEC(2012) 713] sob a forma de um calendário de retenção que estabelece os períodos de retenção para os diferentes tipos de ficheiros da Comissão.

(4) Ver, em especial, o artigo 339.o do Tratado, bem como o artigo 28.o do Regulamento (CE) n.o 1/2003; o artigo 15.o, n.o 4, do Regulamento (CE) n.o 773/2004 da Comissão, de 7 de abril de 2004, relativo à instrução de processos pela Comissão para efeitos dos artigos 81.o e 82.o do Tratado CE (JO L 123 de 27.4.2004, p. 18); o artigo 17.o do Regulamento (CE) n.o 139/2004 e artigo 18.o do Regulamento (CE) n.o 802/2004 da Comissão, de 21 de abril de 2004, de execução do Regulamento (CE) n.o 139/2004 do Conselho relativo ao controlo das concentrações de empresas (JO L 133 de 30.4.2004, p. 1); os artigos 30.o e 31.o do Regulamento (UE) 2015/1589; declarações necessárias relativas às informações confidenciais nos formulários de notificação de auxílios estatais, sob a forma dos anexos ao Regulamento (CE) n.o 794/2004 na sua versão alterada.

(5) A aplicação dos direitos dos titulares dos dados nos termos do Regulamento (UE) 2018/1725 e o cumprimento das obrigações dos responsáveis pelo tratamento dos dados nos termos do referido regulamento não afetam o tratamento, pela Comissão, dos direitos de defesa das partes sujeitas aos procedimentos de concorrência. A integridade e a autenticidade dos elementos de prova constantes do processo recolhidos no decurso de investigações no domínio da concorrência não podem, por conseguinte, ser comprometidas mediante a alteração de documentos recebidos ou recolhidos em conformidade com as regras processuais aplicáveis no domínio da concorrência.

(6) Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho, de 11 de maio de 2016, que cria a Agência da União Europeia para a Cooperação Policial (Europol) e que substitui e revoga as Decisões 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI e 2009/968/JAI do Conselho (JO L 135 de 24.5.2016, p. 53).

(7) Regulamento (UE) 2017/1939 do Conselho, de 12 de outubro de 2017, que dá execução a uma cooperação reforçada para a instituição da Procuradoria Europeia (JO L 283 de 31.10.2017, p. 1).

(8) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

(9) Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).