Document ID: 32018D1961

Reference:
12.12.2018
ES
Diario Oficial de la Unión Europea
L 315/35
DECISIÓN (UE) 2018/1961 DE LA COMISIÓN
de 11 de diciembre de 2018
por la que se establecen normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales a efectos de las actividades de auditoría interna
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 249, apartado 1,
Considerando lo siguiente:
(1)
El Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo (1) exige que cada institución de la Unión cree una función de auditoría interna que se ejercerá respetando las normas internacionales pertinentes. Las actividades de auditoría interna en la Comisión las asume el Servicio de Auditoría Interna («Servicio»), que fue creado el 11 de abril de 2000. El Servicio también lleva a cabo actividades de auditoría interna en las agencias descentralizadas de la Unión y otros organismos autónomos que reciben contribuciones con cargo al presupuesto de la Unión.
(2)
El Servicio lleva a cabo actividades de auditoría interna con arreglo a lo dispuesto en los artículos 117 a 123 del Reglamento (UE, Euratom) 2018/1046 y en su carta de misión (2). A este respecto, el Servicio gozará de plena independencia y dispondrá de un acceso completo e ilimitado a cualquier información que sea necesaria para el ejercicio de sus actividades de auditoría interna en relación con todas las actividades y servicios de la institución de la Unión de que se trate.
(3)
El Servicio asesora a otros servicios de la Comisión, las agencias ejecutivas, las agencias descentralizadas de la Unión y otros organismos autónomos que reciben contribuciones con cargo al presupuesto de la Unión sobre el control de riesgos, es decir, cualquier posible acontecimiento o suceso capaz de incidir negativamente en la consecución de los objetivos políticos, estratégicos y operativos de la Comisión, emitiendo dictámenes independientes sobre la calidad de los sistemas de gestión y control y formulando recomendaciones para mejorar las condiciones de ejecución de las operaciones y promover una buena gestión financiera, de conformidad con lo dispuesto en los artículos 117 a 123 del Reglamento (UE, Euratom) 2018/1046. Por lo tanto, las actividades de auditoría interna del Servicio no suelen estar dirigidas a las personas físicas. No obstante, en el transcurso de sus actividades, se tratan inevitablemente datos personales en el sentido del artículo 3, punto 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (3). Las actividades de auditoría interna que lleva a cabo el Servicio implican evaluar la adecuación y eficacia de los sistemas de gestión internos, los resultados obtenidos por los servicios en la ejecución de las políticas, programas y acciones y la eficiencia y eficacia de los sistemas de control interno y de auditoría aplicables a cada operación de ejecución presupuestaria. Por lo tanto, contribuyen a salvaguardar los intereses económicos y financieros de la Unión y de los Estados miembros. El Servicio es responsable de las operaciones de tratamiento que lleva a cabo de conformidad con los artículos 118 y 119, apartado 2, del Reglamento Financiero.
(4)
Las actividades de auditoría interna llevadas a cabo en la Comisión Europea, en sus agencias ejecutivas y en las agencias descentralizadas de la Unión y otros organismos autónomos varían en cuanto a su forma y contenido, desde encargos de fiabilidad (incluida la evaluación de riesgos) y de consultoría hasta revisiones de alcance limitado y encargos de seguimiento.
(5)
El Comité de Seguimiento de la Auditoría, de conformidad con lo dispuesto en su carta de misión actualizada el 21 de noviembre de 2018 [C(2018) 7707], es un órgano consultivo (4) que asiste a la Comisión en el cumplimiento de sus obligaciones en virtud de los Tratados y de otros instrumentos jurídicos [Reglamento (UE, Euratom) 2018/1046], velando por la independencia del Servicio de Auditoría Interna, realizando el seguimiento de la calidad del trabajo de auditoría interna y garantizando que los servicios de la Comisión tengan en cuenta y apliquen de manera adecuada las recomendaciones de las auditorías interna y externa. De esta forma, el Comité de Seguimiento de la Auditoría contribuye a la mejora de la eficacia y la eficiencia de la Comisión en la consecución de sus objetivos y facilita la labor de control del Colegio de la gobernanza, la gestión de riesgos y las prácticas de control interno de la Comisión. El Comité de Seguimiento de la Auditoría es responsable de la operación o las operaciones de tratamiento que lleva a cabo de conformidad con el artículo 123 del Reglamento Financiero.
(6)
A efectos de sus actividades en virtud de los artículos 118 y 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046, ya sea cuando actúa por propia iniciativa o sobre la base de la información recibida, la Comisión trata datos personales adquiridos o recibidos de personas jurídicas, personas físicas, Estados miembros y organismos y organizaciones internacionales. En el transcurso de dichas actividades de auditoría interna, el Servicio también podrá tratar datos personales adquiridos o recibidos de fuentes públicas o de fuentes anónimas o identificadas que requieran protección de su identidad.
(7)
La Comisión, a su vez, podrá intercambiar datos personales con las instituciones, órganos y organismos de la Unión, con las autoridades competentes de los Estados miembros y, en el marco de sus acuerdos internacionales o de cooperación pertinentes, con terceros países y organizaciones internacionales.
(8)
Las actividades de tratamiento de datos personales, en el sentido del artículo 3, apartado 3, del Reglamento (UE) 2018/1725, llevadas a cabo en el marco de una auditoría interna, pueden tener lugar incluso antes de que la Comisión la inicie formalmente, proseguir durante la realización de dicha auditoría y continuar incluso después de la conclusión formal de la misma (por ejemplo, a efectos de seguimiento o aplicación de las recomendaciones o de evaluación de la necesidad de iniciar nuevas auditorías internas).
(9)
Las categorías de datos personales tratadas por la Comisión comprenden datos identificativos, de contacto, profesionales y los relativos al asunto de la actividad de auditoría o relacionados con él. Dichas categorías se almacenan en un entorno electrónico seguro para evitar el acceso ilícito o la transferencia de datos a personas que no tengan por qué conocerlos. Los datos personales se conservan durante un período máximo de diez años. Al final del período de conservación, la información relacionada con la auditoría interna, incluidos los datos personales, se transfiere a los archivos históricos de la Comisión (5) o se destruye.
(10)
Al realizar las auditorías internas, la Comisión está obligada a respetar los derechos de las personas físicas en relación con el tratamiento de los datos personales reconocidos en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16, apartado 1, del Tratado, así como los derechos previstos en el Reglamento (UE) 2018/1725. Asimismo, la Comisión está obligada a respetar las estrictas normas de confidencialidad a que se hace referencia en las normas internacionales de auditoría interna, de conformidad con el artículo 117 del Reglamento (UE, Euratom) 2018/1046.
(11)
En determinadas circunstancias, es necesario conciliar los derechos de los interesados en virtud del Reglamento (UE) 2018/1725 con las necesidades de las auditorías internas y la confidencialidad de los intercambios de información con las personas físicas y jurídicas, así como con el pleno respeto de los derechos y libertades fundamentales de otros interesados. A tal efecto, el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725 ofrece al Servicio la posibilidad de limitar la aplicación de los artículos 14 a 17, 19, 20 y 35, así como el principio de transparencia establecido en el artículo 4, apartado 1, letra a), en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19, 20 y 35 de dicho Reglamento.
(12)
A fin de garantizar la eficacia de las actividades de auditoría interna, respetando al mismo tiempo las normas de protección de datos personales previstas en el Reglamento (UE) 2018/1725, que ha sustituido al Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo (6), resulta necesario adoptar normas internas con arreglo a las cuales la Comisión pueda limitar los derechos de los interesados de conformidad con el artículo 25, apartado 1, letras c), g) y h) del Reglamento (UE) 2018/1725.
(13)
Las normas internas deben cubrir todas las operaciones de tratamiento efectuadas por la Comisión en la realización de sus actividades de auditoría interna, ya sea cuando actúa por propia iniciativa o sobre la base de información recibida, cuando el ejercicio de los derechos de los interesados pueda poner en peligro el desarrollo de dichas actividades de auditoría interna. Dichas normas deben aplicarse a las operaciones de tratamiento efectuadas antes de la apertura formal de una intervención, durante la intervención, así como durante la supervisión del seguimiento de sus resultados.
(14)
Con el fin de cumplir lo dispuesto en los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, la Comisión debe informar a todas las personas de las actividades que lleve a cabo e impliquen el tratamiento de sus datos personales y de sus derechos, de manera transparente y coherente, mediante un anuncio de protección de datos publicado en el sitio web de la Comisión. Cuando proceda, la Comisión debe prever salvaguardias adicionales para garantizar que los interesados son informados individualmente y en un formato adecuado.
(15)
En virtud del artículo 25 del Reglamento (UE) 2018/1725, la Comisión también puede limitar la comunicación de información a los interesados y el ejercicio de otros derechos de los mismos a fin de proteger sus propias actividades de auditoría interna, las auditorías de las autoridades públicas de los Estados miembros, las herramientas y los métodos de auditoría, así como los derechos de otras personas relacionadas con sus actividades de auditoría interna.
(16)
Además, con el fin de mantener una cooperación efectiva, puede ser necesario que la Comisión limite la aplicación de los derechos de los interesados con el fin de proteger las operaciones de tratamiento de los servicios de la Comisión u otras instituciones, órganos y organismos de la Unión, de las autoridades de los Estados miembros y de organizaciones internacionales, así como del Comité de Seguimiento de la Auditoría. A tal efecto, la Comisión debe consultar a esos servicios, instituciones, órganos, organismos, autoridades y organizaciones, así como al Comité de Seguimiento de la Auditoría, sobre los motivos pertinentes para imponer limitaciones y la necesidad y proporcionalidad de las mismas.
(17)
La Comisión también puede tener que limitar la comunicación de información a los interesados y la aplicación de otros derechos de los mismos en lo que respecta a los datos personales recibidos de terceros países u organizaciones internacionales, a fin de cooperar con dichos países u organizaciones, salvaguardando, de este modo, un importante objetivo de interés público general de la Unión. Sin embargo, en determinadas circunstancias los intereses o los derechos fundamentales del interesado pueden prevalecer sobre el interés de la cooperación internacional.
(18)
La Comisión debería tratar todas las limitaciones de manera transparente y registrar cada aplicación de limitaciones en el sistema de registro correspondiente.
(19)
De conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, los responsables del tratamiento pueden aplazar, omitir o denegar la comunicación de información sobre los motivos para la aplicación de una limitación al interesado si el hecho de proporcionar esta información pusiera en peligro de algún modo la finalidad de la limitación. Así sucede, en particular, en el caso de las limitaciones a los derechos previstos en los artículos 16 y 35 del Reglamento (UE) n.o 2018/1725.
(20)
Cuando se limiten otros derechos de los interesados, el responsable del tratamiento del Servicio de Auditoría Interna debe evaluar, caso por caso, si la comunicación de la limitación podría poner en peligro su finalidad.
(21)
El responsable de protección de datos de la Comisión Europea debe realizar una revisión independiente de la aplicación de las limitaciones, a fin de garantizar el cumplimiento de la presente Decisión.
(22)
El Reglamento (UE) 2018/1725 sustituye al Reglamento (CE) n.o 45/2001, sin período transitorio, a partir de la fecha de su entrada en vigor. La posibilidad de aplicar limitaciones a determinados derechos está prevista en el Reglamento (CE) n.o 45/2001. A fin de evitar poner en peligro la legalidad de las actividades de auditoría interna, la presente Decisión debe aplicarse a partir de la fecha de entrada en vigor del Reglamento (UE) 2018/1725.
(23)
El Supervisor Europeo de Protección de Datos emitió su dictamen el 27 de noviembre de 2018.
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1
Objeto y ámbito de aplicación
1.   La presente Decisión establece las normas que deberá seguir la Comisión para informar a los interesados sobre el tratamiento de sus datos, de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, cuando lleve a cabo sus actividades de auditoría interna de conformidad con los artículos 117 a 123 del Reglamento (UE, Euratom) 2018/1046.
Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25, apartado 1, letras c), g) y h) de dicho Reglamento.
2.   La presente Decisión se aplica al tratamiento de datos personales por parte de la Comisión a efectos de o en relación con las actividades llevadas a cabo para cumplir sus tareas de conformidad con el artículo 118 y el artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046.
3.   La presente Decisión resulta aplicable al tratamiento de datos personales en el seno de la Comisión, en la medida en que la Comisión trate datos personales contenidos en información que deba tratar a efectos de las actividades a que se refiere el presente artículo o en relación con estas.
Artículo 2
Excepciones y limitaciones aplicables
1.   Cuando la Comisión ejerza sus funciones con respecto a los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, deberá analizar si es aplicable alguna de las excepciones establecidas en dicho Reglamento.
2.   Sin perjuicio de lo dispuesto en los artículos 3 a 7 de la presente Decisión, la Comisión podrá limitar la aplicación de los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, así como el principio de transparencia establecido en el artículo 4, apartado 1, letra a), de dicho Reglamento en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19, 20 y 35 de ese Reglamento, cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones ponga en peligro el objetivo de las actividades de la Comisión en virtud del artículo 118 y del artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046, en particular revelando sus herramientas y métodos de auditoría, o pueda afectar negativamente a los derechos y libertades de otros interesados.
3.   Sin perjuicio de lo dispuesto en los artículos 3 a 7, la Comisión podrá limitar los derechos y obligaciones a que se refiere el apartado 2 del presente artículo en lo que respecta a los datos personales obtenidos de otras instituciones, órganos y organismos de la Unión, autoridades competentes de los Estados miembros o de terceros países o de organizaciones internacionales, en las siguientes circunstancias:
a)
cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda verse limitado por otras instituciones, órganos y organismos de la Unión, sobre la base de otros actos previstos en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento, o de conformidad con el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (7) o con el Reglamento (UE) 2017/1939 del Consejo (8);
b)
cuando el ejercicio de esos derechos y el cumplimiento de esas obligaciones pueda verse limitado por parte de las autoridades competentes de los Estados miembros sobre la base de los actos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (9), o con arreglo a las medidas nacionales de transposición del artículo 13, apartado 3, del artículo 15, apartado 3, o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo (10);
c)
cuando el ejercicio de esos derechos y obligaciones pueda poner en peligro la cooperación de la Comisión con terceros países u organizaciones internacionales en la realización de actividades de auditoría interna.
Antes de la aplicación de limitaciones en las circunstancias señaladas en las letras a) y b) del párrafo primero, la Comisión deberá consultar a las instituciones, órganos y organismos de la Unión pertinentes o a las autoridades competentes de los Estados miembros, a menos que para la Comisión resulte evidente que la aplicación de una limitación está prevista en uno de los actos a que se hace referencia en dichos puntos, o que dicha consulta ponga en peligro el objetivo de sus actividades en virtud del artículo 118 y del artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046.
La letra c) del párrafo primero no se aplicará cuando el interés de la Comisión en cooperar con los terceros países o las organizaciones internacionales no prevalezca sobre los intereses o los derechos y libertades fundamentales de los interesados.
4.   Los apartados 1, 2 y 3 se entienden sin perjuicio de la aplicación de otras decisiones de la Comisión por las que se establezcan normas internas sobre la comunicación de información a los interesados y la limitación de determinados derechos en virtud del artículo 25 del Reglamento (UE) 2018/1725 y del artículo 23 del Reglamento interno de la Comisión.
Artículo 3
Comunicación de información a los interesados
La Comisión publicará en su sitio web anuncios de protección de datos que informarán a todos los interesados de las actividades que lleve a cabo y que impliquen el tratamiento de sus datos personales a efectos de las actividades que realiza en virtud del artículo 118 y del artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046. Cuando proceda, la Comisión deberá velar por que los interesados sean informados individualmente y en un formato adecuado.
En caso de que la Comisión limite, total o parcialmente, la comunicación de información a interesados cuyos datos se traten a efectos de las actividades que realice en virtud del artículo 118 y del artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046, consignará y registrará los motivos de esa limitación de conformidad con lo dispuesto en el artículo 6.
Artículo 4
Derecho de acceso de los interesados, derecho de supresión y derecho a la limitación del tratamiento
1.   Cuando la Comisión limite, total o parcialmente, el derecho de acceso a los datos por parte de los interesados, el derecho de supresión o el derecho a la limitación del tratamiento contemplados en los artículos 17, 19 y 20, respectivamente, del Reglamento (UE) 2018/1725, informará al interesado, en su respuesta a la petición de acceso, supresión o limitación del tratamiento, de la limitación aplicada y de los principales motivos de la misma, así como de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer recurso judicial ante el Tribunal de Justicia de la Unión Europea.
2.   La comunicación de información sobre los motivos de la limitación contemplada en el apartado 1 del presente artículo podrá aplazarse, omitirse o denegarse en la medida en que ponga en peligro el objetivo de la limitación.
3.   La Comisión consignará los motivos de la limitación conforme a lo dispuesto en el artículo 6 de la presente Decisión.
4.   Cuando el derecho de acceso se limite total o parcialmente, el interesado ejercerá su derecho de acceso a través de la mediación del Supervisor Europeo de Protección de Datos, de conformidad con el artículo 25, apartados 6, 7 y 8, del Reglamento (UE) 2018/1725.
Artículo 5
Comunicación de violaciones de la seguridad de los datos personales a los interesados
Cuando la Comisión limite la comunicación de una violación de la seguridad de los datos personales al interesado, a que se refiere el artículo 35 del Reglamento (UE) 2018/1725, deberá consignar y registrar los motivos de limitación conforme a lo dispuesto en el artículo 6 de la presente Decisión.
Artículo 6
Consignación y registro de las limitaciones
La Comisión consignará los motivos de cualquier limitación aplicada con arreglo a la presente Decisión, incluida la evaluación de la necesidad y proporcionalidad de la limitación, teniendo en cuenta los aspectos pertinentes previstos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.
Para ello, la consignación deberá indicar de qué modo el ejercicio del derecho pondría en peligro el objetivo de las actividades de la Comisión en virtud del artículo 118 y del artículo 119, apartado 2, del Reglamento (UE, Euratom) 2018/1046, o de las limitaciones aplicadas de conformidad con el artículo 2, apartados 2 o 3, o afectaría negativamente a los derechos y libertades de otros interesados.
Se registrarán la consignación y, en su caso, los documentos que contengan los elementos de hecho y de Derecho subyacentes. Se pondrán a disposición del Supervisor Europeo de Protección de Datos previa solicitud.
Artículo 7
Duración de las limitaciones
1.   Las limitaciones contempladas en los artículos 3, 4 y 5 de la presente Decisión seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen.
2.   Cuando dejen de ser aplicables los motivos que justifiquen una limitación prevista en los artículos 3 o 5 de la presente Decisión, la Comisión suspenderá las limitaciones y comunicará los motivos principales de la limitación al interesado. Al mismo tiempo, la Comisión informará al interesado sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.
3.   La Comisión revisará la aplicación de las limitaciones previstas en los artículos 3 y 5 de la presente Decisión cada seis meses a partir de su adopción y antes y después la conclusión de la auditoría interna correspondiente. Posteriormente, la Comisión revisará la necesidad de mantener cualquier limitación o aplazamiento con periodicidad anual.
Artículo 8
Revisión por parte del responsable de protección de datos de la Comisión Europea
El responsable de protección de datos de la Comisión Europea será informado, sin demora injustificada, cada vez que se limiten los derechos de los interesados con arreglo a lo dispuesto en la presente Decisión. A petición del responsable de protección de datos, se facilitará a este el acceso a las consignaciones y a todos los documentos que contengan los elementos de hecho y de Derecho subyacentes.
El responsable de protección de datos podrá solicitar que se revise la limitación. El responsable de protección de datos será informado por escrito sobre el resultado de la revisión solicitada.
Artículo 9
Entrada en vigor
La presente Decisión entrará en vigor el día de su publicación en el Diario Oficial de la Unión Europea.
Será aplicable a partir del 11 de diciembre de 2018.
Hecho en Bruselas, el 11 de diciembre de 2018.
Por la Comisión
El Presidente
Jean-Claude JUNCKER
(1)  Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo, de 18 de julio de 2018, sobre las normas financieras aplicables al presupuesto general de la Unión, por el que se modifican los Reglamentos (UE) n.o 1296/2013, (UE) n.o 1301/2013, (UE) n.o 1303/2013, (UE) n.o 1304/2013, (UE) n.o 1309/2013, (UE) n.o 1316/2013, (UE) n.o 223/2014 y (UE) n.o 283/2014 y la Decisión n.o 541/2014/UE y por el que se deroga el Reglamento (UE, Euratom) n.o 966/2012 (DO L 193 de 30.7.2018, p. 1).
(2)  C(2017) 4435 final.
(3)  Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).
(4)  Creado en octubre de 2000, SEC(2000) 1808/3.
(5)  La conservación de los expedientes en la Comisión está regulada por la Lista común de conservación, documento normativo cuya última versión se recoge en el documento SEC (2012) 713, en forma de calendario de conservación que establece los períodos de conservación de los distintos tipos de expedientes de la Comisión.
(6)  Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8 de 12.1.2001, p. 1).
(7)  Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol) y por el que se sustituyen y derogan las Decisiones 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI y 2009/968/JAI del Consejo (DO L 135 de 24.5.2016, p. 53).
(8)  Reglamento (UE) 2017/1939 del Consejo, de 12 de octubre de 2017, por el que se establece una cooperación reforzada para la creación de la Fiscalía Europea (DO L 283 de 31.10.2017, p. 1).
(9)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).
(10)  Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).

Summary:
Limitación de derechos de los interesados sobre datos personales: normas internas de la Comisión
Limitación de derechos de los interesados sobre datos personales: normas internas de la Comisión
 
SÍNTESIS DE LOS DOCUMENTOS:
Decisión (UE) 2018/1927 de la Comisión: normas internas sobre el tratamiento de datos personales por la Comisión Europea en el ámbito de la competencia en relación con la comunicación de información a los interesados y la limitación de determinados derechos
Decisión (UE) 2018/1961 de la Comisión: normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales a efectos de las actividades de auditoría interna
Decisión (UE) 2018/1962 de la Comisión: reglamento interno relativo al tratamiento de datos personales por la Oficina Europea de Lucha contra el Fraude (OLAF) en lo que respecta a la comunicación de información a los interesados y la restricción de algunos de sus derechos
Decisión (UE) 2018/1996 de la Comisión: normas internas relativas a la comunicación de información a los interesados y la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales para fines de investigación de defensa comercial y de política comercial
Decisión (UE) 2019/154 de la Comisión: normas internas acerca de la limitación del derecho de acceso de los interesados a su expediente médico
Decisión (UE) 2019/165 de la Comisión: normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos de protección de datos por parte de la Comisión en el contexto de las investigaciones administrativas y los procedimientos predisciplinarios, disciplinarios y de suspensión
Decisión (UE) 2019/236 de la Comisión: normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales por la Comisión Europea a efectos de la seguridad interna de las instituciones de la UE
¿CUÁL ES EL OBJETIVO DE ESTAS DECISIONES?
Establecen las normas internas en base a las cuales la Comisión Europea puede limitar los derechos que ejercen los individuos en virtud del Reglamento (UE) 2018/1725. Las normas internas se aplican al tratamiento de datos personales en el marco de ciertos ámbitos específicos y para propósitos concretos.
PUNTOS CLAVE
Por «datos personales» se entiende toda información sobre una persona física identificada o identificable (denominada «interesado» en la legislación). Una persona física se considera identificable si es posible la determinación de su identidad, de forma directa o indirecta, en particular mediante un identificador (por ejemplo, un nombre, un número de identificación, datos de localización, o un identificador en línea) o mediante uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.
La nueva legislación de la Unión Europea (UE) en materia de protección y libre circulación de datos personales consta, en particular, de los siguientes instrumentos:el Reglamento General de Protección de Datos (RGPD), que establece los derechos de los individuos en lo relativo a sus datos personales, los protege en lo que respecta al tratamiento de sus datos personales en los países de la UE y garantiza la libre circulación de dichos datos;  el Reglamento (UE) 2018/1725, que establece los derechos de los individuos en lo relativo a sus datos personales, los protege en lo que respecta al tratamiento de sus datos personales por parte de instituciones, órganos, organismos y agencias de la UE y garantiza la libre circulación de dichos datos.  Estos reglamentos se consideran equivalentes y deben interpretarse como si se tratase del mismo instrumento.
El artículo 25 del Reglamento (UE) 2018/1725 contempla la posibilidad de que, en ciertos casos, las instituciones y los organismos de la UE puedan limitar los derechos de los individuos, siempre y cuando dicha limitación esté contemplada por el Derecho de la UE. En línea con lo anterior, la Comisión ha adoptado siete decisiones que sientan las bases de posibles limitaciones encaminadas a salvaguardar objetivos importantes de interés público y general para la UE.
En base a dichas decisiones, y tras una valoración caso por caso de la necesidad y la proporcionalidad de las limitaciones, la Comisión Europea establece si los derechos de un individuo deben ser limitados en un caso concreto.
Podrán limitarse los siguientes derechos de los individuos:el derecho a la información relativaal procesamiento de sus datos personales, ya violaciones de datos personales que puedan suponer un riesgo elevado para sus derechos y libertades;  el derecho a acceder a sus datos personales, o a exigir la eliminación o la restricción del tratamiento de los mismos.  Las siete decisiones de la Comisión tienen todas el mismo formato, e incluyen la totalidad o parte de los elementos siguientes:Objeto y alcance Requisito de una valoración caso por caso de cada solicitud de los interesados.    Excepciones y/o limitaciones aplicables Antes de aplicar una limitación, la Comisión debe considerar en primer lugar si son aplicables algunas de las excepciones a los derechos de los interesados establecidas por el Reglamento (UE) 2018/1725.    Provisión de información a los interesados La Comisión debe publicar en su página web avisos de protección de datos, a fin de informar a todos los interesados acerca de sus actividades de procesamiento de datos en el área correspondiente.  La Comisión debe informar de forma individual y por los cauces apropiados a toda persona que pueda estar individualmente afectada por una investigación o alguna medida llevada a cabo en alguna de las áreas correspondientes.    Derechos de los interesados a acceder a sus datos personales, o a exigir la eliminación o la restricción del tratamiento de los mismos. Si la Comisión limita el acceso a datos personales o el derecho a la eliminación y/o a la restricción del tratamiento, deberá informar a los interesados afectados acerca de la limitación aplicada, de los principales motivos de la misma y de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.    Consignación y registro de las limitaciones La Comisión deberá consignar los motivos de cualquier limitación que se aplique, incluyendo una valoración de la necesidad y la proporcionalidad.    Duración de las limitaciones Las limitaciones serán aplicables mientras lo sigan siendo los motivos que las justifiquen.    Revisión por parte del responsable de protección de datos (RPD) de la Comisión Europea Se deberá informar al RPD, sin demora injustificada, cada vez que se limiten los derechos de los interesados.  A petición del RPD, se facilitará a este el acceso a las consignaciones y a todos los documentos que contengan los elementos de hecho y de Derecho subyacentes.  El RPD podrá solicitar que se revise la limitación y se le deberá informar por escrito sobre el resultado de la revisión solicitada.    Las siete decisiones de la Comisión abarcan la limitación de cara a los interesados en los siguientes ámbitos:Seguridad interna de las instituciones de la UE Se aplica al tratamiento de datos personales encaminado a garantizar la seguridad de personas, activos e información en la Comisión.  La Comisión deberá informar individualmente a los testigos y a las personas afectadas por una investigación de seguridad acerca del tratamiento de sus datos personales.  Además, la Comisión deberá informar de forma individual a los interesados cuyos datos sean objeto de procesamiento en casos de comprobaciones de antecedentes, de conformidad con el artículo 7, apartado 5, de la Decisión (UE, Euratom) 2015/443 de la Comisión.  También deberá informar individualmente a aquellas personas cuyos datos sean objeto de procesamiento en el marco de registros en locales, sistemas de comunicación e información y equipos de la Comisión.    Investigaciones administrativas, procedimientos predisciplinarios, disciplinarios y de suspensión Los derechos y obligaciones contemplados en el Reglamento (UE) 2018/1725 podrán limitarse en caso de que pongan en peligro los propósitos de investigaciones administrativas, procedimientos predisciplinarios, disciplinarios y de suspensión, o en caso de que puedan afectar a los derechos y libertades de otros interesados.    Datos médicos personales La Comisión, siempre considerando caso por caso, podrá limitar el derecho de los interesados a acceder directamente a datos médicos personales de carácter psicológico o psiquiátrico que les conciernan en aquellos supuestos en que el acceso a dichos datos pueda suponer un riesgo para la salud del interesado.  La limitación deberá ser proporcional a la estricta necesidad de protección del interesado en cuestión.    Investigación de defensa comercial y de política comercial Los derechos y obligaciones contemplados en el Reglamento (UE) 2018/1725 podrán limitarse en caso de que pongan en peligro los propósitos de actividades de política comercial y de defensa comercial de la Comisión, o en caso de que puedan afectar a los derechos y libertades de otros interesados.    Oficina Europea de Lucha contra el Fraude (OLAF) Se aplica al tratamiento de datos personales por parte de la OLAF (así como al tratamiento de datos personales por parte de servicios y agencias ejecutivas de la Comisión que deban ser transmitidos a la OLAF) con el fin de cumplir sus funciones.  Las investigaciones de la OLAF son completamente independientes de la Comisión.  es la OLAF quien decide si se deben aplicar excepciones a los derechos de los interesados sobre datos personales.  En la página web de la OLAF se publican avisos de protección de datos que informan a los interesados acerca de las actividades que comportan el tratamiento de sus datos personales.  El RPD de la OLAF revisa todas las limitaciones de los derechos de los interesados.    Actividades de auditoría interna Los derechos y obligaciones contemplados en el Reglamento (UE) 2018/1725 podrán limitarse en el marco de las operaciones de procesamiento llevadas a cabo por la Comisión en el transcurso de sus actividades de auditoría interna en aquellos casos en que el ejercicio de los derechos de los interesados pueda poner en peligro la realización de las actividades de auditoría interna, lo que incluye la posible revelación de sus métodos y herramientas de auditoría; igualmente, se podrán limitar dichos derechos y obligaciones en caso de que se puedan ver afectados los derechos y libertades de otros interesados.  Además, podría ser necesario que la Comisión limitara la aplicación de los derechos de los interesados sobre datos personales a fin de proteger las operaciones de tratamiento de los servicios de la Comisión, de otras instituciones, órganos, organismos y agencias de la Unión, de las autoridades de los Estados miembros o de organizaciones internacionales, así como del Comité de Seguimiento de las Auditorías.  La Comisión debe informar a las personas acerca de sus actividades de auditoría interna que comporten el tratamiento de sus datos personales, y también acerca de sus derechos al respecto, por medio de avisos de protección de datos publicados en su página web. Según proceda, la Comisión deberá asegurarse de informar individualmente a los interesados por los cauces apropiados.    Competencia Los derechos y obligaciones contemplados en el Reglamento (UE) 2018/1725 podrán limitarse en caso de que pongan en peligro los propósitos de actividades de investigación y cumplimiento de la ley por parte de la Comisión, lo que incluye la posible revelación de sus métodos y herramientas de investigación; igualmente, se podrán limitar dichos derechos y obligaciones en caso de que se puedan ver afectados los derechos y libertades de otros interesados.    
¿A PARTIR DE CUÁNDO ENTRAN EN VIGOR LAS DECISIONES?
Las Decisiones (UE) 2018/1927, (UE) 2018/1961, (UE) 2018/1962, (UE) 2018/1996 y (UE) 2019/154 están en vigor desde el 11 de diciembre de 2018.  La Decisión (UE) 2019/165 está en vigor desde el 7 de febrero de 2019.  La Decisión (UE) 2019/236 está en vigor desde el 11 de febrero de 2019.  
ANTECEDENTES
Para más información véase:Reforma de 2018 de las normas de protección de datos (Comisión Europea).  
DOCUMENTOS PRINCIPALES
Decisión (UE) 2018/1927 de la Comisión, de 5 de diciembre de 2018, por la que se establecen las normas internas sobre el tratamiento de datos personales por la Comisión Europea en el ámbito de la competencia en relación con la comunicación de información a los interesados y la limitación de determinados derechos (DO L 313 de 10.12.2018, p. 39–44).
Decisión (UE) 2018/1961 de la Comisión, de 11 de diciembre de 2018, por la que se establecen normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales a efectos de las actividades de auditoría interna (DO L 315 de 12.12.2018, pp. 35-40).
Decisión (UE) 2018/1962 de la Comisión, de 11 de diciembre de 2018, por la que se establece el reglamento interno relativo al tratamiento de datos personales por la Oficina Europea de Lucha contra el Fraude (OLAF) en lo que respecta a la comunicación de información a los interesados y la restricción de algunos de sus derechos, de conformidad con el artículo 25 del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (DO L 315 de 12.12.2018, pp. 41–46).
Decisión (UE) 2018/1996 de la Comisión, de 14 de diciembre de 2018, por la que se establecen las normas internas relativas a la comunicación de información a los interesados y la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales para fines de investigación de defensa comercial y de política comercial (DO L 320 de 17.12.2018, pp. 40–44).
Decisión (UE) 2019/154 de la Comisión, de 30 de enero de 2019, por la que se establecen normas internas acerca de la limitación del derecho de acceso de los interesados a su expediente médico (DO L 27 de 31.1.2019, pp. 33-35).
Decisión (UE) 2019/165 de la Comisión, de 1 de febrero de 2019, por la que se establecen normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos de protección de datos por parte de la Comisión en el contexto de las investigaciones administrativas y los procedimientos predisciplinarios, disciplinarios y de suspensión (DO L 32 de 4.2.2019, pp. 9-13).
Decisión (UE) 2019/236 de la Comisión, de 7 de febrero de 2019, por la que se establecen normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos en el contexto del tratamiento de datos personales por la Comisión Europea a efectos de la seguridad interna de las instituciones de la Unión (DO L 37 de 8.2.2019, pp. 144–149).
DOCUMENTOS CONEXOS
Aplicables a la Comisión Europea:
Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, pp. 39-98).
Decisión (UE, Euratom) 2017/46 de la Comisión, de 10 de enero de 2017, sobre la seguridad de los sistemas de información y comunicación de la Comisión Europea (DO L 6 de 11.1.2017, pp. 40-51).
Las modificaciones sucesivas de la Decisión (UE, Euratom) 2017/46 se han incorporado al texto básico. Esta versión consolidada tiene un valor meramente documental.
Decisión (UE, Euratom) 2015/443 de la Comisión, de 13 de marzo de 2015, sobre la seguridad en la Comisión (DO L 72 de 17.3.2015, pp. 41–52).
Aplicables a los países de la UE:
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, pp. 1-88).
Véase la versión consolidada.
Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, pp. 89-131).
Véase la versión consolidada.
última actualización 03.04.2019