Source: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32019R0796
Timestamp: 2019-10-14 21:37:09
Document Index: 405060567

Matched Legal Cases: ['artículo 21', 'artículo 1', 'artículo 5', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3', 'artículo 3']

REGLAMENTO (UE) 2019/796 DEL CONSEJO
relativo a medidas restrictivas contra los ciberataques que amenacen a la Unión o a sus Estados miembros
Vista la Decisión (PESC) 2019/797 de 17 de mayo de 2019 del Consejo relativa a medidas restrictivas contra los ciberataques que amenacen a la Unión o a sus Estados miembros (1),
El 18 de octubre de 2018, el Consejo Europeo adoptó unas conclusiones en las que pedía que se impulsaran los trabajos sobre la capacidad para responder a los ciberataques, y disuadir de que estos se cometan, con medidas restrictivas de la Unión, con arreglo a las conclusiones del Consejo de 19 de junio de 2017.
El 17 de mayo de 2019 el Consejo adoptó la Decisión (PESC) 2019/797. La Decisión (PESC) 2019/797 establece un marco para unas medidas restrictivas específicas con el fin de prevenir y responder a los ciberataques con un efecto significativo que constituyan una amenaza externa para la Unión o sus Estados miembros. La lista de las personas, entidades y organismos sujetos a las medidas restrictivas figura en el anexo de dicha Decisión.
El presente Reglamento respeta los derechos fundamentales y observa los principios reconocidos en la Carta de los Derechos Fundamentales de la Unión Europea, y especialmente el derecho a la tutela judicial efectiva y a un juez imparcial y el derecho a la protección de los datos de carácter personal. El presente Reglamento debe aplicarse de conformidad con esos derechos.
El Consejo ejercerá la competencia de establecer y modificar la lista que figura en el anexo I del presente Reglamento, con el fin de garantizar la coherencia con el proceso de establecimiento, modificación y revisión del anexo de la Decisión (PESC) 2019/797.
A efectos de la ejecución del presente Reglamento, y para garantizar la máxima seguridad jurídica dentro de la Unión, han de hacerse públicos los nombres y otros datos pertinentes de las personas físicas o jurídicas, entidades y organismos cuyos fondos y recursos económicos deban ser inmovilizados de conformidad con el presente Reglamento. Todo tratamiento de datos personales debe ajustarse a lo dispuesto en los Reglamentos (UE) 2016/679 (2) y (UE) 2018/1725 (3) del Parlamento Europeo y del Consejo.
Los Estados miembros y la Comisión deben comunicarse mutuamente las medidas adoptadas en virtud del presente Reglamento, así como cualquier otra información pertinente de que dispongan en relación con él.
Los Estados miembros deben establecer las normas sobre las sanciones aplicables a las infracciones de las disposiciones del presente Reglamento y asegurarse de su aplicación. Tales sanciones deben ser efectivas, proporcionadas y disuasorias.
1. El presente Reglamento se aplica a los ciberataques con un efecto significativo, incluidas las tentativas de ciberataque con un efecto significativo potencial, que constituyan una amenaza externa para la Unión o para sus Estados miembros.
2. Entre los ciberataques que constituyen una amenaza externa se incluyen aquellos que:
se originen, o se cometan, desde el exterior de la Unión;
utilicen infraestructura fuera de la Unión;
hayan sido cometidos por una persona física o jurídica, una entidad o un organismo establecidos o que tengan actividad fuera de la Unión; o
hayan sido cometidos con el apoyo, bajo la dirección o bajo el control de una persona física o jurídica que tenga actividad fuera de la Unión.
3. A tal fin, los ciberataques son acciones que implican cualesquiera de los siguientes elementos:
acceso a sistemas de información;
intromisión en sistemas de información;
intromisión en datos; o
interceptación de datos,
4. Entre los ciberataques que constituyen una amenaza para los Estados miembros se incluyen los que afecten a los sistemas de información relacionados, entre otras aspectos, con:
las infraestructuras críticas, incluidos los cables submarinos y los objetos lanzados al espacio ultraterrestre, que resulten esenciales para el mantenimiento de funciones vitales de la sociedad, o para la salud, la seguridad, la protección y el bienestar económico o social de las personas;
los servicios necesarios para el mantenimiento de actividades sociales o económicas esenciales, en particular en los sectores de la energía (electricidad, petróleo y gas); el transporte (aéreo, ferroviario, fluvial o marítimo y por carretera); la actividad bancaria; las infraestructuras de los mercados financieros; el sector sanitario (proveedores de asistencia sanitaria, hospitales y clínicas privadas); el suministro y la distribución de agua potable; las infraestructuras digitales; y cualquier otro sector que resulte esencial para el Estado miembro de que se trate;
las funciones vitales del Estado, en particular en los ámbitos de la Defensa, la gobernanza y el funcionamiento de las instituciones, incluido en el caso de las elecciones públicas o los procesos electorales, el funcionamiento de las infraestructuras económicas y civiles, la seguridad interior, y las relaciones exteriores, también a través de las misiones diplomáticas;
el almacenamiento o el tratamiento de información clasificada; o
los equipos de respuesta de emergencia del Estado.
5. Los ciberataques que constituyen una amenaza para la Unión incluirán los cometidos contra sus instituciones, órganos y organismos, sus delegaciones en terceros países o ante organizaciones internacionales, sus operaciones y misiones de la política común de seguridad y defensa (PCSD) y sus representantes especiales.
6. Cuando se estimen necesarias para el cumplimiento de los objetivos de la política exterior y de seguridad común (PESC) en las disposiciones pertinentes del artículo 21 del Tratado de la Unión Europea, también podrán aplicarse medidas restrictivas con arreglo al presente Reglamento en respuesta a ciberataques que tengan un efecto significativo contra terceros Estados u organizaciones internacionales.
7. A efectos del presente Reglamento, se entenderá por:
a) «Sistemas de información»: todo aparato o grupo de aparatos interconectados o relacionados entre sí, uno o varios de los cuales realizan, mediante un programa, el tratamiento automático de datos digitales, así como los datos digitales almacenados, tratados, recuperados o transmitidos por dicho aparato o grupo de aparatos para su funcionamiento, utilización, protección y mantenimiento.
b) «Intromisión en sistemas de información»: obstaculización o interrupción del funcionamiento de un sistema de información introduciendo datos digitales, transmitiendo, dañando, borrando, deteriorando, alterando o suprimiendo tales datos, o haciéndolos inaccesibles.
c) «Intromisión en datos»: borrado, dañado, deterioro, alteración o supresión de los datos digitales en un sistema de información, o inutilización del acceso a estos datos. También incluirá el robo de datos, fondos, recursos económicos o derechos de propiedad intelectual.
d) «Interceptación de datos»: interceptación, por medios técnicos, de transmisiones no públicas de datos digitales hacia, desde o dentro de un sistema de información, incluidas las emisiones electromagnéticas de un sistema de información que contenga dichos datos digitales.
8. A efectos del presente Reglamento, se aplicarán las siguientes definiciones suplementarias:
toda demanda de cumplimiento de una obligación derivada de un contrato o transacción o en relación con estos;
toda demanda de prórroga o pago de una fianza, una garantía financiera o una indemnización, independientemente de la forma que adopte;
toda demanda de compensación en relación con un contrato o transacción;
toda demanda de reconvención;
toda reclamación de reconocimiento o ejecución, incluso mediante procedimiento de exequatur, de una sentencia, un laudo arbitral o una decisión equivalente, dondequiera que se adopte o se dicte.
b) «Contrato o transacción»: cualquier transacción con independencia de la forma que adopte y de la legislación aplicable, comprenda uno o más contratos u obligaciones similares entre partes idénticas o entre partes diferentes; a tal efecto, el término «contrato» incluirá cualquier fianza, garantía o indemnización, en particular garantías financieras o indemnizaciones financieras, y crédito, jurídicamente independientes o no, así como cualquier disposición conexa derivada de la transacción o en relación con ella.
c) «Autoridades competentes»: las autoridades competentes de los Estados miembros tal como se mencionan en los sitios web enumerados en el anexo II.
d) «Recursos económicos»: los activos de todo tipo, tangibles o intangibles, mobiliarios o inmobiliarios, que no sean fondos, pero que puedan utilizarse para obtener fondos, bienes o servicios.
e) «Inmovilización de recursos económicos»: toda actuación con la que se pretenda impedir el uso de recursos económicos para obtener fondos, bienes o servicios de cualquier manera, incluidos la venta, el alquiler o la constitución de una hipoteca.
f) «Inmovilización de fondos»: el hecho de impedir cualquier movimiento, transferencia, alteración, utilización, negociación de fondos o acceso a estos, cuyo resultado sea un cambio de volumen, importe, localización, titularidad, posesión, naturaleza o destino de esos fondos, o cualquier otro cambio que permita la utilización de dichos fondos, incluida la gestión de cartera.
valores negociables e instrumentos de deuda públicos y privados, tales como acciones y participaciones, certificados de valores, bonos, pagarés, warrants, obligaciones y contratos relacionados con productos financieros derivados;
créditos, derechos de compensación, garantías, garantías de buena ejecución u otros compromisos financieros;
cartas de crédito, conocimientos de embarque y comprobantes de venta; y
documentos que atestigüen un interés en fondos o recursos financieros.
h) «Territorio de la Unión»: los territorios de los Estados miembros en los que es aplicable el Tratado, y en las condiciones establecidas en el mismo, incluido su espacio aéreo,.
Los factores que determinen si un ciberataque tiene un efecto significativo a que se refiere el artículo 1, apartado 1, incluirán cualesquiera de los siguientes elementos:
el alcance, la escala, la repercusión o la gravedad de la perturbación ocasionada; incluido en las actividades económicas y sociales, los servicios esenciales, las funciones fundamentales del Estado, el orden público o la seguridad pública;
el número de personas físicas o jurídicas, entidades u organismos afectados;
el número de Estados miembros afectados;
el importe de las pérdidas económicas ocasionadas, por ejemplo mediante un robo a gran escala de fondos, de recursos económicos o de propiedad intelectual;
los beneficios económicos obtenidos por el infractor, para sí o para otros;
la cantidad o la naturaleza de los datos sustraídos o la magnitud de las violaciones de datos; o
la naturaleza de los datos comercialmente sensibles a los que se haya tenido acceso.
1. Se inmovilizarán todos los fondos y recursos económicos que pertenezcan a cualquier persona física o jurídica, entidad u organismo que figure en el anexo I, al igual que todos los fondos y recursos económicos que esas personas físicas o jurídicas, entidades u organismos posean, detengan o controlen.
3. El anexo I incluirá, tal y como estén definidas por el Consejo de conformidad con el artículo 5, apartado 1, de la Decisión (PESC) 2019/797, a:
las personas físicas o jurídicas, entidades u organismos que sean responsables de los ciberataques o intentos de ciberataques;
las personas físicas o jurídicas, entidades u organismos que presten ayuda financiera, técnica o material o que estén implicadas de alguna otra forma en ciberataques o tentativas de ciberataque, en particular mediante la planificación, preparación, dirección o fomento de dichos ataques, así como la participación en ellos o la ayuda a su comisión, o la facilitación de su comisión por acción u omisión;
las personas físicas o jurídicas, entidades u organismos asociados con las personas físicas o jurídicas, entidades u organismos a que se refieren las letras a) y b) del presente apartado.
1. No obstante lo dispuesto en el artículo 3, las autoridades competentes de los Estados miembros podrán autorizar la liberación de determinados fondos o recursos económicos inmovilizados o la puesta a disposición de determinados fondos o recursos económicos, en las condiciones que consideren oportunas, tras haberse cerciorado de que dichos fondos o recursos económicos:
son necesarios para satisfacer las necesidades básicas de las personas físicas enumeradas en el anexo I y de los miembros de la familia que dependan de dichas personas físicas, como el pago de alimentos, alquileres o hipotecas, medicamentos y tratamientos médicos, impuestos, primas de seguros y tasas de servicios públicos;
son necesarios para gastos extraordinarios, siempre y cuando la autoridad competente que corresponda haya notificado a las autoridades competentes de los demás Estados miembros y a la Comisión, al menos dos semanas antes de la autorización, los motivos por los cuales considera que debe concederse una autorización específica; o
2. El Estado miembro de que se trate informará a los demás Estados miembros y a la Comisión de cualquier autorización concedida en virtud del apartado 1 en el plazo de dos semanas tras la autorización.
1. Como excepción a lo dispuesto en el artículo 3, apartado 1, las autoridades competentes de los Estados miembros podrán autorizar la liberación de determinados fondos o recursos económicos inmovilizados siempre que concurran las siguientes condiciones:
que los fondos o recursos económicos sean objeto de una resolución arbitral pronunciada antes de la fecha en que la persona física o jurídica, entidad u organismo a que se refiere el artículo 3 haya sido incluido en la lista del anexo I, o de una resolución judicial o administrativa adoptada en la Unión, o de una resolución judicial con fuerza ejecutiva en el Estado miembro de que se trate, dictada antes o después de esa fecha;
que los fondos o recursos económicos vayan a utilizarse exclusivamente para satisfacer las obligaciones impuestas por tales resoluciones o reconocerse como válidas en tales resoluciones, dentro de los límites establecidos por la legislación y la reglamentación aplicable a los derechos de los acreedores;
que la resolución no beneficie a una persona física o jurídica, entidad u organismo enumerado en el anexo I; y
1. Como excepción a lo dispuesto en el artículo 3, apartado 1, y siempre que un pago sea debido por una persona física o jurídica, entidad u organismo que figure en el anexo I en virtud de un contrato o acuerdo celebrado por la persona física o jurídica, entidad u organismo en cuestión, o de una obligación que le fuera aplicable, antes de la fecha en que se haya incluido en el anexo I a dicha persona física o jurídica, entidad u organismo, las autoridades competentes de los Estados miembros podrán autorizar, en las condiciones que consideren oportunas, la liberación de determinados fondos o recursos económicos inmovilizados, siempre que la autoridad competente en cuestión haya considerado que:
los fondos o los recursos económicos serán utilizados para efectuar un pago por una persona física o jurídica, una entidad o un organismo contemplados en el anexo I; y
el pago no infringe el artículo 3, apartado 2.
1. El artículo 3, apartado 2, no impedirá el abono en las cuentas inmovilizadas por instituciones financieras o crediticias que reciban fondos transferidos por terceros a la cuenta de una persona física o jurídica, entidad u organismo que figure en la lista, siempre que los abonos a dichas cuentas también se inmovilicen. Las entidades financieras o de crédito informarán sin demora a la autoridad competente pertinente sobre cualquier operación de ese tipo.
2. El artículo 3, apartado 2, no se aplicará al abono en cuentas inmovilizadas de:
pagos en virtud de contratos o acuerdos celebrados u obligaciones contraídas antes de la fecha en que la persona física o jurídica, entidad u organismo a que se refiere el artículo 3, apartado 1, se haya incluido en el anexo I; o
pagos adeudados en virtud de una resolución judicial, administrativa o arbitral adoptada en un Estado miembro o ejecutiva en el Estado miembro de que se trate;
siempre que dichos intereses, otros beneficios y pagos permanezcan sujetos a las medidas establecidas en el artículo 3, apartado 1.
transmitirán inmediatamente cualquier información que facilite el cumplimiento del presente Reglamento, como información sobre las cuentas y los importes inmovilizados de conformidad con el artículo 3, apartado 1, a la autoridad competente del Estado miembro de residencia o establecimiento, y remitirán esa información a la Comisión, directamente o a través de los Estados miembros; y
cooperarán con las autoridades competentes en toda verificación de la información a que se refiere la letra a).
Queda prohibido participar de manera consciente y deliberada en acciones cuyo objeto o efecto sea eludir las medidas a que se refiere el artículo 3.
1. No se satisfará demanda alguna relacionada con un contrato o transacción cuya ejecución se haya visto afectada, directa o indirectamente, total o parcialmente, por las medidas impuestas por el presente Reglamento, incluidas las demandas de indemnización o cualquier otra demanda de este tipo, tales como una demanda de compensación o una demanda a título de garantía, en particular cualquier demanda que tenga por objeto la prórroga o el pago de una fianza, una garantía o una indemnización, especialmente garantías o indemnizaciones financieras, con independencia de la forma que adopte, si la presentan:
cualquier persona física o jurídica, entidad u organismo que actúe a través o en nombre de una de las personas físicas o jurídicas, entidades u organismos a que se refiere la letra a).
los fondos inmovilizados con arreglo al artículo 3 y las autorizaciones concedidas en virtud de los artículos 4, 5 y 6;
los problemas de violación del presente Rglamento y de su ejecución, y las sentencias dictadas por los tribunales nacionales.
2. El Consejo comunicará la decisión a que se refiere el apartado 1, junto con los motivos de inclusión en la lista, a la persona física o jurídica, entidad u organismo de que se trate, bien directamente si se conoce su dirección, o mediante la publicación de un anuncio, ofreciendo a dicha persona física o jurídica, entidad u organismo la oportunidad de presentar observaciones.
3. En caso de que se formulen observaciones o se presenten nuevas pruebas sustanciales, el Consejo reconsiderará la decisión a que se refiere el apartado 1 e informará a la persona física o jurídica, entidad u organismo de que se trate en consecuencia.
4. La lista del anexo I se revisará periódicamente y como mínimo cada doce meses.
1. En el anexo I se expondrán los motivos de la inclusión en la lista de las personas físicas o jurídicas, entidades u organismos afectados.
2. El anexo I contendrá, cuando esté disponible, la información necesaria para identificar a las personas físicas o jurídicas, entidades u organismos de que se trate. Por lo que respecta a las personas físicas, esa información podrá incluir el nombre, los apellidos y los alias, el lugar y fecha de nacimiento, la nacionalidad, el número de pasaporte o de documento de identidad, el sexo, la dirección postal, si se conoce, y el cargo o la profesión. Respecto de las personas jurídicas, entidades u organismos, dicha información podrá incluir el nombre, la fecha y el lugar de registro, el número de registro y el domicilio social.
2. Los Estados miembros notificarán a la Comisión las normas mencionadas en el apartado 1 sin demora tras la entrada en vigor del presente Reglamento, así como cualquier modificación posterior.
añadir el contenido del anexo I en la lista electrónica consolidada de personas, grupos y entidades sujetos a sanciones financieras de la Unión y en el mapa interactivo de sanciones, ambos de acceso público;
2. A efectos del presente Reglamento, queda designado el servicio de la Comisión citado en el anexo II como «responsable del tratamiento» en la Comisión a efectos del artículo 3, apartado 8, del Reglamento (UE) n.o 2018/1725, para garantizar que las personas físicas afectadas puedan ejercer sus derechos conforme a dicho Reglamento.
1. Los Estados miembros designarán a las autoridades competentes a que se refiere el presente Reglamento y las mencionarán en los sitios web que figuran en el anexo II. Los Estados miembros notificarán a la Comisión todo cambio de las direcciones de sus sitios web enumerados en el anexo II.
a toda persona jurídica, entidad u organismo en relación con cualquier actividad comercial efectuada, en su totalidad o en parte, en la Unión.