DECISIÓN (UE) 2018/1996 DE LA COMISIÓN DE 14 DE DICIEMBRE DE 2018 POR LA QUE SE ESTABLECEN LAS NORMAS INTERNAS RELATIVAS A LA COMUNICACIÓN DE INFORMACIÓN A LOS INTERESADOS Y LA LIMITACIÓN DE ALGUNOS DE SUS DERECHOS EN EL CONTEXTO DEL TRATAMIENTO DE DATOS PERSONALES PARA FINES DE INVESTIGACIÓN DE DEFENSA COMERCIAL Y DE POLÍTICA COMERCIAL
LA COMISIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea 
, y en particular su artículo 249, apartado 1,
Considerando lo siguiente:
(1) La Comisión Europea, en el marco de su mandato en virtud de los Reglamentos (UE) 2015/478 ( 1 ), (UE) 2015/755 ( 2 ), (UE) 2016/1036 ( 3 ) y (UE) 2016/1037 ( 4 ) del Parlamento Europeo y del Consejo, ejecuta la política comercial de la Unión.
(2) En particular, durante las investigaciones de defensa comercial se tratan inevitablemente datos personales a tenor del artículo 3, punto 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo ( 5 ). La Comisión recopila información de interés para la investigación, incluidos datos personales. Sin perjuicio de la obligación de proteger la información confidencial, toda la información proporcionada por cualquiera de las partes en una investigación debe ponerse inmediatamente a disposición de las demás partes que participen en la investigación mediante el acceso al expediente no confidencial. Esta transmisión de datos es necesaria y se requiere jurídicamente para la defensa de alegaciones jurídicas de las partes interesadas. La responsabilidad principal de las funciones de la Comisión en el ámbito de la política comercial y de la defensa comercial recae en la Dirección General de Comercio (“DG Comercio”), cuyas entidades organizativas actúan como responsables del control.
(3) Los datos personales tratados por la Comisión son, por ejemplo, datos de identificación, de contacto, profesionales, y los relativos al objeto de una investigación o presentados en relación con dicho objeto. Los datos personales se almacenan en un entorno electrónico seguro para impedir el acceso ilícito a los datos o su transferencia ilícita a personas ajenas a la Comisión. Determinados datos personales pueden incluirse en un entorno electrónico separado para que accedan a ellos un número regulado de partes interesadas en la investigación. Los datos personales se conservan en los servicios de la Comisión responsables de la investigación hasta que esta concluya. El período de conservación administrativa es de cinco años a partir del final de la investigación. Al final del período de conservación, la información relacionada con el caso, incluidos los datos personales, se transfiere a los archivos históricos de la Comisión ( 6 ).
(4) En el desempeño de sus funciones, la Comisión está obligada a respetar los derechos de las personas físicas relativos al tratamiento de los datos personales reconocidos en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16, apartado 1, del Tratado, así como los derechos estipulados en el Reglamento (UE) 2018/1725. Asimismo, se exige a la Comisión que cumpla las normas estrictas de confidencialidad establecidas en el artículo 19 del Reglamento (UE) 2016/1036, el artículo 29 del Reglamento (UE) 2016/1037, el artículo 8 del Reglamento (UE) 2015/478 y el artículo 5 del Reglamento (UE) 2015/755.
(5) En determinadas circunstancias, es necesario conciliar los derechos de los interesados en virtud del Reglamento (UE) 2018/1725 con la necesidad de eficacia de las investigaciones y con el pleno respeto de los derechos fundamentales y las libertades de otros interesados. A tal efecto, el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725 ofrece a la Comisión la posibilidad de limitar la aplicación de los artículos 14 a 17, 19, 20 y 35, así como el principio de transparencia establecido en el artículo 4, apartado 1, letra a), en la medida en que sus disposiciones se correspondan con los derechos y obligaciones que disponen los artículos 14 a 17, 19, 20 y 35 de dicho Reglamento.
(6) Para garantizar la eficacia de las investigaciones de defensa comercial a la vez que se respetan los niveles de protección de datos personales previstos en el Reglamento (UE) 2018/1725, que sustituyó al Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo ( 1 ), es necesario adoptar normas internas que permitan a la Comisión limitar los derechos de los interesados con arreglo a lo dispuesto en el artículo 25, apartado 1, letras c), g) y h), del Reglamento (UE) 2018/1725.
(7) Por tanto, es necesario establecer normas internas por las que se rijan todas las operaciones de tratamiento realizadas por la Comisión en el desempeño de su función de investigación en el ámbito de la defensa comercial.
Dichas normas deben aplicarse a las operaciones de tratamiento efectuadas antes de la apertura de una investigación, durante las investigaciones y durante la supervisión del seguimiento de los resultados de las investigaciones.
(8) A fin de cumplir lo dispuesto en los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, la Comisión debe informar a todas las personas acerca de las actividades que impliquen el tratamiento de sus datos personales y acerca de sus derechos de manera coherente y transparente, mediante un aviso de protección de datos publicado en el sitio web de la Comisión. Cuando proceda, la Comisión debe aportar garantías adicionales para garantizar que se informe a los interesados de forma individual y adecuada.
(9) Sobre la base del artículo 25 del Reglamento (UE) 2018/1725, la Comisión también puede limitar la comunicación de información a los interesados y el ejercicio de otros derechos de los interesados, a fin de proteger sus propias investigaciones de defensa comercial así como los derechos de otras personas relacionadas con dichas investigaciones.
(10) Además, para mantener una cooperación eficaz, es posible que la Comisión necesite limitar la aplicación de los derechos de los interesados para proteger las operaciones de tratamiento de otras instituciones, órganos y organismos de la Unión, o de las autoridades competentes de los Estados miembros. A tal efecto, la Comisión debe consultar a dichas instituciones, órganos, organismos y autoridades sobre los motivos pertinentes para imponer limitaciones y sobre la necesidad y proporcionalidad de dichas limitaciones.
(11) También es posible que la Comisión tenga que limitar la comunicación de información a los interesados y la aplicación de otros derechos de los interesados en relación con los datos personales recibidos de terceros países u organizaciones internacionales, a fin de cumplir su obligación de cooperación con dichos países u organizaciones y proteger así un objetivo importante de la Unión de interés público general. No obstante, en determinadas circunstancias, el interés o los derechos fundamentales del interesado pueden prevalecer sobre el interés de la cooperación internacional.
(12) La Comisión debe gestionar todas las limitaciones de forma transparente y consignar cada aplicación de limitaciones en el sistema de registro correspondiente.
(13) De conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, los responsables pueden aplazar, omitir o denegar que se comunique al interesado la información sobre los motivos para la aplicación de una limitación si dicha comunicación pusiera en peligro de alguna manera la finalidad de la limitación. Este es el caso, en particular, de las limitaciones de los derechos contemplados en los artículos 16 y 35 del Reglamento (UE) 2018/1725.
(14) La Comisión debe examinar periódicamente las limitaciones impuestas para garantizar que los derechos de los interesados a ser informados de conformidad con los artículos 16 y 35 del Reglamento (UE) 2018/1725 se limiten solo en caso de que dichas limitaciones sean necesarias para permitir que la Comisión lleve a cabo sus investigaciones de defensa comercial.
(15) Cuando se limiten otros derechos de los interesados, el responsable debe evaluar caso por caso si la comunicación de la limitación pondría en peligro su finalidad.
(16) El delegado de protección de datos de la Comisión Europea debe realizar un examen independiente de la aplicación de las limitaciones, con objeto de velar por el cumplimiento de la presente Decisión.
(17) El Reglamento (UE) 2018/1725 sustituye al Reglamento (CE) n.o 45/2001, sin ningún período de transición, a partir de la fecha de su entrada en vigor. En el Reglamento (CE) n.o 45/2001 se preveía la posibilidad de aplicar limitaciones a determinados derechos de los interesados. Para evitar que se pongan en peligro la política comercial y el desarrollo de las investigaciones de defensa comercial, la presente Decisión debe ser aplicable a partir de la fecha de entrada en vigor del Reglamento (UE) 2018/1725.
(18) El Supervisor Europeo de Protección de Datos emitió un dictamen el 30 de noviembre de 2018.
HA ADOPTADO LA PRESENTE DECISIÓN:
Artículo 1 Objeto y ámbito de aplicación
1. La presente Decisión establece las normas que deberá seguir la Comisión para informar a los interesados del tratamiento de sus datos de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725 cuando realice investigaciones de política comercial y de defensa comercial.
También establece las condiciones en las que la Comisión podrá limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con el artículo 25, apartado 1, letras c), g) y h), de dicho Reglamento.
2. La presente Decisión es aplicable al tratamiento de datos personales que realice la Comisión para llevar a cabo sus actividades o en relación con ellas, a fin de cumplir las funciones de la Comisión en virtud de los Reglamentos (UE) 2016/1036, (UE) 2016/1037, (UE) 2015/478 y (UE) 2015/755.
3. La presente Decisión es aplicable al tratamiento de datos personales por parte de todos los servicios de la Comisión en la medida en que traten datos personales que figuran en información que deban transmitir a la Comisión, o datos personales que ya hayan sido tratados para las actividades a las que se refiere el apartado 2 del presente artículo o en relación con ellas.
Artículo 2 Excepciones y limitaciones aplicables
1. Cuando la Comisión ejerza sus funciones con respecto a los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, considerará si es aplicable alguna de las excepciones establecidas en dicho Reglamento.
2. Sin perjuicio de lo dispuesto en los artículos 3 a 7 de la presente Decisión, la Comisión podrá limitar la aplicación de los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, así como del principio de transparencia establecido en el artículo 4, apartado 1, letra a), de dicho Reglamento, en la medida en que sus disposiciones se correspondan con los derechos y obligaciones que disponen los artículos 14 a 17, 19, 20 y 35 de dicho Reglamento, cuando el ejercicio de dichos derechos y obligaciones ponga en peligro el objetivo de las actividades de política comercial y de defensa comercial de la Comisión, o afecte negativamente a los derechos y libertades de otros interesados.
3. Sin perjuicio de lo dispuesto en los artículos 3 a 7 de la presente Decisión, la Comisión también podrá limitar los derechos y obligaciones contemplados en el apartado 2 del presente artículo en lo que se refiere a los datos personales obtenidos de otras instituciones, órganos y organismos de la Unión, autoridades competentes de los Estados miembros o de terceros países o de organizaciones internacionales, en las circunstancias siguientes:
a) cuando el ejercicio de esos derechos y obligaciones pueda ser limitado por otras instituciones, órganos y organismos de la Unión sobre la base de otros actos estipulados en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento, o de conformidad con el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo ( 1 ) o el Reglamento (UE) 2017/1939 del Consejo ( 2 );
b) cuando el ejercicio de esos derechos y obligaciones pueda ser limitado por las autoridades competentes de los Estados miembros sobre la base de los motivos contemplados en el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo ( 3 ), o en virtud de las medidas nacionales de transposición del artículo 13, apartado 3, del artículo 15, apartado 3, o del artículo 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo ( 4 );
c) cuando el ejercicio de esos derechos y obligaciones pueda poner en peligro la cooperación de la Comisión con terceros países u organizaciones internacionales en la realización de investigaciones de defensa comercial.
Antes de aplicar limitaciones en las circunstancias referidas en las letras a) y b) del párrafo primero, la Comisión consultará a las instituciones, órganos y organismos pertinentes de la Unión o a las autoridades competentes de los Estados miembros, a menos que sea evidente para la Comisión que la aplicación de una limitación está prevista en uno de los actos que figuran en dichas letra s).
La letra c) del párrafo primero no será aplicable cuando los intereses o los derechos y libertades fundamentales de los interesados prevalezcan sobre el interés de la Comisión en cooperar con terceros países u organizaciones internacionales.
4. Los apartados 1, 2 y 3 se entienden sin perjuicio de la aplicación de otras decisiones de la Comisión por las que se establecen normas internas sobre la comunicación de información a los interesados y la limitación de determinados derechos en virtud del artículo 25 del Reglamento (UE) 2018/1725 y del artículo 23 del Reglamento interno de la Comisión.
Artículo 3 Comunicación de información a interesados
1. La Comisión publicará en su sitio web un aviso de protección de datos que informe a todos los interesados sobre las actividades de defensa comercial que impliquen el tratamiento de sus datos personales. Cuando proceda, la Comisión garantizará que se informe a los interesados de forma individual y adecuada.
2. Cuando la Comisión limite, total o parcialmente, la comunicación de información a interesados cuyos datos se traten para fines de investigación de política comercial o de defensa comercial, consignará y registrará las razones de las limitaciones de conformidad con el artículo 6.
Artículo 4 Derecho de acceso de los interesados, derecho de supresión y derecho a la limitación del tratamiento
1. Cuando la Comisión limite, total o parcialmente, el derecho de acceso a los datos personales por parte de los interesados, el derecho de supresión o el derecho a la limitación del tratamiento contemplados en los artículos 17, 19 y 20, respectivamente, del Reglamento (UE) 2018/1725, informará a los interesados, en su respuesta a la solicitud de acceso, de supresión o de limitación del tratamiento, sobre la limitación aplicada y los motivos principales de dicha limitación, y sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer recurso judicial ante el Tribunal de Justicia de la Unión Europea.
2. La comunicación de la información relativa a los motivos de la limitación contemplada en el apartado 1 podrá aplazarse, omitirse o denegarse durante el período en el que dicha comunicación socave el objetivo de la limitación.
3. La Comisión consignará los motivos de la limitación de conformidad con el artículo 6.
4. Cuando el derecho de acceso se limite total o parcialmente, el interesado ejercerá su derecho de acceso a través de la mediación del Supervisor Europeo de Protección de Datos, de conformidad con el artículo 25, apartados 6, 7 y 8, del Reglamento (UE) 2018/1725.
Artículo 5 Comunicación de violaciones de la seguridad de los datos personales a los interesados
Cuando la Comisión limite la comunicación de una violación de la seguridad de los datos personales al interesado, tal y como se contempla en el artículo 35 del Reglamento (UE) 2018/1725, consignará y registrará los motivos de la limitación, de conformidad con el artículo 6 de la presente Decisión.
Artículo 6 Consignación y registro de las limitaciones
1. La Comisión consignará los motivos de cualquier limitación aplicada en virtud de la presente Decisión, incluida una evaluación de la necesidad y la proporcionalidad de la limitación, teniendo en cuenta los elementos pertinentes del artículo 25, apartado 2, del Reglamento (UE) 2018/1725.
Para tal fin, se consignará la manera en la que el ejercicio del derecho pondría en peligro el objetivo de las investigaciones de política comercial y de defensa comercial, o de las limitaciones aplicadas en virtud del artículo 2, apartado 2 o 3, o afectaría negativamente a los derechos y libertades de otros interesados.
2. Se registrarán la consignación y, cuando proceda, los documentos que contengan elementos subyacentes de hecho y de Derecho, que se pondrán a disposición del Supervisor Europeo de Protección de Datos si así lo solicita.
Artículo 7 Duración de las limitaciones
1. Las limitaciones contempladas en los artículos 3, 4 y 5 seguirán siendo aplicables mientras sigan teniendo vigencia los motivos que las justifican.
2. Cuando los motivos de una limitación contemplada en los artículos 3 o 5 dejen de tener vigencia, la Comisión levantará la limitación y facilitará al interesado los motivos principales de la limitación. Asimismo, la Comisión informará al interesado de la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer recurso judicial ante el Tribunal de Justicia de la Unión Europea.
3. La Comisión examinará la aplicación de la limitación contemplada en los artículos 3 y 5 cada seis meses a partir de su adopción y al cierre de la investigación. A partir de esa fecha, la Comisión o el responsable evaluará una vez al año la necesidad de mantener cualquier limitación o aplazamiento.
Artículo 8 Examen por parte del delegado de protección de datos de la Comisión Europea
1. Cada vez que se limiten los derechos de los interesados de conformidad con la presente Decisión, se informará al delegado de protección de datos sin demoras indebidas. Previa solicitud, se dará al delegado de protección de datos acceso al registro y a cualquier documento que contenga elementos subyacentes de hecho y de Derecho.
2. El delegado de protección de datos puede solicitar un examen de las limitaciones. Se informará por escrito al delegado de protección de datos sobre el resultado del examen solicitado.
Artículo 9 Entrada en vigor
La presente Decisión entrará en vigor el día de su publicación en el Diario Oficial de la Unión Europea.
