Decisión (UE) 2024/1245 de la Comisión, de 2 de mayo de 2024, por la que se establecen normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos por parte de la Comisión en el contexto de las actividades del Servicio de Mediación, - Diario Oficial de la Unión Europea, de 03-05-2024

DECISIÓN (UE) 2024/1245 DE LA COMISIÓN

de 2 de mayo de 2024

por la que se establecen normas internas relativas a la comunicación de información a los interesados y a la limitación de algunos de sus derechos por parte de la Comisión en el contexto de las actividades del Servicio de Mediación

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.º 45/2001 y la Decisión n.º 1247/2002/CE (1), y en particular su artículo 25, apartado 1,

Considerando lo siguiente:

(1)La Decisión de la Comisión C(2024) 1420 (2) relativa al Servicio de Mediación establece que este es independiente de la Comisión. Su misión consiste en facilitar la resolución amistosa de los conflictos laborales o los relativos a los derechos y obligaciones de los miembros del personal de la Comisión sujetos al Estatuto de los funcionarios de la Unión Europea (en lo sucesivo, «Estatuto de los funcionarios») y al régimen aplicable a los otros agentes de la Unión Europea (en lo sucesivo, «ROA»), establecidos por el Reglamento (CEE, Euratom, CECA) n.º 259/68 del Consejo (3).

(2)La Decisión C(2024) 1420 establece un procedimiento informal mediante el cual cualquier persona incluida en su ámbito de aplicación puede solicitar la asistencia del Servicio de Mediación.

(3)La Comisión y, en el contexto de la presente Decisión, el Servicio de Mediación, en su nombre, contribuyen a un lugar de trabajo productivo y respetuoso, resolviendo informalmente los conflictos antes de su escalada y evitando que surjan situaciones similares en el seno de la institución. El Servicio de Mediación proporciona asesoramiento confidencial informal a cualquier miembro del personal que solicite su asistencia («la persona solicitante»). Con el consentimiento de la persona solicitante, también podrá ponerse en contacto con cualquier otra parte identificada por esta (en lo sucesivo, «la persona afectada») en el marco de una mediación. La mediación requiere el consentimiento de todas las partes implicadas. El Servicio de Mediación actúa estrictamente de manera informal. No está facultada para adoptar decisiones en perjuicio de particulares.

(4)Para cumplir sus funciones en el ámbito de la mediación, la Comisión recopila y trata información y varias categorías de datos personales de los miembros del personal y otras personas incluidas en el ámbito de aplicación de la Decisión C(2024) 1420, incluidos los datos de identificación, la información de contacto, la información sobre las funciones y tareas profesionales y la información sobre la conducta privada y profesional y los datos de rendimiento. La Comisión también podrá tratar los datos personales sensibles a que se refieren los artículos 10 y 11 del Reglamento (UE) 2018/1725, facilitados voluntariamente por la persona solicitante.

(5)Los datos personales se almacenan en un entorno físico y electrónico seguro que impide el acceso o la transferencia ilícita de datos a personas que no deban conocerlos. Una vez finalizado su tratamiento, los datos se conservan de conformidad con el artículo 6, apartado 11, de la Decisión C(2024) 1420.

(6)Con arreglo al Reglamento (UE) 2018/1725, la Comisión, como responsable del tratamiento, está obligada a facilitar información a los interesados sobre dichas actividades de tratamiento y a respetar sus derechos como titulares de datos.

(7)La Comisión, en el desempeño de sus funciones, está obligada a respetar los derechos de las personas físicas en relación con el tratamiento de datos de carácter personal, reconocidos en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea, así como los derechos establecidos en el Reglamento (UE) 2018/1725. Al mismo tiempo, la Comisión, en el marco de sus actividades como Servicio de Mediación, está obligada a respetar normas estrictas de confidencialidad con respecto a las personas solicitantes y, por lo tanto, podría verse obligada a buscar un equilibrio entre los derechos de los interesados y los derechos y libertades fundamentales de otros interesados.

(8)Es fundamental para la persona solicitante que se preserve la confidencialidad de las comunicaciones y que no se emprenda ninguna acción sin su consentimiento. Cuando una persona consulte al Servicio de Mediación para obtener asesoramiento confidencial en el contexto de un conflicto y no dé su consentimiento para que el Servicio de Mediación se ponga en contacto con la persona afectada con vistas a una mediación, el Servicio de Mediación no puede informar a la persona afectada. El suministro de dicha información haría imposible u obstaculizaría gravemente la consecución de los objetivos perseguidos por el Servicio de Mediación, en particular el proporcionar un espacio seguro en el que la persona solicitante pueda debatir abiertamente su situación y decidir si inicia un proceso de mediación con la persona afectada. Por consiguiente, la Comisión puede aplicar la excepción establecida en el artículo 16, apartado 5, letra b), del Reglamento (UE) 2018/1725 para proteger la confidencialidad del tratamiento, tal como se establece en el artículo 5, apartado 1, de la Decisión C(2024) 1420.

(9)En determinadas circunstancias, es necesario conciliar los derechos de los interesados amparados por el Reglamento (UE) 2018/1725 con la necesidad de garantizar la que la Comisión lleva a cabo su función de proporcionar consejo informal confidencial, respetando plenamente los derechos y libertades fundamentales de otros interesados al mismo tiempo. A tal efecto, el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725 ofrece a la Comisión la posibilidad de limitar, bajo estrictas condiciones, la aplicación de los artículos 14 a 17, 19, 20 y 35, así como el principio de transparencia establecido en el artículo 4, apartado 1, letra a), en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19, 20 y 35 de dicho Reglamento.

(10)Este podría ser el caso, en particular, cuando la persona solicitante facilite indirectamente información relativa a otras personas afectadas. En tal caso, la Comisión podrá decidir limitar determinados derechos de la persona afectada cuando el ejercicio de estos derechos dé lugar a la revelación de información sobre una persona solicitante que no haya dado su consentimiento para que el Servicio de Mediación emprenda acciones para facilitar el diálogo con la persona afectada. En tal caso, la Comisión puede decidir limitar el derecho de acceso a la información relativa a la persona afectada u otros derechos de esta para proteger los derechos y libertades de la persona solicitante. Para ello, la Comisión puede ampararse en el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725.

(11)Puede ser necesario para proteger la información confidencial relativa a una persona solicitante. En tales casos, la Comisión podría tener que limitar el acceso a la identidad, las declaraciones y otros datos personales de la persona solicitante, incluido el mero hecho de estar en contacto con el Servicio de Mediación, a fin de proteger sus derechos y libertades.

(12)También podría ser necesario limitar el derecho de información de la persona solicitante cuando el Servicio de Mediación deba alertar al Servicio Médico en los casos en que sea necesaria una actuación urgente para la protección de la integridad física y psicológica de la persona solicitante. En tal caso, el Servicio de Mediación puede decidir no informar a la persona solicitante sobre dicha alerta para que el Servicio Médico pueda evaluar las medidas de asistencia sanitaria o social que puedan ofrecerse a dicha persona. Para ello, la Comisión puede ampararse en el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725. En esta situación concreta, se protegerían los derechos de la persona solicitante, ya que el Servicio Médico mantendría la información médica en secreto y se informaría a la persona solicitante ya que el Servicio Médico se pondría en contacto con ellos si lo considerase necesario.

(13)La Decisión C(2024) 1420 exige a la Comisión que garantice que las solicitudes de asistencia presentadas al Servicio de Mediación se tramiten confidencialmente. Para ello, al tiempo que se respetan las normas de protección de datos personales contempladas en el Reglamento (UE) 2018/1725, es preciso adoptar normas internas que permitan a la Comisión limitar los derechos de los interesados de acuerdo con el artículo 25, apartado 1), letra h), del Reglamento (UE) 2018/1725.

(14)Las normas internas deben aplicarse a todas las operaciones de tratamiento llevadas a cabo por la Comisión en el ejercicio de sus funciones en relación con la tramitación de las solicitudes presentadas con arreglo al artículo 6 de la Decisión C(2024) 1420.

(15)Con el fin de cumplir lo dispuesto en los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, la Comisión debe informar a cualquier persona interesada de las actividades que lleve a cabo que impliquen el tratamiento de los datos personales y los derechos de dicha persona, de manera transparente y coherente, mediante la publicación de un aviso de protección de datos en el sitio web de la Comisión. Cuando proceda, la Comisión debe informar individualmente a la persona solicitante por los medios adecuados. Cuando la persona solicitante haya dado su consentimiento para ponerse en contacto con otra persona afectada, la Comisión debe informar individualmente, por los medios adecuados, a esta última.

(16)La Comisión solo debe aplicar limitaciones cuando estas respeten la esencia de los derechos y libertades fundamentales, sean estrictamente necesarias y constituyan una medida proporcionada en una sociedad democrática. La Comisión debe motivar dichas limitaciones.

(17)En aplicación de los principios de transparencia, equidad y rendición de cuentas, la Comisión debe gestionar todas las limitaciones de manera transparente y consignar cada aplicación de limitaciones en el sistema de registro correspondiente.

(18)El artículo 25, apartado 6, del Reglamento (UE) 2018/1725 obliga al responsable del tratamiento a informar a los interesados de las razones principales que justifican la limitación y de su derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos.

(19)De conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, la Comisión puede aplazar, omitir o denegar la comunicación al interesado de información sobre los principales motivos de la aplicación de una limitación si el hecho de comunicar esta información fuera a dejar sin efecto la limitación.

(20)Cuando se limiten los derechos de los interesados, la Comisión debe evaluar en cada caso si la comunicación de la limitación puede dejarla sin efecto.

(21)La Comisión debe levantar la limitación tan pronto como las circunstancias que la justifiquen dejen de ser aplicables y debe evaluar dichas condiciones de forma periódica. En determinados casos, puede resultar necesario mantener una limitación mientras la Comisión siga conservando los datos personales en cuestión. En tal caso, el interesado no debe ser informado del tratamiento de sus datos personales. Esta situación puede darse, en particular, cuando exista un alto riesgo de que el ejercicio de sus derechos por la persona afectada menoscabe los derechos y libertades de terceros. Este es el caso, en particular, cuando la persona solicitante no dé su consentimiento a que el Servicio de Mediación se ponga en contacto con la persona afectada para iniciar una mediación informal entre ellas.

(22)La Comisión debe revisar la aplicación de las limitaciones cuando la persona solicitante dé su consentimiento para participar en una mediación informal o, a más tardar, cuando se archive una solicitud de asistencia.

(23)El artículo 16, apartado 5, el artículo 17, apartado 4, el artículo 19, apartado 3, y el artículo 20, apartado 2, del Reglamento (UE) 2018/1725 establece excepciones al derecho a la información de los interesados. Si resultan aplicables estas excepciones, la Comisión no necesitará aplicar una limitación con arreglo a la presente Decisión.

(24)Para garantizar la protección de los derechos y libertades de las personas interesadas y de conformidad con el artículo 44, apartado 1, del Reglamento (UE) 2018/1725, la Comisión debe implicar al coordinador o coordinadores de protección de datos pertinentes y al delegado de protección de datos de la Comisión Europea durante todo el procedimiento y documentar esta consulta. En particular, es preciso consultar al coordinador de la protección de datos del departamento de la Comisión afectado antes de la aplicación de cualquier limitación y comprobar la conformidad de esta con la presente Decisión.

(25)El delegado de la protección de datos de la Comisión Europea debe realizar una revisión independiente de la aplicación de las limitaciones, a fin de garantizar el cumplimiento de la presente Decisión.

(26)Se ha consultado al Supervisor Europeo de Protección de Datos, quien emitió su dictamen el 13 de marzo de 2024.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

Objeto y ámbito de aplicación

1. La presente Decisión se aplica al tratamiento de datos personales por parte de la Comisión como responsable del tratamiento a efectos de la tramitación de las solicitudes con arreglo al artículo 6 de la Decisión C(2024) 1420.

2. La presente Decisión establece las normas que deberá seguir la Comisión para informar a los interesados del tratamiento de sus datos de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725 cuando tramite peticiones y reclamaciones con arreglo al artículo 6 de la Decisión C(2024) 1420.

3. Asimismo, establece las condiciones en las que la Comisión puede limitar la aplicación de los artículos 4, 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, de conformidad con su artículo 25, apartado 1, letra h).

4. Las categorías de datos personales comprendidas en el ámbito de la presente Decisión incluyen datos de identificación, información de contacto, información sobre funciones y tareas profesionales e información sobre la conducta privada y profesional y el rendimiento profesional. Las personas solicitantes también podrán facilitar las categorías sensibles de datos personales a que se refieren los artículos 10 y 11 del Reglamento (UE) 2018/1725 en el contexto de la solicitud de asistencia del Servicio de Mediación en un caso específico.

Artículo 2

Limitaciones aplicables

1. A reserva de lo dispuesto en los artículos 3 a 9 de la presente Decisión, la Comisión podrá limitar la aplicación de los artículos 14 a 17, 19, 20 y 35 del Reglamento (UE) 2018/1725, así como el principio de transparencia establecido en su artículo 4, apartado 1, letra a), en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 17, 19, 20 y 35. La Comisión podrá actuar en este sentido cuando el ejercicio de dichos derechos y obligaciones pueda afectar negativamente a la protección de los interesados o a los derechos y libertades de terceros, de conformidad con el artículo 25, apartado 1, letra h), de dicho Reglamento.

2. El apartado 1 se entenderá sin perjuicio de la aplicación de otras decisiones de la Comisión que establezcan normas internas sobre la comunicación de información a los interesados y la limitación de determinados derechos con arreglo al artículo 25 del Reglamento (UE) 2018/1725.

3. Toda limitación de los derechos y obligaciones a que se refiere el apartado 1 deberá respetar el contenido esencial de los derechos y libertades fundamentales y será necesaria y proporcionada, teniendo en cuenta los riesgos para los derechos y libertades de los interesados.

4. Antes de aplicar limitaciones, la Comisión llevará a cabo una evaluación caso por caso de su necesidad y proporcionalidad. Las limitaciones serán las estrictamente necesarias para alcanzar su objetivo.

Artículo 3

Comunicación de información a los interesados

1. La Comisión publicará en su sitio web un aviso de protección de datos que informará a todos los interesados de sus actividades que impliquen el tratamiento de los datos personales de estos a los efectos de tramitar peticiones presentadas con arreglo al artículo 6 de la Decisión C(2024) 1420. La notificación también proporcionará información sobre la posibilidad de limitar los derechos de los interesados de conformidad con los artículos 2, 3, 4 y 5 de la presente Decisión, así como sobre los derechos que pueden limitarse, los motivos por los que pueden aplicarse las limitaciones y su posible duración.

2. La Comisión informará individualmente, por los medios adecuados, a las personas solicitantes del tratamiento de sus datos personales. La Comisión también informará individualmente, por los medios adecuados, a la persona afectada cuando la persona solicitante haya dado su consentimiento a una mediación informal con la persona afectada.

3. Cuando la Comisión limite, de conformidad con el artículo 2, total o parcialmente, la comunicación de la información a que se refiere el apartado 2 a las personas afectadas cuyos datos personales sean tratados con el fin de tramitar las solicitudes con arreglo al artículo 6 de la Decisión C(2024) 1420, consignará y registrará los motivos de la limitación de conformidad con el artículo 6 de la presente Decisión.

Artículo 4

Derecho de acceso de los interesados, derecho de supresión y derecho a la limitación del tratamiento

1. Cuando la Comisión limite, total o parcialmente, el derecho de acceso de los interesados a sus datos personales, el derecho de supresión o el derecho a la limitación del tratamiento a que se refieren los artículos 17, 19 y 20 del Reglamento (UE) 2018/1725, respectivamente, informará al interesado afectado, por escrito y sin demora injustificada, en su respuesta a la solicitud de acceso, supresión o limitación del tratamiento, de lo siguiente:

a)la limitación impuesta y los motivos principales de dicha limitación, y

b)la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea.

2. La comunicación de la información sobre los motivos de la limitación a que se refiere el apartado 1 podrá aplazarse, omitirse o denegarse en la medida en que deje sin efecto la limitación.

3. La Comisión consignará los motivos de la limitación conforme a lo dispuesto en el artículo 6.

4. Cuando el derecho de acceso se limite total o parcialmente, el interesado podrá ejercer su derecho de acceso a través de la mediación del Supervisor Europeo de Protección de Datos, de conformidad con el artículo 25, apartados 6, 7 y 8, del Reglamento (UE) 2018/1725.

Artículo 5

Comunicación de una violación de la seguridad de los datos personales al interesado

Cuando la Comisión tenga la obligación de comunicar al interesado alguna violación de la seguridad de los datos personales tal como establece el artículo 35 del Reglamento (UE) 2018/1725, podrá, en casos excepcionales, limitar dicha comunicación total o parcialmente. La Comisión consignará y registrará los motivos de la limitación conforme a lo dispuesto en el artículo 6 de la presente Decisión. La Comisión comunicará la consignación al Supervisor Europeo de Protección de Datos en el momento de la notificación de la violación de la seguridad de los datos personales.

Artículo 6

Consignación y registro de las limitaciones

1. La Comisión consignará los motivos de toda limitación impuesta con arreglo a la presente Decisión, incluida la evaluación de los riesgos para los derechos y libertades de los interesados que acarree la limitación en cuestión, así como la necesidad y proporcionalidad de esta, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

2. El registro indicará la medida en que el ejercicio del derecho por el interesado pueda afectar negativamente a la protección de los interesados o a los derechos y libertades de terceros, de conformidad con el artículo 25, apartado 1, letra h), del Reglamento (UE) 2018/1725.

3. Se consignará el registro y, en su caso, los documentos que contengan elementos subyacentes de hecho y de derecho. Se pondrán, previa solicitud, a disposición del Supervisor Europeo de Protección de Datos.

Artículo 7

Duración de las limitaciones

1. Las limitaciones a que se refieren los artículos 3, 4 y 5 seguirán siendo aplicables mientras lo sigan siendo los motivos que las justifiquen.

2. Cuando los motivos de una limitación contemplada en los artículos 3, 4 y 5 dejen de ser aplicables, la Comisión levantará la limitación.

3. Además, comunicará al interesado los principales motivos por los que se aplica dicha limitación y le informará sobre la posibilidad de presentar una reclamación ante el Supervisor Europeo de Protección de Datos en cualquier momento o de interponer un recurso judicial ante el Tribunal de Justicia de la Unión Europea.

4. La Comisión revisará la aplicación de las limitaciones a que se refieren los artículos 3, 4 y 5 de la presente Decisión cuando la persona solicitante dé su consentimiento para llevar a cabo una mediación informal con la persona afectada o, a más tardar, cuando se archiven las solicitudes presentadas en virtud de la Decisión C(2024) 1420. Posteriormente, la Comisión deberá supervisar cada seis meses la necesidad de mantener cualquier limitación. La revisión incluirá una evaluación de la necesidad y proporcionalidad de la limitación, teniendo en cuenta los aspectos pertinentes establecidos en el artículo 25, apartado 2, del Reglamento (UE) 2018/1725.

Artículo 8

Salvaguardias y períodos de conservación

1. La Comisión aplicará salvaguardias para prevenir los abusos y el acceso ilícito a los datos personales que sean objeto o puedan ser objeto de limitaciones, o la transferencia ilícita de estos. Dichas salvaguardias incluirán medidas técnicas y organizativas y se detallarán en caso necesario en los procedimientos internos de la Comisión. Las salvaguardias comprenderán:

a)la definición clara de las funciones, responsabilidades, derechos de acceso y fases del procedimiento;

b)un entorno electrónico seguro que impida el acceso ilícito y accidental a los datos electrónicos o la transferencia ilícita o accidental de datos electrónicos a personas no autorizadas;

c)un almacenamiento y un tratamiento seguro de los documentos en soporte papel, y

d)la debida supervisión de las limitaciones y la revisión periódica de su aplicación.

2. Los datos se conservarán de conformidad con el artículo 6, apartado 11, de la Decisión C(2024) 1420. Al final del período de conservación, la Comisión suprimirá los datos personales.

Artículo 9

Participación del coordinador de la protección de datos y del delegado de protección de datos de la Comisión

1. Se consultará al coordinador de la protección de datos nombrado para asesorar al departamento de la Comisión afectado antes de la aplicación de cualquier limitación y comprobar la conformidad de esta con la presente Decisión.

2. Sin perjuicio de lo dispuesto en el apartado 1, se informará sin demora injustificada al delegado de la protección de datos de la Comisión cada vez que se limiten los derechos de los interesados de conformidad con la presente Decisión. Se facilitará al delegado de protección de datos, previa petición, el acceso al registro pertinente y a todos los documentos que contengan elementos de hecho y de Derecho subyacentes.

3. El delegado de protección de datos podrá solicitar que se revise la aplicación de una limitación. La Comisión notificará por escrito al responsable de protección de datos el resultado de la revisión solicitada.

4. La Comisión documentará la participación del delegado de protección de datos y, cuando proceda, del coordinador de protección de datos, incluida la información que se les haya facilitado, en cada uno de los casos en los que se limiten los derechos y obligaciones contemplados en el artículo 2, apartado 2, párrafo primero.

Artículo 10

Entrada en vigor

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Hecho en Bruselas, el 2 de mayo de 2024.

Por la Comisión

La Presidenta

Ursula VON DER LEYEN

________________________________________

(1) DO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj.

(2) Decisión C(2024) 1420 de la Comisión, relativa al Servicio de Mediación y por la que se deroga la Decisión C(2002) 601.

(3) Reglamento (CEE, Euratom, CECA) n.º 259/68 del Consejo, de 29 de febrero de 1968, por el que se establece el Estatuto de los funcionarios de las Comunidades Europeas y el régimen aplicable a los otros agentes de estas Comunidades y por el que se establecen medidas específicas aplicables temporalmente a los funcionarios de la Comisión (DO L 56 de 4.3.1968, p. 1, ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj).