Decisión del Supervisor Europeo de Protección de Datos, de 18 de julio de 2024, por la que se modifica el Reglamento interno del SEPD, de 15 de mayo de 2020 [2024/2022], - Diario Oficial de la Unión Europea, de 29-07-2024

DECISIÓN DEL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS

de 18 de julio de 2024

por la que se modifica el Reglamento interno del SEPD, de 15 de mayo de 2020 [2024/2022]

EL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS,

Visto el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.º 45/2001 y la Decisión n.º 1247/2002/CE (1) («Reglamento»), y en particular su artículo 54, apartado 4, y su artículo 57, apartado 1, letra q),

Considerando lo siguiente:

(1)El Reglamento interno del SEPD, de 15 de mayo de 2020 (2), adoptado de conformidad con el artículo 57, apartado 1, letra q), del Reglamento, establece en su artículo 18 un procedimiento de revisión en los casos de reclamaciones limitado a nuevas pruebas fácticas y argumentos jurídicos.

(2)Sin embargo, la aplicación del procedimiento de revisión ha planteado dificultades prácticas y jurídicas para las instituciones, órganos y organismos de la Unión Europea, así como para los reclamantes. Por consiguiente, debe suprimirse el procedimiento de revisión.

(3)El artículo 58, apartado 5, del Reglamento exige que el ejercicio de las competencias conferidas al SEPD en virtud de dicho artículo esté sujeto a las garantías adecuadas, incluidas la tutela judicial efectiva y el respeto de las garantías procesales, establecidas en el Derecho de la Unión. En la misma línea, el artículo 66, apartados 5 y 6, del Reglamento establece que, antes de adoptar decisiones por las que se imponga una multa administrativa, el SEPD debe dar a la institución u organismo de la Unión que sea objeto del procedimiento instruido por el SEPD la oportunidad de ser oída sobre las cuestiones respecto de las cuales el SEPD haya formulado objeciones. A fin de salvaguardar eficazmente el derecho a una buena administración y los derechos de defensa consagrados en la Carta de los Derechos Fundamentales de la Unión Europea («Carta»), incluido el derecho de toda persona a ser oída antes de que se adopte cualquier medida individual que le afecte negativamente, es importante, por lo tanto, establecer normas claras en el Reglamento interno del SEPD sobre el ejercicio de estos derechos.

(4)Los responsables o encargados del tratamiento deben tener la oportunidad de expresar sus puntos de vista antes de que el SEPD adopte una decisión que les afecte negativamente. Por consiguiente, el Reglamento interno del SEPD debería prever la obligación de que el SEPD elabore una evaluación preliminar y la comunique al responsable o al encargado del tratamiento que sea objeto del procedimiento instruido por el SEPD antes de adoptar una decisión que contenga la constatación de una infracción del Reglamento o de cualquier otro acto de la Unión relativo a la protección de los derechos y libertades fundamentales de las personas físicas en lo que respecta al tratamiento de datos personales por parte de una institución u organismo de la Unión, o cuando ejerza competencias correctoras en virtud del Reglamento, o imponga una multa administrativa, o ejerza competencias contra la Agencia de Cooperación de las Fuerzas y Cuerpos de Seguridad de la Unión Europea (Europol), la Agencia de Cooperación en materia de Justicia Penal de la Unión Europea (Eurojust), o la Fiscalía Europea (EPPO).

(5)Los responsables o encargados del tratamiento deben tener la oportunidad de expresar sus puntos de vista antes de que el SEPD adopte una decisión que les afecte negativamente. Por consiguiente, el Reglamento interno del SEPD debería especificar las situaciones en las que el SEPD debe redactar una evaluación preliminar y comunicarla a continuación al responsable o encargado del tratamiento objeto del procedimiento llevado a cabo por el SEPD.

(6)De igual modo, los reclamantes deben tener la oportunidad de expresar sus puntos de vista antes de que el SEPD adopte una decisión que les afecte negativamente. Por lo tanto, el Reglamento interno del SEPD debería especificar las situaciones en las que el SEPD debe redactar una evaluación preliminar y a continuación comunicarla al reclamante.

(7)La evaluación preliminar constituye una salvaguardia procesal esencial que garantiza el respeto del derecho a ser oído. Por consiguiente, el Reglamento interno del SEPD debería establecer los elementos que debe contener dicha evaluación preliminar. Dado que estos elementos difieren en los casos en los que el SEPD tiene la intención de imponer una multa administrativa, el Reglamento interno del SEPD también debe establecer los elementos que deben incluirse en una evaluación preliminar en estos casos.

(8)La limitación de la información contenida en la evaluación preliminar puede ser necesaria para proteger los intereses contemplados en el Derecho de la Unión o de los Estados miembros. Estos intereses incluyen la seguridad nacional, la seguridad pública o la defensa de los Estados miembros; la prevención, investigación, detección y enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección y prevención de amenazas para la seguridad pública; otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular los objetivos de la política exterior y de seguridad común de la Unión o un interés económico o financiero importante de la Unión o de un Estado miembro, incluidas las cuestiones monetarias, presupuestarias y fiscales, la salud pública y la seguridad social; la seguridad interior de las instituciones y organismos de la Unión, incluidas sus redes de comunicaciones electrónicas; la protección de la independencia judicial y de los procedimientos judiciales; la prevención, investigación, detección y enjuiciamiento de infracciones de la ética en profesiones reguladas; una función de supervisión, inspección o regulación relacionada, incluso ocasionalmente, con el ejercicio de la autoridad pública; la protección del interesado o de los derechos y libertades de terceros; la ejecución de demandas de Derecho civil; la prevención de la obstrucción de indagaciones, investigaciones o procedimientos oficiales o jurídicos; la prevención del perjuicio provocado a la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales. Otros intereses incluyen los intereses legítimos de la confidencialidad o del secreto profesional y comercial. Por consiguiente, el Reglamento interno del SEPD debe incluir referencias específicas a estos intereses y especificar la información que debe comunicarse al reclamante.

(9)Tras la comunicación de su evaluación preliminar, el responsable o encargado del tratamiento y el denunciante deberán tener la oportunidad de presentar sus observaciones. Por consiguiente, el SEPD debe establecer normas sobre cuándo dar al responsable o al encargado del tratamiento, o al reclamante, la oportunidad de ser oídos, y en qué plazo.

(10)El acceso al expediente forma parte de los derechos de defensa y del derecho a una buena administración consagrados en la Carta. Sin embargo, puede ser necesaria una limitación del acceso al expediente del SEPD para proteger los intereses mencionados en el Derecho de la Unión o de los Estados miembros y, por tanto, debe reflejarse en el Reglamento interno del SEPD.

(11)Para mantener un proceso justo de toma de decisiones, el Reglamento interno del SEPD debe aclarar que cualquier decisión del SEPD debe basarse únicamente en constataciones y medidas sobre las que el responsable o el encargado del tratamiento o el reclamante hayan podido presentar observaciones, excepto en los casos de aplicación de limitaciones necesarias para la protección de los intereses contemplados en el Derecho de la Unión o de los Estados miembros.

(12)A fin de garantizar de manera coherente que cada medida jurídicamente vinculante del SEPD haga referencia al derecho a un recurso efectivo, el Reglamento de Procedimiento del SEPD debe disponer que el SEPD informe, en el texto de su decisión, al responsable o encargado del tratamiento, y al reclamante, de su derecho a impugnar la decisión ante el Tribunal de Justicia de la Unión Europea, de conformidad con el artículo 263 del Tratado de Funcionamiento de la Unión Europea.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

El artículo 18 del Reglamento interno del SEPD de 15 de mayo de 2020 se sustituye por el texto siguiente:

«Artículo 18

Evaluación preliminar y derecho a ser oído

1. Antes de adoptar una decisión

a)que contenga la constatación de una infracción del Reglamento o de cualquier otro acto de la Unión relativo a la protección de los derechos y libertades fundamentales de las personas físicas en lo que respecta al tratamiento de datos personales por parte de una institución u organismo de la Unión, o

b)el ejercicio de las facultades correctoras de conformidad con el artículo 58, apartado 2, del Reglamento, o

c)imponiendo una multa administrativa de conformidad con el artículo 58, apartado 2, letra i), y el artículo 66 del Reglamento, o de conformidad con el artículo 43, apartado 3, letra l), del Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo (*1) , o bien

d)el ejercicio de competencias frente a la Agencia de Cooperación de los Cuerpos de Seguridad de la Unión Europea (Europol) con arreglo al artículo 43, apartado 3, letras b), c), d), e), f), g), j) y k), del Reglamento (UE) 2016/794, o bien

e)ejercer competencias frente a la Fiscalía Europea (EPPO) de conformidad con las letras b), d) y e) del artículo 85, apartado 3, del Reglamento (UE) 2017/1939 del Consejo (*2) , o bien

f)el ejercicio de competencias frente a la Agencia de la Unión Europea para la Cooperación Judicial Penal (Eurojust) con arreglo al artículo 40, apartado 3, letras b), d) y e), del Reglamento (UE) 2018/1727 del Parlamento Europeo y del Consejo (*3) ,

el SEPD redactará una evaluación preliminar y la comunicará al responsable o encargado del tratamiento que sea objeto del procedimiento instruido por el SEPD (“el responsable o encargado del tratamiento”).

2. Antes de adoptar una decisión en los casos en que el SEPD tenga la intención de desestimar parcial o totalmente una reclamación presentada en virtud de:

a)los artículos 63 y 68 del Reglamento, o

b)el artículo 47 del Reglamento (UE) 2016/794, o

c)artículo 88 del Reglamento (UE) 2017/1939, o

d)el artículo 43 del Reglamento (UE) 2018/1727;

el SEPD redactará una evaluación preliminar y la comunicará al reclamante.

3. La evaluación preliminar incluirá:

a)los hechos probados pertinentes y las referencias a las pruebas de apoyo en las que el SEPD pretende basarse para adoptar su decisión;

b)la evaluación jurídica inicial de los hechos por parte del SEPD, y cualquier presunta infracción de las normas de protección de datos aplicables, y

c)cualquier facultad correctora prevista por el SEPD, teniendo en cuenta factores agravantes o atenuantes.

4. No obstante lo dispuesto en el apartado 3, en los casos de aplicación del artículo 18, apartado 1, letra c), la evaluación preliminar sólo contendrá los elementos pertinentes en los que el SEPD se proponga basarse para decidir si impone una multa administrativa y para decidir el importe de la multa administrativa, habida cuenta de los elementos enumerados en el artículo 66, apartado 1, del Reglamento.

5. El SEPD podrá restringir la información facilitada al reclamante en la evaluación preliminar a que se refieren los apartados 2 y 3, a fin de proteger cualquiera de los intereses mencionados en:

a)el artículo 25, apartado 1, del Reglamento;

b)el apartado 3 del artículo 79, el apartado 1 del artículo 81 o el apartado 2 del artículo 84 del Reglamento, o

c)artículo 58, apartado 3, artículo 60, apartado 1, y artículo 61, apartado 5, del Reglamento (UE) 2017/1939, o

d)cualquier otro interés legítimo de confidencialidad o de secreto profesional y comercial.

En tales casos, el SEPD informará al reclamante al menos de la parte o partes de la reclamación que tenga intención de desestimar, así como de la justificación para la aplicación de cualquiera de las restricciones a que se refiere el párrafo primero. En los casos de restricción de información por los intereses a que se refieren las letras b) y c) del párrafo primero, el SEPD podrá omitir la información relativa a la justificación de aplicar cualquiera de las restricciones cuando su suministro menoscabe dichos intereses. En tales casos, el SEPD informará al reclamante de conformidad con el artículo 84, apartado 3, del Reglamento y el artículo 62, apartado 3, del Reglamento (UE) 2017/1939.

6. El SEPD dará al responsable o encargado del tratamiento y al reclamante la oportunidad de ser oído en relación con la constatación de una infracción del Reglamento o de cualquier otro acto de la Unión relativo a la protección de los derechos y libertades fundamentales de las personas físicas en lo que respecta al tratamiento de datos personales por una institución u organismo de la Unión, o al ejercicio de poderes correctores, o a la imposición de una multa administrativa, o cuando el SEPD tenga la intención de desestimar total o parcialmente una reclamación, según el caso. El SEPD fijará un plazo dentro del cual el responsable o el encargado del tratamiento y el reclamante podrán dar a conocer sus opiniones por escrito, teniendo en cuenta la urgencia del asunto.

7. El SEPD podrá limitar el acceso al expediente cuando sea necesario para proteger cualquiera de los intereses mencionados en el apartado 5 anterior.

8. El SEPD basará sus decisiones únicamente en las conclusiones y medidas sobre las que el responsable o el encargado del tratamiento o el reclamante hayan podido formular observaciones, salvo en los casos de aplicación de los apartados 5 y 7.

9. En el texto de su decisión, el SEPD informará al responsable o encargado del tratamiento y al reclamante de su derecho a impugnar la decisión ante el Tribunal de Justicia de la Unión Europea, de conformidad con el artículo 263 del Tratado de Funcionamiento de la Unión Europea.

Artículo 2

La presente Decisión entrará en vigor el vigésimo día siguiente al de su publicación en el Diario Oficial de la Unión Europea.

Hecho en Bruselas, el 18 de julio de 2024.

Por el SEPD

Wojciech Rafał WIEWIÓROWSKI

Supervisor Europeo de Protección de Datos

________________________________________

(1) DO L 295 de 21.11.2018, p. 39.

(2) Decisión del Supervisor Europeo de Protección de Datos, de 15 de mayo de 2020, por la que se adopta el Reglamento interno del SEPD (DO L 204 de 26.6.2020, p. 49).