Decizia (UE) 2026/1446 a Comisiei din 30 iunie 2026 de stabilire a normelor interne privind furnizarea de informații persoanelor vizate și restricționarea anumitor drepturi ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal de către Comisie în scopul investigării, al asigurării respectării normelor și al monitorizării în temeiul Regulamentului (UE) 2022/1925 al Parlamentului European și al Consiliului

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE, în special articolul 25,

Comisia efectuează investigații pentru asigurarea respectării dispozițiilor prevăzute în Regulamentul (UE) 2022/1925 al Parlamentului European și al Consiliului în ceea ce privește întreprinderile sau asocierile de întreprinderi. În acest scop, Comisia își exercită competențele de investigare, de asigurare a respectării normelor și de monitorizare care îi sunt conferite prin regulamentul respectiv.

Sarcinile care îi revin Comisiei în temeiul Regulamentului (UE) 2022/1925 sunt îndeplinite de Direcția Generală Concurență și de Direcția Generală Rețele de Comunicare, Conținut și Tehnologie din cadrul Comisiei.

Comisia prelucrează informații în contextul exercitării sarcinilor sale de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/1925. Aceste informații pot include date cu caracter personal ale persoanelor fizice, cum ar fi reprezentanți legali și personal al controlorilor de acces și al părților terțe interesate, martori, avertizori, precum și persoane fizice ale căror date cu caracter personal sunt conținute în documente obținute în legătură cu sarcinile de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/1925.

Prelucrarea datelor cu caracter personal, în sensul articolului 3 alineatul (3) din Regulamentul (UE) 2018/1725, desfășurată în cadrul activităților de investigare și asigurare a respectării normelor în conformitate cu Regulamentul (UE) 2022/1925, poate avea loc chiar și înainte de inițierea oficială a procedurilor de către Comisie în temeiul articolului 20 din Regulamentul (UE) 2022/1925, poate continua pe toată durata desfășurării investigației și se poate derula chiar și după încheierea oficială a investigației, de exemplu, în scopul monitorizării conformității sau al activităților de analiză ori al evaluării necesității de a iniția noi activități de investigare sau proceduri judiciare.

În scopul investigării, al asigurării respectării normelor și al monitorizării în temeiul Regulamentului (UE) 2022/1925, Comisia, în calitate de operator de date, prelucrează mai multe categorii de date cu caracter personal, cum ar fi date de identificare, date de contact, date privind implicarea în caz (precum poziția și funcția persoanei fizice în cadrul întreprinderii în cauză), date referitoare la caz (precum date cu caracter personal conținute în documente, declarații, opinii și evidențe) și orice alte informații considerate necesare în acest scop (inclusiv date cu caracter personal ale utilizatorilor finali și ale utilizatorilor comerciali ai serviciilor de platformă esențiale). Deși acest scenariu este improbabil, categoriile de date cu caracter personal prelucrate pot include, de asemenea, categorii speciale de date cu caracter personal, astfel cum sunt menționate la articolul 10 alineatul (1) din Regulamentul (UE) 2018/1725.

În îndeplinirea sarcinilor sale prevăzute în Regulamentul (UE) 2022/1925, Comisia este obligată să respecte drepturile persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, recunoscute la articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și la articolul 16 alineatul (1) din Tratatul privind funcționarea Uniunii Europene, precum și cerințele din Regulamentul (UE) 2018/1725. În același timp, în contextul activităților pe care le derulează în temeiul Regulamentului (UE) 2022/1925, Comisia trebuie să respecte normele stricte privind confidențialitatea și secretul profesional menționate la articolul 36 din regulamentul respectiv și la articolul 339 din Tratatul privind funcționarea Uniunii Europene.

În anumite circumstanțe, este necesar să se asigure un echilibru între drepturile persoanelor vizate prevăzute în Regulamentul (UE) 2018/1725 și îndeplinirea efectivă de către Comisie a sarcinilor sale de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/1925, inclusiv în cooperare cu autoritățile competente din statele membre, sau drepturile și libertățile fundamentale ale altor persoane vizate. În acest sens, în temeiul articolului 25 alineatul (1) din Regulamentul (UE) 2018/1725, Comisia poate restricționa, în condiții stricte, aplicarea articolelor 14-22, 35 și 36 din Regulamentul (UE) 2018/1725, precum și a articolului 4, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-22 din Regulamentul (UE) 2018/1725.

În anumite circumstanțe, este necesar să se asigure un echilibru între drepturile persoanelor vizate și necesitatea de a garanta activitățile de investigare, de asigurare a respectării normelor și de monitorizare desfășurate de Comisie în temeiul Regulamentului (UE) 2022/1925 în exercitarea autorității sale oficiale în interesul public general al Uniunii, în temeiul articolului 25 alineatul (1) litera (g), în coroborare cu litera (c), din Regulamentul (UE) 2018/1725. Comisia ar putea aplica restricții în cazul în care, de exemplu, exercitarea acestor drepturi ar pune în pericol o investigație în curs, de exemplu în cazul în care există riscul distrugerii probelor sau al interferării cu actori-cheie (cum ar fi martorii) în cursul unei investigații.

În anumite circumstanțe, este necesar să se asigure un echilibru între drepturile persoanelor vizate și drepturile și libertățile fundamentale ale altor persoane implicate în contextul sarcinilor Comisiei de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/1925, precum părțile terțe interesate și martorii. Într-un astfel de caz, Comisia poate decide să restricționeze accesul la identitatea, declarațiile și alte date cu caracter personal ale acestor persoane atunci când datele cu caracter personal în cauză se referă și la o altă persoană, cu scopul de a-i proteja drepturile și libertățile în temeiul articolului 25 alineatul (1) litera (h) din Regulamentul (UE) 2018/1725. Comisia poate decide să facă acest lucru în special pentru a proteja persoanele respective de eventuale represalii.

În special, este necesar să se protejeze informațiile confidențiale referitoare la un avertizor sau orice altă persoană fizică ce a raportat informații Comisiei în contextul exercitării sarcinilor sale de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/1925. În astfel de cazuri, Comisia ar putea fi nevoită să restricționeze accesul la identitatea, declarațiile și alte date cu caracter personal ale acestor persoane, pentru a proteja drepturile și libertățile tuturor persoanelor respective în temeiul articolului 25 alineatul (1) litera (h) din Regulamentul (UE) 2018/1725. Comisia poate dezvălui identitatea persoanei care efectuează raportarea numai în cazul în care respectiva persoană își dă acordul. Comisia trebuie să dezvăluie identitatea persoanei dacă acest lucru este impus prin lege sau de către o autoritate judiciară.

În cazurile în care persoanele vizate depun o cerere de acces la datele lor cu caracter personal, acestora ar trebui să li se acorde accesul la astfel de date cu caracter personal, inclusiv la cele furnizate de persoana care a efectuat raportarea. Pentru a-i proteja confidențialitatea, Comisia nu ar trebui să îi furnizeze persoanei vizate numele persoanei care a efectuat raportarea și nici orice alte informații care ar permite identificarea acesteia în mod direct sau indirect.

În plus, pentru a-și îndeplini sarcinile de a asigura aplicarea eficace a Regulamentului (UE) 2022/1925, în special în contextul cooperării dintre Comisie și autoritățile competente din statele membre, Comisia poate restricționa aplicarea drepturilor persoanelor vizate pentru a garanta exercitarea autorității sale oficiale în interesul public, astfel cum se menționează la articolul 25 alineatul (1) litera (g), în coroborare cu litera (c), din Regulamentul (UE) 2018/1725. Comisia poate face acest lucru într-o situație în care scopul unei restricții impuse de către o autoritate a unui stat membru ar fi compromis în cazul în care Comisia nu ar aplica o restricție echivalentă cu privire la aceleași date cu caracter personal. În aplicarea unei astfel de restricții, Comisia ar trebui să consulte statul membru vizat cu privire la motivele potențiale relevante pentru impunerea de restricții și la necesitatea și proporționalitatea restricțiilor respective, cu excepția cazului în care această consultare ar pune în pericol activitățile Comisiei.

Comisia ar trebui să aplice restricții numai dacă acestea respectă esența drepturilor și libertăților fundamentale, dacă sunt strict necesare și constituie o măsură proporțională într-o societate democratică. Comisia ar trebui să furnizeze o justificare pentru restricțiile aplicabile.

Articolul 25 alineatul (6) din Regulamentul (UE) 2018/1725 impune operatorului să informeze persoanele vizate cu privire la motivele principale care stau la baza aplicării restricției și cu privire la dreptul lor de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor.

În temeiul articolului 25 alineatul (8) din Regulamentul (UE) 2018/1725, Comisia poate să amâne, să omită sau să refuze furnizarea de informații privind motivele principale ale aplicării unei restricții persoanei vizate în cazul în care furnizarea acestor informații ar anula în orice mod efectul restricției. Comisia ar trebui să evalueze, de la caz la caz, dacă comunicarea informațiilor privind restricția i-ar anula efectul.

Comisia ar trebui să ridice restricția imediat ce condițiile care o justifică nu mai sunt valabile și să evalueze aceste condiții în mod regulat.

Pentru a se conforma articolelor 14, 15 și 16 din Regulamentul (UE) 2018/1725, Comisia ar trebui să informeze toate persoanele vizate cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal și cu privire la drepturile lor, într-un mod transparent și coerent, prin publicarea unui anunț privind protecția datelor pe site-ul web al Comisiei. Comisia ar trebui să informeze individual, prin mijloace adecvate, reprezentanții legali și personalul controlorilor de acces, reprezentanții legali și membrii personalului părților terțe interesate, martorii și avertizorii cu privire la prelucrarea datelor lor cu caracter personal.

Articolul 16 alineatul (5) din Regulamentul (UE) 2018/1725 prevede excepții de la dreptul la informare al persoanelor vizate dacă datele cu caracter personal nu au fost obținute de la persoanele vizate. În cazul în care se aplică aceste excepții, Comisia nu trebuie să aplice o restricție privind dreptul la informare în temeiul prezentei decizii. Excepțiile prevăzute la articolul 16 alineatul (5) litera (b) din Regulamentul (UE) 2018/1725 se aplică în cazul în care furnizarea informațiilor menționate la articolul 16 alineatele (1)-(4) din regulamentul respectiv se dovedește imposibilă, ar implica eforturi disproporționate sau este susceptibilă să facă imposibilă sau să afecteze în mod grav realizarea obiectivelor prelucrării respective. În cazul persoanelor vizate care nu sunt relevante pentru investigație, ale căror date cu caracter personal se regăsesc în documente colectate ca parte a activităților de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/1925, altele decât acele persoane vizate care au fost informate individual, furnizarea acestor informații s-ar putea dovedi imposibilă sau ar putea necesita eforturi disproporționate. Un exemplu în acest sens ar fi cazul în care Comisia obține date cu caracter personal în contextul unui raport al avertizorului sau în timpul acțiunilor sale de monitorizare pentru a asigura punerea în aplicare și respectarea în mod efectiv a Regulamentului (UE) 2022/1925.

În conformitate cu principiile transparenței, echității și responsabilității, Comisia ar trebui să aplice toate excepțiile și restricțiile într-un mod transparent și să țină evidența aplicării acestor excepții și restricții.

Pentru a garanta protecția drepturilor și libertăților persoanelor vizate și în conformitate cu articolul 44 alineatul (1) din Regulamentul (UE) 2018/1725, Comisia ar trebui să implice coordonatorii pentru protecția datelor din cadrul Direcției Generale Concurență și al Direcției Generale Rețele de Comunicare, Conținut și Tehnologie pe tot parcursul procedurii de aplicare a restricțiilor și să păstreze documente privind această consultare. În special, coordonatorii pentru protecția datelor ar trebui să fie consultați în timp util cu privire la eventualele restricții care ar putea fi aplicate și să verifice conformitatea restricțiilor cu prezenta decizie.

Responsabilul cu protecția datelor din cadrul Comisiei trebuie să efectueze o examinare independentă a aplicării restricțiilor, pentru a garanta respectarea prezentei decizii.

Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 41 alineatul (2) din Regulamentul (UE) 2018/1725 și a emis un aviz la 26 martie 2026,

Prezenta decizie stabilește normele interne pe care trebuie să le respecte Comisia pentru a informa persoanele vizate cu privire la prelucrarea datelor lor cu caracter personal în conformitate cu articolele 14, 15 și 16 din Regulamentul (UE) 2018/1725, atunci când își îndeplinește sarcinile de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/1925.

Prezenta decizie stabilește, de asemenea, condițiile în care Comisia poate restricționa aplicarea articolelor 4, 14-20 și 35 din Regulamentul (UE) 2018/1725, în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h) din respectivul regulament.

Prezenta decizie se aplică prelucrării de către Comisie a datelor cu caracter personal ale următoarelor categorii de persoane vizate:

reprezentanți legali și membri ai personalului controlorilor de acces, astfel cum sunt definiți la articolul 2 punctul 1 din Regulamentul (UE) 2022/1925;

reprezentanți legali și membri ai personalului părților terțe interesate;

martori;

avertizori;

persoane fizice ale căror date cu caracter personal sunt cuprinse în documentele sau alte suporturi media colectate în cadrul investigării, al asigurării respectării normelor și al monitorizării conform Regulamentului (UE) 2022/1925.

Prezenta decizie se aplică prelucrării datelor cu caracter personal ale următoarelor categorii de date cu caracter personal:

date de identificare;

date de contact;

date privind implicarea în caz;

date referitoare la caz;

orice alte informații considerate necesare pentru îndeplinirea cerințelor prevăzute în Regulamentul (UE) 2022/1925, inclusiv datele cu caracter personal menționate la articolul 10 alineatul (1) din Regulamentul (UE) 2018/1725.

Comisia publică pe site-ul său web relevant un aviz privind protecția datelor prin care informează toate persoanele vizate cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal în scopul investigării, al asigurării respectării normelor și al monitorizării în temeiul Regulamentului (UE) 2022/1925.

Avizul privind protecția datelor furnizează informații cu privire la posibilele restricționări ale drepturilor persoanelor vizate în temeiul articolului 4. Informațiile precizează drepturile care pot fi restricționate, motivele pentru care pot fi aplicate restricțiile și durata potențială a acestora, precum și dreptul persoanelor vizate de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor.

Comisia informează individual, prin mijloace adecvate, avertizorii, martorii și reprezentanții legali și membrii personalului controlorilor de acces și ai părților terțe interesate cu privire la prelucrarea datelor lor cu caracter personal.

Comisia poate restricționa aplicarea articolelor 14-20 și 35 din Regulamentul (UE) 2018/1725, precum și a principiilor legalității, echității și transparenței menționate la articolul 4 alineatul (1) litera (a) din regulamentul respectiv, în măsura în care dispozițiile privind restricțiile corespund drepturilor și obligațiilor prevăzute la articolele 14-20 din Regulamentul (UE) 2018/1725, în cazul în care:

exercitarea drepturilor și obligațiilor respective ar putea pune în pericol sarcinile Comisiei de investigare, de asigurare a respectării normelor și de monitorizare derulate în scopul de a asigura aplicarea efectivă a Regulamentului (UE) 2022/1925, în conformitate cu articolul 25 alineatul (1) literele (c) și (g) din Regulamentul (UE) 2018/1725;

exercitarea drepturilor și obligațiilor respective ar afecta în mod negativ protecția persoanei vizate sau a drepturilor și libertăților altora în conformitate cu articolul 25 alineatul (1) litera (h) din Regulamentul (UE) 2018/1725;

exercitarea drepturilor și obligațiilor respective ar putea pune în pericol cooperarea Comisiei cu autoritățile competente din statele membre în timpul exercitării sarcinilor sale menite să asigure aplicarea efectivă a Regulamentului (UE) 2022/1925, în conformitate cu articolul 25 alineatul (1) literele (c) și (g) din Regulamentul (UE) 2018/1725.

Înainte de a aplica restricții în circumstanțele menționate la alineatul (1) litera (c), Comisia consultă autoritățile competente din statele membre relevante cu privire la motivele potențiale pentru impunerea de restricții și cu privire la necesitatea și proporționalitatea restricțiilor respective, cu excepția cazului în care această consultare ar pune în pericol activitățile Comisiei.

Aceste restricții respectă esența drepturilor și libertăților fundamentale și constituie o măsură necesară și proporțională într-o societate democratică.

Înainte de aplicarea restricțiilor prevăzute la alineatul (1), Comisia efectuează și documentează o evaluare de la caz la caz a necesității și a proporționalității acestora. Restricțiile respective se limitează la ceea ce este strict necesar pentru atingerea obiectivului lor.

În cazul în care, în temeiul articolului 4, Comisia restricționează integral sau parțial dreptul de acces la date al persoanelor vizate, dreptul la rectificarea datelor, dreptul la ștergerea datelor sau dreptul la restricționarea prelucrării, astfel cum se menționează la articolele 17-20 din Regulamentul (UE) 2018/1725, Comisia informează persoana vizată în cauză, în răspunsul său la cererea de acces, de rectificare, de ștergere a datelor sau de restricționare a prelucrării, în legătură cu următoarele aspecte:

restricția aplicată și motivele principale ale acesteia;

posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor.

Comisia poate amâna, omite sau refuza furnizarea de informații privind motivele restricției și dreptul de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor, atât timp cât acest lucru ar anula efectul restricției. Comisia evaluează de la caz la caz caracterul justificat al acestei măsuri. Imediat ce acest lucru nu mai anulează efectul restricției, Comisia furnizează informațiile persoanei vizate.

În cazul în care Comisia are obligația de a comunica o încălcare a securității datelor cu caracter personal în temeiul articolului 35 alineatul (1) din Regulamentul (UE) 2018/1725, aceasta poate, în circumstanțe excepționale, să restricționeze, integral sau parțial, această comunicare, în conformitate cu articolul 4 din prezenta decizie. Comisia ține evidența și înregistrează motivele restricției, temeiul juridic al acesteia prevăzut la articolul 4 și o evaluare a necesității și a proporționalității acesteia.

În cazul în care motivele restricției nu se mai aplică, Comisia comunică persoanei vizate în cauză încălcarea securității datelor cu caracter personal și o informează cu privire la motivele principale ale restricției și cu privire la dreptul său de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor.

În cazul în care Comisia notifică încălcarea securității datelor cu caracter personal Autorității Europene pentru Protecția Datelor, în temeiul articolului 34 alineatul (1) din Regulamentul (UE) 2018/1725, Comisia însoțește notificarea cu înregistrarea efectuată în temeiul articolului 7 din prezenta decizie.

Comisia ține evidența motivelor pentru toate restricțiile aplicate în temeiul prezentei decizii, a temeiurilor juridice ale acestora prevăzute la articolul 4, a detaliilor perioadei de aplicare a restricției respective, a evaluării riscurilor la adresa drepturilor și libertăților persoanelor vizate generate de impunerea unei restricții și a evaluării necesității și a proporționalității restricției.

În evidențe se precizează modul în care exercitarea dreptului de către persoana vizată relevantă ar submina unul sau mai multe dintre obiectivele aplicabile prevăzute la articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725.

Evidențele și, dacă este cazul, documentele care conțin elemente de fapt și de drept subiacente se înregistrează. Acestea sunt puse, la cerere, la dispoziția Autorității Europene pentru Protecția Datelor.

Restricțiile menționate la articolul 4 se aplică atâta timp cât motivele care le justifică rămân aplicabile.

În cazul în care motivele pentru aplicarea unei restricții nu mai sunt valabile, Comisia ridică restricția.

La ridicarea unei restricții, Comisia îi prezintă persoanei vizate motivele pentru aplicarea restricției și o informează în legătură cu posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a recurge la o cale de atac la Curtea de Justiție a Uniunii Europene.

Comisia examinează aplicarea restricțiilor menționate la articolul 4 o dată la șase luni. Examinarea include o evaluare a necesității și proporționalității restricției.

Comisia pune în aplicare garanții pentru a preveni abuzul și accesul ilegal sau transferul de date cu caracter personal care fac sau ar putea face obiectul unor restricții. Aceste garanții includ următoarele măsuri tehnice și organizatorice:

o definiție clară a rolurilor, a responsabilităților, a etapelor procedurale și a drepturilor de acces;

un mediu electronic securizat, care previne accesul sau transferul ilegal sau accidental de date electronice către persoane neautorizate;

stocarea și prelucrarea în condiții de siguranță a documentelor pe suport de hârtie, limitată la ceea ce este strict necesar pentru atingerea scopului prelucrării;

monitorizarea corespunzătoare a restricțiilor.

Datele cu caracter personal sunt păstrate în conformitate cu normele aplicabile privind păstrarea datelor ale Comisiei, care urmează să fie definite în evidențele de prelucrare ținute în temeiul articolului 31 din Regulamentul (UE) 2018/1725. La sfârșitul perioadei de păstrare, datele cu caracter personal sunt șterse, anonimizate sau transferate în arhive conform articolului 13 din Regulamentul (UE) 2018/1725.

Coordonatorii pentru protecția datelor din cadrul Direcției Generale Concurență și al Direcției Generale Rețele de Comunicare, Conținut și Tehnologie sunt consultați înainte de aplicarea oricăror restricții.

Coordonatorii pentru protecția datelor din cadrul Direcției Generale Concurență și al Direcției Generale Rețele de Comunicare, Conținut și Tehnologie verifică dacă restricțiile sunt conforme cu prezenta decizie.

Responsabilul cu protecția datelor din cadrul Comisiei este informat, fără întârzieri nejustificate, ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie. La cerere, responsabilului cu protecția datelor din cadrul Comisiei i se acordă accesul la evidențe și la orice documente care conțin elemente de fapt și de drept justificative.

Responsabilul cu protecția datelor din cadrul Comisiei poate solicita o examinare a aplicării unei restricții și este informat în scris cu privire la rezultatul acestei examinări.

Comisia documentează și înregistrează implicarea responsabilului cu protecția datelor din cadrul Comisiei și a coordonatorilor pentru protecția datelor, inclusiv informațiile la care li se acordă acces, în fiecare caz în care se aplică o restricție menționată la articolul 4 alineatul (1).

Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Adoptată la Bruxelles, 30 iunie 2026.Pentru ComisiePreședintaUrsula von der Leyen