Decizia (UE) 2018/1927 a Comisiei din 5 decembrie 2018 de stabilire a normelor interne privind prelucrarea datelor cu caracter personal de către Comisia Europeană în domeniul concurenței în legătură cu furnizarea de informații către persoanele vizate și restricționarea anumitor drepturi

având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 249 alineatul (1),

Comisia desfășoară investigații administrative în vederea asigurării aplicării normelor în materie de concurență în conformitate cu tratatul și cu legislația secundară, precum și cu acordurile internaționale adoptate în acest scop. Pentru a îndeplini acest obiectiv, Comisia își exercită competențele de investigare și de asigurare a aplicării normelor (inclusiv prin activități operaționale conexe) în materie de antitrust, de control al concentrărilor economice și de control al ajutoarelor de stat care i-au fost conferite prin actele relevante ale Uniunii.

Investigațiile Comisiei și activitățile de asigurare a aplicării normelor în domeniul concurenței vizează întreprinderile sau statele membre care fac obiectul normelor în materie de concurență din tratat, și nu persoanele fizice ca atare. Cu toate acestea, în cursul investigațiilor în materie de concurență, datele cu caracter personal, astfel cu sunt definite la articolul 3 punctul 1 din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului, sunt în mod inevitabil prelucrate, în sensul articolului 3 punctul 3 din Regulamentul (UE) 2018/1725. Comisia trebuie să prelucreze aceste date cu caracter personal în vederea îndeplinirii sarcinilor care îi revin în calitate de autoritate publică ce asigură aplicarea normelor Uniunii în materie de concurență. Investigațiile în materie de antitrust, de control al concentrărilor economice și de control al ajutoarelor de stat, precum și asigurarea aplicării normelor în materie de concurență constituie funcții de monitorizare, inspecție sau reglementare legate de exercitarea autorității oficiale în cazurile menționate la articolul 25 alineatul (1) literele (c) și (g) din Regulamentul (UE) 2018/1725. Aceste activități contribuie la promovarea și protecția unei piețe interne competitive, protejând astfel interese economice și financiare importante ale Uniunii și ale statelor membre.

În scopul desfășurării activităților sale de investigare și de asigurare a aplicării normelor în materie de antitrust, de control al concentrărilor economice și de control al ajutoarelor de stat, Comisia prelucrează datele cu caracter personal dobândite sau primite de la persoane juridice, persoane fizice, state membre și alte entități (cum ar fi autoritățile naționale de concurență, organismele de reglementare și alte organisme și autorități publice), precum și de la autorități de concurență din țări terțe și de la organisme și organizații internaționale. În cursul investigațiilor și al activităților de asigurare a aplicării normelor desfășurate în materie de concurență, fie acționând din proprie inițiativă, fie pe baza contribuțiilor primite, Comisia poate prelucra, de asemenea, date cu caracter personal dobândite sau primite din surse aflate la dispoziția publicului (de exemplu, în contextul activităților de monitorizare sau analiză a pieței), din surse anonime (de exemplu de la avertizori de integritate/informatori) sau din surse identificate (de exemplu de la reclamanți) a căror identitate trebuie protejată.

La rândul său, Comisia poate transmite date cu caracter personal persoanelor juridice sau fizice (de exemplu, în contextul procedurii de acces la dosar), autorităților naționale de concurență și altor autorități și organisme în contextul cooperării bilaterale sau multilaterale cu statele membre sau cu autorități și organizații din țări terțe, în măsura în care acest lucru este necesar și adecvat pentru a-și exercita competențele, a proteja drepturile la apărare ale părților care fac obiectul procedurilor Comisiei și a asigura aplicarea eficientă și eficace a normelor Uniunii în materie de concurență.

Activitățile de prelucrare a datelor cu caracter personal, în sensul articolului 3 punctul 3 din Regulamentul (UE) 2018/1725, desfășurate în cadrul activităților de investigare și de asigurare a aplicării normelor în materie de concurență pot avea loc chiar și înainte de inițierea oficială a procedurilor de către Comisie, pot continua pe toată durata derulării investigației și se pot derula chiar și după încheierea oficială a investigației (de exemplu, în scopul activităților de monitorizare sau analiză a pieței ori a conformității, al evaluării necesității de a iniția noi activități de investigare, proceduri judiciare etc.).

Datele cu caracter personal prelucrate de Comisie sunt, de exemplu, date de identificare, date de contact, date profesionale și date legate de obiectul investigației sau al procedurii sau corelate cu acesta. Datele cu caracter personal sunt stocate într-un mediu electronic securizat pentru a preveni accesul sau transferul ilegal al datelor către persoane care nu prezintă necesitatea de a cunoaște. Datele cu caracter personal sunt păstrate în serviciile Comisiei responsabile cu investigația pentru perioada de timp necesară pentru a desfășura respectiva investigație și pentru a evalua necesitatea de a iniția noi activități de investigare, pe parcursul procedurii administrative, pe parcursul tuturor procedurilor ulterioare de control jurisdicțional, precum și în perioada de păstrare administrativă care urmează închiderii definitive a dosarului. La sfârșitul perioadei de păstrare, informațiile legate de caz, inclusiv datele cu caracter personal, sunt transferate în arhivele istorice ale Comisiei.

În îndeplinirea sarcinilor sale, Comisia este obligată să respecte drepturile persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, recunoscute prin articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și prin articolul 16 alineatul (1) din tratat. În același timp, fiind responsabilă de asigurarea respectării normelor în materie de concurență, Comisia trebuie să efectueze investigații în timp util, respectând, în același timp, normele privind confidențialitatea și secretul profesional, drepturile la apărare ale părților care fac obiectul investigațiilor sale, precum și drepturile persoanelor fizice a căror identitate trebuie protejată.

În anumite circumstanțe, este necesar să se reconcilieze drepturile persoanelor vizate prevăzute de Regulamentul (UE) 2018/1725 cu nevoile investigațiilor și ale activităților de asigurare a aplicării normelor, precum și cu respectarea deplină a drepturilor și libertăților fundamentale ale altor persoane vizate. În acest scop, articolul 25 din Regulamentul (UE) 2018/1725 oferă Comisiei posibilitatea de a restricționa aplicarea articolelor 14-22 și a articolului 35, precum și a articolului 4 – în măsura în care dispozițiile acestuia din urmă corespund drepturilor și obligațiilor prevăzute la articolele 14-22 din respectivul regulament.

Aceste norme interne ar trebui să acopere toate operațiunile de prelucrare efectuate de Comisie în exercitarea competențelor sale de investigare, fie că aceasta acționează din proprie inițiativă, fie că acționează pe baza contribuțiilor primite, precum și în exercitarea activităților de asigurare a aplicării normelor și a activităților operaționale conexe în materie de antitrust, de control al concentrărilor economice și de control al ajutoarelor de stat, ori de câte ori exercitarea drepturilor persoanelor vizate poate periclita desfășurarea investigațiilor sau a activităților de asigurare a aplicării normelor. Aceste norme ar trebui să se aplice operațiunilor de prelucrare desfășurate înainte de inițierea oficială a procedurilor, în cursul derulării investigațiilor, precum și după încheierea oficială a investigațiilor, inclusiv prelucrării în contextul cooperării bilaterale sau multilaterale cu autoritățile naționale de concurență, cu statele membre sau cu autorități și organizații din țări terțe.

Pentru a se conforma articolelor 14, 15 și 16 din Regulamentul (UE) 2018/1725, Comisia ar trebui să informeze toate persoanele fizice cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal și cu privire la drepturile lor într-un mod transparent și coerent, sub forma anunțurilor privind protecția datelor publicate pe site-ul web al Comisiei.

Fără a aduce atingere articolului 14 alineatul (5) și articolului 16 alineatul (5) din Regulamentul (UE) 2018/1725, Comisia este, de asemenea, în măsură, pe baza articolului 25 din regulamentul respectiv, să restricționeze furnizarea de informații persoanelor vizate și aplicarea altor drepturi ale persoanelor vizate pentru a-și proteja propriile investigații în materie de concurență și activități de asigurare a aplicării normelor în acest domeniu și pentru a proteja investigațiile și procedurile autorităților de concurență ale statelor membre, instrumentele și metodele de investigare, precum și drepturile altor persoane care au legătură cu investigațiile sale.

În plus, pentru a menține o cooperare efectivă, s-ar putea să fie necesară restricționarea, de către Comisie, a aplicării drepturilor persoanelor vizate pentru a proteja operațiunile de prelucrare ale altor instituții, organisme, oficii și agenții ale Uniunii sau ale autorităților statelor membre. În acest scop, Comisia ar trebui să consulte aceste servicii, instituții, organisme, oficii, agenții și autorități cu privire la motivele relevante pentru impunerea de restricții și necesitatea și proporționalitatea restricțiilor.

De asemenea, Comisia ar putea fi nevoită să restricționeze furnizarea de informații persoanelor vizate și aplicarea altor drepturi ale persoanelor vizate în ceea ce privește datele cu caracter personal primite din partea unor țări terțe sau a unor organizații internaționale, pentru a coopera cu aceste țări sau organizații și pentru a proteja astfel un obiectiv important de interes public general al Uniunii. Cu toate acestea, în anumite circumstanțe, interesele sau drepturile fundamentale ale persoanei vizate pot prevala asupra interesului cooperării internaționale.

Prin urmare, Comisia a identificat motivele enumerate la articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725 ca temei al restricțiilor prevăzute la articolul 25 din regulamentul respectiv care s-ar putea să trebuiască să fie aplicate operațiunilor de prelucrare a datelor efectuate în cadrul activităților Comisiei de investigare și de asigurare a aplicării normelor în domeniul concurenței, fiind incluse normele antitrust, controlul concentrărilor economice și controlul ajutoarelor de stat.

Comisia ar trebui să gestioneze toate restricțiile într-un mod transparent și să înregistreze fiecare aplicare a unei restricții în sistemul de consemnări corespunzător.

În temeiul articolului 25 alineatul (8) din Regulamentul (UE) 2018/1725, operatorii pot să amâne sau să se abțină de la furnizarea de informații privind motivele aplicării unei restricții persoanei vizate în cazul în care furnizarea acestor informații ar compromite în vreun fel scopul restricției. Este, în special, cazul restricțiilor privind drepturile prevăzute la articolele 16 și 35 din Regulamentul (UE) 2018/1725. Pentru a se asigura faptul că drepturile persoanelor vizate prevăzute la articolele 16 și 35 din Regulamentul (UE) 2018/1725 sunt restricționate numai atât timp cât sunt valabile motivele restricției, Comisia ar trebui să își revizuiască poziția în mod regulat, precum și la încheierea investigației relevante.

În cazul în care se aplică o restricționare a altor drepturi ale persoanelor vizate, operatorul ar trebui să evalueze, de la caz la caz, dacă informarea cu privire la restricție ar compromite scopul acesteia. Operatorul este serviciul responsabil de politica în domeniul concurenței din cadrul Comisiei.

Responsabilul cu protecția datelor din cadrul Comisiei ar trebui să efectueze o reexaminare independentă a aplicării restricțiilor, în vederea asigurării conformității cu prezenta decizie.

Prezenta decizie se adoptă în sensul articolului 25 din Regulamentul (UE) 2018/1725 și ar trebui să intre în vigoare în același timp cu regulamentul respectiv, pentru a se asigura securitatea juridică.

Autoritatea Europeană pentru Protecția Datelor a fost consultată,

Prezenta decizie stabilește normele pe care trebuie să le respecte Comisia pentru a informa persoanele vizate cu privire la prelucrarea datelor lor în conformitate cu articolele 14, 15 și 16 din Regulamentul (UE) 2018/1725, în cadrul activităților pe care le desfășoară în domeniul concurenței.

Prezenta decizie se aplică prelucrării datelor cu caracter personal de către Comisie în scopul activităților desfășurate în vederea îndeplinirii sarcinilor sale în temeiul articolelor 101-109 din tratat sau în legătură cu aceste activități.

În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, Comisia analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul menționat.

Sub rezerva articolelor 3-7 din prezenta decizie, Comisia poate restricționa aplicarea articolelor 14-17, 19, 20 și 35 din Regulamentul (UE) 2018/1725, precum și a principiului transparenței prevăzut la articolul 4 alineatul (1) litera (a) – în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19, 20 și 35 din Regulamentul (UE) 2018/1725 – în cazul în care exercitarea acestor drepturi și obligații ar periclita scopul activităților Comisiei de investigare și de asigurare a aplicării normelor, inclusiv prin dezvăluirea instrumentelor și a metodelor sale de investigare, sau ar afecta drepturile și libertățile altor persoane vizate.

Sub rezerva articolelor 3-7, Comisia poate restricționa drepturile și obligațiile menționate la prezentul articol alineatul (2) în ceea ce privește datele cu caracter personal obținute de la alte instituții, organisme, agenții și oficii ale Uniunii, de la autorități competente ale statelor membre sau ale țărilor terțe sau de la organizații internaționale, în următoarele circumstanțe:

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către alte instituții, organisme, agenții și oficii ale Uniunii, pe baza altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul respectiv ori în conformitate cu Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului sau cu Regulamentul (UE) 2017/1939 al Consiliului;

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către autoritățile competente ale statelor membre pe baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului sau în temeiul unor măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului;

în cazul în care exercitarea acestor drepturi și obligații ar putea periclita cooperarea Comisiei cu țări terțe sau cu organizații internaționale în ceea ce privește desfășurarea de investigații în materie de concurență sau asigurarea aplicării deciziilor în materie de concurență.

Alineatele (1), (2) și (3) nu aduc atingere aplicării altor decizii ale Comisiei de stabilire a normelor interne privind furnizarea de informații către persoanele vizate și restricționarea unor drepturi în temeiul articolului 25 din Regulamentul (UE) 2018/1725 și nici aplicării articolului 23 din Regulamentul de procedură al Comisiei.

Comisia publică pe site-ul său web anunțuri privind protecția datelor care informează toate persoanele vizate în legătură cu activitățile sale care implică prelucrarea datelor lor cu caracter personal.

Fără a aduce atingere articolului 14 alineatul (5) și articolului 16 alineatul (5) din Regulamentul (UE) 2018/1725, în cazul în care restricționează, integral sau parțial, furnizarea de informații către persoanele vizate ale căror date sunt prelucrate în scopul investigațiilor și al activităților de asigurare a aplicării normelor desfășurate în materie de concurență (inclusiv în scopul activităților operaționale conexe), Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 6.

În cazul în care restricționează, integral sau parțial, dreptul de acces la date al persoanelor vizate, dreptul la ștergerea datelor sau dreptul la restricționarea prelucrării menționate la articolele 17, 19 și, respectiv, 20 din Regulamentul (UE) 2018/1725, Comisia informează persoana vizată în cauză – în răspunsul său la cererea acesteia privind accesul, ștergerea sau restricționarea prelucrării – cu privire la restricția aplicată și la principalele motive ale acesteia, precum și cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.

Informațiile cu privire la motivele restricției menționate la alineatul (1) pot fi omise dacă furnizarea acestora ar submina scopul restricției.

Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 6.

În cazul în care dreptul de acces este restricționat integral sau parțial, persoana vizată își exercită dreptul de acces prin intermediul Autorității Europene pentru Protecția Datelor, în conformitate cu articolul 25 alineatele (6), (7) și (8) din Regulamentul (UE) 2018/1725.

În cazul în care restricționează informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal, astfel cum se menționează la articolul 35 din Regulamentul (UE) 2018/1725, Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 6 din prezenta decizie.

Comisia consemnează motivele oricărei restricții aplicate în temeiul prezentei decizii, incluzând o evaluare a necesității și a proporționalității restricției.

În acest scop, consemnarea indică modul în care exercitarea dreptului ar periclita scopul activităților de investigare și de asigurare a aplicării normelor desfășurate de Comisie sau scopul restricțiilor aplicate în temeiul articolului 2 alineatul (2) sau (3) sau modul în care aceasta ar afecta drepturile și libertățile altor persoane vizate.

Consemnarea și, dacă este cazul, documentele care conțin elemente faptice și juridice de sprijin se înregistrează. Acestea sunt puse la dispoziția Autorității Europene pentru Protecția Datelor, la cerere.

Restricțiile menționate la articolele 3, 4 și 5 continuă să se aplice atât timp cât motivele care le justifică rămân aplicabile.

În cazul în care motivele unei restricții menționate la articolul 3 sau 5 nu se mai aplică, Comisia ridică restricția și informează persoana vizată cu privire la motivele restricției. În același timp, Comisia informează persoana vizată cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor în orice moment sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.

Comisia revizuiește aplicarea restricțiilor menționate la articolele 3 și 5 în fiecare an, precum și la închiderea investigației relevante.

Responsabilul cu protecția datelor este informat, fără întârzieri nejustificate, ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie. La cerere, responsabilului cu protecția datelor i se asigură accesul la consemnări și la orice documente care conțin elemente faptice și juridice de sprijin.

Responsabilul cu protecția datelor poate solicita o reexaminare a restricției. Responsabilul cu protecția datelor este informat cu privire la rezultatul reexaminării solicitate.

Prezenta decizie intră în vigoare la data intrării în vigoare a Regulamentului (UE) 2018/1725.

Adoptată la Bruxelles, 5 decembrie 2018.Pentru ComisiePreședinteleJean-Claude Juncker