Decizia (UE) 2026/1447 a Comisiei din 30 iunie 2026 de stabilire a normelor interne privind furnizarea de informații persoanelor vizate și restricționarea anumitor drepturi ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal de către Comisie în scopul investigării, al asigurării respectării normelor și al monitorizării în temeiul Regulamentului (UE) 2022/2560 al Parlamentului European și al Consiliului

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE, în special articolul 25,

Regulamentul (UE) 2022/2560 al Parlamentului European și al Consiliului împuternicește Comisia să colecteze informații în scopul investigării, al asigurării respectării normelor și al monitorizării prin mai multe mijloace, cum ar fi solicitări de informații, inspecții, realizarea de interviuri. În plus, Regulamentul (UE) 2022/2560 obligă întreprinderile și operatorii economici să notifice Comisiei concentrările și procedurile de achiziții care implică contribuții financiare străine, cu condiția atingerii anumitor praguri. Investigarea, asigurarea respectării normelor și monitorizarea eficace în temeiul Regulamentului (UE) 2022/2560 necesită cooperarea dintre statele membre și Comisie, precum și un schimb fără sincope de informații între statele membre și Comisie.

Sarcinile prevăzute de Regulamentul (UE) 2022/2560 sunt îndeplinite de Direcția Generală Concurență și de Direcția Generală Piață Internă, Industrie, Antreprenoriat și IMM-uri.

Comisia prelucrează informații în contextul exercitării sarcinilor sale de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/2560. Aceste informații includ date cu caracter personal ale persoanelor fizice, cum ar fi informatori, personal al întreprinderilor care fac obiectul investigației, precum și persoane fizice ale căror date cu caracter personal sunt conținute în documente obținute în legătură cu activitățile de investigare, de asigurare a respectării normelor și de monitorizare în conformitate cu Regulamentul (UE) 2022/2560.

Prelucrarea datelor cu caracter personal, în sensul articolului 3 alineatul (3) din Regulamentul (UE) 2018/1725, desfășurată în cadrul activităților de investigare, de asigurare a respectării normelor și de monitorizare în conformitate cu Regulamentul (UE) 2022/2560, poate avea loc chiar și înainte de inițierea oficială de către Comisie a analizei preliminare, poate continua pe toată durata desfășurării investigației aprofundate și se poate derula chiar și după încheierea oficială a investigației, de exemplu, în scopul monitorizării conformității sau al activităților de analiză sau al evaluării necesității de a iniția noi activități de investigare sau proceduri judiciare.

Pentru a-și îndeplini sarcinile care îi revin în temeiul Regulamentului (UE) 2022/2560, Comisia, în calitate de operator de date, colectează și prelucrează ulterior mai multe categorii de date cu caracter personal, cum ar fi date de identificare, date de contact și alte informații referitoare la caz (precum date cu caracter personal conținute în documente, declarații, opinii și evidențe). Deși acest scenariu este improbabil, categoriile de date cu caracter personal prelucrate pot include, de asemenea, categorii speciale de date cu caracter personal, astfel cum sunt menționate la articolul 10 alineatul (1) din Regulamentul (UE) 2018/1725, precum și date cu caracter personal referitoare la condamnări penale și infracțiuni, astfel cum se menționează la articolul 11 din Regulamentul (UE) 2018/1725.

În îndeplinirea sarcinilor sale prevăzute în Regulamentul (UE) 2022/2560, Comisia este obligată să respecte drepturile persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, recunoscute la articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și la articolul 16 alineatul (1) din Tratatul privind funcționarea Uniunii Europene, precum și cerințele din Regulamentul (UE) 2018/1725. În același timp, în contextul activităților pe care le derulează în temeiul Regulamentului (UE) 2022/2560, Comisia trebuie să respecte normele stricte privind confidențialitatea și secretul profesional menționate la articolul 43 din regulamentul respectiv.

În anumite circumstanțe, s-ar putea să fie necesar să se găsească un echilibru între drepturile persoanelor vizate prevăzute în Regulamentul (UE) 2018/1725 și necesitatea de a asigura Comisiei posibilitatea de a își îndeplini efectiv sarcinile de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/2560, inclusiv în cooperare cu autoritățile competente din statele membre, sau drepturile și libertățile fundamentale ale altor persoane vizate. În acest sens, în temeiul articolului 25 alineatul (1) din Regulamentul (UE) 2018/1725, Comisia poate restricționa, în condiții stricte, aplicarea articolelor 14-22, 35 și 36 din Regulamentul (UE) 2018/1725, precum și a articolului 4, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-22 din Regulamentul (UE) 2018/1725.

În anumite circumstanțe, este necesar să se asigure un echilibru între drepturile persoanelor vizate și necesitatea de a garanta activitățile de investigare, de asigurare a respectării normelor și de monitorizare desfășurate de Comisie în temeiul Regulamentului (UE) 2022/2560 în exercitarea autorității sale oficiale în interesul public general al Uniunii, în temeiul articolului 25 alineatul (1) litera (g), în coroborare cu litera (c), din Regulamentul (UE) 2018/1725. Comisia ar putea aplica restricții în cazul în care, de exemplu, exercitarea acestor drepturi ar pune în pericol o investigație în curs, de exemplu în cazul în care există riscul distrugerii ori al modificării frauduloase a probelor sau în cazul în care există riscul interferării cu actori-cheie în cursul unei investigații.

În anumite circumstanțe, este necesar să se asigure un echilibru între drepturile persoanelor vizate și drepturile și libertățile fundamentale ale altor persoane implicate, cum ar fi informatori sau orice altă persoană fizică ce a raportat informații Comisiei în contextul exercitării sarcinilor sale de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/2560. În astfel de cazuri, Comisia ar putea fi nevoită să restricționeze accesul la identitatea, declarațiile și alte date cu caracter personal ale acestor persoane, pentru a proteja drepturile și libertățile tuturor persoanelor respective în temeiul articolului 25 alineatul (1) litera (h) din Regulamentul (UE) 2018/1725. Comisia poate decide să facă acest lucru în special pentru a proteja persoanele respective de eventuale represalii. Comisia poate dezvălui identitatea persoanei care efectuează raportarea numai în cazul în care respectiva persoană își dă acordul. Comisia trebuie să dezvăluie identitatea persoanei dacă acest lucru este impus prin lege sau de către o autoritate judiciară.

În cazurile în care persoanele vizate depun o cerere de acces la datele lor cu caracter personal, acestora ar trebui să li se acorde accesul la astfel de date cu caracter personal, inclusiv la cele furnizate de persoana care a efectuat raportarea. Pentru a proteja confidențialitatea persoanelor care efectuează raportarea și pentru a se asigura că drepturile lor nu sunt afectate negativ, Comisiei ar trebui să i se permită să nu îi furnizeze persoanei vizate numele persoanei care a efectuat raportarea și nici orice alte informații care ar permite identificarea acesteia în mod direct sau indirect.

În plus, pentru a-și îndeplini sarcinile de a asigura aplicarea eficace a Regulamentului (UE) 2022/2560, în special în contextul cooperării dintre Comisie și autoritățile competente din statele membre, Comisia poate restricționa aplicarea drepturilor persoanelor vizate pentru a garanta exercitarea autorității sale oficiale în interesul public, astfel cum se menționează la articolul 25 alineatul (1) litera (g), în coroborare cu litera (c), din Regulamentul (UE) 2018/1725. Comisia poate face acest lucru într-o situație în care scopul unei restricții impuse de către o autoritate a unui stat membru ar fi compromis în cazul în care Comisia nu ar aplica o restricție echivalentă cu privire la aceleași date cu caracter personal. În aplicarea unei astfel de restricții, Comisia ar trebui să consulte statul membru vizat cu privire la motivele potențiale relevante pentru impunerea de restricții și la necesitatea și proporționalitatea restricțiilor respective, cu excepția cazului în care această consultare ar pune în pericol activitățile Comisiei.

Când restricționează drepturile persoanelor vizate, Comisia ar trebui să se asigure că astfel de restricții respectă esența drepturilor și libertăților fundamentale, că sunt strict necesare și constituie o măsură proporțională într-o societate democratică. Comisia ar trebui să furnizeze o justificare pentru restricțiile aplicabile.

Articolul 25 alineatul (6) din Regulamentul (UE) 2018/1725 impune operatorului să informeze persoanele vizate cu privire la motivele principale care stau la baza aplicării restricției și cu privire la dreptul lor de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor.

În temeiul articolului 25 alineatul (8) din Regulamentul (UE) 2018/1725, Comisia poate să amâne, să omită sau să refuze să informeze persoana vizată cu privire la motivele principale ale aplicării unei restricții în cazul în care furnizarea acestor informații ar anula în orice mod efectul restricției. Comisia ar trebui să evalueze, de la caz la caz, dacă comunicarea informațiilor privind restricția și motivele din spatele acestei restricții i-ar anula efectul.

Comisia ar trebui să ridice restricția imediat ce condițiile care o justifică nu mai sunt valabile și să evalueze aceste condiții în mod regulat.

Pentru a se conforma articolelor 14, 15 și 16 din Regulamentul (UE) 2018/1725, Comisia ar trebui să informeze toate persoanele vizate cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal și cu privire la drepturile lor, într-un mod transparent și coerent, prin publicarea unui anunț privind protecția datelor pe site-ul web al Comisiei. Comisia ar trebui să informeze individual, prin mijloace adecvate, reprezentanții legali și personalul întreprinderilor care fac obiectul investigației, informatorii sau orice alte persoane fizice care furnizează informații Comisiei cu privire la prelucrarea datelor lor cu caracter personal.

Articolul 16 alineatul (5) din Regulamentul (UE) 2018/1725 prevede excepții de la dreptul la informare al persoanelor vizate dacă datele cu caracter personal nu au fost obținute de la persoanele vizate. În cazul în care se aplică aceste excepții, Comisia nu trebuie să aplice o restricție privind dreptul la informare în temeiul prezentei decizii. Excepțiile prevăzute la articolul 16 alineatul (5) litera (b) din Regulamentul (UE) 2018/1725 se aplică în cazul în care furnizarea informațiilor menționate la articolul 16 alineatele (1)-(4) din regulamentul respectiv se dovedește imposibilă, ar implica eforturi disproporționate sau este susceptibilă să facă imposibilă sau să afecteze în mod grav realizarea obiectivelor prelucrării respective, cum ar fi în cazul persoanelor vizate care nu sunt relevante pentru investigație, ale căror date cu caracter personal se regăsesc în documente colectate ca parte a activităților de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/2560.

În conformitate cu principiile transparenței, echității și responsabilității, Comisia ar trebui să gestioneze toate excepțiile și restricțiile într-un mod transparent și să țină evidența aplicării acestor excepții și restricții.

Pentru a garanta protecția drepturilor și libertăților persoanelor vizate și în conformitate cu articolul 44 alineatul (1) din Regulamentul (UE) 2018/1725, Comisia ar trebui să implice coordonatorii pentru protecția datelor din cadrul Direcției Generale Concurență și al Direcției Generale Piață Internă, Industrie, Antreprenoriat și IMM-uri pe tot parcursul procedurii de aplicare a restricțiilor și să păstreze documente privind această consultare. În special, coordonatorul responsabil pentru protecția datelor ar trebui să fie consultat în timp util cu privire la eventualele restricții care ar putea fi aplicate și să verifice conformitatea restricțiilor cu prezenta decizie.

Responsabilul cu protecția datelor din cadrul Comisiei trebuie să efectueze o examinare independentă a aplicării restricțiilor, pentru a garanta respectarea prezentei decizii.

Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 41 alineatul (2) din Regulamentul (UE) 2018/1725 și a emis un aviz la 16.4.2026,

Prezenta decizie stabilește normele interne pe care trebuie să le respecte Comisia pentru a informa persoanele vizate cu privire la prelucrarea datelor lor cu caracter personal în conformitate cu articolele 14, 15 și 16 din Regulamentul (UE) 2018/1725, atunci când își îndeplinește sarcinile de investigare, de asigurare a respectării normelor și de monitorizare în temeiul Regulamentului (UE) 2022/2560.

Prezenta decizie stabilește, de asemenea, condițiile în care Comisia poate restricționa aplicarea articolelor 4, 14-20 și 35 din Regulamentul (UE) 2018/1725, în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h) din respectivul regulament.

Prezenta decizie se aplică prelucrării datelor cu caracter personal ale următoarelor categorii de persoane vizate:

informatori;

reprezentanți legali și personal al întreprinderilor care fac obiectul investigației;

persoane fizice ale căror date cu caracter personal sunt cuprinse în documentele sau alte suporturi media colectate în cadrul investigării, al asigurării respectării normelor și al monitorizării în conformitate cu Regulamentul (UE) 2022/2560.

Prezenta decizie se aplică prelucrării datelor cu caracter personal ale următoarelor categorii de date cu caracter personal:

date de identificare;

date de contact;

alte date referitoare la caz, inclusiv date cu caracter personal menționate la articolul 10 alineatul (1) și la articolul 11 din Regulamentul (UE) 2018/1725.

Comisia publică pe site-ul său web relevant un aviz privind protecția datelor prin care informează toate persoanele vizate cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal în scopul investigării, al asigurării respectării normelor și al monitorizării în temeiul Regulamentului (UE) 2022/2560.

Avizul privind protecția datelor furnizează informații cu privire la posibilele restricționări ale drepturilor persoanelor vizate în temeiul articolului 4. Informațiile precizează drepturile care pot fi restricționate, motivele pentru care pot fi aplicate restricțiile și durata potențială a acestora, precum și dreptul persoanelor vizate de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor.

Comisia informează individual, prin mijloace adecvate, reprezentanții legali și personalul întreprinderilor care fac obiectul investigației și informatorii cu privire la prelucrarea datelor lor cu caracter personal.

Comisia poate restricționa aplicarea articolelor 14-20 și 35 din Regulamentul (UE) 2018/1725, precum și a principiului transparenței menționat la articolul 4 alineatul (1) litera (a) din regulamentul respectiv, în măsura în care dispozițiile privind restricțiile corespund drepturilor și obligațiilor prevăzute la articolele 14-20 din Regulamentul (UE) 2018/1725, în cazul în care:

exercitarea drepturilor și obligațiilor respective ar pune în pericol obiectivul sarcinilor Comisiei de investigare, de asigurare a respectării normelor și de monitorizare derulate în scopul de a asigura aplicarea efectivă a Regulamentului (UE) 2022/2560, în conformitate cu articolul 25 alineatul (1) litera (g), în coroborare cu litera (c), din Regulamentul (UE) 2018/1725;

exercitarea drepturilor și obligațiilor respective ar afecta în mod negativ protecția persoanei vizate sau a drepturilor și libertăților altora în conformitate cu articolul 25 alineatul (1) litera (h) din Regulamentul (UE) 2018/1725;

exercitarea drepturilor și obligațiilor respective ar pune în pericol cooperarea Comisiei cu autoritățile competente din statele membre în timpul exercitării sarcinilor sale menite să asigure aplicarea efectivă a Regulamentului (UE) 2022/2560, în conformitate cu articolul 25 alineatul (1) litera (g), în coroborare cu litera (c), din Regulamentul (UE) 2018/1725.

Înainte de a aplica restricții în circumstanțele menționate la alineatul (1) litera (c), Comisia consultă autoritățile competente din statele membre relevante cu privire la motivele potențiale pentru impunerea de restricții și cu privire la necesitatea și proporționalitatea restricțiilor respective, cu excepția cazului în care această consultare ar pune în pericol activitățile Comisiei.

Aceste restricții respectă esența drepturilor și libertăților fundamentale și constituie o măsură necesară și proporțională într-o societate democratică.

Înainte de aplicarea restricțiilor prevăzute la alineatul (1), Comisia efectuează și documentează o evaluare de la caz la caz a necesității și a proporționalității acestora. Restricțiile respective se limitează la ceea ce este strict necesar pentru atingerea obiectivului lor.

În cazul în care, în temeiul articolului 4, Comisia restricționează integral sau parțial dreptul de acces la date al persoanelor vizate, dreptul la rectificarea datelor, dreptul la ștergerea datelor sau dreptul la restricționarea prelucrării, astfel cum se menționează la articolele 17-20 din Regulamentul (UE) 2018/1725, Comisia informează persoana vizată în cauză, în răspunsul său la cererea de acces, de rectificare, de ștergere a datelor sau de restricționare a prelucrării, în legătură cu următoarele aspecte:

restricția aplicată și motivele principale ale acesteia;

posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor.

Comisia poate amâna, omite sau refuza furnizarea de informații privind motivele restricției și dreptul de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor, atât timp cât acest lucru ar anula efectul restricției. Comisia evaluează de la caz la caz caracterul justificat al acestei măsuri. Imediat ce acest lucru nu mai anulează efectul restricției, Comisia furnizează informațiile persoanei vizate.

În cazul în care Comisia are obligația de a comunica o încălcare a securității datelor cu caracter personal în temeiul articolului 35 alineatul (1) din Regulamentul (UE) 2018/1725, aceasta poate, în circumstanțe excepționale, să restricționeze, integral sau parțial, această comunicare, în conformitate cu articolul 4 din prezenta decizie. Comisia ține evidența și înregistrează motivele restricției, temeiul juridic al acesteia prevăzut la articolul 4 și o evaluare a necesității și a proporționalității acesteia.

În cazul în care motivele restricției nu se mai aplică, Comisia comunică persoanei vizate în cauză încălcarea securității datelor cu caracter personal și o informează cu privire la motivele principale ale restricției și cu privire la dreptul său de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor.

În cazul în care Comisia notifică încălcarea securității datelor cu caracter personal Autorității Europene pentru Protecția Datelor, în temeiul articolului 34 alineatul (1) din Regulamentul (UE) 2018/1725, Comisia însoțește notificarea cu înregistrarea efectuată în temeiul articolului 7 din prezenta decizie.

Comisia ține evidența motivelor pentru toate restricțiile aplicate în temeiul prezentei decizii, a temeiurilor juridice ale acestora prevăzute la articolul 4, a detaliilor perioadei de aplicare a restricției respective, a evaluării riscurilor la adresa drepturilor și libertăților persoanelor vizate generate de impunerea unei restricții și a evaluării necesității și a proporționalității restricției.

În evidențe se precizează modul în care exercitarea dreptului de către persoana vizată relevantă ar submina unul sau mai multe dintre obiectivele aplicabile prevăzute la articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725.

Evidențele și, dacă este cazul, documentele care conțin elemente de fapt și de drept subiacente se înregistrează. Acestea sunt puse, la cerere, la dispoziția Autorității Europene pentru Protecția Datelor.

Restricțiile menționate la articolele 4 și 6 se aplică atâta timp cât motivele care le justifică rămân aplicabile.

În cazul în care motivele pentru aplicarea unei restricții nu mai sunt valabile, Comisia ridică restricția.

La ridicarea unei restricții, Comisia îi prezintă persoanei vizate motivele pentru aplicarea restricției și o informează în legătură cu posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a recurge la o cale de atac la Curtea de Justiție a Uniunii Europene.

Comisia revizuiește aplicarea restricțiilor menționate la articolele 4 și 6 o dată la șase luni. Examinarea include o evaluare a necesității și proporționalității restricției.

Comisia pune în aplicare garanții pentru a preveni abuzul și accesul ilegal sau transferul de date cu caracter personal care fac sau ar putea face obiectul unor restricții sau excepții. Aceste garanții includ următoarele măsuri tehnice și organizatorice:

o definiție clară a rolurilor, a responsabilităților, a etapelor procedurale și a drepturilor de acces;

un mediu electronic securizat, care previne accesul sau transferul ilegal sau accidental de date electronice către persoane neautorizate;

stocarea și prelucrarea în condiții de siguranță a documentelor pe suport de hârtie, limitată la ceea ce este strict necesar pentru atingerea scopului prelucrării;

monitorizarea corespunzătoare a restricțiilor.

Datele cu caracter personal sunt păstrate în conformitate cu normele aplicabile privind păstrarea datelor ale Comisiei, care urmează să fie definite în evidențele de prelucrare ținute în temeiul articolului 31 din Regulamentul (UE) 2018/1725. La sfârșitul perioadei de păstrare, datele cu caracter personal sunt șterse, anonimizate sau transferate în arhive conform articolului 13 din Regulamentul (UE) 2018/1725.

Coordonatorul pentru protecția datelor din cadrul Direcției Generale Concurență este consultat înainte de aplicarea oricăror restricții cu privire la concentrările notificate și la investigațiile ex officio și verifică conformitatea acestora cu prezenta decizie.

Coordonatorul pentru protecția datelor din cadrul Direcției Generale Piață Internă, Industrie, Antreprenoriat și IMM-uri este consultat înainte de aplicarea oricăror restricții în ceea ce privește procedurile de achiziții notificate și investigațiile ex officio legate de achizițiile publice și verifică conformitatea acestora cu prezenta decizie.

Responsabilul cu protecția datelor din cadrul Comisiei este informat, fără întârzieri nejustificate, ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie. La cerere, responsabilului cu protecția datelor din cadrul Comisiei i se acordă accesul la evidențe și la orice documente care conțin elemente de fapt și de drept justificative.

Responsabilul cu protecția datelor din cadrul Comisiei poate solicita o examinare a aplicării unei restricții și este informat în scris cu privire la rezultatul acestei examinări.

Comisia documentează implicarea responsabilului cu protecția datelor și a coordonatorului pentru protecția datelor respectiv, inclusiv informațiile la care li se acordă acces, în fiecare caz în care sunt aplicate restricțiile menționate la articolul 4 alineatul (1).

Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Adoptată la Bruxelles, 30 iunie 2026.Pentru ComisiePreședintaUrsula von der Leyen