Ref. Ares(2024)1197492 - 16/02/2024

1/ Descripción de la operación de tratamiento

El Defensor del Pueblo lleva a cabo investigaciones sobre posibles casos de mala administración en una institución, órgano u organismo de la UE (en lo sucesivo, «institución de la UE») e informa al respecto.

El Defensor del Pueblo trata los datos personales de las personas para tramitar reclamaciones e investigaciones por iniciativa propia cuando recopila y registra datos personales en su sistema electrónico de gestión de reclamaciones (CMS). El Defensor del Pueblo trata los datos personales de los reclamantes y de terceros relacionados con la reclamación/investigación, ya sea porque son facilitados por el reclamante o recogidos durante la investigación. El Defensor del Pueblo puede transferir datos personales a otras instituciones de la UE u ocasionalmente a las autoridades de los Estados miembros, como se describe a continuación.

La base jurídica de esta operación de tratamiento de datos es el artículo 228 del Tratado de Funcionamiento de la Unión Europea (TFUE) y el Estatuto del Defensor del Pueblo Europeo (en lo sucesivo, «Estatuto»).

Los datos personales se tratan de conformidad con el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos.

2/ ¿Qué información personal recopilamos, para qué fines y a través de qué medios técnicos?

Qué

Al tramitar reclamaciones e investigaciones, el Defensor del Pueblo recibe y/o recopila documentos que pueden contener datos personales en relación con:

i) las personas físicas que presenten reclamaciones («denunciantes») y

ii) otras personas relevantes para la queja / investigación u otros terceros nombrados en quejas u otros documentos relacionados con la investigación que sean irrelevantes o meramente incidentales a la investigación.

Estos datos personales incluyen la identificación y la información de contacto (nombre, dirección, correo electrónico, teléfono, fax), nacionalidad, información profesional y cualquier otra información sobre una persona relacionada con la consulta. También puede haber categorías especiales de datos incluidos en una denuncia, como, por ejemplo, datos que revelen el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas, la afiliación sindical y los datos relativos a la salud o la vida sexual [1].

Si el Defensor del Pueblo decide llevar a cabo una consulta pública (general o específica) en relación con la tramitación de casos, las contribuciones que reciba en respuesta a la misma contendrán principalmente algunos datos personales. Se pide a los participantes en las consultas públicas (generales o específicas) que indiquen su nivel previo de consentimiento en relación con la divulgación de sus datos. Para más información, consulte la declaración de privacidad relativa a las consultas del Defensor del Pueblo Europeo en este sitio web.

Por qué

El Defensor del Pueblo debe tratar datos personales para investigar posibles casos de mala administración con los objetivos de:

a) encontrar una solución a las cuestiones específicas de la denuncia en cuestión,

b) determinar posibles problemas sistémicos y formular sugerencias conexas cuando proceda, y

c) al hacerlo, garantizar la consolidación continua a largo plazo de las bases de conocimientos pertinentes conexas que subyacen a estas actividades.

En relación específicamente con las consultas públicas relacionadas con los casos, el objetivo es garantizar que la evaluación de las cuestiones en cuestión esté lo mejor informada posible.

Los datos personales también se utilizan para comunicarse con los reclamantes y para determinar si una reclamación está dentro del mandato del Defensor del Pueblo. Algunos datos se utilizan con fines estadísticos (país, nacionalidad, categoría profesional e idioma) de forma anónima para cumplir el requisito de información establecido en el Estatuto del Defensor del Pueblo Europeo.

Cómo

Normalmente, el Defensor del Pueblo recoge o recibe los datos personales en documentos, incluidos formularios, que en su mayoría son electrónicos.

En algunos casos, los datos forman parte de la información que inicialmente se recibe oralmente en reuniones, inspecciones o audiencias. Durante esas reuniones o inmediatamente después de ellas, la información pertinente se registra en documentos para el expediente, en su mayoría electrónicos, pero en algunos casos también en papel.

3/ ¿Quién tiene acceso a su información y a quién se revela?

Personal del Defensor del Pueblo

El personal del Defensor del Pueblo que interviene en la tramitación de los asuntos de la Oficina tiene acceso a los expedientes de los asuntos y a sus documentos, algunos de los cuales contienen datos personales, así como a la base de datos que contiene dichos documentos y los datos relacionados.

Instituciones de la UE

Cuando se envía una reclamación a una institución de la UE en relación con una investigación, los datos personales normalmente permanecen visibles en los documentos. Este es también el caso cuando el denunciante ha solicitado un tratamiento confidencial de su denuncia. Esta confidencialidad no se aplica a la comunicación relacionada con la investigación entre el Defensor del Pueblo y la institución, que tiene derecho a estar plenamente informado de toda la información relacionada con las acusaciones de las que es objeto. Sin embargo, antes del envío de la reclamación y su posible documentación conexa, el agente de investigaciones del Defensor del Pueblo llevará a cabo una comprobación para verificar si la transferencia de los documentos implicaría una transferencia manifiestamente innecesaria de datos personales. La expurgación de los datos personales excesivos, como aquí se describe, se registra debidamente en la nota de caso redactada para la apertura de la investigación. Si una queja contiene datos personales excesivos, los datos personales excesivos se eliminarán.

Si el Defensor del Pueblo no puede tramitar o aceptar la reclamación, también puede transferir la reclamación a otra institución u organismo pertinente de la UE que pueda estar mejor situado para tratar la cuestión planteada por el reclamante. Ejemplos de ello son la Comisión Europea en relación con las denuncias sobre posibles infracciones del Derecho de la UE, el Parlamento Europeo en relación con cuestiones políticas, la Oficina Europea de Lucha contra el Fraude en relación con cuestiones de fraude y el Supervisor Europeo de Protección de Datos.

El Defensor del Pueblo utiliza «eTranslation» (traducción automática) para traducir automáticamente los documentos relacionados con las reclamaciones, que pueden contener datos personales. eTranslation es un servicio gestionado por la Comisión Europea, que no analiza el contenido del documento traducido. Las traducciones y otros resultados generados por el servicio se devuelven a sus usuarios y están diseñados para ser inaccesibles durante el procesamiento. El Defensor del Pueblo también podrá enviar documentos para su traducción a los servicios de traducción del Parlamento Europeo o al Centro de Traducción de los Órganos de la Unión Europea cuando sea necesario traducir documentos. Dichos documentos a veces pueden contener datos personales. Los traductores trabajan bajo las obligaciones de confidencialidad establecidas por los organismos de la UE mencionados anteriormente.

Otros organismos u organizaciones

Del mismo modo, en el caso de otras reclamaciones que no pueda tramitar, el Defensor del Pueblo puede decidir transferir una reclamación, sin expurgar los datos personales, a instituciones u organizaciones nacionales que puedan ayudar al reclamante. Puede decidir hacerlo si el denunciante ha dado su consentimiento explícito. Solo realiza transferencias a dichos organismos u organizaciones ubicados en la UE.

Cuando el Defensor del Pueblo tenga conocimiento de hechos que puedan constituir una infracción penal o estar relacionados con ella, informará a las autoridades nacionales competentes, a la Fiscalía Europea o a la Oficina Europea de Lucha contra el Fraude (OLAF).[2] Al hacerlo, normalmente enviará los documentos pertinentes, sin expurgar, a la autoridad de que se trate.

Solicitudes individuales de acceso público a documentos

Los ciudadanos de la UE pueden ejercer su derecho fundamental a solicitar el acceso del público a cualquier documento que obre en poder del Defensor del Pueblo, incluidos los documentos del expediente del asunto o los documentos relacionados con él. Estas solicitudes se tramitan sobre la base del Reglamento (CE) n.o 1049/2001 relativo al acceso del público a los documentos de las instituciones de la UE.

Al responder a las solicitudes de acceso público a los documentos, los datos personales de los reclamantes y de terceros, sin incluir al personal de la UE, se ocultan por defecto antes de la divulgación pública de los documentos en poder del Defensor del Pueblo.

Derechos de los interesados

Los interesados pueden ejercer su derecho de acceso, rectificación o supresión de sus datos personales en el contexto de la tramitación de reclamaciones, enviando una solicitud por correo electrónico al responsable del tratamiento en el buzón que se indica a continuación.

Tienen la posibilidad de solicitar el tratamiento confidencial de su denuncia o de determinadas partes de la misma indicando dicho requisito en la denuncia y aportando una motivación o justificación justificativa.

El Defensor del Pueblo cumple las normas de protección de datos, incluida la obligación de informar a terceros interesados sobre el tratamiento de sus datos personales y el derecho de dichos interesados a tener acceso a sus datos personales y a que se rectifiquen errores en dichos datos, o a que se restrinjan o supriman los datos, de conformidad con dichas normas. Teniendo en cuenta el principio de minimización de datos, se aconseja al reclamante que facilite únicamente información que sea pertinente para el objeto de la reclamación y que evite detalles innecesarios e irrelevantes, especialmente si incluye datos personales de terceros. No obstante, el Defensor del Pueblo siempre tendrá en cuenta las circunstancias del reclamante al cumplir sus obligaciones en materia de protección de datos, en particular cuando el reclamante se encuentre en una situación vulnerable. El Defensor del Pueblo llevará a cabo una evaluación caso por caso que sopesará los derechos e intereses legítimos del reclamante y del tercero interesado.

Si el reclamante decide presentar una reclamación anónima, dicha reclamación siempre será inadmisible.[3] No obstante, el Defensor del Pueblo podrá decidir, en función de la información que figure en dicha reclamación, seguir adelante con la cuestión mediante una investigación por iniciativa propia.

4/ ¿Cómo protegemos y protegemos sus datos personales?

Dentro de la organización, el Defensor del Pueblo Europeo protege los datos personales mediante normas y medidas prácticas.

Se informa a todo el personal sobre sus estrictas obligaciones de confidencialidad y se le imparte la formación correspondiente y se le proporciona información actualizada sobre prácticas y normas.

Cada miembro del personal del Defensor del Pueblo tiene la responsabilidad de primer nivel de mantener sus archivos de trabajo de tal manera que se garantice la seguridad de los datos personales contenidos en ellos.

Los documentos y formularios de datos relacionados con el caso se manejan casi en su totalidad electrónicamente, lo que proporciona derechos de acceso configurables y reduce el riesgo de circulación involuntaria de copias impresas. Como se ha mencionado anteriormente, el personal del Defensor del Pueblo que participa en la tramitación de los asuntos de la Oficina tiene acceso a los expedientes y a sus documentos.

Cualquier reclamante real o potencial podrá presentar en cualquier momento una solicitud motivada de acceso limitado a su expediente de reclamación, una solicitud que puede ser pertinente, por ejemplo, si el reclamante es un miembro actual o antiguo del personal del Defensor del Pueblo, otro miembro del personal de la UE, un miembro de redes o grupos similares con los que varios miembros del personal de la Oficina del Defensor del Pueblo tengan o pueda esperarse que tengan contacto. Los documentos y formularios de datos se almacenan electrónicamente en servidores virtuales puestos a disposición del Defensor del Pueblo por el Parlamento Europeo. El acceso a los datos por parte del Parlamento Europeo está controlado y es estrictamente para fines de administración y apoyo informáticos.

Los archivos físicos se mantienen encerrados en salas de archivo separadas y, cuando procede, en cajas fuertes.

5/ ¿Cómo puede solicitarnos que verifiquemos, modifiquemos o borremos su información?

Los interesados tienen derecho a acceder a los datos personales que tenemos sobre ellos y a solicitar al Defensor del Pueblo que los corrija, complete o, en su caso, suprima.[4] Toda solicitud de acceso a datos personales o de rectificación, restricción o supresión de datos personales debe dirigirse al responsable de la investigación o al responsable del tratamiento de datos (correo electrónico: EO@ombudsman.europa.eu).

También puede ponerse en contacto con el delegado de protección de datos del Defensor del Pueblo Europeo (DPO-Euro-Ombudsman@ombudsman.europa.eu) si tiene alguna pregunta sobre el tratamiento de sus datos personales.

Pueden aplicarse restricciones en virtud del artículo 25 del Reglamento (UE) 2018/1725 (véase la Decisión del Defensor del Pueblo de 9 de noviembre de 2020 [5]).

6/ ¿Durante cuánto tiempo conservamos sus datos?

Los expedientes, incluidos los datos relacionados con documentos o los datos integrados en bases de datos, están sujetos a un período de conservación de:

• Dos años para las reclamaciones que no entran en el ámbito de competencias de la Oficina.
• Diez años para las reclamaciones que entran dentro del mandato de la Oficina. Esto incluye las reclamaciones en las que el Defensor del Pueblo abrió una investigación y las reclamaciones en las que el Defensor del Pueblo no abrió una investigación, ya sea porque eran inadmisibles o por falta de motivos. Los documentos relacionados con quejas que tuvieron una importancia pública significativa o que se consideran casos importantes se archivan posteriormente, de forma anónima, con fines históricos. No obstante, excepcionalmente, los datos personales podrán conservarse cuando sea necesario para servir a intereses históricos o públicos.

Se aplican períodos de conservación más cortos a los documentos confidenciales que forman parte del expediente del asunto. En particular, los documentos confidenciales se suprimirán, por lo general, una vez que se haya cerrado el caso y, cuando se trate de un denunciante, haya expirado el plazo para tramitar cualquier solicitud de revisión.

En casos excepcionales, el período estándar de conservación de diez años se aplicará a los documentos confidenciales cuando:

• a) está claro que la información en cuestión es, o bien puede ser, importante para la comprensión del caso en el futuro, incluidas las circunstancias en las que el caso tiene precedencia o valor formativo;
• b) la conservación del documento pueda servir a intereses históricos o públicos; o
• c) la conservación del documento puede ser pertinente en el contexto de procedimientos formales reales o posibles en el futuro.

Cualquier decisión y acción en relación con el manejo de los documentos confidenciales mencionados anteriormente se registra debidamente en el expediente del caso.

7/ Recurso

Los interesados tienen derecho en cualquier momento a presentar una reclamación ante el Supervisor Europeo de Protección de Datos (edps@edps.europa.eu), si consideran que el Defensor del Pueblo ha vulnerado sus derechos en virtud del Reglamento (UE) 2018/1725.

[1] Artículo 10 del Reglamento 2018/1725.

[2] Artículo 9, apartado 2, del Estatuto del Defensor del Pueblo.

[3] Artículo 2, apartado 2, del Estatuto del Defensor del Pueblo.

[4] Artículos 17 a 20 del Reglamento 2018/1725.

[5] Decisión del Defensor del Pueblo Europeo, de 9 de noviembre de 2020, sobre normas internas para restringir determinados derechos de los interesados en el tratamiento de datos personales, disponible en https://www.ombudsman.europa.eu/es/document/en/141577.