1. Introducción

Además del tratamiento de datos personales de las personas que presentan reclamaciones, el Defensor del Pueblo puede, dependiendo de los hechos del caso, tener que tratar datos personales en relación con otras personas («terceros interesados»).

Tras la recepción de una reclamación, el Defensor del Pueblo evalúa si la información facilitada contiene datos personales de terceros, es decir, cualquier información relativa a una persona física identificada o identificable, distinta del reclamante.

El concepto de datos personales es muy amplio [1]. A modo de ejemplo, incluye información sobre la identidad y las características personales de una persona, sus declaraciones y opiniones, y su situación civil y laboral [2].

La presente política se refiere a la forma en que el Defensor del Pueblo da efecto a la obligación de informar a los interesados sobre el tratamiento de sus datos personales en el contexto de una reclamación o una investigación, cuando los datos no se hayan obtenido de dichos interesados. Al elaborar la presente política, el Defensor del Pueblo ha tenido en cuenta las orientaciones del Supervisor Europeo de Protección de Datos (SEPD)[3].

2. El deber de informar

Cuando los datos personales de un tercero interesado se incluyan en una reclamación u otros documentos relacionados con la investigación, el Defensor del Pueblo tiene la obligación de facilitar a la persona en cuestión determinada información [4], a saber:

a) la identidad y los datos de contacto del responsable del tratamiento, es decir, del Defensor del Pueblo [5];

b) los datos de contacto del delegado de protección de datos del Defensor del Pueblo;

c) la finalidad de la operación de tratamiento (por ejemplo, la tramitación de una reclamación) y la base jurídica para el tratamiento (por ejemplo, las normas relativas al tratamiento de datos personales por parte de las instituciones de la UE [6] o el Estatuto del Defensor del Pueblo [7]);

d) las categorías de datos de que se trate (por ejemplo, la identidad y la situación laboral de la persona en cuestión);

e) los destinatarios de los datos [8];

f) cuando proceda, que el Defensor del Pueblo tiene la intención de transferir los datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación por parte de la Comisión o de garantías adecuadas o adecuadas y los medios para obtener una copia de los mismos o cuando se hayan puesto a disposición; y

g) la siguiente información adicional, necesaria para garantizar un tratamiento justo y transparente de los datos personales de la persona:

i) los plazos para el almacenamiento de los datos pertinentes;

ii) el hecho de que la persona tenga derecho a solicitar el acceso, la rectificación, la supresión o la limitación del tratamiento de sus datos personales o el derecho a oponerse al tratamiento [9];

iii) el derecho de la persona a recurrir al SEPD, y

iv) el origen de los datos (incluidas, en su caso, las fuentes públicamente disponibles).

3. La política

A. Reclamaciones fuera del mandato

Si el Defensor del Pueblo considera que una reclamación que contiene datos personales de terceros no entra dentro de su mandato, informa al reclamante en consecuencia y le asesora, cuando es posible, sobre el organismo que podría tramitar la reclamación. Cuando el reclamante haya aceptado la transferencia de su reclamación en caso de que el Defensor del Pueblo no pueda tramitarla, el Defensor del Pueblo remitirá la reclamación al órgano competente (por ejemplo, un Defensor del Pueblo nacional).

En tales casos, el Defensor del Pueblo no considera necesario facilitar la información individual mencionada en el punto 2 anterior porque i) la finalidad para la que el Defensor del Pueblo trata estos datos personales (evaluación de si la reclamación está dentro del mandato del Defensor del Pueblo y, de no ser así, posible transferencia de la reclamación a otro organismo) no requiere que el Defensor del Pueblo identifique al tercero interesado [10]; y ii) informar individualmente a terceros interesados sobre el hecho de que el Defensor del Pueblo puede estar tratando datos que les conciernen, aunque sea posible, daría lugar a una multiplicación innecesaria de datos personales y, por lo tanto, implicaría un esfuerzo desproporcionado [11].

En su lugar, la Defensora del Pueblo publica una nota informativa en su sitio web en la que informa al público en general de que puede estar tratando datos personales de personas distintas de la demandante en el contexto de su tramitación de reclamaciones. La presente nota incluye un enlace a esta política y a una declaración para el tratamiento de datos personales en el contexto de la tramitación de reclamaciones e investigaciones por parte del Defensor del Pueblo. La presente nota, la presente política y la declaración se consideran suficientes para proporcionar toda la información pertinente a las personas cuyos datos personales pueda tratar el Defensor del Pueblo [12] y para permitirles solicitar el acceso, la rectificación, la supresión y la limitación del tratamiento de sus datos personales si así lo desean [13].

B. Dentro del mandato, pero inadmisibles y admisibles, no hay motivos para quejarse

En los casos anteriores, el Defensor del Pueblo no considera que sea necesario facilitar la información individual mencionada en el punto 2 anterior, ya que informar individualmente a terceros interesados sobre el hecho de que el Defensor del Pueblo puede estar tratando datos relacionados con ellos, incluso si es posible, daría lugar a una multiplicación innecesaria de datos personales que, habida cuenta de las limitadas acciones en cuestión, a saber, la ausencia de cualquier transferencia de la reclamación fuera de la oficina del Defensor del Pueblo, implicaría un esfuerzo desproporcionado [14].

La nota informativa publicada en el sitio web del Defensor del Pueblo y la presente política y la declaración se consideran suficientes para proporcionar toda la información pertinente a las personas cuyos datos personales pueda tratar el Defensor del Pueblo [15] y para permitirles solicitar el acceso, la rectificación, la supresión y la limitación del tratamiento de sus datos personales si así lo desean [16].

C - Consultas

En los casos anteriores, el Defensor del Pueblo debe decidir en primer lugar si los datos relativos a terceros son o no pertinentes para el objeto de la investigación. Una forma de hacerlo es examinar si el Defensor del Pueblo se ocuparía de la investigación de manera diferente si el tercero interesado no hubiera sido mencionado o identificado en el expediente de la investigación.

Los datos pertinentes podrían ser, por ejemplo, los relativos a la experiencia profesional anterior del funcionario de la UE que es miembro de un tribunal calificador que supuestamente tiene un conflicto de intereses. Los datos irrelevantes podrían ser, por ejemplo, los relacionados con el estado civil de ese funcionario de la UE. Otros datos irrelevantes que es probable que se recopilen durante la investigación del Defensor del Pueblo de manera puramente incidental son, por ejemplo, los nombres de otros funcionarios de la UE mencionados en las decisiones de la institución pertinente y los documentos recopilados durante la investigación del Defensor del Pueblo.

La decisión sobre la pertinencia de esos datos y el análisis subyacente se expondrán en el resumen que se registra en el expediente pertinente del Sistema de Gestión de Casos (CMS) del Defensor del Pueblo.

Datos irrelevantes

En los casos en que los datos son irrelevantes para el objeto de la investigación, el Defensor del Pueblo no considera que sea necesario facilitar información individual al tercero porque i) dado que los datos son irrelevantes, la finalidad para la que el Defensor del Pueblo trata estos datos personales (tratamiento de la reclamación/investigación) no requiere que el Defensor del Pueblo identifique a los terceros interesados [17]; y ii) informar individualmente a dichos terceros interesados, aunque sea posible, daría lugar a una multiplicación innecesaria de datos personales e implicaría un esfuerzo desproporcionado teniendo en cuenta el hecho de que el Defensor del Pueblo no hace uso de los datos en cuestión en el contexto de su investigación [18]. Los datos manifiestamente irrelevantes incluidos en el texto de la reclamación no serán tratados por el Defensor del Pueblo [19].

La nota informativa publicada en el sitio web del Defensor del Pueblo, la presente política y la declaración se consideran suficientes para proporcionar toda la información pertinente a las personas cuyos datos personales pueda tratar el Defensor del Pueblo [20] y para permitirles solicitar el acceso, la rectificación, la supresión y la limitación del tratamiento de sus datos personales si así lo desean [21].

Datos pertinentes

Si los datos son pertinentes, el Defensor del Pueblo considera facilitar la información del punto 2 anterior al tercero interesado.

Sin embargo, si la evaluación de la reclamación permite concluir que el tercero interesado ya dispone de la información (cuando, por ejemplo, el funcionario de la UE que presuntamente tiene un conflicto de intereses tiene una copia completa de la reclamación y de los documentos justificativos)[22], o que facilitar la información es imposible o implica un esfuerzo desproporcionado (cuando, por ejemplo, la persona en cuestión ha abandonado el servicio entretanto y no puede ser rastreada)[23], el Defensor del Pueblo registra la evaluación detallada que lleva a esa conclusión en el resumen del caso en el CMS y la nota publicada en el sitio web del Defensor del Pueblo, junto con la presente política y declaración, se consideran suficientes para proporcionar la información necesaria a las personas cuyos datos personales puede tratar el Defensor del Pueblo [24] y permitirles solicitar acceso, rectificación, supresión y restricción del tratamiento de sus datos personales si así lo desean [25].

En los casos en que el tercero interesado no disponga de la información y cuando sea posible informarle y no implique un esfuerzo desproporcionado, el Defensor del Pueblo examinará si es probable que informar al tercero interesado haga imposible o perjudique gravemente la consecución de los objetivos de dicho tratamiento, a saber, investigar adecuadamente y decidir sobre una posible mala administración en las actividades de las instituciones, órganos u organismos de la Unión, tras el ejercicio de un derecho fundamental (una reclamación ante el Defensor del Pueblo) o por iniciativa propia del Defensor del Pueblo [26].

Este sería el caso si, por ejemplo, el tercero interesado estuviera en condiciones de influir en la investigación: ocultando pruebas importantes, por ejemplo, o tomando represalias contra el demandante por haber ejercido un derecho fundamental (reclamar al Defensor del Pueblo), lo que repercute en la investigación (el demandante ya no está dispuesto a contribuir a la investigación, por ejemplo).

Si, tras el análisis anterior, el Defensor del Pueblo concluye que el suministro de información al tercero interesado puede hacer imposible o perjudicar gravemente la investigación y la capacidad del Defensor del Pueblo para adoptar una decisión sobre las alegaciones de mala administración, la evaluación y la conclusión subsiguiente se registrarán en el expediente del asunto en el CMS. La nota publicada en el sitio web del Defensor del Pueblo, junto con la presente política y declaración, se consideran suficientes para proporcionar la información necesaria a las personas cuyos datos personales pueda tratar el Defensor del Pueblo en tales casos excepcionales [27] y para permitirles solicitar el acceso, la rectificación, la supresión y la limitación del tratamiento de sus datos personales si así lo desean [28].

Si, por el contrario, el Defensor del Pueblo concluye que no es probable que el suministro de información al tercero interesado haga imposible o perjudique gravemente la investigación y la capacidad del Defensor del Pueblo para adoptar una decisión sobre las alegaciones de mala administración, facilitará al tercero interesado la información indicada en el punto 2 tan pronto como finalice el examen de la reclamación y se informe a la institución [29].

4. Contribuciones en respuesta a las consultas públicas del Defensor del Pueblo

Los principios establecidos en esta política se aplican también a cualquier dato personal recibido en el contexto de las consultas públicas del Defensor del Pueblo.

 

Emily O'Reilly

Estrasburgo, 16.7.2019

 

[1] Artículo 3, apartado 1, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO 2018, L 295, p. 39): «datos personales»: toda información relativa a una persona física identificada o identificable («interesado»); una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador como un nombre, un número de identificación, datos de localización, un identificador en línea o a uno o varios factores específicos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona física.».

[2] Para un análisis detallado del concepto de datos personales, consulte el dictamen 4/2007 del Grupo de trabajo sobre protección de datos del artículo 29, disponible aquí: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Artículo 16, apartados 1 y 2, del Reglamento 2018/1725.

[5] Artículo 3, apartado 8, del Reglamento 2018/1725: «responsable del tratamiento»: la institución u organismo de la Unión, la dirección general o cualquier otra entidad organizativa que, por sí sola o conjuntamente con otras, determine los fines y medios del tratamiento de datos personales; cuando los fines y medios de dicho tratamiento estén determinados por un acto específico de la Unión, el Derecho de la Unión podrá establecer el responsable del tratamiento o los criterios específicos para su designación.».

[6] Artículo 5 del Reglamento 2018/1725.

[7] Decisión del Parlamento Europeo, de 9 de marzo de 1994, relativa al Estatuto del Defensor del Pueblo y a las condiciones generales del ejercicio de sus funciones (94/262/CECA, CE, Euratom) (DO 1994, L 113, p. 15), modificada por sus Decisiones de 14 de marzo de 2002 (DO 2002, L 92, p. 13), y de 18 de junio de 2008 (DO 2008, L 189, p. 25).

[8] Artículo 3, apartado 13, del Reglamento 2018/1725: «destinatario»: persona física o jurídica, autoridad pública, agencia u otro organismo al que se comunican los datos personales, ya sea un tercero o no. No obstante, las autoridades públicas que puedan recibir datos personales en el marco de una investigación concreta de conformidad con el Derecho de la Unión o de los Estados miembros no se considerarán destinatarios; el tratamiento de dichos datos por parte de dichas autoridades públicas se ajustará a las normas aplicables en materia de protección de datos en función de los fines del tratamiento».

[9] Artículos 17 a 20 y 23 del Reglamento 2018/1725.

[10] Artículo 12, apartado 1, del Reglamento 2018/1725: «Si los fines para los que un responsable del tratamiento trata datos personales no requieren o han dejado de requerir la identificación de un interesado por el responsable del tratamiento, el responsable del tratamiento no estará obligado a mantener, adquirir o tratar información adicional para identificar al interesado con el único fin de cumplir lo dispuesto en el presente Reglamento».

[11] Artículo 16, apartado 5, letra b), del Reglamento (UE) 2018/1725: «Los apartados 1 a 4 no se aplicarán cuando y en la medida en que: [...] el suministro de dicha información resulte imposible o suponga un esfuerzo desproporcionado [...]»

[12] Artículo 16, apartado 6, del Reglamento 2018/1725: «En los casos a que se refiere el apartado 5, letra b), el responsable del tratamiento adoptará las medidas adecuadas para proteger los derechos y libertades y los intereses legítimos del interesado, incluida la puesta a disposición del público de la información».

[13] Artículo 12, apartado 2, del Reglamento 2018/1725: «Cuando, en los casos a que se refiere el apartado 1 del presente artículo, el responsable del tratamiento pueda demostrar que no está en condiciones de identificar al interesado, informará de ello al interesado, si es posible. En tales casos, no se aplicarán los artículos 17 a 22, excepto cuando el interesado, a efectos del ejercicio de sus derechos en virtud de dichos artículos, facilite información adicional que permita su identificación». Este podría ser el caso, por ejemplo, cuando un tercero interesado solicite acceso a sus datos personales tratados por el Defensor del Pueblo y, tras una búsqueda en el Sistema de Gestión de Casos (CMS) del Defensor del Pueblo, el Defensor del Pueblo le informe de que no se han podido encontrar sus datos. Sin embargo, si el interesado proporciona posteriormente información adicional, como el número de la reclamación o el nombre del reclamante, por ejemplo, esto puede permitir su identificación en los expedientes del Defensor del Pueblo y que el Defensor del Pueblo adopte una decisión sobre la solicitud.

[14] Artículo 16, apartado 5, letra b), del Reglamento (UE) 2018/1725.

[15] Artículo 16, apartado 6, del Reglamento 2018/1725.

[16] Artículo 12, apartado 2, del Reglamento 2018/1725. Véase la nota 13 supra.

[17] Artículo 12, apartado 1, del Reglamento 2018/1725

[18] Artículo 16, apartado 5, letra b), del Reglamento 2018/1725.

[19] No obstante, es posible que los datos que no se consideren pertinentes para el objeto de una investigación en sus fases iniciales puedan utilizarse en última instancia para los fines de la investigación y repercutir en su resultado.

[20] Artículo 16, apartado 6, del Reglamento 2018/1725.

[21] Artículo 12, apartado 2, del Reglamento 2018/1725. Véase la nota 13 supra.

[22] Artículo 16, apartado 5, letra a), del Reglamento 2018/1725: «Los apartados 1 a 4 no se aplicarán cuando y en la medida en que:...  el interesado ya dispone de la información [...]»

[23] Artículo 16, apartado 5, letra b), del Reglamento 2018/1725: «Los apartados 1 a 4 no se aplicarán cuando y en la medida en que: [...] el suministro de dicha información resulte imposible o suponga un esfuerzo desproporcionado [...]»

[24] Artículo 16, apartado 6, del Reglamento 2018/1725.

[25] Artículo 12, apartado 2, del Reglamento 2018/1725. Véase la nota 13 supra.

[26] Artículo 16, apartado 5, letra b), del Reglamento 2018/1725: «Los apartados 1 a 4 no se aplicarán cuando y en la medida en que: [...] la obligación a que se refiere el apartado 1 del presente artículo puede hacer imposible o perjudicar gravemente la consecución de los objetivos de dicho tratamiento [...]»

[27] Artículo 16, apartado 6, del Reglamento 2018/1725.

[28] Artículo 12, apartado 2, del Reglamento 2018/1725. Véase la nota 13 supra.

[29] Artículo 16, apartado 3, del Reglamento 2018/1725: «El responsable del tratamiento facilitará la información a que se refieren los apartados 1 y 2:... c) si se prevé una comunicación a otro destinatario, a más tardar cuando se divulguen por primera vez los datos personales.».