Operación de tratamiento: tratamiento de los datos de los firmantes recopilados en el marco de las declaraciones de apoyo a través del sistema central de recogida en línea de la Comisión
Responsable del tratamiento de datos: responsabilidad conjunta de la Comisión Europea (unidad SG.A.1 «Prioridades Políticas y Programa de Trabajo», en calidad de responsable operativo del tratamiento) y del representante del grupo de organizadores de la iniciativa o, en su caso, de la persona jurídica creada por ellos
Referencia de registro: DPR-EC-03486
1. Introducción
La Iniciativa Ciudadana Europea (en adelante, la «ICE») es un instrumento de democracia participativa que permite a la ciudadanía sugerir cambios jurídicos concretos en cualquier ámbito en el que la Comisión Europea (en adelante, la «Comisión») tenga competencias para proponer legislación. El marco jurídico aplicable a este instrumento se establece en el Reglamento (UE) 2019/788 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre la iniciativa ciudadana europea (en adelante, el «Reglamento ICE»).
Para respaldar una iniciativa ciudadana, los firmantes deben facilitar una serie de datos personales que forman parte de su declaración de apoyo a la iniciativa. Para poder presentar a la Comisión una iniciativa válida, el grupo de organizadores debe recoger al menos un millón de declaraciones de apoyo de ciudadanos de la UE, alcanzando los umbrales mínimos establecidos en al menos siete países, y obtener la validación y certificación de dichas declaraciones por parte de los Estados miembros.
La presente declaración de privacidad se refiere al tratamiento de los datos personales recopilados en el contexto de la declaración de apoyo a una iniciativa ciudadana europea, a través del sistema central de recogida de datos en línea creado y gestionado por la Comisión.
La Comisión y el representante del grupo de organizadores de la iniciativa de que se trate o, en su caso, de la persona jurídica creada por ellos (en adelante, los «organizadores de la iniciativa») son responsables conjuntos de las operaciones de tratamiento de tus datos. Además, cuando los datos facilitados en una declaración de apoyo se remitan a las autoridades competentes de un Estado miembro para su verificación y certificación, dichas autoridades pasarán a ser responsables con respecto al tratamiento de datos que lleven a cabo.
Los cometidos y deberes respectivos de la Comisión y los organizadores se establecen de manera transparente en un acuerdo de responsabilidad conjunta. Los elementos esenciales de dicho acuerdo son públicos y pueden consultarse en esta dirección: https://citizens-initiative.europa.eu/how-it-works/data-protection_es
La Comisión se compromete a proteger tus datos personales y respetar tu intimidad. La Comisión recoge y trata datos personales de conformidad con el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos. Por su parte, los organizadores de la iniciativa y las autoridades de los Estados miembros están sujetos a las normas en materia de tratamiento de datos personales establecidas en el Reglamento General de Protección de Patos (RGPD).
Esta declaración de privacidad explica el motivo del tratamiento de tus datos personales, el modo en que recogemos y tratamos todos los datos personales facilitados y cómo garantizamos su protección, la manera en que se usa dicha información y tus derechos al respecto. También indica la información de contacto de los responsables del tratamiento de datos ante los que puedes ejercer tus derechos, del delegado de protección de datos y del Supervisor Europeo de Protección de Datos.
Esta declaración de privacidad se basa en el texto de la declaración de privacidad que figura en el anexo III del Reglamento ICE y forma parte integrante del mismo (ver el punto 10).
Nota: esta declaración de privacidad no incluye el tratamiento de los datos personales facilitados en las declaraciones de apoyo en papel. En esos casos, la recogida y posterior tratamiento de tus datos (hasta su envío a los Estados miembros para su verificación) se lleva a cabo bajo la responsabilidad exclusiva del representante del grupo de organizadores. Este responsable del tratamiento debe facilitarte, en el momento de la recogida de datos, la declaración de privacidad pertinente, que incluirá, como mínimo, los elementos fundamentales de la declaración de privacidad recogida en el anexo III del Reglamento ICE. En los casos en los que la transferencia posterior a los Estados miembros de las declaraciones de apoyo recogidas para su verificación sea gestionada por la Comisión, utilizando su servicio de intercambio de archivos en condiciones de responsabilidad conjunta con el representante, la Comisión no tendrá acceso a tus datos ni podrá proporcionarte una declaración de privacidad adicional. Esta declaración de privacidad solo proporciona información pertinente relativa a los plazos de conservación de los datos aplicables en tales casos.
2. ¿Por qué tratamos tus datos personales? ¿Cómo lo hacemos?
El objetivo general del tratamiento de los datos a que se refiere la presente declaración de privacidad es aplicar el Reglamento (UE) 2019/788 sobre la iniciativa ciudadana europea y, de este modo, hacer posible que la ciudadanía de la Unión ejerza el derecho, reconocido en el artículo 11, apartado 4, del Tratado de la Unión Europea, de dirigirse a la directamente Comisión invitándola a que presente una propuesta de acto jurídico para los fines de aplicación de los Tratados.
Tus datos se podrán someter a las principales operaciones de tratamiento que se indican a continuación:
- recogida de tu declaración de apoyo, utilizando el formulario en línea o un medio de identificación electrónica, y para su almacenamiento posterior en el sistema central de recogida de datos en línea,
- presentación de tu declaración de apoyo ante los Estados miembros para su verificación,
- verificación y certificación de tu declaración de apoyo por el Estado miembro de nacionalidad (esta operación de tratamiento se realiza bajo la responsabilidad de la autoridad competente del Estado miembro).
Por lo tanto, cabe distinguir otros objetivos más específicos del tratamiento, a saber:
- crear las condiciones para que puedas dar tu apoyo a las iniciativas ciudadanas europeas en línea;
- garantizar la transferencia segura de tu declaración de apoyo al Estado miembro competente para su verificación;
- hacer posible que las autoridades competentes de dicho Estado miembro (en quienes recae la responsabilidad por esta operación de tratamiento) verifiquen tu declaración de apoyo, con el fin de que la Comisión pueda confirmar la validez de la iniciativa ciudadana europea que hayas respaldado, cuando esta se someta a examen.
Además, tus datos pueden tratarse en el contexto de otras operaciones de apoyo, como la tramitación de las solicitudes de los interesados, los controles de calidad técnica de las muestras, las operaciones necesarias para el mantenimiento del sistema informático y cualquier operación de este tipo que contemple la ley.
Los datos personales tratados podrán reutilizarse para procedimientos ante los tribunales de la UE, los tribunales nacionales, el Defensor del Pueblo Europeo o el Tribunal de Cuentas Europeo.
Tus datos personales no se utilizarán para procesos automatizados de toma de decisiones, incluida la elaboración de perfiles.
3. ¿Cuáles son los fundamentos jurídicos del tratamiento de tus datos personales?
Tratamos los datos que has facilitado en el marco de una declaración de apoyo para que puedas manifestar tu respaldo a una iniciativa ciudadana europea. El tratamiento de tus datos sirve para impulsar la causa perseguida por una iniciativa concreta, con el fin último de plantear ante las instituciones de la Unión las cuestiones que en ella se expresan. De ese modo, la iniciativa ciudadana europea refuerza el funcionamiento democrático de la Unión y el tratamiento efectuado sirve al interés público, con arreglo a lo establecido tanto en el artículo 5.1.a) del Reglamento (UE) n.º 2018/1725, como en el artículo 6.1.e) del RGPD.
Por otra parte, la Comisión está obligada a crear y gestionar un sistema central a efectos de la recogida en línea de declaraciones de apoyo, según lo dispuesto en el artículo 10 del Reglamento ICE, cuyo artículo 12.3 establece la obligación de presentar a los Estados miembros las declaraciones de apoyo así recogidas, para su verificación, en caso de que se haya alcanzado el número exigido de declaraciones (ver también el artículo 12.2). Al hacer posible que el tratamiento de los datos (y su transferencia) se realice a través de un sistema central de recogida en línea, la Comisión está dando cumplimiento a una obligación legal, motivo por el cual el tratamiento también es lícito con arreglo tanto al artículo 5.1.b) del Reglamento (UE) 2018/1725, como al artículo 6.1.c) del Reglamento general de protección de datos.
Por su naturaleza, los datos facilitados en el marco de una declaración de apoyo no pueden considerarse como datos sensibles, cuyo tratamiento queda prohibido, en principio, por el artículo 10.1 del Reglamento (UE) 2018/1725 (y el artículo 9.1 del RGPD). No obstante, la interconexión entre tus datos y la iniciativa apoyada puede revelar información sobre tu salud, tus opiniones políticas y tus convicciones religiosas o filosóficas, tu adscripción política, tu vida u orientación sexual, tu origen racial o étnico e, incluso, tu afiliación sindical, en función de cuál sea el contenido de la iniciativa. Por consiguiente, la sensibilidad de tus datos puede derivarse de la sensibilidad del tema de la iniciativa en cuestión.
Según lo dispuesto en el artículo 10.2.g) del Reglamento (UE) 2018/1725, y en el artículo 9.2.g) del RGPD, aunque pueda considerarse que los datos pertenecen a una categoría especial, su tratamiento está permitido si: es necesario por razones de un interés público esencial, sobre la base de una normativa de la Unión que debe ser proporcionada respecto del objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.
A este respecto, el considerando 12 del Reglamento ICE aclara lo siguiente: Si bien es cierto que los datos personales que se traten en aplicación del presente Reglamento pueden incluir datos de carácter sensible, debido a la naturaleza de la iniciativa ciudadana europea como instrumento de democracia participativa, está justificado exigir el suministro de datos personales para apoyar una iniciativa y tratar tales datos en la medida en que resulte necesario para que las declaraciones de apoyo puedan verificarse de conformidad con el Derecho y las prácticas nacionales.
4. ¿Qué datos personales recogemos y tratamos?
Para registrar tu apoyo a una iniciativa ciudadana, recogemos diferentes conjuntos de datos que pueden variar en función del modo de apoyo que hayas elegido y de tu nacionalidad.
Si rellenas el formulario de declaración de apoyo en línea, recogemos uno de los dos posibles conjuntos de datos establecidos en el anexo III del Reglamento ICE:
Conjunto A:
- nacionalidad
- nombre completo
- apellidos
- domicilio (calle, número, código postal, ciudad y país)
- fecha de nacimiento.
Conjunto B:
- nacionalidad
- nombre completo
- apellidos
- número de identificación personal / número del documento de identificación personal
- tipo de número o documento de identificación personal.
De conformidad con el artículo 9.4 del Reglamento ICE, los Estados miembros pueden decidir si desean utilizar el conjunto de datos A o B. El 1 de enero de 2020 (fecha de entrada en vigor del Reglamento ICE), nueve Estados miembros optaron por el conjunto A (DE, DK, EL, FI, FR, IE, LU, NL, SK), mientras que dieciocho Estados miembros eligieron el conjunto B (AT, BE, BG, CY, CZ, ET, ES, HR, HU, IT, MT, LT, LV, PL, PT, RO, SE y SI).
Los Estados miembros podrán cambiar su elección en el futuro, sin que ello quede reflejado en la presente declaración de privacidad.
Si das tu apoyo a una ICE utilizando un medio de identificación electrónica, tus datos personales se importarán desde el sistema nacional de identificación electrónica después de que te hayas autenticado. Los datos en cuestión se definen en el Reglamento (UE) n.º 910/2014, relativo a la identificación electrónica, de la siguiente manera:
- apellidos actuales
- nombre o nombres actuales
- fecha de nacimiento
- identificador único.
Además, en este caso la información sobre tu nacionalidad se obtiene en función del sistema nacional de identificación electrónica que hayas elegido y en el que te hayas autenticado.
Por otra parte, para permitir un tratamiento eficiente, recogemos diversos (meta)datos relativos a la transmisión o presentación electrónica de las declaraciones de apoyo, en particular la dirección IP de los firmantes, sus datos de conexión y el tiempo de entrada electrónica del formulario en el sistema central de recogida en línea. Estos (meta)datos se conservan durante un período máximo de seis meses. Además, se genera automáticamente un identificador único para cada declaración de apoyo presentada. El identificador se destruye al final del período de recogida. Si el interesado también ha facilitado una dirección de correo electrónico, el identificador se destruye al final del período de conservación de la dirección de correo electrónico.
5. ¿Cuánto tiempo conservamos tus datos personales?
El periodo de conservación estándar es de veintiún meses desde el comienzo del plazo de recogida.
Ese periodo estándar se puede acortar en estos casos:
- expira transcurrido un mes desde la presentación de la iniciativa a la Comisión, de conformidad con el artículo 13 del Reglamento ICE, y
- expira transcurrido un mes desde la retirada de una iniciativa que ya haya iniciado el plazo de recogida, según lo previsto en el artículo 7 del Reglamento ICE.
El periodo de conservación estándar se puede ampliar cuando sea necesario para procedimientos judiciales o administrativos relacionados con la iniciativa en cuestión. En esos casos, los datos se destruirán en el plazo máximo de un mes a partir de la fecha de conclusión de dichos procedimientos en virtud de una decisión definitiva.
En el contexto de la pandemia de COVID-19 y para las iniciativas cuyo plazo de recogida se amplíe sobre la base del Reglamento (UE) 2020/1042, los períodos de conservación de datos estándar establecidos en el artículo 19.5 del Reglamento ICE se prorrogan por un período máximo de doce meses.
Los períodos de conservación de datos descritos anteriormente también son aplicables:
- al almacenamiento en el servicio de intercambio de archivos de la Comisión de las declaraciones de apoyo que se hayan recogido en papel y cargado en dicho sistema por los organizadores de la ICE con vistas a su transferencia a los Estados miembros a efectos de verificación, y
- a los Estados miembros en caso de que verifiquen las declaraciones de apoyo recogidas.
6. ¿Cómo protegemos y salvaguardamos tus datos personales?
Todos los datos personales se almacenan en formato electrónico en los servidores de la Comisión. Todas las operaciones de tratamiento se llevan a cabo de conformidad con la Decisión (UE, Euratom) 2017/46 de la Comisión, de 10 de enero de 2017, sobre la seguridad de los sistemas de información y comunicación de la Comisión Europea.
Para proteger tus datos personales, la Comisión aplica una serie de medidas técnicas y organizativas. Entre las medidas técnicas se incluyen acciones adecuadas para garantizar la seguridad en línea y evitar el riesgo de pérdida, alteración o acceso no autorizado a los datos, teniendo en consideración el riesgo que plantee el tratamiento y la naturaleza de los datos personales tratados. Entre las medidas organizativas se incluye restringir el acceso a los datos personales exclusivamente a personas autorizadas que tengan legítima necesidad de conocer a efectos de la operación de tratamiento.
7. ¿Quién tiene acceso a tus datos personales y a quién se le comunican?
Solo tienen acceso a tus datos almacenados en el sistema central de recogida en línea los miembros del personal de la Comisión expresamente autorizados con arreglo al principio de la «necesidad de conocer». Dicho personal está obligado a respetar acuerdos de confidencialidad legales y, en caso necesario, otros acuerdos adicionales.
Cuando se haya recogido el número exigido de declaraciones de apoyo con respecto a una iniciativa, la Comisión (a petición de los organizadores) las presentará a las autoridades competentes de los Estados miembros responsables para su verificación y certificación, de conformidad con el artículo 12, apartados 2 y 3, del Reglamento ICE.
8. ¿Cuáles son tus derechos y cómo puedes ejercerlos?
En tu condición de «interesado» con arreglo al capítulo III (artículos 14 a 25) del Reglamento (UE) 2018/1725 (y al capítulo III del RGPD), tienes otra serie de derechos, en particular el derecho a acceder a tus datos personales y a rectificarlos si son inexactos o incompletos. En determinados casos, tienes derecho a solicitar que se supriman tus datos personales, a limitar su tratamiento y a oponerte al tratamiento de los datos.
Por lo que respecta al derecho de oposición al tratamiento de tus datos personales, el ejercicio de este derecho debe basarse en motivos relacionados con tu situación particular.
Puedes ejercer tus derechos poniéndote en contacto con cualquiera de los responsables conjuntos del tratamiento de datos o, en caso de conflicto, con los delegados de protección de datos. Si es necesario, también puedes dirigirte al Supervisor Europeo de Protección de Datos. Encontrarás toda su información de contacto en el punto 9.
Si quieres ejercer tus derechos en relación con una o varias operaciones específicas de tratamiento, es necesario que incluyas en tu solicitud los datos correspondientes (esto es, las referencias de registro que se indican en el punto 10).
Las solicitudes de acceso a los datos personales se tramitarán en el plazo de un mes a partir de su recepción. Cualquier otra solicitud al amparo de los artículos 18 a 25 del Reglamento (UE) 2018/1725 (y del capítulo III del RGPD) se atenderá en un plazo de quince días hábiles. Ese plazo podrá prorrogarse otros dos meses en caso necesario, habida en cuenta del número de solicitudes y su complejidad.
9. Información de contacto
Responsables del tratamiento de datos
Si quieres ejercer tus derechos con arreglo al Reglamento (UE) 2018/1725 y al RGPD, plantear tus observaciones, preguntas o dudas, o presentar una reclamación en relación con la recopilación y el uso de tus datos personales, no dudes en ponerte en contacto con alguno de los responsables conjuntos del tratamiento de datos.
- Por lo que se refiere a la Comisión, la información de contacto del responsable operativo del tratamiento de datos es la siguiente:
Comisión Europea
Secretaría General
Dirección A «Estrategia, Legislar Mejor y Gobernanza Institucional»
Unidad A.1 «Prioridades Políticas y Programa de Trabajo»
B – 1049 Bruselas
Teléfono: +32 2 29 92165
Correo electrónico: SG-ECI-mailing@ec.europa.eu
Por lo que se refiere al representante del grupo de organizadores, o, en su caso, de la persona jurídica creada por ellos, sus datos de contacto se pueden consultar en el Registro ICE en línea, así como en las páginas web del sistema central de recogida en línea dedicadas específicamente a la iniciativa de que se trate. Ver: https://citizens-initiative.europa.eu/find-initiative_es.
Cuando los datos facilitados en una declaración de apoyo se remiten a las autoridades competentes de un Estado miembro para su verificación y certificación, dichas autoridades pasan a ser responsables con respecto al tratamiento de datos que lleven a cabo. Puedes dirigirles tus comentarios, preguntas o peticiones en relación con el tratamiento de tus datos utilizando la información de contacto que encontrarás en esta dirección: https://citizens-initiative.europa.eu/how-it-works/data-protection_es
Delegados de protección de datos
- Delegado de protección de datos de la Comisión
Para cuestiones relacionadas con el tratamiento de tus datos personales, puedes dirigirte al delegado de protección de datos de la Comisión (DATA-PROTECTION-OFFICER@ec.europa.eu).
- Delegado de protección de datos del grupo de organizadores (si lo hay)
Si el grupo de organizadores ha designado a un delegado de protección de datos, también puedes dirigirte a él utilizando los datos de contacto que pueden consultarse en el Registro ICE en línea, así como en las páginas web del sistema central de recogida en línea dedicadas específicamente a la iniciativa de que se trate. Ver: https://citizens-initiative.europa.eu/find-initiative_es.
Autoridades de protección de datos
- Supervisor Europeo de Protección de Datos (SEPD)
Si consideras que, con motivo del tratamiento de tus datos personales por el responsable del tratamiento de datos, se han infringido tus derechos con arreglo al Reglamento (UE) 2018/1725, tienes derecho a presentar una reclamación ante el Supervisor Europeo de Protección de Datos (edps@edps.europa.eu).
- Autoridades nacionales de protección de datos
Si consideras que tus datos se han tratado de forma ilegal, también tienes derecho a presentar una reclamación ante una autoridad de protección de datos, en particular en el Estado miembro en el que tengas tu residencia habitual o tu lugar de trabajo, o donde se haya producido la supuesta infracción. Encontrarás los datos de contacto de las autoridades nacionales de protección de datos en esta dirección: https://citizens-initiative.europa.eu/how-it-works/data-protection_es
10. Información complementaria
El Reglamento ICE establece en su anexo III los elementos esenciales de la declaración de privacidad aplicable a las declaraciones de apoyo recogidas de forma telemática a través del sistema central de recogida en línea. Son los siguientes:
De conformidad con lo dispuesto en el Reglamento (UE) 2018/1725 y en el Reglamento (UE) 2016/679 (Reglamento general de protección de datos), los datos personales comunicados en el presente formulario solo se utilizarán para el apoyo de la iniciativa y se pondrán a disposición de las autoridades nacionales competentes para la verificación y certificación. Tiene usted derecho a solicitar a la Comisión Europea y al representante de los organizadores de esta iniciativa o, en su caso, de la persona jurídica creada por ellos, acceso, rectificación, supresión y restricción del tratamiento de sus datos personales. Los organizadores conservarán sus datos durante un período de conservación máximo de un mes desde la presentación de la iniciativa a la Comisión Europea o de 21 meses desde el inicio del período de recogida, si este plazo fuese más breve. Podrán conservarse más allá de los plazos previstos en el caso de procedimientos administrativos o judiciales, durante un plazo máximo de un mes después de la fecha en que concluyan dichos procedimientos. Sin perjuicio de cualquier otro recurso administrativo o acción judicial, si considera que sus datos se han tratado de forma ilegal, tiene usted derecho a presentar en todo momento una reclamación ante una autoridad de protección de datos, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción. La Comisión Europea y el representante del grupo de organizadores de esta iniciativa, o, en su caso, la persona jurídica creada por ellos, son responsables conjuntos del tratamiento en el sentido del Reglamento (UE) 2018/1725 y pueden ser contactados con la información facilitada en el presente formulario. Los datos de contacto del delegado de protección de datos del grupo de organizadores (en su caso) están disponibles en la página web de esta iniciativa en el registro de la Comisión, tal como se indica en el punto 4 del presente formulario. Los datos de contacto del delegado de protección de datos de la Comisión Europea, de la autoridad nacional encargada de recibir y tratar sus datos personales, del Supervisor Europeo de Protección de Datos y de las autoridades nacionales de protección de datos pueden consultarse en: http://ec.citizens-initiative.europa.eu/public/data-protection.
El delegado de protección de datos de la Comisión publica el registro de todas las operaciones de tratamiento de datos personales realizadas por la Comisión que se han documentado y le han sido notificadas. Puedes acceder al registro a través de este enlace: https://commission.europa.eu/about-european-commission/service-standards-and-principles/transparency/data-processing-register_es.
Esta operación de tratamiento se ha incluido en el registro público del delegado de protección de datos con la referencia: DPR-EC-03486.
