(1)

С Регламент (ЕС, Евратом) 2018/1046 на Европейския парламент и на Съвета (1) се изисква всяка институция на Съюза да създаде функция по вътрешен одит, която да се изпълнява в съответствие с приложимите международни стандарти. Дейностите по вътрешен одит в Комисията се извършват от Службата за вътрешен одит („Службата“), която бе създадена на 11 април 2000 г. Службата извършва също така дейности по вътрешен одит в децентрализираните агенции и другите автономни органи на Съюза, получаващи финансиране от бюджета на Съюза.

(2)

Службата извършва дейностите по вътрешен одит в съответствие с членове 117—123 от Регламент (ЕС, Евратом) 2018/1046 и със своя устав за мисията (2). В това отношение Службата е напълно независима и разполага с пълен и неограничен достъп до цялата информация, необходима за извършването на дейностите ѝ по вътрешен одит във връзка с всички дейности и служби на съответната институция на Съюза.

(3)

Службата предоставя консултации на други служби и изпълнителни агенции на Комисията, както и на децентрализираните агенции и другите автономни органи на Съюза, получаващи финансирани от бюджета на Съюза, за това как да се справят с рискове, например събития или проблеми, които могат да възникнат и да окажат неблагоприятно въздействие върху постигането на политическите, стратегическите и оперативните цели на Комисията, като публикува независими становища относно качеството на системите за управление и контрол, както и препоръки с цел подобряване на условията за изпълнение на операциите и насърчаване на доброто финансово управление в съответствие с членове 117—123 от Регламент (ЕС, Евратом) 2018/1046. Затова дейностите по вътрешен одит на Службата обикновено не са насочени към физическите лица като такива. Независимо от това по време на нейните дейности неминуемо се обработват лични данни по смисъла на член 3, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (3). Провежданите от Службата дейности по вътрешен одит включват оценяване на пригодността и ефективността на системите за вътрешно управление и на работата на службите при осъществяването на политиките, програмите и действията, ефикасността и ефективността на системите за вътрешен контрол и одит, които се прилагат за всяка операция по изпълнението на бюджета. По този начин те съдействат за закрилянето на важни икономически и финансови интереси на Съюза и на държавите членки. Службата е администратор на операциите по обработване, които извършва в съответствие с член 118 и член 119, параграф 2 от Финансовия регламент.

(4)

Извършваните в Комисията и в нейните изпълнителни агенции дейности по вътрешен одит, както и тези, извършвани в децентрализираните агенции и в другите автономни органи на Съюза, се различават по форма и съдържание - от ангажименти за изразяване на увереност (включително оценки на риска) и ангажименти за консултация, до прегледи с ограничен обхват и ангажименти за проследяване на одити.

(5)

Комитетът за наблюдение на вътрешния одит (КНВО) в съответствие със своя устав за мисията, актуализиран на 21 ноември 2018 г. (C(2018) 7707), е съвещателен орган (4), който подпомага Комисията при изпълнението на нейните задължения съгласно Договорите и други нормативни инструменти [Регламент (ЕС, Евратом 2018/1046], като гарантира независимостта на Службата за вътрешен одит чрез мониторинг на качеството на работата по вътрешния одит, и като гарантира, че препоръките от вътрешните и външните одити се вземат предвид от службите на Комисията и че по тях се предприемат подходящи последващи действия. По този начин КНВО съдейства за цялостното допълнително подобряване на ефективността и ефикасността на Комисията при постигането на нейните цели, и улеснява надзора от страна на колегиума на комисарите върху ръководенето, управлението на риска и практиките за вътрешен контрол на Комисията. КНВО е администратор на операциите по обработване, които извършва в съответствие с член 123 от Финансовия регламент.

(6)

За целите на дейностите по член 118 и член 119, параграф 2 от Регламент (ЕС, Евратом) 2018/1046, независимо дали по своя инициатива или въз основа на получен сигнал, Комисията обработва лични данни, придобити или получени от юридически лица, физически лица, държави членки и международни органи и организации. По време на такива дейностите по вътрешен одит Службата може също да обработва лични данни, придобити или получени от публично достъпни източници, от анонимни или идентифицирани източници, които се нуждаят от защита на тяхната самоличност.

(7)

Комисията може на свой ред да обменя лични данни с институциите, органите, службите и агенциите на Съюза, с компетентни органи на държави членки, както и в рамките на съответните международни споразумения или на споразумения за сътрудничество на Комисията, сключени с трети държави и международни организации.

(8)

Дейностите по обработване на лични данни по смисъла на член 3, параграф 3 от Регламент (ЕС) 2018/1725, извършвани в хода на дейност по вътрешен одит, може да се извършват дори преди Комисията официално да започне такава дейност, да продължат през целия период на извършването на дейността по вътрешен одит, а може да продължат дори и след официалното приключване на дейността по вътрешен одит (например за цели, свързани с мониторинга на изпълнението на препоръки, за оценяване на необходимостта от нови дейности по вътрешен одит).

(9)

Категориите на обработваните от Комисията лични данни включват данни за самоличност, данни за връзка, данни за професионалната дейност и данни, свързани с предмета на дейността, или такива, за които е установено, че имат такава връзка. Тези категории лични данни се съхраняват в сигурна електронна среда с цел предотвратяването на незаконния достъп до тях или предаването на данни на лица, които не е необходимо да се запознават с тях. Личните данни се запазват за максимален срок от десет години. В края на срока на запазване, информацията, свързана с дейността по вътрешен одит, включително личните данни, се прехвърля в историческия архив на Комисията (5) или се унищожава.

(10)

При изпълнението на дейностите по вътрешен одит Комисията е длъжна да зачита правата на физическите лица по отношение на обработването на лични данни, признати в член 8, параграф 1 от Хартата на основните права на Европейския съюз и в член 16, параграф 1 от Договора, както и правата, уредени с Регламент (ЕС) 2018/1725. Същевременно Комисията е длъжна да спазва строги правила за поверителност, посочени в международните стандарти за вътрешен одит в съответствие с член 117 от Регламент (ЕС, Евратом) 2018/1046.

(11)

При определени обстоятелства е необходимо да се съгласуват правата на субектите на данни съгласно Регламент (ЕС) 2018/1725 с нуждите на дейностите по вътрешен одит и поверителността на обмена на информация с физически или юридически лица, както и с безусловното зачитане на основните права и свободи на други субекти на данни. За тази цел с член 25, параграф 1, буква в), ж) и з) от Регламент (ЕС) 2018/1725 на Службата се предоставя възможността да ограничава прилагането на членове 14—17, член 19, член 20 и член 35, както и принципа за прозрачност, посочен в член 4, параграф 1, буква а) от него, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—17, член 19, член 20 и член 35 от посочения регламент.

(12)

С цел да се гарантира ефективността на дейностите по вътрешен одит, като се спазват стандартите за защита на личните данни съгласно Регламент (ЕС) 2018/1725, който заменя Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (6), е необходимо да се приемат вътрешни правила съгласно които Комисията може да ограничава правата на субектите в съответствие с член 25, параграф 1, букви в), ж) и з) от Регламент (ЕС) № 2018/1725.

(13)

Вътрешните правила следва да обхващат всички операции по обработване, осъществявани от Комисията в изпълнение на нейните дейности по вътрешен одит, независимо дали действа по своя собствена инициатива или въз основа на получен сигнал, когато упражняването на правата на субектите на данни може да изложи на риск провеждането на дейностите по вътрешен одит. Тези правила следва да се прилагат към операциите по обработване, извършвани преди официалното започване на ангажимента, по време на ангажимента, както и по време на мониторинга на последващите действия във връзка с резултатите от него.

(14)

С оглед на спазването на членове 14, 15 и 16 от Регламент (ЕС) 2018/1725 Комисията следва да информира всички физически лица за своите дейности, включващи обработването на техните лични данни, както и за техните права по прозрачен и последователен начин чрез информация за политиката за защита на личните данни, публикувана на уебсайта на Комисията. Когато е целесъобразно, Комисията следва да предоставя допълнителни гаранции за това, че субектите на данни са информирани индивидуално в подходяща форма.

(15)

На основание на член 25 от Регламент (ЕС) 2018/1725 Комисията може също така да ограничи предоставянето на информация на субектите на данни и упражняването на други права на субектите на данни, за да защити собствените си дейности по вътрешен одит, одитите на публичните органи на държавите членки, инструментите и методите за одит, както и правата на други лица, свързани с нейните дейности по вътрешен одит.

(16)

Освен това с цел да се поддържа ефективно сътрудничество, може да се наложи Комисията да ограничи прилагането на правата на субектите на данни, за да предпази операциите по обработване, извършвани от служби на Комисията или други институции, органи, служби и агенции на Съюза или от органите на държавите членки и от международни организации, както и от Комитета за наблюдение на вътрешния одит. За тази цел Комисията следва да се консултира с тези звена, институции, органи, служби и агенции, администрации и организации, както и Комитета за наблюдение на вътрешния одит, относно съответните основания за налагането на ограничения, както и за необходимостта и пропорционалността на ограниченията.

(17)

На Комисията може също така да се наложи да ограничи предоставянето на информация на субектите на данни и прилагането на други права на субектите на данни във връзка с лични данни, получени от трети държави или международни организации, за да си сътрудничи с тези държави или организации и за да опази по този начин важна цел от общ обществен интерес на Съюза. Въпреки това при някои обстоятелства интересът или основните права на субекта на данните могат да надделеят над интереса на международното сътрудничество.

(18)

Комисията следва да борави с всички ограничения по прозрачен начин и да регистрира всяко прилагане на ограничения в съответния регистър.

(19)

В съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725 администраторите на лични данни могат да отложат, пропуснат или откажат да предоставят информация на субекта на данните за причините за прилагането на ограничение, ако предоставянето на тази информация би изложило по някакъв начин на риск целта на ограничението. Това е по-конкретно случаят с ограниченията по отношение на правата, предвидени в членове 16 и 35 от Регламент (ЕС) 2018/1725.

(20)

Когато се ограничават други права на субектите на данни, администраторът на лични данни на Службата за вътрешен одит следва да прецени за всеки отделен случай дали съобщаването на ограничението би изложило на риск неговата цел.

(21)

Длъжностното лице за защита на данните на Европейската комисия следва да извършва независим преглед на прилагането на ограниченията с цел осигуряване на спазването на настоящото решение.

(22)

Регламент (ЕС) 2018/1725 заменя Регламент (ЕО) № 45/2001, без да има преходен период, считано от датата на влизането му в сила. Възможността да се прилагат ограничения на някои права беше предвидена в Регламент (ЕО) № 45/2001. С цел да се предотврати излагането на риск на законосъобразността на дейностите по вътрешен одит, настоящото решение следва да се прилага от датата на влизане в сила на Регламент (ЕС) 2018/1725.

(23)

Европейският надзорен орган по защита на данните даде становище на 27 ноември 2018 г.,