(1)

При изпълнението на своите задачи Комисията е длъжна да зачита правата на физическите лица по отношение на обработването на лични данни, признати в член 8, параграф 1 от Хартата на основните права на Европейския съюз и в член 16, параграф 1 от Договора за функционирането на Европейския съюз. Тя трябва също така да зачита правата, предвидени в Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (1). Същевременно Комисията трябва да управлява инцидентите, свързани с информационната сигурност, в съответствие с правилата, установени в член 15 от Решение (ЕС, Евратом) 2017/46 (2).

(2)

За да се гарантира информационната сигурност, т.е. опазването на поверителността, целостта и наличността на комуникационните и информационните системи и на обработваните от тях данни, по отношение на лицата, активите и информацията, Комисията, по-специално чрез своята Генерална дирекция „Информатика“, предприе мерки съгласно предвиденото в Решение (ЕС, Евратом) 2017/46 и в Решение C(2017) 8841 final (3). Тези мерки включват наблюдение на рисковете за информационната сигурност и на приложените мерки за информационна сигурност, изискване от отговорниците на системи да вземат конкретни мерки за информационна сигурност с оглед на ограничаването на рисковете за информационната сигурност на комуникационните и информационните системи на Комисията и управление на инциденти, свързани с информационната сигурност.

(3)

Генерална дирекция „Информатика“ предоставя на Комисията операции и услуги за информационна сигурност и трябва да обработва няколко категории лични данни, за да:

(4)

Инциденти, свързани с информационната сигурност, които биха могли да подкопаят сигурността на информационните и комуникационните системи на Комисията, могат да възникнат при всяка операция по обработване, която осъществява Комисията. Те могат да включват всяка категория лични данни, обработвани от Комисията.

(5)

При определени обстоятелства може да е необходимо правата на субектите на данни съгласно Регламент (ЕС) 2018/1725 да се съгласуват с необходимостта Комисията да извършва ефективно задачите си за гарантиране на информационната сигурност на лицата, активите и информацията в Комисията съгласно Решение (ЕС, Евратом) 2017/46 и при пълно зачитане на основните права и свободи на други субекти на данни. За тази цел с член 25, параграф 1 от Регламент (ЕС) 2018/1725 Комисията бе оправомощена да ограничава прилагането на членове 14—17, 19, 20 и 35 от същия регламент и на принципа на прозрачност, установен в член 4, параграф 1, буква а) от него, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—17, 19 и 20 от посочения регламент.

(6)

Настоящото решение следва да се прилага за всички операции по обработване, които осъществява Комисията в качеството си на администратор на лични данни при изпълнението на своите задачи да гарантира информационната сигурност на лицата, активите и информацията в Комисията съгласно Решение (ЕС, Евратом) 2017/46. Поради това то следва да се отнася до субектите на данни от категориите лични данни, обхванати от всички тези операции по обработване, т.е. физическите лица, които взаимодействат с някоя от информационните и комуникационните системи на Комисията.

(7)

Личните данни се съхраняват в сигурна електронна среда, за да се предотврати незаконосъобразният достъп на лица извън Комисията. За различните операции по обработване се прилагат различни срокове на съхранение на данните в зависимост от вида на съответните лични данни. Съхранението на преписки от Комисията се урежда с общия за Комисията списък за съхранение на преписки (SEC(2019) 900), регулаторен документ под формата на таблица за съхранението, в който се определят сроковете на съхранение на различните видове преписки на Комисията, за да се ограничи съхраняването на данни до границите на необходимото.

(8)

Може да се наложи Комисията да ограничи прилагането на правата на субектите на данни, за да защити вътрешната си сигурност съгласно член 25, параграф 1, буква г) от Регламент (ЕС) 2018/1725 (т.е. да запази поверителността, целостта и наличността на своите комуникационни и информационни системи и на обработваните от тях набори от данни, своите активи и информация). По-специално може да се наложи Комисията да направи това, когато:

(9)

За целите на управлението на инцидентите, свързани с информационната сигурност, както е посочено в член 15 от Решение (ЕС, Евратом) 2017/46, Генерална дирекция „Информатика“ може да обменя информация с Екипа за реакция при кибератаки на Генерална дирекция „Човешки ресурси и сигурност“.

(10)

За да спази членове 14, 15 и 16 от Регламент (ЕС) 2018/1725, Комисията следва да информира всички физически лица за дейностите, които включват обработването на личните им данни и които засягат техните права. Тя следва да направи това по прозрачен и последователен начин, като публикува съобщение за защита на личните данни на уебсайта на Комисията. Когато е уместно, тя следва да прилага допълнителни гаранции, за да информира субектите на данни индивидуално в подходяща форма.

(11)

Спазването на членове 14, 15 и 16 от Регламент (ЕС) 2018/1725 би могло да разкрие наличието на мерки, слабости или инциденти, свързани с информационната сигурност, предприети или възникнали по силата на член 15 от Решение (ЕС, Евратом) 2017/46. Разкриването на тези мерки, слабости или инциденти, свързани с информационната сигурност, увеличава риска от заобикаляне на разкритата мярка за информационна сигурност, от злоупотреба с разкритата слабост и от възпрепятстване на текущия анализ на инцидента, свързан с информационната сигурност, поради възможността за случайно или умишлено манипулиране от потребител или злонамерен участник. Това би могло сериозно да накърни способността на Комисията да гарантира своята информационна сигурност и по-специално да управлява ефективно инцидентите, свързани с информационната сигурност, в бъдеще.

(12)

Съгласно член 25, параграф 1, буква з) от Регламент (ЕС) 2018/1725 Комисията е оправомощена също така да ограничава прилагането на правата на субектите на данни с цел защита на правата и свободите на други физически лица във връзка с инциденти, свързани с информационната сигурност, които биха могли да застрашат операциите за информационна сигурност.

(13)

Възможно е на Комисията да се наложи да ограничи предоставянето на информация на субектите на данни и прилагането на други права на субектите на данни във връзка с лични данни, получени от държави извън ЕС или международни организации, за да изпълни задължението си за сътрудничество с тези държави или организации. Това е част от задължението на Комисията да защитава важна цел от широк обществен интерес на ЕС, както е посочено в член 25, параграф 1, буква в) от Регламент (ЕС) 2018/1725. При някои обстоятелства обаче интересите, произтичащи от основните права на субекта на данните, могат да надделеят над интересите на международното сътрудничество.

(14)

Поради това Комисията определи основанията, изброени в член 25, параграф 1, букви в), г) и з) от Регламент (ЕС) 2018/1725, като основания за ограничения, които може да е необходимо да се приложат във връзка с провежданите от Генерална дирекция „Информатика“ операции по обработването на данни, свързани с предоставянето на операции и услуги за информационната сигурност на Комисията.

(15)

Всяко ограничение, приложено съгласно настоящото решение, следва да бъде необходимо и пропорционално, като се вземат предвид рисковете по отношение на правата и свободите на субектите на данни.

(16)

Комисията следва да борави с всички ограничения по прозрачен начин и да регистрира всяко прилагане на ограничения в съответния регистър.

(17)

Съгласно член 25, параграф 8 от Регламент (ЕС) 2018/1725 администраторите на лични данни могат да отложат, пропуснат или откажат да предоставят информация на субекта на данните относно причините за прилагането на ограничение, ако предоставянето на тази информация би възпрепятствало по някакъв начин ефекта от ограничението. Това се отнася по-специално за ограниченията на задълженията, предвидени в членове 16 и 35 от Регламент (ЕС) 2018/1725. Комисията следва редовно да извършва преглед на наложените ограничения, за да гарантира, че правата на субекта на данни да бъде информиран в съответствие с членове 16 и 35 от Регламент (ЕС) 2018/1725 са ограничени само доколкото тези ограничения са необходими, за да се даде възможност на Комисията да осигури своята информационна сигурност и по-специално да управлява инциденти, свързани с информационната сигурност.

(18)

Когато Комисията ограничава прилагането на права на субектите на данни, различни от посочените в членове 16 и 35 от Регламент (ЕС) 2018/1725, администраторът на лични данни следва да преценява за всеки отделен случай дали съобщаването на ограничението би възпрепятствало неговата цел.

(19)

Длъжностното лице по защита на данните към Комисията следва да извършва независим преглед на прилагането на ограниченията с цел да се осигури постигането на съответствие с настоящото решение.

(20)

За да може Комисията незабавно да ограничи прилагането на определени права и задължения в съответствие с член 25 от Регламент (ЕС) 2018/1725, настоящото решение следва да влезе в сила на двадесетия ден след деня на публикуването му в Официален вестник на Европейския съюз.

(21)

Европейският надзорен орган по защита на данните издаде становище на 16 септември 2021 г.,