(1)

Комисията трябва да работи в безопасна и сигурна среда. За тази цел тя се нуждае от последователен, комплексен подход в тази област, осигуряващ подходяща степен на защита на лицата, активите и информацията, отговаряща на установените рискове, — подход, гарантиращ ефективно и навременно обезпечаване на сигурността. Комисията е изправена пред сериозни заплахи и предизвикателства в областта на сигурността, особено що се отнася до тероризма, кибератаките и политическия и търговски шпионаж.

(2)

За да гарантира сигурността на лицата, активите и информацията чрез своята дирекция „Сигурност“ на ГД „Човешки ресурси и сигурност“ Комисията предприема мерки съгласно предвиденото в Решение (ЕС, Евратом) 2015/443 на Комисията (1), които се отнасят до обработката на различни категории лични данни. Тези мерки включват извършване на цялостни проверки на сигурността съгласно член 7, параграф 5, изготвяне на преценки за наличието на заплахи съгласно член 12 и разследвания на сигурността в съответствие с член 13 от Решение (ЕС, Евратом) 2015/443 на Комисията. В рамката на своя мандат за разследвания Комисията събира информация от интерес за дадено разследване, включително лични данни, от различни източници — публични органи и физически лица — и я обменя с другите институции, органи, служби и агенции на Съюза, с компетентните органи на държавите членки и на трети държави и с международни организации преди, по време на и след дейностите на разследване или координация.

(3)

Обработваните от Комисията категории лични данни са, например, данни за самоличност, данни за връзка, данни за професионалната дейност и данни, свързани с предмета на цялостна проверка на сигурността, преценка за наличието на заплахи или разследване на сигурността или такива, за които е установено, че имат такава връзка. Личните данни се съхраняват в сигурна електронна среда, за да се предотврати неправомерен достъп или предаване на данни на лица извън Комисията. Личните данни се запазват в службите на Комисията, отговарящи за разследването, до края на разследването. За различните дейности по обработване се прилагат различни срокове за съхранение на данните, в зависимост от категорията на разследването, а именно в зависимост от това дали става дума за предполагаеми престъпления, контраразузнаване или борба с тероризма. В края на срока на съхраняване свързаната със случая информация, включително личните данни, се унищожава (2).

(4)

При изпълнението на своите задачи Комисията като контролиращ орган е длъжна да зачита правата на физическите лица по отношение на обработването на лични данни, признати в член 8, параграф 1 от Хартата на основните права на Европейския съюз и в член 16, параграф 1 от Договора за функционирането на Европейския съюз, както и правата, предвидени в Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (3). Същевременно Комисията е длъжна да спазва строги правила за поверителност, посочени в член 9 от Решение (ЕС, Евратом) 2015/443.

(5)

При определени обстоятелства е необходимо да се намери баланс между правата на субектите на данни съгласно Регламент (ЕС) 2018/1725 и необходимостта Комисията да извършва ефективно задачите си за гарантиране сигурността на лицата, активите и информацията в Комисията в съответствие с Решение (ЕС, Евратом) 2015/443, по-специално разследвания на сигурността, както и безусловното зачитане на основните права и свободи на други субекти на данни. За тази цел с член 25, параграф 1, буква в), г) и з) от Регламент (ЕС) 2018/1725 на Комисията се предоставя възможността да ограничава прилагането на членове 14—17, член 19, член 20 и член 35, както и принципа за прозрачност, посочен в член 4, параграф 1, буква а) от него, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—17, член 19 и член 20 от посочения регламент.

(6)

С цел да се гарантира, че Комисията извършва ефективно задачите си за гарантиране сигурността на лицата, активите и информацията в Комисията в съответствие с Решение (ЕС, Евратом) 2015/443, по-специално своите разследвания на сигурността, като в същото време се спазват стандартите за защита на личните данни съгласно Регламент (ЕС) 2018/1725, е необходимо да се приемат вътрешни правила, съгласно които Комисията може да ограничава правата на субектите на данни в съответствие с член 25, параграф 1, букви в), г) и з) от Регламент (ЕС) 2018/1725.

(7)

Тези вътрешни правила следва да обхващат всички операции по обработката, които осъществява Комисията при изпълнението на своите задачи да гарантира сигурността на лицата, активите и информацията в Комисията съгласно Решение (ЕС, Евратом) 2015/443, по-специално разследващата функция в областта на сигурността. Те следва да се прилагат за операции по обработване, извършвани преди започването на дадено разследване, в хода на разследването и по време на наблюдението на последващите действия след приключването на разследванията.

(8)

С оглед на спазването на членове 14, 15 и 16 от Регламент (ЕС) 2018/1725 Комисията следва да информира всички физически лица за своите дейности, включващи обработването на техните лични данни, както и за техните права по прозрачен и последователен начин чрез информация за политиката за защита на личните данни, публикувана на уебсайта на Комисията.

(9)

Освен това Комисията следва да информира в подходящ формат поотделно субектите на данни, участващи в разследване на сигурността, а именно засегнатите лица и свидетелите. Освен това Комисията следва отделно да информира лицата, чиито данни се обработват в контекста на мерките за сигурност, предприети съгласно член 7, параграф 5 и член 12, параграф 1, букви г) и д) от Решение (ЕС, Евратом) 2015/443 на Комисията, а именно при претърсване на сгради на Комисията и търсене на данни от комуникационни и информационни системи и оборудване.

(10)

Въз основа на член 25 от Регламент (ЕС) 2018/1725 може да се наложи Комисията да ограничи предоставянето на информация на субектите на данни и упражняването на другите права на субектите на данни, с цел да се защити по-специално, разследване за сигурност, неговите инструменти и методи за разследване, разследвания на сигурността и производства на други публични органи, както и на правата на други лица, свързани с това разследване на сигурността, друг вид разследване и/или производство.

(11)

В някои случаи предоставянето на определена информация на субектите на данни или разкриване наличието на разследване или на мерки за сигурност, взети съгласно член 12, параграф 1, букви г) и д) от Решение (ЕС, Евратом) 2015/443 на Комисията, а именно претърсвания на сгради на Комисията и търсене на данни от комуникационни информационни системи и оборудване може да направи невъзможно или да навреди сериозно на целта на разследването и способността на Комисията да гарантира своята сигурност и по-специално ефективно да провежда разследвания на сигурността в бъдеще.

(12)

Освен това, с цел да се поддържа ефективно сътрудничество, както е посочено в член 17, параграфи 2 и 3 от Решение (ЕС, Евратом) 2015/443 може да се наложи Комисията да ограничи прилагането на правата на субектите на данни, за да предпази операциите по обработване, извършвани от други институции, органи, служби и агенции на Съюза или от компетентните органи на държавите членки. За тази цел Комисията следва да се консултира с тези институции, органи, служби, агенции и органи относно съответните основания за налагането на ограничения, както и за необходимостта и пропорционалността на ограниченията.

(13)

Възможно е също така на Комисията да се наложи да ограничи предоставянето на информация на субектите на данни и прилагането на други права на субектите на данни във връзка с лични данни, получени от трети държави или международни организации, за да изпълни задължението си за сътрудничество с тези държави или организации и да опази по този начин важна цел от общ обществен интерес на Съюза. Въпреки това при някои обстоятелства интересът или основните права на субекта на данните могат да надделеят над интереса на международното сътрудничество.

(14)

Комисията следва да борави с всички ограничения по прозрачен начин и да регистрира всяко прилагане на ограничения в съответната система за записване.

(15)

В съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725 администраторите на лични данни могат да отложат, пропуснат или откажат да предоставят информация на субекта на данните за причините за прилагането на ограничение, ако предоставянето на тази информация би изложило по някакъв начин на риск целта на ограничението. Това е по-конкретно случаят с ограниченията по отношение на правата, предвидени в членове 16 и 35 от Регламент (ЕС) 2018/1725.

(16)

Комисията следва редовно да извършва преглед на наложените ограничения, за да гарантира, че правата на субекта на данни да бъде информиран в съответствие с членове 16 и 35 от Регламент (ЕС) 2018/1725 са ограничени само доколкото тези ограничения са необходими, за да може Комисията да осигури своята сигурност и по-специално да проведе своите разследвания на сигурността.

(17)

Ако бъдат ограничени други права на субектите на данни, администраторът следва да прецени за всеки отделен случай дали съобщаването на ограничението би изложило на риск неговата цел.

(18)

Длъжностното лице за защита на данните на Комисията следва да извършва независим преглед на прилагането на ограниченията с цел осигуряване на спазването на настоящото решение.

(19)

Европейският надзорен орган по защита на данните даде становище на 10 декември 2018 г.