(1)

Kommissionen skal kunne arbejde i et sikkert og trygt miljø. Den har derfor brug for en sammenhængende og integreret tilgang til Kommissionens sikkerhed, hvor personer, aktiver og oplysninger sikres den rette grad af beskyttelse afstemt efter de konstaterede risici, og hvor sikkerheden garanteres effektivt og rettidigt. Kommissionen står over for store sikkerhedsmæssige trusler og udfordringer, især i form af terrorisme, cyberangreb og politisk og kommerciel spionage.

(2)

For at garantere sikkerhedsbeskyttelsen af personer, aktiver og oplysninger træffer Kommissionen, bl.a. via Sikkerhedsdirektoratet i Generaldirektoratet for Menneskelige Ressourcer og Sikkerhed, foranstaltninger i medfør af Kommissionens afgørelse (EU, Euratom) 2015/443 (1), som indebærer behandling af forskellige kategorier af personoplysninger. Disse foranstaltninger omfatter bl.a. baggrundskontrol i henhold til artikel 7, stk. 5, trusselsvurderinger i henhold til artikel 12 og sikkerhedsundersøgelser i henhold til artikel 13 i afgørelse (EU, Euratom) 2015/443. Kommissionen indsamler inden for rammerne af sine undersøgelsesbeføjelser oplysninger af interesse for en undersøgelse, herunder personoplysninger, fra forskellige kilder — offentlige myndigheder og fysiske personer — og udveksler dem med EU's øvrige institutioner, organer, kontorer og agenturer, med kompetente myndigheder i medlemsstaterne og tredjelande samt med internationale organisationer inden, under og efter undersøgelses- eller koordineringsaktiviteterne.

(3)

De kategorier af personoplysninger, der behandles af Kommissionen, består f.eks. i identifikationsoplysninger, kontaktoplysninger, erhvervsmæssige oplysninger og oplysninger relateret til eller sat i forbindelse med genstanden for baggrundskontrollen, trusselsvurderingen eller undersøgelsen. Personoplysningerne lagres i et sikret elektronisk miljø for at forhindre ulovlig adgang til eller videregivelse af oplysninger til personer uden for Kommissionen. Personoplysningerne opbevares i de af Kommissionens tjenestegrene, der er ansvarlige for undersøgelsen, indtil undersøgelsen er afsluttet. Der gælder forskellige opbevaringsfrister for forskellige behandlinger afhængigt af, hvilken kategori af undersøgelse der er tale om, dvs. om der er tale om mistanke om strafbare handlinger, kontraefterretning eller bekæmpelse af terrorisme. Ved udløbet af opbevaringsperioden slettes de sagsrelaterede oplysninger, herunder personoplysninger (2).

(4)

Kommissionen er under udførelsen af sine opgaver forpligtet til at overholde fysiske personers rettigheder med hensyn til behandling af personoplysninger, jf. artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde, samt de rettigheder, der er fastsat i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (3). Samtidig er Kommissionen forpligtet til at overholde de strenge fortrolighedsregler, der er omhandlet i artikel 9 i afgørelse (EU, Euratom) 2015/443.

(5)

I visse tilfælde er det nødvendigt at afveje hensynet til de registreredes rettigheder i henhold til forordning (EU) 2018/1725 mod Kommissionens behov for effektivt at kunne udføre sin opgave med at sikkerhedsbeskytte personer, aktiver og oplysninger i Kommissionen i henhold til afgørelse (EU, Euratom) 2015/443, navnlig sine sikkerhedsundersøgelser, og andre registreredes grundlæggende rettigheder og frihedsrettigheder, som også skal overholdes til fulde. Med henblik herpå fastsættes det i artikel 25, stk. 1, litra c), d) og h), i forordning (EU) 2018/1725, at Kommissionen kan begrænse anvendelsen af artikel 14-17, artikel 19, 20 og 35 samt gennemsigtighedsprincippet i artikel 4, stk. 1, litra a), for så vidt bestemmelserne heri svarer til de rettigheder og forpligtelser, der er fastsat i nævnte forordnings artikel 14-17, 19 og 20.

(6)

For at sikre, at Kommissionen effektivt kan udføre sin opgave med at sikkerhedsbeskytte personer, aktiver og oplysninger i Kommissionen i henhold til afgørelse (EU, Euratom) 2015/443, navnlig sine sikkerhedsundersøgelser, er det nødvendigt at vedtage interne regler, som giver Kommissionen mulighed for at begrænse registreredes rettigheder i overensstemmelse med artikel 25, stk. 1, litra c), d), og h), i forordning (EU) 2018/1725, samtidig med at standarderne for beskyttelse af personoplysninger i henhold til forordning (EU) 2018/1725 overholdes.

(7)

Disse interne regler bør omfatte al behandling af personoplysninger, som Kommissionen foretager i forbindelse med udførelsen af sine opgaver for at garantere sikkerhedsbeskyttelsen af personer, aktiver og oplysninger i Kommissionen i henhold til afgørelse (EU, Euratom) 2015/443, især sin undersøgelsesfunktion på sikkerhedsområdet. De bør gælde for den behandling af personoplysninger, der foretages forud for en undersøgelse, i løbet af en undersøgelse og som led i tilsynet med, at der følges op på resultatet af en undersøgelse.

(8)

For at efterleve artikel 14, 15 og 16 i forordning (EU) 2018/1725 bør Kommissionen underrette alle fysiske personer om de af dens aktiviteter, der indebærer behandling af deres personoplysninger, og om deres rettigheder på en gennemsigtig og sammenhængende måde via en databeskyttelsesmeddelelse, der offentliggøres på Kommissionens websted.

(9)

Kommissionen bør derudover i en hensigtsmæssig form underrette de enkelte registrerede, der er omfattet af en sikkerhedsundersøgelse, dvs. de pågældende personer og vidner. Kommissionen bør endvidere enkeltvis underrette personer, hvis oplysninger behandles som led i sikkerhedsforanstaltninger, der er truffet i henhold til artikel 7, stk. 5, og artikel 12, stk. 1, litra d) og e), i afgørelse (EU, Euratom) 2015/443, dvs. i forbindelse med gennemsøgning af Kommissionens lokaliteter og kommunikations- og informationssystemer og -udstyr.

(10)

På grundlag af artikel 25 i forordning (EU) 2018/1725 kan det være nødvendigt for Kommissionen at begrænse udleveringen af oplysninger til de registrerede og udøvelsen af andre af de registreredes rettigheder for at beskytte navnlig en sikkerhedsundersøgelse, dens undersøgelsesværktøjer og metoder, andre offentlige myndigheders sikkerhedsundersøgelser og databehandling samt de rettigheder, som andre personer med relation til den pågældende sikkerhedsundersøgelse, de pågældende undersøgelser og/eller den pågældende databehandling måtte have.

(11)

I visse tilfælde kan meddelelsen af bestemte oplysninger til de registrerede eller afsløringen af, at der er indledt en undersøgelse, eller af, at der er truffet sikkerhedsforanstaltninger i henhold til artikel 12, stk. 1, litra d) og e), i afgørelse (EU, Euratom) 2015/443, dvs. en gennemsøgning af Kommissionens lokaliteter og kommunikations- og informationssystemer og -udstyr, gøre det umuligt at gennemføre undersøgelsen eller i alvorlig grad skade formålet med undersøgelsen og Kommissionens evne til at garantere Kommissionens sikkerhed og især til at foretage sikkerhedsundersøgelser effektivt i fremtiden.

(12)

Desuden kan Kommissionen for at bevare et effektivt samarbejde, jf. artikel 17, stk. 2 og 3, i afgørelse (EU, Euratom) 2015/443, være nødsaget til at begrænse udøvelsen af de registreredes rettigheder for at beskytte behandlingen af personoplysninger i EU's andre institutioner, organer, kontorer og agenturer eller hos medlemsstaternes kompetente myndigheder. Kommissionen bør derfor rådføre sig med de pågældende institutioner, organer, kontorer, agenturer og myndigheder om det relevante grundlag for at indføre begrænsninger samt om begrænsningernes nødvendighed og proportionalitet.

(13)

Det kan også være nødvendigt for Kommissionen at begrænse underretningen af de registrerede og udøvelsen af andre af de registreredes rettigheder i forbindelse med personoplysninger, der modtages fra tredjelande eller internationale organisationer, for at kunne opfylde pligten til at samarbejde med disse lande eller organisationer og dermed beskytte et vigtigt mål i Unionens almene interesse. I visse tilfælde kan den registreredes interesser eller grundlæggende rettigheder imidlertid tilsidesætte hensynet til det internationale samarbejde.

(14)

Kommissionen bør behandle alle begrænsninger på en gennemsigtig måde og registrere enhver anvendelse af begrænsninger i det tilhørende registreringssystem.

(15)

I henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725 kan den dataansvarlige udsætte, udelade eller afvise at meddele den registrerede årsagerne til at anvende en begrænsning, hvis meddelelsen på nogen måde ville være til skade for begrænsningens formål. Dette gælder navnlig begrænsninger af de rettigheder, der er omhandlet i artikel 16 og 35 i forordning (EU) 2018/1725.

(16)

Kommissionen bør jævnligt tage de pålagte begrænsninger op til fornyet overvejelse for at sikre, at den registreredes ret til at blive underrettet, jf. artikel 16 og 35 i forordning (EU) 2018/1725, kun begrænses, så længe begrænsningerne er nødvendige for, at Kommissionen kan garantere sikkerheden og navnlig foretage sine sikkerhedsundersøgelser.

(17)

Hvis andre af de registreredes rettigheder begrænses, bør den dataansvarlige i hvert enkelt tilfælde vurdere, om det vil være til skade for formålet at underrette om begrænsningen.

(18)

Kommissionens databeskyttelsesansvarlige bør foretage en uafhængig gennemgang af anvendelsen af begrænsninger med henblik på at sikre, at denne afgørelse overholdes.

(19)

Den Europæiske Tilsynsførende for Databeskyttelse afgav udtalelse den 10. december 2018 —