(1)

Kommissionen er under udførelsen af sine opgaver forpligtet til at respektere fysiske personers rettigheder med hensyn til behandling af personoplysninger, jf. artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder og artikel 16, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde. Den skal også respektere de rettigheder, der er fastsat i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (1). Samtidig skal Kommissionen håndtere IT-sikkerhedshændelser i overensstemmelse med reglerne i artikel 15 i afgørelse (EU, Euratom) 2017/46 (2).

(2)

For at garantere IT-sikkerheden, hvorved forstås bevarelse af fortroligheden, integriteten og tilgængeligheden af kommunikations- og informationssystemerne og de datasæt, som de behandler, for så vidt angår fysiske personer, aktiver og oplysninger, træffer Kommissionen, bl.a. via Generaldirektoratet for Informationsteknologi, foranstaltninger i medfør af afgørelse (EU, Euratom) 2017/46 og afgørelse C(2017) 8841 final (3). Disse foranstaltninger omfatter overvågning af IT-sikkerhedsrisici og af de gennemførte IT-sikkerhedsforanstaltninger, anmodning af systemejere om at træffe specifikke IT-sikkerhedsforanstaltninger for at begrænse IT-sikkerhedsrisici for Kommissionens kommunikations- og informationssystemer og håndtering af IT-sikkerhedshændelser.

(3)

Generaldirektoratet for Informationsteknologi leverer IT-sikkerhedsoperationer og -tjenester til Kommissionen og skal kunne behandle flere kategorier af personoplysninger for at kunne:

(4)

IT-sikkerhedshændelser, der kan underminere sikkerheden i Kommissionens informations- og kommunikationssystemer, kan opstå som led i enhver behandlingsaktivitet, der udføres af Kommissionen. De kan omfatte enhver kategori af personoplysninger, som Kommissionen behandler.

(5)

I visse tilfælde er det nødvendigt at afveje hensynet til de registreredes rettigheder i henhold til forordning (EU) 2018/1725 mod Kommissionens behov for effektivt at kunne udføre sine opgaver for at garantere IT-sikkerhedsbeskyttelsen af personer, aktiver og oplysninger i Kommissionen i henhold til afgørelse (EU, Euratom) 2017/46, samtidig med at andre registreredes grundlæggende rettigheder og frihedsrettigheder respekteres fuldt ud. Med henblik herpå har Kommissionen i henhold til artikel 25, stk. 1, i forordning (EU) 2018/1725 mulighed for at begrænse anvendelsen af artikel 14-17, 19, 20 og 35 i nævnte forordning samt det i samme forordnings artikel 4, stk. 1, litra a), nævnte gennemsigtighedsprincip for så vidt bestemmelserne heri svarer til de rettigheder og forpligtelser, der er fastsat i nævnte forordnings artikel 14-17, 19 og 20.

(6)

Denne afgørelse bør anvendes på alle de behandlingsaktiviteter, som Kommission som dataansvarlig udfører i forbindelse med udførelsen af sine opgaver for at garantere IT-sikkerhedsbeskyttelsen af personer, aktiver og oplysninger i Kommissionen i henhold til afgørelse (EU, Euratom) 2017/46. Den bør derfor omfatte de registrerede, som de kategorier af personoplysninger, der er omfattet af alle disse behandlingsaktiviteter, hører til, dvs. personer, som interagerer med et af Kommissionens informations- og kommunikationssystemer.

(7)

Personoplysninger opbevares i et sikret elektronisk miljø for at forhindre, at personer uden for Kommissionen får ulovlig adgang. Der gælder forskellige dataopbevaringsperioder for forskellige behandlingsaktiviteter, afhængigt af hvilken type personoplysninger der er tale om. I Kommissionen styres opbevaringen af sagsakter ved hjælp af den fælles opbevaringsliste (SEC(2019) 900) udarbejdet på kommissionsniveau, som er et retligt dokument i form af en opbevaringsplan, hvori der fastsættes opbevaringsperioder for Kommissionens forskellige typer sagsakter for at begrænse dataopbevaringen til det nødvendige.

(8)

Kommissionen kan være nødsaget til at begrænse anvendelsen af registreredes rettigheder for at garantere den interne sikkerhed, jf. artikel 25, stk. 1, litra d), i forordning (EU) 2018/1725 (dvs. for at sikre fortroligheden, integriteten og tilgængeligheden af sine kommunikations- og informationssystemer og de datasæt, som disse behandler, sine aktiver og oplysninger). Dette kan navnlig være nødvendigt, når Kommissionen:

(9)

Hvad angår håndteringen af IT-sikkerhedshændelser, jf. artikel 15 i afgørelse (EU, Euratom) 2017/46, kan Generaldirektoratet for Informationsteknologi udveksle oplysninger med cyberangrebsenheden under Generaldirektorat for Menneskelige Ressourcer og Sikkerhed.

(10)

For at overholde artikel 14, 15 og 16 i forordning (EU) 2018/1725 bør Kommissionen underrette alle fysiske personer om de aktiviteter, der indebærer, at deres personoplysninger behandles, og som påvirker deres rettigheder. Den bør gøre dette på en gennemsigtig og sammenhængende måde ved at offentliggøre en databeskyttelsesmeddelelse på Kommissionens websted. Hvis det er relevant, bør den træffe yderligere beskyttelsesforanstaltninger for at underrette registrerede individuelt i en passende form.

(11)

Ved overholdelse af artikel 14, 15 og 16 i forordning (EU) 2018/1725 kan IT-sikkerhedsforanstaltninger, -sårbarheder eller -hændelser, jf. artikel 15 i afgørelse (EU, Euratom) 2017/46 blive afsløret. Bliver af sådanne IT-sikkerhedsforanstaltninger, -sårbarheder og -hændelser kendt, øges risikoen for, at den opdagede IT-sikkerhedsforanstaltning vil blive omgået, at den eksponerede sårbarhed dernæst vil blive udnyttet, og at en igangværende IT-sikkerhedsanalyse kan blive undermineret, fordi genstande kan manipuleres utilsigtet eller forsætligt af en bruger eller en ondsindet aktør. Dette kan i alvorlig grad forringe Kommissionens mulighed for at garantere den interne IT-sikkerhed og navnlig for at håndtere IT-sikkerhedshændelser effektivt i fremtiden.

(12)

Ifølge artikel 25, stk. 1, litra h), i forordning (EU) 2018/1725 kan Kommissionen også begrænse anvendelsen af registreredes rettigheder for at beskytte andre personers rettigheder og frihedsrettigheder i forbindelse IT-sikkerhedshændelser, som kunne underminere IT-sikkerhedsaktiviteter.

(13)

Kommissionen kan også blive nødt til at begrænse underretningen af de registrerede og anvendelsen af andre af de registreredes rettigheder i forbindelse med personoplysninger, der modtages fra tredjelande eller internationale organisationer, med henblik på at opfylde sin pligt til at samarbejde med disse lande eller organisationer. Dette er en del af Kommissionens pligt til at beskytte et vigtigt mål i Unionens generelle samfundsinteresser, jf. artikel 25, stk. 1, litra c), i forordning (EU) 2018/1725. I visse tilfælde kan den registreredes grundlæggende rettigheder dog gå forud for hensynet til det internationale samarbejde.

(14)

Kommissionen har derfor fastsat, at de hensyn, der er anført i artikel 25, stk. 1, litra c), d) og h), i forordning (EU) 2018/1725, kan udgøre begrundelser for begrænsninger, som det kan være nødvendigt at anvende på databehandlingsaktiviteter, der udføres af Generaldirektoratet for Informationsteknologi i forbindelse med levering af IT-sikkerhedsaktiviteter og -tjenester til Kommissionen.

(15)

Enhver begrænsning, der anvendes i henhold til denne afgørelse, bør være nødvendig og stå i rimeligt forhold til formålet under hensyntagen til risiciene for registreredes rettigheder og frihedsrettigheder.

(16)

Kommissionen bør behandle alle begrænsninger på en gennemsigtig måde og registrere enhver anvendelse af begrænsninger i det tilsvarende registreringssystem.

(17)

I henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725 kan den dataansvarlige udsætte, undlade eller afvise at underrette den registrerede om årsagerne til anvendelsen af en begrænsning, hvis underretningen på nogen måde ville underminere virkningen af begrænsningen. Dette gælder navnlig begrænsninger i de forpligtelser, der er omhandlet i artikel 16 og 35 i forordning (EU) 2018/1725. Kommissionen bør jævnligt tage de pålagte begrænsninger op til fornyet overvejelse for at sikre, at den registreredes ret til at blive underrettet, jf. artikel 16 og 35 i forordning (EU) 2018/1725, kun begrænses, så længe begrænsningerne er nødvendige for, at Kommissionen kan garantere sikkerheden og navnlig håndtere IT-sikkerhedshændelser.

(18)

Hvis Kommissionen begrænser anvendelsen af andre rettigheder end dem, den registrerede er omfattet af i henhold til artikel 16 og 35 i forordning (EU) 2018/1725, bør den dataansvarlige fra sag til sag vurdere, om det ville underminere formålet med begrænsningen at underrette herom.

(19)

Kommissionens databeskyttelsesrådgiver bør foretage en uafhængig gennemgang af anvendelsen af begrænsninger med henblik på at sikre, at denne afgørelse overholdes.

(20)

For at gøre det umiddelbart muligt for Kommissionen at begrænse anvendelsen af visse rettigheder og forpligtelser i overensstemmelse med artikel 25 i forordning (EU) 2018/1725 bør denne afgørelse træde i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

(21)

Den Europæiske Tilsynsførende for Databeskyttelse afgav udtalelse den 16. september 2021 —