(1)

Euroopa Parlamendi ja nõukogu määruse (EL, Euratom) 2018/1046 (1) kohaselt peab iga liidu institutsioon nägema ette siseauditi funktsiooni, mida täidetakse asjaomaste rahvusvaheliste standardite kohaselt. Komisjonis teostab siseauditiga seotud tegevusi siseauditi talitus (edaspidi „talitus“), mis asutati 11. aprillil 2000. Talitus teostab siseauditeid ka liidu detsentraliseeritud asutustes ja muudes liidu eelarvest toetust saavates autonoomsetes asutustes.

(2)

Talitus teostab siseauditi tegevusi vastavalt määruse (EL, Euratom) 2018/1046 artiklitele 117–123 ning oma ametijuhendile (2). Talitus on sellega seoses täielikult sõltumatu ning tal on täielik ja piiramatu juurdepääs kogu teabele, mis on vajalik tema siseauditi tegevuste läbiviimiseks asjaomase liidu institutsiooni tegevuse ja talituste suhtes.

(3)

Talitus nõustab komisjoni teisi talitusi, rakendusameteid, liidu detsentraliseeritud asutusi ja muid liidu eelarvest toetust saavaid autonoomseid asutusi, kuidas hallata riske, st sündmuseid või probleeme, mis võivad kahjustada komisjoni poliitiliste, strateegiliste ja tegevuseesmärkide saavutamist, avaldades sõltumatuid arvamusi juhtimis- ja kontrollisüsteemide kvaliteedi kohta ning esitades soovitusi, kuidas parandada toimingute teostamise tingimusi ning edendada usaldusväärset finantsjuhtimist vastavalt määruse (EL, Euratom) 2018/1046 artiklitele 117–123. Seetõttu ei käsitle talituse siseauditi tegevused tavaliselt füüsilisi isikuid. Siiski töödeldakse talituse tegevuse käigus paratamatult Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 (3) artikli 3 lõikes 1 käsitletud isikuandmeid. Talituse teostatud siseauditi tegevuste raames hinnatakse institutsioonisiseste juhtimissüsteemide sobivust ja tõhusust ning talituste tegevuse tulemuslikkust poliitika, programmide ja meetmete rakendamisel, ning kõigi eelarve täitmise toimingute suhtes kohaldatavate sisekontrolli- ja -auditisüsteemide tulemuslikkust ja tõhusust. Seetõttu aitavad need tegevused kindlustada liidu ja liikmesriikide oluliste majandus- ja finantshuvide arvestamist. Talitus on finantsmääruse artikli 118 ja artikli 119 lõike 2 alusel teostatavate töötlemistoimingute puhul vastutav töötleja.

(4)

Komisjonis ja tema rakendusametites ning liidu detsentraliseeritud asutustes ja muudes autonoomsetes asutustes teostatud siseauditi tegevused on oma olemuselt ja sisult erinevad, ulatudes kindluse andmise (sealhulgas riskihindamised) ja konsulteerimisega seotud tegevustest piiratud ulatusega läbivaatamiste ja järelaudititeni.

(5)

Auditi järelevalvekomitee on vastavalt 21. novembril 2018 ajakohastatud ametijuhendile (C(2018)7707) nõuandev organ, (4) kes aitab komisjonil täita oma kohustusi, mis tulenevad aluslepingutest ja muudest õigusnormidest [määrus (EL, Euratom) 2018/1046], tagades siseauditi talituse sõltumatuse, jälgides siseaudititegevuse kvaliteeti ning tagades, et komisjoni talitused arvestaksid nõuetekohaselt sise- ja välisauditi soovitusi ja võtaksid nende põhjal järelmeetmeid. Auditi järelevalvekomitee aitab nii üldiselt veelgi parandada komisjoni tõhusust ja tulemuslikkust eesmärkide täitmisel, ning toetab kolleegiumi järelevalvet komisjoni juhtimise, riskijuhtimise ja sisekontrolli tavade üle. Auditi järelevalvekomitee on finantsmääruse artikli 123 alusel teostatava(te) töötlemistoimingu(te) puhul vastutav töötleja.

(6)

Määruse (EL, Euratom) 2018/1046 artiklis 118 ja artikli 119 lõikes 2 sätestatud tegevuste puhul töötleb komisjon, kes tegutseb omal algatusel või saadud teabe alusel, isikuandmeid, mis on hangitud või saadud juriidilistelt isikutelt, füüsilistelt isikutelt, liikmesriikidelt ning rahvusvahelistelt organitelt ja organisatsioonidelt. Selliste siseauditi tegevuste käigus võib talitus töödelda ka isikuandmeid, mis on hangitud või saadud avalikult kättesaadavatest allikatest, anonüümsetest allikatest või teadaolevatest allikatest, kes taotlevad oma identiteedi kaitset.

(7)

Komisjon võib omakorda vahetada isikuandmeid liidu institutsioonide, organite, asutuste ja liikmesriikide pädevate asutustega, ning komisjoni asjaomaste rahvusvaheliste või koostöölepingute raames kolmandate riikide ja rahvusvaheliste organisatsioonidega.

(8)

Siseauditi tegevuste käigus võib isikuandmeid töödelda määruse (EL) 2018/1725 artikli 3 punkti 3 tähenduses juba enne, kui komisjon menetluse ametlikult algatab, ning töötlemine võib jätkuda siseauditi kestel ja ka pärast seda, kui siseaudit on ametlikult lõpetatud (näiteks soovituste rakendamise järelevalve eesmärgil, et hinnata uute siseauditi tegevuste algatamise vajadust).

(9)

Komisjoni töödeldavate isikuandmete kategooriad hõlmavad isikusamasuse tuvastamiseks vajalikke andmeid, kontaktandmeid, andmeid ametialase tegevuse kohta ning andmeid, mis on seotud või esitatud seoses tegevuse esemega. Kõnealuseid isikuandmete kategooriaid hoitakse turvatud elektroonilises keskkonnas, et neile ei pääseks ebaseaduslikult juurde isikud, kellel pole nende andmete teadmise vajadust, või et neid ei edastataks ebaseaduslikult sellistele isikutele. Isikuandmeid säilitatakse kuni kümme aastat. Säilitustähtaja lõpus saadetakse siseauditi tegevusega seotud teave, sealhulgas isikuandmed komisjoni arhiivi (5) või hävitatakse.

(10)

Siseauditi tegevusi teostades on komisjon kohustatud austama füüsiliste isikute õigusi seoses isikuandmete töötlemisega, mis on sätestatud Euroopa Liidu põhiõiguste harta artikli 8 lõikes 1 ja aluslepingu artikli 16 lõikes 1, samuti määruses (EL) 2018/1725 sätestatud õigusi. Samal ajal peab komisjon vastavalt määruse (EL, Euratom) 2018/1046 artiklile 117 järgima rangeid konfidentsiaalsuse eeskirju, millele on osutatud rahvusvahelistes siseauditistandardites.

(11)

Teatavatel asjaoludel on tarvis ühitada määrusest (EL) 2018/1725 tulenevad andmesubjektide õigused siseauditi tegevuste vajaduste, füüsiliste ja juriidiliste isikutega teabe vahetamise konfidentsiaalsuse ning teiste andmesubjektide põhiõiguste ja -vabaduste täieliku austamisega. Selleks on määruse (EL) 2018/1725 artikli 25 lõike 1 punktidega c, g ja h nähtud talitusele ette võimalus piirata määruse artiklite 14–17, 19, 20 ja 35 ning artikli 4 lõike 1 punktis a sätestatud läbipaistvuspõhimõtte kohaldamist, kui sätted vastavad kõnealuse määruse artiklites 14–17, 19, 20 ja 35 sätestatud õigustele ja kohustustele.

(12)

Siseauditi tegevuste tõhususe tagamiseks, järgides samas Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 45/2001 (6) asendanud määruses (EL) 2018/1725 sätestatud isikuandmete kaitse standardeid, tuleb vastu võtta sise-eeskirjad, mille kohaselt oleks komisjonil võimalik piirata andmesubjektide õigusi kooskõlas määruse (EL) 2018/1725 artikli 25 lõike 1 punktidega c, g ja h.

(13)

Sise-eeskirjad peaksid hõlmama kõiki andmetöötlustoiminguid, mida komisjon teeb oma siseauditi tegevuste käigus kas omal algatusel või saadud teabe alusel, alati, kui andmesubjektide õiguste järgimine võib siseauditi tegevuste teostamist ohustada. Neid eeskirju tuleks kohaldada nii enne tegevuse ametlikku algatamist, tegevuse ajal, ning samuti järelmeetmete kontrollimise käigus tehtavate andmetöötlustoimingute suhtes.

(14)

Määruse (EL) 2018/1725 artiklite 14, 15 ja 16 järgimiseks peaks komisjon teavitama kõiki isikuid oma tegevusest, mis hõlmab nende isikuandmete töötlemist, ja nende õigustest läbipaistval ja sidusal viisil isikuandmete kaitse põhimõtteid käsitlevates teadetes, mis on avaldatud komisjoni veebisaidil. Vajaduse korral peaks komisjon võtma täiendavaid kaitsemeetmeid, tagamaks, et andmesubjekte teavitatakse eraldi asjakohases vormis.

(15)

Määruse (EL) 2018/1725 artikli 25 alusel saab komisjon piirata andmesubjektide teavitamist ja nende muude õiguste kasutamist, kui see on vajalik, et kaitsta komisjoni siseauditi tegevusi, liikmesriikide ametiasutuste auditeid, auditivahendeid ja -meetodeid ning komisjoni siseauditi tegevustega seotud teiste isikute õigusi.

(16)

Lisaks võib komisjonil olla tarvis piirata andmesubjektide õiguste kohaldamist tõhusa koostöö tagamise eesmärgil, et kaitsta komisjoni talituste või teiste liidu institutsioonide, organite ja asutuste või liikmesriikide ametiasutuste ning rahvusvaheliste organisatsioonide ja auditi järelevalvekomitee andmetöötlustoiminguid. Selleks peaks komisjon konsulteerima nende talituste, institutsioonide, organite, asutuste, ametiasutuste ja organisatsioonide ning auditi järelevalvekomiteega piirangute kehtestamise põhjuste ning piirangute vajalikkuse ja proportsionaalsuse üle.

(17)

Komisjonil võib samuti olla tarvis piirata andmesubjektide teavitamist ja nende muude õiguste kohaldamist seoses kolmandatelt riikidelt või rahvusvahelistelt organisatsioonidelt saadud isikuandmetega, et teha nende riikide või organisatsioonidega koostööd ning kindlustada seega liidu üldisest huvist kantud olulise eesmärgi järgimine. Teatavatel juhtudel on andmesubjekti huvid või tema põhiõigused rahvusvahelise koostöö huvist siiski olulisemad.

(18)

Komisjon peaks kõiki piiranguid kohaldama läbipaistval viisil ning registreerima kõik kohaldatavad piirangud asjakohases dokumenteerimissüsteemis.

(19)

Vastavalt määruse (EL) 2018/1725 artikli 25 lõikele 8 võivad vastutavad töötlejad lükata andmesubjekti suhtes piirangu kohaldamise põhjusi käsitleva teabe esitamise edasi, selle ära jätta või sellest keelduda, kui see teave kahjustaks mis tahes viisil piirangu kohaldamise eesmärki. Eelkõige kehtib see määruse (EL) 2018/1725 artiklites 16 ja 35 ette nähtud õiguste suhtes kohaldatavate piirangute korral.

(20)

Juhul kui piiratakse andmesubjekti muid õigusi, peaks siseauditi talituse vastutav töötleja hindama iga juhtumi korral eraldi, kas piirangust teatamine kahjustaks piirangu eesmärki.

(21)

Euroopa Komisjoni andmekaitseametnik peaks piirangute kohaldamist sõltumatult kontrollima, et tagada käesoleva otsuse järgimine.

(22)

Määrusega (EL) 2018/1725 asendatakse määrus (EÜ) nr 45/2001 ilma üleminekuperioodita alates määruse jõustumise kuupäevast. Võimalus kohaldada teatavate õiguste suhtes piiranguid on sätestatud määruses (EÜ) nr 45/2001. Vältimaks ameti siseauditi tegevuste seaduslikkuse ohtu seadmist, tuleks käesolevat otsust kohaldada alates määruse (EL) 2018/1725 jõustumise kuupäevast.

(23)

Euroopa Andmekaitseinspektor esitas oma arvamuse 27. novembril 2018,