(1)

Komission on toimittava turvallisessa ja vakaassa ympäristössä. Sen saavuttamiseksi tarvitaan johdonmukainen ja yhdennetty komission turvallisuutta koskeva lähestymistapa, jolla varmistetaan asianmukainen ja tiedossa oleviin riskeihin suhteutettu henkilöiden, omaisuuden ja tiedon suojaamisen taso sekä tehokkaiden ja oikea-aikaisten turvatoimien toteuttaminen. Komissioon kohdistuu turvallisuuden alalla suuria uhkia ja haasteita, jotka liittyvät erityisesti terrorismiin, kyberhyökkäyksiin sekä poliittiseen ja kaupalliseen vakoiluun.

(2)

Henkilöiden, omaisuuden ja tiedon turvallisuuden varmistamiseksi komissio toteuttaa erityisesti henkilöstöhallinnon ja turvallisuustoiminnan pääosaston alaisen turvallisuusasioista vastaavan linjan kautta päätöksessä (EU, Euratom) 2015/443 (1) säädettyjä toimenpiteitä, joihin sisältyy useiden henkilötietoryhmien käsittelyä. Näihin toimenpiteisiin kuuluvat päätöksen (EU, Euratom) 2015/443 7 artiklan 5 kohdan mukaiset turvallisuuden taustatarkistukset, 12 artiklan mukaiset uhka-arviot ja 13 artiklan mukaiset turvallisuusselvitykset. Komissio kerää tutkintavaltuuksiensa puitteissa tutkinnan kannalta olennaisia tietoja, myös henkilötietoja, eri lähteistä – viranomaisilta ja luonnollisilta henkilöiltä – ja vaihtaa tietoja unionin muiden toimielinten, elinten ja laitosten sekä jäsenvaltioiden ja kolmansien maiden toimivaltaisten viranomaisten sekä kansainvälisten järjestöjen kanssa ennen tutkimus- tai koordinointitoimia, niiden aikana ja niiden jälkeen.

(3)

Komission käsittelemät henkilötietoluokat ovat esimerkiksi tunnistetietoja, yhteystietoja, työhön tai ammattiin liittyviä tietoja tai tietoja, jotka liittyvät taustatarkistuksen, uhka-arvion tai turvallisuusselvityksen aiheeseen. Henkilötiedot säilytetään suojatussa sähköisessä ympäristössä, joka estää lainvastaisen pääsyn tietoihin ja niiden lainvastaisen siirtämisen komission ulkopuolisille henkilöille. Henkilötietoja säilytetään tutkimuksesta vastaavassa komission yksikössä tutkimuksen päättymiseen saakka. Eri käsittelyihin sovelletaan erilaisia säilytysaikoja tutkinnan tyypin mukaan, toisin sanoen sen mukaan, onko kyseessä rikosepäily, vastatiedustelu tai terrorismin torjunta. Säilytysajan päättyessä asiaa koskevat tiedot, myös henkilötiedot, poistetaan (2).

(4)

Rekisterinpitäjänä komissio on tehtäviään hoitaessaan velvollinen kunnioittamaan henkilötietojen käsittelyyn liittyviä luonnollisten henkilöiden oikeuksia, jotka tunnustetaan Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdassa ja Euroopan unionin toiminnasta tehdyn sopimuksen 16 artiklan 1 kohdassa, sekä Euroopan parlamentin ja neuvoston asetuksessa (EU) 2018/1725 (3) säädettyjä oikeuksia. Samalla komissio noudattaa päätöksen (EU, Euratom) 2015/443 9 artiklassa säädettyjä tiukkoja salassapitosuojaa koskevia sääntöjä.

(5)

Tietyissä olosuhteissa on tarpeen sovittaa yhteen asetuksen (EU) 2018/1725 mukaiset rekisteröityjen oikeudet ja komission tarve suorittaa tehokkaasti henkilöiden, omaisuuden ja tiedon turvallisuuden varmistamiseen liittyvät tehtävät komissiossa, erityisesti turvallisuusselvitykset, päätöksen (EU, Euratom) 2015/443 mukaisesti samalla muiden rekisteröityjen perusoikeuksia ja -vapauksia täysin kunnioittaen. Tätä varten asetuksen (EU) 2018/1725 25 artiklan 1 kohdan c, d ja h alakohdassa annetaan komissiolle mahdollisuus rajoittaa kyseisen asetuksen 14–17, 19, 20 ja 35 artiklan soveltamista sekä 4 artiklan 1 kohdan a alakohdassa tarkoitettua läpinäkyvyyden periaatetta siltä osin kuin sen säännökset vastaavat 14–17, 19 ja 20 artiklassa säädettyjä oikeuksia ja velvollisuuksia.

(6)

Jotta voidaan varmistaa, että komissio suorittaa tehokkaasti henkilöiden, omaisuuden ja tietojen turvallisuuden varmistamiseen komissiossa liittyvät tehtävänsä, erityisesti turvallisuusselvitykset, päätöksen (EU, Euratom) 2015/443 mukaisesti ja noudattaa samalla henkilötietojen suojaa koskevia normeja asetuksen (EU) 2018/1725 mukaisesti, on tarpeen hyväksyä sisäiset säännöt, joiden nojalla komissio voi rajoittaa rekisteröityjen oikeuksia asetuksen (EU) 2018/1725 25 artiklan 1 kohdan c, d ja h alakohdan mukaisesti.

(7)

Sisäisten sääntöjen olisi katettava kaikki käsittelytoimet, joita komissio suorittaa hoitaessaan erityisesti turvallisuuden alan tutkintatoimiin liittyviä tehtäviään henkilöiden, omaisuuden ja tiedon turvallisuuden varmistamiseksi päätöksen (EU, Euratom) 2015/443 mukaisesti. Niitä olisi sovellettava käsittelytoimiin, joita toteutetaan ennen tutkimuksen aloittamista, tutkimuksen aikana sekä tutkimusten tuloksista johtuvien jatkotoimien seurannan aikana.

(8)

Asetuksen (EU) 2018/1725 14, 15 ja 16 artiklan noudattamiseksi komission olisi tiedotettava kaikille yksityishenkilöille verkkosivustollaan julkaistavilla tietosuojaselosteilla läpinäkyvästi ja johdonmukaisesti henkilötietojen käsittelyä koskevista toimistaan ja yksityishenkilöiden oikeuksista.

(9)

Lisäksi komission olisi erikseen ilmoitettava turvallisuusselvityksistä niihin liittyville rekisteröidyille, eli asianomaisille henkilöille ja todistajille. Komission olisi lisäksi erikseen ilmoitettava asiasta henkilöille, joiden tietoja käsitellään päätöksen (EU, Euratom) 2015/443 7 artiklan 5 kohdan ja 12 artiklan 1 kohdan d ja e alakohdan nojalla tehtävissä turvatoimenpiteissä, joihin kuuluvat komission tilojen, viestintä- ja tietojärjestelmien sekä laitteiden tarkastaminen.

(10)

Asetuksen (EU) 2018/1725 25 artiklan perusteella komission voi olla tarpeen rajoittaa tietojen antamista rekisteröidyille ja rekisteröityjen muita oikeuksia erityisesti turvallisuusselvityksen, sen tutkintavälineiden ja -menetelmien, muiden viranomaisten suorittamien turvallisuusselvitysten ja menettelyjen sekä muiden kyseiseen turvallisuusselvitykseen, tutkimuksiin ja/tai menettelyihin liittyvien henkilöiden oikeuksien suojaamiseksi.

(11)

Joissakin tapauksissa tiettyjen tietojen antaminen rekisteröidyille tai käynnissä olevan selvityksen tai päätöksen (EU, Euratom) 2015/443 12 artiklan 1 kohdan d alakohdan ja e alakohdan mukaisten turvatoimien eli komission tilojen viestintä- ja tietojärjestelmien ja laitteiden tarkastamisen paljastaminen voisivat estää kokonaan selvityksen tarkoituksen saavuttamisen ja komission mahdollisuuden varmistaa oma turvallisuutensa ja erityisesti suorittaa turvallisuusselvityksiä tehokkaasti tulevaisuudessa tai vaikeuttaa niitä huomattavasti.

(12)

Tehokkaan yhteistyön ylläpitämiseksi päätöksen (EU, Euratom) 2015/443 17 artiklan 2 ja 3 kohdan mukaisesti komission voi olla myös tarpeen rajoittaa rekisteröityjen oikeuksien soveltamista unionin muiden toimielinten, elinten ja laitosten tai jäsenvaltioiden toimivaltaisten viranomaisten käsittelytoimien suojaamiseksi. Tätä varten komission olisi kuultava näitä toimielimiä, elimiä, laitoksia ja viranomaisia rajoitusten asettamisen perusteista sekä rajoitusten tarpeellisuudesta ja oikeasuhteisuudesta.

(13)

Komission saattaa olla tarpeen rajoittaa myös tietojen antamista rekisteröidyille ja rekisteröityjen muiden oikeuksien käyttöä, joka liittyy kolmansista maista tai kansainvälisiltä järjestöiltä saatuihin henkilötietoihin, jotta se kykenee täyttämään velvoitteensa tehdä yhteistyötä kyseisten maiden tai järjestöjen kanssa ja näin turvaamaan unionin tärkeän yleisen edun mukaisen tavoitteen. Joissakin tapauksissa rekisteröidyn edut tai perusoikeudet saattavat kuitenkin painaa enemmän kuin kansainvälisen yhteistyön intressit.

(14)

Komission olisi käsiteltävä kaikki rajoitukset läpinäkyvästi ja rekisteröitävä vastaavaan rekisteröintijärjestelmään kaikki tapaukset, joissa rajoituksia sovelletaan.

(15)

Rekisterinpitäjät voivat asetuksen (EU) 2018/1725 25 artiklan 8 kohdan nojalla lykätä rajoituksen soveltamisen syitä koskevaa ilmoitusta rekisteröidylle, jättää sen tekemättä tai evätä sen, jos tietojen antaminen vaarantaisi jollakin tavoin rajoituksen tarkoituksen. Tämä koskee etenkin asetuksen (EU) 2018/1725 16 ja 35 artiklassa tarkoitettuja oikeuksia koskevia rajoituksia.

(16)

Komission olisi tarkasteltava käyttöön otettuja rajoituksia säännöllisesti, jotta voidaan varmistaa, että asetuksen (EU) 2018/1725 16 ja 35 artiklassa tarkoitettuja rekisteröityjen tiedonsaantioikeuksia rajoitetaan vain niin kauan kuin rajoitukset ovat välttämättömiä komission turvallisuuden varmistamiselle ja erityisesti sen turvallisuusselvitysten suorittamiselle.

(17)

Jos rajoitetaan rekisteröityjen muita oikeuksia, rekisterinpitäjän olisi arvioitava tapauskohtaisesti, vaarantaisiko rajoituksesta ilmoittaminen sen tarkoituksen.

(18)

Komission tietosuojavastaavan olisi tehtävä riippumaton arviointi rajoitusten soveltamisesta, jotta voidaan varmistaa tämän päätöksen noudattaminen.

(19)

Euroopan tietosuojavaltuutettu antoi lausunnon 10 päivänä joulukuuta 2018,