(1)

Euroopan parlamentin ja neuvoston asetuksessa (EU, Euratom) 2018/1046 (1) edellytetään, että kukin unionin toimielin perustaa sisäisen tarkastuksen tehtävän, jota on hoidettava kansainvälisten standardien mukaisesti. Komissiossa sisäistä tarkastustoimintaa hoitaa sisäisen tarkastuksen toimiala, jäljempänä ’sisäinen tarkastus’, joka perustettiin 11 päivänä huhtikuuta 2000. Sisäinen tarkastus suorittaa sisäistä tarkastustoimintaa myös unionin erillisvirastoissa ja muissa riippumattomissa elimissä, joita rahoitetaan unionin talousarviosta.

(2)

Sisäinen tarkastus suorittaa sisäistä tarkastustoimintaa asetuksen (EU, Euratom) 2018/1046 117–123 artiklan ja sen tehtävää koskevan perussäännön (2) mukaisesti. Tältä osin sisäinen tarkastus on täysin riippumaton, ja sillä on täysi ja rajoittamaton pääsy kaikkiin sen sisäisen tarkastustoiminnan suorittamisen yhteydessä tarvittaviin tietoihin, jotka liittyvät unionin kyseisen toimielimen kaikkiin toimintoihin ja osastoihin.

(3)

Asetuksen (EU, Euratom) 2018/1046 117–123 artiklan mukaisesti sisäinen tarkastus neuvoo muita komission osastoja, toimeenpanovirastoja sekä unionin erillisvirastoja ja muita unionin talousarviosta rahoitusta saavia riippumattomia elimiä riskienhallinnassa eli tapahtumissa tai ongelmissa, joita voi esiintyä ja jotka voivat vaikuttaa kielteisesti komission poliittisen, strategisen ja toiminnallisen tavoitteen saavuttamiseen, antamalla riippumattomia lausuntoja hallinnointi- ja valvontajärjestelmien laadusta sekä suosituksia toimintojen toteuttamisedellytysten parantamiseksi ja moitteettoman varainhoidon edistämiseksi. Sen vuoksi sisäisen tarkastuksen suorittaman sisäisen tarkastustoiminnan kohteena eivät yleensä ole luonnolliset henkilöt. Sen toiminnan yhteydessä käsitellään kuitenkin väistämättä Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (3) 3 artiklan 1 kohdassa tarkoitettuja henkilötietoja. Sisäisen tarkastuksen suorittaman sisäisen tarkastustoiminnan yhteydessä arvioidaan sisäisten hallinnointijärjestelmien asianmukaisuutta ja vaikuttavuutta sekä osastojen toiminnan tuloksellisuutta toimintapolitiikkojen, ohjelmien ja toimien toteuttamisessa sekä kuhunkin talousarvion toteuttamistoimeen sovellettavien sisäisen valvonnan ja tarkastuksen järjestelmien tehokkuutta ja vaikuttavuutta. Sen vuoksi sisäinen tarkastustoiminta myötävaikuttaa unionin ja jäsenvaltioiden tärkeiden taloudellisten ja rahoitusta koskevien etujen turvaamiseen. Sisäinen tarkastus on varainhoitoasetuksen 118 artiklan ja 119 artiklan 2 kohdan mukaisesti suorittamiensa käsittelytoimien rekisterinpitäjä.

(4)

Komissiossa ja sen toimeenpanovirastoissa sekä unionin erillisvirastoissa ja muissa riippumattomissa elimissä suoritettava sisäinen tarkastustoiminta vaihtelee muodoltaan ja sisällöltään siten, että siihen kuuluu esimerkiksi varmennustehtäviä (riskinarviointi mukaan luettuna) ja konsultointitehtäviä, rajoitettuja tarkastuksia ja seurantatarkastuksia.

(5)

Sisäisen tarkastuksen seurantakomitea on sen tehtävää koskevan, 21 päivänä marraskuuta 2018 päivitetyn perussäännön (C(2018) 7707) mukaan neuvoa-antava elin (4), joka avustaa komissiota perussopimuksista ja muista säädöksistä [asetus (EU, Euratom) 2018/1046] johtuvien velvoitteidensa täyttämisessä varmistamalla sisäisen tarkastuksen riippumattomuuden, valvomalla sisäisen tarkastustyön laatua ja varmistamalla, että komission yksiköt ottavat asianmukaisesti huomioon sisäiset ja ulkoiset tarkastussuositukset ja että suosituksiin kohdistetaan asianmukaista seurantaa. Tällä tavoin sisäisen tarkastuksen seurantakomitea edistää osaltaan komission toiminnan tehokkuuden ja vaikuttavuuden yleistä paranemista sen pyrkiessä saavuttamaan tavoitteensa ja helpottaa kollegion harjoittamaa komission hallinnon, riskinhallinnan ja sisäisen valvonnan käytäntöjen valvontaa. Sisäisen tarkastuksen seurantakomitea on varainhoitoasetuksen 123 artiklan mukaisesti suorittamiensa käsittelytoimien rekisterinpitäjä.

(6)

Sekä omasta aloitteestaan että saatujen tietojen perusteella toimiessaan komissio käsittelee asetuksen (EU, Euratom) 2018/1046 118 artiklan ja 119 artiklan 2 kohdan mukaista toimintaansa varten henkilötietoja, jotka on hankittu tai saatu oikeushenkilöiltä, luonnollisilta henkilöiltä, jäsenvaltioilta ja kansainvälisiltä elimiltä ja järjestöiltä. Sisäinen tarkastus voi käsitellä tällaisen sisäisen tarkastustoiminnan yhteydessä myös henkilötietoja, jotka on hankittu tai saatu yleisesti saatavilla olevista lähteistä, nimettömistä tai tunnistetuista lähteistä, joiden henkilöllisyyttä on suojattava.

(7)

Komissio voi puolestaan vaihtaa henkilötietoja unionin toimielinten, elinten, toimistojen ja virastojen kanssa, jäsenvaltioiden toimivaltaisten viranomaisten kanssa ja komission kannalta merkityksellisten kansainvälisten sopimusten tai yhteistyösopimusten puitteissa kolmansien maiden ja kansainvälisten järjestöjen kanssa.

(8)

Asetuksen (EU) 2018/1725 3 artiklan 3 kohdassa tarkoitettu henkilötietojen käsittely, jota tehdään sisäisen tarkastustoiminnan yhteydessä, saattaa alkaa jo ennen kuin komissio virallisesti aloittaa sen ja jatkua koko sisäisen tarkastustoiminnan suorittamisen ajan sekä mahdollisesti vielä sen virallisen päättämisen jälkeenkin esimerkiksi suositusten täytäntöönpanon seurannan tai uusien sisäisten tarkastustoimintojen käynnistämistarpeen arviointia varten.

(9)

Komission käsittelemät henkilötietoryhmät ovat esimerkiksi tunnistetietoja, yhteystietoja, työhön tai ammattiin liittyviä tietoja tai tietoja, jotka liittyvät toiminnan aiheeseen. Nämä henkilötietoryhmät säilytetään suojatussa sähköisessä ympäristössä, jotta estetään lainvastainen pääsy tietoihin ja niiden lainvastainen siirtäminen henkilöille, joilla ei ole tiedonsaantitarvetta. Henkilötietoja säilytetään enintään kymmenen vuoden ajan. Säilyttämisajan päätyttyä sisäistä tarkastustoimintaa koskevat tiedot, myös henkilötiedot, siirretään komission historiallisiin arkistoihin (5) tai tuhotaan.

(10)

Komissio on sisäistä tarkastustoimintaa suorittaessaan sitoutunut kunnioittamaan henkilötietojen käsittelyyn liittyviä luonnollisten henkilöiden oikeuksia, jotka tunnustetaan Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdassa ja perussopimuksen 16 artiklan 1 kohdassa, sekä asetuksessa (EU) 2018/1725 säädettyjä oikeuksia. Samalla komissio noudattaa asetuksen (EU, Euratom) 2018/1046 117 artiklan mukaisesti tiukkoja salassapitosuojaa koskevia sääntöjä, joihin viitataan sisäistä tarkastusta koskevissa kansainvälisissä standardeissa.

(11)

Tietyissä olosuhteissa on tarpeen sovittaa yhteen asetuksen (EU) 2018/1725 mukaiset rekisteröityjen oikeudet sekä sisäisen tarkastustoiminnan tarpeet, luonnollisten henkilöiden ja oikeushenkilöiden kanssa tapahtuvan tietojenvaihdon luottamuksellisuus ja muiden rekisteröityjen perusoikeuksien ja -vapauksien täysi kunnioittaminen. Tätä varten asetuksen (EU) 2018/1725 25 artiklan 1 kohdan c, g ja h alakohdassa annetaan sisäiselle tarkastukselle mahdollisuus rajoittaa kyseisen asetuksen 14–17, 19, 20 ja 35 artiklan soveltamista sekä 4 artiklan 1 kohdan a alakohdassa säädetyn läpinäkyvyyden periaatteen soveltamista siltä osin kuin rajoituksia koskevan päätöksen säännökset vastaavat 14–17, 19, 20 ja 35 artiklassa säädettyjä oikeuksia ja velvollisuuksia.

(12)

Jotta voidaan varmistaa sisäisen tarkastustoiminnan vaikuttavuus ja noudattaa samalla henkilötietojen suojaa koskevia normeja asetuksen (EU) 2018/1725 (jolla korvattiin Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001 (6)) mukaisesti, on tarpeen hyväksyä sisäiset säännöt, joiden nojalla komissio voi rajoittaa rekisteröityjen oikeuksia asetuksen (EU) 2018/1725 25 artiklan 1 kohdan c, g ja h alakohdan mukaisesti.

(13)

Sisäisten sääntöjen olisi katettava kaikki käsittelytoimet, joita komissio toteuttaa suorittaessaan sisäistä tarkastustoimintaansa joko omasta aloitteestaan tai saatujen tietojen perusteella aina, kun rekisteröityjen oikeuksien käyttäminen voi vaarantaa sisäisen tarkastustoiminnan suorittamisen. Näitä sääntöjä olisi sovellettava käsittelytoimiin, joita toteutetaan ennen tarkastustehtävän virallista aloittamista, tehtävän aikana sekä sen tuloksista johtuvien jatkotoimien seurannan aikana.

(14)

Asetuksen (EU) 2018/1725 14, 15 ja 16 artiklan noudattamiseksi komission olisi tiedotettava kaikille yksityishenkilöille verkkosivustollaan julkaistavilla tietosuojaselosteilla läpinäkyvästi ja johdonmukaisesti henkilötietojen käsittelyä koskevista toimistaan ja yksityishenkilöiden oikeuksista. Tarvittaessa komission olisi annettava lisätakeita sen varmistamiseksi, että rekisteröidyille ilmoitetaan kyseisistä toimista ja oikeuksista henkilökohtaisesti asianmukaisessa muodossa.

(15)

Komissio voi asetuksen (EU) 2018/1725 25 artiklan nojalla myös rajoittaa tietojen antamista rekisteröidyille ja rekisteröityjen muiden oikeuksien soveltamista suojatakseen omaa sisäistä tarkastustoimintaansa, jäsenvaltioiden viranomaisten tarkastuksia, tarkastusvälineitä ja -menettelyjä sekä sisäiseen tarkastustoimintaansa liittyvien muiden henkilöiden oikeuksia.

(16)

Tehokkaan yhteistyön ylläpitämiseksi komission voi olla tarpeen rajoittaa rekisteröityjen oikeuksien soveltamista komission yksiköiden tai unionin muiden toimielinten, elinten, toimistojen ja virastojen taikka jäsenvaltioiden viranomaisten ja kansainvälisten järjestöjen sekä sisäisen tarkastuksen seurantakomitean käsittelytoimien suojaamiseksi. Tätä varten komission olisi kuultava näitä yksikköjä, toimielimiä, elimiä, toimistoja, virastoja, viranomaisia ja järjestöjä sekä sisäisen tarkastuksen seurantakomiteaa rajoitusten asettamisen perusteista sekä rajoitusten tarpeellisuudesta ja oikeasuhteisuudesta.

(17)

Komission saattaa olla tarpeen rajoittaa myös tietojen antamista rekisteröidyille ja rekisteröityjen muiden oikeuksien käyttöä, joka liittyy kolmansista maista tai kansainvälisiltä järjestöiltä saatuihin henkilötietoihin, jotta se kykenee tekemään yhteistyötä kyseisten maiden tai järjestöjen kanssa ja näin turvaamaan unionin tärkeän yleisen edun mukaisen tavoitteen. Joissakin tapauksissa rekisteröidyn edut tai perusoikeudet saattavat kuitenkin painaa enemmän kuin kansainvälisen yhteistyön intressit.

(18)

Komission olisi käsiteltävä kaikki rajoitukset läpinäkyvästi ja rekisteröitävä kaikki tapaukset, joissa rajoituksia sovelletaan, vastaavaan rekisteröintijärjestelmään.

(19)

Rekisterinpitäjät voivat asetuksen (EU) 2018/1725 25 artiklan 8 kohdan nojalla lykätä rajoituksen soveltamisen syitä koskevaa ilmoitusta rekisteröidylle, jättää sen tekemättä tai evätä sen, jos tietojen antaminen vaarantaisi jollakin tavoin rajoituksen tarkoituksen. Tämä koskee etenkin asetuksen (EU) 2018/1725 16 ja 35 artiklassa tarkoitettuja oikeuksia koskevia rajoituksia.

(20)

Jos rajoitetaan rekisteröityjen muita oikeuksia, sisäisen tarkastuksen rekisterinpitäjän olisi arvioitava tapauskohtaisesti, vaarantaisiko rajoituksesta ilmoittaminen sen tarkoituksen.

(21)

Euroopan komission tietosuojavastaavan olisi tehtävä riippumaton arviointi rajoitusten soveltamisesta, jotta voidaan varmistaa tämän päätöksen noudattaminen.

(22)

Asetuksella (EU) 2018/1725 korvataan asetus (EY) N:o 45/2001 voimaantulopäivästään alkaen ilman siirtymäaikaa. Asetuksessa (EY) N:o 45/2001 säädettiin mahdollisuudesta soveltaa rajoituksia tiettyihin oikeuksiin. Jotta sisäisen tarkastustoiminnan lainmukaisuus ei vaarantuisi, tätä päätöstä olisi sovellettava asetuksen (EU) 2018/1725 voimaantulopäivästä.

(23)

Euroopan tietosuojavaltuutettu antoi lausunnon 27 päivänä marraskuuta 2018,