(1)

Uredbom (EU, Euratom) 2018/1046 Europskog parlamenta i Vijeća (1) zahtijeva se da svaka institucija Unije uspostavi funkciju unutarnje revizije koja se obavlja u skladu s relevantnim međunarodnim standardima. Aktivnosti unutarnje revizije u Komisiji provodi Služba za unutarnju reviziju („Služba”) koja je osnovana 11. travnja 2000. Aktivnosti unutarnje revizije Služba također provodi u decentraliziranim agencijama Unije i drugim neovisnim tijelima koja primaju doprinose iz proračuna Unije.

(2)

Služba provodi aktivnosti unutarnje revizije u skladu s člancima od 117. do 123. Uredbe (EU, Euratom) 2018/1046 i pravilnikom o djelovanju (2). U tom pogledu Služba je potpuno neovisna te ima potpuni i neograničeni pristup svim informacijama potrebnima za provođenje aktivnosti unutarnje revizije koje se odnose na sve aktivnosti i službe predmetne institucije Unije.

(3)

Služba savjetuje ostale službe Komisije, izvršne agencije te decentralizirane agencije Unije i druga neovisna tijela koja primaju doprinose iz proračuna Unije o tome kako rješavati rizike tj. svaki događaj ili problem koji bi se mogao pojaviti i negativno utjecati na ostvarenje političkog, strateškog i operativnog cilja Komisije, izdavanjem neovisnih mišljenja o kvaliteti sustava upravljanja i kontrole te preporuka za poboljšanje uvjeta provedbe operativnih zadataka i promicanje dobrog financijskog upravljanja u skladu s člancima od 117. do 123. Uredbe (EU, Euratom) 2018/1046. Stoga aktivnosti unutarnje revizije Službe obično nisu usmjerene na fizičke osobe kao takve. Ipak, tijekom aktivnosti neminovno se obrađuju osobni podaci se u smislu članka 3. stavka 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (3). Aktivnosti unutarnje revizije koje provodi Služba uključuju procjenu prikladnosti i djelotvornosti sustava unutarnjeg upravljanja te uspješnosti službi u provedbi politika, programa i mjera, učinkovitosti i djelotvornosti sustava unutarnje kontrole i revizije koji se primjenjuju na svaku operaciju izvršenja proračuna. Stoga se njima pridonosi zaštiti važnih gospodarskih i financijskih interesa Unije i država članica. Služba je voditelj obrade za postupke obrade koje provodi u skladu s člancima 118. i člankom 119. stavkom 2. Financijske uredbe.

(4)

Aktivnosti unutarnje revizije koje se provode u Komisiji i njezinim izvršnim agencijama i u decentraliziranim agencijama Unije i drugim neovisnim tijelima razlikuju se u obliku i sadržaju, počevši od revizijskih jamstva (uključujući procjene rizika) i postupaka savjetovanja do provjera ograničenog opsega i naknadnih radnji.

(5)

Odbor za praćenje tijeka revizije u skladu s pravilnikom o djelovanju ažuriranim 21. studenoga 2018. (C(2018)7707) jest savjetodavno tijelo (4) koje pomaže Komisiji u ispunjavanju njezinih obveza iz Ugovorâ i drugih zakonskih instrumenata [Uredba (EU, Euratom) 2018/1046] osiguravanjem neovisnosti Službe za unutarnju reviziju, praćenjem kvalitete rada unutarnje revizije i osiguravanjem da službe Komisije propisno uzimaju u obzir preporuke unutarnje i vanjske revizije te da se osigura daljnje praćenje. Na taj način Odbor za praćenje tijeka revizije pridonosi cjelokupnom daljnjem poboljšanju djelotvornosti i učinkovitosti Komisije pri ostvarivanju njezinih ciljeva i olakšava nadzor Kolegija nad Komisijinim upravljanjem, upravljanjem rizicima i praksama unutarnje kontrole. Odbor za praćenje tijeka revizije je voditelj obrade za postupke obrade koje provodi u skladu s člankom 123. Financijske uredbe.

(6)

Za potrebe aktivnosti u skladu s člankom 118. i člankom 119. stavkom 2. Uredbe (EU, Euratom) 2018/1046, bez obzira na to postupa li na vlastitu inicijativu ili na temelju primljenih podataka, Komisija obrađuje osobne podatke koje je prikupila ili primila od pravnih osoba, fizičkih osoba, država članica te međunarodnih tijela i organizacija. Tijekom aktivnosti unutarnje revizije Služba može obrađivati i osobne podatke prikupljene ili primljene iz javno dostupnih izvora, anonimnih izvora ili poznatih izvora koji zahtijevaju zaštitu svojeg identiteta.

(7)

Komisija pak može razmjenjivati osobne podatke s institucijama, tijelima, uredima i agencijama Unije, nadležnim tijelima država članica i, u okviru relevantnih Komisijinih međunarodnih sporazuma ili sporazuma o suradnji, s trećim zemljama te međunarodnim organizacijama.

(8)

Aktivnosti obrade osobnih podataka, u smislu članka 3. stavka 3. Uredbe (EU) 2018/1725, koje se provode tijekom aktivnosti unutarnje revizije mogu se provesti i prije nego što je Komisija službeno pokrene, nastaviti se tijekom cjelokupnog trajanja aktivnosti revizije i mogu se nastaviti čak i nakon službenog zatvaranja revizije (na primjer, zbog praćenja provedbe preporuka, procjene potrebe za pokretanjem novih aktivnosti unutarnje revizije).

(9)

Kategorije osobnih podataka koje obrađuje Komisija su, na primjer, identifikacijski podaci, podaci za kontakt, podaci stručne naravi i podaci dovedeni u vezu s predmetom aktivnosti. Kategorije osobnih podataka pohranjuju se u sigurnom elektroničkom okruženju kako bi se spriječio nezakonit pristup podacima ili prijenos podataka osobama koje ih ne trebaju znati. Osobni podaci čuvaju se najdulje deset godina. Nakon isteka razdoblja čuvanja, informacije koje se odnose na aktivnost unutarnje revizije, uključujući osobne podatke, prenose se u povijesne arhive Komisije (5) ili se uništavaju.

(10)

Tijekom provođenja aktivnosti unutarnje revizije Komisija je obvezna poštovati prava fizičkih osoba koja se odnose na obradu osobnih podataka priznata člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima i člankom 16. stavkom 1. Ugovora te prava previđena u Uredbi (EU) 2018/1725. Komisija je pritom obvezna poštovati stroga pravila o povjerljivosti navedena u međunarodnim standardima za unutarnju reviziju, u skladu s člankom 117. Uredbe (EU, Euratom) 2018/1046.

(11)

U određenim okolnostima nužno je postići ravnotežu u pogledu prava ispitanika u skladu s Uredbom (EU) 2018/1725, potreba aktivnosti unutarnje revizije i povjerljivosti razmjena informacija s fizičkim ili pravnim osobama, uz potpuno poštovanje temeljnih prava i sloboda drugih ispitanika. U tu svrhu članak 25. stavak 1. točke (c), (g) i (h) Uredbe (EU) 2018/1725 omogućava Službi da ograniči primjenu članaka od 14. do 17., 19., 20. i 35. te načela transparentnosti utvrđenog u članku 4. stavku 1. točki (a) ako njegove odredbe odgovaraju pravima i obvezama predviđenima u člancima od 14. do 17., 19., 20. i 35. te uredbe.

(12)

Kako bi se osigurala djelotvornost aktivnosti unutarnje revizije, poštujući pritom standarde zaštite osobnih podataka iz Uredbe (EU) 2018/1725, koja je zamijenila Uredbu (EZ) br. 45/2001 Europskog parlamenta i Vijeća (6), potrebno je donijeti interna pravila u okviru kojih Komisija može ograničiti prava ispitanikâ u skladu s člankom 25. stavkom 1. točkama (c), (g) i (h) Uredbe (EU) 2018/1725.

(13)

Interna pravila trebala bi obuhvatiti sve postupke obrade koje Komisija provodi u okviru svojih aktivnosti unutarnje revizije, bez obzira na to postupa li na vlastitu inicijativu ili na temelju primljenih podataka, kad se ostvarivanjem prava ispitanika može ugroziti provođenje aktivnosti unutarnje revizije. Ta bi se pravila trebala primjenjivati na postupke obrade koji se provode prije službenog početka postupka, tijekom postupka te tijekom praćenja daljnjih mjera ovisno o ishodu.

(14)

Radi usklađivanja s člancima 14., 15. i 16. Uredbe (EU) 2018/1725 Komisija bi na transparentan i dosljedan način trebala obavijestiti sve pojedince o svojim aktivnostima koje uključuju obradu njihovih osobnih podataka i o njihovim pravima u obliku obavijesti o zaštiti podataka koja se objavljuje na web-mjestu Komisije. Komisija bi prema potrebi trebala pružiti dodatne zaštitne mjere kako bi se osiguralo da ispitanici budu pojedinačno obaviješteni u odgovarajućem obliku.

(15)

Na temelju članka 25. Uredbe (EU) 2018/1725 Komisija također može ograničiti pružanje informacija ispitanicima i ostvarivanje drugih prava ispitanikâ kako bi zaštitila vlastite aktivnosti unutarnje revizije, revizije javnih tijela država članica, revizijske alate i metode te prava drugih osoba povezanih s njezinim aktivnostima unutarnje revizije.

(16)

Osim toga, kako bi se održala učinkovita suradnja, može biti potrebno da Komisija ograniči primjenu prava ispitanika kako bi zaštitila postupke obrade službi Komisije ili drugih institucija, tijela, ureda i agencija Unije ili tijela država članica i međunarodnih organizacija te Odbora za praćenje tijeka revizije. U tu svrhu Komisija bi se trebala savjetovati s tim službama, institucijama, tijelima, uredima, agencijama, tijelima država članica i organizacijama te Odborom za praćenje tijeka revizije o relevantnim razlozima za uvođenje ograničenja te o nužnosti i proporcionalnosti tih ograničenja.

(17)

Moguće je i da Komisija mora ograničiti pružanje informacija ispitanicima i primjenu drugih prava ispitanika u vezi s osobnim podacima koje primi od trećih zemalja ili međunarodnih organizacija kako bi surađivala s tim zemljama ili organizacijama i tako zaštitila važan cilj od općeg javnog interesa Unije. Međutim, u nekim okolnostima interes ili temeljna prava ispitanika mogu prevladati nad interesima međunarodne suradnje.

(18)

Komisija bi trebala rješavati sva ograničenja na transparentan način i registrirati svaku primjenu ograničenja u odgovarajućem sustavu evidencije.

(19)

U skladu s člankom 25. stavkom 8. Uredbe (EU) 2018/1725, voditelji obrade mogu odgoditi, izostaviti ili uskratiti pružanje informacija o razlozima za primjenu ograničenja na ispitanika ako bi pružanje tih informacija moglo ugroziti svrhu ograničenja. To se posebno odnosi na ograničenja prava iz članaka 16. i 35. Uredbe (EU) br. 2018/1725.

(20)

Kada su ograničena druga prava ispitanikâ, voditelj obrade Službe za unutarnju reviziju trebao bi u svakom pojedinom slučaju procijeniti ugrožava li obavješćivanje o ograničenju njegovu svrhu.

(21)

Službenik za zaštitu podataka Europske komisije trebao bi provesti neovisno preispitivanje primjene ograničenja kako bi se osigurala usklađenost s ovom Odlukom.

(22)

Uredbom (EU) 2018/1725 zamjenjuje se Uredba (EZ) br. 45/2001, bez prijelaznog razdoblja od datuma njezina stupanja na snagu. Mogućnost primjene ograničenja na određena prava predviđena je u Uredbi (EC) br. 45/2001. Kako bi se izbjeglo ugrožavanje zakonitosti aktivnosti unutarnje revizije, ova bi se Odluka trebala primjenjivati od datuma stupanja na snagu Uredbe (EU) 2018/1725.

(23)

Europski nadzornik za zaštitu podataka dostavio je mišljenje 27. studenog 2018.,