(1)

Europos Parlamento ir Tarybos reglamentu (ES, Euratomas) 2018/1046 (1) reikalaujama, kad kiekviena Sąjungos institucija numatytų vidaus audito funkciją, kuri vykdoma pagal atitinkamus tarptautinius standartus. Vidaus audito veiklą Komisijoje vykdo 2000 m. balandžio 11 d. įsteigta Vidaus audito tarnyba (toliau – tarnyba). Tarnyba vidaus audito veiklą taip pat vykdo Sąjungos decentralizuotose agentūrose ir kitose autonominėse įstaigose, kurios gauna įnašų iš Sąjungos biudžeto;

(2)

Vidaus audito tarnyba veiklą vykdo pagal Reglamento (ES, Euratomas) 2018/1046 117–123 straipsnius ir savo užduočių aprašą (2). Šiuo atžvilgiu tarnyba yra visiškai nepriklausoma ir turi visišką neribotą prieigą prie visos informacijos, kurios jai reikia vidaus audito veiklai, susijusiai su visa atitinkamų Sąjungos institucijų veikla ir departamentais, vykdyti;

(3)

tarnyba pataria kitiems Komisijos departamentams, vykdomosioms įstaigoms, Sąjungos decentralizuotoms agentūroms ir kitoms autonominėms įstaigoms, kurios gauna įnašų iš Sąjungos biudžeto, kaip valdyti riziką, t. y. bet kurį įvykį ar problemą, kurie galėtų kilti ir sukliudyti pasiekti Komisijos politinius, strateginius ir veiklos tikslus: tuo tikslu ji teikia nepriklausomas nuomones dėl valdymo ir kontrolės sistemų kokybės ir rekomendacijas, kaip patobulinti operacijų vykdymo sąlygas ir skatinti patikimą finansų valdymą, pagal Reglamento (ES, Euratomas) 2018/1046 117–123 straipsnius. Taigi paprastai fiziniai asmenys nėra tarybos vidaus audito veiklos objektas. Vis dėlto jai vykdant veiklą neišvengiamai tvarkomi asmens duomenys, kaip apibrėžta Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 (3) 3 straipsnio 1 dalyje. Vykdydama vidaus audito veiklą tarnyba atlieka vidaus valdymo sistemų tinkamumo bei efektyvumo ir departamentų veiklos įgyvendinant įvairių krypčių politiką, programas ir veiksmus rezultatų vertinimą, taip pat vidaus kontrolės ir audito sistemų, taikytinų kiekvienai biudžeto vykdymo operacijai, veiksmingumo ir efektyvumo vertinimą. Todėl ta veikla padeda užtikrinti svarbių Sąjungos ir valstybių narių ekonominių ir finansinių interesų apsaugą. Tarnyba yra duomenų tvarkymo operacijų, kurias ji vykdo pagal Finansinio reglamento 118 straipsnį ir 119 straipsnio 2 dalį, duomenų valdytoja;

(4)

Komisijoje ir jos vykdomosiose įstaigose, taip pat Sąjungos decentralizuotose agentūrose ir kitose autonominėse įstaigose vykdomos vidaus audito veiklos forma ir turinys skiriasi ir įvairuoja nuo patikinimo (įskaitant rizikos vertinimą) ir konsultavimo užduočių iki ribotos apimties peržiūros ir pažangos stebėjimo užduočių;

(5)

Audito pažangos komitetas, vadovaujantis jo 2018 m. lapkričio 21 d. atnaujintu užduočių aprašu (C(2018) 7707), yra patariamasis organas (4), padedantis Komisijai vykdyti Sutartyse ir kituose įstatymo lydimuosiuose teisės aktuose [Reglamentas (ES, Euratomas) 2018/1046] numatytus įpareigojimus, užtikrindamas Vidaus audito tarnybos nepriklausomumą, stebėdamas vidaus audito darbo kokybę ir užtikrindamas, kad Komisijos tarnybos tinkamai atsižvelgtų į vidaus ir išorės audito rekomendacijas ir gautų informaciją apie padarytą pažangą. Taip Audito pažangos komitetas padeda apskritai toliau didinti Komisijos veiksmingumą ir efektyvumą siekiant tikslų ir sudaro geresnes sąlygas kolegijai vykdyti Komisijos valdymo, rizikos valdymo ir vidaus kontrolės praktikos priežiūrą. Audito pažangos komitetas yra duomenų tvarkymo operacijos (-ų), kurią (-ias) jis vykdo pagal Finansinio reglamento 123 straipsnį, duomenų valdytojas;

(6)

vykdydama veiklą pagal Reglamento (ES, Euratomas) 2018/1046 118 straipsnį ir 119 straipsnio 2 dalį, nesvarbu, ar savo iniciatyva, ar remdamasi gauta informacija, Komisija tvarko iš juridinių asmenų, fizinių asmenų, valstybių narių ir tarptautinių įstaigų bei organizacijų įgytus arba gautus asmens duomenis. Vykdydama tokią vidaus audito veiklą tarnyba taip pat gali tvarkyti iš viešai prieinamų šaltinių, anoniminių šaltinių arba identifikuotų šaltinių, kurių tapatybę reikia apsaugoti, įgytus arba gautus asmens duomenis;

(7)

savo ruožtu Komisija gali keistis asmens duomenimis su Sąjungos institucijomis, įstaigomis, organais ir agentūromis, valstybių narių kompetentingomis institucijomis ir pagal Komisijos atitinkamus tarptautinius ar bendradarbiavimo susitarimus su trečiosiomis šalimis bei tarptautinėmis organizacijomis;

(8)

vykdant vidaus audito veiklą, asmens duomenų tvarkymo veikla, kaip apibrėžta Reglamento (ES) 2018/1725 3 straipsnio 3 punkte, gali būti vykdoma dar iki Komisijai oficialiai pradedant audito veiklą, tęstis visą audito veiklos vykdymo laikotarpį ir trukti net po oficialaus audito veiklos užbaigimo (pavyzdžiui, dėl rekomendacijų įgyvendinimo stebėjimo, poreikio inicijuoti naujus vidaus audito veiksmus);

(9)

Komisijos tvarkomų asmens duomenų kategorijos yra, be kita ko, tapatybės duomenys, kontaktiniai duomenys, profesiniai duomenys ir duomenys, susiję su veiklos dalyku arba pateikti dėl jų sąsajų su tuo dalyku. Šių kategorijų asmens duomenys saugomi saugioje elektroninėje aplinkoje, kad būtų užkirstas kelias neteisėtai prieigai prie duomenų arba jų perdavimui asmenims, kuriems jų nebūtina žinoti. Asmens duomenys saugomi ne ilgiau nei dešimt metų. Pasibaigus saugojimo terminui, su vidaus audito veikla susijusi informacija, kurioje yra asmens duomenų, perduodama į Komisijos istorinį archyvą (5) arba sunaikinama;

(10)

vykdydama vidaus audito veiklą Komisija privalo paisyti fizinių asmenų teisių, susijusių su asmens duomenų tvarkymu, kaip pripažįstama Europos Sąjungos pagrindinių teisių chartijos 8 straipsnio 1 dalyje ir Sutarties 16 straipsnio 1 dalyje, taip pat Reglamente (ES) 2018/1725 numatytų teisių. Be to, Komisija privalo laikytis griežtų konfidencialumo taisyklių, nurodytų tarptautiniuose vidaus audito standartuose, pagal Reglamento (ES, Euratomas) 2018/1046 117 straipsnį;

(11)

tam tikromis aplinkybėmis duomenų subjektų teises pagal Reglamentą (ES) 2018/1725 būtina suderinti su vidaus audito veiklos poreikiais ir informacijos mainams su fiziniais ir juridiniais asmenimis taikomais konfidencialumo reikalavimais, taip pat visapusiškai paisyti kitų duomenų subjektų pagrindinių teisių ir laisvių. Tuo tikslu Reglamento (ES) 2018/1725 25 straipsnio 1 dalies c, g ir h punktuose numatyta galimybė tarnybai apriboti 14–17, 19, 20 ir 35 straipsnių, taip pat 4 straipsnio 1 dalies a punkte nustatyto skaidrumo principo taikymą tiek, kiek jo nuostatos atitinka to reglamento 14–17, 19, 20 ir 35 straipsniuose nustatytas teises ir pareigas;

(12)

norint užtikrinti, kad vidaus audito veikla būtų vykdoma veiksmingai ir kartu laikantis asmens duomenų apsaugos standartų pagal Reglamentą (ES) 2018/1725, kuriuo pakeistas Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 (6), būtina priimti vidaus taisykles, pagal kurias Komisija galėtų apriboti duomenų subjektų teises pagal Reglamento (ES) 2018/1725 25 straipsnio 1 dalies c, g ir h punktus;

(13)

vidaus taisyklės turėtų būti taikomos visoms duomenų tvarkymo operacijoms, kurias Komisija atlieka vykdydama vidaus audito veiklą, nesvarbu, ar savo iniciatyva, ar remdamasi gauta informacija, kai duomenų subjektų teisių įgyvendinimas galėtų kelti grėsmę vidaus audito veiklos vykdymui. Tos taisyklės turėtų būti taikomos duomenų tvarkymo operacijoms, atliekamoms prieš oficialiai pradedant audito užduotį, vykdant audito užduotį ir stebint jos išvadų įgyvendinimą;

(14)

siekdama laikytis Reglamento (ES) 2018/1725 14, 15 ir 16 straipsnių, Komisija turėtų skaidriai ir nuosekliai informuoti visus fizinius asmenis apie savo veiklą, kurią vykdant tvarkomi jų asmens duomenys, ir jų teises, savo interneto svetainėje skelbdama duomenų apsaugos pranešimą. Kai būtina, Komisija turėtų imtis papildomų apsaugos priemonių siekdama užtikrinti, kad duomenų subjektai būtų individualiai informuoti tinkamu būdu;

(15)

remdamasi Reglamento (ES) 2018/1725 25 straipsniu, Komisija taip pat gali apriboti informacijos teikimą duomenų subjektams ir jų galimybę naudotis kitomis teisėmis, kad būtų užtikrinta jos vidaus audito veiklos, valstybių narių valdžios institucijų auditų, audito priemonių ir metodų, taip pat kitų su jos vidaus audito veikla susijusių asmenų teisių apsauga;

(16)

be to, siekiant išlaikyti veiksmingą bendradarbiavimą, Komisijai gali prireikti apriboti duomenų subjektų teisių taikymą, kad būtų užtikrinta kitų Komisijos tarnybų ar Sąjungos institucijų, įstaigų, organų ir agentūrų arba valstybių narių valdžios institucijų, tarptautinių organizacijų ir Audito pažangos komiteto atliekamų duomenų tvarkymo operacijų apsauga. Tuo tikslu Komisija turėtų konsultuotis su tomis tarnybomis, institucijomis, įstaigomis, organais, agentūromis, valdžios institucijomis ir organizacijomis, taip pat su Audito pažangos komitetu dėl atitinkamų apribojimų taikymo pagrindų ir būtinybės taikyti apribojimus bei jų proporcingumo;

(17)

kiek tai susiję su asmens duomenimis, gautais iš trečiųjų šalių arba tarptautinių organizacijų, Komisijai taip pat gali tekti apriboti informacijos teikimą duomenų subjektams ir kitų duomenų subjektų teisių taikymą, kad ji galėtų bendradarbiauti su tomis šalimis arba organizacijomis ir taip užtikrinti svarbaus Sąjungos bendrojo viešojo intereso tikslo apsaugą. Tačiau kai kuriomis aplinkybėmis duomenų subjekto interesas arba pagrindinės teisės gali būti viršesni už tarptautinio bendradarbiavimo interesą;

(18)

Komisija turėtų visus apribojimus taikyti skaidriai ir atitinkamoje registracijos sistemoje registruoti kiekvieną apribojimų taikymo atvejį;

(19)

pagal Reglamento (ES) 2018/1725 25 straipsnio 8 dalį duomenų valdytojai gali atidėti informacijos teikimą, jos nepateikti arba atsisakyti ją pateikti dėl to, kad duomenų subjektui taikomas apribojimas, jei tos informacijos pateikimas kokiu nors būdu pakenktų apribojimo tikslui. Tai visų pirma taikytina Reglamento (ES) 2018/1725 16 ir 35 straipsniuose nurodytų teisių apribojimams;

(20)

jei apribojamos kitos duomenų subjektų teisės, Vidaus audito tarnybos duomenų valdytojas turėtų vertinti kiekvieną atvejį atskirai ir nuspręsti, ar pranešus apie tą apribojimą būtų trukdoma pasiekti jo tikslą;

(21)

siekiant užtikrinti šio sprendimo laikymąsi, Europos Komisijos duomenų apsaugos pareigūnas turėtų atlikti nepriklausomą apribojimų taikymo peržiūrą;

(22)

Reglamentą (EB) Nr. 45/2001 Reglamentas (ES) 2018/1725 pakeičia tą dieną, kai jis įsigalioja, nenumačius jokio pereinamojo laikotarpio. Reglamentu (EB) Nr. 45/2001 buvo numatyta galimybė taikyti tam tikrų teisių apribojimus. Kad nebūtų pakenkta vidaus audito veiklos teisėtumui, šis sprendimas turėtų būti taikomas nuo Reglamento (ES) 2018/1725 įsigaliojimo dienos;

(23)

Europos duomenų apsaugos priežiūros pareigūnas nuomonę pateikė 2018 m. lapkričio 27 d.,