(1)

Eiropas Parlamenta un Padomes Regula (ES, Euratom) 2018/1046 (1) paredz, ka katra Savienības iestāde izveido iekšējās revīzijas funkciju, kuras darbība norisinās atbilstoši attiecīgajiem starptautiskajiem standartiem. Komisijā iekšējās revīzijas darbības veic Iekšējās revīzijas dienests (turpmāk “dienests”), kas tika izveidots 2000. gada 11. aprīlī. Iekšējās revīzijas darbības dienests veic arī Savienības decentralizētajās aģentūrās un citās patstāvīgās struktūrās, kas finansējumu saņem no Savienības budžeta.

(2)

Dienests iekšējās revīzijas darbības veic saskaņā ar Regulas (ES, Euratom) 2018/1046 117.–123. pantu un tā nolikumu (2). Šajā ziņā dienests ir pilnīgi neatkarīgs, un tam ir pilnīga un neierobežota piekļuve visai informācijai, kas nepieciešama, lai veiktu savas iekšējās revīzijas darbības attiecībā uz visām attiecīgās Savienības iestādes darbībām un struktūrvienībām.

(3)

Dienests konsultē pārējās Komisijas struktūrvienības, izpildaģentūras, kā arī Savienības decentralizētās aģentūras un citas patstāvīgās struktūras, kas finansējumu saņem no Savienības budžeta, par to, kā reaģēt uz riskiem, t. i., notikumu vai problēmu, kas varētu rasties un nelabvēlīgi ietekmēt Komisijas politisko, stratēģisko un pamatdarbības mērķu sasniegšanu, saskaņā ar Regulas (ES, Euratom) 2018/1046 117.–123. pantu sniedzot neatkarīgus atzinumus par vadības un kontroles sistēmu kvalitāti un sniedzot ieteikumus par darbības īstenošanas apstākļu uzlabošanu un pareizas finanšu pārvaldības veicināšanu. Tādēļ dienesta veiktās iekšējās revīzijas darbības parasti neattiecas uz fizisko personu kategoriju. Tomēr tās darbības gaitā nenovēršami tiek apstrādāti arī personas dati Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (3) 3. panta 1. punkta izpratnē. Dienesta veiktās iekšējās revīzijas darbības ietver arī iekšējās vadības sistēmu piemērotības un iedarbīguma un struktūrvienību veikuma novērtēšanu saistībā ar politiku, programmu un pasākumu īstenošanu, katrai budžeta izpildes darbībai piemērojamo iekšējās kontroles un revīzijas sistēmu efektivitāti un iedarbīgumu. Tādēļ tās veicina svarīgu Savienības un dalībvalstu ekonomikas un finanšu interešu aizsargāšanu. Dienests darbojas pārziņa statusā attiecībā uz apstrādes darbībām, kuras tas veic saskaņā ar Finanšu regulas 118. pantu un 119. panta 2. punktu.

(4)

Komisijā, tās izpildaģentūrās, Savienības decentralizētajās aģentūrās un citās patstāvīgās struktūrās veiktās iekšējās revīzijas darbības atšķiras pēc formas un satura: tās sniedzas no informācijas ticamības pārbaudes (tai skaitā risku novērtēšanas) un konsultēšanas darbuzdevumiem līdz pārskatīšanai (ar ierobežotu tvērumu) un pēcpasākumu darbuzdevumiem.

(5)

Kā teikts Revīzijas progresa komitejas (RPK) nolikumā, kas atjaunināts 2018. gada 21. novembrī (C(2018) 7707), tā ir konsultatīva struktūra (4), kas palīdz Komisijai veikt tās pienākumus, kuri paredzēti Līgumos un citos tiesību aktos [Regulā (ES, Euratom) 2018/1046], nodrošinot Iekšējās revīzijas dienesta neatkarību, uzraugot iekšējās revīzijas darba kvalitāti un nodrošinot, ka Komisijas dienesti pienācīgi ņem vērā iekšējās revīzijas un ārējās revīzijas ieteikumus un ka tie var veikt atbilstīgus pēcpasākumus. Tādējādi RPK palīdz turpināt vispārējo Komisijas iedarbīguma un efektivitātes uzlabošanu, lai tā varētu sasniegt savus mērķus, un veicina komisāru kolēģijas īstenoto pārraudzību pār Komisijas pārvaldību, risku pārvaldību un iekšējās kontroles praksi. RPK darbojas pārziņa statusā attiecībā uz apstrādes darbībām, kuras tā veic saskaņā ar Finanšu regulas 123. pantu.

(6)

Savu Regulas (ES, Euratom) 2018/1046 118. pantā un 119. panta 2. punktā paredzēto darbību vajadzībām Komisija pēc savas ierosmes, vai balstoties uz saņemto informāciju, apstrādā personas datus, kas iegūti vai saņemti no juridiskām personām, fiziskām personām, dalībvalstīm un starptautiskajām struktūrām un organizācijām. Šādu iekšējās revīzijas darbību gaitā dienests var apstrādāt arī personas datus, kas iegūti vai saņemti no publiski pieejamiem avotiem, no anonīmiem avotiem vai no identificētiem avotiem, kuriem nepieciešama to identitātes aizsardzība.

(7)

Savukārt Komisija var veikt personas datu apmaiņu ar Savienības iestādēm, struktūrām, birojiem un aģentūrām, dalībvalstu kompetentajām iestādēm, kā arī – attiecīgo Komisijas noslēgto starptautisko vai sadarbības nolīgumu ietvaros– ar trešām valstīm un starptautiskajām organizācijām.

(8)

Personas datu apstrādes darbības Regulas (ES) 2018/1725 3. panta 3. punkta izpratnē, kuras tiek veiktas iekšējās revīzijas darbību ietvaros, var notikt, vēl pirms Komisija tās ir formāli uzsākusi, turpināties revīzijas darbību veikšanas laikā un vēl pat pēc tam, kad revīzijas darbības ir formāli pabeigtas (piemēram, nolūkā veikt ieteikumu īstenošanas uzraudzīšanu, novērtēt nepieciešamību uzsākt jaunas iekšējās revīzijas darbības).

(9)

Komisija apstrādā šādu kategoriju personas datus: identifikācijas datus, kontaktinformāciju, ar profesiju saistītus datus un ar darbības priekšmetu saistītus datus. Šo kategoriju personas dati glabājas drošā elektroniskā vidē un tādējādi tiek novērsta nelikumīga piekļuve datiem un to nosūtīšana personām bez piekļuves tiesībām. Personas dati tiek glabāti maksimāli desmit gadus. Glabāšanas laikposma beigās ar iekšējās revīzijas darbību saistītā informācija, tai skaitā personas dati, tiek nodota Komisijas vēstures arhīvā (5) vai tiek iznīcināta.

(10)

Veicot darbību iekšējās revīzijas jomā, Komisijai ir pienākums ievērot Eiropas Savienības Pamattiesību hartas 8. panta 1. punktā un Līguma 16. panta 1. punktā atzītās fizisko personu tiesības attiecībā uz personas datu apstrādi, kā arī Regulā (ES) 2018/1725 paredzētās tiesības. Vienlaikus Komisijai saskaņā ar Regulas (ES, Euratom) 2018/1046 117. pantu ir pienākums ievērot starptautiskajos iekšējās revīzijas standartos minētās stingrās prasības attiecībā uz konfidencialitāti.

(11)

Konkrētos gadījumos ir nepieciešams panākt līdzsvaru starp datu subjektu tiesībām, kas paredzētas Regulā (ES) 2018/1725, un iekšējās revīzijas darbību vajadzībām un ar fiziskām un juridiskām personām veiktās informācijas apmaiņas konfidencialitāti, kā arī citu datu subjektu pamattiesību un pamatbrīvību pilnīgu ievērošanu. Šajā nolūkā Regulas (ES) 2018/1725 25. panta 1. punkta c), g) un h) apakšpunktā ir noteikts, ka dienests var ierobežot tās 14.–17., 19., 20. un 35. panta piemērošanu, kā arī 4. panta 1. punkta a) apakšpunktā nostiprināto pārredzamības principu, ciktāl tā normas atbilst minētās regulas 14.–17., 19., 20. un 35. pantā paredzētajām tiesībām un pienākumiem.

(12)

Lai nodrošinātu iekšējās revīzijas darbību iedarbīgumu, vienlaikus ievērojot personas datu aizsardzības standartus saskaņā ar Regulu (ES) 2018/1725, ar ko aizstāta Eiropas Parlamenta un Padomes Regula (EK) Nr. 45/2001 (6), ir nepieciešams pieņemt iekšējos noteikumus, saskaņā ar kuriem Komisija var ierobežot datu subjektu tiesības, kā paredzēts minētās Regulas (ES) 2018/1725 25. panta 1. punkta c), g) un h) apakšpunktā.

(13)

Šiem iekšējiem noteikumiem būtu jāattiecas uz visām apstrādes darbībām, ko Komisija veic savu iekšējās revīzijas darbību ietvaros (gan pēc savas ierosmes, gan balstoties uz saņemto informāciju) ikreiz, kad datu subjektu tiesību īstenošana varētu apdraudēt iekšējās revīzijas darbību veikšanu. Šie noteikumi būtu jāpiemēro apstrādes darbībām, kas veiktas pirms darbuzdevuma formālas sākšanas vai darbuzdevuma izpildes gaitā, vai pēc tā rezultātu apkopošanas veikto pēcpasākumu uzraudzīšanas laikā.

(14)

Lai ievērotu atbilstību Regulas (ES) 2018/1725 14., 15. un 16. pantam, Komisijai būtu pārredzami un saskaņoti – Komisijas tīmekļvietnē publicētu datu aizsardzības paziņojumu veidā – jāinformē visas fiziskās personas par savām darbībām saistībā ar viņu personas datu apstrādi un par viņu tiesībām. Attiecīgā gadījumā Komisijai būtu jāpiesaista papildu drošības līdzekļi, lai nodrošinātu, ka ikviens datu subjekts tiek informēts atsevišķi un atbilstīgā formātā.

(15)

Pamatojoties uz Regulas (ES) 2018/1725 25. pantu, Komisija var arī ierobežot informācijas sniegšanu datu subjektiem un datu subjektu citu tiesību īstenošanu, lai aizsargātu savas iekšējās revīzijas darbības, dalībvalstu valsts iestāžu veiktās iekšējās revīzijas darbības, revīzijas instrumentus un metodes, kā arī citu ar tās iekšējās revīzijas darbībām saistīto personu tiesības.

(16)

Turklāt, lai uzturētu spēkā iedarbīgu sadarbību, Komisijai varētu būt nepieciešams ierobežot datu subjektu tiesību piemērošanu, lai aizsargātu Komisijas dienestu vai citu Savienības iestāžu, struktūru, biroju un aģentūru vai dalībvalstu iestāžu un starptautisko organizāciju, kā arī Revīzijas progresa komitejas veiktās apstrādes darbības. Šajā nolūkā Komisijai ar šiem dienestiem, iestādēm, struktūrām, birojiem, aģentūrām un organizācijām, kā arī Revīzijas progresa komiteju būtu jāapspriež attiecīgo ierobežojumu piemērošanas pamatojums, kā arī ierobežojumu nepieciešamība un samērīgums.

(17)

Lai sadarbotos ar šīm valstīm vai organizācijām un tādējādi aizsargātu svarīga mērķa sasniegšanu Savienības vispārējās interesēs, Komisijai var nākties ierobežot arī informācijas sniegšanu datu subjektiem un datu subjektu citu tiesību piemērošanu attiecībā uz personas datiem, kuri saņemti no trešām valstīm vai starptautiskajām organizācijām. Tomēr dažos gadījumos datu subjekta intereses vai pamattiesības prevalē pār starptautiskās sadarbības interesēm.

(18)

Komisijai visi ierobežojumi būtu jāizskata pārredzamā veidā un jāreģistrē visi ierobežojumu piemērošanas gadījumi attiecīgajā ierakstu sistēmā.

(19)

Saskaņā ar Regulas (ES) 2018/1725 25. panta 8. punktu datu pārziņi var atlikt, izlaist vai atteikt informācijas sniegšanu datu subjektam par ierobežojuma piemērošanas iemesliem, ja šādas informācijas sniegšana jebkādā veidā būtu pretrunā ierobežojuma nolūkam. Tā tas ir, piemēram, ar Regulas (ES) 2018/1725 16. un 35. pantā paredzēto tiesību ierobežojumiem.

(20)

Ja tiek ierobežotas citas datu subjekta tiesības, Iekšējās revīzijas dienesta pārzinim, katru gadījumu izskatot atsevišķi, būtu jānovērtē, vai ierobežojuma paziņošana būtu pretrunā tā nolūkam.

(21)

Eiropas Komisijas datu aizsardzības speciālistam būtu neatkarīgi jāpārskata ierobežojumu piemērošana, lai nodrošinātu atbilstību šā lēmuma noteikumiem.

(22)

Regula (EK) Nr. 45/2001 ir aizstāta ar Regulu (ES) 2018/1725 – bez pārejas laikposma, dienā, kad tā stājas spēkā. Regulā (EK) Nr. 45/2001 bija paredzēta iespēja piemērot dažu tiesību ierobežojumus. Lai izvairītos no tā, ka tiktu apdraudēts iekšējās revīzijas darbību tiesiskums, šis lēmums būtu jāpiemēro no Regulas (ES) 2018/1725 spēkāstāšanās dienas.

(23)

Eiropas Datu aizsardzības uzraudzītājs sniedza atzinumu 2018. gada 27. novembrī,