(1)

Komisja musi funkcjonować w bezpiecznym i zabezpieczonym środowisku. W tym celu potrzebuje spójnego i zintegrowanego podejścia w kwestii swojego bezpieczeństwa, które zagwarantuje odpowiedni poziom ochrony osób, mienia i informacji, współmierny do stwierdzonych zagrożeń i zapewniający bezpieczeństwo w sposób skuteczny i terminowy. Komisja stoi w obliczu poważnych zagrożeń i wyzwań w dziedzinie bezpieczeństwa, w szczególności w odniesieniu do terroryzmu, cyberataków oraz szpiegostwa politycznego i gospodarczego.

(2)

W celu zapewnienia bezpieczeństwa osób, mienia i informacji Komisja – przede wszystkim za pośrednictwem swojej Dyrekcji ds. Bezpieczeństwa w Dyrekcji Generalnej ds. Zasobów Ludzkich i Bezpieczeństwa – wprowadza środki przewidziane w decyzji Komisji (UE, Euratom) 2015/443 (1), które dotyczą przetwarzania różnych kategorii danych osobowych. Środki te obejmują prowadzenie kontroli przeszłości osób pod względem bezpieczeństwa zgodnie z art. 7 ust. 5, ocenę zagrożeń zgodnie z art. 12 oraz dochodzenia w sprawie bezpieczeństwa zgodnie z art. 13 decyzji (UE, Euratom) 2015/443. W ramach swojego mandatu dochodzeniowego Komisja gromadzi informacje na potrzeby dochodzeń, m.in. dane osobowe, z różnych źródeł – od organów publicznych i osób fizycznych – oraz przekazuje je innym instytucjom, organom i jednostkom organizacyjnym Unii, właściwym organom państw członkowskich i państw trzecich oraz organizacjom międzynarodowym przed działaniami koordynacyjnymi i dochodzeniowymi, w ich trakcie lub po ich zakończeniu.

(3)

Kategorie danych osobowych przetwarzane przez Komisję to na przykład: dane identyfikacyjne, dane kontaktowe, dane zawodowe oraz dane odnoszące się do przedmiotu kontroli przeszłości osób pod względem bezpieczeństwa, oceny zagrożenia dochodzenia w sprawie bezpieczeństwa i dostarczone w tym kontekście. Dane osobowe są przechowywane w zabezpieczonym środowisku elektronicznym w celu zapobieżenia bezprawnemu dostępowi do danych lub przekazaniu ich osobom spoza Komisji. Dane osobowe są przechowywane przez służby Komisji odpowiedzialne za dochodzenie aż do zakończenia dochodzenia. Do różnych czynności przetwarzania mają zastosowanie różne okresy przechowywania danych. Zależy to od kategorii dochodzenia, tj. podejrzenia popełnienia przestępstwa, kontrwywiadu lub walki z terroryzmem. Pod koniec okresu przechowywania informacje dotyczące sprawy, w tym dane osobowe, są usuwane (2).

(4)

Przy wykonywaniu swoich zadań Komisja – jako administrator danych – jest zobowiązana do poszanowania praw osób fizycznych w związku z przetwarzaniem danych osobowych zgodnie z art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej i art. 16 ust. 1 Traktatu o Funkcjonowaniu Unii Europejskiej, a także praw przewidzianych w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2018/1725 (3). Jednocześnie Komisja musi przestrzegać ścisłych zasad poufności zgodnie z art. 9 decyzji (UE, Euratom) 2015/443.

(5)

W określonych sytuacjach konieczne jest pogodzenie praw osób, których dane dotyczą, na podstawie rozporządzenia (UE) 2018/1725 z potrzebą skutecznego wykonywania przez Komisję jej zadań w zakresie zapewnienia bezpieczeństwa osób, mienia i informacji w Komisji na podstawie decyzji (UE, Euratom) 2015/443, w szczególności dochodzeń w sprawie bezpieczeństwa, a także z pełnym poszanowaniem podstawowych praw i wolności innych osób, których dane dotyczą. W tym celu art. 25 ust. 1 lit. c), d) i h) rozporządzenia (UE) 2018/1725 daje Komisji możliwość ograniczenia zastosowania art. 14–17, 19, 20 i 35, a także zasady przejrzystości, określonej w art. 4 ust. 1 lit. a), o ile ich przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14–17, 19 i 20 tego rozporządzenia.

(6)

Aby Komisja mogła skutecznie wykonywać swoje zadania w zakresie zapewnienia bezpieczeństwa osób, mienia i informacji w Komisji zgodnie z decyzją (UE, Euratom) 2015/443, w szczególności przeprowadzać dochodzenia w sprawie bezpieczeństwa, przy jednoczesnym przestrzeganiu standardów ochrony danych osobowych na mocy rozporządzenia (UE) 2018/1725, konieczne jest przyjęcie wewnętrznych przepisów, na mocy których Komisja może ograniczyć prawa osób, których dane dotyczą, zgodnie z art. 25 ust. 1 lit. c), d) i h) rozporządzenia (UE) 2018/1725.

(7)

Te przepisy wewnętrzne powinny obejmować wszystkie operacje przetwarzania przeprowadzane przez Komisję w ramach wykonywania jej zadań w celu zapewnienia bezpieczeństwa osób, mienia i informacji w Komisji na podstawie decyzji (UE, Euratom) 2015/443, w szczególności jej funkcji dochodzeniowej w obszarze bezpieczeństwa. Powinny one mieć zastosowanie do operacji przetwarzania, które przeprowadza się przed wszczęciem dochodzenia, w trakcie dochodzenia oraz w trakcie monitorowania działań następczych związanych z wynikami dochodzeń.

(8)

W celu zapewnienia zgodności z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725 Komisja powinna informować – w sposób przejrzysty i spójny, w formie oświadczenia o ochronie danych publikowanego na stronie internetowej Komisji – wszystkie osoby fizyczne o swoich działaniach obejmujących przetwarzanie ich danych osobowych oraz o ich prawach.

(9)

Ponadto Komisja powinna indywidualnie informować w odpowiedniej formie osoby, których dane dotyczą, zaangażowane w dochodzenie w sprawie bezpieczeństwa, czyli osoby, których sprawa dotyczy, oraz świadków. Ponadto Komisja powinna indywidualnie informować osoby, których dane są przetwarzane w kontekście środków bezpieczeństwa podjętych na podstawie art. 7 ust. 5 i art. 12 ust. 1 lit. d) i e) decyzji (UE, Euratom) 2015/443, a mianowicie w przypadku przeszukiwania pomieszczeń Komisji oraz systemów i urządzeń komunikacyjnych i informacyjnych.

(10)

Na podstawie art. 25 rozporządzenia (UE) 2018/1725 może być konieczne, aby Komisja ograniczała przekazywanie informacji osobom, których dane dotyczą, oraz korzystanie z innych praw przysługujących osobom, których dane dotyczą, w celu ochrony, w szczególności, dochodzenia w sprawie bezpieczeństwa, narzędzi i metod dochodzeniowych, dochodzeń w sprawie bezpieczeństwa przeprowadzanych przez inne organy publiczne, jak również prawa innych osób związanych z tym dochodzeniem w sprawie bezpieczeństwa, postępowaniami sprawdzającymi lub postępowaniami w sprawie bezpieczeństwa.

(11)

W niektórych przypadkach dostarczanie szczegółowych informacji osobom, których dane dotyczą, lub ujawnianie, że prowadzone jest dochodzenie, lub że wprowadzane są środki bezpieczeństwa na podstawie art. 12 ust. 1 lit. d) i e) decyzji (UE, Euratom) 2015/443, a mianowicie przeszukanie pomieszczeń Komisji oraz systemów i urządzeń teleinformatycznych, może uniemożliwić lub poważnie zakłócić osiągnięcie celu dochodzenia oraz uniemożliwić lub poważnie utrudnić Komisji zapewnienie jej bezpieczeństwa, w szczególności skuteczne przeprowadzanie w przyszłości dochodzeń w sprawie bezpieczeństwa.

(12)

Aby utrzymać skuteczną współpracę, zgodnie z art. 17 ust. 2 i 3 decyzji (UE, Euratom) 2015/443, Komisja może być ponadto zmuszona ograniczyć stosowanie praw osób, których dane dotyczą, celem ochrony procesów przetwarzania dokonywanych przez inne instytucje, organy i jednostki organizacyjne Unii lub przez właściwe organy państw członkowskich. W związku z tym Komisja powinna skonsultować się z tymi instytucjami, organami i jednostkami organizacyjnymi w kwestii stosownych podstaw nałożenia ograniczeń oraz w kwestii konieczności i proporcjonalności ograniczeń.

(13)

Komisja może również ograniczyć udzielanie informacji osobom, których dane dotyczą, i stosowanie innych praw tych osób w odniesieniu do danych osobowych otrzymywanych od państw trzecich lub organizacji międzynarodowych, aby wywiązać się z obowiązku współpracy z tymi państwami lub organizacjami, a tym samym chronić ważny cel leżący w ogólnym interesie publicznym Unii. W pewnych okolicznościach interes lub prawa podstawowe osoby, której dane dotyczą, mogą jednak przeważać nad interesem współpracy międzynarodowej.

(14)

Komisja powinna rozpatrywać wszystkie ograniczenia w sposób przejrzysty i każde zastosowanie ograniczeń rejestrować w odpowiednim systemie rejestracji.

(15)

Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 administratorzy mogą wstrzymać przekazanie informacji, pominąć je lub odmówić go z powodów zastosowania ograniczenia w stosunku do osoby, której dane dotyczą, jeżeli przekazanie tych informacji w jakikolwiek sposób zagroziłoby celowi tego ograniczenia. Dotyczy to w szczególności ograniczeń praw przewidzianych w art. 16 i 35 rozporządzenia (UE) 2018/1725.

(16)

Komisja powinna regularnie dokonywać przeglądu nałożonych ograniczeń w celu zapewnienia, aby prawa osoby, której dane dotyczą, do uzyskania informacji zgodnie z art. 16 i 35 rozporządzenia (UE) 2018/1725 były ograniczone tylko tak długo, jak długo takie ograniczenia są konieczne, aby umożliwić Komisji zapewnienie swojego bezpieczeństwa i w szczególności prowadzenie przez nią dochodzeń w sprawie bezpieczeństwa.

(17)

W przypadku ograniczenia innych praw osoby, której dane dotyczą, administrator danych powinien w poszczególnych przypadkach ocenić, czy poinformowanie o ograniczeniu zagrażałoby jego celowi.

(18)

Inspektor ochrony danych Komisji powinien przeprowadzić niezależny przegląd stosowania ograniczeń w celu zapewnienia zgodności z niniejszą decyzją.

(19)

Europejski Inspektor Ochrony Danych wydał opinię w dniu 10 grudnia 2018 r.,