(1)

A Comissão tem de funcionar num ambiente seguro e protegido. Para tal, precisa de uma abordagem coerente e integrada no que diz respeito à sua segurança, proporcionando níveis adequados de proteção das pessoas, dos ativos e das informações em função dos riscos identificados e garantindo uma prestação eficiente e atempada da segurança. A Comissão enfrenta ameaças e desafios importantes no domínio da segurança, em especial no que se refere ao terrorismo, aos ciberataques e à espionagem política e comercial.

(2)

A fim de garantir a segurança das pessoas, dos ativos e da informação, a Comissão, nomeadamente através da sua Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança, toma medidas como previsto na Decisão (UE, Euratom) 2015/443 da Comissão (1), que envolvem o tratamento de várias categorias de dados pessoais. Essas medidas incluem a realização de verificações de antecedentes no domínio da segurança nos termos do artigo 7.o, n.o 5, avaliações de risco nos termos do artigo 12.o e inquéritos de segurança nos termos do artigo 13.o da Decisão (UE, Euratom) 2015/443. No âmbito do seu mandato de inquérito, a Comissão recolhe informações de interesse para o inquérito, incluindo dados pessoais, provenientes de várias fontes — autoridades públicas e pessoas singulares — e intercambia tais informações com as outras instituições, órgãos, organismos e agências da União, com as autoridades competentes dos Estados-Membros e de países terceiros e com organizações internacionais, antes, durante e após as atividades de inquérito ou de coordenação.

(3)

As categorias de dados pessoais tratados pela Comissão são, por exemplo, dados de identificação, dados de contacto, dados profissionais e dados relacionados com o objeto da verificação dos antecedentes de segurança, da avaliação das ameaças ou de um inquérito sobre segurança, ou apresentados em relação com o mesmo. Os dados pessoais são armazenados num ambiente eletrónico seguro para impedir o acesso ou a transferência ilegais de dados a pessoas exteriores à Comissão. Os dados pessoais são conservados nos serviços da Comissão responsáveis pelo inquérito até ao final do mesmo. São aplicáveis diferentes períodos de conservação às diferentes atividades de tratamento, consoante a categoria do inquérito, nomeadamente se ocorrerem no domínio das suspeitas de infrações penais, da contrainformação ou da luta contra o terrorismo. No final do período de conservação, as informações relativas ao processo, incluindo os dados pessoais, são eliminadas (2).

(4)

No exercício das suas funções, a Comissão é obrigada a respeitar os direitos das pessoas singulares no que se refere ao tratamento de dados pessoais, consagrados no artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia e no artigo 16.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia, bem como os direitos enunciados no Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (3). Ao mesmo tempo, a Comissão deve respeitar regras estritas em matéria de confidencialidade, em conformidade com o artigo 9.o do Regulamento (UE, Euratom) 2015/443.

(5)

Em determinadas circunstâncias, é necessário conciliar os direitos dos titulares de dados nos termos do Regulamento (UE) 2018/1725 com a necessidade de a Comissão desempenhar efetivamente as suas funções de garantir a segurança das pessoas, dos ativos e das informações na Comissão, nos termos da Decisão (UE, Euratom) 2015/443, em especial os inquéritos de segurança, bem como no pleno respeito dos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o, n.o 1, alíneas c), d) e h), do Regulamento (UE) 2018/1725 confere à Comissão a possibilidade de limitar a aplicação dos artigos 14.o a 17.o, 19.o, 20.o e 35.o, bem como do princípio da transparência previsto no artigo 4.o, n.o 1, alínea a), na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 17.o, 19.o e 20.o do referido regulamento.

(6)

A fim de assegurar que a Comissão exerce efetivamente as suas funções de garantir a segurança das pessoas, dos ativos e das informações na Comissão nos termos da Decisão (UE, Euratom) 2015/443, em especial os seus inquéritos de segurança, respeitando simultaneamente as normas de proteção de dados pessoais ao abrigo do Regulamento (UE) 2018/1725, é necessário adotar regras internas ao abrigo das quais a Comissão pode limitar os direitos dos titulares de dados em conformidade com o artigo 25.o, n.o 1, alíneas c), d) e h), do Regulamento (UE) 2018/1725.

(7)

Essas regras internas devem abranger todas as operações de tratamento realizadas pela Comissão no exercício das suas funções, a fim de garantir a segurança das pessoas, dos ativos e das informações na Comissão, em conformidade com a Decisão (UE, Euratom) 2015/443, em especial a sua função de inquérito no domínio da segurança. Essas regras deverão ser aplicáveis a operações de tratamento realizadas antes da abertura de um inquérito, no decurso dos inquéritos e durante o controlo do seguimento dado ao resultado dos inquéritos.

(8)

A fim de dar cumprimento aos artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725, a Comissão deve informar todos as pessoas das suas atividades que envolvam o tratamento dos seus dados pessoais e dos seus direitos, de modo transparente e coerente, através da publicação de anúncios sobre a proteção de dados no sítio Web da Comissão.

(9)

Além disso, a Comissão deve informar individualmente, de forma adequada, os titulares dos dados envolvidos num inquérito de segurança, ou seja, as pessoas em causa e as testemunhas. Além disso, a Comissão deve informar individualmente as pessoas cujos dados são tratados no contexto das medidas de segurança tomadas ao abrigo do artigo 7.o, n.o 5, e do artigo 12.o, n.o 1, alíneas d) e e), da Decisão (UE, Euratom) 2015/443, nomeadamente buscas nas instalações da Comissão e em sistemas e equipamentos de comunicação e de informação.

(10)

Com base no artigo 25.o do Regulamento (UE) 2018/1725, pode ser necessário que a Comissão restrinja a prestação de informações aos titulares de dados e o exercício de outros direitos dos titulares dos dados, a fim de proteger, nomeadamente, um inquérito de segurança, os seus instrumentos e métodos de inquérito, procedimentos e inquéritos de segurança de outras autoridades públicas, bem como os direitos de terceiros relacionados com esse inquérito, investigações e/ou procedimentos de segurança.

(11)

Nalguns casos, a prestação de informações específicas aos titulares dos dados ou a revelação da existência de um inquérito ou de medidas de segurança tomadas nos termos do artigo 12.o, n.o 1, alínea d), e alínea e), da Decisão (UE, Euratom) 2015/443, a saber, buscas nas instalações da Comissão e nos sistemas e equipamentos de comunicação e informação, pode tornar impossível ou prejudicar gravemente o objetivo do inquérito e a capacidade da Comissão para garantir a sua segurança e, em especial, realizar inquéritos de segurança de forma eficaz no futuro.

(12)

Além disso, a fim de manter uma cooperação eficaz, tal como referido no artigo 17.o, n.os 2 e 3, da Decisão (UE, Euratom) 2015/443, pode ser necessário que a Comissão limite a aplicação dos direitos dos titulares dos dados, a fim de proteger as operações de tratamento de outras instituições e outros órgãos e organismos da União ou das autoridades competentes dos Estados-Membros. Para o efeito, a Comissão deverá consultar essas instituições e esses órgãos e organismos, e essas autoridades sobre os motivos relevantes para a imposição de limitações, e sobre a necessidade e a proporcionalidade das referidas limitações.

(13)

A Comissão pode igualmente ter de limitar a comunicação de informações aos titulares dos dados e a aplicação de outros direitos dos titulares dos dados, no que diz respeito aos dados pessoais recebidos de países terceiros ou de organizações internacionais, a fim de cumprir o seu dever de cooperação com esses países ou organizações e, dessa forma, salvaguardar um importante objetivo de interesse público geral da União. No entanto, em determinadas circunstâncias, o interesse ou os direitos fundamentais do titular dos dados podem prevalecer sobre o interesse da cooperação internacional.

(14)

A Comissão deve tratar todas as limitações de forma transparente e registar cada aplicação de limitações no sistema de registo correspondente.

(15)

Nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, os responsáveis pelo tratamento podem adiar, omitir ou recusar comunicar ao titular de dados informações sobre os motivos que levaram à aplicação de uma limitação, desde que essas informações possam, de qualquer modo, comprometer a finalidade da limitação. Tal é, em especial, o caso das limitações de direitos previstas nos artigos 16.o e 35.o do Regulamento (UE) 2018/1725.

(16)

A Comissão deverá reexaminar regularmente as limitações impostas, a fim de assegurar que os direitos do titular dos dados a comunicar em conformidade com os artigos 16.o e 35.o do Regulamento (UE) 2018/1725 são limitados apenas enquanto tais limitações forem necessárias para permitir que a Comissão garanta a sua segurança e, em especial, proceder a inquéritos de segurança.

(17)

Sempre que outros direitos dos titulares dos dados sejam limitados, o responsável pelo tratamento deverá avaliar, caso a caso, se a comunicação da limitação comprometeria a sua finalidade.

(18)

O responsável pela proteção de dados da Comissão deve proceder a uma análise independente da aplicação das limitações, a fim de assegurar o cumprimento da presente decisão.

(19)

A Autoridade Europeia para a Proteção de Dados emitiu um parecer em 10 de dezembro de 2018,