(1)

V nariadení Európskeho parlamentu a Rady (EÚ, Euratom) 2018/1046 (1) sa vyžaduje, aby každá inštitúcia Únie zriadila funkciu vnútorného audítora, ktorá je vykonávaná v súlade s príslušnými medzinárodnými štandardmi. Vnútorný audit v Komisii vykonáva Útvar pre vnútorný audit(ďalej len „útvar“), ktorý bol zriadený 11. apríla 2000. Vnútorný audit vykonáva aj Útvar v decentralizovaných agentúrach Únie a iné nezvislé subjekty, ktoré sú príjemcami príspevkov z rozpočtu Únie.

(2)

Útvar vykonáva vnútorný audit v súlade s článkami 117 až 123 nariadenia (EÚ, Euratom) 2018/1046 a jeho náplňou práce (2). V tomto ohľade je útvar plne nezávislý a má úplný a neobmedzený prístup ku všetkým informáciám požadovaným pri výkone vnútorného auditu, pokiaľ ide o všetky činnosti a útvary dotknutého orgánu Únie.

(3)

Útvar poskytuje poradenstvo ostatným útvarom Komisie, výkonným agentúram, ako aj decentralizovaným agentúram Únie a ďalším nezávislým subjektom, ktoré dostávajú príspevky z rozpočtu Únie na to, ako riešiť riziká, t. j. akúkoľvek udalosť alebo problém, ktoré by sa mohli vyskytnúť a nepriaznivo ovplyvniť dosiahnutie politického, strategického a operačného cieľa Komisie, pričom vydáva nezávislé stanoviská o kvalite riadiacich a kontrolných systémov a odporúčania na zlepšenie podmienok implementácie operácií a na podporu riadneho finančného hospodárenia v súlade s článkami 117 až 123 nariadenia (EÚ, Euratom) 2018/1046. Preto sa činnosti útvaru v rámci vnútorného auditu zvyčajne nezameriavajú na fyzické osoby ako také. Počas jeho činnosti sa však nevyhnutne spracúvajú osobné údaje v zmysle článku 3 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (3). Vnútorný audit, ktorý útvar vykonáva zahŕňa posúdenie vhodnosti a účinnosti vnútorných systémov riadenia a dosahovaní výsledkov útvarov pri vykonávaní politík, programov a činností, efektívnosti a účinnosti systémov vnútornej kontroly a auditu použiteľných na jednotlivé operácie plnenia rozpočtu. Prispieva tak k ochrane významných hospodárskych a finančných záujmov Únie a členských štátov. Útvar je správcom spracúvania, ktoré vykonáva v súlade s článkom 118 a článkom 119 ods. 2 nariadenia o rozpočtových pravidlách.

(4)

Vnútorný audit vykonávaný v Komisii a jej výkonných agentúrach, decentralizovaných agentúrach Únie a iných nezávislých orgánoch sa odlišuje formou a obsahom, od zabezpečenia (vrátane posúdení rizík) a poskytovania poradenských služieb až po preskúmania s obmedzeným rozsahom pôsobnosti a nadväzujúcimi aktivitami.

(5)

Výbor pre pokrok v oblasti auditu (APC) je v súlade so svojou náplňou práce aktualizovanou 21. novembra 2018 [C(2018) 7707] poradným orgánom (4), ktorý pomáha Komisii pri plnení jej povinností v zmysle zmlúv a iných zákonných nástrojov [nariadenie (EÚ, Euratom) 2018/1046], a to zabezpečovaním nezávislej činnosti Útvaru pre vnútorný audit, sledovaním kvality práce pri vnútornom audite, a zaistením, aby útvary Komisie náležite zohľadnili odporúčania z vnútorného a externého auditu a prijímali náležité následné opatrenia. Výbor pre pokrok v oblasti auditu takýmto spôsobom prispieva k celkovému ďalšiemu zvyšovaniu účinnosti a efektívnosti Komisie pri dosahovaní jej cieľov a uľahčuje vykonávanie dohľadu kolégia nad správou, riadením rizík a vnútornými kontrolnými postupmi Komisie. Výbor pre pokrok v oblasti auditu je správcom spracúvania údajov, ktoré vykonáva v súlade s článkom 123 nariadenia o rozpočtových pravidlách.

(6)

Na účel svojich činností podľa článku 118 a článku 119 ods. 2 nariadenia (EÚ, Euratom) 2018/1046, Komisia, či už z vlastnej iniciatívy, alebo na základe získaných informácií, spracúva osobné údaje, ktoré nadobudla alebo dostala od právnických osôb, fyzických osôb, členských štátov a medzinárodných orgánov a organizácií. Počas týchto činnosti v rámci vnútorného auditu môže útvar spracúvať aj osobné údaje, ktoré získal alebo dostal z verejne dostupných zdrojov a z anonymných alebo identifikovaných zdrojov vyžadujúcich ochranu svojej totožnosti.

(7)

Komisia si môže postupne vymieňať osobné údaje s inštitúciami, orgánmi, úradmi a agentúrami Únie, s príslušnými orgánmi členských štátov a v rámci platných medzinárodných dohôd Komisie a jej dohôd o spolupráci s tretími krajinami a medzinárodnými organizáciami.

(8)

Spracovanie osobných údajov v zmysle článku 3 ods. 3 nariadenia (EÚ) 2018/1725 vykonávané v rámci vnútorného auditu môže prebiehať dokonca ešte pred tým, než ho oficiálne začne Komisia, pokračovať pri výkone auditu a môže pokračovať aj po oficiálnom ukončení auditu (napríklad z dôvodu monitorovania vykonávania odporúčaní, či posúdenia potreby začať nové vnútorný audit).

(9)

Kategórie osobných údajov spracúvaných Komisiou zahŕňajú identifikačné údaje, kontaktné údaje, údaje o profesionálnej činnosti a údaje týkajúce sa predmetu činnosti. Tieto kategórie osobných údajov sa ukladajú v zabezpečenom elektronickom prostredí, aby sa zamedzilo neoprávnenému prístupu alebo prenosu údajov osobám, ktoré ich nemusia vedieť. Osobné údaje sa uchovávajú maximálne desať rokov. Po skončení obdobia uchovávania sa informácie týkajúce sa vnútorného auditu vrátane osobných údajov presunú do historických archívov Komisie (5) alebo vymažú.

(10)

Pri vykonávaní vnútorného auditu, je Komisia povinná dodržiavať práva fyzických osôb, pokiaľ ide o spracovanie osobných údajov, uznané v článku 8 ods. 1 Charty základných práv Európskej únie a článku 16 ods. 1 zmluvy, ako aj práva stanovené v nariadení (EÚ) 2018/1725. Od Komisie sa súčasne vyžaduje, aby dodržiavala prísne pravidlá dôvernosti uvedené v medzinárodných štandardoch pre vnútorný audit v súlade s článkom 117 nariadenia (EÚ, Euratom) č. 2018/1046.

(11)

Za určitých okolností sa práva dotknutých osôb musia podľa nariadenia (EÚ) 2018/1725 uviesť do súladu s potrebami vnútorného auditu a dôvernosti výmeny informácií s fyzickými a právnickými osobami, ako aj s plným dodržiavaním základných práv a slobôd iných dotknutých osôb. Článok 25 ods. 1 písm. c), g) a h) nariadenia (EÚ) 2018/1725 poskytuje útvaru na tento účel možnosť obmedziť uplatňovanie článkov 14 až 17 a článkov 19, 20 a 35, ako aj zásadu transparentnosti stanovenú v článku 4 ods. 1 písm. a), pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam uvedeným v článkoch 14 až 17, 19, 20 a 35 tohto nariadenia.

(12)

Na to, aby sa zabezpečila efektívnosť činností v rámci vnútorného auditu a súčasne rešpektovali normy ochrany osobných údajov podľa nariadenia (EÚ) 2018/1725, ktorým sa nahradilo nariadenie Európskeho parlamentu a Rady (ES) č. 45/2001 (6), treba prijať vnútorné pravidlá, podľa ktorých Komisia môže obmedziť práva dotknutých osôb v súlade s článkom 25 ods. 1 písm. c), g) a h) nariadenia (EÚ) 2018/1725.

(13)

Vnútorné pravidlá by sa mali vzťahovať na akékoľvek spracúvanie údajov uskutočňované Komisiou pri vykonávaní vnútorného auditu, či už z vlastnej iniciatívy, alebo na základe prijatých podkladov, a to vždy, keď by uplatňovanie práv dotknutých osôb mohlo ohroziť vykonávanie vnútorného auditu. Tieto pravidlá by sa mali použiť na spracúvanie údajov pred oficiálnym začatím činnosti, počas jej priebehu a tiež počas monitorovania následných opatrení prijatých v súvislosti s jeho výsledkom.

(14)

V záujme dodržiavania článkov 14, 15 a 16 nariadenia (EÚ) 2018/1725 by Komisia mala transparentne a jasne informovať všetky jednotlivé osoby o svojich činnostiach, ktoré zahŕňajú spracovanie ich osobných údajov a ich práva, a to oznámením týkajúcim sa ochrany údajov uverejneným na webovej lokalite Komisie. Komisia by mala prípadne mala uviesť ďalšie záruky, ktoré zabezpečia aby boli dotknuté osoby vo vhodnom formáte jednotlivo informované.

(15)

Na základe článku 25 nariadenia (EÚ) 2018/1725 Komisia môže obmedziť aj poskytovanie informácií pre dotknuté osoby a vykonávať iné práva dotknutých osôb s cieľom chrániť svoj vlastný vnútorný audit, audity verejných orgánov členských štátov a nástroje a metódy auditu, ako aj práva iných osôb súvisiace s vnútorným auditom.

(16)

Okrem toho s cieľom zachovať účinnú spoluprácu, môže byť potrebné, aby Komisia obmedzila uplatňovanie práv dotknutých osôb v záujme ochrany operácií spracúvania údajov útvarmi Komisie alebo ďalšími inštitúciami, orgánmi, úradmi a agentúrami Únie alebo orgánmi členských štátov a medzinárodnými organizáciami, ako aj Výborom pre pokrok v oblasti auditu. Na tento účel by Komisia mala uskutočniť konzultácie s týmito útvarmi, inštitúciami, orgánmi, úradmi, agentúrami, správnymi orgánmi a organizáciami i s Výborom pre pokrok v oblasti auditu o náležitých dôvodoch pre uloženie obmedzení a nevyhnutnosti a primeranosti obmedzení.

(17)

Komisia môže byť takisto nútená obmedziť poskytovanie informácií dotknutým osobám a uplatňovanie iných práv dotknutých osôb v súvislosti s osobnými údajmi získanými od tretích krajín alebo medzinárodných organizácií na účely spolupráce s týmito krajinami alebo organizáciami, čiže zaistiť dôležitý cieľ všeobecného verejného záujmu Únie. Za určitých okolností však záujem alebo základné práva dotknutej osoby môžu prevažovať nad záujmom medzinárodnej spolupráce.

(18)

Komisia by mala so všetkými obmedzeniami zaobchádzať transparentne a každé uplatnenie obmedzení registrovať v príslušnom systéme záznamov.

(19)

Podľa článku 25 ods. 8 nariadenia (EÚ) 2018/1725 môžu správcovia poskytnutie informácií odložiť, vynechať alebo ho môžu zamietnuť z dôvodu uplatnenia obmedzenia voči dotknutej osobe, pokiaľ by poskytnutie týchto informácií akýmkoľvek spôsobom ohrozilo účel obmedzenia. Je to najmä v prípade obmedzenia práv stanovených v článkoch 16 a 35 nariadenia (EÚ) 2018/1725.

(20)

Ak sú obmedzené iné práva dotknutých osôb, mal by správca Útvaru pre vnútorný audit v jednotlivých prípadoch posúdiť, či by informovanie o obmedzení ohrozilo jeho účel.

(21)

Úradník Európskej komisie pre ochranu údajov by mal vykonať nezávislé preskúmanie uplatnenia obmedzení, aby sa zabezpečilo dodržiavanie tohto rozhodnutia.

(22)

Nariadenie (EÚ) 2018/1725 nahrádza nariadenie (ES) č. 45/2001 bez akéhokoľvek prechodného obdobia, a to od dátumu nadobudnutia jeho účinnosti. Možnosť uplatniť obmedzenia na určité práva bola poskytnutá v nariadení (ES) č. 45/2001. Na to, aby sa zamedzilo ohrozeniu zákonnosti vnútorného auditu, malo by sa toto rozhodnutie uplatňovať od dátumu nadobudnutia účinnosti nariadenia (EÚ) 2018/1725.

(23)

Európsky dozorný úradník pre ochranu údajov predložil stanovisko 27. novembra 2018,