(1)

Komisija mora delovati v varnem okolju. Za doseganje tega cilja potrebuje usklajen in celovit pristop glede varnosti z zagotavljanjem ustreznih ravni zaščite oseb, sredstev in informacij v skladu z ugotovljenimi tveganji ter učinkovitim in pravočasnim zagotavljanjem varnosti. Komisija se na področju varnosti sooča z resnimi grožnjami in izzivi, zlasti kar zadeva terorizem, kibernetske napade ter politično in gospodarsko vohunjenje.

(2)

Za zagotovitev varnosti oseb, sredstev in informacij Komisija, zlasti prek Direktorata za varnost Generalnega direktorata za človeške vire in varnost, sprejema ukrepe iz Sklepa Komisije (EU, Euratom) 2015/443 (1), ki vključujejo obdelavo več vrst osebnih podatkov. Ti ukrepi zajemajo izvajanje varnostnega preverjanja zanesljivosti v skladu s členom 7(5), ocen ogroženosti v skladu s členom 12 in varnostnih poizvedb v skladu s členom 13 Sklepa (EU, Euratom) 2015/443. Komisija v okviru svojega preiskovalnega mandata iz različnih virov (javnih organov in fizičnih oseb) zbira informacije v preiskovalnem interesu, vključno z osebnimi podatki, ter jih pred poizvedovalnimi ali usklajevalnimi dejavnostmi, med njimi in po njih izmenjuje z drugimi institucijami, organi, uradi in agencijami Unije, pristojnimi organi držav članic in tretjih držav ter mednarodnimi organizacijami.

(3)

Vrste osebnih podatkov, ki jih Komisija obdeluje, so na primer identifikacijski podatki, kontaktni podatki, poklicni podatki in podatki, povezani s predmetom varnostnega preverjanja zanesljivosti, ocene ogroženosti ali varnostne poizvedbe. Osebni podatki se hranijo v varnem elektronskem okolju, da se prepreči nezakonit dostop do podatkov ali njihov prenos osebam zunaj Komisije. Osebni podatki se do konca poizvedbe hranijo v službah Komisije, ki so pristojne za poizvedbo. Za različne dejavnosti obdelave se uporabljajo različna obdobja hrambe, odvisno od kategorije poizvedbe, in sicer ali gre za področje sumov kaznivih dejanj, protiobveščevalne dejavnosti ali protiterorizma. Ob koncu obdobja hrambe se informacije, povezane z zadevo, vključno z osebnimi podatki, izbrišejo (2).

(4)

Komisija mora pri opravljanju svojih nalog kot upravljavec spoštovati pravice fizičnih oseb v zvezi z obdelavo osebnih podatkov, ki jih priznavata člen 8(1) Listine Evropske unije o temeljnih pravicah in člen 16(1) Pogodbe o delovanju Evropske unije, ter pravice na podlagi Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (3). Hkrati mora Komisija upoštevati stroga pravila o zaupnosti iz člena 9 Sklepa (EU, Euratom) 2015/443.

(5)

V nekaterih okoliščinah je treba pravice, ki jih imajo posamezniki, na katere se nanašajo osebni podatki, na podlagi Uredbe (EU) 2018/1725, uskladiti s potrebo po tem, da Komisija učinkovito izvaja svoje naloge zagotavljanja varnosti oseb, sredstev in informacij v Komisiji v skladu s Sklepom (EU, Euratom) 2015/443, zlasti varnostnih poizvedb, ob tem pa v celoti spoštovati temeljne pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki. V ta namen člen 25(1)(c), (d) in (h) Uredbe (EU) 2018/1725 Komisiji omogoča omejitev uporabe členov 14 do 17, 19, 20 in 35 ter načela preglednosti, določenega v členu 4(1)(a), kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 14 do 17, 19 in 20 navedene uredbe.

(6)

Da bi Komisija lahko učinkovito izvajala svoje naloge zagotavljanja varnosti oseb, sredstev in informacij v Komisiji v skladu s Sklepom (EU, Euratom) 2015/443, zlasti varnostnih poizvedb, ter da bi se ob tem upoštevali standardi varstva osebnih podatkov iz Uredbe (EU) 2018/1725, je treba sprejeti notranja pravila, na podlagi katerih lahko Komisija omeji pravice posameznikov, na katere se nanašajo osebni podatki, v skladu s členom 25(1)(c),(d) in (h) Uredbe (EU) 2018/1725.

(7)

Ta notranja pravila bi morala zajemati vse postopke obdelave, ki jih izvaja Komisija pri opravljanju svojih nalog zagotavljanja varnosti oseb, sredstev in informacij v Komisiji v skladu s Sklepom (EU, Euratom) 2015/443, zlasti svoje preiskovalne funkcije na področju varnosti. Ta pravila bi se morala uporabljati za postopke obdelave, izvedene pred začetkom preiskave, med preiskavami in med spremljanjem nadaljnjih ukrepov v zvezi z rezultati preiskav.

(8)

Za zagotovitev skladnosti s členi 14, 15 in 16 Uredbe (EU) 2018/1725 bi morala Komisija vse posameznike pregledno in usklajeno obveščati o svojih dejavnostih, ki vključujejo obdelavo njihovih osebnih podatkov, in o njihovih pravicah z obvestilom o varstvu podatkov, objavljenim na spletišču Komisije.

(9)

Prav tako bi morala Komisija posamično in v ustrezni obliki obvestiti posameznike, na katere se nanašajo osebni podatki in ki so vključeni v varnostno poizvedbo, tj. zadevne osebe in priče. Komisija bi morala poleg tega posamično obvestiti osebe, katerih podatki se obdelujejo v okviru varnostnih ukrepov, sprejetih na podlagi člena 7(5) ter člena 12(1)(d) in (e) Sklepa (EU, Euratom) 2015/443, in sicer pri preiskavah prostorov Komisije ter komunikacijskih in informacijskih sistemov in opreme.

(10)

Na podlagi člena 25 Uredbe (EU) 2018/1725 je morda potrebno, da Komisija omeji zagotavljanje informacij posameznikom, na katere se nanašajo osebni podatki, in uveljavljanje drugih pravic posameznikov, na katere se nanašajo osebni podatki, da bi se zaščitili zlasti varnostna poizvedba, njena preiskovalna orodja in metode, varnostne poizvedbe in postopki drugih javnih organov ter pravice drugih oseb v zvezi z navedeno varnostno poizvedbo, preiskavami in/ali postopki.

(11)

V nekaterih primerih bi lahko zagotavljanje posebnih informacij posameznikom, na katere se nanašajo osebni podatki, ali razkritje obstoja poizvedbe ali varnostnih ukrepov, sprejetih na podlagi člena 12(1)(d) in (e) Sklepa (EU, Euratom) 2015/443, in sicer preiskav prostorov Komisije ter komunikacijskih in informacijskih sistemov in opreme, onemogočilo ali resno ogrozilo namen poizvedbe ter zmožnost Komisije za zagotavljanje varnosti in zlasti učinkovitega izvajanja varnostnih poizvedb v prihodnosti.

(12)

Da se ohrani učinkovito sodelovanje iz člena 17(2) in (3) Sklepa (EU, Euratom) 2015/443, je morda poleg tega potrebno, da Komisija omeji uporabo pravic posameznikov, na katere se nanašajo osebni podatki, da se zaščitijo postopki obdelave drugih institucij, organov, uradov in agencij Unije ali pristojnih organov držav članic. V ta namen bi se morala Komisija s temi institucijami, organi, uradi in agencijami ter drugimi organi posvetovati o ustreznih razlogih za uvedbo omejitev ter o potrebi po omejitvah in njihovi sorazmernosti.

(13)

Komisija mora morda omejiti tudi zagotavljanje informacij posameznikom, na katere se nanašajo osebni podatki, in uporabo drugih pravic posameznikov, na katere se nanašajo osebni podatki, v zvezi z osebnimi podatki, prejetimi od tretjih držav ali mednarodnih organizacij, da bi izpolnila svojo dolžnost sodelovanja s temi državami ali organizacijami in tako ohranila pomemben cilj v splošnem javnem interesu Unije. Vendar pa lahko v nekaterih okoliščinah interes ali temeljne pravice posameznika, na katerega se nanašajo osebni podatki, prevladajo nad interesom mednarodnega sodelovanja.

(14)

Komisija bi morala vse omejitve obravnavati pregledno in vsako uporabo omejitev registrirati v ustreznem sistemu evidentiranja.

(15)

V skladu s členom 25(8) Uredbe (EU) 2018/1725 lahko upravljavci preložijo, opustijo ali zavrnejo zagotavljanje informacij o razlogih za uporabo omejitve posamezniku, na katerega se nanašajo osebni podatki, če bi zagotovitev teh informacij na kakršen koli način ogrozila namen omejitve. To zlasti velja za primere omejitev pravic iz členov 16 in 35 Uredbe (EU) 2018/1725.

(16)

Komisija bi morala redno pregledovati uvedene omejitve za zagotovitev, da so pravice posameznika, na katerega se nanašajo osebni podatki, do obveščenosti v skladu s členoma 16 in 35 Uredbe (EU) 2018/1725 omejene le, dokler so take omejitve potrebne, da se Komisiji omogoči zagotavljanje varnosti in zlasti izvajanje varnostnih poizvedb.

(17)

Kadar se omejijo druge pravice posameznikov, na katere se nanašajo osebni podatki, bi moral upravljavec za vsak primer posebej oceniti, ali bi sporočanje omejitve ogrozilo njen namen.

(18)

Pooblaščena oseba za varstvo podatkov Komisije bi morala opraviti neodvisen pregled uporabe omejitev, da se zagotovi skladnost s tem sklepom.

(19)

Evropski nadzornik za varstvo podatkov je mnenje izdal 10. decembra 2018 –