(1)

Kommissionen måste arbeta i en trygg och säker miljö. För att uppnå detta behövs det en sammanhållen, integrerad säkerhetsstrategi som tillhandahåller lämpliga skyddsnivåer för personer, tillgångar och information i proportion till de identifierade riskerna, och garanterar att säkerheten fungerar effektivt och snabbt. Kommissionen står inför stora hot och utmaningar på säkerhetsområdet, särskilt när det gäller terrorism, it-attacker och politiskt och affärsrelaterat spionage.

(2)

För att garantera säkerheten för personer, tillgångar och information vidtar kommissionen åtgärder, särskilt genom säkerhetsdirektoratet vid generaldirektoratet för personal och säkerhet, i enlighet med kommissionens beslut (EU, Euratom) 2015/443 (1) som omfattar behandling av flera kategorier av personuppgifter. Dessa åtgärder inbegriper genomförandet av säkerhetskontroller på personer enligt artikel 7.5, riskbedömningar enligt artikel 12 och säkerhetsundersökningar enligt artikel 13 i beslut (EU, Euratom) 2015/443. Inom ramen för sitt utredningsuppdrag samlar kommissionen in information av utredningsintresse, däribland personuppgifter, från skilda källor – myndigheter och fysiska personer – och utbyter dessa med unionens övriga institutioner, organ och byråer, med behöriga myndigheter i medlemsstater och tredjeländer samt med internationella organisationer före, under och efter utrednings- eller samordningsfaserna.

(3)

De kategorier av personuppgifter som behandlas av kommissionen är till exempel uppgifter om identitet, kontaktuppgifter, yrkesrelaterade uppgifter och uppgifter som rör eller har lämnats in i samband med en säkerhetskontroll, riskbedömning eller säkerhetsundersökning. Personuppgifterna lagras i en säker elektronisk miljö för att förhindra olaglig åtkomst eller överföring av uppgifter till personer utanför kommissionen. Personuppgifterna lagras av tjänsteavdelningar i kommissionen som ansvarar för undersökningen fram till dess att denna är avslutad. Olika lagringstider tillämpas på olika behandling beroende på typen av undersökning, till exempel i fråga om misstänkta brott, kontraspionage eller terrorismbekämpning. Vid utgången av lagringsperioden raderas de ärenderelaterade uppgifterna, inbegripet personuppgifter (2).

(4)

När kommissionen utför sina uppgifter i egenskap av personuppgiftsansvarig, är den skyldig att respektera fysiska personers rättigheter i samband med den behandling av personuppgifter som erkänns i artikel 8.1 i stadgan om de grundläggande rättigheterna och i artikel 16.1 i fördraget om Europeiska unionens funktionssätt, liksom de rättigheter som fastställs i Europaparlamentets och rådets förordning (EU) 2018/1725 (3). Kommissionen är samtidigt skyldig att följa strikta regler om konfidentialitet i enlighet med vad som föreskrivs i artikel 9 i beslut (EU, Euratom) 2015/443.

(5)

Under vissa omständigheter är det nödvändigt att sammanjämka de registrerades rättigheter enligt förordning (EU) 2018/1725 med behovet av att kommissionen effektivt utför sina uppgifter för att säkerställa säkerheten för personer, tillgångar och information inom kommissionen enligt beslut (EU, Euratom) 2015/443, framför allt när det gäller säkerhetsundersökningar, samt att säkra att andra registrerades grundläggande rättigheter och friheter respekteras fullt ut. I enlighet med artikel 25.1 c, d och h i förordning (EU) 2018/1725 kan därför kommissionen begränsa tillämpningen av artiklarna 14–17, 19, 20 och 35, samt principen om öppenhet som fastställs i artikel 4.1 a, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i de ovan nämnda artiklarna 14–17, 19 och 20.

(6)

För att säkerställa att kommissionen på ett effektivt sätt utför sina uppgifter för att garantera säkerheten för personer, tillgångar och information inom kommissionen enligt beslut (EU, Euratom) 2015/443, särskilt dess säkerhetsundersökningar, samtidigt som den höga skyddsnivån för personuppgifter som föreskrivs i förordning (EU) 2018/1725 upprätthålls, är det nödvändigt att anta interna regler enligt vilka kommissionen får begränsa registrerades rättigheter i enlighet med artikel 25.1 c, d och h i förordning (EU) 2018/1725.

(7)

Dessa interna regler bör omfatta all uppgiftsbehandling som utförs av kommissionen i fullgörandet av dess uppgifter för att garantera säkerheten för personer, tillgångar och information inom kommissionen enligt beslut (EU, Euratom) 2015/443, särskilt när det gäller dess utredande funktion på säkerhetsområdet. Dessa regler bör tillämpas på uppgiftsbehandling som utförs innan en utredning inleds, under pågående utredningar och i samband med övervakningen av hur utredningar följs upp.

(8)

För att uppfylla kraven i artiklarna 14, 15 och 16 i förordning (EU) 2018/1725 bör kommissionen informera alla enskilda personer om dess verksamhet som innebär behandling av deras personuppgifter och om deras rättigheter på ett öppet och konsekvent sätt med hjälp av ett dataskyddsmeddelande som offentliggörs på kommissionens webbplats.

(9)

Kommissionen bör dessutom i lämpligt format individuellt informera de registrerade som är inblandade i en säkerhetsundersökning, det vill säga berörda personer och vittnen. Kommissionen bör dessutom individuellt informera personer vars uppgifter behandlas i samband med säkerhetsåtgärder som vidtas enligt artiklarna 7.5 och 12.1 d och e i beslut (EU, Euratom) 2015/443, det vill säga när det gäller genomsökning av kommissionens lokaler och kontroller av kommunikations- och informationssystem och utrustning.

(10)

Kommissionen kan, på grundval av artikel 25 i förordning (EU) 2018/1725, begränsa tillhandahållandet av information till registrerade och utövandet av andra rättigheter som tillkommer registrerade, i synnerhet för att skydda en säkerhetsundersökning, dess utredningsverktyg och utredningsmetoder, andra myndigheters säkerhetsundersökningar och förfaranden, samt även andra personers rättigheter i samband med ovan nämnda säkerhetsundersökning, utredningar och/eller förfaranden.

(11)

I vissa fall skulle tillhandahållande av viss information till de registrerade, eller ett avslöjande av att en undersökning eller säkerhetsrelaterade åtgärder enligt artikel 12.1 d och e i beslut (EU, Euratom) 2015/443 pågår, bland annat genomsökning av kommissionens lokaler och kontroller av kommunikations- och informationssystem och utrustning, kunna omöjliggöra eller allvarligt skada syftet med undersökningen och kommissionens förmåga att säkerställa sin säkerhet och i synnerhet ett effektivt utförande av säkerhetsundersökningar i framtiden.

(12)

För att upprätthålla ett effektivt samarbete, i enlighet med artikel 17.2 och 17.3 i beslut (EU, Euratom) 2015/443, kan det vara nödvändigt för kommissionen att begränsa tillämpningen av de registrerades rättigheter för att skydda uppgiftsbehandling som genomförs av unionens övriga institutioner, organ och byråer eller av medlemsstaternas behöriga myndigheter. Kommissionen bör därför samråda med dessa institutioner, organ, byråer och myndigheter om vilka skäl som ska anses vara relevanta för att införa begränsningar och om behovet av begränsningen och dess proportionalitet.

(13)

Kommissionen kan också behöva begränsa tillhandahållandet av information till registrerade och tillämpningen av andra registrerades rättigheter när det gäller personuppgifter som mottagits från tredjeländer eller internationella organisationer, för att fullgöra sin skyldighet att samarbeta med dessa länder eller organisationer och därigenom trygga viktiga mål av allmänt intresse för unionen. I vissa fall kan dock den registrerades intresse eller grundläggande rättigheter väga tyngre än intresset av internationellt samarbete.

(14)

Kommissionen bör hantera alla begränsningar på ett öppet sätt och registrera varje tillämpning av begränsningar i motsvarande register.

(15)

Enligt artikel 25.8 i förordning (EU) 2018/1725 kan personuppgiftsansvariga skjuta upp, utelämna eller neka tillhandahållande av information till den registrerade om skälen till tillämpningen av en begränsning, om tillhandahållande av denna information på något sätt skulle äventyra syftet med begränsningen. Detta gäller i synnerhet begränsningar av de rättigheter som anges i artiklarna 16 och 35 i förordning (EU) 2018/1725.

(16)

Kommissionen bör regelbundet se över införda begränsningar för att säkerställa att de registrerades rätt att bli informerade i enlighet med artiklarna 16 och 35 i förordning (EU) 2018/1725 begränsas endast så länge som är nödvändigt för att göra det möjligt för kommissionen att säkerställa sin säkerhet och i synnerhet utföra säkerhetsundersökningar.

(17)

Om den registrerades övriga rättigheter begränsas bör den personuppgiftsansvariga bedöma från fall till fall huruvida information om begränsningen skulle äventyra dess syfte.

(18)

Kommissionens dataskyddsombud bör genomföra en oberoende översyn av tillämpningen av begränsningar för att säkerställa efterlevnad av detta beslut.

(19)

Europeiska datatillsynsmannen avgav ett yttrande den 10 december 2018.