(1)

Enligt Europaparlamentets och rådets förordning (EU, Euratom) 2018/1046 (1) ska varje unionsinstitution inrätta en funktion för intern revision som ska skötas i enlighet med relevanta internationella normer. Den interna revisionsverksamheten inom kommissionen utförs av tjänsten för internrevision (nedan även kallad internrevisionstjänsten) som inrättades den 11 april 2000. Internrevisionstjänsten utför sitt arbete även i unionens decentraliserade byråer och andra oberoende organ som får bidrag från unionens budget.

(2)

Internrevisionstjänsten utför internrevision i enlighet med artiklarna 117–123 i förordning (EU, Euratom) 2018/1046 och sin uppdragsstadga (2). Internrevisionstjänsten är i detta avseende fullständigt oberoende och har fullständig och obegränsad tillgång till all information som krävs i internrevisionsarbetet med avseende på alla verksamheter inom EU-institutionens avdelningar.

(3)

Internrevisionstjänsten ger råd till andra avdelningar inom kommissionen, genomförandeorganen samt unionens decentraliserade byråer, och andra oberoende organ som får bidrag från unionens budget, i fråga om riskhantering, dvs. händelser eller problem som kan äventyra kommissionens politiska, strategiska och operativa mål. Detta sker genom yttranden på oberoende basis om förvaltnings- och kontrollsystemens kvalitet och genom rekommendationer för att förbättra villkoren för att genomföra transaktioner och för att främja en sund ekonomisk förvaltning, i enlighet med artiklarna 117–123 i förordning (EU, Euratom) 2018/1046. Internrevisionstjänstens arbete inriktas därför vanligtvis inte mot fysiska personer som sådana. I samband med dess arbete behandlas oundvikligen personuppgifter i den mening som avses i artikel 3.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (3). Bland internrevisionstjänstens uppgifter ingår att bedöma de interna förvaltningssystemens lämplighet och effektivitet samt hur väl avdelningarna genomför politiska åtgärder, program och insatser, och vidare effektiviteten och ändamålsenligheten hos de system för intern kontroll och revision som tillämpas på all budgetgenomförande verksamhet. Den bidrar därför till att skydda viktiga ekonomiska och finansiella intressen i unionen och medlemsstaterna. Internrevisionstjänsten är personuppgiftsansvarig för den behandling den utför i enlighet med artiklarna 118 och 119.2 i budgetförordningen.

(4)

Det internrevisionsarbete som utförts inom kommissionen och dess genomförandeorgan samt i unionens decentraliserade byråer och andra oberoende organ, varierar till form och innehåll, och omfattar bl.a. revisionssäkring (inklusive riskbedömningar), konsultuppdrag och granskningar med begränsad räckvidd samt uppföljningsuppdrag.

(5)

Kommittén för revisionsuppföljning är i enlighet med sin uppdragsstadga, som aktualiserades den 21 november 2018 (C(2018) 7707), ett rådgivande organ (4) som bistår kommissionen med fullgörandet av åtagandena enligt fördragen och annan lagstiftning (förordning (EU, Euratom) 2018/1046) genom att säkerställa internrevisionstjänstens oberoende, genom att vaka över kvaliteten på det interna revisionsarbetet och genom att säkerställa att kommissionen på vederbörligt sätt beaktar interna och externa revisionsrekommendationer och att de får lämplig uppföljning. På detta sätt bidrar nämnda kommitté till att ytterligare förbättra kommissionens effektivitet och ändamålsenlighet när det gäller att uppnå målen och underlättar kollegiets uppsikt över kommissionens styrning, riskhantering och rutiner för intern kontroll. Kommittén är personuppgiftsansvarig för den behandling den utför i enlighet med artikel 123 i budgetförordningen.

(6)

Vad gäller verksamheterna enligt artiklarna 118 och 119.2 i förordning (EU, Euratom) 2018/1046, behandlar kommissionen, antingen på eget initiativ eller på grundval av mottagen information, personuppgifter som förvärvats eller mottagits från juridiska personer, fysiska personer, medlemsstater och internationella organ och organisationer. Internrevisionstjänsten kan under sitt arbete även behandla personuppgifter som förvärvats eller mottagits från offentliga källor, från anonyma eller från identifierade källor som behöver få sin identitet skyddad.

(7)

Kommissionen får i sin tur utbyta personuppgifter med unionens institutioner, organ, och byråer, med behöriga myndigheter i medlemsstaterna och, inom ramen för internationella avtal och samarbetsavtal, med tredjeländer och internationella organisationer.

(8)

Behandling av personuppgifter, i den mening som avses i artikel 3.3 i förordning (EU) 2018/1725, i samband med interrevisionsarbete kan äga rum även innan kommissionen formellt inleder det, fortsätta under hela revisionsarbetet och även fortsätta efter det att revisionsarbetet formellt avslutats (till exempel för att övervaka genomförandet av rekommendationer och bedöma behovet av nya internrevisionsinsatser).

(9)

De kategorier av personuppgifter som behandlas av kommissionen är t.ex. uppgifter om identitet, kontaktuppgifter, yrkesrelaterade uppgifter och uppgifter som rör eller har lämnats in i samband med föremålet för utredningen. Dessa kategorier av personuppgifter lagras i en säker elektronisk miljö för att förhindra olaglig åtkomst eller överföring av uppgifter till personer som inte har behov av att ta del av dem. Personuppgifterna bevaras i högst tio år. I slutet av lagringsperioden överförs information som rör interrevisionsverksamheten, däribland personuppgifter, till kommissionens slutförvaringsarkiv (5) eller så förstörs den.

(10)

Kommissionen är i sina interrevisionsverksamheter skyldig att respektera fysiska personers rättigheter i samband med behandling av personuppgifter vilka omfattas av artikel 8.1 i stadgan om de grundläggande rättigheterna och av artikel 16.1 i fördraget samt av rättsakter som rättigheter som föreskrivs i förordning (EU) 2018/1725. Kommissionen är samtidigt skyldig att följa de strikta regler om konfidentialitet som avses i de internationella normerna för internrevision, i enlighet med artikel 117 i förordning (EU, Euratom) 2018/1046.

(11)

Under vissa omständigheter är det nödvändigt att sammanjämka registrerades rättigheter enligt förordning (EU) 2018/1725 med internrevisionsverksamheternas behov och behov av sekretess vid utbyte av information med fysiska och juridiska personer samt med respekten för andra registrerades rättigheter och friheter. I enlighet med artikel 25.1 c, g och h i förordning (EU) 2018/1725 kan därför internrevisionstjänsten föreskriva begränsningar i tillämpningen av artiklarna 14–17, 19, 20 och 35, samt principen om öppenhet som fastställs i artikel 4.1 a, i den mån bestämmelserna i beslutet motsvarar de rättigheter och skyldigheter som fastställs i de ovan nämnda artiklarna 14–17, 19, 20 och 35.

(12)

För att säkra effektiviteten i internrevisionsarbetet, och samtidigt respektera standarderna för skydd av personuppgifter enligt förordning (EU) 2018/1725, som ersatte Europaparlamentets och rådets förordning (EG) nr 45/2001 (6), är det nödvändigt att anta interna regler enligt vilka kommissionen får begränsa registrerades rättigheter i enlighet med artikel 25.1 c, g och h i förordning (EU) 2018/1725.

(13)

De interna reglerna bör omfatta all behandling som kommissionen utför när den utför sitt internrevisionsarbete, oavsett om den agerar på eget initiativ eller på grundval av mottagen information, närhelst utövandet av den registrerades rättigheter kan äventyra internrevisionsarbetet. Dessa regler bör gälla för uppgiftsbehandling som utförs innan ett uppdrag formellt inleds, under uppdragets fullgörande samt under övervakningen av uppföljningen av resultaten.

(14)

För att uppfylla kraven i artiklarna 14, 15 och 16 i förordning (EU) 2018/1725 bör kommissionen informera alla enskilda personer om verksamhet som innebär behandling av personuppgifter och om deras rättigheter på ett tydligt och konsekvent sätt med hjälp av ett dataskyddsmeddelande som offentliggörs på kommissionens webbplats. Kommissionen bör när så är relevant tillgripa ytterligare skyddsåtgärder för att se till att registrerade informeras enskilt på lämpligt sätt.

(15)

Kommissionen kan, på grundval av artikel 25 i förordning (EU) 2018/1725, även begränsa informationen till registrerade och de registrerades andra rättigheter, för att skydda egna internrevisionsverksamheter, medlemsstaternas myndigheters revisioner, revisionsverktygen och revisionsmetoderna samt även andra personers rättigheter i samband med kommissionens internrevisionsverksamheter.

(16)

För ett effektivt samarbete kan kommissionen behöva begränsa registrerades rättigheter för att skydda uppgiftsbehandling som görs av kommissionens avdelningar eller unionens andra institutioner, organ och byråer eller av medlemsstaternas myndigheter och internationella organisationer samt av kommittén för revisionsuppföljning. Kommissionen bör i detta syfte samråda med dessa avdelningar, institutioner, organ, byråer, myndigheter och organisationer samt kommittén för revisionsuppföljning om relevanta skäl för begränsningarna samt deras nödvändighet och proportionalitet.

(17)

Kommissionen kan också behöva begränsa tillhandahållandet av information till registrerade och tillämpningen av andra registrerades rättigheter i samband med personuppgifter som mottagits från tredjeländer eller internationella organisationer, för att samarbeta med dessa länder eller organisationer och därigenom trygga viktiga mål av allmänt intresse för unionen. I vissa fall kan dock den registrerades intresse eller grundläggande rättigheter väga tyngre än intresset av internationellt samarbete.

(18)

Kommissionen bör hantera alla begränsningar på ett öppet sätt och registrera varje beslut om begränsningar i motsvarande register.

(19)

I kraft av artikel 25.8 i förordning (EU) 2018/1725 kan personuppgiftsansvariga uppskjuta, utelämna eller neka tillhandahållandet av information om skälen till begränsningarna på något sätt skulle äventyra syftet med begränsningen. Detta gäller i synnerhet begränsningar av de rättigheter som anges i artiklarna 16 och 35 i förordning (EU) 2018/1725.

(20)

Om registrerades andra rättigheter begränsas, bör den personuppgiftsansvarige från fall till fall bedöma huruvida informationen om begränsningen kan äventyra sitt syfte.

(21)

Kommissionens dataskyddsombud bör genomföra en oberoende översyn av tillämpningen av begränsningar för att säkerställa överensstämmelse med detta beslut.

(22)

Förordning (EU) 2018/1725 ersätter förordning (EG) nr 45/2001 utan någon övergångsperiod, från och med den dag då den träder i kraft. Möjligheten att begränsa vissa rättigheter infördes genom förordning (EG) nr 45/2001. För att undvika att äventyra lagligheten i internrevisionens arbete bör detta beslut gälla från och med den dag då förordning (EU) 2018/1725 träder i kraft.

(23)

Europeiska datatillsynsmannen avgav ett yttrande den 27 november 2018.