(1)

Kommissionen genomför undersökningar för att säkerställa att de regler som fastställs i förordning (EU) 2022/2065 (2) efterlevs av leverantörer av mycket stora onlineplattformar och mycket stora onlinesökmotorer. I detta syfte utövar kommissionen de befogenheter vad gäller tillsyn, undersökning, efterlevnadskontroll och övervakning som den tilldelats genom förordning (EU) 2022/2065.

(2)

Kommissionens uppgifter enligt förordning (EU) 2022/2065 utförs av kommissionens generaldirektorat med ansvar för kommunikationsnät, innehåll och teknik.

(3)

Kommissionen behandlar information i samband med att den utför sina uppgifter vad gäller tillsyn, undersökning, efterlevnadskontroll och övervakning enligt förordning (EU) 2022/2065. Denna information kan innehålla personuppgifter som avser fysiska personer, t.ex. enskilda anställda vid ett företag (chefen för funktionen för regelefterlevnad, den enda kontaktpunkten osv.), misstänka personer, brottsoffer, visselblåsare, uppgiftslämnare och vittnen samt andra fysiska personer vars personuppgifter ingår i handlingar som erhållits i samband med att kommissionen utför sina uppgifter vad gäller tillsyn, undersökning, efterlevnadskontroll och övervakning i enlighet med förordning (EU) 2022/2065.

(4)

Behandling av personuppgifter, i den mening som avses i artikel 3.3 i förordning (EU) 2018/1725, som genomförs i samband med undersökningar och efterlevnadskontroll enligt förordning (EU) 2022/2065, kan äga rum även innan kommissionen formellt inleder förfaranden i enlighet med artikel 66 i förordning (EU) 2022/2065, kan fortsätta under hela undersökningen och kan även fortsätta efter det att undersökningen formellt har avslutats (t.ex. i syfte att övervaka efterlevnaden eller genomföra granskningar för att bedöma behovet av att inleda nya undersökningar eller rättsliga förfaranden).

(5)

Kommissionen behandlar flera olika kategorier av personuppgifter för att fullgöra sina uppgifter enligt förordning (EU) 2022/2065, t.ex. identifieringsuppgifter, kontaktuppgifter, uppgifter om involverade i ärenden, ärenderelaterade uppgifter och all annan information som anses nödvändig. Det är inte särskilt sannolikt, men de kategorier av personuppgifter som behandlas kan även innefatta sådana särskilda kategorier av personuppgifter som avses i artikel 10.1 i förordning (EU) 2018/1725 om något av de skäl som anges i artikel 10.2 eller 10.3 i den förordningen föreligger samt personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott enligt vad som avses i artikel 11 i förordning (EU) 2018/1725. När kommissionen utför sina uppgifter i enlighet med förordning (EU) 2022/2065 är den skyldig att respektera fysiska personers rättigheter i samband med behandling av personuppgifter som erkänns genom artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna och artikel 16.1 i fördraget om Europeiska unionens funktionssätt, samt de rättigheter som fastställs i förordning (EU) 2018/1725. Samtidigt måste kommissionen, inom ramen för verksamheten enligt förordning (EU) 2022/2065, följa strikta regler om konfidentialitet och tystnadsplikt enligt artikel 84 i den förordningen.

(6)

Under vissa omständigheter är det nödvändigt att väga de registrerades rättigheter enligt förordning (EU) 2018/1725 mot ett effektivt fullgörande av kommissionens uppgifter vad gäller tillsyn, undersökning, efterlevnadskontroll och övervakning enligt förordning (EU) 2022/2065 och samtidigt säkerställa att andra registrerades grundläggande rättigheter och friheter respekteras fullt ut. Artikel 25.1 i förordning (EU) 2018/1725 ger därför kommissionen möjlighet att under vissa omständigheter begränsa tillämpningen av artiklarna 14–22, 35 och 36 samt artikel 4 i den förordningen, i den mån bestämmelserna motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22 i den förordningen.

(7)

Under vissa omständigheter är det nödvändigt att väga de registrerades rättigheter mot behovet av att säkerställa målen för den tillsyn, de undersökningar, den efterlevnadskontroll och den övervakning som utförs enligt förordning (EU) 2022/2065, i och med att det är ett av unionens viktiga mål av generellt allmänt intresse i enlighet med artikel 25.1 c i förordning (EU) 2018/1725. Kommissionen får tillämpa begränsningar om utövandet av dessa rättigheter exempelvis skulle få allvarliga konsekvenser för kommissionens förmåga att utföra undersökningen på ett effektivt sätt och således motverka målet med undersökningen. I sådana fall finns det en risk för att bevis förstörs och att viktiga parter (t.ex. vittnen) påverkas under en undersökning.

(8)

Under vissa omständigheter är det nödvändigt att väga registrerades rättigheter mot andra berörda personers grundläggande rättigheter och friheter, t.ex. brottsoffer eller vittnen. I sådana fall kan kommissionen besluta att begränsa tillgången till uppgifter om identitet och uttalanden samt andra personuppgifter i syfte att skydda sådana personers rättigheter och friheter i enlighet med artikel 25.1 h i förordning (EU) 2018/1725. Kommissionen kan besluta sig för att göra detta, särskilt för att skydda dessa personer mot eventuella repressalier.

(9)

Det är nödvändigt att skydda konfidentiell information som rör en uppgiftslämnare, en visselblåsare eller någon annan fysisk person som har rapporterat information till kommissionen i samband med att den utför sina uppgifter vad gäller tillsyn, undersökning, efterlevnadskontroll och övervakning i enlighet med förordning (EU) 2022/2065. Kommissionen bör begränsa tillgången till uppgifter om sådana personers identitet, uttalanden och andra personuppgifter i syfte att skydda alla berörda personers rättigheter och friheter i enlighet med artikel 25.1 h i förordning (EU) 2018/1725. Kommissionen får endast avslöja en rapporterande persons identitet om personen tillåter det. Kommissionen bör dock avslöja personens identitet om så krävs enligt lag eller om en rättslig myndighet så begär. Registrerade som lämnar in en begäran om tillgång till sina personuppgifter bör ges tillgång till sådana personuppgifter, inklusive uppgifter som lämnats av en rapporterande person. I syfte att garantera konfidentialitet bör kommissionen inte förse den registrerade med den rapporterande personens namn eller några andra uppgifter som skulle göra det möjligt att direkt eller indirekt identifiera personen i fråga.

(10)

För att säkerställa att förordning (EU) 2022/2065 tillämpas effektivt, särskilt när det gäller samarbetet mellan kommissionen och medlemsstaterna, får kommissionen också begränsa registrerades rättigheter i syfte att därmed säkerställa ett av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, enligt vad som avses i artikel 25.1 c i förordning (EU) 2018/1725. Kommissionen kan komma att göra detta i en situation där syftet med en sådan begränsning som införts av en medlemsstats myndighet skulle äventyras om kommissionen inte tillämpar motsvarande begränsning för samma personuppgifter. För att säkerställa att förordning (EU) 2022/2065 tillämpas effektivt får kommissionen dessutom tillämpa begränsningar i syfte att säkerställa förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten, i enlighet med artikel 25.1 b i förordning (EU) 2018/1725. När kommissionen tillämpar begränsningar som grundar sig på artikel 25.1 c i förordning (EU) 2018/1725 bör den samråda med den medlemsstat som säkerställer det viktiga mål av generellt allmänt intresse som berörs angående relevanta potentiella skäl för att införa begränsningar och dessa begränsningars nödvändighet och proportionalitet, såvida detta inte skulle äventyra kommissionens verksamhet. Enligt artikel 25.1 g i förordning (EU) 2018/1725 får kommissionen besluta att begränsa registrerades rättigheter i syfte att säkerställa en tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i de fall som avses ovan och som avses i artikel 25.1 b och c i förordning (EU) 2018/1725.

(11)

Kommissionen bör tillämpa begränsningar endast när de är förenliga med de grundläggande rättigheter och friheter som fastställs i stadgan, är absolut nödvändiga och är proportionella i ett demokratiskt samhälle. Kommissionen bör motivera dessa begränsningar.

(12)

Enligt artikel 25.6 i förordning (EU) 2018/1725 ska den personuppgiftsansvarige informera den registrerade om de huvudsakliga skälen till begränsningen och om dennes rätt att inge ett klagomål till Europeiska datatillsynsmannen.

(13)

Enligt artikel 25.8 i förordning (EU) 2018/1725 får kommissionen skjuta upp, utelämna eller neka tillhandahållandet av information rörande de huvudsakliga skälen till en begränsning av den registrerades rättigheter i de fall då tillhandahållandet av informationen på något sätt skulle kunna upphäva verkan av begränsningen. Kommissionen bör i varje enskilt fall bedöma huruvida meddelandet av begränsningen skulle upphäva dess verkan.

(14)

Kommissionen bör upphäva begränsningen så snart som de förhållanden som motiverar begränsningen inte längre är tillämpliga och bedöma dessa med jämna mellanrum.

(15)

Kommissionen bör, för att uppfylla kraven i artiklarna 14, 15 och 16 i förordning (EU) 2018/1725, informera alla registrerade som berörs av verksamhet som kommissionen bedriver som innebär behandling av deras personuppgifter samt om deras rättigheter, på ett tydligt och konsekvent sätt i form av meddelanden om skydd av personuppgifter som offentliggörs på kommissionens webbplats. Kommissionen bör på lämpligt sätt enskilt informera visselblåsare, uppgiftslämnare, vittnen och, när så är relevant för ärendet, enskilda anställda vid ett företag (chefen för regelefterlevnad, den enda kontaktpunkten osv.) om behandlingen av deras personuppgifter.

(16)

I artikel 16.5 i förordning (EU) 2018/1725 föreskrivs undantag från de registrerades rätt till information. Om dessa undantag är tillämpliga behöver kommissionen inte tillämpa en begränsning av rätten till information enligt detta beslut. Undantagen enligt artikel 16.5 b i förordning (EU) 2018/1725 är tillämpliga om tillhandahållandet av sådan information som avses i artikel 16.1–16.4 i den förordningen skulle visa sig vara omöjligt, skulle medföra en oproportionell ansträngning eller sannolikt skulle göra det omöjligt eller avsevärt försvåra uppfyllandet av målen med den behandlingen. I fall där personuppgifter som avser registrerade som inte är relevanta för undersökningen har samlats in vid tillsyn, undersökning, efterlevnadskontroll och övervakning i enlighet med förordning (EU) 2022/2065, och avser andra registrerade än de som enskilt har informerats, skulle tillhandahållandet av dessa uppgifter kunna visa sig vara omöjligt eller medföra en oproportionell ansträngning. Det kan vara fallet om kommissionen erhåller personuppgifter från en visselblåsarrapport eller i samband med övervakning som syftar till att säkerställa ett effektivt genomförande och en effektiv efterlevnad av förordning (EU) 2022/2065. Undantagen i artikel 16.5 b i förordning (EU) 2018/1725 kan även tillämpas om tillhandahållandet av sådan information till misstänkta personer och brottsoffer i ett ärende sannolikt skulle göra det omöjligt eller avsevärt försvåra uppfyllandet av målen med den behandlingen.

(17)

Vid tillämpningen av principerna om öppenhet, rättvisa och ansvarsskyldighet bör kommissionen hantera alla undantag och begränsningar på ett öppet sätt och dokumentera hur de tillämpas.

(18)

För att säkerställa skydd av de registrerades rättigheter och friheter bör kommissionen, i enlighet med artikel 44.1 i förordning (EU) 2018/1725, involvera dataskyddssamordnaren vid generaldirektoratet för kommunikationsnät, innehåll och teknik och kommissionens dataskyddsombud under hela processen vad gäller tillämpningen av begränsningar och bör dokumentera detta samråd. Särskilt bör dataskyddssamordnaren vid lämplig tidpunkt rådfrågas om eventuella begränsningar som kan komma att tillämpas och kontrollera att de överensstämmer med detta beslut.

(19)

Kommissionens dataskyddsombud bör genomföra en oberoende översyn av tillämpningen av begränsningar för att säkerställa efterlevnaden av detta beslut.

(20)

Europeiska datatillsynsmannen har hörts och avgav ett yttrande den 22 oktober 2024.