(1)

Genom Europaparlamentets och rådets förordning (EU) 2022/2560 (2) ges kommissionen befogenhet att samla in information i utrednings-, efterlevnadskontrolls- och övervakningssyfte på flera sätt, t.ex. genom begäranden om information, inspektioner och intervjuer. Enligt förordning (EU) 2022/2560 är företag och ekonomiska aktörer dessutom skyldiga att till kommissionen anmäla koncentrationer och offentliga upphandlingsförfaranden som inbegriper utländska ekonomiska bidrag, förutsatt att vissa tröskelvärden uppnås. För att utredningar, efterlevnadskontroll och övervakning ska kunna genomföras på ett ändamålsenligt sätt enligt förordning (EU) 2022/2560 krävs samarbete mellan medlemsstaterna och kommissionen samt ett friktionsfritt informationsutbyte mellan medlemsstaterna och kommissionen.

(2)

Uppgifter inom ramen för förordning (EU) 2022/2560 utförs av generaldirektoratet för konkurrens och av generaldirektoratet för inre marknaden, industri, entreprenörskap samt små och medelstora företag.

(3)

Kommissionen behandlar information i samband med att den utför sina utrednings-, efterlevnadskontrolls- och övervakningsuppgifter enligt förordning (EU) 2022/2560. Denna information omfattar personuppgifter om fysiska personer, t.ex. uppgiftslämnare, anställda vid företag som är föremål för en utredning och fysiska personer vars personuppgifter ingår i handlingar som erhållits i samband med utredningar, efterlevnadskontroll och övervakning i enlighet med förordning (EU) 2022/2560.

(4)

Behandling av personuppgifter, i den mening som avses i artikel 3.3 i förordning (EU) 2018/1725, som genomförs i samband med utredningar, efterlevnadskontroll och övervakning enligt förordning (EU) 2022/2560, kan äga rum även innan kommissionen formellt inleder den preliminära granskningen, fortsätta under hela den fördjupade utredningen och rentav efter det att utredningen formellt avslutats, t.ex. i syfte att övervaka efterlevnaden eller genomföra granskningar för att bedöma behovet av att inleda nya utredningar eller rättsliga förfaranden.

(5)

För att fullgöra sina uppgifter enligt förordning (EU) 2022/2560 samlar kommissionen i egenskap av personuppgiftsansvarig in och behandlar flera kategorier av personuppgifter, såsom identifieringsuppgifter, kontaktuppgifter och andra ärenderelaterade uppgifter (t.ex. sådana personuppgifter som ingår i handlingar, uttalanden, yttranden och register). Det är inte särskilt sannolikt, men de kategorier av personuppgifter som behandlas kan även innefatta sådana särskilda kategorier av personuppgifter som avses i artikel 10.1 i förordning (EU) 2018/1725 samt personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott enligt vad som avses i artikel 11 i förordning (EU) 2018/1725.

(6)

När kommissionen utför sina uppgifter i enlighet med förordning (EU) 2022/2560 är den skyldig att respektera fysiska personers rättigheter i samband med behandling av personuppgifter som erkänns genom artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna och artikel 16.1 i fördraget om Europeiska unionens funktionssätt, samt kraven i förordning (EU) 2018/1725. Samtidigt måste kommissionen, inom ramen för verksamheten enligt förordning (EU) 2022/2560, följa strikta regler om konfidentialitet och tystnadsplikt enligt artikel 43 i den förordningen.

(7)

Under vissa omständigheter kan det vara nödvändigt att väga de registrerades rättigheter enligt förordning (EU) 2018/1725 mot behovet av att säkerställa att kommissionen kan utföra sina utrednings-, efterlevnadskontrolls- och övervakningsuppgifter enligt förordning (EU) 2022/2560, inbegripet i samarbete med behöriga myndigheter i medlemsstaterna, eller mot andra registrerades grundläggande rättigheter och friheter. Artikel 25.1 i förordning (EU) 2018/1725 ger därför kommissionen möjlighet att under strängt definierade villkor begränsa tillämpningen av artiklarna 14–22, 35 och 36 samt artikel 4 i den förordningen, i den mån bestämmelserna motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–22 i den förordningen.

(8)

Under vissa omständigheter är det nödvändigt att väga de registrerades rättigheter mot behovet av att säkerställa de utredningar, efterlevnadskontroller och övervakningar som kommissionen utför enligt förordning (EU) 2022/2560 i samband med sin myndighetsutövning i unionens allmänna intresse i enlighet med artikel 25.1 g jämförd med artikel 25.1 c i förordning (EU) 2018/1725. Kommissionen får tillämpa begränsningar om utövandet av dessa rättigheter exempelvis skulle äventyra en pågående utredning, t.ex. om det finns en risk för att bevis förstörs eller manipuleras eller att viktiga parter påverkas under en utredning.

(9)

Under vissa omständigheter är det nödvändigt att väga registrerades rättigheter mot de grundläggande rättigheter och friheter som tillkommer andra berörda personer, såsom uppgiftslämnare eller andra fysiska personer som rapporterar till kommissionen i samband med dess utrednings-, efterlevnadskontrolls- och övervakningsverksamhet i enlighet med förordning (EU) 2022/2560. I sådana fall kan kommissionen behöva begränsa tillgången till uppgifter om sådana personers identitet, uttalanden och andra personuppgifter i syfte att skydda alla berörda personers rättigheter och friheter i enlighet med artikel 25.1 h i förordning (EU) 2018/1725. Kommissionen kan besluta sig för att göra detta, särskilt för att skydda dessa personer mot eventuella repressalier. Kommissionen får endast avslöja en rapporterande persons identitet om personen tillåter det. Kommissionen måste dock avslöja personens identitet om så krävs enligt lag eller om en rättslig myndighet så begär.

(10)

Registrerade som lämnar in en begäran om tillgång till sina personuppgifter bör ges tillgång till sådana personuppgifter, inklusive uppgifter som lämnats av en rapporterande person. I syfte att skydda den rapporterande personens anonymitet och säkerställa att vederbörandes rättigheter inte påverkas negativt, bör det vara tillåtet för kommissionen inte förse den registrerade med den rapporterande personens namn eller några andra uppgifter som skulle göra det möjligt att direkt eller indirekt identifiera personen i fråga.

(11)

För att utföra sina uppgifter och säkerställa att förordning (EU) 2022/2560 tillämpas på ett ändamålsenligt sätt, särskilt med avseende på samarbetet mellan kommissionen och behöriga myndigheter i medlemsstaterna, får kommissionen också begränsa tillämpningen av registrerades rättigheter, så att dess myndighetsutövning säkerställs i enlighet med det allmänna intresset, enligt vad som avses i artikel 25.1 g jämförd med artikel 25.1 c i förordning (EU) 2018/1725. Kommissionen kan komma att göra detta i en situation där syftet med en begränsning som införts av en medlemsstats myndighet skulle äventyras om kommissionen inte tillämpar motsvarande begränsning för samma personuppgifter. När kommissionen tillämpar en sådan begränsning bör den samråda med den berörda medlemsstaten angående relevanta potentiella skäl för att införa begränsningar och dessa begränsningars nödvändighet och proportionalitet, såvida detta inte skulle äventyra kommissionens verksamhet.

(12)

När kommissionen begränsar registrerades rättigheter bör den se till att dessa begränsningar sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna, är absolut nödvändiga och utgör en proportionell åtgärd i ett demokratiskt samhälle. Kommissionen bör motivera de tillämpliga begränsningarna.

(13)

Enligt artikel 25.6 i förordning (EU) 2018/1725 ska den personuppgiftsansvarige informera den registrerade om de huvudsakliga skälen till begränsningen och om dennes rätt att inge ett klagomål till Europeiska datatillsynsmannen.

(14)

Enligt artikel 25.8 i förordning (EU) 2018/1725 får kommissionen skjuta upp, utelämna eller neka tillhandahållande av information till registrerade rörande de huvudsakliga skälen till en begränsning om tillhandahållandet av denna informationen på något sätt skulle upphäva verkan av begränsningen. Kommissionen bör i varje enskilt fall bedöma huruvida meddelandet av begränsningen och skälen till denna skulle upphäva dess verkan.

(15)

Kommissionen bör upphäva begränsningen så snart som de förhållanden som motiverar begränsningen inte längre är tillämpliga och bedöma dessa med jämna mellanrum.

(16)

Kommissionen bör, för att uppfylla kraven i artiklarna 14, 15 och 16 i förordning (EU) 2018/1725, informera alla registrerade som berörs av verksamhet som kommissionen bedriver som innebär behandling av deras personuppgifter samt om deras rättigheter, på ett tydligt och konsekvent sätt i form av meddelanden om skydd av personuppgifter som offentliggörs på kommissionens webbplats. Kommissionen bör på lämpligt sätt enskilt informera rättsliga företrädare för och anställda vid företag som är föremål för utredning, uppgiftslämnare och andra fysiska personer som förser kommissionen med information om behandlingen av deras personuppgifter.

(17)

I artikel 16.5 i förordning (EU) 2018/1725 föreskrivs undantag från de registrerades rätt till information om personuppgifter inte har erhållits från den registrerade. Om dessa undantag är tillämpliga behöver kommissionen inte tillämpa en begränsning av rätten till information enligt detta beslut. Undantagen enligt artikel 16.5 b i förordning (EU) 2018/1725 bör gå att tillämpa om tillhandahållandet av sådan information som avses i artikel 16.1–16.4 i den förordningen skulle visa sig vara omöjligt, skulle medföra en oproportionell ansträngning eller sannolikt skulle göra det omöjligt eller betydligt svårare att uppfylla målen med den behandlingen, t.ex. i sådana fall då personuppgifter om registrerade som saknar relevans för utredningen ingår i handlingar som samlas in inom ramen för utredningen, efterlevnadskontrollen och övervakningen i enlighet med förordning (EU) 2022/2560.

(18)

I enlighet med principerna om öppenhet, rättvisa och ansvarsskyldighet bör kommissionen hantera alla undantag och begränsningar på ett öppet sätt och dokumentera hur de tillämpas.

(19)

I syfte att säkerställa skydd av de registrerades rättigheter och friheter bör kommissionen, i enlighet med artikel 44.1 i förordning (EU) 2018/1725, involvera dataskyddssamordnaren vid generaldirektoratet för konkurrens eller vid generaldirektoratet för inre marknaden, industri, entreprenörskap samt små och medelstora företag under hela processen vad gäller tillämpningen av begränsningar och bör dokumentera detta samråd. Särskilt bör ansvarig dataskyddssamordnare vid lämplig tidpunkt rådfrågas om eventuella begränsningar som kan komma att tillämpas och kontrollera att de överensstämmer med detta beslut.

(20)

Kommissionens dataskyddsombud bör genomföra en oberoende översyn av tillämpningen av begränsningar för att säkerställa efterlevnaden av detta beslut.

(21)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 41.2 i förordning (EU) 2018/1725 och avgav ett yttrande den 16 april 2026.