(1)

Komise musí fungovat v bezpečném a zabezpečeném prostředí. Aby tomu tak bylo, potřebuje soudržný a integrovaný přístup k zajišťování vlastní bezpečnosti, který bude zaručovat odpovídající úrovně ochrany osob, majetku a informací úměrné zjištěným rizikům, jakož i účinné a včasné provádění bezpečnostních opatření. Komise čelí v oblasti zabezpečení velkým hrozbám a výzvám, zejména v souvislosti s terorismem, kybernetickými útoky a politickou a obchodní špionáží.

(2)

Aby byla zajištěna bezpečnost osob, majetku a informací, přijímá Komise, především prostřednictvím svého ředitelství pro bezpečnost Generálního ředitelství pro lidské zdroje a bezpečnost, opatření stanovená v rozhodnutí Komise (EU, Euratom) 2015/443 (1), jejichž součástí je zpracovávání několika kategorií osobních údajů. K zmiňovaným opatřením patří prověřování bezúhonnosti podle čl. 7 odst. 5, vyhodnocování hrozeb podle článku 12 a bezpečnostní šetření podle článku 13 rozhodnutí (EU, Euratom) 2015/443. V rámci svého mandátu k prošetřování shromažďuje Komise informace, které jsou v tomto ohledu významné (včetně osobních údajů), z různých zdrojů – od orgánů veřejné moci a fyzických osob – a vyměňuje si je s ostatními orgány, institucemi a jinými subjekty Unie, s příslušnými orgány členských států a třetích zemí, jakož i s mezinárodními organizacemi, a to před zahájením šetření nebo koordinačních aktivit, v jejich průběhu i po jejich skončení.

(3)

Komise zpracovává osobní údaje, jako jsou například identifikační údaje, kontaktní údaje, profesní údaje či údaje, jež souvisejí s předmětem prověřování bezúhonnosti, vyhodnocování hrozeb nebo bezpečnostního šetření. Osobní údaje se uchovávají v zabezpečeném elektronickém prostředí, aby se zabránilo nezákonnému přístupu k údajům nebo jejich předávání osobám mimo Komisi. Osobní údaje si útvary Komise odpovědné za šetření ponechávají až do ukončení šetření. Pro různé činnosti v rámci zpracovávání platí různé doby uchovávání v závislosti na kategorii šetření, zejména pak na tom, zda dané šetření probíhá ve spojitosti s podezřením na trestnou činnost, kontrarozvědkou nebo bojem proti terorismu. Po skončení doby uchovávání jsou informace týkající se předmětného případu včetně osobních údajů zlikvidovány (2).

(4)

Při provádění svých úkolů je Komise (coby správce) ve vztahu ke zpracovávání osobních údajů povinna dodržovat práva fyzických osob uznaná čl. 8 odst. 1 Listiny základních práv Evropské unie a čl. 16 odst. 1 Smlouvy o fungování Evropské unie a práva stanovená v nařízení Evropského parlamentu a Rady (EU) 2018/1725 (3). V souladu s článkem 9 rozhodnutí (EU, Euratom) 2015/443 musí Komise současně dbát přísných pravidel, jež upravují problematiku důvěrnosti.

(5)

Za určitých okolností je nutné sloučit práva subjektů údajů podle nařízení (EU) 2018/1725 s potřebou, aby Komise účinně plnila své úkoly při zajišťování bezpečnosti osob, majetku a informací v jejích prostorách podle rozhodnutí (EU, Euratom) 2015/443 (zejména aby prováděla bezpečnostní šetření), a s plným dodržováním základních práv a svobod jiných subjektů údajů. Za tímto účelem umožňuje čl. 25 odst. 1 písm. c), d) a h) nařízení (EU) 2018/1725 Komisi omezit použití článků 14 až 17, 19, 20 a 35 a zásady transparentnosti stanovené v čl. 4 odst. 1 písm. a) v rozsahu, v jakém předmětná ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 17, 19 a 20 uvedeného nařízení.

(6)

Aby se zaručilo účinné plnění úkolů Komise v oblasti zajišťování bezpečnosti osob, majetku a informací v jejích prostorách podle rozhodnutí (EU, Euratom) 2015/443, zejména provádění bezpečnostních šetření, a současné dodržování norem ochrany osobních údajů podle nařízení (EU) 2018/1725, je nezbytné přijmout vnitřní pravidla, podle nichž bude moci Komise omezit práva subjektů údajů v souladu s čl. 25 odst. 1 písm. c), d) a h) nařízení (EU) 2018/1725.

(7)

Tato vnitřní pravidla by se měla vztahovat na veškeré operace zpracování, které Komise provádí při plnění svých úkolů zajišťujících bezpečnost osob, majetku a informací v jejích prostorách na základě rozhodnutí (EU, Euratom) 2015/443, zejména funkce prošetřování v oblasti zajišťování bezpečnosti. Měla by se vztahovat na operace zpracování, které se provádějí před zahájením prošetřování, v jeho průběhu a během monitorování následného sledování jeho výstupů.

(8)

Za účelem dodržení článků 14, 15 a 16 nařízení (EU) 2018/1725 by Komise měla informovat všechny osoby o své činnosti zahrnující zpracovávání jejich osobních údajů a o jejich právech, a to transparentně a uceleně prohlášením o ochraně údajů zveřejněným na internetových stránkách Komise.

(9)

Komise by také měla v odpovídajícím formátu individuálně informovat subjekty údajů zapojené do bezpečnostního šetření, tj. dotčené osoby a svědky. Kromě toho by Komise měla individuálně informovat osoby, jejichž údaje se zpracovávají v rámci bezpečnostních opatření přijatých podle čl. 7 odst. 5 a čl. 12 odst. 1 písm. d) a e) rozhodnutí (EU, Euratom) 2015/443, jmenovitě v rámci prohledávání prostor Komise a komunikačních a informačních systémů a zařízení.

(10)

Na základě článku 25 nařízení (EU) 2018/1725 může být nezbytné, aby Komise omezila poskytování informací subjektům údajů a výkon dalších práv subjektů údajů za účelem ochrany, a to zejména bezpečnostního šetření, svých vyšetřovacích nástrojů a metod, bezpečnostních šetření a postupů jiných orgánů veřejné moci, jakož i práv jiných osob v souvislosti s daným bezpečnostním šetřením, prošetřováním a/nebo s danými postupy.

(11)

V některých případech by poskytnutí konkrétních informací subjektům údajů nebo prozrazení existence šetření nebo bezpečnostních opatření přijatých podle čl. 12 odst. 1 písm. d) a e) rozhodnutí (EU, Euratom) 2015/443, jmenovitě prohlídek prostor Komise a jejích komunikačních a informačních systémů a zařízení, mohlo zmařit nebo vážně ohrozit účel šetření a schopnost Komise zajistit vlastní bezpečnost, zejména pak účinně provádět bezpečnostní šetření v budoucnu.

(12)

V zájmu soustavné účinné spolupráce zmiňované v čl. 17 odst. 2 a 3 rozhodnutí (EU, Euratom) 2015/443 může být navíc nutné, aby Komise omezila uplatňování práv subjektů údajů kvůli ochraně operací zpracování prováděných dalšími orgány, institucemi a jinými subjekty Unie nebo příslušnými orgány členských států. V této souvislosti by měla Komise s uvedenými orgány, institucemi a jinými subjekty a orgány konzultovat relevantní důvody pro předmětná omezení a jejich nezbytnost a přiměřenost.

(13)

Komise může být rovněž nucena omezit poskytování informací subjektům údajů, jakož i uplatňování dalších práv těchto subjektů v souvislosti s osobními údaji získanými od třetích zemí nebo od mezinárodních organizací, aby vůči těmto zemím či organizacím dostála své povinnosti spolupráce, a chránila tak důležitý cíl obecného veřejného zájmu Unie. Za určitých okolností však může být zájem na mezinárodní spolupráci převážen zájmem nebo základními právy subjektu údajů.

(14)

Komise by měla se všemi omezeními nakládat transparentně a každé uplatněné omezení by měla zaregistrovat do příslušného záznamového systému.

(15)

Podle čl. 25 odst. 8 nařízení (EU) 2018/1725 mohou správci odložit, neprovést nebo odepřít poskytnutí informací subjektu údajů o důvodech použití určitého omezení, pokud by poskytnutí těchto informací jakýmkoliv způsobem ohrozilo účel daného omezení. V tomto případě se jedná zejména o omezení práv podle článků 16 a 35 nařízení (EU) 2018/1725.

(16)

Komise by měla uložená omezení pravidelně přezkoumávat, aby zajistila, že právo subjektu údajů být informován v souladu s články 16 a 35 nařízení (EU) 2018/1725 bude omezeno pouze po dobu, kdy je takové omezení nezbytné k tomu, aby Komise mohla zajistit vlastní bezpečnost, a zejména provádět bezpečnostní šetření.

(17)

V případě omezení dalších práv subjektů údajů by měl správce v každém jednotlivém případě posoudit, zda by informování o daném omezení ohrozilo jeho účel.

(18)

Uplatňování omezení by měl nezávisle přezkoumat pověřenec Komise pro ochranu osobních údajů, aby bylo zajištěno dodržování tohoto rozhodnutí.

(19)

Evropský inspektor ochrany údajů vydal své stanovisko dne 10. prosince 2018,