Document ID: 32018D1961

Reference:
12.12.2018
LT
Europos Sąjungos oficialusis leidinys
L 315/35
KOMISIJOS SPRENDIMAS (ES) 2018/1961
2018 m. gruodžio 11 d.
kuriuo nustatomos informacijos teikimo duomenų subjektams ir tam tikrų teisių ribojimo vidaus taisyklės, susijusios su asmens duomenų tvarkymu vykdant vidaus audito veiklą
KOMISIJA,
atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 249 straipsnio 1 dalį,
kadangi:
(1)
Europos Parlamento ir Tarybos reglamentu (ES, Euratomas) 2018/1046 (1) reikalaujama, kad kiekviena Sąjungos institucija numatytų vidaus audito funkciją, kuri vykdoma pagal atitinkamus tarptautinius standartus. Vidaus audito veiklą Komisijoje vykdo 2000 m. balandžio 11 d. įsteigta Vidaus audito tarnyba (toliau – tarnyba). Tarnyba vidaus audito veiklą taip pat vykdo Sąjungos decentralizuotose agentūrose ir kitose autonominėse įstaigose, kurios gauna įnašų iš Sąjungos biudžeto;
(2)
Vidaus audito tarnyba veiklą vykdo pagal Reglamento (ES, Euratomas) 2018/1046 117–123 straipsnius ir savo užduočių aprašą (2). Šiuo atžvilgiu tarnyba yra visiškai nepriklausoma ir turi visišką neribotą prieigą prie visos informacijos, kurios jai reikia vidaus audito veiklai, susijusiai su visa atitinkamų Sąjungos institucijų veikla ir departamentais, vykdyti;
(3)
tarnyba pataria kitiems Komisijos departamentams, vykdomosioms įstaigoms, Sąjungos decentralizuotoms agentūroms ir kitoms autonominėms įstaigoms, kurios gauna įnašų iš Sąjungos biudžeto, kaip valdyti riziką, t. y. bet kurį įvykį ar problemą, kurie galėtų kilti ir sukliudyti pasiekti Komisijos politinius, strateginius ir veiklos tikslus: tuo tikslu ji teikia nepriklausomas nuomones dėl valdymo ir kontrolės sistemų kokybės ir rekomendacijas, kaip patobulinti operacijų vykdymo sąlygas ir skatinti patikimą finansų valdymą, pagal Reglamento (ES, Euratomas) 2018/1046 117–123 straipsnius. Taigi paprastai fiziniai asmenys nėra tarybos vidaus audito veiklos objektas. Vis dėlto jai vykdant veiklą neišvengiamai tvarkomi asmens duomenys, kaip apibrėžta Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 (3) 3 straipsnio 1 dalyje. Vykdydama vidaus audito veiklą tarnyba atlieka vidaus valdymo sistemų tinkamumo bei efektyvumo ir departamentų veiklos įgyvendinant įvairių krypčių politiką, programas ir veiksmus rezultatų vertinimą, taip pat vidaus kontrolės ir audito sistemų, taikytinų kiekvienai biudžeto vykdymo operacijai, veiksmingumo ir efektyvumo vertinimą. Todėl ta veikla padeda užtikrinti svarbių Sąjungos ir valstybių narių ekonominių ir finansinių interesų apsaugą. Tarnyba yra duomenų tvarkymo operacijų, kurias ji vykdo pagal Finansinio reglamento 118 straipsnį ir 119 straipsnio 2 dalį, duomenų valdytoja;
(4)
Komisijoje ir jos vykdomosiose įstaigose, taip pat Sąjungos decentralizuotose agentūrose ir kitose autonominėse įstaigose vykdomos vidaus audito veiklos forma ir turinys skiriasi ir įvairuoja nuo patikinimo (įskaitant rizikos vertinimą) ir konsultavimo užduočių iki ribotos apimties peržiūros ir pažangos stebėjimo užduočių;
(5)
Audito pažangos komitetas, vadovaujantis jo 2018 m. lapkričio 21 d. atnaujintu užduočių aprašu (C(2018) 7707), yra patariamasis organas (4), padedantis Komisijai vykdyti Sutartyse ir kituose įstatymo lydimuosiuose teisės aktuose [Reglamentas (ES, Euratomas) 2018/1046] numatytus įpareigojimus, užtikrindamas Vidaus audito tarnybos nepriklausomumą, stebėdamas vidaus audito darbo kokybę ir užtikrindamas, kad Komisijos tarnybos tinkamai atsižvelgtų į vidaus ir išorės audito rekomendacijas ir gautų informaciją apie padarytą pažangą. Taip Audito pažangos komitetas padeda apskritai toliau didinti Komisijos veiksmingumą ir efektyvumą siekiant tikslų ir sudaro geresnes sąlygas kolegijai vykdyti Komisijos valdymo, rizikos valdymo ir vidaus kontrolės praktikos priežiūrą. Audito pažangos komitetas yra duomenų tvarkymo operacijos (-ų), kurią (-ias) jis vykdo pagal Finansinio reglamento 123 straipsnį, duomenų valdytojas;
(6)
vykdydama veiklą pagal Reglamento (ES, Euratomas) 2018/1046 118 straipsnį ir 119 straipsnio 2 dalį, nesvarbu, ar savo iniciatyva, ar remdamasi gauta informacija, Komisija tvarko iš juridinių asmenų, fizinių asmenų, valstybių narių ir tarptautinių įstaigų bei organizacijų įgytus arba gautus asmens duomenis. Vykdydama tokią vidaus audito veiklą tarnyba taip pat gali tvarkyti iš viešai prieinamų šaltinių, anoniminių šaltinių arba identifikuotų šaltinių, kurių tapatybę reikia apsaugoti, įgytus arba gautus asmens duomenis;
(7)
savo ruožtu Komisija gali keistis asmens duomenimis su Sąjungos institucijomis, įstaigomis, organais ir agentūromis, valstybių narių kompetentingomis institucijomis ir pagal Komisijos atitinkamus tarptautinius ar bendradarbiavimo susitarimus su trečiosiomis šalimis bei tarptautinėmis organizacijomis;
(8)
vykdant vidaus audito veiklą, asmens duomenų tvarkymo veikla, kaip apibrėžta Reglamento (ES) 2018/1725 3 straipsnio 3 punkte, gali būti vykdoma dar iki Komisijai oficialiai pradedant audito veiklą, tęstis visą audito veiklos vykdymo laikotarpį ir trukti net po oficialaus audito veiklos užbaigimo (pavyzdžiui, dėl rekomendacijų įgyvendinimo stebėjimo, poreikio inicijuoti naujus vidaus audito veiksmus);
(9)
Komisijos tvarkomų asmens duomenų kategorijos yra, be kita ko, tapatybės duomenys, kontaktiniai duomenys, profesiniai duomenys ir duomenys, susiję su veiklos dalyku arba pateikti dėl jų sąsajų su tuo dalyku. Šių kategorijų asmens duomenys saugomi saugioje elektroninėje aplinkoje, kad būtų užkirstas kelias neteisėtai prieigai prie duomenų arba jų perdavimui asmenims, kuriems jų nebūtina žinoti. Asmens duomenys saugomi ne ilgiau nei dešimt metų. Pasibaigus saugojimo terminui, su vidaus audito veikla susijusi informacija, kurioje yra asmens duomenų, perduodama į Komisijos istorinį archyvą (5) arba sunaikinama;
(10)
vykdydama vidaus audito veiklą Komisija privalo paisyti fizinių asmenų teisių, susijusių su asmens duomenų tvarkymu, kaip pripažįstama Europos Sąjungos pagrindinių teisių chartijos 8 straipsnio 1 dalyje ir Sutarties 16 straipsnio 1 dalyje, taip pat Reglamente (ES) 2018/1725 numatytų teisių. Be to, Komisija privalo laikytis griežtų konfidencialumo taisyklių, nurodytų tarptautiniuose vidaus audito standartuose, pagal Reglamento (ES, Euratomas) 2018/1046 117 straipsnį;
(11)
tam tikromis aplinkybėmis duomenų subjektų teises pagal Reglamentą (ES) 2018/1725 būtina suderinti su vidaus audito veiklos poreikiais ir informacijos mainams su fiziniais ir juridiniais asmenimis taikomais konfidencialumo reikalavimais, taip pat visapusiškai paisyti kitų duomenų subjektų pagrindinių teisių ir laisvių. Tuo tikslu Reglamento (ES) 2018/1725 25 straipsnio 1 dalies c, g ir h punktuose numatyta galimybė tarnybai apriboti 14–17, 19, 20 ir 35 straipsnių, taip pat 4 straipsnio 1 dalies a punkte nustatyto skaidrumo principo taikymą tiek, kiek jo nuostatos atitinka to reglamento 14–17, 19, 20 ir 35 straipsniuose nustatytas teises ir pareigas;
(12)
norint užtikrinti, kad vidaus audito veikla būtų vykdoma veiksmingai ir kartu laikantis asmens duomenų apsaugos standartų pagal Reglamentą (ES) 2018/1725, kuriuo pakeistas Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 (6), būtina priimti vidaus taisykles, pagal kurias Komisija galėtų apriboti duomenų subjektų teises pagal Reglamento (ES) 2018/1725 25 straipsnio 1 dalies c, g ir h punktus;
(13)
vidaus taisyklės turėtų būti taikomos visoms duomenų tvarkymo operacijoms, kurias Komisija atlieka vykdydama vidaus audito veiklą, nesvarbu, ar savo iniciatyva, ar remdamasi gauta informacija, kai duomenų subjektų teisių įgyvendinimas galėtų kelti grėsmę vidaus audito veiklos vykdymui. Tos taisyklės turėtų būti taikomos duomenų tvarkymo operacijoms, atliekamoms prieš oficialiai pradedant audito užduotį, vykdant audito užduotį ir stebint jos išvadų įgyvendinimą;
(14)
siekdama laikytis Reglamento (ES) 2018/1725 14, 15 ir 16 straipsnių, Komisija turėtų skaidriai ir nuosekliai informuoti visus fizinius asmenis apie savo veiklą, kurią vykdant tvarkomi jų asmens duomenys, ir jų teises, savo interneto svetainėje skelbdama duomenų apsaugos pranešimą. Kai būtina, Komisija turėtų imtis papildomų apsaugos priemonių siekdama užtikrinti, kad duomenų subjektai būtų individualiai informuoti tinkamu būdu;
(15)
remdamasi Reglamento (ES) 2018/1725 25 straipsniu, Komisija taip pat gali apriboti informacijos teikimą duomenų subjektams ir jų galimybę naudotis kitomis teisėmis, kad būtų užtikrinta jos vidaus audito veiklos, valstybių narių valdžios institucijų auditų, audito priemonių ir metodų, taip pat kitų su jos vidaus audito veikla susijusių asmenų teisių apsauga;
(16)
be to, siekiant išlaikyti veiksmingą bendradarbiavimą, Komisijai gali prireikti apriboti duomenų subjektų teisių taikymą, kad būtų užtikrinta kitų Komisijos tarnybų ar Sąjungos institucijų, įstaigų, organų ir agentūrų arba valstybių narių valdžios institucijų, tarptautinių organizacijų ir Audito pažangos komiteto atliekamų duomenų tvarkymo operacijų apsauga. Tuo tikslu Komisija turėtų konsultuotis su tomis tarnybomis, institucijomis, įstaigomis, organais, agentūromis, valdžios institucijomis ir organizacijomis, taip pat su Audito pažangos komitetu dėl atitinkamų apribojimų taikymo pagrindų ir būtinybės taikyti apribojimus bei jų proporcingumo;
(17)
kiek tai susiję su asmens duomenimis, gautais iš trečiųjų šalių arba tarptautinių organizacijų, Komisijai taip pat gali tekti apriboti informacijos teikimą duomenų subjektams ir kitų duomenų subjektų teisių taikymą, kad ji galėtų bendradarbiauti su tomis šalimis arba organizacijomis ir taip užtikrinti svarbaus Sąjungos bendrojo viešojo intereso tikslo apsaugą. Tačiau kai kuriomis aplinkybėmis duomenų subjekto interesas arba pagrindinės teisės gali būti viršesni už tarptautinio bendradarbiavimo interesą;
(18)
Komisija turėtų visus apribojimus taikyti skaidriai ir atitinkamoje registracijos sistemoje registruoti kiekvieną apribojimų taikymo atvejį;
(19)
pagal Reglamento (ES) 2018/1725 25 straipsnio 8 dalį duomenų valdytojai gali atidėti informacijos teikimą, jos nepateikti arba atsisakyti ją pateikti dėl to, kad duomenų subjektui taikomas apribojimas, jei tos informacijos pateikimas kokiu nors būdu pakenktų apribojimo tikslui. Tai visų pirma taikytina Reglamento (ES) 2018/1725 16 ir 35 straipsniuose nurodytų teisių apribojimams;
(20)
jei apribojamos kitos duomenų subjektų teisės, Vidaus audito tarnybos duomenų valdytojas turėtų vertinti kiekvieną atvejį atskirai ir nuspręsti, ar pranešus apie tą apribojimą būtų trukdoma pasiekti jo tikslą;
(21)
siekiant užtikrinti šio sprendimo laikymąsi, Europos Komisijos duomenų apsaugos pareigūnas turėtų atlikti nepriklausomą apribojimų taikymo peržiūrą;
(22)
Reglamentą (EB) Nr. 45/2001 Reglamentas (ES) 2018/1725 pakeičia tą dieną, kai jis įsigalioja, nenumačius jokio pereinamojo laikotarpio. Reglamentu (EB) Nr. 45/2001 buvo numatyta galimybė taikyti tam tikrų teisių apribojimus. Kad nebūtų pakenkta vidaus audito veiklos teisėtumui, šis sprendimas turėtų būti taikomas nuo Reglamento (ES) 2018/1725 įsigaliojimo dienos;
(23)
Europos duomenų apsaugos priežiūros pareigūnas nuomonę pateikė 2018 m. lapkričio 27 d.,
PRIĖMĖ ŠĮ SPRENDIMĄ:
1 straipsnis
Dalykas ir taikymo sritis
1.   Šiuo sprendimu nustatomos taisyklės, kurių turi laikytis Komisija, informuodama duomenų subjektus apie jų duomenų tvarkymą pagal Reglamento (ES) 2018/1725 14, 15 ir 16 straipsnius, kai ji vykdo vidaus audito veiklą pagal Reglamento (ES, Euratomas) 2018/1046 117–123 straipsnius.
Juo taip pat nustatomos sąlygos, kuriomis Komisija gali pagal Reglamento (ES) 2018/1725 25 straipsnio 1 dalies c, g ir h punktus apriboti to reglamento 4, 14–17, 19, 20 ir 35 straipsnių taikymą.
2.   Šis sprendimas taikomas asmens duomenų tvarkymui, kurį Komisija atlieka veiklos, kuria ji siekia vykdyti savo užduotis pagal Reglamento (ES, Euratomas) 2018/1046 118 straipsnį ir 119 straipsnio 2 dalį, arba su ja susijusiais tikslais.
3.   Šis sprendimas taikomas asmens duomenų tvarkymui Komisijoje, kai Komisija tvarko asmens duomenis, pateikiamus informacijoje, kurią ji turi tvarkyti šiame straipsnyje nurodytos veiklos arba su ja susijusiais tikslais.
2 straipsnis
Taikytinos išimtys ir apribojimai
1.   Tais atvejais, kai Komisija vykdo savo funkcijas, susijusias su duomenų subjektų teisėmis pagal Reglamentą (ES) 2018/1725, ji įvertina, ar taikoma kuri nors iš tame reglamente nustatytų išimčių.
2.   Pagal šio sprendimo 3–7 straipsnius Komisija gali apriboti Reglamento (ES) 2018/1725 14–17, 19, 20 ir 35 straipsnių, taip pat to reglamento 4 straipsnio 1 dalies a punkte nustatyto skaidrumo principo taikymą tiek, kiek jo nuostatos atitinka to reglamento 14–17, 19, 20 ir 35 straipsniuose nustatytas teises ir pareigas, kai tų teisių ir pareigų įgyvendinimas keltų grėsmę Komisijos veiklos, vykdomos pagal Reglamento (ES, Euratomas) 2018/1046 118 straipsnį ir 119 straipsnio 2 dalį, tikslui, be kita ko, dėl to, kad būtų atskleistos audito priemonės ir metodai, arba darytų neigiamą poveikį kitų duomenų subjektų teisėms ir laisvėms.
3.   Pagal 3–7 straipsnius Komisija gali toliau nurodytomis aplinkybėmis apriboti šio straipsnio 2 dalyje nurodytas teises ir pareigas, susijusias su asmens duomenimis, kurie gauti iš kitų Sąjungos institucijų, įstaigų, organų ir agentūrų, valstybių narių ar trečiųjų šalių kompetentingų institucijų arba tarptautinių organizacijų:
a)
tais atvejais, kai kitos Sąjungos institucijos, įstaigos, organai ir agentūros galėtų apriboti tų teisių ir pareigų įgyvendinimą remdamiesi kitais Reglamento (ES) 2018/1725 25 straipsnyje nurodytais aktais arba pagal to reglamento IX skyrių, Europos Parlamento ir Tarybos reglamentą (ES) 2016/794 (7) ar Tarybos reglamentą (ES) 2017/1939 (8);
b)
tais atvejais, kai valstybių narių kompetentingos institucijos galėtų apriboti tų teisių ir pareigų įgyvendinimą remdamosi Europos Parlamento ir Tarybos reglamento (ES) 2016/679 (9) 23 straipsnyje nurodytais aktais arba pagal nacionalines priemones, kuriomis į nacionalinę teisę perkeliama Europos Parlamento ir Tarybos direktyvos (ES) 2016/680 (10) 13 straipsnio 3 dalis, 15 straipsnio 3 dalis arba 16 straipsnio 3 dalis;
c)
tais atvejais, kai tų teisių ir pareigų įgyvendinimas galėtų kelti grėsmę Komisijos bendradarbiavimui su trečiosiomis šalimis arba tarptautinėmis organizacijomis vykdant vidaus audito veiklą.
Prieš taikydama apribojimus pirmos pastraipos a ir b punktuose nurodytomis aplinkybėmis, Komisija konsultuojasi su atitinkamomis Sąjungos institucijomis, įstaigomis, organais, agentūromis arba valstybių narių kompetentingomis institucijomis, išskyrus atvejus, kai jai yra aišku, kad apribojimo taikymas yra numatytas viename iš tuose punktuose nurodytų aktų, arba kai toks konsultavimasis keltų grėsmę jos veiklai pagal Reglamento (ES, Euratomas) 2018/1046 118 straipsnį ir 119 straipsnio 2 dalį.
Pirmos pastraipos c punktas netaikomas tais atvejais, kai už Komisijos interesą bendradarbiauti su trečiosiomis šalimis arba tarptautine organizacija yra viršesni duomenų subjektų interesai arba pagrindinės teisės ir laisvės.
4.   1, 2 ir 3 dalys nedaro poveikio kitų Komisijos sprendimų, kuriais nustatomos vidaus taisyklės dėl informacijos teikimo duomenų subjektams ir tam tikrų teisių apribojimo pagal Reglamento (ES) 2018/1725 25 straipsnį ir Komisijos darbo tvarkos taisyklių 23 straipsnį, taikymui.
3 straipsnis
Informacijos teikimas duomenų subjektams
Komisija savo interneto svetainėje skelbia duomenų apsaugos pranešimus, kuriais visi duomenų subjektai informuojami apie jos veiklą, kurią vykdant tvarkomi jų asmens duomenys pagal Reglamento (ES, Euratomas) 2018/1046 118 straipsnį ir 119 straipsnio 2 dalį vykdomos veiklos tikslais. Kai būtina, Komisija užtikrina, kad duomenų subjektai būtų individualiai informuoti tinkamu būdu.
Tais atvejais, kai Komisija visiškai ar iš dalies apriboja informacijos teikimą duomenų subjektams, kurių duomenys tvarkomi jos veiklos pagal Reglamento (ES, Euratomas) 2018/1046 118 straipsnį ir 119 straipsnio 2 dalį tikslais, ji pagal 6 straipsnį užfiksuoja ir užregistruoja apribojimo taikymo priežastis.
4 straipsnis
Duomenų subjektų teisė susipažinti su duomenimis, reikalauti juos ištrinti ir apriboti jų tvarkymą
1.   Tais atvejais, kai Komisija visiškai ar iš dalies apriboja atitinkamai Reglamento (ES) 2018/1725 17, 19 ir 20 straipsniuose nurodytą duomenų subjekto teisę susipažinti su asmens duomenimis, teisę reikalauti juos ištrinti arba apriboti jų tvarkymą, ji atsakyme į prašymą leisti susipažinti su duomenimis, juos ištrinti arba apriboti jų tvarkymą informuoja atitinkamą duomenų subjektą apie taikomą apribojimą ir pagrindines jo taikymo priežastis, taip pat apie galimybę pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui arba teismine tvarka apskųsti sprendimą Europos Sąjungos Teisingumo Teismui.
2.   Informacijos apie šio straipsnio 1 dalyje nurodyto apribojimo priežastis teikimas gali būti atidėtas, ji gali būti nepateikiama arba gali būti atsisakyta ją pateikti, jei tai pakenktų apribojimo tikslui.
3.   Komisija pagal šio sprendimo 6 straipsnį užfiksuoja apribojimo taikymo priežastis.
4.   Tais atvejais, kai teisė susipažinti su duomenimis yra visiškai ar iš dalies apribota, duomenų subjektas savo teisę susipažinti su duomenimis įgyvendina pagal Reglamento (ES) 2018/1725 25 straipsnio 6, 7 ir 8 dalis tarpininkaujant Europos duomenų apsaugos priežiūros pareigūnui.
5 straipsnis
Pranešimas duomenų subjektams apie asmens duomenų saugumo pažeidimus
Tais atvejais, kai Komisija apriboja pranešimą duomenų subjektui apie asmens duomenų saugumo pažeidimus, kaip nurodyta Reglamento (ES) 2018/1725 35 straipsnyje, ji pagal šio sprendimo 6 straipsnį užfiksuoja ir užregistruoja apribojimo taikymo priežastis.
6 straipsnis
Apribojimų fiksavimas ir registravimas
Komisija fiksuoja bet kokio apribojimo taikymo pagal šį sprendimą priežastis, įskaitant būtinybės taikyti apribojimą ir jo taikymo proporcingumo vertinimą, atsižvelgdama į atitinkamus Reglamento (ES) 2018/1725 25 straipsnio 2 dalyje nurodytus elementus.
Tuo tikslu įraše nurodoma, kaip teisės įgyvendinimas keltų grėsmę Komisijos veiklos, vykdomos pagal Reglamento (ES, Euratomas) 2018/1046 118 straipsnį ir 119 straipsnio 2 dalį, ar pagal 2 straipsnio 2 ar 3 dalį taikomų apribojimų tikslui arba darytų neigiamą poveikį kitų duomenų subjektų teisėms ir laisvėms.
Įrašas ir atitinkamais atvejais dokumentai, kuriais grindžiamos pagrindinės faktinės ir teisinės aplinkybės, užregistruojami. Europos duomenų apsaugos priežiūros pareigūno prašymu jie pateikiami jam susipažinti.
7 straipsnis
Apribojimų trukmė
1.   Šio sprendimo 3, 4 ir 5 straipsniuose nurodyti apribojimai toliau taikomi tol, kol neišnyksta juos pagrindžiančios priežastys.
2.   Tais atvejais, kai išnyksta šio sprendimo 3 arba 5 straipsnyje nurodyto apribojimo taikymo priežastys, Komisija panaikina apribojimus ir duomenų subjektui nurodo pagrindines apribojimo taikymo priežastis. Kartu Komisija informuoja duomenų subjektą apie galimybę bet kuriuo metu pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui arba teismine tvarka apskųsti sprendimą Europos Sąjungos Teisingumo Teismui.
3.   Komisija peržiūri šio sprendimo 3 ir 5 straipsniuose nurodyto apribojimo taikymą kas šešis mėnesius nuo jo nustatymo ir prieš užbaigdama atitinkamą vidaus audito veiklą ir ją užbaigusi. Vėliau Komisija kasmet atlieka stebėseną dėl poreikio toliau taikyti apribojimą ir (arba) atidėjimą.
8 straipsnis
Europos Komisijos duomenų apsaugos pareigūno atliekama peržiūra
Kiekvienu atveju, kai pagal šį sprendimą apribojamos duomenų subjektų teisės, apie tai nepagrįstai nedelsiant informuojamas Europos Komisijos duomenų apsaugos pareigūnas. Duomenų apsaugos pareigūno prašymu jam suteikiama galimybė susipažinti su įrašais ir visais dokumentais, kuriais grindžiamos pagrindinės faktinės ir teisinės aplinkybės.
Duomenų apsaugos pareigūnas gali prašyti peržiūrėti apribojimų taikymą. Duomenų apsaugos pareigūnas raštu informuojamas apie prašomos peržiūros rezultatus.
9 straipsnis
Įsigaliojimas
Šis sprendimas įsigalioja jo paskelbimo Europos Sąjungos oficialiajame leidinyje dieną.
Jis taikomas nuo 2018 m. gruodžio 11 d.
Priimta Briuselyje 2018 m. gruodžio 11 d.
Komisijos vardu
Pirmininkas
Jean-Claude JUNCKER
(1)  2018 m. liepos 18 d. Europos Parlamento ir Tarybos reglamentas (ES, Euratomas) 2018/1046 dėl Sąjungos bendrajam biudžetui taikomų finansinių taisyklių, kuriuo iš dalies keičiami reglamentai (ES) Nr. 1296/2013, (ES) Nr. 1301/2013, (ES) Nr. 1303/2013, (ES) Nr. 1304/2013, (ES) Nr. 1309/2013, (ES) Nr. 1316/2013, (ES) Nr. 223/2014, (ES) Nr. 283/2014 ir Sprendimas Nr. 541/2014/ES, bei panaikinamas Reglamentas (ES, Euratomas) Nr. 966/2012 (OL L 193, 2018 7 30, p. 1).
(2)  COM(2017) 4435 final.
(3)  2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentas (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB (OL L 295, 2018 11 21, p. 39).
(4)  Įsteigtas 2000 m. spalio mėn., SEC(2000)1808/3.
(5)  Komisijos bylų saugojimą reglamentuoja Bendrasis bylų saugojimo terminų sąrašas – norminis dokumentas (paskutinė jo versija – SEC(2012) 713), kuriame nustatyti įvairių rūšių Komisijos bylų saugojimo terminai.
(6)  2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos reglamentas (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo (OL L 8, 2001 1 12, p. 1).
(7)  2016 m. gegužės 11 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/794 dėl Europos Sąjungos teisėsaugos bendradarbiavimo agentūros (Europolo), kuriuo pakeičiami ir panaikinami Tarybos sprendimai 2009/371/TVR, 2009/934/TVR, 2009/935/TVR, 2009/936/TVR ir 2009/968/TVR (OL L 135, 2016 5 24, p. 53).
(8)  2017 m. spalio 12 d. Tarybos reglamentas (ES) 2017/1939, kuriuo įgyvendinamas tvirtesnis bendradarbiavimas Europos prokuratūros įsteigimo srityje (OL L 283, 2017 10 31, p. 1).
(9)  2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016 5 4, p. 1).
(10)  2016 m. balandžio 27 d. Europos Parlamento ir Tarybos direktyva (ES) 2016/680 dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo, kuria panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR (OL L 119, 2016 5 4, p. 89).

Summary:
Duomenų subjektų teisių apribojimai. Komisijos vidaus taisyklės
Duomenų subjektų teisių apribojimai. Komisijos vidaus taisyklės
 
DOKUMENTAI, KURIŲ SANTRAUKA PATEIKIAMA:
Komisijos sprendimas (ES) 2018/1927 dėl Komisijos atliekamo asmens duomenų tvarkymo konkurencijos srityje vidaus taisyklių, susijusių su informacijos teikimu duomenų subjektams ir tam tikrų teisių ribojimu
Komisijos sprendimas (ES) 2018/1961, kuriuo dėl vidaus audito nustatomos informacijos teikimo duomenų subjektams ir tam tikrų jų teisių ribojimo tvarkant asmens duomenis vidaus taisyklės
Komisijos sprendimas (ES) 2018/1962 dėl Europos kovos su sukčiavimu tarnybos (OLAF) atliekamo asmens duomenų tvarkymo vidaus taisyklių, susijusių su informacijos teikimu duomenų subjektams ir tam tikrų jų teisių ribojimu
Komisijos sprendimas (ES) 2018/1996 dėl informacijos teikimo duomenų subjektams ir tam tikrų jų teisių apribojimo tvarkant asmens duomenis prekybos apsaugos ir prekybos politikos tyrimų tikslais vidaus taisyklių
Komisijos sprendimas (ES) 2019/154 dėl vidaus taisyklių, susijusių su duomenų subjektų teisės susipažinti su savo medicininėmis bylomis apribojimu
Komisijos sprendimas (ES) 2019/165 dėl Europos Komisijos atliekamo informacijos teikimo duomenų subjektams ir tam tikrų jų duomenų apsaugos teisių ribojimo vidaus taisyklių, taikomų vykdant administracinius tyrimus, preliminarias drausmines, drausmines ar laikino nušalinimo procedūras
Komisijos sprendimas (ES) 2019/236, kuriuo dėl ES institucijų vidaus saugumo nustatomos informacijos teikimo duomenų subjektams ir tam tikrų jų teisių ribojimo Komisijai tvarkant asmens duomenis vidaus taisyklės
KOKS ŠIŲ SPRENDIMŲ TIKSLAS?
Šiais sprendimais nustatomos vidaus taisyklės, kuriomis remdamasi Europos Komisija gali apriboti asmenų teises, kurias jie turi pagal Reglamentą (ES) 2018/1725. Vidaus taisyklės taikomos asmens duomenų tvarkymui konkrečiose srityse ir konkrečiais tikslais.
PAGRINDINIAI ASPEKTAI
Asmens duomenys yra informacija, susijusi su fiziniu asmeniu, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti („duomenų subjektas“). Fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai ar netiesiogiai galima nustatyti, visų pirma pagal identifikatorių (kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių) arba pagal vieną ar kelias to asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius.
Naująją ES teisinę sistemą dėl asmens duomenų apsaugos ir laisvo judėjimo visų pirma sudaro:Bendrasis duomenų apsaugos reglamentas (BDAR), kuriuo nustatomos asmenų teisės, susijusios su jų asmens duomenimis, suteikiama apsauga, kai asmens duomenys tvarkomi ES šalyse, ir užtikrinamas laisvas tokių duomenų judėjimas;  Reglamentas (ES) 2018/1725, kuriuo nustatomos asmenų teisės, susijusios su jų asmens duomenimis, suteikiama apsauga ES institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir užtikrinamas laisvas tokių duomenų judėjimas.  Šie reglamentai laikomi lygiaverčiais ir turi būti aiškinami vienodai.
Reglamento (ES) 2018/1725 25 straipsnyje numatoma galimybė tam tikrais atvejais ES institucijoms ir organams apriboti asmenų teises, jei tokie apribojimai yra nustatyti ES teisės aktuose. Atsižvelgdama į tai, Komisija priėmė septynis Komisijos sprendimus, kuriais grindžiami galimi apribojimai, siekiant apsaugoti svarbius bendrojo ES intereso tikslus.
Remdamasi šiais sprendimais ir kiekvienu konkrečiu atveju įvertinusi apribojimų būtinumą bei proporcingumą, Europos Komisija nusprendžia, ar konkrečiu atveju reikėtų apriboti asmens teises.
Gali būti apribotos šios asmens teisės:teisė gauti informaciją apie:savo asmens duomenų tvarkymą,asmens duomenų saugumo pažeidimus, kurie gali sukelti didelį pavojų jo teisėms ir laisvėms;  teisė susipažinti su savo asmens duomenimis, reikalauti juos ištrinti arba apriboti jų tvarkymą.  Visi septyni Komisijos sprendimai yra panašūs, kiekvienas iš jų apima kai kuriuos arba visus toliau nurodytus elementus.Dalykas ir taikymo sritis Reikalavimas kiekvienu konkrečiu atveju vertinti kiekvieną duomenų subjekto prašymą.    Taikytinos išimtys ir (arba) apribojimai Prieš taikydama apribojimą, Komisija pirmiausia turi išnagrinėti, ar taikomos tam tikros duomenų subjektų teisių išimtys, nustatytos Reglamente (ES) 2018/1725.    Informacijos teikimas duomenų subjektams Komisija savo interneto svetainėje turi skelbti duomenų apsaugos pranešimus, kuriais visi duomenų subjektai informuojami apie duomenų tvarkymo veiklą atitinkamoje srityje.  Komisija turi tinkama forma asmeniškai informuoti asmenį, kuriam turi poveikio vykdomas tyrimas ar atitinkamose srityse taikoma priemonė.    Duomenų subjekto teisė susipažinti su duomenimis, reikalauti juos ištrinti ir apriboti jų tvarkymą Jei Komisija riboja galimybę susipažinti su asmens duomenimis, teisę reikalauti juos ištrinti ir (arba) apriboti jų tvarkymą, ji turi informuoti atitinkamą duomenų subjektą apie taikomą apribojimą, pagrindines jo taikymo priežastis ir galimybę pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui arba kreiptis į Europos Sąjungos Teisingumo Teismą.    Apribojimų fiksavimas ir registravimas Komisija turi fiksuoti bet kokio apribojimo taikymo priežastis, įskaitant būtinybės taikyti apribojimą ir jo taikymo proporcingumo vertinimą.    Apribojimų trukmė Apribojimai toliau taikomi tol, kol neišnyksta juos pagrindžiančios priežastys.    Europos Komisijos duomenų apsaugos pareigūno (DAP) atliekamas patikrinimas Kiekvienu atveju, kai apribojamos duomenų subjektų teisės, apie tai be reikalo nedelsiant turi būti informuotas DAP.  DAP prašymu jam turi būti suteikta galimybė susipažinti su įrašais ir visais dokumentais, kuriais grindžiamos pagrindinės faktinės ir teisinės aplinkybės.  DAP gali prašyti peržiūrėti apribojimo taikymą. DAP turi būti informuotas apie prašomos peržiūros rezultatus.    Septyni Komisijos sprendimai apima duomenų subjektų apribojimą toliau nurodytose srityse.ES institucijų vidaus saugumas Taikoma asmens duomenų tvarkymui, siekiant užtikrinti asmenų, turto ir informacijos saugumą Komisijoje.  Komisija turi asmeniškai informuoti su saugumo tyrimu susijusius asmenis ir liudytojus apie jų asmens duomenų tvarkymą.  Be to, Komisija turi asmeniškai informuoti duomenų subjektus, kurių duomenys tvarkomi atliekant saugumo patikrinimus pagal Komisijos sprendimo (ES, Euratomas) 2015/443 7 straipsnio 5 dalį.  Ji taip pat turi asmeniškai informuoti asmenis, kurių duomenys yra tvarkomi, vykdant Komisijos patalpų kratas ir ryšių bei informacinių sistemų ir įrangos patikras.    Administraciniai tyrimai, preliminarios drausminės, drausminės ir laikino nušalinimo procedūros Teisės ir prievolės pagal Reglamentą (ES) 2018/1725 gali būti apribotos, jei kiltų pavojus administracinių tyrimų, preliminarių drausminių, drausminių ar laikino nušalinimo procedūrų tikslams ar būtų daromas neigiamas poveikis kitų duomenų subjektų teisėms ir laisvėms.    Asmens medicininiai duomenys Komisija gali kiekvienu konkrečiu atveju apriboti duomenų subjektų teisę tiesiogiai susipažinti su savo psichologinės būsenos ar psichinės sveikatos medicininiais duomenimis, jei tikėtina, kad susipažinimas su tokiais duomenimis kels pavojų duomenų subjekto sveikatai.  Šis apribojimas proporcingas tam, kas tikrai būtina duomenų subjektui apsaugoti.    Prekybos apsaugos ir prekybos politikos tyrimai Teisės ir prievolės pagal Reglamentą (ES) 2018/1725 gali būti apribotos, jei naudojantis tomis teisėmis ir prievolėmis kiltų pavojus Komisijos prekybos politikos ir prekybos apsaugos veiksmų tikslams ar būtų daromas neigiamas poveikis kitų duomenų subjektų teisėms ir laisvėms.    Europos kovos su sukčiavimu tarnyba (OLAF) Taikoma OLAF vykdomai asmens duomenų tvarkymo veiklai (taip pat Komisijos tarnybų ir vykdomųjų įstaigų tvarkomiems duomenims, kuriuos reikia perduoti OLAF), kad ji galėtų vykdyti savo užduotis.  OLAF tyrimai yra visiškai nepriklausomi nuo Komisijos.  OLAF sprendžia, ar turėtų būti taikomos duomenų subjektų teisių išimtys.  OLAF savo interneto svetainėje skelbia duomenų apsaugos pranešimus, kuriais duomenų subjektai informuojami apie jos veiklą, kurią vykdant tvarkomi jų asmens duomenys.  OLAF DAP peržiūri bet kokius duomenų subjektų teisių apribojimus.    Vidaus auditas Teisės ir prievolės pagal Reglamentą (ES) 2018/1725 gali būti apribotos duomenų tvarkymo operacijų, kurias Komisija atlieka vykdydama vidaus audito veiklą, metu, jei duomenų subjektų teisių ir pareigų įgyvendinimas keltų grėsmę vidaus auditui, be kita ko, dėl to būtų atskleistos audito priemonės ir metodai, arba darytų neigiamą poveikį kitų duomenų subjektų teisėms ir laisvėms.  Be to, Komisijai gali prireikti apriboti duomenų subjektų teisių taikymą, kad būtų užtikrinta Komisijos tarnybų ar kitų Sąjungos institucijų, įstaigų, organų ir agentūrų arba valstybių narių valdžios institucijų, tarptautinių organizacijų ir Audito pažangos komiteto atliekamų duomenų tvarkymo operacijų apsauga.  Komisija informuoja asmenis apie savo vidaus audito veiklą, kurią vykdant tvarkomi jų asmens duomenys, ir jų teises savo interneto svetainėje skelbdama duomenų apsaugos pranešimą. Kai būtina, Komisija užtikrina, kad duomenų subjektai būtų asmeniškai informuoti tinkamu būdu.    Konkurencija Teisės ir prievolės pagal Reglamentą (ES) 2018/1725 gali būti apribotos, jei tų teisių ir pareigų įgyvendinimas keltų grėsmę Komisijos tyrimo ir vykdymo užtikrinimo veiklos tikslui, be kita ko, dėl to, kad būtų atskleistos tyrimo priemonės ir metodai, arba darytų neigiamą poveikį kitų duomenų subjektų teisėms ir laisvėms.    
NUO KADA TAIKOMI ŠIE SPRENDIMAI?
Sprendimai (ES) 2018/1927, (ES) 2018/1961, (ES) 2018/1962, (ES) 2018/1996 ir (ES) 2019/154 taikomi nuo 2018 m. gruodžio 11 d.  Sprendimas (ES) 2019/165 taikomas nuo 2019 m. vasario 7 d.  Sprendimas (ES) 2019/236 taikomas nuo 2019 m. vasario 11 d.  
KONTEKSTAS
Daugiau informacijos žr.:2018 m. duomenų apsaugos taisyklių reforma (Europos Komisija).  
PAGRINDINIAI DOKUMENTAI
2018 m. gruodžio 5 d. Komisijos sprendimas (ES) 2018/1927, kuriuo nustatomos Europos Komisijos atliekamo asmens duomenų tvarkymo konkurencijos srityje vidaus taisyklės, susijusios su informacijos teikimu duomenų subjektams ir tam tikrų teisių ribojimu (OL L 313, 2018 12 10, p. 39–44)
2018 m. gruodžio 11 d. Komisijos sprendimas (ES) 2018/1961, kuriuo nustatomos informacijos teikimo duomenų subjektams ir tam tikrų teisių ribojimo vidaus taisyklės, susijusios su asmens duomenų tvarkymu vykdant vidaus audito veiklą (OL L 315, 2018 12 12, p. 35–40)
2018 m. gruodžio 11 d. Komisijos sprendimas (ES) 2018/1962, kuriuo nustatomos Europos kovos su sukčiavimu tarnybos (OLAF) atliekamo asmens duomenų tvarkymo taisyklės, susijusios su informacijos teikimu duomenų subjektams ir tam tikrų jų teisių ribojimu pagal Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 25 straipsnį (OL L 315, 2018 12 12, p. 41–46)
2018 m. gruodžio 14 d. Komisijos sprendimas (ES) 2018/1996, kuriuo nustatomos informacijos teikimo duomenų subjektams ir tam tikrų jų teisių apribojimo tvarkant asmens duomenis prekybos apsaugos ir prekybos politikos tyrimų tikslais vidaus taisyklės (OL L 320, 2018 12 17, p. 40–44)
2019 m. sausio 30 d. Komisijos sprendimas (ES) 2019/154, kuriuo nustatomos vidaus taisyklės, susijusios su duomenų subjektų teisės susipažinti su savo medicininėmis bylomis apribojimu (OL L 27, 2019 1 31, p. 33–35)
2019 m. vasario 1 d. Komisijos sprendimas (ES) 2019/165, kuriuo nustatomos Europos Komisijos atliekamo informacijos teikimo duomenų subjektams ir tam tikrų jų duomenų apsaugos teisių ribojimo vidaus taisyklės, taikomos vykdant administracinius tyrimus, preliminarias drausmines, drausmines ar laikino nušalinimo procedūras (OL L 32, 2019 2 4, p. 9–13)
2019 m. vasario 7 d. Komisijos sprendimas (ES) 2019/236, kuriuo dėl Sąjungos institucijų vidaus saugumo nustatomos informacijos teikimo duomenų subjektams ir tam tikrų jų teisių ribojimo Europos Komisijai tvarkant asmens duomenis vidaus taisyklės (OL L 37, 2019 2 8, p. 144–149)
SUSIJĘ DOKUMENTAI
Europos Komisijai taikomi teisės aktai:
2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentas (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB (OL L 295, 2018 11 21, p. 39–98)
2017 m. sausio 10 d. Komisijos sprendimas (ES, Euratomas) 2017/46 dėl Europos Komisijos ryšių ir informacinių sistemų saugumo (OL L 6, 2017 1 11, p. 40–51)
Sprendimo (ES, Euratomas) 2017/46 paskesni daliniai pakeitimai ir pataisos buvo įterpti į pradinį dokumentą. Ši konsoliduota versija yra skirta tik informacijai.
2015 m. kovo 13 d. Komisijos sprendimas (ES, Euratomas) 2015/443 dėl saugumo Komisijoje (OL L 72, 2015 3 17, p. 41–52)
ES šalims taikomi teisės aktai:
2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016 5 4, p. 1–88)
Žr. konsoliduotą versiją.
2016 m. balandžio 27 d. Europos Parlamento ir Tarybos direktyva (ES) 2016/680 dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo, ir kuriuo panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR (OL L 119, 2016 5 4, p. 89–131)
Žr. konsoliduotą versiją.
paskutinis atnaujinimas 03.04.2019