Document ID: 32018D1961

Reference:
12.12.2018
RO
Jurnalul Oficial al Uniunii Europene
L 315/35
DECIZIA (UE) 2018/1961 A COMISIEI
din 11 decembrie 2018
de stabilire a unor norme interne privind furnizarea de informații persoanelor vizate și de restricționare a unor drepturi ale acestora în contextul prelucrării datelor cu caracter personal în scopul activităților de audit intern
COMISIA,
având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 249 alineatul (1),
întrucât:
(1)
Regulamentul (UE, Euratom) 2018/1046 al Parlamentului European și al Consiliului (1) prevede obligația ca fiecare instituție a Uniunii să instituie o funcție de audit intern care trebuie exercitată cu respectarea standardelor internaționale relevante. În cadrul Comisiei, activitățile de audit intern le efectuează Serviciul de Audit Intern (denumit în continuare „serviciul”), care a fost instituit la 11 aprilie 2000. Serviciul desfășoară activități de audit intern și în cadrul agențiilor descentralizate ale Uniunii și al altor organisme autonome care beneficiază de contribuții de la bugetul Uniunii.
(2)
Serviciul își desfășoară activitățile de audit intern în conformitate cu articolele 117123 din Regulamentul (UE, Euratom) 2018/1046 și cu carta misiunii acestuia (2). În acest sens, serviciul este complet independent și are acces deplin și nelimitat la toate informațiile de care are nevoie pentru a-și desfășura activitățile de audit intern în legătură cu toate activitățile și departamentele instituției Uniunii în cauză.
(3)
Serviciul oferă consultanță altor departamente ale Comisiei, agențiilor executive, agențiilor descentralizate ale Uniunii și altor organe autonome care beneficiază de contribuții de la bugetul Uniunii cu privire la modul de abordare a riscurilor, respectiv orice eveniment sau problemă care ar putea apărea și care ar putea avea un impact negativ asupra realizării obiectivelor politice, strategice și operaționale ale Comisiei, prin emiterea de avize independente privind calitatea sistemelor de gestiune și control și prin emiterea de recomandări pentru îmbunătățirea condițiilor de aplicare a operațiunilor și pentru promovarea bunei gestiuni financiare, în conformitate cu articolele 117-123 din Regulamentul (UE, Euratom) 2018/1046. Prin urmare, activitățile de audit intern ale serviciului nu vizează, de obicei, persoane fizice. Cu toate acestea, în cursul activităților sale, serviciul prelucrează, în mod inevitabil, date cu caracter personal în sensul articolului 3 alineatul (1) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (3). Activitățile de audit intern pe care le desfășoară serviciul implică evaluarea caracterului adecvat și a eficacității sistemelor interne de gestiune și a rezultatelor departamentelor în punerea în aplicare a politicilor, a programelor și a acțiunilor, a eficienței și a eficacității sistemelor interne de control și audit aplicabile oricărei operațiuni de execuție bugetară. Prin urmare, activitățile de audit intern contribuie la protejarea intereselor economice și financiare importante ale Uniunii și ale statelor membre. Serviciul are funcția de operator în ceea ce privește operațiunile de prelucrare pe care le desfășoară în conformitate cu articolul 118 și cu articolul 119 alineatul (2) din Regulamentul financiar.
(4)
Activitățile de audit intern efectuate în cadrul Comisiei și al agențiilor sale executive, precum și în cadrul agențiilor descentralizate ale Uniunii și al altor organe autonome variază, în ceea ce privește forma și conținutul, de la misiuni de asigurare (inclusiv evaluări ale riscurilor) și de consultanță, la analize restrânse și misiuni de examinare a măsurilor luate în urma auditurilor.
(5)
Comitetul de monitorizare a auditurilor, în conformitate cu Carta misiunii acestuia, actualizată la 21 noiembrie 2018 [C(2018) 7707], este un organism consultativ (4) care asistă Comisia în îndeplinirea obligațiilor care îi revin în temeiul tratatelor și al altor instrumente statutare [Regulamentul (UE, Euratom) 2018/1046] prin asigurarea independenței Serviciului de Audit Intern, prin monitorizarea calității activității de audit intern și prin asigurarea faptului că serviciile Comisiei iau în considerare în mod adecvat recomandările de audit intern și extern și că le dau curs în mod corespunzător. Astfel, Comitetul de monitorizare a auditurilor contribuie la ameliorarea globală ulterioară a eficacității și eficienței Comisiei în ceea ce privește atingerea obiectivelor sale și facilitează supravegherea de către colegiu a guvernanței, a gestionării riscurilor și a practicilor de control intern ale Comisiei. Comitetul de monitorizare a auditurilor are funcția de operator în ceea ce privește operațiunea (operațiunile) de prelucrare pe care o (le) desfășoară în conformitate cu articolul 123 din Regulamentul financiar.
(6)
În scopul activităților desfășurate de Comisie în temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046, fie acționând din proprie inițiativă, fie pe baza contribuțiilor primite, Comisia prelucrează datele cu caracter personal dobândite sau primite de la persoane juridice, persoane fizice, state membre, precum și organisme și organizații internaționale. În cursul activităților de audit intern, serviciul ar putea, de asemenea, să prelucreze date cu caracter personal dobândite sau primite din surse aflate la dispoziția publicului, din surse anonime sau din surse identificate a căror identitate trebuie protejată.
(7)
La rândul său, Comisia poate să facă schimb de date cu caracter personal cu instituțiile, organele, oficiile și agențiile Uniunii, cu autoritățile competente ale statelor membre și, în cadrul acordurilor internaționale sau de cooperare relevante încheiate de Comisie cu țări terțe și cu organizații internaționale.
(8)
Activitățile de prelucrare a datelor cu caracter personal, în sensul articolului 3 punctul 3 din Regulamentul (UE) 2018/1725, desfășurate în cadrul activității de audit intern pot avea loc chiar și înainte de inițierea oficială a activității de către Comisie, pot continua pe toată durata derulării activității de audit și se pot derula chiar și după încheierea oficială a activității de audit (de exemplu, pentru a monitoriza punerea în aplicare a recomandărilor sau pentru a evalua necesitatea de a iniția noi activități de audit intern).
(9)
Printre categoriile de date cu caracter personal prelucrate de Comisie se numără: datele de identificare, datele de contact, datele profesionale și datele legate de obiectul de activitate sau corelate cu acesta. Aceste categorii de date cu caracter personal sunt stocate într-un mediu electronic securizat pentru a preveni accesul sau transferul ilegal al datelor către persoane care nu prezintă necesitatea de a cunoaște. Datele cu caracter personal se păstrează pe o perioadă de maximum zece ani. La sfârșitul perioadei de păstrare, informațiile legate de activitatea de audit intern, inclusiv datele cu caracter personal, se transferă în arhivele istorice ale Comisiei (5) sau se distrug.
(10)
În desfășurarea activităților de audit intern, Comisia este obligată să respecte drepturile persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, recunoscute prin articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și prin articolul 16 alineatul (1) din tratat, precum și drepturile prevăzute în Regulamentul (UE) 2018/1725. Totodată, Comisia trebuie să respecte normele stricte în materie de confidențialitate prevăzute în standardele internaționale de audit intern, în conformitate cu articolul 117 din Regulamentul (UE, Euratom) 2018/1046.
(11)
În anumite circumstanțe, este necesar să se reconcilieze drepturile persoanelor vizate prevăzute în Regulamentul (UE) 2018/1725 cu nevoile activităților de audit intern, cu caracterul confidențial al schimburilor de informații cu persoanele fizice și juridice, precum și cu respectarea deplină a drepturilor și libertăților fundamentale ale altor persoane vizate. În acest scop, articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725 oferă serviciului posibilitatea de a restricționa aplicarea articolelor 14-17, 19, 20 și 35, precum și a principiului transparenței prevăzut la articolul 4 alineatul (1) litera (a) – în măsura în care dispozițiile acestuia din urmă corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19, 20 și 35 din respectivul regulament.
(12)
Pentru a asigura eficacitatea activităților de audit intern, respectând totodată standardele în materie de protecție a datelor cu caracter personal prevăzute de Regulamentul (UE) 2018/1725, care a înlocuit Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului (6), este necesar să se adopte norme interne în temeiul cărora Comisia să poată restricționa drepturile persoanelor vizate în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725.
(13)
Normele interne ar trebui să acopere toate operațiunile de prelucrare efectuate de Comisie în cadrul activităților sale de audit intern, fie că aceasta acționează din proprie inițiativă, fie că acționează pe baza contribuțiilor primite, ori de câte ori exercitarea drepturilor persoanelor vizate poate periclita desfășurarea activităților de audit intern. Aceste norme ar trebui să se aplice operațiunilor de prelucrare efectuate înainte de inițierea oficială a unei misiuni, în cursul misiunii, precum și în timpul monitorizării acțiunilor întreprinse pentru a da curs constatărilor misiunii.
(14)
Pentru a se conforma articolelor 14, 15 și 16 din Regulamentul (UE) 2018/1725, Comisia ar trebui să informeze toate persoanele fizice cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal și cu privire la drepturile lor într-un mod transparent și coerent, prin publicarea unui anunț privind protecția datelor pe siteul web al Comisiei. Atunci când este cazul, Comisia ar trebui să aducă garanții suplimentare care să asigure că persoanele vizate sunt informate în mod individual și într-un format adecvat.
(15)
În temeiul articolului 25 din Regulamentul (UE) 2018/1725, Comisia este, de asemenea, în măsură, să restricționeze furnizarea de informații persoanelor vizate și exercitarea altor drepturi ale persoanelor vizate pentru a-și proteja propriile activități de audit intern, auditurile autorităților publice ale statelor membre, instrumentele și metodele de audit, precum și drepturile altor persoane care au legătură cu activitățile sale de audit intern.
(16)
În plus, pentru a menține o cooperare eficace, s-ar putea să fie necesară restricționarea, de către Comisie, a aplicării drepturilor persoanelor vizate pentru a proteja operațiunile de prelucrare ale serviciilor Comisiei sau ale altor instituții, organe, oficii și agenții ale Uniunii sau ale autorităților statelor membre și ale organizațiilor internaționale, precum și ale comitetului de monitorizare a auditurilor. În acest scop, Comisia ar trebui să consulte aceste servicii, instituții, organe, oficii, agenții, autorități și organizații, precum și Comitetul de monitorizare a auditurilor cu privire la motivele relevante pentru impunerea de restricții și la necesitatea și proporționalitatea restricțiilor.
(17)
De asemenea, Comisia ar putea fi nevoită să restricționeze furnizarea de informații persoanelor vizate și aplicarea altor drepturi ale persoanelor vizate în ceea ce privește datele cu caracter personal primite din partea unor țări terțe sau a unor organizații internaționale, pentru a coopera cu aceste țări sau organizații și pentru a proteja astfel un obiectiv important de interes public general al Uniunii. Cu toate acestea, în anumite circumstanțe, interesele sau drepturile fundamentale ale persoanei vizate pot prevala asupra interesului cooperării internaționale.
(18)
Comisia ar trebui să gestioneze toate restricțiile într-un mod transparent și să înregistreze fiecare aplicare a unei restricții în sistemul corespunzător de păstrare a evidențelor.
(19)
În temeiul articolului 25 alineatul (8) din Regulamentul (UE) 2018/1725, operatorii pot să amâne, să omită sau să refuze furnizarea de informații privind motivele aplicării unei restricții persoanei vizate în cazul în care furnizarea acestor informații ar compromite în vreun fel scopul restricției. Este, în special, cazul restricțiilor privind drepturile prevăzute la articolele 16 și 35 din Regulamentul (UE) 2018/1725.
(20)
În cazul în care se aplică o restricționare a altor drepturi ale persoanelor vizate, operatorul Serviciului de Audit Intern ar trebui să evalueze, de la caz la caz, dacă informarea cu privire la restricție ar compromite scopul acesteia.
(21)
Responsabilul cu protecția datelor din cadrul Comisiei Europene ar trebui să efectueze o reexaminare independentă a aplicării restricțiilor, în vederea asigurării conformității cu prezenta decizie.
(22)
Regulamentul (UE) 2018/1725 înlocuiește Regulamentul (CE) nr. 45/2001, fără o perioadă de tranziție, cu începere de la data la care intră în vigoare. Regulamentul (CE) nr. 45/2001 prevedea posibilitatea de a aplica restricții ale anumitor drepturi. Pentru a nu compromite legalitatea activităților de audit intern, prezenta decizie ar trebui să se aplice de la data intrării în vigoare a Regulamentului (UE) 2018/1725.
(23)
Autoritatea Europeană pentru Protecția Datelor a emis un aviz la 27 noiembrie 2018,
ADOPTĂ PREZENTA DECIZIE:
Articolul 1
Obiect și domeniu de aplicare
(1)   Prezenta decizie stabilește normele pe care trebuie să le respecte Comisia pentru a informa persoanele vizate cu privire la prelucrarea datelor lor în conformitate cu articolele 14, 15 și 16 din Regulamentul (UE) 2018/1725, atunci când își desfășoară activitățile de audit intern în conformitate cu articolele 117-123 din Regulamentul (UE, Euratom) 2018/1046.
Aceasta stabilește, de asemenea, condițiile în care Comisia poate restricționa aplicarea articolelor 4, 14-17, 19, 20 și 35 din Regulamentul (UE) 2018/1725, în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h) din respectivul regulament.
(2)   Prezenta decizie se aplică prelucrării datelor cu caracter personal de către Comisie în scopul activităților desfășurate în vederea îndeplinirii sarcinilor sale în temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046 sau în legătură cu aceste activități.
(3)   Prezenta decizie se aplică prelucrării datelor cu caracter personal în cadrul Comisiei, în măsura în care Comisia prelucrează datele cu caracter personal conținute în informațiile pe care este obligată să le prelucreze în scopul activităților menționate în prezentul articol sau în legătură cu acestea.
Articolul 2
Excepții și restricții aplicabile
(1)   În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, Comisia analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul menționat.
(2)   Sub rezerva articolelor 3-7 din prezenta decizie, Comisia poate restricționa aplicarea articolelor 14-17, 19, 20 și 35 din Regulamentul (UE) 2018/1725, precum și a principiului transparenței prevăzut la articolul 4 alineatul (1) litera (a) din regulamentul respectiv – în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19, 20 și 35 din regulamentul în cauză – în cazul în care exercitarea acestor drepturi și obligații ar periclita scopul activităților Comisiei în temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046, inclusiv prin dezvăluirea instrumentelor și a metodelor sale de audit, sau ar afecta drepturile și libertățile altor persoane vizate.
(3)   Sub rezerva articolelor 3-7, Comisia poate restricționa drepturile și obligațiile menționate la prezentul articol alineatul (2) în ceea ce privește datele cu caracter personal obținute de la alte instituții, organisme, agenții și oficii ale Uniunii, de la autorități competente ale statelor membre sau ale țărilor terțe sau de la organizații internaționale, în următoarele circumstanțe:
(a)
în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către alte instituții, organisme, agenții și oficii ale Uniunii, pe baza altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul respectiv ori în conformitate cu Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului (7) sau cu Regulamentul (UE) 2017/1939 al Consiliului (8);
(b)
în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către autoritățile competente ale statelor membre pe baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (9) sau în temeiul unor măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului (10);
(c)
în cazul în care exercitarea acestor drepturi și obligații ar putea periclita cooperarea Comisiei cu țări terțe sau cu organizații internaționale în ceea ce privește desfășurarea activităților de audit intern.
Înainte de a aplica restricții în situațiile menționate la primul paragraf literele (a) și (b), Comisia consultă instituțiile, organismele, agențiile, oficiile relevante ale Uniunii sau autoritățile competente ale statelor membre, cu excepția cazului în care are certitudinea că aplicarea unei restricții este prevăzută de unul dintre actele menționate la literele respective sau că o astfel de consultare ar periclita scopul activităților sale în temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046.
Primul paragraf litera (c) nu se aplică în cazul în care interesele sau drepturile și libertățile fundamentale ale persoanelor vizate prevalează asupra interesului Comisiei de a coopera cu țări terțe sau cu organizații internaționale.
(4)   Alineatele (1), (2) și (3) nu aduc atingere aplicării altor decizii ale Comisiei de stabilire a normelor interne privind furnizarea de informații persoanelor vizate și restricționarea unor drepturi în temeiul articolului 25 din Regulamentul (UE) 2018/1725 și nici aplicării articolului 23 din Regulamentul de procedură al Comisiei.
Articolul 3
Furnizarea de informații persoanelor vizate
Comisia publică pe site-ul său anunțuri privind protecția datelor prin care informează toate persoanele vizate în legătură cu activitățile care implică prelucrarea datelor lor cu caracter personal în scopul desfășurării propriilor sale activități temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046. Atunci când este cazul, Comisia se asigură că persoanele vizate sunt informate în mod individual, într-un format adecvat.
În cazul în care Comisia restricționează, integral sau parțial, furnizarea de informații persoanelor vizate, ale căror date sunt prelucrate în scopul desfășurării propriilor sale activități în temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046, aceasta consemnează și înregistrează motivele restricționării în conformitate cu articolul 6.
Articolul 4
Dreptul de acces al persoanelor vizate, dreptul la ștergerea datelor și dreptul la restricționarea prelucrării
(1)   În cazul în care restricționează, integral sau parțial, dreptul de acces la datele personale al persoanelor vizate, dreptul la ștergerea datelor sau dreptul la restricționarea prelucrării menționate la articolele 17, 19 și, respectiv, 20 din Regulamentul (UE) 2018/1725, Comisia informează persoana vizată – în răspunsul său la cererea acesteia privind accesul, ștergerea sau restricționarea prelucrării – cu privire la restricția aplicată și la principalele motive ale acesteia, precum și cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.
(2)   Furnizarea de informații cu privire la motivele restricției menționate la alineatul (1) al prezentului articol poate fi amânată, omisă sau refuzată atât timp cât aceasta riscă să submineze scopul restricției.
(3)   Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 6 din prezenta decizie.
(4)   În cazul în care dreptul de acces este restricționat integral sau parțial, persoana vizată își exercită dreptul de acces prin intermediul Autorității Europene pentru Protecția Datelor, în conformitate cu articolul 25 alineatele (6), (7) și (8) din Regulamentul (UE) 2018/1725.
Articolul 5
Informarea persoanelor vizate cu privire la încălcarea securității datelor cu caracter personal
În cazul în care restricționează informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal, astfel cum se menționează la articolul 35 din Regulamentul (UE) 2018/1725, Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 6 din prezenta decizie.
Articolul 6
Consemnarea și înregistrarea restricțiilor
Comisia consemnează motivele oricărei restricții aplicate în conformitate în temeiul prezentei decizii, incluzând o evaluare a necesității și a proporționalității restricției, în funcție de elementele relevante prevăzute la articolul 25 alineatul (2) din Regulamentul (UE) 2018/1725.
În acest scop, consemnarea indică modul în care exercitarea dreptului ar periclita scopul activităților desfășurate de Comisie în temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046 ori scopul restricțiilor aplicate în temeiul articolului 2 alineatul (2) sau (3), sau modul în care aceasta ar afecta drepturile și libertățile altor persoane vizate.
Consemnarea și, dacă este cazul, documentele care conțin elemente faptice și juridice de sprijin se înregistrează. Acestea sunt puse la dispoziția Autorității Europene pentru Protecția Datelor, la cerere.
Articolul 7
Durata restricțiilor
(1)   Restricțiile menționate la articolele 3, 4 și 5 din prezenta decizie continuă să se aplice atât timp cât motivele care le justifică rămân aplicabile.
(2)   În cazul în care motivele unei restricții menționate la articolul 3 sau 5 din prezenta decizie nu se mai aplică, Comisia ridică restricția și informează persoana vizată cu privire la principalele motive ale restricției. În același timp, Comisia informează persoana vizată cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor în orice moment sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.
(3)   Comisia reexaminează aplicarea restricției menționate la articolele 3 și 5 din prezenta decizie la fiecare șase luni de la adoptarea acesteia, precum și înainte și după încheierea activității de audit intern relevante. Ulterior, Comisia verifică anual dacă este necesară menținerea eventualei restricții/amânări.
Articolul 8
Reexaminarea de către responsabilul cu protecția datelor din cadrul Comisiei Europene
Responsabilul cu protecția datelor din cadrul Comisiei Europene este informat, fără întârzieri nejustificate, ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie. La cerere, responsabilului cu protecția datelor i se asigură accesul la consemnări și la orice document care conțin elemente faptice și juridice de sprijin.
Responsabilul cu protecția datelor poate solicita o reexaminare a restricțiilor. Responsabilul cu protecția datelor este informat cu privire la rezultatul reexaminării solicitate.
Articolul 9
Intrarea în vigoare
Prezenta decizie intră în vigoare la data publicării în Jurnalul Oficial al Uniunii Europene.
Se aplică de la 11 decembrie 2018.
Adoptată la Bruxelles, 11 decembrie 2018.
Pentru Comisie
Președintele
Jean-Claude JUNCKER
(1)  Regulamentul (UE, Euratom) 2018/1046 al Parlamentului European și al Consiliului din 18 iulie 2018 privind normele financiare aplicabile bugetului general al Uniunii, de modificare a Regulamentelor (UE) nr. 1296/2013, (UE) nr. 1301/2013, (UE) nr. 1303/2013, (UE) nr. 1304/2013, (UE) nr. 1309/2013, (UE) nr. 1316/2013, (UE) nr. 223/2014, (UE) nr. 283/2014 și a Deciziei nr. 541/2014/UE și de abrogare a Regulamentului (UE, Euratom) nr. 966/2012 (JO L 193, 30.7.2018, p. 1).
(2)  C(2017) 4435 final.
(3)  Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (JO L 295, 21.11.2018, p. 39).
(4)  Creat în octombrie 2000, SEC(2000) 1808/3.
(5)  Păstrarea dosarelor în cadrul Comisiei este reglementată de lista comună de păstrare, un document de reglementare [ultima versiune fiind SEC(2012) 713] sub forma unui calendar de păstrare care stabilește perioadele de păstrare pentru diferitele tipuri de dosare ale Comisiei.
(6)  Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului din 18 decembrie 2000 privind protecția persoanelor fizice cu privire la prelucrarea datelor cu caracter personal de către instituțiile și organele comunitare și privind libera circulație a acestor date (JO L 8, 12.1.2001, p. 1).
(7)  Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului din 11 mai 2016 privind Agenția Uniunii Europene pentru Cooperare în Materie de Aplicare a Legii (Europol) și de înlocuire și de abrogare a Deciziilor 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI și 2009/968/JAI ale Consiliului (JO L 135, 24.5.2016, p. 53).
(8)  Regulamentul (UE) 2017/1939 al Consiliului din 12 octombrie 2017 de punere în aplicare a unei forme de cooperare consolidată în ceea ce privește instituirea Parchetului European (EPPO, JO L 283, 31.10.2017, p. 1).
(9)  Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO L 119, 4.5.2016, p. 1).
(10)  Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului (JO L 119, 4.5.2016, p. 89).

Summary:
Restricții ale drepturilor persoanelor vizate – Reguli interne ale Comisiei
Restricții ale drepturilor persoanelor vizate – Reguli interne ale Comisiei
 
SINTEZĂ PRIVIND:
Decizia (UE) 2018/1927 a Comisiei – norme interne privind prelucrarea datelor cu caracter personal de către Comisie în domeniul concurenței în legătură cu furnizarea de informații către persoanele vizate și restricționarea anumitor drepturi
Decizia (UE) 2018/1961 a Comisiei – norme interne privind furnizarea de informații persoanelor vizate și de restricționare a unor drepturi ale acestora în contextul prelucrării datelor cu caracter personal în scopul activităților de audit intern
Decizia (UE) 2018/1962 a Comisiei – norme interne privind prelucrarea datelor cu caracter personal de către Oficiul European de Luptă Antifraudă (OLAF) în ceea ce privește furnizarea de informații către persoanele vizate și restricționarea anumitor drepturi
Decizia (UE) 2018/1996 a Comisiei – norme interne pentru furnizarea de informații persoanelor vizate și restricționarea anumitor drepturi ale acestora în contextul prelucrării datelor cu caracter personal în scopul anchetelor în materie de apărare comercială și al anchetelor în materie de politică comercială
Decizia (UE) 2019/154 a Comisiei – norme interne privind restricționarea dreptului de acces al persoanelor vizate la dosarele lor medicale
Decizia (UE) 2019/165 a Comisiei – norme interne privind furnizarea de informații persoanelor vizate și privind restricționarea, de către Comisie, a anumitor drepturi ale acestora în materie de protecție a datelor în contextul anchetelor administrative, al procedurilor predisciplinare și disciplinare, precum și al procedurilor de suspendare
Decizia (UE) 2019/236 a Comisiei – norme interne privind furnizarea de informații persoanelor vizate și restricționarea anumitor drepturi ale acestora în contextul prelucrării datelor cu caracter personal de către Comisie în scopuri de securitate internă a instituțiilor UE
CARE ESTE ROLUL ACESTOR DECIZII?
Acestea stabilesc norme interne, pe baza cărora Comisia Europeană poate restrânge drepturile persoanelor, drepturi pe care le exercită în temeiul Regulamentului (UE) 2018/1725. Normele interne se aplică prelucrării datelor cu caracter personal în domenii specifice și în scopuri specifice.
ASPECTE-CHEIE
Datele cu caracter personal reprezintă orice informație referitoare la o persoană fizică identificată sau identificabilă („persoana vizată”). O persoană fizică este identificabilă dacă poate fi identificată, direct sau indirect, în special prin a se face trimitere la un identificator (cum ar fi un nume, un număr de identificare, date despre locație sau un identificator online) sau la unul sau mai mulți factori specifici identității fizice, fiziologice, genetice, mentale, economice, culturale sau sociale ale acelei persoane fizice.
Noul cadru juridic al UE privind protecția și libera circulație a datelor cu caracter personal constă în special din:Regulamentul general privind protecția datelor (GDPR), care stabilește drepturile persoanelor fizice cu privire la datele lor cu caracter personal, îi protejează în ceea ce privește prelucrarea datelor lor cu caracter personal în țările UE și asigură fluxul liber al acestor date;  Regulamentul (UE) 2018/1725, care stabilește drepturile persoanelor cu privire la datele lor cu caracter personal, îi protejează în ceea ce privește prelucrarea datelor lor cu caracter personal de către instituțiile, organele, oficiile și agențiile UE și asigură fluxul liber al acestor date.  Aceste reglementări sunt considerate echivalente și trebuie interpretate ca fiind aceleași.
Articolul 25 din Regulamentul (UE) 2018/1725 prevede posibilitatea ca, în anumite cazuri, instituțiile și organele UE să restrângă drepturile persoanelor, cu condiția ca aceste restricții să fie prevăzute în legislația UE. În acest sens, Comisia a adoptat 7 decizii ale Comisiei, care oferă motive pentru posibile restricții în vederea protejării obiectivelor importante de interes public general al UE.
Pe baza acestor decizii și în urma unei evaluări de la caz la caz a necesității și proporționalității restricțiilor, Comisia Europeană decide dacă drepturile individuale ar trebui restrânse într-un caz individual.
Următoarele drepturi ale persoanelor pot fi restricționate:dreptul lor la informare cu privire la:prelucrarea datelor cu caracter personal; șiîncălcări ale datelor lor cu caracter personal, care ar putea genera un risc ridicat pentru drepturile și libertățile lor;  dreptul lor de a accesa datele lor cu caracter personal, de a șterge datele lor cu caracter personal sau de a limita prelucrarea datelor lor cu caracter personal.  Cele 7 decizii ale Comisiei au un format similar, fiecare cuprinzând unele sau toate aceste elemente:Obiectul și domeniul de aplicare Cerința unei evaluări de la caz la caz a fiecărei solicitări a unei persoane vizate.    Excepții și/sau restricții aplicabile Înainte de aplicarea unei restricții, Comisia trebuie să analizeze mai întâi dacă se aplică oricare dintre excepțiile de la drepturile persoanelor vizate, astfel cum se prevede în Regulamentul (UE) 2018/1725.    Furnizarea de informații persoanelor vizate Comisia trebuie să publice pe site-ul său o notificare privind protecția datelor care informează toate persoanele vizate cu privire la activitățile sale de prelucrare a datelor în domeniul respectiv.  Comisia trebuie să informeze individual, într-un format adecvat, orice persoană afectată individual de o anchetă sau de o măsură efectuată într-unul din domeniile relevante.    Drepturile persoanelor vizate de a accesa datele lor cu caracter personal, a le șterge sau a restricționa prelucrarea În cazul în care Comisia restricționează accesul la datele cu caracter personal, dreptul de ștergere și/sau dreptul la restricționarea prelucrării, trebuie să informeze persoana vizată în legătură cu restricția aplicată, cu principalele motive pentru aplicarea acesteia și cu posibilitatea depunerii unei plângeri Autorității Europene pentru Protecția Datelor sau de a solicita o cale de atac la Curtea de Justiție a Uniunii Europene.    Documentarea și înregistrarea restricțiilor Comisia trebuie să înregistreze motivele pentru orice restricție aplicată, inclusiv o evaluare a necesității și a proporționalității.    Durata restricțiilor Restricțiile continuă să se aplice atâta timp cât sunt păstrate motivele care le justifică.    Revizuirea de către responsabilul cu protecția datelor (DPO) al Comisiei Europene DPO trebuie să fie informat, fără întârzieri nejustificate, de fiecare dată când drepturile persoanelor vizate sunt restricționate.  La cerere, DPO trebuie să aibă acces la înregistrare și la orice documente care conțin elementele de fapt și de drept care stau la baza acestora.  DPO poate solicita o revizuire a restricției și trebuie să fie informat în scris cu privire la rezultatul revizuirii solicitate.    Cele 7 decizii ale Comisiei se referă la restricționarea persoanelor vizate în următoarele domenii:Securitatea internă a instituțiilor UE Se aplică prelucrării datelor cu caracter personal pentru a asigura securitatea persoanelor, a bunurilor și a informațiilor în cadrul Comisiei.  Comisia trebuie să informeze individual martorii și persoanele interesate de o anchetă de securitate cu privire la prelucrarea datelor lor cu caracter personal.  În plus, Comisia trebuie să informeze individual persoanele vizate ale căror date sunt prelucrate în cazul controalelor de fond în conformitate cu articolul 7 alineatul (5) din Decizia (UE, Euratom) 2015/443.  De asemenea, aceasta trebuie să informeze în mod individual persoanele ale căror date sunt prelucrate în contextul perchezițiilor sediilor Comisiei și a sistemelor și echipamentelor de comunicații și informare.    Anchete administrative, proceduri disciplinare, pre-disciplinare și de suspendare Drepturile și obligațiile prevăzute în Regulamentul (UE) 2018/1725 pot fi restricționate dacă ar periclita obiectivul anchetelor administrative, procedurilor disciplinare, pre-disciplinare și de suspendare sau ar afecta drepturile și libertățile altor persoane vizate.    Date medicale cu caracter personal Comisia poate restricționa, de la caz la caz, dreptul persoanelor vizate de a avea acces direct la date medicale cu caracter personal, de natură psihologică sau psihiatrică, care îi privesc, în cazul în care accesul la astfel de date poate reprezenta un risc pentru sănătatea subiectului vizat.  Această restricție trebuie să fie proporțională cu ceea ce este strict necesar pentru a proteja persoana vizată.    Anchete privind apărarea și politica comercială Drepturile și obligațiile prevăzute în Regulamentul (UE) 2018/1725 pot fi restricționate dacă ar periclita obiectivul politicii comerciale și activităților de protecție comercială ale Comisiei sau ar afecta în mod negativ drepturile și libertățile altor persoane vizate.    Oficiul European de Luptă Antifraudă (OLAF) Se aplică prelucrării datelor cu caracter personal de către OLAF (precum și prelucrării datelor cu caracter personal de către serviciile și agențiile executive ale Comisiei care trebuie transmise către OLAF) pentru a-și îndeplini sarcinile;  Investigațiile OLAF sunt complet independente de Comisie;  OLAF decide dacă trebuie aplicate excepții de la drepturile persoanelor vizate.  Comunicările privind protecția datelor care informează persoanele vizate cu privire la activitățile care implică prelucrarea datelor lor cu caracter personal sunt publicate pe site-ul web al OLAF.  Responsabilul cu protecția datelor al OLAF examinează orice restricție privind drepturile persoanelor vizate.    Activități de audit intern Drepturile și obligațiile prevăzute în Regulamentul (UE) 2018/1725 pot fi restricționate ca parte a operațiunilor de prelucrare efectuate de Comisie în exercitarea activităților sale de audit intern, ori de câte ori exercitarea drepturilor persoanelor vizate poate pune în pericol desfășurarea auditului intern inclusiv prin dezvăluirea instrumentelor și metodelor sale de audit sau în cazul în care ar afecta negativ drepturile și libertățile altor persoane vizate.  În plus, ar putea fi necesar ca Comisia să limiteze aplicarea drepturilor persoanelor vizate pentru a proteja operațiunile de prelucrare ale serviciilor Comisiei sau ale altor instituții, organisme, birouri și agenții ale Uniunii sau ale autorităților și organizațiilor internaționale ale statelor membre, precum și din partea Comitetului de monitorizare a auditului.  Comisia informează indivizii cu privire la activitățile sale de audit intern care implică prelucrarea datelor lor cu caracter personal și a drepturilor acestora, prin intermediul unui anunț de protecție a datelor, publicat pe site-ul web al Comisiei. După caz, Comisia se asigură că persoanele vizate sunt informate în mod individual, într-un format adecvat.    Concurența Drepturile și obligațiile prevăzute în Regulamentul (UE) 2018/1725 pot fi restricționate dacă ar periclita obiectivul activităților de investigație și de executare ale Comisiei, inclusiv prin dezvăluirea instrumentelor și metodelor de investigație sau ar afecta în mod negativ drepturile și libertățile altor persoane vizate.    
DE CÂND SE APLICĂ DECIZIILE?
Deciziile (UE) 2018/1927, (UE) 2018/1961, (UE) 2018/1962, (UE) 2018/1996 și (UE) 2019/154 se aplică de la 11 decembrie 2018.  Decizia (UE) 2019/165 se aplică de la 7 februarie 2019.  Decizia (UE) 2019/236 se aplică de la 11 februarie 2019.  
CONTEXT
Pentru informații suplimentare, consultați:Reforma din 2018 a normelor UE de protecție a datelor (Comisia Europeană).  
DOCUMENTELE PRINCIPALE
Decizia (UE) 2018/1927 a Comisiei din 5 decembrie 2018 de stabilire a normelor interne privind prelucrarea datelor cu caracter personal de către Comisia Europeană în domeniul concurenței în legătură cu furnizarea de informații către persoanele vizate și restricționarea anumitor drepturi (JO L 313, 10.12.2018, pp. 39-44)
Decizia (UE) 2018/1961 a Comisiei din 11 decembrie 2018 de stabilire a unor norme interne privind furnizarea de informații persoanelor vizate și de restricționare a unor drepturi ale acestora în contextul prelucrării datelor cu caracter personal în scopul activităților de audit intern (JO L 315, 12.12.2018, pp. 35-40)
Decizia (UE) 2018/1962 a Comisiei din 11 decembrie 2018 de stabilire a normelor interne privind prelucrarea datelor cu caracter personal de către Oficiul European de Luptă Antifraudă (OLAF) în ceea ce privește furnizarea de informații către persoanele vizate și restricționarea anumitor drepturi în conformitate cu articolul 25 din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (JO L 315, 12.12.2018, pp. 41-46)
Decizia (UE) 2018/1996 a Comisiei din 14 decembrie 2018 de stabilire a normelor interne pentru furnizarea de informații persoanelor vizate și restricționarea anumitor drepturi ale acestora în contextul prelucrării datelor cu caracter personal în scopul anchetelor în materie de apărare comercială și al anchetelor în materie de politică comercială (JO L 320, 17.12.2018, pp. 40-44)
Decizia (UE) 2019/154 a Comisiei din 30 ianuarie 2019 de stabilire a normelor interne privind restricționarea dreptului de acces al persoanelor vizate la dosarele lor medicale (JO L 27, 31.1.2019, pp. 33-35)
Decizia (UE) 2019/165 a Comisiei din 1 februarie 2019 de stabilire a unor norme interne privind furnizarea de informații persoanelor vizate și privind restricționarea, de către Comisie, a anumitor drepturi ale acestora în materie de protecție a datelor în contextul anchetelor administrative, al procedurilor predisciplinare și disciplinare, precum și al procedurilor de suspendare (JO L 32, 4.2.2019, pp. 9-13)
Decizia (UE) 2019/236 a Comisiei din 7 februarie 2019 de stabilire a normelor interne privind furnizarea de informații persoanelor vizate și restricționarea anumitor drepturi ale acestora în contextul prelucrării datelor cu caracter personal de către Comisia Europeană în scopuri de securitate internă a instituțiilor Uniunii (JO L 37, 8.2.2019, pp. 144-149)
DOCUMENTE CONEXE
Aplicabil pentru Comisia Europeană:
Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (JO L 295, 21.11.2018, pp. 39-98)
Decizia (UE, Euratom) 2017/46 a Comisiei din 10 ianuarie 2017 privind securitatea sistemelor informatice și de comunicații în cadrul Comisiei Europene (JO L 6, 11.1.2017, pp. 40-51)
Modificările succesive aduse Deciziei (UE, Euratom) 2017/46 au fost integrate în textul de bază. Această versiune consolidată are doar un caracter informativ.
Decizia (UE, Euratom) 2015/443 a Comisiei din 13 martie 2015 privind securitatea în cadrul Comisiei (JO L 72, 17.3.2015, pp. 41-52)
Aplicabil în țările UE:
Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO L 119, 4.5.2016, pp. 1-88)
A se vedea versiunea consolidată.
Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului (JO L 119, 4.5.2016, pp. 89-131)
A se vedea versiunea consolidată.
Data ultimei actualizări: 03.04.2019