Document ID: 32018D1961

Reference:
12.12.2018
BG
Официален вестник на Европейския съюз
L 315/35
РЕШЕНИЕ (EC) 2018/1961 НА КОМИСИЯТА
от 11 декември 2018 година
за определяне на вътрешните правила по отношение на предоставянето на информация на субектите на данни и ограничаването на някои от техните права в контекста на обработването на лични данни за целите на дейностите по вътрешен одит
КОМИСИЯТА,
като взе предвид Договора за функционирането на Европейския съюз, и по-специално член 249, параграф 1,
като има предвид, че:
(1)
С Регламент (ЕС, Евратом) 2018/1046 на Европейския парламент и на Съвета (1) се изисква всяка институция на Съюза да създаде функция по вътрешен одит, която да се изпълнява в съответствие с приложимите международни стандарти. Дейностите по вътрешен одит в Комисията се извършват от Службата за вътрешен одит („Службата“), която бе създадена на 11 април 2000 г. Службата извършва също така дейности по вътрешен одит в децентрализираните агенции и другите автономни органи на Съюза, получаващи финансиране от бюджета на Съюза.
(2)
Службата извършва дейностите по вътрешен одит в съответствие с членове 117—123 от Регламент (ЕС, Евратом) 2018/1046 и със своя устав за мисията (2). В това отношение Службата е напълно независима и разполага с пълен и неограничен достъп до цялата информация, необходима за извършването на дейностите ѝ по вътрешен одит във връзка с всички дейности и служби на съответната институция на Съюза.
(3)
Службата предоставя консултации на други служби и изпълнителни агенции на Комисията, както и на децентрализираните агенции и другите автономни органи на Съюза, получаващи финансирани от бюджета на Съюза, за това как да се справят с рискове, например събития или проблеми, които могат да възникнат и да окажат неблагоприятно въздействие върху постигането на политическите, стратегическите и оперативните цели на Комисията, като публикува независими становища относно качеството на системите за управление и контрол, както и препоръки с цел подобряване на условията за изпълнение на операциите и насърчаване на доброто финансово управление в съответствие с членове 117—123 от Регламент (ЕС, Евратом) 2018/1046. Затова дейностите по вътрешен одит на Службата обикновено не са насочени към физическите лица като такива. Независимо от това по време на нейните дейности неминуемо се обработват лични данни по смисъла на член 3, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (3). Провежданите от Службата дейности по вътрешен одит включват оценяване на пригодността и ефективността на системите за вътрешно управление и на работата на службите при осъществяването на политиките, програмите и действията, ефикасността и ефективността на системите за вътрешен контрол и одит, които се прилагат за всяка операция по изпълнението на бюджета. По този начин те съдействат за закрилянето на важни икономически и финансови интереси на Съюза и на държавите членки. Службата е администратор на операциите по обработване, които извършва в съответствие с член 118 и член 119, параграф 2 от Финансовия регламент.
(4)
Извършваните в Комисията и в нейните изпълнителни агенции дейности по вътрешен одит, както и тези, извършвани в децентрализираните агенции и в другите автономни органи на Съюза, се различават по форма и съдържание - от ангажименти за изразяване на увереност (включително оценки на риска) и ангажименти за консултация, до прегледи с ограничен обхват и ангажименти за проследяване на одити.
(5)
Комитетът за наблюдение на вътрешния одит (КНВО) в съответствие със своя устав за мисията, актуализиран на 21 ноември 2018 г. (C(2018) 7707), е съвещателен орган (4), който подпомага Комисията при изпълнението на нейните задължения съгласно Договорите и други нормативни инструменти [Регламент (ЕС, Евратом 2018/1046], като гарантира независимостта на Службата за вътрешен одит чрез мониторинг на качеството на работата по вътрешния одит, и като гарантира, че препоръките от вътрешните и външните одити се вземат предвид от службите на Комисията и че по тях се предприемат подходящи последващи действия. По този начин КНВО съдейства за цялостното допълнително подобряване на ефективността и ефикасността на Комисията при постигането на нейните цели, и улеснява надзора от страна на колегиума на комисарите върху ръководенето, управлението на риска и практиките за вътрешен контрол на Комисията. КНВО е администратор на операциите по обработване, които извършва в съответствие с член 123 от Финансовия регламент.
(6)
За целите на дейностите по член 118 и член 119, параграф 2 от Регламент (ЕС, Евратом) 2018/1046, независимо дали по своя инициатива или въз основа на получен сигнал, Комисията обработва лични данни, придобити или получени от юридически лица, физически лица, държави членки и международни органи и организации. По време на такива дейностите по вътрешен одит Службата може също да обработва лични данни, придобити или получени от публично достъпни източници, от анонимни или идентифицирани източници, които се нуждаят от защита на тяхната самоличност.
(7)
Комисията може на свой ред да обменя лични данни с институциите, органите, службите и агенциите на Съюза, с компетентни органи на държави членки, както и в рамките на съответните международни споразумения или на споразумения за сътрудничество на Комисията, сключени с трети държави и международни организации.
(8)
Дейностите по обработване на лични данни по смисъла на член 3, параграф 3 от Регламент (ЕС) 2018/1725, извършвани в хода на дейност по вътрешен одит, може да се извършват дори преди Комисията официално да започне такава дейност, да продължат през целия период на извършването на дейността по вътрешен одит, а може да продължат дори и след официалното приключване на дейността по вътрешен одит (например за цели, свързани с мониторинга на изпълнението на препоръки, за оценяване на необходимостта от нови дейности по вътрешен одит).
(9)
Категориите на обработваните от Комисията лични данни включват данни за самоличност, данни за връзка, данни за професионалната дейност и данни, свързани с предмета на дейността, или такива, за които е установено, че имат такава връзка. Тези категории лични данни се съхраняват в сигурна електронна среда с цел предотвратяването на незаконния достъп до тях или предаването на данни на лица, които не е необходимо да се запознават с тях. Личните данни се запазват за максимален срок от десет години. В края на срока на запазване, информацията, свързана с дейността по вътрешен одит, включително личните данни, се прехвърля в историческия архив на Комисията (5) или се унищожава.
(10)
При изпълнението на дейностите по вътрешен одит Комисията е длъжна да зачита правата на физическите лица по отношение на обработването на лични данни, признати в член 8, параграф 1 от Хартата на основните права на Европейския съюз и в член 16, параграф 1 от Договора, както и правата, уредени с Регламент (ЕС) 2018/1725. Същевременно Комисията е длъжна да спазва строги правила за поверителност, посочени в международните стандарти за вътрешен одит в съответствие с член 117 от Регламент (ЕС, Евратом) 2018/1046.
(11)
При определени обстоятелства е необходимо да се съгласуват правата на субектите на данни съгласно Регламент (ЕС) 2018/1725 с нуждите на дейностите по вътрешен одит и поверителността на обмена на информация с физически или юридически лица, както и с безусловното зачитане на основните права и свободи на други субекти на данни. За тази цел с член 25, параграф 1, буква в), ж) и з) от Регламент (ЕС) 2018/1725 на Службата се предоставя възможността да ограничава прилагането на членове 14—17, член 19, член 20 и член 35, както и принципа за прозрачност, посочен в член 4, параграф 1, буква а) от него, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—17, член 19, член 20 и член 35 от посочения регламент.
(12)
С цел да се гарантира ефективността на дейностите по вътрешен одит, като се спазват стандартите за защита на личните данни съгласно Регламент (ЕС) 2018/1725, който заменя Регламент (ЕО) № 45/2001 на Европейския парламент и на Съвета (6), е необходимо да се приемат вътрешни правила съгласно които Комисията може да ограничава правата на субектите в съответствие с член 25, параграф 1, букви в), ж) и з) от Регламент (ЕС) № 2018/1725.
(13)
Вътрешните правила следва да обхващат всички операции по обработване, осъществявани от Комисията в изпълнение на нейните дейности по вътрешен одит, независимо дали действа по своя собствена инициатива или въз основа на получен сигнал, когато упражняването на правата на субектите на данни може да изложи на риск провеждането на дейностите по вътрешен одит. Тези правила следва да се прилагат към операциите по обработване, извършвани преди официалното започване на ангажимента, по време на ангажимента, както и по време на мониторинга на последващите действия във връзка с резултатите от него.
(14)
С оглед на спазването на членове 14, 15 и 16 от Регламент (ЕС) 2018/1725 Комисията следва да информира всички физически лица за своите дейности, включващи обработването на техните лични данни, както и за техните права по прозрачен и последователен начин чрез информация за политиката за защита на личните данни, публикувана на уебсайта на Комисията. Когато е целесъобразно, Комисията следва да предоставя допълнителни гаранции за това, че субектите на данни са информирани индивидуално в подходяща форма.
(15)
На основание на член 25 от Регламент (ЕС) 2018/1725 Комисията може също така да ограничи предоставянето на информация на субектите на данни и упражняването на други права на субектите на данни, за да защити собствените си дейности по вътрешен одит, одитите на публичните органи на държавите членки, инструментите и методите за одит, както и правата на други лица, свързани с нейните дейности по вътрешен одит.
(16)
Освен това с цел да се поддържа ефективно сътрудничество, може да се наложи Комисията да ограничи прилагането на правата на субектите на данни, за да предпази операциите по обработване, извършвани от служби на Комисията или други институции, органи, служби и агенции на Съюза или от органите на държавите членки и от международни организации, както и от Комитета за наблюдение на вътрешния одит. За тази цел Комисията следва да се консултира с тези звена, институции, органи, служби и агенции, администрации и организации, както и Комитета за наблюдение на вътрешния одит, относно съответните основания за налагането на ограничения, както и за необходимостта и пропорционалността на ограниченията.
(17)
На Комисията може също така да се наложи да ограничи предоставянето на информация на субектите на данни и прилагането на други права на субектите на данни във връзка с лични данни, получени от трети държави или международни организации, за да си сътрудничи с тези държави или организации и за да опази по този начин важна цел от общ обществен интерес на Съюза. Въпреки това при някои обстоятелства интересът или основните права на субекта на данните могат да надделеят над интереса на международното сътрудничество.
(18)
Комисията следва да борави с всички ограничения по прозрачен начин и да регистрира всяко прилагане на ограничения в съответния регистър.
(19)
В съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725 администраторите на лични данни могат да отложат, пропуснат или откажат да предоставят информация на субекта на данните за причините за прилагането на ограничение, ако предоставянето на тази информация би изложило по някакъв начин на риск целта на ограничението. Това е по-конкретно случаят с ограниченията по отношение на правата, предвидени в членове 16 и 35 от Регламент (ЕС) 2018/1725.
(20)
Когато се ограничават други права на субектите на данни, администраторът на лични данни на Службата за вътрешен одит следва да прецени за всеки отделен случай дали съобщаването на ограничението би изложило на риск неговата цел.
(21)
Длъжностното лице за защита на данните на Европейската комисия следва да извършва независим преглед на прилагането на ограниченията с цел осигуряване на спазването на настоящото решение.
(22)
Регламент (ЕС) 2018/1725 заменя Регламент (ЕО) № 45/2001, без да има преходен период, считано от датата на влизането му в сила. Възможността да се прилагат ограничения на някои права беше предвидена в Регламент (ЕО) № 45/2001. С цел да се предотврати излагането на риск на законосъобразността на дейностите по вътрешен одит, настоящото решение следва да се прилага от датата на влизане в сила на Регламент (ЕС) 2018/1725.
(23)
Европейският надзорен орган по защита на данните даде становище на 27 ноември 2018 г.,
ПРИЕ НАСТОЯЩОТО РЕШЕНИЕ:
Член 1
Предмет и обхват
1.   С настоящото решение се определят правилата, които Комисията следва, когато информира субектите на данни относно обработването на техните данни в съответствие с членове 14, 15 и 16 от Регламент (ЕС) 2018/1725 в контекста на своите дейности по вътрешен одит в съответствие с членове 117—123 от Регламент (ЕС, Евратом) 2018/1046.
В него се определят също условията, при които Комисията може да ограничи прилагането на член 4, членове 14—17, член 19, член 20 и член 35 от Регламент (ЕС) 2018/1725 в съответствие с член 25, параграф 1, букви в), ж) и з) от посочения регламент.
2.   Настоящото решение се прилага за обработването на лични данни от Комисията за целите на или във връзка с дейностите, осъществявани в изпълнение на нейните задачи по силата на членове 118 и 119, параграф 2 от Регламент (ЕС, Евратом) 2018/1046.
3.   Настоящото решение се прилага за обработването на лични данни от Комисията, доколкото Комисията обработва лични данни, съдържащи се в информацията, която тя е длъжна да обработи за целите на или във връзка с дейностите, посочени в настоящия член.
Член 2
Приложими изключения и ограничения
1.   Когато Комисията изпълнява задълженията си по отношение на правата на субектите на данни съгласно Регламент (ЕС) 2018/1725, тя преценява дали се прилага някое от изключенията, предвидени в посочения регламент.
2.   При спазване на разпоредбите на членове 3—7 от настоящото решение, Комисията може да ограничи прилагането на членове 14—17, член 19, член 20 и член 35 от Регламент (ЕС) 2018/1725, както и на принципа на прозрачност, установен в член 4, параграф 1, буква а) от посочения регламент, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—17, член 19, член 20 и член 35 от посочения регламент, когато упражняването на тези права и задължения би изложило на риск целта на дейностите на Комисията по член 118 и член 119, параграф 2 от Регламент (ЕС, Евратом) 2018/1046, включително чрез разкриването на нейните инструменти и методи за одит, или би имало неблагоприятно въздействие върху правата и свободите на други субекти на данни.
3.   При спазване на разпоредбите на членове 3—7 Комисията може да ограничава правата и задълженията, посочени в параграф 2 на настоящия член, във връзка с лични данни, получени от други институции, органи, агенции и служби на Съюза, от компетентните органи на държавите членки или на трети държави или от международни организации, при следните обстоятелства:
а)
когато упражняването на тези права и задължения може да бъде ограничено от другите институции, органи, агенции и служби на Съюза въз основа на други актове, предвидени в член 25 от Регламент (ЕС) 2018/1725, или в съответствие с глава IX от посочения регламент, или в съответствие с Регламент (ЕС) 2016/794 на Европейския парламент и на Съвета (7) или Регламент (ЕС) 2017/1939 на Съвета (8);
б)
когато упражняването на тези права и задължения може да бъде ограничено от компетентните органи на държавите членки въз основа на актовете, посочени в член 23 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (9), или съгласно националните мерки за транспониране на член 13, параграф 3, член 15, параграф 3 или член 16, параграф 3 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета (10);
в)
когато упражняването на тези права и задължения би могло да изложи на риск сътрудничеството на Комисията с трети държави или международни организации при провеждането на дейности по вътрешен одит.
Преди да приложи ограничения при обстоятелствата, посочени в букви а) и б) от първа алинея, Комисията се консултира със съответните институции, органи, агенции и служби на Съюза или с компетентните органи на държавите членки, освен ако за Комисията е ясно, че прилагането на ограничение е предвидено в някой от актовете, посочени в тези букви, или че консултацията би изложила на риск целта на нейните дейности по член 118 и член 119, параграф 2 от Регламент (ЕС, Евратом) 2018/1046.
Първа алинея, буква в) не се прилага, когато интересите или основните права и свободи на субектите на данни надделяват над интереса на Комисията да си сътрудничи с трети държави или международни организации.
4.   Параграфи 1, 2 и 3 се прилагат, без да се засяга прилагането на други решения на Комисията за определяне на вътрешни правила по отношение на предоставянето на информация на субектите на данни и ограничаването на някои права съгласно член 25 от Регламент (ЕС) 2018/1725 и член 23 от Процедурния правилник на Комисията.
Член 3
Предоставяне на информация на субекти на данни
Комисията публикува на своя уебсайт политиката си за защита на личните данни, с която информира субектите на данни за своите дейности, включващи обработването на техните лични данни за целите на нейните дейности по член 118 и член 119, параграф 2 от Регламент (ЕС, Евратом) 2018/1046. Когато това е уместно, Комисията взема мерки субектите на данни да бъдат уведомени поотделно в съответната форма.
Когато Комисията ограничава изцяло или частично предоставянето на информация на субектите на данни, чиито данни се обработват за целите на нейните дейности по член 118 и член 119, параграф 2 от Регламент (ЕС, Евратом) 2018/1046, тя записва и регистрира причините за ограничаването в съответствие с член 6.
Член 4
Право на достъп на субектите на данни, право на изтриване и право на ограничаване на обработването
1.   Когато Комисията ограничава изцяло или частично правото на достъп до лични данни от страна на субектите на данни, правото на изтриване или правото на ограничаване на обработването, както са посочени съответно в членове 17, 19 и 20 от Регламент (ЕС) 2018/1725, в отговора си на искането за достъп, изтриване или ограничаване на обработването тя информира засегнатия субект на данни за приложеното ограничение и причините за него, както и за възможността за подаване на жалба до Европейския надзорен орган по защита на данните или за търсене на защита по съдебен ред пред Съда на Европейския съюз.
2.   Предоставянето на информация относно причините за ограничението, посочено в параграф 1 от настоящия член, може да бъде отложено, пропуснато или отказано, ако това би застрашило постигането на целта на ограничението.
3.   Комисията записва причините за ограничението в съответствие с член 6 от настоящото решение.
4.   Когато правото на достъп е изцяло или частично ограничено, субектът на данни упражнява правото си на достъп с посредничеството на Европейския надзорен орган по защита на данните в съответствие с член 25, параграфи 6, 7 и 8 от Регламент (ЕС) 2018/1725.
Член 5
Съобщаване на субектите на данни за нарушения на сигурността на личните данни
Когато Комисията ограничава съобщаването за нарушение на сигурността на личните данни на субекта на данните, както е посочено в член 35 от Регламент (ЕС) 2018/1725, тя записва и регистрира причините за ограничението в съответствие с член 6 от настоящото решение.
Член 6
Записване и регистриране на ограниченията
Комисията записва причините за всички ограничения, прилагани съгласно настоящото решение, като включва оценка на необходимостта и пропорционалността на ограничението, вземайки предвид съответните елементи, посочени в член 25, параграф 2 от Регламент (ЕС) 2018/1725.
За тази цел в записа се посочва по какъв начин упражняването на правото би изложило на риск целта на дейностите на Комисията по член 118 и 119, параграф 2 от Регламент (ЕС, Евратом) 2018/1046 или, ако ограниченията се прилагат съгласно член 2, параграф 2 или параграф 3, би имало неблагоприятно въздействие върху правата и свободите на други субекти на данни.
Записът и, когато е приложимо, документите, съдържащи релевантните фактически и правни елементи, се регистрират. Те се предоставят на Европейския надзорен орган по защита на данните при поискване.
Член 7
Продължителност на ограниченията
1.   Ограниченията, посочени в членове 3, 4 и 5 от настоящото решение, продължават да се прилагат, докато причините за тях продължават да са валидни.
2.   Когато причините за дадено ограничение, посочено в член 3 или член 5 от настоящото решение, вече не са приложими, Комисията отменя ограничението и посочва на субекта на данните главните причини за ограничението. В същото време Комисията информира субекта на данните за възможността за подаване на жалба до Европейския надзорен орган по защита на данните по всяко време или за търсене на защита по съдебен ред пред Съда на Европейския съюз.
3.   Комисията преразглежда прилагането на ограничението, посочено в членове 3 и 5 от настоящото решение, на всеки шест месеца от приемането му и след приключването на съответната дейност по вътрешен одит. След това Комисията преценява ежегодно необходимостта от запазването на дадено ограничение/отлагане.
Член 8
Преглед от длъжностното лице за защита на данните на Европейската комисия
Длъжностното лице за защита на данните на Европейската комисия се уведомява без ненужно забавяне, когато правата на субектите на данни се ограничават в съответствие с настоящото решение. При поискване на длъжностното лице за защита на данните се предоставя достъп до записа и документите, съдържащи релевантните фактически и правни елементи.
Длъжностното лице за защита на данните може да поиска преразглеждане на ограниченията. Длъжностното лице за защита на данните се уведомява писмено за резултата от искането за преразглеждане.
Член 9
Влизане в сила
Настоящото решение влиза в сила в деня на публикуването му в Официален вестник на Европейския съюз.
То се прилага от 11 декември 2018 г.
Съставено в Брюксел на 11 декември 2018 година.
За Комисията
Председател
Jean-Claude JUNCKER
(1)  Регламент (ЕС, Евратом) 2018/1046 на Европейския парламент и на Съвета от 18 юли 2018 г. за финансовите правила, приложими за общия бюджет на Съюза, за изменение на регламенти (ЕС) № 1296/2013, (ЕС) № 1301/2013, (ЕС) № 1303/2013, (ЕС) № 1304/2013, (ЕС) № 1309/2013, (ЕС) № 1316/2013, (ЕС) № 223/2014 и (ЕС) № 283/2014 и на Решение № 541/2014/ЕС и за отмяна на Регламент (ЕС, Евратом) № 966/2012 (ОВ L 193, 30.7.2018 г., стр. 1).
(2)  C(2017) 4435 final.
(3)  Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 г. относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (ОВ L 295, 21.11.2018 г., стр. 39).
(4)  Създаден през октомври 2000 г., SEC(2000)1808/3.
(5)  Запазването на преписки в Комисията се урежда с Общия списък за запазването на преписки — регулаторен документ (последна версия SEC(2012)713) под формата на таблица, в който се определят сроковете на запазване на различните видове преписки на Комисията.
(6)  Регламент (ЕО) №45/2001 на Европейския парламент и на Съвета от 18 декември 2000 г. относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (ОВ L 8, 12.1.2001 г., стр. 1).
(7)  Регламент (ЕС) 2016/794 на Европейския парламент и на Съвета от 11 май 2016 г. относно Агенцията на Европейския съюз за сътрудничество в областта на правоприлагането (Европол) и за замяна и отмяна на решения 2009/371/ПВР, 2009/934/ПВР, 2009/935/ПВР, 2009/936/ПВР и 2009/968/ПВР на Съвета (ОВ L 135, 24.5.2016 г., стр. 53).
(8)  Регламент (ЕС) 2017/1939 на Съвета от 12 октомври 2017 г. за установяване на засилено сътрудничество за създаване на Европейска прокуратура (ОВ L 283, 31.10.2017 г., стр. 1).
(9)  Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 4.5.2016 г., стр. 1).
(10)  Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ L 119, 4.5.2016 г., стр. 89).

Summary:
Ограничения на правата на субектите на данни — вътрешни правила на Комисията
Ограничения на правата на субектите на данни — вътрешни правила на Комисията
 
РЕЗЮМЕ НА:
Решение (ЕС) 2018/1927 на Комисията — вътрешни правила по отношение на обработването на лични данни от Комисията в областта на конкуренцията във връзка с предоставянето на информация на субектите на данни и ограничаването на някои права
Решение (EC) 2018/1961 на Комисията — вътрешни правила по отношение на предоставянето на информация на субектите на данни и ограничаването на някои от техните права в контекста на обработването на лични данни за целите на дейностите по вътрешен одит
Решение (ЕС) 2018/1962 на Комисията — вътрешни правила по отношение на обработването на лични данни от Европейската служба за борба с измамите (OLAF) във връзка с предоставянето на информация на субектите на данни и ограничаването на някои от техните права
Решение (EC) 2018/1996 на Комисията — вътрешни правила по отношение на предоставянето на информация на субектите на данни и ограничаването на някои от техните права в контекста на обработването на лични данни за целите на разследванията в областта на търговската политика и търговската защита
Решение (EC) 2019/154 — вътрешни правила по отношение на ограничението на правото на достъп на субектите на данни до техните медицински досиета
Решение (EC) 2019/165 на Комисията — вътрешни правила по отношение на предоставянето на информация на субектите на данни и ограничаването на някои от техните права на защита на данните от страна на Комисията във връзка с административни разследвания, преддисциплинарни и дисциплинарни производства и процедури за временно отстраняване от длъжност
Решение (EC) 2019/236 на Комисията — вътрешни правила по отношение на предоставянето на информация на субектите на данни и ограничаването на някои от техните права в контекста на обработването на лични данни от Комисията за целите на вътрешната сигурност на институциите на Съюза
КАКВА Е ЦЕЛТА НА ТЕЗИ РЕШЕНИЯ?
В тях се определят вътрешни правила, въз основа на които Европейската комисия може да ограничи правата на физически лица, които те упражняват по силата на Регламент (ЕС) 2018/1725. Вътрешните правила се прилагат за обработването на лични данни в рамките на конкретни области за конкретни цели.
ОСНОВНИ АСПЕКТИ
Лични данни са всяка информация, свързана с идентифицирано или идентифицируемо лице („субект на данни“). Дадено физическо лице е идентифицируемо, ако той/тя може да бъде идентифициран/идентифицирана, пряко или непряко, по-конкретно чрез позоваване на идентификатор (напр. име, идентификационен номер, данни за местоположение или онлайн идентификатор) или на един или повече фактори, които са специфични за физическата, физиологическата, генетичната, умствената, икономическата, културната или социалната идентичността на това физическо лице.
Новата правна рамка на ЕС относно защитата и свободния поток на лични данни се състои по-конкретно от:Общия регламент относно защитата на данните (GDPR), в който се определят правата на физическите лица по отношение на техните лични данни, който ги защитава по отношение на обработването на личните им данни в страните от ЕС и който гарантира свободния поток на тези данни;  Регламент (ЕС) 2018/1725, в който се определят правата на физическите лица по отношение на техните лични данни, който ги защитава по отношение на обработването на личните им данни от институциите, органите, службите и агенциите на ЕС и който гарантира свободния поток на тези данни.  Тези регламенти се считат за еквивалентни и трябва да се тълкуват като еднакви.
В член 25 от Регламент (ЕС) 2018/1725 се предвижда възможността, че в определени случаи институциите и органите на ЕС могат да ограничат правата на физически лица, при условие че такива ограничения са определени в правото на ЕС. В съответствие с това Комисията прие 7 решения на Комисията, които осигуряват основанията за възможни ограничения с цел запазване на важни цели от общ обществен интерес на ЕС.
Въз основа на тези решения и след оценка на необходимостта и пропорционалността на ограниченията за всеки отделен случай Европейската комисия решава дали правата на дадено лице трябва да бъдат ограничени в отделен случай.
Могат да бъдат ограничени следните права на физически лица:тяхното право на информация;обработване на техните лични данни; инарушения на техните лични данни, които могат да доведат до висок риск за правата и свободите им;  тяхното право за достъп до личните им данни, право на изтриване и право на ограничаване на обработването.  Седемте решения на Комисията следват сходен формат, като всяко едно от тях включва един или всички от следните елементи:Предмет и обхват Изискване за оценка на всеки отделен случай при всяко поискване от страна на субект на данни.    Приложими изключения и/или ограничения Преди да наложи дадено ограничение, Комисията трябва първо да прецени дали се прилага някое от изключенията за правата на субектите на данни, определени в Регламент (ЕС) 2018/1725.    Предоставяне на информация на субекти на данни Комисията трябва да публикува на своята интернет страница съобщения за защитата на личните данни, които да информират всички субекти на данни относно дейностите за обработка на данни в съответната област.  Комисията трябва да информира индивидуално, в подходящ формат, всяко лице, което лично е засегнато от запитване или мярка, взета в някоя от съответните области.    Право на достъп на субектите на данни до личните им данни, право на изтриване и право на ограничаване на обработването Ако Комисията ограничи достъпа до лични данни, правото за изтриване и/или за ограничаване на обработването, тя трябва да информира съответните субекти на данни за наложеното ограничение, за основните причини за налагането му, както и за възможността да подадат жалба до Европейския надзорен орган по защита на данните или да потърсят съдебна защита в Съда на Европейския съюз.    Записване и регистриране на ограниченията Комисията трябва да записва причините за всички наложени ограничения, включително оценка на необходимостта и пропорционалността.    Продължителност на ограниченията Ограниченията продължават да се прилагат, докато причините за тях продължават да са валидни.    Преглед от длъжностното лице за защита на данните на Европейската комисия Длъжностното лице за защита на данните се уведомява без ненужно забавяне, когато правата на субектите на данни се ограничават.  При поискване на длъжностното лице за защита на данните трябва да се предоставя достъп до записа и документите, съдържащи съответните фактически и правни елементи.  Длъжностното лице за защита на данните може да поиска преразглеждане на ограничението и трябва да бъде уведомено за резултата от искането за преразглеждане.    Седемте решения на Комисията обхващат ограничаването на субекти на данни в следните области:Вътрешна сигурност на институциите на ЕС Отнася се до обработката на лични данни с цел осигуряване на сигурността на лица, активи и информация в Комисията.  Комисията трябва да уведоми индивидуално свидетелите и лицата, засегнати от разследване на сигурността на обработването на личните им данни.  Освен това Комисията трябва да уведоми индивидуално субектите на данните, чиито данни се обработват, в случай на цялостна проверка в съответствие с член 7, параграф 5 от Решение (ЕС, Евратом) 2015/443 на Комисията.  Също така трябва да уведоми индивидуално лицата, чиито данни се обработват, в контекста на търсения в помещенията и комуникационните и информационни системи и оборудване на Комисията.    Административни разследвания, преддисциплинарни и дисциплинарни производства и процедури за временно отстраняване от длъжност Правата и задълженията по смисъла на Регламент (ЕС) 2018/1725 могат да бъдат ограничени, ако биха застрашили целите на административните разследвания, преддисциплинарните и дисциплинарните производства и процедурите за временно отстраняване от длъжност или правата и свободите на други субекти на данни.    Лични медицински данни Комисията може да ограничи въз основа на всеки отделен случай правото на субектите на данни на пряк достъп до отнасящи се за тях лични медицински данни от психологическо или психиатрично естество, ако достъпът до тези данни може да представлява риск за здравето на субекта на данни.  Това ограничение може да бъде пропорционално на абсолютно необходимото за защита на субекта на данни.    Разследвания в областта на търговската политика и търговската защита Правата и задълженията по смисъла на Регламент (ЕС) 2018/1725 могат да бъдат ограничени, ако биха застрашили целите на търговската политика на Комисията и дейностите по защита на търговията или биха имали неблагоприятно въздействие върху правата и свободите на други субекти на данни.    Европейска служба за борба с измамите (OLAF) Отнася се до обработването на лични данни от OLAF (както и до обработването на лични данни от службите и изпълнителните агенции на Комисията, които трябва да бъдат предадени на OLAF) за изпълнение на нейните задачи;  Разследванията на OLAF са напълно независими от Комисията;  OLAF решава дали следва да се налагат изключения за правата на субекти на данни.  Съобщенията за защитата на данните, предназначени за информиране на субектите на данни за дейностите, които включват обработване на техните лични данни, се публикуват на интернет страницата на OLAF.  Длъжностното лице за защита на данните на OLAF преразглежда всяко ограничение на правата на субекти на данни.    Дейности по вътрешен одит Правата и задълженията по смисъла на Регламент (ЕС) 2018/1725 могат да бъдат ограничени като част от операциите по обработка, извършвани от Комисията при изпълнението на нейните дейности по вътрешен одит, когато упражняването на правата на субектите на данни може да застраши извършването на дейностите по вътрешен одит, включително чрез разкриване на инструментите и методите за одит, или би имало неблагоприятно въздействие върху правата и свободите на други субекти на данни.  Освен това може да е необходимо Комисията да ограничи прилагането на права на субекти на данни с цел защита на операциите по обработка на службите на Комисията или други институции, органи, служби и агенции на Съюза или на държави членки и международни организации, както и на Комитета за контрол на одити.  Комисията уведомява физическите лица за своите дейности по вътрешен одит, които включват обработка на личните им данни и на правата им, чрез съобщение за защитата на данните, публикувано на интернет страницата на Комисията. Когато е уместно, Комисията гарантира, че субектите на данни се уведомяват индивидуално, в подходящ формат.    Конкуренция Правата и задълженията по смисъла на Регламент (ЕС) 2018/1725 могат да бъдат ограничени, ако биха застрашили целите на дейностите по разследване и правоприлагане на Комисията, включително чрез разкриване на инструментите и методите за разследване, или биха имали неблагоприятно въздействие върху правата и свободите на други субекти на данни.    
ОТКОГА СЕ ПРИЛАГАТ РЕШЕНИЯТА?
Решение (ЕС) 2018/1927, Решение (ЕС) 2018/1961, Решение (ЕС) 2018/1962, Решение (ЕС) 2018/1996 и Решение (ЕС) 2019/154 се прилагат от 11 декември 2018 г.  Решение (ЕС) 2019/165 се прилага от 7 февруари 2019 г.  Решение (ЕС) 2019/236 се прилага от 11 февруари 2019 г.  
ОБЩА ИНФОРМАЦИЯ
За допълнителна информация вж.:Реформа на правилата за защита на данните за 2018 г. (Европейска комисия).  
ОСНОВНИ ДОКУМЕНТИ
Решение (ЕС) 2018/1927 на Комисията от 5 декември 2018 година за определяне на вътрешните правила по отношение на обработването на лични данни от Европейската комисия в областта на конкуренцията във връзка с предоставянето на информация на субектите на данни и ограничаването на някои права (ОВ L 313, 10.12.2018 г., стр. 39—44)
Решение (EC) 2018/1961 на Комисията от 11 декември 2018 година за определяне на вътрешните правила по отношение на предоставянето на информация на субектите на данни и ограничаването на някои от техните права в контекста на обработването на лични данни за целите на дейностите по вътрешен одит (ОВ L 315, 12.12.2018 г., стр. 35—40)
Решение (EC) 2018/1962 на Комисията от 11 декември 2018 година за определяне на вътрешни правила по отношение на обработването на лични данни от Европейската служба за борба с измамите (OLAF) във връзка с предоставянето на информация на субектите на данни и ограничаването на някои от техните права в съответствие с член 25 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (ОВ L 315, 12.12.2018 г., стр. 41—46)
Решение (ЕС) 2018/1996 на Комисията от 14 декември 2018 година за определяне на вътрешни правила относно предоставянето на информация на субектите на данни и ограничаването на някои от техните права в контекста на обработването на лични данни за целите на разследванията в областта на търговската политика и търговската защита (ОВ L 320, 17.12.2018 г., стр. 40—44)
Решение (EC) 2019/154 на Комисията от 30 януари 2019 година за определяне на вътрешни правила по отношение на ограничението на правото на достъп на субектите на данни до техните медицински досиета (ОВ L 27, 31.1.2019 г., стр. 33—35)
Решение (EC) 2019/165 на Комисията от 1 февруари 2019 година за определяне на вътрешните правила по отношение на предоставянето на информация на субектите на данни и ограничаването на някои от техните права на защита на данните от страна на Комисията във връзка с административни разследвания, преддисциплинарни и дисциплинарни производства и процедури за временно отстраняване от длъжност (ОВ L 32, 4.2.2019 г., стр. 9—13)
Решение (EC) 2019/236 на Комисията от 7 февруари 2019 година за определяне на вътрешните правила по отношение на предоставянето на информация на субектите на данни и ограничаването на някои от техните права в контекста на обработването на лични данни от Европейската комисия за целите на вътрешната сигурност на институциите на Съюза (ОВ L 37, 8.2.2019 г., стр. 144—149)
СВЪРЗАНИ ДОКУМЕНТИ
Приложими за Европейската комисия:
Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 година относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (ОВ L 295, 21.11.2018 г., стр. 39—98)
Решение (ЕС, Евратом) 2017/46 на Комисията от 10 януари 2017 година относно сигурността на комуникационните и информационните системи в Европейската комисия (ОВ L 6, 11.1.2017 г., стр. 40—51)
Последващите изменения на Решение (ЕС, Евратом) 2017/46 са инкорпорирани в основния текст. Тази консолидирана версия е само за документална справка.
Решение (ЕС, Евратом) 2015/443 на Комисията от 13 март 2015 година относно сигурността в Комисията (ОВ L 72, 17.3.2015 г., стр. 41—52)
Приложими за държавите от ЕС:
Регламент (EС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 4.5.2016 г., стр. 1—88)
Вж. консолидираната версия.
Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ L 119, 4.5.2016 г., стр. 89—131)
Вж. консолидираната версия.
последно актуализация 03.04.2019