CELEX: 32021D2243
Language: lt
Date: 1639526400000
Title: Komisijos sprendimas (ES) 2021/2243 2021 m. gruodžio 15 d. kuriuo nustatomos informacijos teikimo duomenų subjektams ir tam tikrų jų teisių ribojimo tvarkant asmens duomenis Komisijos informacinių ir ryšių sistemų saugumo tikslais vidaus taisyklės

2021 12 16   
               
               
                  LT
               
               
                  Europos Sąjungos oficialusis leidinys
               
               
                  L 450/149
               
            
         KOMISIJOS SPRENDIMAS (ES) 2021/2243
         2021 m. gruodžio 15 d.
         kuriuo nustatomos informacijos teikimo duomenų subjektams ir tam tikrų jų teisių ribojimo tvarkant asmens duomenis Komisijos informacinių ir ryšių sistemų saugumo tikslais vidaus taisyklės
         EUROPOS KOMISIJA,
         atsižvelgdama į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 249 straipsnio 1 dalį,
         kadangi:
         
                     (1)
                  
                  
                     vykdydama savo užduotis, Komisija privalo paisyti fizinių asmenų teisių, susijusių su asmens duomenų tvarkymu, pripažįstamų pagal Europos Sąjungos pagrindinių teisių chartijos 8 straipsnio 1 dalį ir Sutarties dėl Europos Sąjungos veikimo 16 straipsnio 1 dalį. Be to, ji privalo paisyti Europos Parlamento ir Tarybos reglamente (ES) 2018/1725 (1) numatytų teisių. Kartu Komisija turi pagal Sprendimo (ES, Euratomas) 2017/46 (2) 15 straipsnyje nustatytas taisykles valdyti IT saugumo incidentus;
                  
               
                     (2)
                  
                  
                     siekdama užtikrinti žmonėms, ištekliams ir informacijai apsaugoti būtiną IT saugumą, t. y. ryšių ir informacinių sistemų bei jose tvarkomų duomenų rinkinių konfidencialumą, vientisumą ir prieinamumą, Komisija, būtent jos Informatikos generalinis direktoratas, taiko Sprendime (ES, Euratomas) 2017/46 ir Sprendime C(2017) 8841 final (3) numatytas priemones. Tos priemonės apima IT saugumo rizikos ir įdiegtų IT saugumo priemonių stebėseną, reikalavimą, kad sistemų savininkai imtųsi konkrečių IT saugumo priemonių, kuriomis būtų sumažinta Komisijos ryšių ir informacinėms sistemoms kylanti IT saugumo rizika, ir IT saugumo incidentų valdymą;
                  
               
                     (3)
                  
                  
                     Informatikos generalinis direktoratas, kuris vykdo Komisijos IT saugumo operacijas ir teikia jai susijusias paslaugas, turi tvarkyti kelių kategorijų asmens duomenis, kad galėtų:
                     
                                 —
                              
                              
                                 pranešti ir perspėti apie IT saugumo įvykius ir incidentus,
                              
                           
                                 —
                              
                              
                                 reaguoti į IT saugumo įvykius ir incidentus ir juos suvaldyti,
                              
                           
                                 —
                              
                              
                                 vykdyti saugumo audito, saugumo vertinimo ir saugumo spragų valdymo veiksmus, padedančius taikyti reikiamas priemones ir atlikti reikiamas operacijas,
                              
                           
                                 —
                              
                              
                                 didinti Komisijos darbuotojų informuotumą apie kibernetinį saugumą,
                              
                           
                                 —
                              
                              
                                 stebėti ir aptikti IT saugumo įvykius ir incidentus ir užkirsti jiems kelią,
                              
                           
                                 —
                              
                              
                                 peržiūrėti privilegijuotųjų naudotojų paskyras;
                              
                           
               
                     (4)
                  
                  
                     Komisijos informacinių ir ryšių sistemų saugumui galintys pakenkti IT saugumo incidentai gali įvykti Komisijai atliekant bet kurią duomenų tvarkymo operaciją. Jie gali būti susiję su bet kurios kategorijos asmens duomenimis, tvarkomais Komisijos;
                  
               
                     (5)
                  
                  
                     Reglamente (ES) 2018/1725 nustatytas duomenų subjektų teises tam tikromis aplinkybėmis gali reikėti, visapusiškai paisant kitų duomenų subjektų pagrindinių teisių ir laisvių, suderinti su būtinybe Komisijai pagal Sprendimą (ES, Euratomas) 2017/46 veiksmingai vykdyti užduotis, kurių tikslas – užtikrinti asmenims, ištekliams ir informacijai Komisijoje apsaugoti būtiną IT saugumą. Tuo tikslu Komisija pagal Reglamento (ES) 2018/1725 25 straipsnio 1 dalį gali apriboti to reglamento 14–17, 19, 20 ir 35 straipsnių, taip pat to reglamento 4 straipsnio 1 dalies a punkte nustatyto skaidrumo principo – tiek, kiek jo nuostatos atitinka to reglamento 14–17, 19 ir 20 straipsniuose numatytas teises ir pareigas, – taikymą;
                  
               
                     (6)
                  
                  
                     šis sprendimas turėtų būti taikomas visoms duomenų tvarkymo operacijoms, kurias Komisija kaip duomenų valdytoja atlieka pagal Sprendimą (ES, Euratomas) 2017/46 vykdydama užduotis, kurių tikslas – užtikrinti asmenims, ištekliams ir informacijai Komisijoje apsaugoti būtiną IT saugumą. Todėl jis turėtų būti taikomas duomenų subjektams, kurių asmens duomenys tvarkomi per visas tas duomenų tvarkymo operacijas, t. y. asmenims, sąveikaujantiems su Komisijos informacinėmis ir ryšių sistemomis;
                  
               
                     (7)
                  
                  
                     asmens duomenys saugomi saugioje elektroninėje aplinkoje, kad su jais negalėtų neteisėtai susipažinti Komisijai nepriklausantys asmenys. Skirtingoms duomenų tvarkymo operacijoms taikomi skirtingi duomenų saugojimo laikotarpiai – jie priklauso nuo tvarkomų asmens duomenų rūšies. Bylų saugojimą Komisijoje reglamentuoja Bendras Komisijos bylų saugojimo laikotarpių sąrašas (SEC(2019) 900) – norminis dokumentas, kuriame nustatyti įvairių rūšių Komisijos bylų saugojimo terminai, kad duomenys būtų saugomi tik tiek, kiek būtina;
                  
               
                     (8)
                  
                  
                     vadovaujantis Reglamento (ES) 2018/1725 25 straipsnio 1 dalies d punktu, Komisijai gali reikėti apriboti duomenų subjektų teisių taikymą, kad būtų užtikrintas jos vidaus saugumas (t. y. jos ryšių ir informacinių sistemų bei jose tvarkomų duomenų rinkinių ir jos išteklių bei informacijos konfidencialumas, vientisumas ir prieinamumas). Tai Komisijai gali reikėti padaryti visų pirma siekiant:
                     
                                 —
                              
                              
                                 pranešti ir perspėti apie IT saugumo įvykius ir incidentus,
                              
                           
                                 —
                              
                              
                                 reaguoti į IT saugumo įvykius ir incidentus ir juos suvaldyti; vykdyti saugumo audito, saugumo vertinimo ir saugumo spragų valdymo veiksmus, padedančius taikyti reikiamas priemones ir atlikti reikiamas operacijas,
                              
                           
                                 —
                              
                              
                                 didinti Komisijos darbuotojų informuotumą apie kibernetinį saugumą,
                              
                           
                                 —
                              
                              
                                 stebėti ir aptikti IT saugumo įvykius ir incidentus ir užkirsti jiems kelią,
                              
                           
                                 —
                              
                              
                                 peržiūrėti privilegijuotųjų naudotojų paskyras;
                              
                           
               
                     (9)
                  
                  
                     valdydamas IT saugumo incidentus, kaip nurodyta Sprendimo (ES, Euratomas) 2017/46 15 straipsnyje, Informatikos generalinis direktoratas gali keistis informacija su Žmogiškųjų išteklių ir saugumo generalinio direktorato Reagavimo į kibernetinius incidentus tarnyba;
                  
               
                     (10)
                  
                  
                     siekdama laikytis Reglamento (ES) 2018/1725 14, 15 ir 16 straipsnių, Komisija turėtų informuoti visus fizinius asmenis apie veiklą, kurią vykdant yra tvarkomi jų asmens duomenys ir kuri turi įtakos jų teisėms. Tai ji turėtų daryti skaidriai ir nuosekliai, savo interneto svetainėje skelbdama pranešimą apie duomenų apsaugą. Prireikus ji turėtų taikyti papildomas apsaugos priemones, kad duomenų subjektai būtų tinkamu būdu informuoti individualiai;
                  
               
                     (11)
                  
                  
                     laikantis Reglamento (ES) 2018/1725 14, 15 ir 16 straipsnių gali būti atskleista informacija apie esamas IT saugumo priemones, saugumo spragas ar incidentus, valdomus pagal Sprendimo (ES, Euratomas) 2017/46 15 straipsnį. Informacijos apie tas IT saugumo priemones, saugumo spragas ar incidentus atskleidimas didina riziką, kad paviešinta IT saugumo priemonė bus apeita, atskleista saugumo spraga bus pasinaudota ar kad, naudotojui ar piktavališkam subjektui atsitiktinai arba tyčia sumanipuliavus artefaktais, bus pakenkta vykstančiam IT saugumo incidento tyrimui. Dėl to Komisijai gali tapti labai sunku užtikrinti IT saugumą ir – ypač – veiksmingai valdyti IT saugumo incidentus ateityje;
                  
               
                     (12)
                  
                  
                     pagal Reglamento (ES) 2018/1725 25 straipsnio 1 dalies h punktą Komisija taip pat gali apriboti duomenų subjektų teisių taikymą, kad apsaugotų kitų asmenų, susijusių su IT saugumo incidentais, galinčiais pakenkti IT saugumo operacijoms, teises ir laisves;
                  
               
                     (13)
                  
                  
                     be to, vykdant pareigą bendradarbiauti su ES nepriklausančiomis šalimis ir tarptautinėmis organizacijomis, Komisijai gali reikėti apriboti informacijos teikimą duomenų subjektams ir kitų jų teisių taikymą, kiek tai susiję su iš tų šalių arba organizacijų gautais asmens duomenimis. Tai įeina į Komisijos pareigą užtikrinti svarbaus su ES bendru viešuoju interesu susijusio tikslo apsaugą, kaip nurodyta Reglamento (ES) 2018/1725 25 straipsnio 1 dalies c punkte. Tačiau tam tikromis aplinkybėmis su duomenų subjekto pagrindinėmis teisėmis susijęs interesas gali būti viršesnis už tarptautinio bendradarbiavimo interesą;
                  
               
                     (14)
                  
                  
                     todėl Komisija konstatuoja, kad Reglamento (ES) 2018/1725 25 straipsnio 1 dalies c, d ir h punktuose nurodytais pagrindais gali reikėti taikyti apribojimus, susijusius su duomenų tvarkymo operacijomis, kurias Informatikos generalinis direktoratas atlieka vykdydamas Komisijos IT saugumo operacijas ir teikdamas jai susijusias paslaugas;
                  
               
                     (15)
                  
                  
                     pagal šį sprendimą taikomi apribojimai turėtų būti išties būtini ir proporcingi atsižvelgiant į duomenų subjektų teisėms ir laisvėms kylančius pavojus;
                  
               
                     (16)
                  
                  
                     visus apribojimus Komisija turėtų taikyti skaidriai ir kiekvieną jų taikymo atvejį užfiksuoti atitinkamoje registracijos sistemoje;
                  
               
                     (17)
                  
                  
                     pagal (ES) 2018/1725 25 straipsnio 8 dalį duomenų valdytojai gali atidėti informacijos apie apribojimo taikymo duomenų subjektui priežastis pateikimą, jos nepateikti arba atsisakyti ją pateikti, jei tos informacijos pateikimas kokiu nors būdu sumažintų apribojimo veiksmingumą. Tai visų pirma pasakytina apie Reglamento (ES) 2018/1725 16 ir 35 straipsniuose numatytų pareigų apribojimus. Komisija turėtų reguliariai peržiūrėti nustatytus apribojimus, kad užtikrintų, jog duomenų subjekto teisės būti informuotam pagal Reglamento (ES) 2018/1725 16 ir 35 straipsnius būtų apribotos tik tol, kol tai būtina, kad Komisija galėtų užtikrinti IT saugumą ir – ypač – valdyti IT saugumo incidentus;
                  
               
                     (18)
                  
                  
                     jei Komisija apriboja kitų nei Reglamento (ES) 2018/1725 16 ir 35 straipsniuose nurodytų duomenų subjektų teisių taikymą, duomenų valdytojas turėtų kiekvienu konkrečiu atveju įvertinti, ar pranešimas apie apribojimą nepakenktų to apribojimo tikslui;
                  
               
                     (19)
                  
                  
                     kad būtų užtikrinta atitiktis šio sprendimo nuostatoms, Komisijos duomenų apsaugos pareigūnas turėtų atlikti nepriklausomą apribojimų taikymo peržiūrą;
                  
               
                     (20)
                  
                  
                     kad Komisija galėtų pagal Reglamento (ES) 2018/1725 25 straipsnį nedelsdama apriboti tam tikrų teisių ir pareigų taikymą, šis sprendimas turėtų įsigalioti dvidešimtą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje;
                  
               
                     (21)
                  
                  
                     2021 m. rugsėjo 16 d. Europos duomenų apsaugos priežiūros pareigūnas pateikė nuomonę,
                  
               PRIĖMĖ ŠĮ SPRENDIMĄ:
         
            1 straipsnis
            Dalykas ir taikymo sritis
            
               1.   Šiuo sprendimu nustatomos taisyklės, kurių, vykdydama Sprendime (ES, Euratomas) 2017/46 nustatytas užduotis, turi laikytis Komisija siekdama pagal Reglamento (ES) 2018/1725 14, 15 ir 16 straipsnius informuoti duomenų subjektus apie jų duomenų tvarkymą.
               Juo taip pat nustatomos sąlygos, kuriomis Komisija, vykdydama Sprendime (ES, Euratomas) 2017/46 nustatytas užduotis, gali pagal Reglamento (ES) 2018/1725 25 straipsnio 1 dalies c, d ir h punktus apriboti to reglamento 4, 14–17, 19, 20 ir 35 straipsnių taikymą.
            
            
               2.   Šis sprendimas taikomas duomenų tvarkymo veiksmams, kuriuos Komisija arba jos pavesti subjektai atlieka pagal Sprendimą (ES, Euratomas) 2017/46 vykdydami veiklą, kuria siekiama užtikrinti asmenims, ištekliams ir informacijai Komisijoje apsaugoti būtiną IT saugumą, arba kurie yra su ta veikla susiję.
            
         
         
            2 straipsnis
            Taikytinos išimtys ir apribojimai
            
               1.   Vykdydama savo pareigas, susijusias su Reglamente (ES) 2018/1725 nustatytomis duomenų subjektų teisėmis, Komisija įvertina, ar taikytina kuri nors iš tame reglamente nustatytų išimčių.
            
            
               2.   Jei Reglamento (ES) 2018/1725 14–17, 19, 20 ir 35 straipsniuose numatytų teisių ir pareigų, susijusių su Komisijos tvarkomais asmens duomenimis, įgyvendinimas trukdytų vykdyti IT saugumo operacijas ir teikti susijusias paslaugas, pavyzdžiui, dėl to, kad būtų paviešintos Komisijos tyrimo priemonės, saugumo spragos ir metodai, arba jei jis neigiamai paveiktų kitų duomenų subjektų teises, laisves ir saugumą, visų pirma turint omenyje asmens duomenų tvarkymo veiksmus, kuriais siekiama:
               
                           —
                        
                        
                           pranešti ir perspėti apie IT saugumo įvykius ir incidentus,
                        
                     
                           —
                        
                        
                           reaguoti į IT saugumo įvykius ir incidentus ir juos suvaldyti,
                        
                     
                           —
                        
                        
                           vykdyti saugumo audito, saugumo vertinimo ir saugumo spragų valdymo veiksmus, padedančius taikyti reikiamas priemones ir atlikti reikiamas operacijas,
                        
                     
                           —
                        
                        
                           didinti Komisijos darbuotojų informuotumą apie kibernetinį saugumą,
                        
                     
                           —
                        
                        
                           stebėti ir aptikti IT saugumo įvykius ir incidentus ir užkirsti jiems kelią,
                        
                     
                           —
                        
                        
                           peržiūrėti privilegijuotųjų naudotojų paskyras,
                        
                     Komisija, laikydamasi šio sprendimo 3–7 straipsnių, gali apriboti:
               
                           a)
                        
                        
                           Reglamento (ES) 2018/1725 14–17, 19, 20 ir 35 straipsnių taikymą;
                        
                     
                           b)
                        
                        
                           Reglamento (ES) 2018/1725 4 straipsnio 1 dalies a punkte nustatyto skaidrumo principo – tiek, kiek jo nuostatos atitinka to reglamento 14–17, 19 ir 20 straipsniuose numatytas teises ir pareigas – taikymą.
                        
                     Tai padaryti Komisija gali vadovaudamasi Reglamento (ES) 2018/1725 25 straipsnio 1 dalies c, d ir h punktais.
            
            
               3.   Laikydamasi 3–7 straipsnių, šio straipsnio 2 dalyje nurodytas teises ir pareigas Komisija gali apriboti:
               
                           a)
                        
                        
                           tais atvejais, kai tų teisių ir pareigų, susijusių su asmens duomenimis, gautais iš kitos ES institucijos, įstaigos, agentūros ar organo, įgyvendinimą gali būti apribojusi ta kita ES institucija, įstaiga, agentūra ar organas, remdamiesi Reglamento (ES) 2018/1725 25 straipsnyje nurodytais teisės aktais, to reglamento IX skyriumi, Europos Parlamento ir Tarybos reglamentu (ES) 2016/794 (4) arba Tarybos reglamentu (ES) 2017/1939 (5);
                        
                     
                           b)
                        
                        
                           tais atvejais, kai tų teisių ir pareigų, susijusių su asmens duomenimis, gautais iš valstybės narės kompetentingos institucijos, įgyvendinimą gali būti apribojusios tos valstybės narės kompetentingos institucijos, remdamosi Europos Parlamento ir Tarybos reglamento (ES) 2016/679 (6) 23 straipsnyje nurodytomis teisėkūros priemonėmis arba nacionalinėmis priemonėmis, kuriomis į nacionalinę teisę perkeliama Europos Parlamento ir Tarybos direktyvos (ES) 2016/680 (7) 13 straipsnio 3 dalis, 15 straipsnio 3 dalis arba 16 straipsnio 3 dalis;
                        
                     
                           c)
                        
                        
                           tais atvejais, kai tų teisių ir pareigų įgyvendinimas pakenktų su bendromis kibernetinėmis grėsmėmis susijusiam Komisijos bendradarbiavimui su ES nepriklausančiomis šalimis arba tarptautinėmis organizacijomis.
                        
                     Prieš taikydama apribojimus pirmos pastraipos a ir b punktuose nurodytomis aplinkybėmis, Komisija pasikonsultuoja su atitinkamomis ES institucijomis, įstaigomis, agentūromis ir organais arba valstybių narių institucijomis dėl galimo apribojimų taikymo pagrindo ir atitinkamų apribojimų būtinumo ir proporcingumo, išskyrus atvejus, kai tai pakenktų Komisijos veiklai arba kai Komisijai yra aišku, kad apribojimo taikymas yra numatytas viename iš tuose punktuose nurodytų aktų, arba kai toks konsultavimasis pakenktų veiklos, kurią ji vykdo pagal Sprendimą (ES, Euratomas) 2017/46, tikslui.
               Pirmos pastraipos c punktas netaikomas tais atvejais, kai duomenų subjekto interesai arba pagrindinės teisės ir laisvės yra viršesni už Komisijos interesą bendradarbiauti su ES nepriklausančiomis šalimis arba tarptautinėmis organizacijomis.
            
            
               4.   1, 2 ir 3 dalys nedaro poveikio kitų Komisijos sprendimų, kuriais nustatomos vidaus taisyklės, reglamentuojančios informacijos teikimą duomenų subjektams ir tam tikrų teisių taikymo apribojimą pagal Reglamento (ES) 2018/1725 25 straipsnį, taikymui.
            
            
               5.   Bet koks 2 dalyje nurodytų teisių ir pareigų apribojimas turi būti išties būtinas ir proporcingas atsižvelgiant į duomenų subjektų teisėms ir laisvėms kylančius pavojus.
            
            
               6.   Prieš taikant apribojimus, kiekvienu konkrečiu atveju atliekama būtinumo ir proporcingumo patikra, o apribojimai turi neviršyti to, kas tikrai būtina numatytam tikslui pasiekti.
            
         
         
            3 straipsnis
            Informacijos teikimas duomenų subjektams
            
               1.   Komisija savo interneto svetainėje paskelbia pranešimą apie duomenų apsaugą, kuriuo visi duomenų subjektai informuojami apie jos veiklą, kurią vykdydama ji tvarko jų asmens duomenis siekdama atlikti Sprendime (ES, Euratomas) 2017/46 nustatytas užduotis; pranešime taip pat nurodomos tvarkomų asmens duomenų kategorijos. Jei tai įmanoma nesukeliant grėsmės IT saugumui, Komisija užtikrina, kad duomenų subjektai būtų tinkamu būdu informuoti individualiai.
            
            
               2.   Tais atvejais, kai Komisija visiškai ar iš dalies apriboja informacijos teikimą duomenų subjektams, kurių asmens duomenis ji tvarko siekdama atlikti Sprendime (ES, Euratomas) 2017/46 nustatytas užduotis, ji pagal šio sprendimo 6 straipsnį užfiksuoja ir užregistruoja apribojimo taikymo priežastis.
            
         
         
            4 straipsnis
            Duomenų subjekto teisė susipažinti su duomenimis, reikalauti juos ištrinti ir apriboti jų tvarkymą
            
               1.   Tais atvejais, kai Komisija visiškai ar iš dalies apriboja duomenų subjektų teisę susipažinti su duomenimis, teisę reikalauti juos ištrinti arba teisę apriboti jų tvarkymą, nurodytas Reglamento (ES) 2018/1725 17, 19 ir 20 straipsniuose, ji atsakyme į prašymą leisti susipažinti su duomenimis, juos ištrinti arba apriboti jų tvarkymą informuoja atitinkamą duomenų subjektą apie:
               
                           a)
                        
                        
                           taikomą apribojimą ir pagrindines jo taikymo priežastis;
                        
                     
                           b)
                        
                        
                           tai, kaip pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui arba teismine tvarka apskųsti sprendimą Europos Sąjungos Teisingumo Teismui.
                        
                     
            
               2.   Komisija gali atidėti informacijos apie 1 dalyje nurodyto apribojimo taikymo priežastis pateikimą, jos nepateikti arba atsisakyti ją pateikti tol, kol tai gali pakenkti to apribojimo tikslui.
            
            
               3.   Komisija pagal 6 straipsnį užfiksuoja ir užregistruoja apribojimo taikymo priežastis.
            
            
               4.   Tais atvejais, kai teisė susipažinti su duomenimis yra visiškai ar iš dalies apribota, duomenų subjektai šia savo teise gali pagal Reglamento (ES) 2018/1725 25 straipsnio 6, 7 ir 8 dalis pasinaudoti susisiekę su Europos duomenų apsaugos priežiūros pareigūnu.
            
         
         
            5 straipsnis
            Pranešimas duomenų subjektams apie asmens duomenų saugumo pažeidimą
            Tais atvejais, kai Komisija apriboja Reglamento (ES) 2018/1725 35 straipsnyje nurodyto pranešimo apie asmens duomenų saugumo pažeidimą pateikimą duomenų subjektui, ji pagal šio sprendimo 6 straipsnį užfiksuoja ir užregistruoja apribojimo taikymo priežastis. Užfiksuotus duomenis Komisija pateikia Europos duomenų apsaugos priežiūros pareigūnui tuo metu, kai pranešama apie asmens duomenų saugumo pažeidimą.
         
         
            6 straipsnis
            Apribojimų fiksavimas ir registravimas
            
               1.   Komisija fiksuoja kiekvieno apribojimo taikymo pagal šį sprendimą priežastis, įskaitant nuorodas į apribojimo taikymo teisinį pagrindą (-us) ir apribojimo būtinumo ir proporcingumo vertinimą, atsižvelgdama į atitinkamus Reglamento (ES) 2018/1725 25 straipsnio 2 dalyje nustatytus elementus.
            
            
               2.   Fiksuojant šiuos duomenis nurodoma, kaip duomenų subjekto naudojimasis atitinkama teise trukdytų pagal Sprendimą (ES, Euratomas) 2017/46 vykdyti Komisijos IT saugumo operacijas ir teikti jai susijusias paslaugas arba pakenktų pagal šio sprendimo 2 straipsnio 2 arba 3 dalį taikomų apribojimų tikslui, arba neigiamai paveiktų kitų duomenų subjektų teises ir laisves.
            
            
               3.   Komisija užregistruoja šiuos duomenis ir visus dokumentus, kuriuose išdėstytos pagrindinės faktinės ir teisinės aplinkybės. Gavus prašymą jie pateikiami Europos duomenų apsaugos priežiūros pareigūnui.
            
         
         
            7 straipsnis
            Apribojimų trukmė
            
               1.   3, 4 ir 5 straipsniuose nurodyti apribojimai taikomi tol, kol išlieka jų taikymo priežastys.
            
            
               2.   Tais atvejais, kai 3, 4 ir 5 straipsniuose nurodytų apribojimų taikymo priežasčių nebelieka, Komisija:
               
                           a)
                        
                        
                           panaikina apribojimą;
                        
                     
                           b)
                        
                        
                           informuoja duomenų subjektą apie pagrindines apribojimo taikymo priežastis;
                        
                     
                           c)
                        
                        
                           informuoja duomenų subjektą apie tai, kaip bet kada pateikti skundą Europos duomenų apsaugos priežiūros pareigūnui arba teismine tvarka apskųsti sprendimą Europos Sąjungos Teisingumo Teismui.
                        
                     
         
         
            8 straipsnis
            Apsaugos priemonės ir saugojimo laikotarpiai
            
               1.   Komisija peržiūri 3, 4 ir 5 straipsniuose nurodytus apribojimus praėjus šešiems mėnesiams nuo jų nustatymo ir tada, kai baigiama vykdyti konkreti IT saugumo operacija. Vėliau būtinybę toliau taikyti apribojimą Komisija peržiūri ir įvertina kasmet.
               Peržiūrint apribojimą įvertinamas jo būtinumas ir proporcingumas, atsižvelgiant į atitinkamus Reglamento (ES) 2018/1725 25 straipsnio 2 dalyje nustatytus elementus.
            
            
               2.   Komisija taiko technines ir organizacines priemones, padedančias užtikrinti, kad persiųsti, saugomi arba kitaip tvarkomi asmens duomenys nebūtų netyčia arba neteisėtai sunaikinti, prarasti, pakeisti, be leidimo atskleisti arba kad prie jų nebūtų be leidimo gauta prieiga, pavyzdžiui, valdo prieigos teises, vykdo atsarginių kopijų kūrimo politiką ir taiko bet kokias kitas priemones, laikydamasi Sprendimo (ES, Euratomas) 2017/46.
            
            
               3.   Remdamasi Bendru Komisijos bylų saugojimo laikotarpių sąrašu, Komisija nustato duomenų saugojimo laikotarpius, taikytinus vykdant atitinkamus duomenų tvarkymo veiksmus, ir pranešime apie duomenų apsaugą apie juos informuoja duomenų subjektus.
            
         
         
            9 straipsnis
            Komisijos duomenų apsaugos pareigūno atliekama peržiūra
            
               1.   Kaskart, kai pagal šį sprendimą apribojamos duomenų subjektų teisės, apie tai be reikalo nedelsiant informuojamas Komisijos duomenų apsaugos pareigūnas. Gavus prašymą duomenų apsaugos pareigūnui suteikiama galimybė susipažinti su užfiksuotais duomenimis ir visais dokumentais, kuriuose išdėstytos pagrindinės faktinės ir teisinės aplinkybės.
            
            
               2.   Duomenų apsaugos pareigūnas gali paprašyti peržiūrėti apribojimus ir yra informuojamas apie paprašytos atlikti peržiūros rezultatus.
            
            
               3.   Kaskart, kai pagal šį sprendimą apribojamos duomenų subjektų teisės, Komisija dokumentuoja duomenų apsaugos pareigūno dalyvavimą procese.
            
         
         
            10 straipsnis
            Įsigaliojimas
            Šis sprendimas įsigalioja dvidešimtą dieną po jo paskelbimo Europos Sąjungos oficialiajame leidinyje.
         
         
            Priimta Briuselyje 2021 m. gruodžio 15 d.
            
               
                  Komisijos vardu
               
               
                  Pirmininkė
               
               Ursula VON DER LEYEN
            
         
         
            (1)  2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentas (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB (OL L 295, 2018 11 21, p. 39).
         
            (2)  2017 m. sausio 10 d. Komisijos sprendimas (ES, Euratomas) 2017/46 dėl Europos Komisijos ryšių ir informacinių sistemų saugumo (OL L 6, 2017 1 11, p. 40).
         
            (3)  2017 m. gruodžio 13 d. Komisijos sprendimas C(2017) 8841, kuriuo nustatomos Komisijos sprendimo 2017/46 dėl Komisijos ryšių ir informacinių sistemų saugumo 3, 5, 7, 8, 9, 10, 11, 12, 14 ir 15 straipsnių įgyvendinimo taisyklės.
         
            (4)  2016 m. gegužės 11 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/794 dėl ES teisėsaugos bendradarbiavimo agentūros (Europolo), kuriuo pakeičiami ir panaikinami Tarybos sprendimai 2009/371/TVR, 2009/934/TVR, 2009/935/TVR, 2009/936/TVR ir 2009/968/TVR (OL L 135, 2016 5 24, p. 53).
         
            (5)  2017 m. spalio 12 d. Tarybos reglamentas (ES) 2017/1939, kuriuo įgyvendinamas tvirtesnis bendradarbiavimas Europos prokuratūros įsteigimo srityje (OL L 283, 2017 10 31, p. 1).
         
            (6)  2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016 5 4, p. 1);
         
            (7)  2016 m. balandžio 27 d. Europos Parlamento ir Tarybos direktyva (ES) 2016/680 dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR (OL L 119, 2016 5 4, p. 89).