CELEX: 32021D2243
Language: sl
Date: 2021-12-15 00:00:00
Title: Sklep Komisije (EU) 2021/2243 z dne 15. decembra 2021 o določitvi notranjih pravil glede zagotavljanja informacij posameznikom, na katere se nanašajo osebni podatki, in omejevanja nekaterih njihovih pravic v okviru obdelave osebnih podatkov za namene varnosti informacijskih in komunikacijskih sistemov Komisije

16.12.2021   
               
               
                  SL
               
               
                  Uradni list Evropske unije
               
               
                  L 450/149
               
            
         SKLEP KOMISIJE (EU) 2021/2243
         z dne 15. decembra 2021
         o določitvi notranjih pravil glede zagotavljanja informacij posameznikom, na katere se nanašajo osebni podatki, in omejevanja nekaterih njihovih pravic v okviru obdelave osebnih podatkov za namene varnosti informacijskih in komunikacijskih sistemov Komisije
         EVROPSKA KOMISIJA JE –
         ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 249(1) Pogodbe,
         ob upoštevanju naslednjega:
         
                     (1)
                  
                  
                     Komisija mora pri opravljanju svojih nalog spoštovati pravice fizičnih oseb v zvezi z obdelavo osebnih podatkov, ki jih priznavata člen 8(1) Listine Evropske unije o temeljnih pravicah in člen 16(1) Pogodbe o delovanju Evropske unije. Spoštovati mora tudi pravice, zagotovljene z Uredbo (EU) 2018/1725 Evropskega parlamenta in Sveta (1). Hkrati mora Komisija varnostne incidente IT obvladovati v skladu s pravili iz člena 15 Sklepa (EU, EURATOM) 2017/46 (2).
                  
               
                     (2)
                  
                  
                     Komisija je za zagotavljanje varnosti IT, tj. ohranjanja zaupnosti, celovitosti in razpoložljivosti komunikacijskih in informacijskih sistemov in naborov podatkov, ki jih obdeluje v povezavi z osebami, sredstvi in informacijami, preko Generalnega direktorata za informatiko sprejela ukrepe iz Sklepa (EU, EURATOM) 2017/46 in Sklepa C(2017) 8841 final (3). Ti ukrepi vključujejo spremljanje tveganj za varnost IT in izvedenih varnostnih ukrepov na področju IT, pozive lastnikom sistema, da izvedejo posebne varnostne ukrepe na področju IT za ublažitev tveganj za varnost IT v komunikacijskih in informacijskih sistemih Komisije, in obvladovanje varnostnih incidentov IT.
                  
               
                     (3)
                  
                  
                     Generalni direktorat za informatiko Komisiji zagotavlja varnostne operacije in storitve IT in mora obdelati več vrst osebnih podatkov, da:
                     
                                 —
                              
                              
                                 sporoči alarme in opozorila v zvezi z varnostnimi dogodki in incidenti IT;
                              
                           
                                 —
                              
                              
                                 se odzove na varnostne dogodke in incidente IT in jih obvladuje;
                              
                           
                                 —
                              
                              
                                 z revizijami varnosti, ocenami varnosti in obvladovanjem šibkih točk razvija orodja in postopke;
                              
                           
                                 —
                              
                              
                                 v službah Komisije krepi ozaveščenost o kibernetski varnosti;
                              
                           
                                 —
                              
                              
                                 spremlja, odkriva in preprečuje pojav varnostnih dogodkov in incidentov IT;
                              
                           
                                 —
                              
                              
                                 pregleduje račune privilegiranih uporabnikov.
                              
                           
               
                     (4)
                  
                  
                     Do varnostnih incidentov IT, ki ogrožajo varnost informacijskih in komunikacijskih sistemov Komisije, lahko pride v katerem koli postopku obdelave, ki ga izvaja Komisija. Vključujejo lahko vse vrste osebnih podatkov, ki jih Komisija obdeluje.
                  
               
                     (5)
                  
                  
                     V nekaterih okoliščinah je treba pravice, ki jih imajo posamezniki, na katere se nanašajo osebni podatki, na podlagi Uredbe (EU) 2018/1725 uskladiti s potrebo Komisije po učinkovitem izvajanju nalog za zagotavljanje varnosti IT oseb, sredstev in podatkov v Komisiji v skladu s Sklepom (EU, EURATOM) 2017/46, ob tem pa v celoti spoštovati temeljne pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki. V ta namen člen 25(1) Uredbe (EU) 2018/1725 Komisijo pooblašča za omejitev uporabe členov 14–17, 19, 20 in 35 navedene uredbe ter načela preglednosti, določenega v členu 4(1), točka (a), Uredbe, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 14–17, 19 in 20 navedene uredbe.
                  
               
                     (6)
                  
                  
                     Ta sklep bi se moral uporabljati za vse postopke obdelave, ki jih Komisija kot upravljavec podatkov izvaja pri opravljanju svojih nalog zagotavljanja varnosti IT oseb, sredstev in podatkov v Komisiji v skladu s Sklepom (EU, EURATOM) 2017/46. Zato bi moral veljati za posameznike, na katere se nanašajo osebni podatki, v zvezi z različnimi vrstami osebnih podatkov, zajetih v vseh teh postopkih obdelave, tj. posameznike, ki uporabljajo kateri koli informacijski in komunikacijski sistem Komisije.
                  
               
                     (7)
                  
                  
                     Osebni podatki se hranijo v varnem elektronskem okolju, s čimer se prepreči, da bi osebe zunaj Komisije nezakonito dostopale do njih. Za različne postopke obdelave veljajo različna obdobja hrambe podatkov, ki so odvisna od vrste vključenih osebnih podatkov. Hramba spisov pri Komisiji se ureja s skupnim seznamom hrambe na ravni Komisije (SEC(2019) 900), tj. regulativnim dokumentom v obliki načrta hrambe, ki določa obdobja hrambe za različne vrste spisov Komisije, da se hramba podatkov omeji na to, kar je nujno potrebno.
                  
               
                     (8)
                  
                  
                     Komisija bo morda morala omejiti uporabo pravic posameznikov, na katere se nanašajo osebni podatki, da zaščiti svojo notranjo varnost v skladu s členom 25(1), točka (d), Uredbe (EU) 2018/1725 (tj. da ohrani zaupnost, celovitost in razpoložljivost svojih komunikacijskih in informacijskih sistemov in naborov podatkov, ki jih obdeluje v povezavi z osebami, sredstvi in informacijami). Komisija bo morda morala to storiti zlasti pri:
                     
                                 —
                              
                              
                                 sporočanju alarmov in opozoril v zvezi z varnostnimi dogodki in incidenti IT;
                              
                           
                                 —
                              
                              
                                 odzivih na varnostne dogodke in incidente IT ter njihovem obvladovanju; razvijanju orodij in postopkov preko revizij varnosti, ocen varnosti in obvladovanja ranljivosti;
                              
                           
                                 —
                              
                              
                                 povečanju ozaveščenosti o kibernetski varnosti v službah Komisije;
                              
                           
                                 —
                              
                              
                                 spremljanju, odkrivanju in preprečevanju pojava varnostnih dogodkov in incidentov IT;
                              
                           
                                 —
                              
                              
                                 pregledovanju računov privilegiranih uporabnikov.
                              
                           
               
                     (9)
                  
                  
                     Generalni direktorat za informatiko si lahko za obvladovanje varnostnih incidentov iz člena 15 Sklepa (EU, EURATOM) 2017/46 izmenjuje informacije s skupino za odzivanje na računalniške grožnje Generalnega direktorata za človeške vire in varnost.
                  
               
                     (10)
                  
                  
                     Komisija bi morala zaradi skladnosti s členi 14, 15 in 16 Uredbe (EU) 2018/1725 vse posameznike obvestiti o dejavnostih, ki vključujejo obdelavo njihovih osebnih podatkov in vplivajo na njihove pravice. To bi morala narediti pregledno in usklajeno z objavo obvestila o varstvu podatkov na spletišču Komisije. Po potrebi bi morala Komisija uporabiti dodatne zaščitne ukrepe, da posameznike, na katere se nanašajo osebni podatki, o tem posamično obvesti v ustrezni obliki.
                  
               
                     (11)
                  
                  
                     Zagotavljanje skladnosti s členi 14, 15 in 16 Uredbe (EU) 2018/1725 bi lahko privedlo do razkritja sprejetih varnostnih ukrepov na področju IT, šibkih točk ali incidentov iz člena 15 Sklepa (EU, EURATOM) 2017/46. Z razkritjem teh varnostnih ukrepov na področju IT, šibkih točk ali incidentov se poveča tveganje, da se posamezniki izognejo razkritemu varnostnemu ukrepu na področju IT, da se razkrita šibka točka zlorabi in da se ogrozi potekajoča analiza incidenta, saj lahko uporabnik ali zlonamerni akter naključno ali namerno manipulira s ključnimi elementi. To bi lahko resno ogrozilo zmožnost Komisije za zagotavljanje svoje varnosti IT, zlasti pa za učinkovito obvladovanje varnostnih incidentov IT v prihodnosti.
                  
               
                     (12)
                  
                  
                     Komisija je v skladu s členom 25(1), točka (h), Uredbe (EU) 2018/1725 tudi pooblaščena, da posameznikom, na katere se nanašajo osebni podatki, omeji uporabo pravic, da zaščiti pravice in svoboščine drugih posameznikov, povezane z varnostnimi incidenti IT, ki bi lahko ogrozili varnostne operacije IT.
                  
               
                     (13)
                  
                  
                     Komisija mora morda omejiti zagotavljanje informacij posameznikom, na katere se nanašajo osebni podatki, in uporabo drugih pravic posameznikov, na katere se nanašajo osebni podatki, v zvezi z osebnimi podatki, prejetimi od držav nečlanic EU ali mednarodnih organizacij, da bi izpolnila svojo dolžnost sodelovanja s temi državami ali organizacijami. To je del obveznosti Komisije za zagotavljanje pomembnega cilja v splošnem javnem interesu Unije, kot je navedeno v členu 25(1), točka (c), Uredbe (EU) 2018/1725. Vendar lahko v nekaterih okoliščinah interes temeljnih pravic posameznika, na katerega se nanašajo osebni podatki, prevlada nad interesom mednarodnega sodelovanja.
                  
               
                     (14)
                  
                  
                     Komisija je zato določila razloge iz člena 25(1), točke (c), (d) in (h), Uredbe (EU) 2018/1725 kot razloge za omejitve, ki jih bo morda treba uveljaviti pri postopkih obdelave podatkov, ki jih Generalni direktorat za informatiko izvaja v zvezi z zagotavljanjem varnostnih operacij in storitev IT Komisiji.
                  
               
                     (15)
                  
                  
                     Vse omejitve, ki se uporabijo na podlagi tega sklepa, bi morale biti potrebne in sorazmerne ob upoštevanju tveganj za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki.
                  
               
                     (16)
                  
                  
                     Komisija bi morala vse omejitve obravnavati pregledno in vsako uporabo omejitev registrirati v ustreznem sistemu evidentiranja.
                  
               
                     (17)
                  
                  
                     V skladu s členom 25(8) Uredbe (EU) 2018/1725 lahko upravljavci podatkov preložijo, opustijo ali zavrnejo zagotavljanje informacij na podlagi razlogov za uporabo omejitve posamezniku, na katerega se nanašajo osebni podatki, če bi zagotovitev teh informacij kakor koli ogrozila namen omejitve. To zlasti velja za omejitve obveznosti iz členov 16 in 35 Uredbe (EU) 2018/1725. Komisija bi morala redno pregledovati uvedene omejitve, da bi bilo zagotovljeno, da so pravice posameznika, na katerega se nanašajo osebni podatki, do obveščenosti v skladu s členoma 16 in 35 Uredbe (EU) 2018/1725 omejene le, dokler so take omejitve potrebne, da se Komisiji omogoči zagotavljanje varnosti IT in zlasti obvladovanje varnostnih incidentov IT.
                  
               
                     (18)
                  
                  
                     Kadar Komisija omeji uporabo pravic posameznikov, na katere se nanašajo osebni podatki, ki niso tiste iz členov 16 in 35 Uredbe (EU) 2018/1725, bi moral upravljavec podatkov za vsak primer posebej oceniti, ali bi sporočanje omejitve ogrozilo njen namen.
                  
               
                     (19)
                  
                  
                     Pooblaščena oseba za varstvo podatkov pri Komisiji bi morala opraviti neodvisen pregled uporabe omejitev, da se zagotovi skladnost s tem sklepom.
                  
               
                     (20)
                  
                  
                     Da bi lahko Komisija nemudoma omejila uporabo nekaterih pravic in obveznosti v skladu s členom 25 Uredbe (EU) 2018/1725, bi moral ta sklep začeti veljati dvajseti dan po objavi v Uradnem listu Evropske unije.
                  
               
                     (21)
                  
                  
                     Evropski nadzornik za varstvo podatkov je mnenje podal 16. septembra 2021 –
                  
               SPREJELA NASLEDNJI SKLEP:
         
            Člen 1
            Predmet urejanja in področje uporabe
            
               1.   Ta sklep določa pravila, ki jih mora Komisija upoštevati za obveščanje posameznikov, na katere se nanašajo osebni podatki, o obdelavi njihovih osebnih podatkov v skladu s členi 14, 15 in 16 Uredbe (EU) 2018/1725 pri izvajanju svojih nalog na podlagi Sklepa (EU, EURATOM) 2017/46.
               Določa tudi pogoje, pod katerimi lahko Komisija omeji uporabo členov 4, 14–17, 19, 20 in 35 Uredbe (EU) 2018/1725 v skladu s členom 25(1), točke (c), (d) in (h), navedene uredbe pri izvajanju svojih nalog na podlagi Sklepa (EU, EURATOM) 2017/46.
            
            
               2.   Ta sklep se uporablja za obdelavo osebnih podatkov s strani ali v imenu Komisije za namene dejavnosti, ki se v skladu s Sklepom (EU, EURATOM) 2017/46 izvajajo za zagotavljanje varnosti IT oseb, sredstev in podatkov v Komisiji, ali v povezavi s temi dejavnostmi.
            
         
         
            Člen 2
            Veljavne izjeme in omejitve
            
               1.   Komisija pri izvajanju svojih nalog v zvezi s pravicami posameznikov, na katere se nanašajo osebni podatki, v skladu z Uredbo (EU) 2018/1725 preuči, ali velja katera od izjem iz navedene uredbe.
            
            
               2.   V skladu s členi 3 do 7 tega sklepa, če bi izvajanje pravic in obveznosti iz členov 14–17, 19, 20 in 35 Uredbe (EU) 2018/1725 v zvezi z osebnimi podatki, ki jih obdeluje Komisija, ogrozilo namen zagotavljanja varnostnih operacij in storitev IT, med drugim z razkritjem preiskovalnih orodij, šibkih točk in metod Komisije, ali negativno vplivalo na pravice in svoboščine ter varnost drugih posameznikov, na katere se nanašajo osebni podatki, zlasti pri obdelavi osebnih podatkov za:
               
                           —
                        
                        
                           sporočanje alarmov in opozoril v zvezi z varnostnimi dogodki in incidenti IT;
                        
                     
                           —
                        
                        
                           odzivanje na varnostne dogodke in incidente IT ter njihovo obvladovanje;
                        
                     
                           —
                        
                        
                           razvoj orodij in postopkov preko revizij varnosti, ocen varnosti in obvladovanja šibkih točk;
                        
                     
                           —
                        
                        
                           povečanje ozaveščenosti o kibernetski varnosti v službah Komisije;
                        
                     
                           —
                        
                        
                           spremljanje, odkrivanje in preprečevanje pojava varnostnih dogodkov in incidentov IT;
                        
                     
                           —
                        
                        
                           pregledovanje računov privilegiranih uporabnikov,
                        
                     lahko Komisija omeji uporabo:
               
                           (a)
                        
                        
                           členov 14–17, 19, 20 in 35 Uredbe (EU) 2018/1725;
                        
                     
                           (b)
                        
                        
                           načela preglednosti iz člena 4(1), točka (a), Uredbe (EU) 2018/1725, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 14–17, 19 in 20 Uredbe (EU) 2018/1725.
                        
                     Komisija lahko to stori v skladu s členom 25(1), točke (c), (d) in (h), Uredbe (EU) 2018/1725.
            
            
               3.   V skladu s členi 3 do 7 lahko Komisija omeji pravice in obveznosti iz odstavka 2 tega člena:
               
                           (a)
                        
                        
                           kadar bi izvajanje navedenih pravic in obveznosti v zvezi z osebnimi podatki, pridobljenimi od druge institucije, organa, agencije ali urada EU, lahko omejila navedena druga institucija, organ, agencija ali urad EU na podlagi pravnih aktov iz člena 25 Uredbe (EU) 2018/1725 ali v skladu s poglavjem IX navedene uredbe, v skladu z Uredbo (EU) 2016/794 Evropskega parlamenta in Sveta (4) ali v skladu z Uredbo Sveta (EU) 2017/1939 (5);
                        
                     
                           (b)
                        
                        
                           kadar bi izvajanje navedenih pravic in obveznosti v zvezi z osebnimi podatki, pridobljenimi od pristojnega organa države članice, lahko omejili pristojni organi navedene države članice na podlagi zakonodajnih ukrepov iz člena 23 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta (6) ali nacionalnih ukrepov za prenos člena 13(3), člena 15(3) ali člena 16(3) Direktive (EU) 2016/680 Evropskega parlamenta in Sveta (7);
                        
                     
                           (c)
                        
                        
                           kadar bi izvajanje navedenih pravic in obveznosti ogrozilo sodelovanje Komisije z državami nečlanicami EU ali mednarodnimi organizacijami v zvezi s skupnimi grožnjami za kibernetsko varnost.
                        
                     Komisija se pred uporabo omejitev v okoliščinah iz prvega pododstavka, točki (a) in (b), posvetuje z zadevnimi institucijami, organi, agencijami ali uradi EU ali organi držav članic o morebitnih razlogih za uvedbo omejitev ter potrebi po omejitvah in njihovi sorazmernosti, razen če bi to ogrozilo dejavnosti Komisije ali če je Komisiji jasno, da je uporaba omejitve določena z enim od aktov iz navedenih točk, ali če bi tako posvetovanje ogrozilo namen njenih dejavnosti na podlagi Sklepa (EU, EURATOM) 2017/46.
               Prvi pododstavek, točka (c), se ne uporablja, kadar interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, prevladajo nad interesom Komisije za sodelovanje z državami nečlanicami EU ali mednarodnimi organizacijami.
            
            
               4.   Odstavki 1, 2 in 3 ne vplivajo na uporabo drugih sklepov Komisije, ki določajo notranja pravila, ki urejajo zagotavljanje informacij posameznikom, na katere se nanašajo osebni podatki, in omejevanje nekaterih pravic na podlagi člena 25 Uredbe (EU) 2018/1725.
            
            
               5.   Vse omejitve pravic in obveznosti iz odstavka 2 so potrebne in sorazmerne s tveganji za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki.
            
            
               6.   Preden se omejitve uporabijo, se za vsak primer posebej izvede preskus potrebnosti in sorazmernosti, omejitve pa so omejene na tisto, kar je nujno potrebno za doseganje želenega namena.
            
         
         
            Člen 3
            Zagotavljanje informacij posameznikom, na katere se nanašajo osebni podatki
            
               1.   Komisija na svojem spletišču objavi obvestilo o varstvu podatkov, ki vse posameznike, na katere se nanašajo osebni podatki, obvešča o njenih dejavnostih, ki vključujejo obdelavo njihovih osebnih podatkov za izvajanje nalog Komisije v skladu s Sklepom (EU, EURATOM) 2017/46, vključno z opisom vrst zadevnih osebnih podatkov. Kadar je to mogoče, ne da bi bila ogrožena varnost IT, Komisija zagotovi, da so posamezniki, na katere se nanašajo osebni podatki, o tem posamično obveščeni v ustrezni obliki.
            
            
               2.   Kadar Komisija v celoti ali delno omeji zagotavljanje informacij posameznikom, na katere se nanašajo osebni podatki in katerih osebni podatki se obdelujejo za izvajanje nalog Komisije v skladu s Sklepom (EU, EURATOM) 2017/46, evidentira in v register vpiše razloge za omejitev v skladu s členom 6 tega sklepa.
            
         
         
            Člen 4
            Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa, pravica do izbrisa in pravica do omejitve obdelave podatkov
            
               1.   Kadar Komisija v celoti ali delno omeji pravico posameznikov, na katere se nanašajo osebni podatki, do dostopa do osebnih podatkov, pravico do izbrisa ali pravico do omejitve obdelave osebnih podatkov iz členov 17, 19 in 20 Uredbe (EU) 2018/1725, zadevnega posameznika, na katerega se nanašajo osebni podatki, v odgovoru na zahtevo za dostop, izbris ali omejitev obdelave obvesti:
               
                           (a)
                        
                        
                           o uporabljeni omejitvi in glavnih razlogih zanjo;
                        
                     
                           (b)
                        
                        
                           o tem, kako lahko vloži pritožbo pri Evropskem nadzorniku za varstvo podatkov ali uveljavi pravno sredstvo na Sodišču Evropske unije.
                        
                     
            
               2.   Komisija lahko odloži, opusti ali zavrne predložitev informacij o razlogih za omejitev iz odstavka 1, če bi to ogrozilo namen omejitve.
            
            
               3.   Komisija razloge za omejitev evidentira in vpiše v register v skladu s členom 6.
            
            
               4.   Kadar je pravica do dostopa v celoti ali delno omejena, lahko posameznik, na katerega se nanašajo osebni podatki, pravico do dostopa uveljavlja preko Evropskega nadzornika za varstvo podatkov v skladu členom 25(6), (7) in (8) Uredbe (EU) 2018/1725.
            
         
         
            Člen 5
            Sporočanje kršitve varstva osebnih podatkov posameznikom, na katere se nanašajo osebni podatki
            Kadar Komisija omeji sporočanje kršitve varstva osebnih podatkov posamezniku, na katerega se nanašajo osebni podatki, iz člena 35 Uredbe (EU) 2018/1725, razloge za omejitev evidentira in vpiše v register v skladu s členom 6 tega sklepa. Komisija ob izdaji sporočila o kršitvi varstva osebnih podatkov o vpisu obvesti ENVP.
         
         
            Člen 6
            Evidentiranje omejitev in njihov vpis v register
            
               1.   Komisija evidentira razloge za kakršno koli omejitev, ki se uporabi na podlagi tega sklepa, vključno s sklicem na pravno podlago za omejitev in oceno potrebnosti omejitve in njene sorazmernosti, pri čemer upošteva ustrezne elemente iz člena 25(2) Uredbe (EU) 2018/1725.
            
            
               2.   V evidenco se zabeleži, kako bi izvajanje pravice posameznika, na katerega se nanašajo osebni podatki, ogrozilo namen zagotavljanja varnostnih operacij in storitev IT Komisiji v skladu s Sklepom (EU, EURATOM) 2017/46 ali namen omejitev, uporabljenih na podlagi člena 2(2) ali (3) tega sklepa, ali negativno vplivalo na pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki.
            
            
               3.   Komisija te evidence in vse dokumente, ki vsebujejo temeljna dejstva in pravne elemente, vpiše v register. Na zahtevo so na voljo Evropskemu nadzorniku za varstvo podatkov.
            
         
         
            Člen 7
            Trajanje omejitev
            
               1.   Omejitve iz členov 3, 4 in 5 se uporabljajo, dokler obstajajo razlogi, ki jih upravičujejo.
            
            
               2.   Ko razlogi, ki upravičujejo omejitev iz členov 3, 4 in 5, ne obstajajo več, Komisija:
               
                           (a)
                        
                        
                           odpravi omejitev;
                        
                     
                           (b)
                        
                        
                           posameznika, na katerega se nanašajo osebni podatki, obvesti o glavnih razlogih za omejitev;
                        
                     
                           (c)
                        
                        
                           posameznika, na katerega se nanašajo osebni podatki, obvesti, kako lahko kadar koli vloži pritožbo pri Evropskem nadzorniku za varstvo podatkov ali uveljavi pravno sredstvo na Sodišču Evropske unije.
                        
                     
         
         
            Člen 8
            Zaščitni ukrepi in obdobja hrambe
            
               1.   Komisija uporabo omejitev iz členov 3, 4 in 5 pregleda šest mesecev po njihovem sprejetju in ob zaključku posamezne varnostne operacije IT. Komisija nato vsako leto preuči in spremlja potrebo po ohranitvi kakršne koli omejitve.
               Pregled vključuje oceno potrebe po omejitvi in njene sorazmernosti, pri čemer se upoštevajo ustrezni elementi iz člena 25(2) Uredbe (EU) 2018/1725.
            
            
               2.   Komisija je sprejela tehnične in organizacijske ukrepe, da bi preprečila nenamerno in nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje ali dostop do osebnih podatkov, ki so poslani, shranjeni ali drugače obdelani, kot so upravljanje pravic v zvezi z dostopom, politika varnostnega kopiranja in kateri koli drugi ukrepi v skladu s Sklepom (EU/EURATOM) 2017/46.
            
            
               3.   Komisija evidentira veljavna obdobja hrambe v skladu s skupnim seznamom hrambe na ravni Komisije in posameznikom, na katere se nanašajo osebni podatki, zagotovi ustrezna obdobja hrambe za te dejavnosti obdelave v svojem obvestilu o varstvu podatkov.
            
         
         
            Člen 9
            Pregled s strani pooblaščene osebe za varstvo podatkov pri Komisiji
            
               1.   Pooblaščena oseba za varstvo podatkov pri Komisiji je brez nepotrebnega odlašanja obveščena, kadar se pravice posameznikov, na katere se nanašajo osebni podatki, omejijo v skladu s tem sklepom. Na zahtevo se pooblaščeni osebi za varstvo podatkov da dostop do evidence in vseh dokumentov, ki vsebujejo temeljna dejstva in pravne elemente.
            
            
               2.   Pooblaščena oseba za varstvo podatkov lahko zahteva pregled omejitev in je obveščena o izidu zahtevanega pregleda.
            
            
               3.   Komisija zabeleži vključitev pooblaščene osebe za varstvo podatkov, kadar se pravice posameznikov, na katere se nanašajo osebni podatki, omejijo v skladu s tem sklepom.
            
         
         
            Člen 10
            Začetek veljavnosti
            Ta sklep začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije.
         
         
            V Bruslju, 15. decembra 2021
            
               
                  Za Komisijo
               
               
                  predsednica
               
               Ursula VON DER LEYEN
            
         
         
            (1)  Uredba (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (UL L 295, 21.11.2018, str. 39).
         
            (2)  Sklep Komisije (EU, EURATOM) 2017/46 z dne 10. januarja 2017 o varnosti komunikacijskih in informacijskih sistemov v Evropski komisiji (UL L 6, 11.1.2017, str. 40).
         
            (3)  Sklep Komisije (C(2017) 8841) z dne 13. decembra 2017 o določitvi izvedbenih pravil za člene 3, 5, 7, 8, 9, 10, 11, 12, 14, 15 Sklepa Komisije 2017/46 o varnosti komunikacijskih in informacijskih sistemov v Komisiji.
         
            (4)  Uredba (EU) 2016/794 Evropskega parlamenta in Sveta z dne 11. maja 2016 o Agenciji Evropske unije za sodelovanje na področju preprečevanja, odkrivanja in preiskovanja kaznivih dejanj (Europol) ter nadomestitvi in razveljavitvi sklepov Sveta 2009/371/PNZ, 2009/934/PNZ, 2009/935/PNZ, 2009/936/PNZ in 2009/968/PNZ (UL L 135, 24.5.2016, str. 53).
         
            (5)  Uredba Sveta (EU) 2017/1939 z dne 12. oktobra 2017 o izvajanju okrepljenega sodelovanja v zvezi z ustanovitvijo Evropskega javnega tožilstva (EJT) (UL L 283, 31.10.2017, str. 1).
         
            (6)  Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4.5.2016, str. 1).
         
            (7)  Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL L 119, 4.5.2016, str. 89).