CELEX: 32021D2243
Language: hu
Date: 2021-12-15 00:00:00
Title: A Bizottság (EU) 2021/2243 határozata (2021. december 15.) a személyes adatoknak a Bizottság információs és kommunikációs rendszerei biztonsága céljából történő kezelésével összefüggésben az érintettek tájékoztatására és egyes jogaik korlátozására vonatkozó belső szabályok megállapításáról

2021.12.16.   
               
               
                  HU
               
               
                  Az Európai Unió Hivatalos Lapja
               
               
                  L 450/149
               
            
         A BIZOTTSÁG (EU) 2021/2243 HATÁROZATA
         (2021. december 15.)
         a személyes adatoknak a Bizottság információs és kommunikációs rendszerei biztonsága céljából történő kezelésével összefüggésben az érintettek tájékoztatására és egyes jogaik korlátozására vonatkozó belső szabályok megállapításáról
         AZ EURÓPAI BIZOTTSÁG,
         tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 249. cikke (1) bekezdésére,
         mivel:
         
                     (1)
                  
                  
                     Feladatainak ellátása során a Bizottságnak tiszteletben kell tartania a természetes személyeknek az Európai Unió Alapjogi Chartája 8. cikkének (1) bekezdése és az Európai Unió működéséről szóló szerződés 16. cikkének (1) bekezdése által elismert, személyesadat-kezeléssel kapcsolatos jogait. Tiszteletben kell tartania továbbá az (EU) 2018/1725 európai parlamenti és tanácsi rendeletben (1) előírt jogokat. A Bizottságnak egyúttal az (EU, Euratom) 2017/46 határozat (2) 15. cikkében meghatározott szabályokkal összhangban kezelnie kell az informatikai biztonsági incidenseket.
                  
               
                     (2)
                  
                  
                     Az informatikai biztonság, azaz a kommunikációs és információs rendszerek és az általuk feldolgozott adatkészletek titkosságának, integritásának és rendelkezésre állásának biztosítása érdekében a Bizottság – nevezetesen az Informatikai Főigazgatóság révén – intézkedéseket hozott az (EU, Euratom) 2017/46 határozatban és a C(2017) 8841 final határozatban (3) előírtak szerint. Ezen intézkedések közé tartozik az informatikai biztonsági kockázatok és a végrehajtott informatikai biztonsági intézkedések nyomon követése, a rendszerfelelősök felkérése arra, hogy hozzanak konkrét informatikai biztonsági intézkedéseket a Bizottság kommunikációs és információs rendszereit érintő informatikai biztonsági kockázatok csökkentése érdekében, valamint az informatikai biztonsági incidensek kezelése.
                  
               
                     (3)
                  
                  
                     Az Informatikai Főigazgatóság informatikai biztonsági műveleteket és szolgáltatásokat hajt végre, illetve nyújt a Bizottság részére, így a személyes adatok több kategóriáját is fel kell dolgoznia az alábbiak érdekében:
                     
                                 —
                              
                              
                                 az informatikai biztonsági eseményekkel és incidensekkel kapcsolatos riasztások és figyelmeztetések közlése,
                              
                           
                                 —
                              
                              
                                 az informatikai biztonsági eseményekre és incidensekre való reagálás és azok megfékezése,
                              
                           
                                 —
                              
                              
                                 az eszközök és műveletek biztosítása biztonsági ellenőrzések, biztonsági értékelések és sebezhetőségkezelés révén,
                              
                           
                                 —
                              
                              
                                 a bizottsági munkatársak tudatosságának növelése a kiberbiztonság területén,
                              
                           
                                 —
                              
                              
                                 az informatikai biztonsági események és incidensek nyomon követése, észlelése és előfordulásuk megelőzése,
                              
                           
                                 —
                              
                              
                                 a kiemelt felhasználói fiókok felülvizsgálata.
                              
                           
               
                     (4)
                  
                  
                     A Bizottság által végzett adatkezelési műveletek során előfordulhatnak olyan informatikai biztonsági incidensek, amelyek veszélyeztethetik a Bizottság információs és kommunikációs rendszereinek biztonságát. Ezek az incidensek a Bizottság által kezelt személyes adatok bármely kategóriáját érinthetik.
                  
               
                     (5)
                  
                  
                     Bizonyos körülmények esetén szükségesnek bizonyulhat összeegyeztetni az érintettek (EU) 2018/1725 rendelet szerinti jogait annak szükségességével, hogy a Bizottság hatékonyan lássa el az (EU, Euratom) 2017/46 határozat szerinti, a bizottsági személyek, eszközök és információk informatikai biztonságának garantálásával kapcsolatos feladatait, méghozzá a többi érintett alapvető jogainak és szabadságainak teljeskörű tiszteletben tartása mellett. E célból az (EU) 2018/1725 rendelet 25. cikkének (1) bekezdése felhatalmazza a Bizottságot arra, hogy korlátozza az említett rendelet 14–17., 19., 20. és 35. cikkének alkalmazását, valamint a 4. cikke (1) bekezdésének a) pontjában meghatározott átláthatóság elvének alkalmazását, amennyiben a korlátozó jogi aktus rendelkezései megfelelnek az említett rendelet 14–17., 19. és 20. cikkében meghatározott jogoknak és kötelezettségeknek.
                  
               
                     (6)
                  
                  
                     E határozatot minden olyan adatkezelési műveletre alkalmazni kell, amelyeket a Bizottság adatkezelőként a bizottsági személyek, eszközök és adatok biztonságának védelmét célzó, (EU, Euratom) 2017/46 határozat szerinti feladatainak végrehajtása során végez. Ezért indokolt előírni, hogy a határozat hatálya kiterjedjen az összes adatkezelési művelet által érintett személyesadat-kategóriák érintettjeire, vagyis azokra, akik kapcsolatban állnak a Bizottság információs és kommunikációs rendszereivel.
                  
               
                     (7)
                  
                  
                     A személyes adatokat biztonságos elektronikus környezetben tárolják annak érdekében, hogy megakadályozható legyen az adatokhoz való illetéktelen hozzáférés a Bizottságon kívüli személyek számára. A különböző adatkezelési műveletekre – az érintett személyes adatok típusától függően – különböző adatmegőrzési időszakok érvényesek. A fájlok Bizottságon belüli megőrzését a közös bizottsági szintű megőrzési lista (SEC(2019) 900) szabályozza; ez egy adatmegőrzési ütemterv formáját öltő szabályozási dokumentum, amely meghatározza a különböző típusú bizottsági fájlok megőrzési időszakait abból a célból, hogy az adatmegőrzés a szükséges mértékre korlátozódjon.
                  
               
                     (8)
                  
                  
                     Előfordulhat, hogy a Bizottságnak az (EU) 2018/1725 rendelet 25. cikke (1) bekezdésének d) pontja alapján, belső biztonságának védelme érdekében korlátoznia kell az érintettek jogainak alkalmazását (azaz saját kommunikációs és információs rendszerei, az általuk kezelt adathalmazok, valamint e rendszerek eszközei és információi titkosságának, integritásának és elérhetőségének megőrzése céljából). A Bizottságnak különösen az alábbi esetekben indokolt így eljárnia:
                     
                                 —
                              
                              
                                 az informatikai biztonsági eseményekkel és incidensekkel kapcsolatos riasztások és figyelmeztetések közlése,
                              
                           
                                 —
                              
                              
                                 az informatikai biztonsági eseményekre és incidensekre való reagálás és azok megfékezése; az eszközök és műveletek biztosítása biztonsági ellenőrzések, biztonsági értékelések és sebezhetőségkezelés révén,
                              
                           
                                 —
                              
                              
                                 a bizottsági munkatársak tudatosságának növelése a kiberbiztonság területén,
                              
                           
                                 —
                              
                              
                                 az informatikai biztonsági események és incidensek nyomon követése, észlelése és előfordulásuk megelőzése,
                              
                           
                                 —
                              
                              
                                 a kiemelt felhasználói fiókok felülvizsgálata.
                              
                           
               
                     (9)
                  
                  
                     Az (EU, Euratom) 2017/46 határozat 15. cikke szerinti informatikai biztonsági események kezelése céljából az Informatikai Főigazgatóság információcserét folytathat a Humánerőforrásügyi és Biztonsági Főigazgatóság kibervédelmi akciócsoportjával.
                  
               
                     (10)
                  
                  
                     Az (EU) 2018/1725 rendelet 14., 15. és 16. cikkének való megfelelés érdekében a Bizottságnak valamennyi egyént tájékoztatnia kell a személyes adataik kezelésével járó és a jogaikat érintő tevékenységekről. Ezt átlátható és koherens módon kell megtennie azáltal, hogy adatvédelmi közleményt tesz közzé a Bizottság honlapján. Adott esetben további biztosítékokat kell nyújtania arra vonatkozóan, hogy az érintettek egyenként, megfelelő formában tájékoztatást kapnak.
                  
               
                     (11)
                  
                  
                     Az (EU) 2018/1725 rendelet 14., 15. és 16. cikkének való megfelelés informatikai biztonsági intézkedések, sebezhetőségek vagy az (EU, Euratom) 2017/46 határozat 15. cikke szerinti incidensek meglétét fedheti fel. Ezen informatikai biztonsági intézkedések, sebezhetőségek és incidensek feltárása növeli annak kockázatát, hogy a feltárt informatikai biztonsági intézkedést megkerülik, majd a feltárt sebezhetőséggel visszaélnek, valamint hogy az informatikai biztonsági incidensek folyamatban lévő elemzése veszélybe kerülhet egy felhasználó vagy rosszindulatú szereplő általi véletlen vagy szándékos manipulálása következtében. Ez súlyosan veszélyeztetheti a Bizottság azon képességét, hogy biztosítsa informatikai biztonságát, és hogy a jövőben hatékonyan tudja kezelni az informatikai biztonsági eseményeket.
                  
               
                     (12)
                  
                  
                     Az (EU) 2018/1725 rendelet 25. cikke (1) bekezdésének h) pontja értelmében a Bizottság ezenkívül jogosult korlátozni az érintettek jogainak alkalmazását más olyan informatikai biztonsági eseményekkel kapcsolatos jogok és szabadságok védelme érdekében, amelyek veszélyeztethetik az informatikai biztonsági műveleteket.
                  
               
                     (13)
                  
                  
                     Előfordulhat, hogy a Bizottságnak nem uniós országoktól vagy nemzetközi szervezetektől kapott személyes adatokkal kapcsolatban kell korlátoznia az érintettek tájékoztatását és egyéb jogainak alkalmazását az érintett országokkal vagy szervezetekkel való együttműködési kötelezettségének teljesítése érdekében. Ez része a Bizottság azon kötelezettségének, hogy védje az Unió fontos, az (EU) 2018/1725 rendelet 25. cikke (1) bekezdésének c) pontjában említett általános közérdekű célkitűzéseit. Bizonyos körülmények között azonban az érintett érdeke vagy alapvető jogai fontosabbnak minősülhetnek a nemzetközi együttműködés érdekeinél.
                  
               
                     (14)
                  
                  
                     A Bizottság ezért az (EU) 2018/1725 rendelet 25. cikke (1) bekezdésének c), d) és h) pontjában felsorolt okokat olyan okokként azonosította, amelyek alapján indokolt lehet korlátozásokat alkalmazni az Informatikai Főigazgatóság által a Bizottság részére végzett, illetve nyújtott informatikai biztonsági műveletekkel és szolgáltatásokkal kapcsolatos adatkezelési műveletekkel kapcsolatban.
                  
               
                     (15)
                  
                  
                     Az e határozat alapján alkalmazott bármilyen korlátozásnak az érintettek jogait és szabadságait érintő kockázatokra figyelemmel szükségesnek és arányosnak kell lennie.
                  
               
                     (16)
                  
                  
                     A Bizottságnak átlátható módon kell kezelnie az összes korlátozást, és a megfelelő nyilvántartási rendszerben nyilvántartásba kell vennie a korlátozások minden egyes alkalmazását.
                  
               
                     (17)
                  
                  
                     Az (EU) 2018/1725 rendelet 25. cikkének (8) bekezdése értelmében az adatkezelők az érintettre vonatkozó korlátozás alkalmazásának okai alapján a tájékoztatást elhalaszthatják, elhagyhatják vagy megtagadhatják, amennyiben e tájékoztatás bármilyen módon ellehetetlenítené a korlátozás hatását. Ez különösen az (EU) 2018/1725 rendelet 16. és 35. cikkében előírt kötelezettségek korlátozására vonatkozik. A Bizottságnak rendszeresen felül kell vizsgálnia az alkalmazott korlátozásokat, hogy az érintetteknek az (EU) 2018/1725 rendelet 16. és 35. cikke szerinti, tájékoztatáshoz való jogai csak addig legyenek korlátozva, ameddig ilyen korlátozások szükségesek ahhoz, hogy a Bizottság védhesse informatikai biztonságát és mindenekelőtt kezelhesse az informatikai biztonsági incidenseket.
                  
               
                     (18)
                  
                  
                     Amennyiben a Bizottság korlátozza az (EU) 2018/1725 rendelet 16. és 35. cikkében említettektől eltérő érintettek jogainak alkalmazását, az adatkezelőnek eseti alapon értékelnie kell, hogy a korlátozásról szóló értesítés meghiúsítaná-e annak célját.
                  
               
                     (19)
                  
                  
                     Az e határozatnak való megfelelés érdekében a Bizottság adatvédelmi tisztviselőjének el kell végeznie a korlátozások alkalmazásának független felülvizsgálatát.
                  
               
                     (20)
                  
                  
                     Annak érdekében, hogy a Bizottság az (EU) 2018/1725 rendelet 25. cikkével összhangban haladéktalanul korlátozhassa bizonyos jogok és kötelezettségek alkalmazását, e határozatnak az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon indokolt hatályba lépnie.
                  
               
                     (21)
                  
                  
                     Az európai adatvédelmi biztos 2021. szeptember 16-án véleményt nyilvánított,
                  
               ELFOGADTA EZT A HATÁROZATOT:
         
            1. cikk
            Tárgy és hatály
            
               (1)   Ez a határozat meghatározza azokat a szabályokat, amelyeket a Bizottságnak az (EU, Euratom) 2017/46 határozat szerinti feladatai ellátásakor az érintettek személyes adatainak kezeléséről történő tájékoztatása tekintetében az (EU) 2018/1725 rendelet 14., 15. és 16. cikkének megfelelően követnie kell.
               E határozat megállapítja továbbá azokat a feltételeket, amelyek mellett az (EU, Euratom) 2017/46 határozat szerinti feladatai ellátása során a Bizottság korlátozhatja az (EU) 2018/1725 rendelet 4., 14–17., 19., 20. és 35. cikkének alkalmazását ugyanezen rendelet 25. cikke (1) bekezdésének c), d) és h) pontjával összhangban.
            
            
               (2)   Ez a határozat a Bizottság által vagy a Bizottság nevében végzett azon személyesadat-kezelésre vonatkozik, amely a bizottsági személyek, eszközök és adatok informatikai biztonságának az (EU, Euratom) 2017/46 határozat szerinti biztosítására irányuló tevékenység céljából történik vagy ilyen tevékenységgel áll kapcsolatban.
            
         
         
            2. cikk
            Alkalmazandó kivételek és korlátozások
            
               (1)   Amennyiben a Bizottság feladatait az (EU) 2018/1725 rendeletnek megfelelően az érintettek jogaira vonatkozóan gyakorolja, mérlegelnie kell, hogy alkalmazandó-e az említett rendeletben megállapított kivételek valamelyike.
            
            
               (2)   E határozat 3–7. cikkére is figyelemmel, amennyiben a Bizottság által kezelt személyes adatok összefüggésében az (EU) 2018/1725 rendelet 14–17., 19., 20. és 35. cikkében előírt jogok és kötelezettségek gyakorlása veszélyeztetné az informatikai biztonsági műveletek és szolgáltatások nyújtásának célját – többek között azáltal, hogy feltárja a Bizottság vizsgálati eszközeit, sebezhetőségeit és módszereit –, vagy hátrányosan érintené más érintettek jogait, szabadságait és biztonságát, különösen a személyes adatok alábbi okokból történő kezelése tekintetében:
               
                           —
                        
                        
                           az informatikai biztonsági eseményekkel és incidensekkel kapcsolatos riasztások és figyelmeztetések közlése,
                        
                     
                           —
                        
                        
                           az informatikai biztonsági eseményekre és incidensekre való reagálás és azok megfékezése,
                        
                     
                           —
                        
                        
                           az eszközök és műveletek biztosítása biztonsági ellenőrzések, biztonsági értékelések és sebezhetőségkezelés révén,
                        
                     
                           —
                        
                        
                           a bizottsági munkatársak tudatosságának növelése a kiberbiztonság területén,
                        
                     
                           —
                        
                        
                           az informatikai biztonsági események és incidensek nyomon követése, észlelése és előfordulásuk megelőzése,
                        
                     
                           —
                        
                        
                           a kiemelt felhasználói fiókok felülvizsgálata,
                        
                     a Bizottság korlátozhatja a következők alkalmazását:
               
                           a)
                        
                        
                           az (EU) 2018/1725 rendelet 14–17., 19., 20. és 35. cikke;
                        
                     
                           b)
                        
                        
                           az (EU) 2018/1725 rendelet 4. cikke (1) bekezdésének a) pontjában meghatározott átláthatósági elv, amennyiben annak rendelkezései megfelelnek az (EU) 2018/1725 rendelet 14–17., 19. és 20. cikkében előírt jogoknak és kötelezettségeknek.
                        
                     A Bizottság ezt az (EU) 2018/1725 rendelet 25. cikke (1) bekezdésének c), d) és h) pontjával összhangban teheti meg.
            
            
               (3)   A 3–7. cikkre is figyelemmel a Bizottság korlátozhatja az e cikk (2) bekezdésében említett jogokat és kötelezettségeket:
               
                           a)
                        
                        
                           ha az említett jogok gyakorlását és kötelezettségek teljesítését más uniós intézmény, szerv, ügynökség vagy hivatal a tőle kapott személyes adatok tekintetében korlátozhatja az (EU) 2018/1725 rendelet 25. cikkében említett jogi aktusok vagy az említett rendelet IX. fejezete alapján, az (EU) 2016/794 európai parlamenti és tanácsi rendelet (4) vagy az (EU) 2017/1939 tanácsi rendelet (5) szerint;
                        
                     
                           b)
                        
                        
                           ha az említett jogok gyakorlását és kötelezettségek teljesítését valamely tagállam illetékes hatósága a tőle kapott személyes adatok tekintetében korlátozhatja az (EU) 2016/679 európai parlamenti és tanácsi rendelet (6) 23. cikkében említett jogalkotási intézkedések vagy az (EU) 2016/680 európai parlamenti és tanácsi (7) irányelv 13. cikkének (3) bekezdését, 15. cikkének (3) bekezdését vagy 16. cikkének (3) bekezdését átültető nemzeti intézkedések alapján;
                        
                     
                           c)
                        
                        
                           ha az említett jogok gyakorlása és kötelezettségek teljesítése veszélyeztetheti a Bizottság harmadik uniós országokkal vagy nemzetközi szervezetekkel a közös kiberbiztonsági fenyegetések tekintetében folytatott együttműködését.
                        
                     Az első albekezdés a) és b) pontjában említett körülmények fennállása esetén a Bizottság a korlátozások alkalmazása előtt konzultál az érintett uniós intézményekkel, szervekkel, ügynökségekkel, hivatalokkal vagy tagállami hatóságokkal a korlátozások bevezetésének lehetséges jogalapjáról, valamint a korlátozások szükségszerűségéről és arányosságáról, kivéve, ha az veszélyeztetné a Bizottság tevékenységét, és kivéve, ha a Bizottság számára egyértelmű, hogy az említett pontokban hivatkozott jogi aktusok valamelyike előírja a korlátozás alkalmazását, vagy ha az ilyen konzultáció meghiúsítaná a Bizottság (EU/Euratom) 2017/46 határozat szerinti tevékenységeinek célját.
               Az első albekezdés c) pontja nem alkalmazandó, ha az érintett érdekei vagy alapvető jogai és szabadságai elsőbbséget élveznek a Bizottság harmadik országokkal vagy nemzetközi szervezetekkel való együttműködéshez fűződő érdekeivel szemben.
            
            
               (4)   Az (1), (2) és (3) bekezdés nem érinti az (EU) 2018/1725 rendelet 25. cikke szerinti, az érintettek tájékoztatására és bizonyos adatvédelmi jogaik korlátozására vonatkozó belső szabályok megállapításáról szóló többi bizottsági határozat alkalmazását.
            
            
               (5)   A jogok és kötelezettségek (2) bekezdésben említett bármilyen korlátozásának az érintettek jogait és szabadságait érintő kockázatokra figyelemmel szükségesnek és arányosnak kell lennie.
            
            
               (6)   A korlátozások alkalmazása előtt eseti alapon el kell végezni a szükségesség és arányosság vizsgálatát, és a korlátozásoknak a szándékolt cél eléréséhez feltétlenül szükséges mértékre kell korlátozódniuk.
            
         
         
            3. cikk
            Az érintettek tájékoztatása
            
               (1)   A Bizottság a honlapján adatvédelmi közleményt tesz közzé, amelyben valamennyi érintettet tájékoztat azon tevékenységeiről, amelyek során az (EU, Euratom) 2017/46 határozat szerinti feladatai ellátása céljából kezeli személyes adataikat; a Bizottság többek között az érintett személyes adatok kategóriáinak leírását is megadja. A Bizottság gondoskodik arról, hogy az érintetteket egyénileg és megfelelő formában tájékoztassák, amennyiben ez az informatikai biztonság veszélyeztetése nélkül lehetséges.
            
            
               (2)   Ha a Bizottság részben vagy egészben korlátozza az olyan érintettek tájékoztatását, akik személyes adatait az (EU, Euratom) 2017/46 határozat szerinti feladatai ellátása céljából kezeli, e határozat 6. cikkének megfelelően feljegyzi és nyilvántartásba veszi a korlátozás okait.
            
         
         
            4. cikk
            Az érintett hozzáféréshez, törléshez és az adatkezelés korlátozásához való joga
            
               (1)   Amennyiben a Bizottság részben vagy egészben korlátozza az érintetteknek az (EU) 2018/1725 rendelet 17., 19., illetve 20. cikkében említett hozzáférési, törlési, illetve adatkezelés-korlátozási jogát, a hozzáférés, törlés vagy adatkezelés-korlátozás iránti kérelemre adott válaszában tájékoztatja az érintettet:
               
                           a)
                        
                        
                           az alkalmazott korlátozásról és annak fő okairól;
                        
                     
                           b)
                        
                        
                           arról, hogy miként élhet panasszal az európai adatvédelmi biztosnál, vagy hogyan kérhet bírósági jogorvoslatot az Európai Unió Bíróságánál.
                        
                     
            
               (2)   A Bizottság elhalaszthatja, elmulaszthatja vagy megtagadhatja az (1) bekezdésben említett korlátozás okaira vonatkozó tájékoztatást mindaddig, amíg ez meghiúsítaná a korlátozás hatását.
            
            
               (3)   A Bizottság a 6. cikkel összhangban feljegyzi és nyilvántartásba veszi a korlátozás okait.
            
            
               (4)   Amennyiben a hozzáférés jogát részben vagy egészben korlátozták, az érintett az európai adatvédelmi biztos közvetítésével gyakorolhatja hozzáférési jogát az (EU) 2018/1725 rendelet 25. cikkének (6), (7) és (8) bekezdésével összhangban.
            
         
         
            5. cikk
            Az érintett tájékoztatása az adatvédelmi incidensről
            Amennyiben a Bizottság korlátozza az érintettnek az adatvédelmi incidensről való, az (EU) 2018/1725 rendelet 35. cikke szerinti tájékoztatását, e határozat 6. cikkével összhangban feljegyzi és nyilvántartásba veszi a korlátozás okait. A Bizottság az adatvédelmi incidensről szóló értesítés időpontjában eljuttatja a nyilvántartást az európai adatvédelmi biztosnak.
         
         
            6. cikk
            A korlátozások feljegyzése és nyilvántartásba vétele
            
               (1)   A Bizottság feljegyzi az e határozat alapján alkalmazott korlátozások okait, beleértve a korlátozások tekintetében alkalmazott jogalap(ok)ra való hivatkozást, valamint a korlátozás szükségességének és arányosságának értékelését, figyelembe véve az (EU) 2018/1725 rendelet 25. cikkének (2) bekezdésében rögzített vonatkozó elemeket.
            
            
               (2)   A feljegyzésben szerepelnie kell, hogy a jog érintett általi gyakorlása milyen módon veszélyeztetné a Bizottság részére az (EU, Euratom) 2017/46 határozattal összhangban végzett, illetve nyújtott informatikai biztonsági műveleteknek és szolgáltatásoknak vagy az e határozat 2. cikkének (2) vagy (3) bekezdése alapján alkalmazott korlátozásoknak a célját, illetve hogy miként érintené hátrányosan más érintettek jogait és szabadságait.
            
            
               (3)   A Bizottság nyilvántartásba veszi ezeket az információkat és az alapul szolgáló ténybeli és jogi elemeket tartalmazó dokumentumokat. Kérésre ezeket az európai adatvédelmi biztos rendelkezésére kell bocsátani.
            
         
         
            7. cikk
            A korlátozások időtartama
            
               (1)   A 3., 4. és 5. cikkben említett korlátozások mindaddig alkalmazandók, amíg okaik fennállnak.
            
            
               (2)   Amennyiben a 3., 4. és 5. cikk szerinti korlátozás okai már nem állnak fenn, a Bizottság:
               
                           a)
                        
                        
                           feloldja a korlátozást;
                        
                     
                           b)
                        
                        
                           tájékoztatja az érintettet a korlátozás fő okairól;
                        
                     
                           c)
                        
                        
                           tájékoztatja az érintettet arról, hogy panasszal élhet az európai adatvédelmi biztosnál, vagy bírósági jogorvoslatot kérhet az Európai Unió Bíróságánál.
                        
                     
         
         
            8. cikk
            Biztosítékok és az adattárolás időtartama
            
               (1)   A Bizottság a 3., 4. és 5. cikkben említett korlátozások alkalmazását az intézkedés elfogadását követő hat hónap elteltével, és az adott informatikai biztonsági műveletek lezárultakor felülvizsgálja. Ezt követően a Bizottság évente felülvizsgálja és nyomon követi az esetleges korlátozás fenntartásának szükségességét.
               A felülvizsgálat tartalmazza a korlátozás szükségességének és arányosságának értékelését, figyelembe véve az (EU) 2018/1725 rendelet 25. cikkének (2) bekezdésében rögzített vonatkozó elemeket.
            
            
               (2)   A Bizottság technikai és szervezeti intézkedéseket fogadott el a továbbított, tárolt vagy más módon kezelt személyes adatok véletlen vagy jogellenes megsemmisítésének, elvesztésének, megváltoztatásának, jogosulatlan közlésének vagy a hozzájuk való jogosulatlan hozzáférésnek a megakadályozása érdekében; ilyen intézkedés például a hozzáférési jogok kezelése, a biztonsági mentésre vonatkozó szabályzat és az (EU/Euratom) 2017/46 határozattal összhangban álló bármely egyéb intézkedés.
            
            
               (3)   A Bizottság a közös bizottsági szintű megőrzési listának megfelelően rögzíti az alkalmazandó megőrzési időszakokat, és adatvédelmi nyilatkozatában megjelöli az érintettek számára az ezen adatkezelési tevékenységekre vonatkozó megőrzési időszakokat.
            
         
         
            9. cikk
            A Bizottság adatvédelmi tisztviselője által végzett felülvizsgálat
            
               (1)   A Bizottság adatvédelmi tisztviselőjét indokolatlan késedelem nélkül tájékoztatni kell minden olyan esetben, amikor az érintettek jogait e határozattal összhangban korlátozzák. Kérésre az adatvédelmi tisztviselő számára hozzáférést kell biztosítani a nyilvántartáshoz, valamint az alapul szolgáló ténybeli és jogi elemeket tartalmazó dokumentumokhoz.
            
            
               (2)   Az adatvédelmi tisztviselő kérheti a korlátozások felülvizsgálatát, valamint tájékoztatni kell őt a kért felülvizsgálat eredményéről.
            
            
               (3)   A Bizottság dokumentálja az adatvédelmi tisztviselő bevonását minden olyan esetben, amikor az érintettek jogait e határozattal összhangban korlátozzák.
            
         
         
            10. cikk
            Hatálybalépés
            Ez a határozat az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.
         
         
            Kelt Brüsszelben, 2021. december 15-én.
            
               
                  a Bizottság részéről
               
               
                  az elnök
               
               Ursula VON DER LEYEN
            
         
         
            (1)  Az Európai Parlament és a Tanács (EU) 2018/1725 rendelete (2018. október 23.) a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről (HL L 295., 2018.11.21., 39. o.).
         
            (2)  A Bizottság (EU, Euratom) 2017/46 határozata (2017. január 10.) az Európai Bizottság kommunikációs és információs rendszereinek biztonságáról (HL L 6., 2017.1.11., 40. o.).
         
            (3)  A Bizottság C(2017) 8841 határozata (2017. december 13.) az Európai Bizottság kommunikációs és információs rendszereinek biztonságáról szóló 2017/46 bizottsági határozat 3., 5., 7., 8., 9., 10., 11., 12., 14. és 15. cikkére vonatkozó végrehajtási szabályok megállapításáról.
         
            (4)  Az Európai Parlament és a Tanács (EU) 2016/794 rendelete (2016. május 11.) A Bűnüldözési Együttműködés Európai Uniós Ügynökségéről (Europol), valamint a 2009/371/IB, a 2009/934/IB, a 2009/935/IB, a 2009/936/IB és a 2009/968/IB tanácsi határozat felváltásáról és hatályon kívül helyezéséről (HL L 135., 2016.5.24., 53. o.).
         
            (5)  A Tanács (EU) 2017/1939 rendelete (2017. október 12.) az Európai Ügyészség létrehozására vonatkozó megerősített együttműködés bevezetéséről (HL L 283., 2017.10.31., 1. o.).
         
            (6)  Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet, HL L 119., 2016.5.4., 1. o.).
         
            (7)  Az Európai Parlament és a Tanács (EU) 2016/680 irányelve (2016. április 27.) a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről (HL L 119., 2016.5.4., 89. o.).