Decizia (UE) 2018/1961 a Comisiei din 11 decembrie 2018 de stabilire a unor norme interne privind furnizarea de informații persoanelor vizate și de restricționare a unor drepturi ale acestora în contextul prelucrării datelor cu caracter personal în scopul activităților de audit intern

având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 249 alineatul (1),

Regulamentul (UE, Euratom) 2018/1046 al Parlamentului European și al Consiliului prevede obligația ca fiecare instituție a Uniunii să instituie o funcție de audit intern care trebuie exercitată cu respectarea standardelor internaționale relevante. În cadrul Comisiei, activitățile de audit intern le efectuează Serviciul de Audit Intern (denumit în continuare serviciul), care a fost instituit la 11 aprilie 2000. Serviciul desfășoară activități de audit intern și în cadrul agențiilor descentralizate ale Uniunii și al altor organisme autonome care beneficiază de contribuții de la bugetul Uniunii.

Serviciul își desfășoară activitățile de audit intern în conformitate cu articolele 117123 din Regulamentul (UE, Euratom) 2018/1046 și cu carta misiunii acestuia. În acest sens, serviciul este complet independent și are acces deplin și nelimitat la toate informațiile de care are nevoie pentru a-și desfășura activitățile de audit intern în legătură cu toate activitățile și departamentele instituției Uniunii în cauză.

Serviciul oferă consultanță altor departamente ale Comisiei, agențiilor executive, agențiilor descentralizate ale Uniunii și altor organe autonome care beneficiază de contribuții de la bugetul Uniunii cu privire la modul de abordare a riscurilor, respectiv orice eveniment sau problemă care ar putea apărea și care ar putea avea un impact negativ asupra realizării obiectivelor politice, strategice și operaționale ale Comisiei, prin emiterea de avize independente privind calitatea sistemelor de gestiune și control și prin emiterea de recomandări pentru îmbunătățirea condițiilor de aplicare a operațiunilor și pentru promovarea bunei gestiuni financiare, în conformitate cu articolele 117-123 din Regulamentul (UE, Euratom) 2018/1046. Prin urmare, activitățile de audit intern ale serviciului nu vizează, de obicei, persoane fizice. Cu toate acestea, în cursul activităților sale, serviciul prelucrează, în mod inevitabil, date cu caracter personal în sensul articolului 3 alineatul (1) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului. Activitățile de audit intern pe care le desfășoară serviciul implică evaluarea caracterului adecvat și a eficacității sistemelor interne de gestiune și a rezultatelor departamentelor în punerea în aplicare a politicilor, a programelor și a acțiunilor, a eficienței și a eficacității sistemelor interne de control și audit aplicabile oricărei operațiuni de execuție bugetară. Prin urmare, activitățile de audit intern contribuie la protejarea intereselor economice și financiare importante ale Uniunii și ale statelor membre. Serviciul are funcția de operator în ceea ce privește operațiunile de prelucrare pe care le desfășoară în conformitate cu articolul 118 și cu articolul 119 alineatul (2) din Regulamentul financiar.

Activitățile de audit intern efectuate în cadrul Comisiei și al agențiilor sale executive, precum și în cadrul agențiilor descentralizate ale Uniunii și al altor organe autonome variază, în ceea ce privește forma și conținutul, de la misiuni de asigurare (inclusiv evaluări ale riscurilor) și de consultanță, la analize restrânse și misiuni de examinare a măsurilor luate în urma auditurilor.

Comitetul de monitorizare a auditurilor, în conformitate cu Carta misiunii acestuia, actualizată la 21 noiembrie 2018 [C(2018) 7707], este un organism consultativ care asistă Comisia în îndeplinirea obligațiilor care îi revin în temeiul tratatelor și al altor instrumente statutare [Regulamentul (UE, Euratom) 2018/1046] prin asigurarea independenței Serviciului de Audit Intern, prin monitorizarea calității activității de audit intern și prin asigurarea faptului că serviciile Comisiei iau în considerare în mod adecvat recomandările de audit intern și extern și că le dau curs în mod corespunzător. Astfel, Comitetul de monitorizare a auditurilor contribuie la ameliorarea globală ulterioară a eficacității și eficienței Comisiei în ceea ce privește atingerea obiectivelor sale și facilitează supravegherea de către colegiu a guvernanței, a gestionării riscurilor și a practicilor de control intern ale Comisiei. Comitetul de monitorizare a auditurilor are funcția de operator în ceea ce privește operațiunea (operațiunile) de prelucrare pe care o (le) desfășoară în conformitate cu articolul 123 din Regulamentul financiar.

În scopul activităților desfășurate de Comisie în temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046, fie acționând din proprie inițiativă, fie pe baza contribuțiilor primite, Comisia prelucrează datele cu caracter personal dobândite sau primite de la persoane juridice, persoane fizice, state membre, precum și organisme și organizații internaționale. În cursul activităților de audit intern, serviciul ar putea, de asemenea, să prelucreze date cu caracter personal dobândite sau primite din surse aflate la dispoziția publicului, din surse anonime sau din surse identificate a căror identitate trebuie protejată.

La rândul său, Comisia poate să facă schimb de date cu caracter personal cu instituțiile, organele, oficiile și agențiile Uniunii, cu autoritățile competente ale statelor membre și, în cadrul acordurilor internaționale sau de cooperare relevante încheiate de Comisie cu țări terțe și cu organizații internaționale.

Activitățile de prelucrare a datelor cu caracter personal, în sensul articolului 3 punctul 3 din Regulamentul (UE) 2018/1725, desfășurate în cadrul activității de audit intern pot avea loc chiar și înainte de inițierea oficială a activității de către Comisie, pot continua pe toată durata derulării activității de audit și se pot derula chiar și după încheierea oficială a activității de audit (de exemplu, pentru a monitoriza punerea în aplicare a recomandărilor sau pentru a evalua necesitatea de a iniția noi activități de audit intern).

Printre categoriile de date cu caracter personal prelucrate de Comisie se numără: datele de identificare, datele de contact, datele profesionale și datele legate de obiectul de activitate sau corelate cu acesta. Aceste categorii de date cu caracter personal sunt stocate într-un mediu electronic securizat pentru a preveni accesul sau transferul ilegal al datelor către persoane care nu prezintă necesitatea de a cunoaște. Datele cu caracter personal se păstrează pe o perioadă de maximum zece ani. La sfârșitul perioadei de păstrare, informațiile legate de activitatea de audit intern, inclusiv datele cu caracter personal, se transferă în arhivele istorice ale Comisiei sau se distrug.

În desfășurarea activităților de audit intern, Comisia este obligată să respecte drepturile persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, recunoscute prin articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și prin articolul 16 alineatul (1) din tratat, precum și drepturile prevăzute în Regulamentul (UE) 2018/1725. Totodată, Comisia trebuie să respecte normele stricte în materie de confidențialitate prevăzute în standardele internaționale de audit intern, în conformitate cu articolul 117 din Regulamentul (UE, Euratom) 2018/1046.

În anumite circumstanțe, este necesar să se reconcilieze drepturile persoanelor vizate prevăzute în Regulamentul (UE) 2018/1725 cu nevoile activităților de audit intern, cu caracterul confidențial al schimburilor de informații cu persoanele fizice și juridice, precum și cu respectarea deplină a drepturilor și libertăților fundamentale ale altor persoane vizate. În acest scop, articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725 oferă serviciului posibilitatea de a restricționa aplicarea articolelor 14-17, 19, 20 și 35, precum și a principiului transparenței prevăzut la articolul 4 alineatul (1) litera (a) – în măsura în care dispozițiile acestuia din urmă corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19, 20 și 35 din respectivul regulament.

Pentru a asigura eficacitatea activităților de audit intern, respectând totodată standardele în materie de protecție a datelor cu caracter personal prevăzute de Regulamentul (UE) 2018/1725, care a înlocuit Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului, este necesar să se adopte norme interne în temeiul cărora Comisia să poată restricționa drepturile persoanelor vizate în conformitate cu articolul 25 alineatul (1) literele (c), (g) și (h) din Regulamentul (UE) 2018/1725.

Normele interne ar trebui să acopere toate operațiunile de prelucrare efectuate de Comisie în cadrul activităților sale de audit intern, fie că aceasta acționează din proprie inițiativă, fie că acționează pe baza contribuțiilor primite, ori de câte ori exercitarea drepturilor persoanelor vizate poate periclita desfășurarea activităților de audit intern. Aceste norme ar trebui să se aplice operațiunilor de prelucrare efectuate înainte de inițierea oficială a unei misiuni, în cursul misiunii, precum și în timpul monitorizării acțiunilor întreprinse pentru a da curs constatărilor misiunii.

Pentru a se conforma articolelor 14, 15 și 16 din Regulamentul (UE) 2018/1725, Comisia ar trebui să informeze toate persoanele fizice cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal și cu privire la drepturile lor într-un mod transparent și coerent, prin publicarea unui anunț privind protecția datelor pe siteul web al Comisiei. Atunci când este cazul, Comisia ar trebui să aducă garanții suplimentare care să asigure că persoanele vizate sunt informate în mod individual și într-un format adecvat.

În temeiul articolului 25 din Regulamentul (UE) 2018/1725, Comisia este, de asemenea, în măsură, să restricționeze furnizarea de informații persoanelor vizate și exercitarea altor drepturi ale persoanelor vizate pentru a-și proteja propriile activități de audit intern, auditurile autorităților publice ale statelor membre, instrumentele și metodele de audit, precum și drepturile altor persoane care au legătură cu activitățile sale de audit intern.

În plus, pentru a menține o cooperare eficace, s-ar putea să fie necesară restricționarea, de către Comisie, a aplicării drepturilor persoanelor vizate pentru a proteja operațiunile de prelucrare ale serviciilor Comisiei sau ale altor instituții, organe, oficii și agenții ale Uniunii sau ale autorităților statelor membre și ale organizațiilor internaționale, precum și ale comitetului de monitorizare a auditurilor. În acest scop, Comisia ar trebui să consulte aceste servicii, instituții, organe, oficii, agenții, autorități și organizații, precum și Comitetul de monitorizare a auditurilor cu privire la motivele relevante pentru impunerea de restricții și la necesitatea și proporționalitatea restricțiilor.

De asemenea, Comisia ar putea fi nevoită să restricționeze furnizarea de informații persoanelor vizate și aplicarea altor drepturi ale persoanelor vizate în ceea ce privește datele cu caracter personal primite din partea unor țări terțe sau a unor organizații internaționale, pentru a coopera cu aceste țări sau organizații și pentru a proteja astfel un obiectiv important de interes public general al Uniunii. Cu toate acestea, în anumite circumstanțe, interesele sau drepturile fundamentale ale persoanei vizate pot prevala asupra interesului cooperării internaționale.

Comisia ar trebui să gestioneze toate restricțiile într-un mod transparent și să înregistreze fiecare aplicare a unei restricții în sistemul corespunzător de păstrare a evidențelor.

În temeiul articolului 25 alineatul (8) din Regulamentul (UE) 2018/1725, operatorii pot să amâne, să omită sau să refuze furnizarea de informații privind motivele aplicării unei restricții persoanei vizate în cazul în care furnizarea acestor informații ar compromite în vreun fel scopul restricției. Este, în special, cazul restricțiilor privind drepturile prevăzute la articolele 16 și 35 din Regulamentul (UE) 2018/1725.

În cazul în care se aplică o restricționare a altor drepturi ale persoanelor vizate, operatorul Serviciului de Audit Intern ar trebui să evalueze, de la caz la caz, dacă informarea cu privire la restricție ar compromite scopul acesteia.

Responsabilul cu protecția datelor din cadrul Comisiei Europene ar trebui să efectueze o reexaminare independentă a aplicării restricțiilor, în vederea asigurării conformității cu prezenta decizie.

Regulamentul (UE) 2018/1725 înlocuiește Regulamentul (CE) nr. 45/2001, fără o perioadă de tranziție, cu începere de la data la care intră în vigoare. Regulamentul (CE) nr. 45/2001 prevedea posibilitatea de a aplica restricții ale anumitor drepturi. Pentru a nu compromite legalitatea activităților de audit intern, prezenta decizie ar trebui să se aplice de la data intrării în vigoare a Regulamentului (UE) 2018/1725.

Autoritatea Europeană pentru Protecția Datelor a emis un aviz la 27 noiembrie 2018,

Prezenta decizie stabilește normele pe care trebuie să le respecte Comisia pentru a informa persoanele vizate cu privire la prelucrarea datelor lor în conformitate cu articolele 14, 15 și 16 din Regulamentul (UE) 2018/1725, atunci când își desfășoară activitățile de audit intern în conformitate cu articolele 117-123 din Regulamentul (UE, Euratom) 2018/1046.

Prezenta decizie se aplică prelucrării datelor cu caracter personal de către Comisie în scopul activităților desfășurate în vederea îndeplinirii sarcinilor sale în temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046 sau în legătură cu aceste activități.

Prezenta decizie se aplică prelucrării datelor cu caracter personal în cadrul Comisiei, în măsura în care Comisia prelucrează datele cu caracter personal conținute în informațiile pe care este obligată să le prelucreze în scopul activităților menționate în prezentul articol sau în legătură cu acestea.

În momentul în care își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, Comisia analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul menționat.

Sub rezerva articolelor 3-7 din prezenta decizie, Comisia poate restricționa aplicarea articolelor 14-17, 19, 20 și 35 din Regulamentul (UE) 2018/1725, precum și a principiului transparenței prevăzut la articolul 4 alineatul (1) litera (a) din regulamentul respectiv – în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19, 20 și 35 din regulamentul în cauză – în cazul în care exercitarea acestor drepturi și obligații ar periclita scopul activităților Comisiei în temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046, inclusiv prin dezvăluirea instrumentelor și a metodelor sale de audit, sau ar afecta drepturile și libertățile altor persoane vizate.

Sub rezerva articolelor 3-7, Comisia poate restricționa drepturile și obligațiile menționate la prezentul articol alineatul (2) în ceea ce privește datele cu caracter personal obținute de la alte instituții, organisme, agenții și oficii ale Uniunii, de la autorități competente ale statelor membre sau ale țărilor terțe sau de la organizații internaționale, în următoarele circumstanțe:

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către alte instituții, organisme, agenții și oficii ale Uniunii, pe baza altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul respectiv ori în conformitate cu Regulamentul (UE) 2016/794 al Parlamentului European și al Consiliului sau cu Regulamentul (UE) 2017/1939 al Consiliului;

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către autoritățile competente ale statelor membre pe baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului sau în temeiul unor măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului;

în cazul în care exercitarea acestor drepturi și obligații ar putea periclita cooperarea Comisiei cu țări terțe sau cu organizații internaționale în ceea ce privește desfășurarea activităților de audit intern.

Alineatele (1), (2) și (3) nu aduc atingere aplicării altor decizii ale Comisiei de stabilire a normelor interne privind furnizarea de informații persoanelor vizate și restricționarea unor drepturi în temeiul articolului 25 din Regulamentul (UE) 2018/1725 și nici aplicării articolului 23 din Regulamentul de procedură al Comisiei.

Comisia publică pe site-ul său anunțuri privind protecția datelor prin care informează toate persoanele vizate în legătură cu activitățile care implică prelucrarea datelor lor cu caracter personal în scopul desfășurării propriilor sale activități temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046. Atunci când este cazul, Comisia se asigură că persoanele vizate sunt informate în mod individual, într-un format adecvat.

În cazul în care Comisia restricționează, integral sau parțial, furnizarea de informații persoanelor vizate, ale căror date sunt prelucrate în scopul desfășurării propriilor sale activități în temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046, aceasta consemnează și înregistrează motivele restricționării în conformitate cu articolul 6.

În cazul în care restricționează, integral sau parțial, dreptul de acces la datele personale al persoanelor vizate, dreptul la ștergerea datelor sau dreptul la restricționarea prelucrării menționate la articolele 17, 19 și, respectiv, 20 din Regulamentul (UE) 2018/1725, Comisia informează persoana vizată – în răspunsul său la cererea acesteia privind accesul, ștergerea sau restricționarea prelucrării – cu privire la restricția aplicată și la principalele motive ale acesteia, precum și cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.

Furnizarea de informații cu privire la motivele restricției menționate la alineatul (1) al prezentului articol poate fi amânată, omisă sau refuzată atât timp cât aceasta riscă să submineze scopul restricției.

Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 6 din prezenta decizie.

În cazul în care dreptul de acces este restricționat integral sau parțial, persoana vizată își exercită dreptul de acces prin intermediul Autorității Europene pentru Protecția Datelor, în conformitate cu articolul 25 alineatele (6), (7) și (8) din Regulamentul (UE) 2018/1725.

În cazul în care restricționează informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal, astfel cum se menționează la articolul 35 din Regulamentul (UE) 2018/1725, Comisia consemnează și înregistrează motivele restricției în conformitate cu articolul 6 din prezenta decizie.

Comisia consemnează motivele oricărei restricții aplicate în conformitate în temeiul prezentei decizii, incluzând o evaluare a necesității și a proporționalității restricției, în funcție de elementele relevante prevăzute la articolul 25 alineatul (2) din Regulamentul (UE) 2018/1725.

În acest scop, consemnarea indică modul în care exercitarea dreptului ar periclita scopul activităților desfășurate de Comisie în temeiul articolului 118 și al articolului 119 alineatul (2) din Regulamentul (UE, Euratom) 2018/1046 ori scopul restricțiilor aplicate în temeiul articolului 2 alineatul (2) sau (3), sau modul în care aceasta ar afecta drepturile și libertățile altor persoane vizate.

Consemnarea și, dacă este cazul, documentele care conțin elemente faptice și juridice de sprijin se înregistrează. Acestea sunt puse la dispoziția Autorității Europene pentru Protecția Datelor, la cerere.

Restricțiile menționate la articolele 3, 4 și 5 din prezenta decizie continuă să se aplice atât timp cât motivele care le justifică rămân aplicabile.

În cazul în care motivele unei restricții menționate la articolul 3 sau 5 din prezenta decizie nu se mai aplică, Comisia ridică restricția și informează persoana vizată cu privire la principalele motive ale restricției. În același timp, Comisia informează persoana vizată cu privire la posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor în orice moment sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.

Comisia reexaminează aplicarea restricției menționate la articolele 3 și 5 din prezenta decizie la fiecare șase luni de la adoptarea acesteia, precum și înainte și după încheierea activității de audit intern relevante. Ulterior, Comisia verifică anual dacă este necesară menținerea eventualei restricții/amânări.

Responsabilul cu protecția datelor din cadrul Comisiei Europene este informat, fără întârzieri nejustificate, ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie. La cerere, responsabilului cu protecția datelor i se asigură accesul la consemnări și la orice document care conțin elemente faptice și juridice de sprijin.

Responsabilul cu protecția datelor poate solicita o reexaminare a restricțiilor. Responsabilul cu protecția datelor este informat cu privire la rezultatul reexaminării solicitate.

Prezenta decizie intră în vigoare la data publicării în Jurnalul Oficial al Uniunii Europene.

Se aplică de la 11 decembrie 2018.

Adoptată la Bruxelles, 11 decembrie 2018.Pentru ComisiePreședinteleJean-Claude Juncker