(1)

När kommissionen utför sina uppgifter är den skyldig att respektera fysiska personers rättigheter i samband med den behandling av personuppgifter som erkänns i artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna och i artikel 16.1 i fördraget om Europeiska unionens funktionssätt. Den måste också respektera de rättigheter som fastställs i Europaparlamentets och rådets förordning (EU) 2018/1725 (1). Samtidigt måste kommissionen hantera säkerhetsincidenter på it-området i enlighet med bestämmelserna i artikel 15 i beslut (EU, Euratom) 2017/46 (2).

(2)

För att säkerställa it-säkerheten, dvs. bevarande av konfidentialitet, integritet och tillgänglighet för kommunikations- och informationssystem och de dataset som de behandlar, när det gäller personer, tillgångar och information, har kommissionen, särskilt genom sitt generaldirektorat för informationsteknik, vidtagit åtgärder i enlighet med beslut (EU, Euratom) 2017/46 och beslut C (2017) 8841 final (3). Dessa åtgärder omfattar övervakning av it-säkerhetsriskerna och de it-säkerhetsåtgärder som genomförts, krav på systemägare att vidta specifika it-säkerhetsåtgärder för att minska it-säkerhetsriskerna för kommissionens kommunikations- och informationssystem samt hantering av säkerhetsincidenter på it-området.

(3)

Generaldirektoratet för informationsteknik tillhandahåller it-säkerhet och it-säkerhetstjänster till kommissionen och behöver behandla flera kategorier av personuppgifter för att

(4)

Säkerhetsincidenter på it-området som skulle kunna undergräva säkerheten i kommissionens informations- och kommunikationssystem kan inträffa i all behandling som utförs av kommissionen. De kan omfatta alla kategorier av personuppgifter som behandlas av kommissionen.

(5)

Under vissa omständigheter kan det visa sig vara nödvändigt att sammanjämka de registrerades rättigheter enligt förordning (EU) 2018/1725 med kommissionens behov av att utföra sina uppgifter för att säkerställa it-säkerheten för personer, tillgångar och information inom kommissionen enligt beslut (EU, Euratom) 2017/46, och med full respekt för andra registrerades grundläggande rättigheter och friheter. På grundval av artikel 25.1 i förordning (EU) 2018/1725 får kommissionen därför begränsa tillämpningen av artiklarna 14–17, 19, 20 och 35 i förordning (EU) 2018/1725 och av principen om öppenhet i artikel 4.1 a i den förordningen, i den mån de bestämmelserna motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 14–17, 19 och 20 i den förordningen.

(6)

Detta beslut bör tillämpas på all behandling som utförs av kommissionen i egenskap av personuppgiftsansvarig vid utförandet av dess uppgifter för att säkerställa it-säkerheten för personer, tillgångar och information i kommissionen i enlighet med beslut (EU, Euratom) 2017/46. Det bör därför gälla de registrerade för de kategorier av personuppgifter som omfattas av all sådan behandling, dvs. enskilda personer som interagerar med något av kommissionens informations- och kommunikationssystem.

(7)

Personuppgifterna lagras i en säker elektronisk miljö för att förhindra olaglig åtkomst av uppgifter av personer utanför kommissionen. Olika lagringstider gäller för olika behandlingar beroende på vilken typ av personuppgifter det rör sig om. Lagringen av akter i kommissionen regleras av den gemensamma lagringslistan på kommissionsnivå (SEC (2019) 900), som är ett regleringsdokument i form av en lagringsplan som anger lagringsperioderna för olika typer av kommissionsfiler för att begränsa datalagringen till vad som är nödvändigt.

(8)

Kommissionen skulle kunna behöva begränsa tillämpningen av de registrerades rättigheter för att skydda sin inre säkerhet i enlighet med artikel 25.1 d i förordning (EU) 2018/1725 (dvs. för att bevara konfidentialiteten, integriteten och tillgängligheten i sina kommunikations- och informationssystem och de dataset som de behandlar, dess tillgångar och information). Kommissionen skulle framför allt kunna vara tvungen att göra detta när den

(9)

För hantering av säkerhetsincidenter på it-området som avses i artikel 15 i beslut (EU, Euratom) 2017/46 får generaldirektoratet för informationsteknik utbyta information med it-incidenthanteringsgruppen vid generaldirektoratet för personal och säkerhet.

(10)

För att följa artiklarna 14, 15 och 16 i förordning (EU) 2018/1725 bör kommissionen informera alla enskilda personer om den verksamhet som inbegriper behandling av personuppgifter och som påverkar deras rättigheter. Den bör göra detta på ett öppet och konsekvent sätt genom att offentliggöra ett meddelande om skydd av personuppgifter på kommissionens webbplats. I förekommande fall bör den tillämpa ytterligare skyddsåtgärder för att informera de registrerade individuellt i ett lämpligt format.

(11)

Efterlevnad av artiklarna 14, 15 och 16 i förordning (EU) 2018/1725 skulle kunna avslöja förekomsten av säkerhetsåtgärder, sårbarheter eller incidenter på it-området som vidtagits enligt artikel 15 i beslut (EU, Euratom) 2017/46. Om dessa säkerhetsåtgärder, sårbarheter och incidenter på it-området avslöjas ökar risken för att den exponerade säkerhetsåtgärden på it-området kringgås, för att den exponerade sårbarheten då skulle missbrukas och att en pågående analys av säkerhetsincidenter på it-området skulle kunna undergrävas eftersom objekt kan manipuleras oavsiktligt eller avsiktligt av en användare eller en skadlig aktör. Detta skulle allvarligt kunna försämra kommissionens förmåga att säkerställa dess it-säkerhet och i synnerhet att hantera säkerhetsincidenter på it-området på ett effektivt sätt i framtiden.

(12)

Enligt artikel 25.1 h i förordning (EU) 2018/1725 bemyndigas kommissionen också att begränsa tillämpningen av registrerades rättigheter för att skydda andra personers rättigheter och friheter i samband med säkerhetsincidenter på it-området som skulle kunna undergräva it-säkerheten.

(13)

Kommissionen kan behöva begränsa tillhandahållandet av information till registrerade och tillämpningen av andra registrerades rättigheter när det gäller personuppgifter som mottagits från länder utanför EU eller internationella organisationer, för att fullgöra sin skyldighet att samarbeta med dessa länder eller organisationer. Detta är en del av kommissionens skyldighet att skydda ett viktigt mål av generellt allmänt intresse för EU, i enlighet med artikel 25.1 c i förordning (EU) 2018/1725. I vissa fall kan dock den registrerades intresse eller grundläggande rättigheter väga tyngre än intresset av internationellt samarbete.

(14)

Kommissionen har därför identifierat de skäl som anges i artikel 25.1 c, d och h i förordning (EU) 2018/1725 som skäl för begränsningar som kan vara nödvändiga för uppgiftsbehandling som utförs av generaldirektoratet för informationsteknik i samband med tillhandahållande av it-säkerhet och säkerhetstjänster på it-området till kommissionen.

(15)

Alla begränsningar som tillämpas enligt detta beslut bör vara nödvändiga och stå i proportion till risken för de registrerades rättigheter och friheter.

(16)

Kommissionen bör hantera alla begränsningar på ett öppet sätt och registrera varje tillämpning av begränsningar i motsvarande registersystem.

(17)

Enligt artikel 25.8 i förordning (EU) 2018/1725 får personuppgiftsansvariga skjuta upp, utelämna eller neka tillhandahållandet av information av samma skäl som gäller för att begränsa den registrerades rättigheter i de fall då tillhandahållandet av informationen skulle kunna undergräva syftet med begränsningen. Detta gäller särskilt begränsningarna av de skyldigheter som föreskrivs i artiklarna 16 och 35 i förordning (EU) 2018/1725. Kommissionen bör regelbundet se över införda begränsningar för att säkerställa att de registrerades rätt att bli informerade i enlighet med artiklarna 16 och 35 i förordning (EU) 2018/1725 begränsas endast så länge som är nödvändigt för att göra det möjligt för kommissionen att säkerställa sin säkerhet och i synnerhet hantera säkerhetsincidenter på it-området.

(18)

Om kommissionen begränsar tillämpningen av andra rättigheter för registrerade än de som avses i artiklarna 16 och 35 i förordning (EU) 2018/1725, bör den personuppgiftsansvarige från fall till fall bedöma om meddelandet om begränsningen skulle undergräva dess syfte.

(19)

Kommissionens dataskyddsombud bör göra en oberoende översyn av tillämpningen av begränsningar för att säkerställa efterlevnaden av detta beslut.

(20)

För att kommissionen omedelbart ska kunna begränsa tillämpningen av vissa rättigheter och skyldigheter i enlighet med artikel 25 i förordning (EU) 2018/1725 bör detta beslut träda i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

(21)

Europeiska datatillsynsmannen avgav ett yttrande den 16 september 2021.