Recitale
(1) În îndeplinirea sarcinilor sale, Comisia este obligată să respecte drepturile persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, recunoscute prin articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și prin articolul 16 alineatul (1) din Tratatul privind funcționarea Uniunii Europene. De asemenea, aceasta trebuie să respecte drepturile prevăzute în Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (1). În același timp, Comisia trebuie să gestioneze incidentele de securitate informatică în conformitate cu normele prevăzute la articolul 15 din Decizia (UE, Euratom) 2017/46 (2).
(2) Pentru a asigura securitatea informatică, adică păstrarea confidențialității, integrității și disponibilității sistemelor informatice și de comunicații și a seturilor de date pe care le prelucrează, în ceea ce privește persoanele, activele și informațiile, Comisia, în special prin Direcția Generală Informatică, a luat măsurile prevăzute în Decizia (UE, Euratom) 2017/46 și în Decizia C(2017) 8841 final (3). Printre aceste măsuri se numără monitorizarea riscurilor de securitate informatică și a măsurilor de securitate informatică puse în aplicare, solicitarea ca proprietarii de sisteme să ia măsuri specifice de securitate informatică pentru a atenua riscurile în materie de securitate informatică la adresa sistemelor informatice și de comunicații ale Comisiei, precum și gestionarea incidentelor de securitate informatică.
(3) Direcția Generală Informatică furnizează Comisiei operațiuni și servicii de securitate informatică și trebuie să prelucreze mai multe categorii de date cu caracter personal pentru: — a comunica alertele și avertizările legate de evenimentele și incidentele de securitate informatică; — a răspunde la evenimentele și incidentele de securitate informatică și a le limita amploarea; — a facilita instrumentele și operațiunile prin audituri de securitate, evaluări ale securității și gestionarea vulnerabilităților; — a crește gradul de sensibilizare a personalului Comisiei în domeniul securității cibernetice; — a monitoriza, detecta și preveni producerea evenimentelor și incidentelor de securitate informatică; — a examina conturile de utilizator privilegiat.
(4) Incidentele de securitate informatică care ar putea submina securitatea sistemelor informatice și de comunicații ale Comisiei pot apărea în orice operațiune de prelucrare efectuată de Comisie. Acestea pot implica orice categorie de date cu caracter personal prelucrate de Comisie.
(5) În anumite circumstanțe, se poate dovedi necesar să se reconcilieze drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725 cu necesitatea Comisiei de a-și îndeplini în mod eficace sarcinile de asigurare a securității informatice a persoanelor, activelor și informațiilor în cadrul Comisiei în temeiul Deciziei (UE, Euratom) 2017/46 și cu respectarea deplină a drepturilor și libertăților fundamentale ale altor persoane vizate. În acest scop, articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725 autorizează Comisia să restricționeze aplicarea articolelor 14-17, 19, 20 și 35 din regulamentul citat, precum și a principiului transparenței menționat la articolul său 4 alineatul (1) litera (a), în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-17, 19 și 20 din regulamentul respectiv.
(6) Prezenta decizie trebuie să se aplice tuturor operațiunilor de prelucrare efectuate de Comisie în calitate de operator de date în îndeplinirea sarcinilor sale de asigurare a securității informatice a persoanelor, activelor și informațiilor în cadrul Comisiei în temeiul Deciziei (UE, Euratom) 2017/46. Prin urmare, aceasta trebuie să se refere la persoanele vizate din categoriile de date cu caracter personal acoperite de toate aceste operațiuni de prelucrare, și anume la persoanele care interacționează cu oricare dintre sistemele informatice și de comunicații ale Comisiei.
(7) Datele cu caracter personal sunt stocate într-un mediu electronic securizat, pentru a preveni accesarea ilegală de către persoane din afara Comisiei. Diferitelor operațiuni de prelucrare li se aplică diferite perioade de păstrare a datelor, în funcție de tipul de date cu caracter personal implicate. Păstrarea dosarelor în cadrul Comisiei este reglementată de Lista comună de păstrare a dosarelor la nivelul Comisiei [SEC(2019) 900], un document de reglementare sub forma unui calendar de păstrare care stabilește perioadele de păstrare pentru diferite tipuri de dosare ale Comisiei pentru a limita păstrarea datelor la ceea ce este necesar.
(8) Comisia ar putea fi nevoită să restricționeze aplicarea drepturilor persoanelor vizate pentru a-și proteja securitatea internă în temeiul articolului 25 alineatul (1) litera (d) din Regulamentul (UE) 2018/1725 (și anume, pentru a păstra confidențialitatea, integritatea și disponibilitatea sistemelor sale informatice și de comunicații și a seturilor de date pe care le prelucrează, a activelor și a informațiilor aferente). În particular, Comisia ar putea fi nevoită să facă acest lucru atunci când: — comunică alertele și avertizările legate de evenimentele și incidentele de securitate informatică; — răspunde la evenimentele și incidentele de securitate informatică și le limitează amploarea; facilitează instrumentele și operațiunile prin audituri de securitate, evaluări ale securității și gestionarea vulnerabilităților; — crește gradul de sensibilizare a personalului Comisiei în domeniul securității cibernetice; — monitorizează, detectează și previne producerea evenimentelor și incidentelor de securitate informatică; — examinează conturile de utilizator privilegiat.
(9) În scopul gestionării incidentelor de securitate informatică, astfel cum se menționează la articolul 15 din Decizia (UE, Euratom) 2017/46, Direcția Generală Informatică poate face schimb de informații cu Centrul de răspuns la incidente de securitate cibernetică din cadrul Direcției Generale Resurse Umane și Securitate.
(10) Pentru a respecta dispozițiile articolelor 14, 15 și 16 din Regulamentul (UE) 2018/1725, Comisia trebuie să informeze toate persoanele fizice cu privire la activitățile care implică prelucrarea datelor lor cu caracter personal și care le afectează drepturile. Comisia trebuie să facă acest lucru într-un mod transparent și coerent, prin publicarea unei comunicări privind protecția datelor pe site-ul web al Comisiei. După caz, aceasta trebuie să aplice garanții suplimentare pentru a informa persoanele vizate în mod individual, într-un format adecvat.
(11) Respectarea dispozițiilor articolelor 14, 15 și 16 din Regulamentul (UE) 2018/1725 ar putea dezvălui existența unor măsuri de securitate, a unor vulnerabilități sau a unor incidente de natură informatică care intră sub incidența articolului 15 din Decizia (UE, Euratom) 2017/46. Dezvăluirea acestor măsuri de securitate, vulnerabilități și incidente de natură informatică sporește riscul ca măsura de securitate informatică expusă să fie apoi eludată, ca vulnerabilitatea expusă să fie utilizată în mod abuziv și ca o analiză continuă a incidentelor de securitate informatică să fie subminată deoarece artefactele ar putea fi manipulate accidental sau intenționat de un utilizator sau de un actor rău intenționat. Acest lucru ar putea afecta grav capacitatea Comisiei de a-și asigura securitatea informatică și, în special, de a gestiona în mod eficace incidentele de securitate informatică în viitor.
(12) În temeiul articolului 25 alineatul (1) litera (h) din Regulamentul (UE) 2018/1725, Comisia este, de asemenea, autorizată să restricționeze aplicarea drepturilor persoanelor vizate pentru a proteja drepturile și libertățile altor persoane fizice în legătură cu incidente de securitate informatică care ar putea submina operațiunile de securitate informatică.
(13) Comisia poate fi nevoită să restricționeze furnizarea de informații persoanelor vizate și aplicarea altor drepturi ale acestora în ceea ce privește datele cu caracter personal primite din partea țărilor din afara UE sau a organizațiilor internaționale, pentru a-și îndeplini obligația de cooperare cu respectivele țări sau organizații. Acest lucru face parte din datoria Comisiei de a salvgarda un obiectiv important de interes public general al UE, astfel cum se menționează la articolul 25 alineatul (1) litera (c) din Regulamentul (UE) 2018/1725. Cu toate acestea, în anumite circumstanțe, interesul drepturilor fundamentale ale persoanei vizate poate prevala asupra interesului cooperării internaționale.
(14) Prin urmare, Comisia a identificat motivele enumerate la articolul 25 alineatul (1) literele (c), (d) și (h) din Regulamentul (UE) 2018/1725 ca fiind motive pentru restricții pe care ar putea fi necesar să le aplice operațiunilor de prelucrare a datelor efectuate de Direcția Generală Informatică în legătură cu furnizarea de operațiuni și servicii de securitate informatică Comisiei.
(15) Este oportun ca orice restricție aplicată în temeiul prezentei decizii să fie necesară și proporționată, ținând seama de riscurile la adresa drepturilor și libertăților persoanelor vizate.
(16) Comisia trebuie să gestioneze toate restricțiile într-un mod transparent și să înregistreze fiecare aplicare a unei restricții în sistemul de evidență corespunzător.
(17) În temeiul articolului 25 alineatul (8) din Regulamentul (UE) 2018/1725, operatorii de date pot să amâne, să omită sau să refuze furnizarea de informații pe baza justificării aplicării unei restricții persoanei vizate în cazul în care furnizarea informațiilor respective ar submina în orice mod efectul restricției. În particular, acest lucru se aplică restricțiilor privind obligațiile prevăzute la articolele 16 și 35 din Regulamentul (UE) 2018/1725. Comisia trebuie să examineze în mod regulat restricțiile impuse pentru a se asigura că drepturile persoanei vizate de a fi informată în conformitate cu articolele 16 și 35 din Regulamentul (UE) 2018/1725 sunt restricționate numai atâta timp cât astfel de restricții sunt necesare pentru a permite Comisiei să își asigure securitatea informatică și, în particular, să rezolve incidentele de securitate informatică.
(18) Atunci când Comisia restricționează aplicarea drepturilor unor persoane vizate, altele decât cele menționate la articolele 16 și 35 din Regulamentul (UE) 2018/1725, operatorul de date trebuie să evalueze, de la caz la caz, măsura în care comunicarea restricției i-ar submina scopul.
(19) Este necesar ca responsabilul cu protecția datelor din cadrul Comisiei să efectueze o examinare independentă a aplicării restricțiilor, pentru a asigura respectarea prezentei decizii.
(20) Pentru a permite Comisiei să restricționeze imediat aplicarea anumitor drepturi și obligații în conformitate cu articolul 25 din Regulamentul (UE) 2018/1725, prezenta decizie trebuie să intre în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.
(21) Autoritatea Europeană pentru Protecția Datelor a emis un aviz la 16 septembrie 2021,