a także mając na uwadze, co następuje:(1) W rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2019/452 1 ustanowiono mechanizm współpracy między Komisją a państwami członkowskimi w zakresie bezpośrednich inwestycji zagranicznych. Mechanizm opiera się na wymianie informacji, które mogą obejmować dane osobowe w rozumieniu art. 3 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 2 . Celem mechanizmu współpracy jest umożliwienie każdemu państwu członkowskiemu zbadania, czy dana bezpośrednia inwestycja zagraniczna w innym państwie członkowskim może mieć wpływ na jego bezpieczeństwo lub porządek publiczny, oraz umożliwienie Komisji zbadania, czy dana bezpośrednia inwestycja zagraniczna może mieć wpływ na bezpieczeństwo lub porządek publiczny w więcej niż jednym państwie członkowskim.
(2) Kategorie danych osobowych przetwarzanych przez Komisję w celu monitorowania bezpośrednich inwestycji zagranicznych przez państwa członkowskie oraz zapewnienia skuteczności mechanizmu współpracy ustanowionego rozporządzeniem (UE) 2019/452 obejmują dane identyfikacyjne i kontaktowe, dane zawodowe i dane dotyczące bezpośrednich inwestycji zagranicznych.
(3) Służb Komisji odpowiedzialne za monitorowanie zatrzymają dane osobowe tak długo, jak będzie to konieczne do celów monitorowania bezpośrednich inwestycji zagranicznych przez państwa członkowskie i zapewnienia działania mechanizmu współpracy; będą one przechowywane w zabezpieczonym środowisku elektronicznym w celu zapobieżenia bezprawnemu dostępowi do danych lub przekazaniu ich osobom spoza Komisji 3 .
(4) Przy wykonywaniu swoich zadań Komisja jest zobowiązana do poszanowania praw osób fizycznych w związku z przetwarzaniem danych osobowych zgodnie z art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej i art. 16 ust. 1 Traktatu o Funkcjonowaniu Unii Europejskiej, a także praw przewidzianych w rozporządzeniu (UE) 2018/1725. Jednocześnie Komisja musi przestrzegać ścisłych zasad poufności zgodnie z art. 10 rozporządzenia (UE) 2019/452.
(5) W pewnych okolicznościach konieczne jest pogodzenie praw osób, których dane dotyczą, na podstawie rozporządzenia (UE) 2018/1725, z potrzebą zapewnienia skuteczności mechanizmu współpracy, jak również z pełnym poszanowaniem podstawowych praw i wolności innych osób, których dane dotyczą. W tym celu art. 25 ust. 1 rozporządzenia (UE) 2018/1725 daje Komisji możliwość ograniczenia zastosowania art. 14-17, 19, 20 i 35 rozporządzenia (UE) 2018/1725, a także zasady przejrzystości określonej w art. 4 ust. 1 lit. a) tego rozporządzenia, o ile przepisy art. 25 ust. 1 odpowiadają prawom i obowiązkom przewidzianym w art. 14-17, 19 i 20 tego rozporządzenia.
(6) Wspólna polityka handlowa Unii wymaga, aby Komisja skutecznie i efektywnie wykonywała swoje zadania w ramach mechanizmu współpracy. W tym celu, przy jednoczesnym przestrzeganiu standardów ochrony danych osobowych na mocy rozporządzenia (UE) 2018/1725, konieczne jest przyjęcie przepisów wewnętrznych, na mocy których Komisja może ograniczyć prawa osób, których dane dotyczą, zgodnie z art. 25 rozporządzenia (UE) 2018/1725.
(7) Te przepisy wewnętrzne powinny obejmować wszystkie operacje przetwarzania danych prowadzone przez Komisję w kontekście wykonywania jej zadań w ramach mechanizmu współpracy ustanowionego rozporządzeniem (UE) 2019/452 od momentu otrzymania przez Komisję informacji na temat odnośnych bezpośrednich inwestycji zagranicznych.
(8) W celu zapewnienia zgodności z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725 Komisja powinna informować - w sposób przejrzysty i spójny, w formie informacji o ochronie danych publikowanych na stronie internetowej Komisji - wszystkie osoby fizyczne o swoich działaniach obejmujących przetwarzanie ich danych osobowych oraz o ich prawach. W stosownych przypadkach Komisja powinna wprowadzić dodatkowe środki ochronne, aby zagwarantować, że osoby, których dane dotyczą, zostaną we właściwy sposób indywidualnie poinformowane.
(9) Nie naruszając art. 14 ust. 5 i art. 16 ust. 5 rozporządzenia (UE) 2018/1725 Komisja ma możliwość, na podstawie art. 25 wspomnianego rozporządzenia, ograniczyć udzielanie osobom, których dane dotyczą, informacji o przetwarzaniu ich danych osobowych oraz ograniczyć stosowanie innych praw tych osób w celu ochrony uprawnień Komisji do przeprowadzania analiz i procedur dotyczących monitorowania bezpośrednich inwestycji zagranicznych lub mechanizmu współpracy zgodnie z rozporządzeniem (UE) 2019/452. W tym względzie konieczne może być ograniczenie przez Komisję stosowania tych praw i obowiązków na podstawie art. 25 ust. 1 lit. a), c), d), g) i h) tego rozporządzenia, Może to być konieczne, jeżeli w przeciwnym razie zagrożone byłyby cele analiz i procedur Komisji dotyczących monitorowania bezpośrednich inwestycji zagranicznych lub mechanizmu współpracy w odniesieniu do skutecznego wdrażania wspólnej polityki handlowej Unii.
(10) Aby utrzymać skuteczną współpracę Komisja może być ponadto zmuszona ograniczyć stosowanie praw osób, których dane dotyczą, celem ochrony procesów przetwarzania dokonywanych przez inne instytucje, organy i jednostki organizacyjne Unii lub organów państw członkowskich. Komisja może to uczynić w sytuacji, gdy cel takiego ograniczenia ze strony innej instytucji, organu lub jednostki organizacyjnej Unii lub organu państwa członkowskiego byłby zagrożony w przypadku niezastosowania przez Komisję równoważnych ograniczeń w odniesieniu do tych samych danych osobowych. W tym celu Komisja powinna skonsultować się z tymi instytucjami, organami i jednostkami organizacyjnymi Unii lub organami władzy w kwestii stosownych podstaw nałożenia ograniczeń oraz konieczności i proporcjonalności ograniczeń.
(11) Komisja może być zmuszona ograniczyć udzielanie informacji osobom, których dane dotyczą, i stosowanie innych praw tych osób w odniesieniu do danych osobowych otrzymywanych od państw członkowskich lub innych źródeł, anonimowych lub jawnych, gdy jest to niezbędne do zapewnienia bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronności państw członkowskich, jak określono w art. 25 ust. 1 lit. a) rozporządzenia (UE) 2018/1725, lub do zapewnienia bezpieczeństwa wewnętrznego instytucji i organów Unii, jak określono w art. 25 ust. 1 lit. d) tego rozporządzenia. Bezpieczeństwo wewnętrzne instytucji i organów Unii może być zagrożone szczególnie w przypadku bezpośrednich inwestycji zagranicznych, które mogą mieć wpływ na projekty lub programy leżące w interesie Unii ze względów bezpieczeństwa lub porządku publicznego.
(12) Komisja może również ograniczyć udzielanie informacji osobom, których dane dotyczą, i stosowanie innych praw tych osób w odniesieniu do danych osobowych otrzymywanych od państw członkowskich, państw trzecich lub organizacji międzynarodowych celem współpracy z tymi państwami członkowskimi, państwami trzecimi lub organizacjami, a tym samym zabezpieczenia ważnego celu leżącego w ogólnym interesie publicznym Unii, o którym mowa w art. 25 ust. 1 lit. c) rozporządzenia (UE) 2018/1725. W pewnych okolicznościach interes lub prawa podstawowe osoby, której dane dotyczą, mogą jednak przeważać nad interesem współpracy międzynarodowej.
(13) W związku z tym, jeśli jest to konieczne do wykonywania funkcji kontrolnych, inspekcyjnych lub regulacyjnych związanych ze sprawowaniem przez Komisję władzy publicznej podczas wykonywania jej zadań w ramach mechanizmu współpracy ustanowionego rozporządzeniem (UE) 2019/452, Komisja może być zmuszona do ograniczenia przekazywania informacji osobom, których dane dotyczą, oraz ograniczenia stosowania innych praw tych osób, jak określono w art. 25 ust. 1 lit. g) rozporządzenia (UE) 2018/1725.
(14) Ponadto Komisja może być zmuszona do ograniczenia przekazywania informacji osobom, których dane dotyczą, i stosowania innych praw tych osób w odniesieniu do danych osobowych otrzymanych z anonimowych lub zidentyfikowanych źródeł, takich jak informatorzy, które wymagają ochrony swoich praw i wolności na podstawie art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725.
(15) W związku z tym Komisja określiła przyczyny wymienione w art. 25 ust. 1 lit. a), c), d), g) i h) rozporządzenia (UE) 2018/1725 jako podstawy ograniczeń, które mogą być konieczne do zastosowania do operacji przetwarzania danych prowadzonych w ramach analiz i procedur Komisji dotyczących monitorowania bezpośrednich inwestycji zagranicznych lub mechanizmu współpracy ustanowionego rozporządzeniem (UE) 2019/452.
(16) Wszelkie ograniczenia, stosowane na podstawie niniejszej decyzji, powinny być konieczne i proporcjonalne, biorąc pod uwagę zagrożenia dla praw i wolności osób, których dane dotyczą.
(17) Komisja powinna rozpatrywać wszystkie ograniczenia w sposób przejrzysty i rejestrować każde ich zastosowanie w odpowiednim systemie rejestracji.
(18) Komisja przetwarza dane osobowe na podstawie rozporządzenia (UE) 2019/452 wspólnie z właściwymi organami państw członkowskich. Ocena i procedury Komisji dotyczące monitorowania bezpośrednich inwestycji zagranicznych lub mechanizmu współpracy są przeprowadzane przez różne służby, ale główna odpowiedzialność za koordynację spoczywa na Dyrekcji Generalnej ds. Handlu.
(19) Na podstawie art. 25 ust. 8 rozporządzenia (UE) 2018/1725 administratorzy mogą wstrzymać przekazanie informacji, pominąć je lub go odmówić w oparciu o powody zastosowania ograniczenia w stosunku do osoby, której dane dotyczą, jeżeli przekazanie tych informacji mogłoby w jakikolwiek sposób unieważnić skutek tego ograniczenia. Dotyczy to w szczególności ograniczeń przewidzianych w art. 16 i 35 tego rozporządzenia.
(20) Komisja powinna regularnie dokonywać przeglądu nałożonych ograniczeń w celu zapewnienia, aby prawa osoby, której dane dotyczą, do uzyskania informacji zgodnie z art. 16 i 35 rozporządzenia (UE) 2018/1725 były ograniczone tylko tak długo, jak długo takie ograniczenia są konieczne, aby umożliwić Komisji przeprowadzenie analiz i procedur dotyczących monitorowania bezpośrednich inwestycji zagranicznych lub mechanizmu współpracy.
(21) W przypadku ograniczenia innych praw osoby, której dane dotyczą, administrator danych powinien w poszczególnych przypadkach ocenić, czy poinformowanie o ograniczeniu zagrażałoby jego celowi.
(22) Inspektor ochrony danych Komisji powinien przeprowadzić niezależny przegląd stosowania ograniczeń w celu zapewnienia zgodności z niniejszą decyzją.
(23) Niniejsza decyzja powinna wejść w życie trzeciego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej, aby niezwłocznie umożliwić Komisji ograniczenie stosowania niektórych praw i obowiązków zgodnie z art. 25 rozporządzenia (UE) 2018/1725 i nie stanowić zagrożenia dla analiz i procedur dotyczących monitorowania bezpośrednich inwestycji zagranicznych lub mechanizmu współpracy ustanowionego rozporządzeniem (UE) 2019/452.
(24) Skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 29 lipca 2020 r.,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
