a także mając na uwadze, co następuje:(1) Komisja prowadzi postępowania administracyjne w celu egzekwowania reguł konkurencji zgodnie z Traktatem i prawodawstwem wtórnym oraz przyjętymi w tym celu umowami międzynarodowymi 1 . W tym celu wykonuje ona uprawnienia do prowadzenia postępowań i egzekwowania prawa (wraz z odnośnych działaniami operacyjnymi) w dziedzinie przeciwdziałania praktykom monopolistycznym, kontroli połączeń oraz kontroli pomocy państwa powierzonych Komisji na mocy odpowiednich aktów Unii.
(2) Działania Komisji w zakresie prowadzenia postępowań i egzekwowania prawa w dziedzinie konkurencji są ukierunkowane na przedsiębiorstwa lub państwa członkowskie, które podlegają regułom konkurencji określonym w Traktacie, a nie na osoby fizyczne jako takie. W trakcie postępowań w zakresie konkurencji przetwarzanie danych osobowych w rozumieniu art. 3 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 2 odbywa się jednak w sposób nieunikniony w rozumieniu art. 3 ust. 3 rozporządzenia (UE) 2018/1725. Komisja musi przetwarzać takie dane osobowe w celu realizacji zadań powierzonych jej jako organowi publicznemu egzekwującemu unijne reguły konkurencji. Postępowania w dziedzinie przeciwdziałania praktykom monopolistycznym, kontroli połączeń i kontroli pomocy państwa oraz egzekwowanie reguł konkurencji stanowią funkcje kontrolne, nadzorcze lub regulacyjne związane z wykonywaniem władzy publicznej w przypadkach, o których mowa w art. 25 ust. 1 lit. c) i g) rozporządzenia (UE) 2018/1725. Działania te służą promowaniu i ochronie konkurencyjnego rynku wewnętrznego, a tym samym chronią istotne interesy ekonomiczne i finansowe Unii i państw członkowskich.
(3) Do celów działań w zakresie prowadzenia postępowań i egzekwowania prawa w dziedzinie przeciwdziałania praktykom monopolistycznym, kontroli połączeń i kontroli pomocy państwa Komisja przetwarza dane osobowe uzyskane lub otrzymane od osób prawnych, osób fizycznych, państw członkowskich i innych podmiotów (takich jak krajowe organy ochrony konkurencji, organy regulacyjne oraz inne podmioty i organy publiczne), organów ochrony konkurencji państw trzecich oraz podmiotów i organizacji międzynarodowych. W trakcie działań w zakresie prowadzenia postępowań i egzekwowania prawa dotyczących konkurencji, Komisja może - z własnej inicjatywy lub na podstawie otrzymanych informacji - przetwarzać również dane osobowe uzyskane lub otrzymane z publicznie dostępnych źródeł (na przykład w kontekście monitorowania lub kontroli rynku), z anonimowych źródeł (np. od sygnalizatorów/informatorów) lub ze zidentyfikowanych źródeł (na przykład od skarżących), które wymagają ochrony tożsamości.
(4) Komisja może przekazywać z kolei dane osobowe osobom prawnym lub fizycznym (na przykład w kontekście procedury dostępu do akt), krajowym organom ochrony konkurencji oraz innym organom i podmiotom w kontekście współpracy dwustronnej lub wielostronnej z organami i organizacjami państw członkowskich lub państw trzecich, jeśli jest to niezbędne i właściwe do wykonywania jej uprawnień, do ochrony prawa do obrony stron będących przedmiotem postępowania Komisji oraz do zapewnienia efektywnego i skutecznego stosowania unijnych reguł konkurencji.
(5) Działania w zakresie przetwarzania danych osobowych w rozumieniu art. 3 ust. 3 rozporządzenia (UE) 2018/1725, prowadzone w ramach działań w zakresie prowadzenia postępowań i egzekwowania prawa w dziedzinie konkurencji, mogą mieć miejsce nawet przed formalnym wszczęciem przez Komisję postępowania przez cały czas trwania postępowania przygotowawczego i mogą być kontynuowane nawet po formalnym zamknięciu postępowania (na przykład do celów monitorowania lub nadzorowania rynku lub zgodności z przepisami, aby ocenić, czy konieczne jest wszczęcie nowego postępowania, podjęcie kroków prawnych itp.).
(6) Dane osobowe przetwarzane przez Komisję to na przykład: dane identyfikacyjne, dane kontaktowe, dane zawodowe i dane dotyczące przedmiotu postępowania lub procedury, lub związane z przedmiotem postępowania lub procedurą. Dane osobowe są przechowywane w zabezpieczonym środowisku elektronicznym w celu zapobieżenia bezprawnemu dostępowi do danych lub przekazaniu ich osobom z naruszeniem zasady ograniczonego dostępu. Służby Komisji odpowiedzialne za postępowanie przechowują dane osobowe przez czas potrzebny do przeprowadzenia postępowania, na ocenę potrzeby wszczęcia nowego postępowania, w toku procedury administracyjnej oraz podczas wszelkich późniejszych procedur kontroli sądowej, a także na administracyjny okres zatrzymywania, który następuje po ostatecznym zamknięciu sprawy. Na koniec okresu zatrzymywania informacje dotyczące sprawy, w tym dane osobowe, są przekazywane do historycznych archiwów Komisji 3 .
(7) Przy wykonywaniu swoich zadań Komisja jest zobowiązana do poszanowania praw osób fizycznych w związku z przetwarzaniem danych osobowych zgodnie z art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej i art. 16 ust. 1 Traktatu. Komisja jest jednocześnie odpowiedzialna za egzekwowanie reguł konkurencji, które nakładają na Komisję obowiązek terminowego prowadzenia postępowań, z poszanowaniem zasad poufności i tajemnicy zawodowej 4 , a także prawa do obrony stron będących przedmiotem jej postępowań 5 oraz praw osób fizycznych, które wymagają ochrony ich tożsamości.
(8) W pewnych okolicznościach konieczne jest pogodzenie praw osób, których dane dotyczą, zgodnie z rozporządzeniem (UE) 2018/1725 z potrzebami działań w zakresie prowadzenia postępowań i egzekwowania prawa, jak również pełnym poszanowaniem podstawowych praw i wolności innych osób, których dane dotyczą. W tym celu art. 25 rozporządzenia (UE) 2018/1725 daje Komisji możliwość ograniczenia zastosowania art. 14-22 i 35, a także art. 4 o ile ich przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-22 tegoż rozporządzenia.
(9) Te przepisy wewnętrzne powinny obejmować wszystkie operacje przetwarzania przeprowadzone przez Komisję w ramach jej uprawnień w zakresie prowadzenia postępowań, niezależnie od tego, czy działają z własnej inicjatywy, czy też na podstawie otrzymanego wkładu, jak również egzekwowania przepisów i powiązanych działań operacyjnych w dziedzinie przeciwdziałania praktykom monopolistycznym, kontroli połączeń i kontroli pomocy państwa, jeżeli korzystanie z praw przysługujących osobom, których dane dotyczą, może zagrozić prowadzeniu postępowań lub działaniach w zakresie egzekwowania prawa. Zasady te powinny mieć zastosowanie do operacji przetwarzania przeprowadzanych przed formalnym wszczęciem postępowania, w trakcie prowadzenia postępowań, jak również po formalnym zamknięciu postępowań, w tym przetwarzania w kontekście dwustronnej lub wielostronnej współpracy z krajowymi organami ochrony konkurencji, organami i organizacjami z państw członkowskich lub państw trzecich.
(10) W celu zapewnienia zgodności z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725 Komisja powinna informować - w sposób przejrzysty i spójny, w formie informacji o ochrona danych publikowanych na stronie internetowej Komisji - wszystkie osoby fizyczne o swoich działaniach obejmujących przetwarzanie ich danych osobowych oraz o ich prawach.
(11) Bez uszczerbku dla art. 14 ust. 5 i art. 16 ust. 5 rozporządzenia (UE) 2018/1725 Komisja może także na podstawie art. 25 tegoż rozporządzenia ograniczyć udzielanie informacji osobom, których dane dotyczą, i stosowanie innych praw osób, których dane dotyczą, w celu ochrony swoich własnych postępowań w zakresie ochrony konkurencji i egzekwowania reguł konkurencji, postępowań i innych działań prowadzonych przez krajowe organy konkurencji państw członkowskich, narzędzi i metod w zakresie prowadzenia postępowań, jak również praw innych osób związanych z prowadzonym przez siebie postępowaniami.
(12) Aby utrzymać skuteczną współpracę Komisja może być ponadto zmuszona ograniczyć stosowanie praw osób, których dane dotyczą, celem ochrony procesów przetwarzania dokonywanych przez inne instytucje, organy i jednostki organizacyjne Unii lub organów państw członkowskich. W tym celu Komisja powinna skonsultować się z tymi instytucjami, organami i jednostkami organizacyjnymi Unii lub organami władzy w kwestii stosownych podstaw nałożenia ograniczeń i konieczności i proporcjonalności ograniczeń.
(13) Komisja może również ograniczyć udzielanie informacji osobom, których dane dotyczą, i stosowanie innych praw tych osób w odniesieniu do danych osobowych otrzymywanych od państw trzecich lub organizacji międzynarodowych celem współpracy z tymi państwami lub organizacjami, a tym samym służenia ważnemu celowi leżącemu w ogólnym interesie publicznym Unii. W pewnych okolicznościach interes lub prawa podstawowe prawa osoby, której dane dotyczą, mogą jednak przeważać nad interesem współpracy międzynarodowej.
(14) W związku z tym Komisja określiła przyczyny wymienione w art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725 jako podstawy ograniczeń na mocy art. 25 tegoż rozporządzenia, które mogą być konieczne do zastosowania do operacji przetwarzania danych prowadzonych w ramach działań Komisji w zakresie prowadzenia postępowań i egzekwowania przepisów w obszarze przeciwdziałania praktykom monopolistycznym, kontroli połączeń i kontroli pomocy państwa.
(15) Komisja powinna rozpatrywać wszystkie ograniczenia w sposób przejrzysty i każde zastosowanie ograniczeń rejestrować w odpowiednim systemie rejestracji.
(16) Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 administratorzy mogą wstrzymać przekazanie informacji lub powstrzymać się od niego z powodów zastosowania ograniczenia w stosunku do osoby, której dane dotyczą, jeżeli przekazanie tych informacji w jakikolwiek sposób zagroziłoby celowi tego ograniczenia. Dotyczy to w szczególności ograniczeń praw przewidzianych w art. 16 i 35 rozporządzenia (UE) 2018/1725. W celu zapewnienia, aby prawa osoby, której dane dotyczą, na mocy art. 16 i 35 rozporządzenia (UE) 2018/1725, są ograniczone tylko tak długo, jak długo istnieją ku temu powody, Komisja powinna regularnie dokonywać przeglądu swojego stanowiska oraz po zamknięciu odpowiedniego postępowania.
(17) W przypadku zastosowania ograniczenia innych praw osoby, której dane dotyczą, administrator danych powinien w poszczególnych przypadkach ocenić, czy poinformowanie o ograniczeniu zagrażałoby jego celowi. Administratorem danych jest dział Komisji odpowiedzialny za politykę konkurencji.
(18) Inspektor ochrony danych Komisji powinien przeprowadzić niezależny przegląd stosowania ograniczeń w celu zapewnienia zgodności z niniejszą decyzją,
(19) Niniejsza decyzja zostaje przyjęta do celów art. 25 rozporządzenia (UE) 2018/1725 i, w celu zapewnienia pewności prawa, powinna wejść w życie w tym samym czasie, co rozporządzenie.
(20) Przeprowadzono konsultacje z Europejskim Inspektorem Ochrony Danych,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
