Decyzja 2026/1446 ustanawiająca przepisy wewnętrzne dotyczące przekazywania informacji osobom, których dane dotyczą, oraz ograniczenia niektórych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych przez Komisję do celów czynności sprawdzających, egzekwowania i monitorowania na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/1925

DECYZJA KOMISJI (UE) 2026/1446

z dnia 30 czerwca 2026 r.

ustanawiająca przepisy wewnętrzne dotyczące przekazywania informacji osobom, których dane dotyczą, oraz ograniczenia niektórych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych przez Komisję do celów czynności sprawdzających, egzekwowania i monitorowania na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/1925

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE ¹ , w szczególności jego art. 25,

a także mając na uwadze, co następuje:

(1) Komisja prowadzi czynności sprawdzające w celu egzekwowania przepisów określonych w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2022/1925 ²  w odniesieniu do przedsiębiorstw lub związków przedsiębiorstw. W tym celu Komisja wykonuje uprawnienia w zakresie czynności sprawdzających, egzekwowania i monitorowania powierzone jej na mocy tego rozporządzenia.

(2) Zadania Komisji wynikające z rozporządzenia (UE) 2022/1925 wykonuje dyrekcja generalna Komisji odpowiedzialna za konkurencję i dyrekcja generalna Komisji odpowiedzialna za sieci komunikacyjne, treści i technologię.

(3) W kontekście wykonywania swoich zadań w zakresie czynności sprawdzających, egzekwowania i monitorowania na podstawie rozporządzenia (UE) 2022/1925 Komisja przetwarza informacje. Informacje te mogą obejmować dane osobowe osób fizycznych takich jak przedstawiciele prawni oraz pracownicy strażników dostępu i zainteresowanych osób trzecich, świadków, sygnalistów, jak również osób fizycznych, których dane osobowe są zawarte w dokumentach zgromadzonych w związku z wykonywaniem zadań w zakresie czynności sprawdzających, egzekwowania i monitorowania na podstawie rozporządzenia (UE) 2022/1925.

(4) Przetwarzanie danych osobowych w rozumieniu art. 3 ust. 3 rozporządzenia (UE) 2018/1725, dokonywane w trakcie działań w zakresie czynności sprawdzających i egzekwowania prowadzonych na podstawie rozporządzenia (UE) 2022/1925, może mieć miejsce już przed formalnym wszczęciem przez Komisję postępowania na podstawie art. 20 rozporządzenia (UE) 2022/1925, może być kontynuowane przez cały czas trwania takiego postępowania, jak również nawet po jego formalnym zamknięciu, na przykład do celów monitorowania zgodności z przepisami lub działań w zakresie nadzorowania, aby ocenić, czy konieczne jest wszczęcie nowego postępowania lub podjęcie kroków prawnych.

(5) Do celów czynności sprawdzających, egzekwowania i monitorowania na podstawie rozporządzenia (UE) 2022/1925 Komisja jako administrator danych przetwarza kilka kategorii danych osobowych, takich jak dane dotyczące tożsamości, dane kontaktowe, dane dotyczące udziału w sprawie (takie jak stanowisko i funkcja osoby fizycznej w danym przedsiębiorstwie), dane dotyczące sprawy (takie jak dane osobowe zawarte w dokumentach, oświadczeniach, opiniach i rejestrach) oraz wszelkie inne informacje uznane za niezbędne do tego celu (w tym dane osobowe użytkowników końcowych i użytkowników biznesowych podstawowych usług platformowych). Kategorie przetwarzanych danych osobowych mogą również - choć jest to mało prawdopodobne - obejmować szczególne kategorie danych osobowych, o których mowa w art. 10 ust. 1 rozporządzenia (UE) 2018/1725.

(6) Przy wykonywaniu swoich zadań na podstawie rozporządzenia (UE) 2022/1925 Komisja jest zobowiązana do poszanowania praw osób fizycznych w związku z przetwarzaniem danych osobowych, zgodnie z art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej i art. 16 ust. 1 Traktatu o Funkcjonowaniu Unii Europejskiej, a także wymogów przewidzianych w rozporządzeniu (UE) 2018/1725. Jednocześnie Komisja, w kontekście działań prowadzonych przez nią na podstawie rozporządzenia (UE) 2022/1925, jest zobowiązana do przestrzegania rygorystycznych zasad dotyczących poufności i tajemnicy zawodowej, o których mowa w art. 36 tego rozporządzenia i w art. 339 Traktatu o funkcjonowaniu Unii Europejskiej.

(7) W określonych okolicznościach konieczne jest pogodzenie praw osób, których dane dotyczą, przewidzianych w rozporządzeniu (UE) 2018/1725, ze skutecznym wykonywaniem przez Komisję zadań w zakresie czynności sprawdzających, egzekwowania i monitorowania na podstawie rozporządzenia (UE) 2022/1925, w tym we współpracy z właściwymi organami państwa członkowskiego, lub pogodzenie tych praw z podstawowymi prawami i wolnościami innych osób, których dane dotyczą. W tym celu zgodnie z art. 25 ust. 1 rozporządzenia (UE) 2018/1725 Komisja może ograniczyć, na ściśle określonych warunkach, stosowanie art. 14-22, 35 i 36 rozporządzenia (UE) 2018/1725, a także stosowanie art. 4 tego rozporządzenia w zakresie, w jakim przepisy tego artykułu odpowiadają prawom i obowiązkom przewidzianym w art. 14-22 rozporządzenia (UE) 2018/1725.

(8) W określonych okolicznościach konieczne jest pogodzenie praw osób, których dane dotyczą, z potrzebą zabezpieczenia czynności sprawdzających, egzekwowania i monitorowania prowadzonych przez Komisję na podstawie rozporządzenia (UE) 2022/1925 w ramach sprawowania przez nią władzy publicznej w interesie publicznym Unii zgodnie z art. 25 ust. 1 lit. g) w związku z lit. c) rozporządzenia (UE) 2018/1725. Komisja może zastosować ograniczenia m.in. wtedy, gdy wykonywanie tych praw zagroziłoby trwającym czynnościom sprawdzającym, na przykład gdy w trakcie czynności sprawdzających istnieje ryzyko zniszczenia dowodów lub ingerencji w działania kluczowych podmiotów (na przykład świadków).

(9) W określonych okolicznościach konieczne jest pogodzenie praw osób, których dane dotyczą, z podstawowymi prawami i wolnościami innych zainteresowanych osób w kontekście wykonywania przez Komisję zadań w zakresie czynności sprawdzających, egzekwowania i monitorowania na podstawie rozporządzenia (UE) 2022/1925, np. zainteresowanych osób trzecich i świadków. W takim przypadku Komisja może podjąć decyzję o ograniczeniu dostępu do tożsamości, oświadczeń i innych danych osobowych takich osób, gdy przedmiotowe dane osobowe są powiązane również z inną osobą, w celu ochrony ich praw i wolności zgodnie z art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725. Komisja może podjąć taką decyzję w szczególności w celu ochrony tych osób przed ewentualnymi działaniami odwetowymi.

(10) W szczególności należy zapewnić ochronę informacji poufnych dotyczących sygnalisty lub każdej innej osoby fizycznej, która przekazała Komisji informacje w kontekście wykonywania przez nią zadań w zakresie czynności sprawdzających, egzekwowania i monitorowania na podstawie rozporządzenia (UE) 2022/1925. W takich przypadkach Komisja może być zmuszona do ograniczenia dostępu do tożsamości, oświadczeń i innych danych osobowych takich osób przekazujących informacje w celu ochrony praw i wolności wszystkich zainteresowanych zgodnie z art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725. Komisja może ujawnić tożsamość osoby przekazującej informacje jedynie za jej zgodą. Komisja musi ujawnić jej tożsamość, jeżeli wymaga tego prawo lub organ sądowy.

(11) W przypadkach, gdy osoby, których dane dotyczą, składają wniosek o dostęp do swoich danych osobowych, powinny one uzyskać dostęp do takich danych osobowych, w tym danych przekazanych przez osobę przekazującą informacje. W celu zapewnienia anonimowości osób przekazujących informacje Komisja nie powinna przekazywać osobie, której dane dotyczą, imienia ani nazwiska osoby przekazującej informacje ani żadnych innych informacji, które umożliwiałyby jej bezpośrednią lub pośrednią identyfikację.

(12) Ponadto, aby wykonywać swoje zadania mające na celu zapewnienie skutecznego stosowania rozporządzenia (UE) 2022/1925, w szczególności w kontekście współpracy między Komisją a właściwymi organami państw członkowskich, Komisja może ograniczyć stosowanie praw osób, których dane dotyczą, aby zabezpieczyć sprawowanie przez nią władzy publicznej w interesie publicznym, o czym mowa w art. 25 ust. 1 lit. g) w związku z lit. c) rozporządzenia (UE) 2018/1725. Komisja może tak postąpić w sytuacji, gdy osiągnięcie celu ograniczenia zastosowanego przez organ państwa członkowskiego byłoby zagrożone, jeżeli Komisja nie zastosowałaby równoważnego ograniczenia w odniesieniu do tych samych danych osobowych. Stosując takie ograniczenie, Komisja powinna konsultować się z danym państwem członkowskim w sprawie stosownych potencjalnych powodów zastosowania ograniczeń oraz konieczności i proporcjonalności tych ograniczeń, chyba że stanowiłoby to zagrożenie dla działań Komisji.

(13) Komisja powinna stosować ograniczenia tylko wtedy, gdy są one zgodne z istotą podstawowych praw i wolności, są absolutnie niezbędne i stanowią środek proporcjonalny w społeczeństwie demokratycznym. Komisja powinna przedstawić uzasadnienie mających zastosowanie ograniczeń.

(14) Art. 25 ust. 6 rozporządzenia (UE) 2018/1725 zobowiązuje administratora danych do informowania osób, których dane dotyczą, o podstawowych powodach zastosowania ograniczenia oraz o przysługującym im prawie do złożenia skargi do Europejskiego Inspektora Ochrony Danych.

(15) Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 Komisja może wstrzymać przekazanie informacji o podstawowych powodach zastosowania ograniczenia osobie, której dane dotyczą, pominąć takie przekazanie lub go odmówić, gdyby mogło ono w jakikolwiek sposób unieważnić skutek ograniczenia. Komisja powinna ocenić w każdym przypadku z osobna, czy powiadomienie o ograniczeniu unieważniłoby jego skutek.

(16) Komisja powinna znieść ograniczenie niezwłocznie po ustaniu warunków je uzasadniających i regularnie oceniać te warunki.

(17) W celu zapewnienia zgodności z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725 Komisja powinna informować - w sposób przejrzysty i spójny, w formie oświadczenia o ochronie danych publikowanego na stronie internetowej Komisji - wszystkie osoby, których dane dotyczą, o swoich działaniach obejmujących przetwarzanie danych osobowych tych osób oraz o prawach przysługujących tym osobom. Komisja powinna za pomocą odpowiednich środków indywidualnie informować przedstawicieli prawnych oraz pracowników strażników dostępu, przedstawicieli prawnych oraz pracowników zainteresowanych osób trzecich, świadków oraz sygnalistów o przetwarzaniu ich danych osobowych.

(18) W art. 16 ust. 5 rozporządzenia (UE) 2018/1725 przewidziano wyjątki od prawa do informacji przysługującego osobom, których dane dotyczą, w sytuacji gdy danych osobowych nie uzyskano od osób, których dane dotyczą. Jeżeli wyjątki te mają zastosowanie, Komisja nie musi stosować ograniczenia prawa do informacji na mocy niniejszej decyzji. Wyjątki na podstawie art. 16 ust. 5 lit. b) rozporządzenia (UE) 2018/1725 mają mieć zastosowanie w przypadku, gdy udzielenie informacji, o których mowa w art. 16 ust. 1-4 tego rozporządzenia, okazałoby się niemożliwe, wymagałoby niewspółmiernie dużego wysiłku bądź uczyniłoby niemożliwym lub poważnie utrudniłoby osiągnięcie celów przetwarzania danych. W przypadkach osób, których dane dotyczą, nieistotnych dla czynności sprawdzających i których dane osobowe są zawarte w dokumentach zgromadzonych w ramach czynności sprawdzających, egzekwowania i monitorowania na podstawie rozporządzenia (UE) 2022/1925, innych niż indywidualnie informowane osoby, których dane dotyczą, udzielenie tych informacji mogłoby okazać się niemożliwe lub wymagać niewspółmiernie dużego wysiłku. Może tak być w przypadku, gdy Komisja uzyskuje dane osobowe w kontekście informacji przekazanych przez sygnalistę lub w trakcie działań w zakresie monitorowania prowadzonych przez nią w celu zapewnienia skutecznego wdrożenia i przestrzegania rozporządzenia (UE) 2022/1925.

(19) Zgodnie z zasadami przejrzystości, sprawiedliwości i rozliczalności Komisja powinna stosować wszystkie wyjątki i ograniczenia w przejrzysty sposób oraz prowadzić rejestr stosowania tych wyjątków i ograniczeń.

(20) Aby zagwarantować ochronę praw i wolności osób, których dane dotyczą, oraz zgodnie z art. 44 ust. 1 rozporządzenia (UE) 2018/1725, w trakcie całej procedury stosowania ograniczeń Komisja powinna angażować w nią koordynatorów ds. ochrony danych w dyrekcji generalnej odpowiedzialnej za konkurencję i w dyrekcji generalnej odpowiedzialnej za sieci komunikacyjne, treści i technologię oraz dokumentować prowadzone z nimi konsultacje. W szczególności należy w odpowiednim czasie przeprowadzić konsultacje z koordynatorami ds. ochrony danych w sprawie wszelkich ograniczeń, które mogą zostać zastosowane. Koordynatorzy ci powinni zweryfikować zgodność tych ograniczeń z niniejszą decyzją.

(21) Inspektor ochrony danych Komisji powinien przeprowadzić niezależny przegląd stosowania ograniczeń w celu zapewnienia zgodności z niniejszą decyzją.

(22) Zgodnie z art. 41 ust. 2 rozporządzenia (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 26 marca 2026 r.,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł  1

Przedmiot

1. W niniejszej decyzji ustanawia się przepisy wewnętrzne obowiązujące Komisję w odniesieniu do informowania osób, których dane dotyczą, o przetwarzaniu ich danych osobowych zgodnie z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725 w trakcie wykonywania przez Komisję zadań w zakresie czynności sprawdzających, egzekwowania i monitorowania na podstawie rozporządzenia (UE) 2022/1925.

2. W niniejszej decyzji określa się również warunki, na jakich Komisja może ograniczyć stosowanie art. 4, 14-20 i 35 rozporządzenia (UE) 2018/1725 zgodnie z jego art. 25 ust. 1 lit. c), g) i h).

Artykuł  2

Zakres

1. Niniejsza decyzja ma zastosowanie do przetwarzania przez Komisję danych osobowych następujących kategorii osób, których dane dotyczą:

a) przedstawiciele prawni oraz pracownicy strażników dostępu, zdefiniowanych w art. 2 ust. 1 rozporządzenia (UE) 2022/1925;

b) przedstawiciele prawni oraz pracownicy zainteresowanych osób trzecich;

c) świadkowie;

d) sygnaliści;

e) osoby fizyczne, których dane osobowe zawarte są w dokumentach lub innych mediach zgromadzonych w ramach wykonywania zadań w zakresie czynności sprawdzających, egzekwowania i monitorowania zgodnie z rozporządzeniem (UE) 2022/1925.

2. Niniejsza decyzja ma zastosowanie do przetwarzania danych osobowych należących do następujących kategorii danych osobowych:

a) dane dotyczące tożsamości;

b) dane kontaktowe;

c) dane dotyczące udziału w sprawie;

d) dane dotyczące sprawy;

e) wszelkie inne informacje uznane za niezbędne do spełnienia wymogów wynikających z rozporządzenia (UE) 2022/1925, w tym dane osobowe, o których mowa w art. 10 ust. 1 rozporządzenia (UE) 2018/1725.

Artykuł  3

Przekazywanie informacji osobom, których dane dotyczą

1. Komisja publikuje na swojej odpowiedniej stronie internetowej oświadczenie o ochronie danych, w którym informuje wszystkie osoby, których dane dotyczą, o prowadzonych przez nią działaniach obejmujących przetwarzanie ich danych osobowych do celów zadań w zakresie czynności sprawdzających, egzekwowania i monitorowania wykonywanych przez nią na podstawie rozporządzenia (UE) 2022/1925.

2. Oświadczenie o ochronie danych zawiera również informacje o możliwości ograniczenia praw osób, których dane dotyczą, zgodnie z art. 4. W informacjach tych określa się, które prawa mogą zostać ograniczone, powody, dla których ograniczenia mogą być stosowane, oraz potencjalny okres obowiązywania tych ograniczeń, a także informuje się o prawie osób, których dane dotyczą, do złożenia skargi do Europejskiego Inspektora Ochrony Danych.

3. Komisja za pomocą odpowiednich środków indywidualnie informuje sygnalistów, świadków i przedstawicieli prawnych oraz pracowników strażników dostępu i zainteresowanych osób trzecich o przetwarzaniu ich danych osobowych.

Artykuł  4

Ograniczenia

1. Komisja może ograniczyć stosowanie art. 14-20 i art. 35 rozporządzenia (UE) 2018/1725, a także stosowanie zasad zgodności z prawem, rzetelności i przejrzystości określonych w art. 4 ust. 1 lit. a) tego rozporządzenia w zakresie, w jakim przepisy dotyczące ograniczeń odpowiadają prawom i obowiązkom przewidzianym w art. 14-20 rozporządzenia (UE) 2018/1725, jeżeli:

a) wykonywanie tych praw i obowiązków zagroziłoby zadaniom Komisji w zakresie czynności sprawdzających, egzekwowania i monitorowania mającym na celu zapewnienie skutecznego stosowania rozporządzenia (UE) 2022/1925, zgodnie z art. 25 ust. 1 lit. c) i

g) rozporządzenia (UE) 2018/1725;

b) wykonywanie tych praw i obowiązków miałoby negatywny wpływ na ochronę osoby, której dane dotyczą, lub na prawa i wolności innych osób, zgodnie z art. 25 ust. 1 lit. h) rozporządzenia (UE) 2018/1725;

c) wykonywanie tych praw i obowiązków mogłoby zagrozić współpracy Komisji z właściwymi organami państwa członkowskiego przy wykonywaniu jej zadań mających na celu zapewnienie skutecznego stosowania rozporządzenia (UE) 2022/1925, zgodnie z art. 25 ust. 1 lit. c) i g) rozporządzenia (UE) 2018/1725.

2. Przed zastosowaniem ograniczeń w okolicznościach, o których mowa w ust. 1 lit. c), Komisja konsultuje się z właściwymi organami odpowiednich państw członkowskich w sprawie potencjalnych powodów zastosowania ograniczeń oraz konieczności i proporcjonalności tych ograniczeń, chyba że konsultacje takie stanowiłyby zagrożenie dla działań Komisji.

3. Wszelkie ograniczenia muszą respektować istotę podstawowych praw i wolności oraz być niezbędne i proporcjonalne w społeczeństwie demokratycznym.

4. Przed zastosowaniem ograniczeń, o których mowa w ust. 1, Komisja ocenia i dokumentuje w każdym przypadku z osobna ich konieczność i proporcjonalność. Ograniczenia te nie mogą wykraczać poza to, co jest bezwzględnie konieczne do osiągnięcia ich celu.

Artykuł  5

Prawo dostępu przysługujące osobie, której dane dotyczą, prawo do sprostowania danych, prawo do usunięcia danych oraz prawo do ograniczenia przetwarzania

1. W przypadku gdy Komisja ogranicza na podstawie art. 4, w całości lub w części, prawo dostępu przysługujące osobie, której dane dotyczą, prawo do sprostowania danych, prawo do usunięcia danych lub prawo do ograniczenia przetwarzania, o których to prawach mowa odpowiednio w art. 17-20 rozporządzenia (UE) 2018/1725, informuje daną osobę, której dane dotyczą, w odpowiedzi na wniosek o dostęp, sprostowanie, usunięcie lub ograniczenie przetwarzania o następujących elementach:

a) zastosowanym ograniczeniu i jego głównych powodach;

b) możliwości wniesienia skargi do Europejskiego Inspektora Ochrony Danych.

2. Komisja może wstrzymać przekazanie informacji o powodach zastosowania ograniczenia i o prawie do złożenia skargi do Europejskiego Inspektora Ochrony Danych, pominąć je lub go odmówić, o ile przekazanie takich informacji skutkowałoby unieważnieniem skutku ograniczenia. Komisja ocenia w każdym przypadku z osobna, czy jest to uzasadnione. Gdy tylko przekazanie takich informacji przestaje wywoływać unieważnienie skutku ograniczenia, Komisja przekazuje te informacje osobie, której dane dotyczą.

Artykuł  6

Zawiadamianie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

1. Jeżeli Komisja jest zobowiązana do zawiadomienia o naruszeniu ochrony danych osobowych na podstawie art. 35 ust. 1 rozporządzenia (UE) 2018/1725, może ona w wyjątkowych okolicznościach ograniczyć takie zawiadomienie w całości lub w części zgodnie z art. 4 niniejszej decyzji. Komisja zapisuje oraz ujmuje w rejestrze powody takiego ograniczenia, jego podstawy prawne na mocy art. 4 oraz ocenę jego konieczności i proporcjonalności.

2. Jeżeli powody ograniczenia przestają mieć zastosowanie, Komisja zawiadamia osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych i informuje ją o głównych powodach ograniczenia oraz o przysługującym jej prawie do złożenia skargi do Europejskiego Inspektora Ochrony Danych.

3. W przypadku gdy Komisja zgłasza Europejskiemu Inspektorowi Ochrony Danych naruszenie ochrony danych osobowych na podstawie art. 34 ust. 1 rozporządzenia (UE) 2018/1725, dołącza do zgłoszenia zapis dokonany na podstawie art. 7 niniejszej decyzji.

Artykuł  7

Zapisywanie i rejestrowanie ograniczeń

1. Komisja zapisuje powody każdego ograniczenia zastosowanego zgodnie z niniejszą decyzją, jego podstawy prawne określone w art. 4, szczegóły dotyczące okresu stosowania tego ograniczenia, ocenę ryzyka dla praw i wolności osób, których dane dotyczą, wynikającego z nałożenia ograniczenia oraz ocenę konieczności i proporcjonalności ograniczenia.

2. W zapisie tym określa się, w jaki sposób wykonywanie prawa przez daną osobę, której dane dotyczą, utrudniałoby osiągnięcie co najmniej jednego z mających zastosowanie celów wymienionych w art. 25 ust. 1 lit. c), g) i h) rozporządzenia (UE) 2018/1725.

3. Zapis ten oraz, w stosownych przypadkach, dokumenty zawierające leżące u jego podstaw elementy stanu faktycznego oraz aspekty prawne ujmuje się w rejestrze. Udostępnia się je na żądanie Europejskiemu Inspektorowi Ochrony Danych.

Artykuł  8

Okres obowiązywania ograniczeń

1. Ograniczenia, o których mowa w art. 4, mają zastosowanie tak długo, jak długo mają zastosowanie powody uzasadniające je.

2. Jeżeli powody nałożenia ograniczenia przestają mieć zastosowanie, Komisja znosi to ograniczenie.

3. Po zniesieniu ograniczenia Komisja informuje osobę, której dane dotyczą, o powodach zastosowania ograniczenia oraz o możliwości wniesienia skargi do Europejskiego Inspektora Ochrony Danych lub o możliwości skorzystania ze środka ochrony prawnej przed Trybunałem Sprawiedliwości Unii Europejskiej.

4. Komisja dokonuje przeglądu stosowania ograniczeń, o których mowa w art. 4, co sześć miesięcy. Przegląd obejmuje ocenę konieczności i proporcjonalności ograniczenia.

Artykuł  9

Zabezpieczenia i okresy przechowywania

1. Komisja wdraża zabezpieczenia w celu zapobiegnięcia nadużyciom i bezprawnemu dostępowi do danych osobowych lub bezprawnemu przekazywaniu danych osobowych, w odniesieniu do których są lub mogą być stosowane ograniczenia. Takie zabezpieczenia obejmują następujące środki techniczne i organizacyjne:

a) jasne określenie ról, obowiązków, etapów proceduralnych i praw dostępu;

b) bezpieczne środowisko elektroniczne, które zapobiega bezprawnemu lub przypadkowemu dostępowi do danych elektronicznych lub przekazywaniu danych elektronicznych osobom nieupoważnionym;

c) bezpieczne przechowywanie i przetwarzanie dokumentów papierowych ograniczone do absolutnego minimum niezbędnego do osiągnięcia celu przetwarzania;

d) należyte monitorowanie ograniczeń.

2. Dane osobowe są przechowywane zgodnie z obowiązującymi przepisami Komisji dotyczącymi przechowywania danych, które zostaną określone w rejestrach czynności przetwarzania prowadzonych na podstawie art. 31 rozporządzenia (UE) 2018/1725. Na koniec okresu przechowywania dane osobowe są usuwane, anonimizowane lub przekazywane do archiwów zgodnie z art. 13 rozporządzenia (UE) 2018/1725.

Artykuł  10

Udział koordynatorów ds. ochrony danych oraz inspektora ochrony danych Komisji

1. Przed zastosowaniem jakichkolwiek ograniczeń prowadzone są konsultacje z koordynatorami ds. ochrony danych w dyrekcji generalnej odpowiedzialnej za konkurencję i w dyrekcji generalnej odpowiedzialnej za sieci komunikacyjne, treści i technologię.

2. Koordynatorzy ds. ochrony danych w dyrekcji generalnej odpowiedzialnej za konkurencję i w dyrekcji generalnej odpowiedzialnej za sieci komunikacyjne, treści i technologię weryfikuje zgodność ograniczeń z niniejszą decyzją.

3. Inspektor ochrony danych Komisji jest bez zbędnej zwłoki informowany, ilekroć prawa osoby, której dane dotyczą, są ograniczane zgodnie z niniejszą decyzją. Inspektor ochrony danych Komisji otrzymuje na żądanie dostęp do zapisu oraz wszelkich dokumentów zawierających elementy stanu faktycznego i aspekty prawne leżące u podstaw ograniczenia.

4. Inspektor ochrony danych Komisji może zażądać przeglądu stosowania ograniczenia i jest informowany na piśmie o wyniku takiego przeglądu.

5. Komisja dokumentuje i rejestruje udział inspektora ochrony danych Komisji oraz koordynatorów ds. ochrony danych, w tym to, jakie informacje są im udostępniane, w każdym przypadku, w którym stosowane jest ograniczenie, o którym mowa w art. 4 ust. 1.

Artykuł  11

Wejście w życie

Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Sporządzono w Brukseli dnia 30 czerwca 2026 r.

1 Dz.U. L 295 z 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj.

2 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/1925 z dnia 14 września 2022 r. w sprawie kontestowalnych i uczciwych rynków w sektorze cyfrowym oraz zmiany dyrektyw (UE) 2019/1937 i (UE) 2020/1828 (akt o rynkach cyfrowych) (Dz.U. L 265 z 12.10.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/1925/oj).

• Identyfikator: Dz.U.UE.L.2026.1446
• Rodzaj: decyzja
• Tytuł: Decyzja 2026/1446 ustanawiająca przepisy wewnętrzne dotyczące przekazywania informacji osobom, których dane dotyczą, oraz ograniczenia niektórych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych przez Komisję do celów czynności sprawdzających, egzekwowania i monitorowania na podstawie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/1925
• Data aktu: 2026-06-30
• Data ogłoszenia: 2026-07-03
• Data wejścia w życie: 2026-07-23