Document UE

având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 309,

având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE,

având în vedere avizele Autorității Europene pentru Protecția Datelor,

În conformitate cu Politica antifraudă a BEI și Carta serviciului BEI Anchetarea fraudelor, acest serviciu din cadrul Inspectoratului general (IG/IN) are mandat pentru a investiga sesizările de fraudă, corupție, coluziune, constrângere, obstrucționare, spălarea banilor și finanțarea terorismului (Conduită interzisă) care implică toate activitățile BEI. IG/IN este autorizat să investigheze: (i) membrii organismelor de conducere ale BEI, personalul și consultanții; (ii) părțile afiliate la proiectele BEI; (iii) părțile afiliate la achizițiile corporative ale BEI; și (iv) părțile afiliate la mobilizarea de fonduri și trezoreria BEI. Mandatul IG/IN include și efectuarea de verificări proactive privind integritatea morală în zonele cu risc ridicat pentru a îmbunătăți eficiența și eficacitatea operațiunilor și activităților BEI.

În conformitate cu Codul de conduită al personalului BEI și cu Politica BEI referitoare la denunțare, cu modificările și completările ulterioare, membrii personalului BEI au datoria de a raporta orice încălcare a atribuțiilor profesionale, inclusiv activitățile ilegale, conduita interzisă și/sau încălcări ale regulamentelor, regulilor, politicilor și orientărilor Grupului BEI, inclusiv Codul, către serviciile competente, în funcție de natura încălcării, respectiv către Biroul de conformitate al BEI și Inspectoratul general al BEI (IG).

În conformitate cu mandatul șefului pentru conformitate în Grupul BEI, cu Politica de integritate și cu Carta de conformitate, șeful pentru conformitate din Grupul BEI are sarcina de a identifica, evalua, consilia, monitoriza și raporta cu privire la riscul de conformitate al Grupului BEI, respectiv, riscul sancțiunilor juridice sau regulamentare, pierderea financiară sau pierderea reputației, pe care o poate suferi un membru al Grupului BEI ca urmare a nerespectării tuturor legilor, regulamentelor, codurilor de conduită ale personalului și standardelor de bune practici aplicabile. În conformitate cu mandatul său, șeful pentru conformitate în Grupul BEI desfășoară anchetele administrative necesare privind o eventuală încălcare de către membrii personalului a Codurilor de conduită ale Grupului BEI. Personalul Grupului BEI are datoria de a coopera în desfășurarea acestor anchete administrative în modul specificat de șeful pentru conformitate în Grupul BEI.

În îndeplinirea atribuțiilor ce le revin, IG/IN și Biroul de conformitate al BEI sunt obligate să respecte drepturile persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, recunoscute prin articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene și prin articolul 16 alineatul (1) din Tratatul privind funcționarea Uniunii Europene, precum și prin acte juridice bazate pe aceste dispoziții. În același timp, IG/IN și Biroul de conformitate al BEI trebuie să respecte normele stricte privind confidențialitatea și secretul profesional, menționate în Regulamentul personalului BEI și în Codul de conduită al personalului BEI, și să garanteze respectarea drepturilor procedurale ale persoanelor vizate și ale martorilor, în special dreptul persoanelor vizate la respectarea garanțiilor procedurale și la prezumția de nevinovăție.

În anumite împrejurări, este necesar să se concilieze drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725 (denumit în continuare regulamentul) cu scopurile și nevoile IG/IN și cu sarcinile Biroului de conformitate al BEI, precum și cu respectarea deplină a drepturilor și libertăților fundamentale ale altor persoane vizate. În acest sens, articolul 25 din regulament oferă IG/IN și Biroului de conformitate al BEI posibilitatea de a restricționa, conform mandatelor acestora, aplicarea articolelor 14-22, 35 și 36, precum și a articolului 4, în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-22. În acest scop, este necesară adoptarea unor norme interne prin care operatorul să poată restricționa drepturile persoanelor vizate în conformitate cu articolul 25 din regulament.

Normele interne ar trebui să se aplice tuturor operațiunilor de prelucrare desfășurate de IG/IN și de Biroul de conformitate al BEI în îndeplinirea mandatelor lor definite în Politica antifraudă a BEI, Carta serviciului BEI Anchetarea fraudelor, Politica de integritate și Carta de conformitate și în Mandatul șefului pentru conformitate în Grupul BEI, pe durata întregului proces.

Pentru a se conforma articolelor 14, 15 și 16 din regulament, operatorul relevant ar trebui să informeze toate persoanele vizate în legătură cu activitățile sale care implică prelucrarea datelor lor cu caracter personal și cu drepturile lor, într-un mod transparent și coerent, sub formă de declarații privind protecția datelor publicate pe site-ul BEI și pe intranetul BEI, precum și să informeze individual persoanele fizice relevante pentru activitățile sale – persoane vizate, martori și informatori.

Este posibil ca IG/IN și Biroul de conformitate al BEI să fie nevoite să aplice anumite restricții menționate la articolul 25 din regulament operațiunilor de prelucrare a datelor efectuate în cadrul atribuțiilor lor, prevăzute în: (i) Politica antifraudă a BEI și în Procedurile de anchetare pentru IG/IN; și (ii) Mandatul șefului pentru conformitate în Grupul BEI pentru Biroul de conformitate al BEI.

Comunicarea dintre OLAF și BEI se efectuează în conformitate cu Acordul administrativ dintre Oficiul European de Luptă Antifraudă și Banca Europeană de Investiții, din 31 martie 2016.

În plus, pentru a menține o cooperare eficace, IG/IN și Biroul de conformitate al BEI ar putea fi nevoite să aplice restricții privind drepturile persoanelor vizate de a proteja informațiile care conțin date cu caracter personal care provin de la serviciile BEI, de la instituții, organisme, oficii și agenții ale Uniunii Europene, de la autoritățile competente ale statelor membre și ale țărilor terțe, precum și de la organizațiile internaționale. În acest sens, IG/IN și Biroul de conformitate al BEI ar trebui să consulte serviciile BEI, instituțiile, organismele, oficiile, agențiile, autoritățile și organizațiile internaționale respective cu privire la motivele relevante, necesitatea și proporționalitatea restricțiilor.

IG/IN și Biroul de conformitate al BEI ar trebui să prelucreze toate restricțiile în mod transparent și să consemneze fiecare cerere de restricții în sistemul de înregistrare corespunzător.

În temeiul articolului 25 alineatul (8) din regulament, operatorii pot să amâne sau să omită furnizarea de informații privind motivele aplicării unei restricții persoanei vizate, dacă acest lucru ar compromite în vreun fel scopul restricției. În special, în cazul în care se aplică o restricție privind drepturile prevăzute la articolele 16 și 35, notificarea unei astfel de restricții ar compromite scopul restricției. Pentru a garanta că dreptul persoanei vizate de a fi informată în conformitate cu articolele 16 și 35 din regulament este restricționat doar atâta timp cât sunt valabile motivele care au stat la baza amânării, operatorul respectiv ar trebui să își revizuiască periodic poziția.

În cazul în care se aplică o restricționare a drepturilor altor persoane vizate, operatorul ar trebui să evalueze, de la caz la caz, dacă notificarea restricției ar compromite scopul acesteia.

BEI a desemnat un responsabil cu protecția datelor (RPD), în conformitate cu articolul 24 din Regulamentul (CE) nr. 45/2001 al Parlamentului European și al Consiliului.

RPD poate să efectueze o analiză independentă privind aplicarea restricțiilor, pentru a asigura respectarea prezentei decizii,

CAPITOLUL I

Prezentul capitol stabilește normele pe care trebuie să le urmeze operatorul, așa cum este acesta definit în articolul 2 alineatul (1) din prezenta decizie, pentru a informa persoanele vizate în legătură cu prelucrarea datelor lor, în conformitate cu articolele 14, 15 și 16 din regulament.

Prezentul capitol se aplică prelucrării datelor cu caracter personal de către IG/IN în scopul activităților desfășurate pentru îndeplinirea sarcinilor sale prevăzute în Politica antifraudă a BEI sau în Carta serviciului BEI Anchetarea fraudelor, ori în legătură cu aceste activități.

În cadrul mandatului său, IG/IN prelucrează câteva categorii de date cu caracter personal, în special date de identificare, date de contact, date profesionale și date privind rolul jucat în cazul respectiv.

Operatorul este șeful serviciului din cadrul IG/IN.

Datele cu caracter personal sunt stocate într-un mediu electronic securizat care împiedică accesul ilegal sau transferul ilegal de date către persoane care nu au nevoie să le cunoască.

Datele cu caracter personal prelucrate se păstrează între cinci și 10 ani de la închiderea investigației. Datele referitoare la cazuri nefondate se păstrează maximum cinci ani.

În cazuri excepționale și justificate corespunzător, se aplică perioade mai lungi decât cele specificate mai sus, sub rezerva acordului RPD.

În cazul în care IG/IN își exercită atribuțiile în ceea ce privește drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, acesta analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul respectiv.

Sub rezerva dispozițiilor de la articolele 4-7 din prezenta decizie, IG/IN poate restricționa aplicarea articolelor 14-22, 35 și 36 din regulament, precum și a articolului 4 din acesta, în măsura în care dispozițiile lor corespund drepturilor și obligațiilor prevăzute la articolele 14-22 din regulament, în cazul în care exercitarea acestor drepturi și obligații ar compromite scopul activităților de investigare ale IG/IN, inclusiv prin dezvăluirea instrumentelor și metodelor sale de investigare, sau ar aduce atingere drepturilor și libertăților altora.

Sub rezerva dispozițiilor de la articolele 4-7 din prezenta decizie, IG/IN poate să restricționeze drepturile și obligațiile menționate la alineatul (2) din prezentul articol în ceea ce privește datele cu caracter personal obținute de la alt(e) serviciu (servicii) BEI, de la OLAF sau alte instituții, organe, agenții și oficii ale Uniunii Europene, de la autoritățile competente din statele membre sau din țări terțe sau de la organizații internaționale, în următoarele situații:

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de alt(e) serviciu (servicii) BEI, de OLAF sau de alte instituții, organe, agenții și oficii ale Uniunii Europene, pe baza altor acte prevăzute la articolul 25 din regulament sau în conformitate cu capitolul IX din regulamentul respectiv;

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către autoritățile competente din statele membre pe baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului sau în temeiul unor măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului;

în cazul în care exercitarea acestor drepturi și obligații ar compromite cooperarea IG/IN cu țările terțe sau cu organizațiile internaționale în îndeplinirea sarcinilor sale.

IG/IN publică pe site-ul său o declarație privind protecția datelor care informează toate persoanele vizate cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal.

IG/IN informează individual toate persoanele pe care le consideră persoane vizate, martori sau informatori în sensul Politicii antifraudă a BEI și al Procedurilor deanchetare.

În cazul în care IG/IN restricționează, în întregime sau parțial, furnizarea de informații către persoanele vizate menționate la alineatul (2), acesta ține evidența motivelor restricționării, inclusiv evaluarea necesității și a proporționalității restricției.

Restricția menționată la alineatul (3) continuă să se aplice, atât timp cât motivele care o justifică rămân aplicabile.

Când persoanele vizate solicită acces la datele lor cu caracter personal prelucrate în contextul unuia sau mai multor cazuri specifice sau la o anumită operațiune de prelucrare, în conformitate cu articolul 17 din regulament, IG/IN își limitează evaluarea cererii doar la aceste date cu caracter personal.

În cazul în care IG/IN restricționează, integral sau parțial, dreptul de acces menționat la articolul 17 din regulament, acesta ia următoarele măsuri:

informează persoana vizată, în răspunsul său la cerere, cu privire la restricția aplicată și la principalele motive ale acesteia, precum și la posibilitatea de a depune o plângere la AEPD sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene;

înregistrează motivele restricționării, inclusiv o evaluare a necesității și proporționalității restricției; în acest sens, consemnările precizează modul în care accesul la informații ar compromite scopul activităților de investigare ale IG/IN sau al restricțiilor aplicate în conformitate cu articolul 3 alineatul (3) ori ar aduce atingere drepturilor și libertăților altor persoane vizate.

Consemnările menționate la alineatul (2) primul paragraf, litera (b) și, dacă este cazul, documentele care conțin elemente factuale și juridice subiacente se includ într-un registru. La cerere, acestea sunt puse la dispoziția AEPD. Se aplică articolul 25 alineatul (7) din regulament.

În cazul în care IG/IN restricționează, integral sau parțial, aplicarea dreptului de a rectifica și de a șterge datele sau a dreptului de a restricționa prelucrarea datelor, menționat la articolele 18, 19 alineatul (1) și 20 alineatul (1) din regulament, acesta ia măsurile prevăzute la articolul 5 alineatul (2) din prezenta decizie și consemnează înregistrarea în conformitate cu articolul 5 alineatul (3) din respectiva decizie.

În cazul în care IG/IN restricționează informarea unei persoane vizate cu privire la încălcarea securității datelor cu caracter personal, așa cum se menționează la articolul 35 din regulament, acesta consemnează și înregistrează motivele restricționării în conformitate cu articolul 4 alineatul (3) din prezenta decizie. Se aplică articolul 4 alineatul (4) din prezenta decizie.

RPD este informat de IG/IN imediat, ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie. RPD primește acces la consemnări și la evaluarea necesității și a proporționalității restricției.

RPD poate solicita IG/IN, în scris, să revizuiască aplicarea restricțiilor. RPD este informat de IG/IN, în scris, cu privire la rezultatul revizuirii solicitate.

CAPITOLUL II

Prezentul capitol stabilește normele pe care trebuie să le urmeze Biroul de conformitate al BEI pentru a informa persoanele vizate în legătură cu prelucrarea datelor lor, în conformitate cu articolele 14, 15 și 16 din regulament.

Prezentul capitol se aplică prelucrării datelor cu caracter personal de către Biroul de conformitate al BEI în scopul activităților desfășurate pentru îndeplinirea sarcinilor sale prevăzute în Mandatul șefului pentru conformitate din Grupul BEI, în Politica de integritate și în Carta de conformitate, precum și în alte norme și politici interne.

În cadrul activităților sale, Biroul de conformitate al BEI prelucrează câteva categorii de date cu caracter personal, în special date de identificare, date de contact, date profesionale și date privind rolul jucat în cazul respectiv.

Biroul de conformitate al BEI acționează ca operator.

Datele cu caracter personal sunt stocate într-un mediu electronic securizat care împiedică accesul ilegal sau transferul ilegal de date către persoane care nu au nevoie să le cunoască.

Datele cu caracter personal prelucrate de Biroul de conformitate al BEI se păstrează cel puțin șase luni de la respingerea cazului și maximum cinci ani de la încheierea anchetei administrative.

În cazuri excepționale și justificate corespunzător, se aplică perioade mai lungi decât cele specificate mai sus, sub rezerva acordului RPD.

În cazul în care Biroul de conformitate al BEI își exercită atribuțiile în ceea ce privește drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, acesta analizează dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul respectiv.

Sub rezerva dispozițiilor de la articolele 12-15 din prezenta decizie, Biroul de conformitate al BEI poate restricționa aplicarea articolelor 14-22, 35 și 36 din regulament, precum și a articolului 4 din acesta, în măsura în care dispozițiile lor corespund drepturilor și obligațiilor prevăzute la articolele 14-22 din regulament, în cazul în care exercitarea acestor drepturi și obligații ar compromite scopul anchetelor administrative și al altor activități ale Biroului de conformitate al BEI, inclusiv prin dezvăluirea instrumentelor și metodelor sale de anchetă, sau ar aduce atingere drepturilor și libertăților altor persoane vizate.

Sub rezerva dispozițiilor de la articolele 12-15 din prezenta decizie, Biroul de conformitate poate să restricționeze drepturile și obligațiile menționate la alineatul (2) din prezentul articol în ceea ce privește datele cu caracter personal obținute de la alt(e) serviciu (servicii) BEI, de la instituții, organe, agenții și oficii ale Uniunii, de la autoritățile competente din statele membre sau din țări terțe sau de la organizații internaționale, în următoarele situații:

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de alt(e) serviciu (servicii) ale BEI, de instituții, organe, agenții și oficii ale Uniunii Europene, pe baza altor acte prevăzute la articolul 25 din regulament sau în conformitate cu capitolul IX din regulamentul respectiv;

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de către autoritățile competente din statele membre pe baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 sau în temeiul unor măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680;

în cazul în care exercitarea acestor drepturi și obligații ar compromite cooperarea Biroului de conformitate al BEI cu țările terțe sau cu organizațiile internaționale în îndeplinirea sarcinilor sale.

Biroul de conformitate al BEI publică pe site-ul său o declarație privind protecția datelor, care informează toate persoanele vizate cu privire la activitățile sale care implică prelucrarea datelor lor cu caracter personal.

Biroul de conformitate al BEI informează individual toate persoanele pe care le consideră persoane vizate, martori sau informatori.

În cazul în care Biroul de conformitate al BEI restricționează, în întregime sau parțial, furnizarea de informații către persoanele vizate menționate la alineatul (2), acesta ține evidența motivelor restricționării, inclusiv evaluarea necesității și a proporționalității restricției.

Restricția menționată la alineatul (3) continuă să se aplice, atât timp cât motivele care o justifică rămân aplicabile.

Când persoanele vizate solicită acces la datele lor cu caracter personal prelucrate în contextul unuia sau mai multor cazuri specifice sau la o anumită operațiune de prelucrare, în conformitate cu articolul 17 din regulament, Biroul de conformitate al BEI își limitează evaluarea cererii doar la aceste date cu caracter personal.

În cazul în care Biroul de conformitate al BEI restricționează, integral sau parțial, dreptul de acces menționat la articolul 17 din regulament, acesta ia următoarele măsuri:

informează persoana vizată, în răspunsul său la cerere, cu privire la restricția aplicată și la principalele motive ale acesteia, precum și la posibilitatea de a depune o plângere la AEPD sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene;

înregistrează motivele restricționării, inclusiv o evaluare a necesității și proporționalității restricției; în acest sens, consemnările precizează modul în care accesul la informații ar compromite scopul anchetelor administrative sau al altor activități ale Biroului de conformitate al BEI sau al restricțiilor aplicate în conformitate cu articolul 11 alineatul (3) ori ar aduce atingere drepturilor și libertăților altor persoane vizate.

Consemnările menționate la alineatul (2) primul paragraf, litera (b) și, dacă este cazul, documentele care conțin elemente factuale și juridice subiacente se includ într-un registru. La cerere, acestea sunt puse la dispoziția AEPD. Se aplică articolul 25 alineatul (7) din regulament.

În cazul în care Biroul de conformitate al BEI restricționează, integral sau parțial, aplicarea dreptului de a rectifica și de a șterge datele sau a dreptului de a restricționa prelucrarea datelor, menționat la articolele 18, 19 alineatul (1) și 20 alineatul (1) din regulament, acesta ia măsurile prevăzute la articolul 13 alineatul (2) din prezenta decizie și consemnează înregistrarea în conformitate cu articolul 13 alineatul (3) din respectiva decizie.

În cazul în care Biroul de conformitate al BEI restricționează informarea unei persoane vizate cu privire la încălcarea securității datelor cu caracter personal, așa cum se menționează la articolul 35 din regulament, acesta consemnează și înregistrează motivele restricționării în conformitate cu articolul 12 alineatul (3) din prezenta decizie. Se aplică articolul 12 alineatul (4) din prezenta decizie.

RPD este informat de Biroul de conformitate al BEI imediat, ori de câte ori drepturile persoanelor vizate sunt restricționate în conformitate cu prezenta decizie. RPD primește acces la consemnări și la evaluarea necesității și a proporționalității restricției.

RPD poate solicita operatorului, în scris, să revizuiască aplicarea restricțiilor. RPD este informat de Biroul de conformitate al BEI, în scris, cu privire la rezultatul revizuirii solicitate.

CAPITOLUL III

Prezenta decizie a fost aprobată de Consiliul de administrație ale BEI în data de 6 februarie 2019 și intră în vigoare în ziua publicării sale pe site-ul BEI.

Întocmit la Luxemburg, 6 februarie 2019.