Decisión del Banco Europeo de Inversiones, de 6 de febrero de 2019, por la que se establece el reglamento interno relativo al tratamiento de datos personales por la División Investigación de Fraudes ((IG/IN) y la Oficina de Conformidad (OCCO) del Banco Europeo de Inversiones en lo que respecta a la comunicación de información a los interesados y la restricción de algunos de sus derechos

1 El presente capítulo establece las normas que deberá cumplir el responsable pertinente del tratamiento de datos, según se define en el artículo 2, apartado 1, de la presente Decisión, para informar a los interesados sobre el tratamiento de sus datos, de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725. Establece asimismo las condiciones en las que el responsable pertinente del tratamiento de datos podrá restringir la aplicación de los artículos 14 a 22, 35 y 36, así como el artículo 4 del Reglamento, de conformidad con el artículo 25 de dicho Reglamento.

2 El presente capítulo se aplica al tratamiento de datos personales por IG/IN al objeto de o en relación con las actividades realizadas para desempeñar las funciones de IG/IN mencionadas en la Política Antifraude del BEI y el Mandato de la División Investigación de Fraudes.

3 En el marco de su mandato, IG/IN trata varias categorías de datos personales, en particular, datos de identificación, datos de contacto, datos profesionales y datos relacionados con los asuntos.

1 El responsable del tratamiento de datos es el Jefe de la División IG/IN.

2 Los datos personales se almacenan en un entorno electrónico y físico seguro que impide el acceso o la transferencia ilícita de datos a personas que no deban conocerlos.

3 Los datos personales se conservan durante al menos cinco años y hasta un máximo de diez años a partir del cierre de la investigación. Los datos relativos a casos no fundamentados se conservarán hasta un máximo de cinco años.

4 En casos excepcionales y debidamente justificados, se aplicarán plazos más largos que los especificados anteriormente, previo acuerdo del RPD.

1 Cuando IG/IN ejerza sus funciones con respecto a los derechos de los interesados en virtud del Reglamento, deberá considerar si alguna de las excepciones establecidas en dicho Reglamento es de aplicación.

2 Con arreglo a los artículos 4 a 7 de la presente Decisión, IG/IN podrá limitar la aplicación de los artículos 14 a 22, 35 y 36 del Reglamento, así como de su artículo 4 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 22 del Reglamento, cuando el ejercicio de esos derechos y obligaciones pudiera comprometer el objetivo de la investigación y de otras actividades de IG/IN, incluso mediante la revelación de sus herramientas y métodos de investigación, o pudiera afectar negativamente a los derechos y libertades de otros titulares de datos.

3 Con arreglo a los artículos 4 a 7 de la presente Decisión, IG/IN podrá limitar los derechos y obligaciones a que se refiere el apartado 2 del presente artículo en lo que respecta a los datos personales obtenidos por uno o varios servicios del BEI, la OLAF u otras instituciones, organismos, agencias y oficinas de la Unión Europea, así como por las autoridades competentes de los Estados miembros, de terceros países o de organizaciones internacionales, en las circunstancias siguientes: a) cuando el ejercicio de esos derechos y obligaciones pueda ser restringido por otros servicios del BEI, la OLAF u otras instituciones, organismos, agencias y oficinas de la Unión Europea, sobre la base de otros actos jurídicos contemplados en el artículo 25 del Reglamento, o de conformidad con el capítulo IX de dicho Reglamento; b) cuando el ejercicio de esos derechos y obligaciones pueda ser restringido por las autoridades competentes de los Estados miembros sobre la base de los actos jurídicos a que se refiere el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo , o con arreglo a las medidas nacionales de transposición de los artículos 13, apartado 3; 15, apartado 3 o 16, apartado 3, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo ; c) cuando el ejercicio de esos derechos y obligaciones pueda comprometer la cooperación de IG/IN con terceros países y organizaciones internacionales en el desempeño de sus funciones. Antes de aplicar las restricciones en las circunstancias mencionadas en las letras a) y b) del párrafo primero, IG/IN consultará a los servicios pertinentes del BEI, la OLAF, las instituciones, organismos, oficinas, agencias de la Unión Europea o a las autoridades competentes de los Estados miembros, a menos que esté claro para IG/IN que la aplicación de la restricción está prevista en uno de los actos a que se hace referencia en dichas letra s). La letra c) del párrafo primero no se aplicará cuando sobre el interés de la Unión Europea en cooperar con terceros países u organizaciones internacionales prevalezca el interés o los derechos y libertades fundamentales de los interesados.

1 IG/IN publicará en el sitio web del BEI un anuncio relativo a la protección de datos que informará a todos los titulares de los datos de las actividades de tratamiento de sus datos personales.

2 IG/IN informará individualmente a todos los titulares de los datos que considere interesados, testigos o informadores en el sentido de la Política Antifraude y de los Procedimientos de Investigación del BEI.

3 Cuando IG/IN restrinja, total o parcialmente, la comunicación de información a los titulares de los datos a que se refiere el apartado 2, hará constar los motivos de la restricción, incluida una evaluación de la necesidad y la proporcionalidad de la restricción. A tal efecto, la anotación deberá indicar de qué modo la comunicación de información comprometería la finalidad de las actividades de investigación de IG/IN o de las restricciones aplicadas de conformidad con el artículo 3, apartado 3, o podría afectar negativamente a los derechos y libertades de otros titulares de datos. La anotación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Se pondrán a disposición del Supervisor Europeo de Protección de Datos (SEPD), previa solicitud.

4 La restricción a que se refiere el apartado 3 seguirá siendo de aplicación mientras los motivos que la justifican sigan siendo aplicables. Cuando los motivos de la restricción dejen de ser aplicables, IG/IN comunicará la información de que se trate y los motivos de la restricción al titular de los datos. Al mismo tiempo, IG/IN informará al titular de los datos de la posibilidad de presentar una reclamación ante el SEPD en cualquier momento o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea. IG/IN revisará la aplicación de la restricción al menos cada seis meses desde la fecha de su adopción y al cierre de la investigación en cuestión. Posteriormente, el responsable del tratamiento deberá supervisar anualmente la necesidad de mantener cualquier restricción.

1 Cuando los interesados soliciten el acceso a sus datos personales tratados en el contexto de uno o varios casos específicos o a una determinada operación de tratamiento, de conformidad con el artículo 17 del Reglamento, IG/IN deberá circunscribir su evaluación de la solicitud a dichos datos personales únicamente.

2 Cuando IG/IN restrinja, en su totalidad o en parte, el derecho de acceso a que se refiere el artículo 17 del Reglamento, deberá adoptar las medidas siguientes: a) informará al interesado, en su respuesta a la solicitud, de la restricción y de los principales motivos de esta, así como de la posibilidad de presentar una reclamación ante el SEPD o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea; b) consignará los motivos de la restricción, incluida una evaluación de la necesidad y proporcionalidad de la restricción; a tal efecto, la anotación deberá indicar cómo comprometería la comunicación de información el objetivo de las actividades de investigación de IG/IN o de las restricciones aplicadas de conformidad con el artículo 3, apartado 3, o cómo podría afectar negativamente a los derechos y libertades de otros titulares de datos. La comunicación de la información mencionada en la letra a) podrá aplazarse, omitirse o denegarse con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento.

3 La anotación a que se refiere el apartado 2, párrafo primero, letra b) y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Se pondrán a disposición del SEPD, previa solicitud. Será de aplicación el artículo 25, apartado 7, del Reglamento (UE) 2018/1725.

Cuando IG/IN restrinja, total o parcialmente, la aplicación del derecho a la rectificación, el derecho a la supresión o el derecho a la limitación del tratamiento a que se refieren los artículos 18; 19, apartado 1, y 20, apartado 1, del Reglamento (UE) 2018/1725, adoptará las medidas contempladas en el artículo 5, apartado 2, de la presente Decisión y registrará la anotación de conformidad con lo dispuesto en su artículo 5, apartado 3.

Cuando IG/IN limite la comunicación de una violación de datos personales al interesado a que se refiere el artículo 35 del Reglamento, deberá anotar y registrar los motivos de la restricción de conformidad con lo dispuesto en el artículo 4, apartado 3, de la presente Decisión. Será de aplicación el artículo 4, apartado 4, de la presente Decisión.

IG/IN informará sin demora indebida al RPD siempre que restrinja la aplicación de los derechos del interesado de conformidad con la presente Decisión y le facilitará acceso al registro y a la evaluación de la necesidad y proporcionalidad de la restricción. El RPD podrá solicitar por escrito a IG/IN una revisión de la aplicación de las restricciones. IG/IN informará al RPD por escrito sobre el resultado de la revisión solicitada.

1 El presente capítulo establece las normas que deberá cumplir OCCO para informar a los interesados sobre el tratamiento de sus datos, de conformidad con los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725. Establece asimismo las condiciones en las que OCCO podrá restringir la aplicación de los artículos 14 a 22, 35 y 36, así como el artículo 4, del Reglamento (UE) 2018/1725, de conformidad con el artículo 25 de dicho Reglamento.

2 El presente capítulo se aplica al tratamiento de datos personales por OCCO al objeto de o en relación con las actividades realizadas para desempeñar las funciones mencionadas en el Mandato de GCCO, la Carta de la Política de Integridad y Conformidad y otras normas y políticas internas.

3 En el marco de sus actividades, OCCO trata varias categorías de datos personales, en particular, datos de identificación, datos de contacto, datos profesionales y datos relacionados con los asuntos.

1 La Oficina de Conformidad del Grupo actúa en calidad de responsable del tratamiento de datos.

2 Los datos personales se almacenan en un entorno electrónico y físico seguro que impide el acceso o la transferencia ilícita de datos a personas que no deban conocerlos.

3 Los datos personales tratados por OCCO se conservan durante al menos seis meses después de que el caso se desestime y hasta un máximo de cinco años a partir del cierre de la investigación administrativa.

4 En casos excepcionales y debidamente justificados, se aplicarán plazos más largos que los especificados anteriormente, previo acuerdo del RPD.

1 Cuando OCCO ejerza sus funciones con respecto a los derechos de los interesados en virtud del Reglamento (UE) 2018/1725, deberá considerar si alguna de las excepciones establecidas en dicho Reglamento es de aplicación.

2 Con arreglo a los artículos 12 a 15 de la presente Decisión, OCCO podrá limitar la aplicación de los artículos 14 a 22, 35 y 36 del Reglamento (UE) 2018/1725, así como de su artículo 4 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 22 del Reglamento (UE) 2018/1725, cuando el ejercicio de esos derechos y obligaciones pudiera comprometer el objetivo de las investigaciones administrativas y de otras actividades de OCCO, incluso mediante la revelación de sus herramientas y métodos de investigación administrativa, o pudiera afectar negativamente a los derechos y libertades de otros titulares de datos.

3 Con arreglo a los artículos 12 a 15 de la presente Decisión, OCCO podrá limitar los derechos y obligaciones a que se refiere el apartado 2 del presente artículo en lo que respecta a los datos personales obtenidos por otros servicios del BEI, las instituciones, organismos, agencias y oficinas de la Unión Europea, las autoridades competentes de los Estados miembros, de terceros países o de organizaciones internacionales, en las circunstancias siguientes: a) cuando el ejercicio de esos derechos y obligaciones pueda ser restringido por otros servicios del BEI, las instituciones, organismos, agencias y oficinas de la Unión Europea, sobre la base de otros actos jurídicos contemplados en el artículo 25 del Reglamento (UE) 2018/1725, o de conformidad con el capítulo IX de dicho Reglamento; b) cuando el ejercicio de esos derechos y obligaciones pueda ser restringido por las autoridades competentes de los Estados miembros sobre la base de los actos jurídicos a que se refiere el artículo 23 del Reglamento (UE) 2016/679, o con arreglo a las medidas nacionales de transposición de los artículos 13, apartado 3; 15, apartado 3 o 16, apartado 3, de la Directiva (UE) 2016/680; c) cuando el ejercicio de esos derechos y obligaciones pueda comprometer la cooperación de OCCO con terceros países u organizaciones internacionales en el desempeño de sus funciones. Antes de aplicar las restricciones en las circunstancias mencionadas en las letras a) y b) del párrafo primero, OCCO consultará a los servicios pertinentes del BEI, las instituciones, organismos, oficinas, agencias de la Unión Europea o a las autoridades competentes de los Estados miembros, a menos que esté claro para OCCO que la aplicación de la restricción está prevista en uno de los actos a que se hace referencia en dichas letra s). La letra c) del párrafo primero no se aplicará cuando sobre el interés de la Unión Europea en cooperar con terceros países u organizaciones internacionales prevalezca el interés o los derechos y libertades fundamentales de los interesados.

1 OCCO publicará en la intranet del BEI un anuncio relativo a la protección de datos que informará a todos los titulares de los datos de sus actividades relacionadas con el tratamiento de sus datos personales.

2 OCCO informará individualmente a todos los titulares de los datos que considere interesados, testigos e informadores.

3 Cuando OCCO restrinja, total o parcialmente, la comunicación de información a los titulares de los datos a que se refiere el apartado 2, hará constar los motivos de la restricción, incluida una evaluación de la necesidad y la proporcionalidad de la restricción. A tal efecto, la anotación deberá indicar de qué modo la comunicación de información comprometería la finalidad de la investigación administrativa o de otras actividades de OCCO, o de las restricciones aplicadas de conformidad con el artículo 11, apartado 3, o podría afectar negativamente a los derechos y libertades de otros titulares de datos. La anotación y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Se pondrán a disposición del SEPD, previa solicitud.

4 La restricción a que se refiere el apartado 3 seguirá siendo de aplicación mientras los motivos que la justifican sigan siendo aplicables. Cuando los motivos de la restricción dejen de ser aplicables, OCCO comunicará la información de que se trate y los motivos de la restricción al titular de los datos. Al mismo tiempo, OCCO informará al titular de los datos de la posibilidad de presentar una reclamación ante el SEPD en cualquier momento o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea. OCCO revisará la aplicación de la restricción al menos cada seis meses desde la fecha de su adopción y al cierre de la investigación administrativa en cuestión. Posteriormente, el responsable del tratamiento deberá supervisar anualmente la necesidad de mantener cualquier restricción.

1 Cuando los interesados soliciten el acceso a sus datos personales tratados en el contexto de uno o varios casos específicos o a una determinada operación de tratamiento, de conformidad con el artículo 17 del Reglamento (UE) 2018/1725, OCCO deberá circunscribir su evaluación de la solicitud a dichos datos personales únicamente.

2 Cuando OCCO restrinja, en su totalidad o en parte, el derecho de acceso a que se refiere el artículo 17 del Reglamento (UE) 2018/1725, deberá adoptar las medidas siguientes: a) informar al interesado, en su respuesta a la solicitud, de la restricción y de los principales motivos de esta, así como de la posibilidad de presentar una reclamación ante el SEPD o de interponer un recurso ante el Tribunal de Justicia de la Unión Europea; b) consignar los motivos de la restricción, incluida una evaluación de la necesidad y proporcionalidad de la restricción; a tal efecto, la anotación deberá indicar cómo comprometería la comunicación de información el objetivo de la investigación administrativa o de otras actividades de OCCO, o de las restricciones aplicadas de conformidad con el artículo 11, apartado 3, o cómo podría afectar negativamente a los derechos y libertades de otros titulares de datos. La comunicación de la información mencionada en la letra a) podrá aplazarse, omitirse o denegarse con arreglo a lo dispuesto en el artículo 25, apartado 8, del Reglamento (UE) 2018/1725.

3 La anotación a que se refiere el apartado 2, párrafo primero, letra b) y, en su caso, los documentos que contengan los elementos de hecho y de derecho subyacentes se registrarán. Se pondrán a disposición del SEPD, previa solicitud. Será de aplicación el artículo 25, apartado 7, del Reglamento (UE) 2018/1725.

Cuando OCCO restrinja, total o parcialmente, la aplicación del derecho a la rectificación, supresión o limitación del tratamiento a que se refieren los artículos 18; 19, apartado 1, y 20, apartado 1, del Reglamento (UE) 2018/1725, adoptará las medidas contempladas en el artículo 13, apartado 2, de la presente Decisión y registrará la anotación de conformidad con lo dispuesto en su artículo 13, apartado 3.

Cuando OCCO limite la comunicación de una violación de datos personales al interesado a que se refiere el artículo 35 del Reglamento (UE) 2018/1725, deberá anotar y registrar los motivos de la restricción de conformidad con lo dispuesto en el artículo 3, apartado 3, de la presente Decisión. Será de aplicación el artículo 12, apartado 4, de la presente Decisión.

OCCO informará sin demora indebida al RPD siempre que restrinja la aplicación de los derechos del interesado de conformidad con la presente Decisión y le facilitará acceso al registro y a la evaluación de la necesidad y proporcionalidad de la restricción. El RPD podrá solicitar por escrito al responsable del tratamiento una revisión de la aplicación de las restricciones. OCCO informará al RPD por escrito sobre el resultado de la revisión solicitada.

La presente Decisión ha sido aprobada por el Consejo de Administración del BEI el 6 de febrero de 2019 y entrará en vigor el día de su publicación en el sitio web del BEI.