Décision de la Banque européenne d'investissement du 6 février 2019 établissant les règles internes régissant le traitement des données à caractère personnel par la division «Enquête sur les fraudes» de l'Inspection générale et la direction de la conformité de la Banque européenne d'investissement en ce qui concerne la communication d'informations aux personnes concernées et la limitation de certains de leurs droits

1 Le présent chapitre établit les règles à suivre par le responsable du traitement des données correspondant, au sens de l'article 2, paragraphe 1, de la présente décision, afin d'informer les personnes concernées du traitement de leurs données, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725. Il établit en outre les conditions dans lesquelles le responsable du traitement des données correspondant peut limiter l'application de l'article 4, des articles 14 à 22 et des articles 35 et 36 du règlement, conformément à l'article 25 dudit règlement.

2 Le présent chapitre est applicable aux opérations de traitement de données à caractère personnel par IG/IN aux fins des activités menées en vue d'accomplir les tâches d'IG/IN visées dans la politique antifraude de la BEI et la charte de la division «Enquête sur les fraudes» de la BEI.

3 Dans le cadre de son mandat, IG/IN traite plusieurs catégories de données à caractère personnel, en particulier des données d'identification, données professionnelles, données de contact et données relatives au rôle joué dans l'affaire.

1 Le responsable du traitement des données est le chef de la division «Enquête sur les fraudes» (IG/IN).

2 Les données à caractère personnel sont conservées dans un environnement électronique et physique sécurisé, qui empêche leur consultation ou transfert illicite par ou à des personnes qui n'ont pas besoin d'en connaître.

3 Les données à caractère personnel sont conservées pendant une durée de cinq ans au minimum et jusqu'à dix ans au maximum à compter de la clôture de l'enquête. Les données qui concernent des cas infondés sont conservées pendant cinq ans au maximum.

4 Des délais plus longs que ceux indiqués ci-dessus sont appliqués dans des cas exceptionnels et dûment justifiés, sous réserve de l'accord du DPD.

1 Lorsque IG/IN exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement, cette division examine la question de savoir si l'une des exceptions prévues par ledit règlement s'applique.

2 Sous réserve des dispositions des articles 4 à 7 de la présente décision, IG/IN peut limiter l'application des articles 14 à 22 et des articles 35 et 36 du règlement, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 du règlement dans le cas où l'exercice de ces droits et obligations compromettrait la finalité de l'enquête et des autres activités d'IG/IN, notamment en révélant ses outils et méthodes d'enquête, ou porterait atteinte aux droits et libertés des autres personnes concernées.

3 Sous réserve des dispositions des articles 4 à 7 de la présente décision, IG/IN peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d'un ou de plusieurs services de la BEI, de l'OLAF ou d'autres institutions, organes ou organismes de l'Union européenne, d'autorités compétentes des États membres ou de pays tiers, ou d'organisations internationales, dans les cas suivants: a) lorsque l'exercice de ces droits et obligations pourrait être limité par d'autres services de la BEI, de l'OLAF ou d'autres institutions, organes ou organismes de l'Union européenne sur la base d'autres actes prévus à l'article 25 du règlement ou conformément au chapitre IX dudit règlement; b) lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil , ou en vertu de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil ; c) lorsque l'exercice de ces droits et obligations risque de compromettre la coopération d'IG/IN avec des pays tiers ou des organisations internationales dans l'accomplissement de ses missions. Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, IG/IN consulte le ou les services compétents de la BEI, de l'OLAF, des institutions, organes ou organismes de l'Union européenne ou les autorités compétentes des États membres à moins qu'il ne soit clair pour IG/IN que l'application d'une limitation est prévue par l'un des actes visés à ces points. Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l'intérêt de l'Union européenne à coopérer avec des pays tiers ou des organisations internationales.

1 IG/IN publie sur le site internet de la BEI un avis relatif à la protection des données qui informe toutes les personnes concernées de ses activités nécessitant un traitement de leurs données à caractère personnel.

2 IG/IN informe individuellement toutes les personnes qu'elle considère comme des personnes concernées, des témoins ou des informateurs au sens de la politique antifraude et des procédures d'enquête de la BEI.

3 Lorsque IG/IN limite, en tout ou en partie, la communication d'informations aux personnes concernées visées au paragraphe 2, cette division veille à consigner dans un relevé les motifs de la limitation, accompagnés d'une évaluation de la nécessité et de la proportionnalité de cette dernière. À cette fin, le relevé précise la manière dont la communication des informations compromettrait la finalité des activités d'enquête d'IG/IN ou des limitations appliquées conformément à l'article 3, paragraphe 3, ou dont elle porterait atteinte aux droits et libertés d'autres personnes concernées. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du CEPD sur demande.

4 Les limitations visées au paragraphe 3 continuent de s'appliquer tant que les motifs les justifiant subsistent. Lorsque les raisons justifiant ces limitations cessent d'exister, IG/IN fournit à la personne concernée les informations en question et les motifs de la limitation. Dans le même temps, IG/IN informe la personne concernée de la possibilité de déposer une plainte auprès du CEPD à tout moment ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne. IG/IN examine l'application de la limitation au moins tous les six mois à compter de son adoption et à la clôture de l'enquête en question. Par la suite, le responsable du traitement des données vérifie la nécessité de maintenir la limitation sur une base annuelle.

1 Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d'un ou de plusieurs cas spécifiques ou d'une opération de traitement particulière, conformément à l'article 17 du règlement, IG/IN limite son examen de la demande à ces seules données à caractère personnel.

2 Lorsque IG/IN limite, en tout ou en partie, le droit d'accès visé à l'article 17 du règlement, cette division prend les mesures suivantes: a) elle informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité d'introduire une plainte auprès du CEPD ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne; b) elle consigne dans un relevé les motifs de la limitation, accompagnés d'une évaluation de sa nécessité et de sa proportionnalité; à cette fin, le relevé précise la manière dont l'accès aux informations compromettrait la finalité des activités d'enquête d'IG/IN ou des limitations appliquées conformément à l'article 3, paragraphe 3, ou dont il porterait atteinte aux droits et libertés d'autres personnes concernées. La communication des informations visées au point a) peut être différée, omise ou refusée conformément à l'article 25, paragraphe 8, du règlement.

3 Le relevé mentionné au paragraphe 2, premier alinéa, point b), et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du CEPD sur demande. L'article 25, paragraphe 7, du règlement (UE) 2018/1725 s'applique.

Dans le cas où IG/IN limite, en tout ou partie, l'application du droit de rectification, du droit à l'effacement ou du droit à la limitation du traitement, visés à l'article 18, à l'article 19, paragraphe 1, et à l'article 20, paragraphe 1, du règlement (UE) 2018/1725, cette division prend les mesures visées à l'article 5, paragraphe 2, de la présente décision, et enregistre le relevé conformément à son article 5, paragraphe 3.

Dans le cas où IG/IN limite la communication d'une violation de données à caractère personnel à la personne concernée, visée à l'article 35 du règlement, elle consigne et enregistre les motifs de cette limitation conformément à l'article 4, paragraphe 3, de la présente décision. L'article 4, paragraphe 4, de la présente décision s'applique.

IG/IN informe sans délai le DPD chaque fois que les droits des personnes concernées sont limités conformément à la présente décision et lui donne accès au relevé et à l'évaluation de la nécessité et de la proportionnalité de la limitation. Le DPD peut demander par écrit le réexamen de l'application des limitations. IG/IN informe le DPD par écrit du résultat du réexamen demandé.

1 Le présent chapitre établit les règles à suivre par OCCO pour informer les personnes concernées du traitement de leurs données, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725. Il établit en outre les conditions dans lesquelles OCCO peut limiter l'application de l'article 4, des articles 14 à 22 et des articles 35 et 36 du règlement (UE) 2018/1725, conformément à l'article 25 dudit règlement.

2 Le présent chapitre est applicable aux opérations de traitement de données à caractère personnel par OCCO aux fins des activités menées en vue d'accomplir les tâches visées dans le mandat du GCCO, la charte d'intégrité et de conformité et d'autres règles et politiques internes.

3 Dans le cadre de ses activités, OCCO traite plusieurs catégories de données à caractère personnel, en particulier des données d'identification, données professionnelles, données de contact et données relatives au rôle joué dans l'affaire.

1 Le GCCO agit en qualité de responsable du traitement des données.

2 Les données à caractère personnel sont conservées dans un environnement électronique et physique sécurisé qui empêche leur consultation ou transfert illicite par ou à des personnes qui n'ont pas besoin d'en connaître.

3 Les données à caractère personnel traitées par OCCO sont conservées pendant une période de six mois au minimum après le rejet du dossier et pendant une période de cinq ans maximum après la clôture de l'enquête administrative.

4 Des délais plus longs que ceux indiqués ci-dessus sont appliqués dans des cas exceptionnels et dûment justifiés, sous réserve de l'accord du DPD.

1 Lorsque OCCO exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, cette direction examine la question de savoir si l'une des exceptions prévues par le règlement s'applique.

2 Sous réserve des dispositions des articles 12 à 15 de la présente décision, OCCO peut limiter l'application des articles 14 à 22 et des articles 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 du règlement (UE) 2018/1725, dans le cas où l'exercice de ces droits et obligations compromettrait la finalité des enquêtes administratives et des autres activités d'OCCO, notamment en révélant ses outils et méthodes d'enquête administrative, ou porterait atteinte aux droits et libertés d'autres personnes concernées.

3 Sous réserve des dispositions des articles 12 à 15 de la présente décision, OCCO peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d'un ou de plusieurs services de la BEI, d'institutions, organes ou organismes de l'Union européenne, d'autorités compétentes des États membres ou des pays tiers, ou d'organisations internationales, dans les cas suivants: a) lorsque l'exercice de ces droits et obligations pourrait être limité par d'autres services de la BEI ou d'institutions, organes ou organismes de l'Union européenne sur la base d'autres actes prévus à l'article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement; b) lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 ou en vertu de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680; c) lorsque l'exercice de ces droits et obligations risque de compromettre la coopération d'OCCO avec des pays tiers ou des organisations internationales dans l'accomplissement de ses missions. Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, OCCO consulte le ou les services compétents de la BEI, les institutions, organes ou organismes de l'Union européenne ou les autorités compétentes des États membres à moins qu'il ne soit clair pour OCCO que l'application d'une limitation est prévue par l'un des actes visés à ces points. Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l'intérêt de l'Union européenne à coopérer avec des pays tiers ou des organisations internationales.

1 OCCO publie sur le site intranet de la BEI un avis relatif à la protection des données qui informe toutes les personnes concernées de ses activités nécessitant un traitement de leurs données à caractère personnel.

2 OCCO informe individuellement toutes les personnes qu'il considère comme des personnes concernées, des témoins ou des informateurs.

3 Lorsque OCCO limite, en tout ou en partie, la communication d'informations aux personnes concernées visées au paragraphe 2, cette direction veille à consigner dans un relevé les motifs de la limitation, accompagnés d'une évaluation de sa nécessité et de sa proportionnalité. À cette fin, le relevé précise la manière dont la communication des informations compromettrait la finalité des activités d'enquête administrative ou d'autres activités d'OCCO, ou des limitations appliquées conformément à l'article 11, paragraphe 3, ou dont elle porterait atteinte aux droits et libertés d'autres personnes concernées. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du CEPD sur demande.

4 Les limitations visées au paragraphe 3 continuent de s'appliquer tant que les motifs les justifiant subsistent. Lorsque les raisons justifiant ces limitations cessent d'exister, OCCO fournit à la personne concernée les informations en question et les motifs de la limitation. Dans le même temps, OCCO informe la personne concernée de la possibilité de déposer une plainte auprès du CEPD à tout moment ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne. OCCO examine l'application de la limitation au moins tous les six mois à compter de son adoption et à la clôture de l'enquête administrative en question. Par la suite, le responsable du traitement des données vérifie la nécessité de maintenir la limitation sur une base annuelle.

1 Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d'un ou de plusieurs cas spécifiques ou d'une opération de traitement particulière, conformément à l'article 17 du règlement (UE) 2018/1725, OCCO limite son examen de la demande à ces seules données à caractère personnel.

2 Lorsque OCCO limite, en tout ou en partie, le droit d'accès visé à l'article 17 du règlement (UE) 2018/1725, cette direction prend les mesures suivantes: a) informer la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité d'introduire une plainte auprès du CEPD ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne; b) consigner dans un relevé les motifs de la limitation, accompagnés d'une évaluation de sa nécessité et de sa proportionnalité; à cette fin, le relevé précise la manière dont l'accès aux informations compromettrait la finalité des activités d'enquête administrative ou d'autres activités d'OCCO ou des limitations appliquées conformément à l'article 11, paragraphe 3, ou dont il porterait atteinte aux droits et libertés d'autres personnes concernées. La communication des informations visées au point a) peut être différée, omise ou refusée conformément à l'article 25, paragraphe 8, du règlement (UE) 2018/1725.

3 Le relevé mentionné au paragraphe 2, premier alinéa, point b), et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du CEPD sur demande. L'article 25, paragraphe 7, du règlement (UE) 2018/1725 s'applique.

Dans le cas où OCCO limite, en tout ou partie, l'application du droit de rectification, du droit à l'effacement ou du droit à la limitation du traitement, visés à l'article 18, à l'article 19, paragraphe 1, et à l'article 20, paragraphe 1, du règlement (UE) 2018/1725, cette direction prend les mesures visées à l'article 13, paragraphe 2, de la présente décision, et enregistre le relevé conformément à son article 13, paragraphe 3.

Dans le cas où OCCO limite la communication d'une violation de données à caractère personnel à la personne concernée, visée à l'article 35 du règlement (UE) 2018/1725, elle consigne et enregistre les raisons de cette limitation conformément à l'article 12, paragraphe 3, de la présente décision. L'article 12, paragraphe 4, de la présente décision s'applique.

OCCO informe sans délai le DPD chaque fois qu'elle limite les droits des personnes concernées conformément à la présente décision et lui donne accès au relevé et à l'évaluation de la nécessité et de la proportionnalité de la limitation. Le DPD peut demander par écrit au responsable du traitement des données un réexamen de l'application des limitations. OCCO informe le DPD par écrit du résultat du réexamen demandé.

La présente décision a été approuvée par le Conseil d'administration de la BEI le 6 février 2019 et entre en vigueur le jour de sa publication sur la page web de la BEI.