1.   Тази глава определя правилата, към които следва да се придържа съответният контрольор на данни съгласно член 2, параграф 1 от Решението относно уведомяването на субекта на данни за обработването на лични данни в съответствие с членове 14, 15 и 16 от Регламент (ЕС) 2018/1725.

Тя също така урежда условията, при които съответният контрольор на данни може да ограничи прилагането на членове от 14 до 22 и членове 35 и 36, както и член 4 от Регламента, в съответствие с член 25 от същия Регламент.

2.   Настоящата глава се прилага за обработването на данни от ГИ/РИ за целите на извършваните дейности, или във връзка с тях, с оглед изпълнение на възложените задачи в политиката на ЕИБ за борба с измамите и в Хартата на дирекция „Разследване на измами“ на ЕИБ.

3.   Съобразно своите правомощия, ГИ/РИ обработва няколко категории лични данни, в частност данни за установяване на самоличност, данни за връзка, професионални данни и данни за съпричастност със случая.

1.   Контрольорът на операциите по обработване е началник на дирекция ГИ/РИ.

2.   Личните данни се съхраняват в защитена електронна и физическа среда, която предотвратява неправомерен достъп или прехвърляне на данни към лица, които не е нужно да имат информация.

3.   Обработваните лични данни се съхраняват най-малко за срок от пет години и до десет години след приключване на разследването. Данни относно необосновани случаи се съхраняват за не повече от пет години.

4.   В изключителни и добре обосновани случаи се прилагат по-продължителни от горепосочените срокове след получаване на съгласието на СЗД.

1.   Когато ГИ/РИ изпълнява задълженията си по отношение правата на субектите на данни в съответствие с Регламента, тя преценява дали са приложими уредените с Регламента изключения.

2.   В съответствие с членове от 4 до 7 от това решение ГИ/РИ може да ограничи прилагането на членове от 14 до 22 и на членове 35 и 36 от Регламента, както и на член 4, дотолкова доколкото неговите разпоредби съответстват на правата и задълженията съгласно членове от 14 до 22 от Регламента, тогава когато упражняването на тези права и задължения би застрашило целта на разследването на ГИ/РИ и други дейности, включително и чрез разкриване на средствата и методите за разследване, или би увредило правата и свободите на други субекти на данни.

3.   В съответствие с членове от 4 до 7 от това решение, ГИ/РИ може да ограничи правата и задълженията съгласно параграф 2 от този член по отношение на данни, получени от друга(и) служба(и) на ЕИБ, ОЛАФ или други институции, органи, агенции и служби на Европейския съюз, компетентни органи на държавите членки или трети страни, както и от международни организации, при следните обстоятелства:

Преди да приложи ограниченията при посочените в първа алинея, букви а) и б) обстоятелства, ГИ/РИ се консултира със съответната(ите) служба(и) на ЕИБ, ОЛАФ, институции, органи, агенции и служби на Европейския съюз или с компетентните органи на държавите членки, освен ако не е ясно за ГИ/РИ, че прилагането на тези ограничения е предвидено в един от споменатите в тези точки правни актове.

Когато интересът на Европейския съюз за сътрудничество с трети страни или международни организации е подчинен на интересите или основните права и свободи на субектите на данни, първа алинея, буква в) не се прилага.

1.   ГИ/РИ публикува на сайта на ЕИБ съобщение за защита на данните, с което уведомява субектите на данни относно своята дейност по обработване на техните лични данни.

2.   ГИ/РИ лично уведомява всички субекти на данни, които смята за засегнати лица, свидетели или информатори по смисъла на политиката на ЕИБ за борба с измамите и процедурите за разследване.

3.   Когато ГИ/РИ ограничи, частично или изцяло, предоставянето на информация на субекти на данни съгласно параграф 2, основанията за ограничението се записват, включително с оценка на необходимостта за това и съразмерността на ограниченията.

В този смисъл, записът посочва по какъв начин предоставянето на информация би застрашило целта на разследващите действия на ГИ/РИ или на ограниченията по член 3, параграф 3, или би увредило правата и свободите на други субекти на данни.

Записът и оправдателните документи с фактически и правни аспекти, според случая, се завеждат в регистър. При поискване те се предоставят на Европейския надзорен орган по защита на данните (ЕНОЗД).

4.   Посоченото в параграф 3 ограничение остава в сила, докато не отпаднат основанията за неговото прилагане.

Когато основанията за ограничението са изчерпани, ГИ/РИ предоставя на субекта на данни съответната информация и основанията за ограничението. В същото време, ГИ/РИ уведомява субекта на данни за възможността да внесе жалба в ЕНОЗД, когато прецени, или да потърси защита по съдебен ред пред Съда на Европейския съюз.

ГИ/РИ извършва преглед на заявеното ограничение най-малко на всеки шест месеца от одобрението и при приключване на съответното разследване. Впоследствие контрольорът следи веднъж годишно дали е нужно ограничението да бъде запазено.

1.   Когато субектите на данни заявят достъп до собствените си лични данни, които се обработват във връзка с един или няколко конкретни случая или с определена операция по обработка, в съответствие с член 17 от Регламента, ГИ/РИ ограничава своята оценка на заявката само до тези лични данни.

2.   Когато ГИ/РИ ограничи, изцяло или частично, правото на достъп съгласно член 17 от Регламента, тя предприема следните стъпки:

Предоставянето на информация по буква a) може да бъде отложено, оставено без последствия или отказано в съответствие с член 25, параграф 8 от Регламента.

3.   Записът по параграф 2, първа алинея, буква б) и оправдателните документи с фактически и правни аспекти, според случая, се завеждат в регистър. При поискване те се предоставят на ЕНОЗД. Приложим е член 25, параграф 7 от Регламент (ЕС) 2018/1725.

1.   Тази глава определя правилата, към които следва да се придържа СРВК относно уведомяването на субекти на данни за обработването на лични данни в съответствие с членове 14, 15 и 16 от Регламент (ЕС) 2018/1725.

Тя също така урежда условията, при които СРВК може да ограничи прилагането на членове от 14 до 22 и членове 35 и 36, както и член 4 от Регламент (ЕС) 2018/1725, в съответствие с член 25 от същия регламент.

2.   Настоящата глава се прилага за обработването на данни от СРВК за целите на извършваните дейности, или във връзка с тях, с оглед изпълнение на възложените задачи в работното задание на РВКГ, Политиката за почтеност, Хартата за съответствие и други вътрешни правила и политики.

3.   При изпълнение на своите дейности СРВК обработва няколко категории лични данни, в частност данни за установяване на самоличност, данни за връзка, професионални данни и данни по случая.

1.   РВКГ изпълнява функциите на контрольор на данните.

2.   Личните данни се съхраняват в защитена електронна и физическа среда, която предотвратява неправомерен достъп или прехвърляне на данни към лица, които не е нужно да бъдат информирани.

3.   Обработваните от СРВК лични данни се съхраняват най-малко за срок от шест месеца след отхвърлянето на случая и до пет години след приключване на административната проверка.

4.   В изключителни и добре обосновани случаи се прилагат по-продължителни от горепосочените срокове, след получаване на съгласието на СЗД.

1.   Когато СРВК изпълнява задълженията си по отношение правата на субектите на данни в съответствие с Регламент (ЕС) 2018/1725, преценява дали са приложими уредените с Регламента изключения.

2.   В съответствие с членове от 12 до 15 от това решение, СРВК може да ограничи прилагането на членове от 14 до 22 и на членове 35 и 36 от Регламент (ЕС) 2018/1725, както и на член 4, дотолкова доколкото неговите разпоредби съответстват на правата и задълженията съгласно членове от 14 до 22 от Регламент (ЕС) 2018/1725, тогава когато упражняването на тези права и задължения би застрашило целта на административните проверки на СРВК и други дейности, включително и чрез разкриване на средствата и методите за административна проверка, или би увредило правата и свободите на други субекти на данни.

3.   В съответствие с членове от 12 до 15 от това решение, СРВК може да ограничи правата и задълженията съгласно параграф 2 от този член по отношение на лични данни, получени от друга(и) служба(и) на ЕИБ, институции, органи, агенции и служби на Европейския съюз, компетентни органи на държавите членки или трети страни, или от международни организации, при следните обстоятелства:

Преди да приложи ограниченията при посочените в букви а) и б) обстоятелства от първа подточка, СРВК се консултира със съответната(ите) служба(и) на ЕИБ, институции, органи, агенции и служби на Европейския съюз или с компетентните органи на държавите членки, освен ако не е ясно на СРВК, че прилагането на подобно ограничение е предвидено в един от споменатите в тези точки правни актове.

Когато интересът на Европейския съюз за сътрудничество с трети страни или международни организации е подчинен на интересите или основните права и свободи на субектите на данни, буква в) от първа алинея не се прилага.

1.   СРВК публикува в Интранет на ЕИБ съобщение за защита на данните, с което уведомява всички субекти на данни относно своята дейност по обработване на техните лични данни.

2.   СРВК лично уведомява всички субекти на данни, които смята за засегнати лица, свидетели или информатори.

3.   Когато СРВК ограничи, частично или изцяло, предоставянето на информация на субекти на данни съгласно параграф 2, основанията за ограничението се записват, включително с оценка на необходимостта за това и съразмерността на ограниченията.

В този смисъл, записът посочва по какъв начин предоставянето на информация би застрашило целта на административните проверки на СРВК или на други дейности, или на ограниченията по член 11, параграф 3, или би увредило правата и свободите на други субекти на данни.

Записът и оправдателните документи с фактически и правни аспекти, според случая, се завеждат в регистър. При поискване те се предоставят на ЕНОЗД.

4.   Посоченото в параграф 3 ограничение остава в сила, докато не отпаднат основанията за неговото прилагане.

Когато основанията за ограничението са изчерпани, СРВК предоставя на субекта на данни съответната информация и основанията за ограничението. В същото време, СРВК уведомява субекта на данни за възможността да внесе жалба в ЕНОЗД, когато прецени, или да потърси защита по съдебен ред пред Съда на Европейския съюз.

СРВК извършва преглед на заявеното ограничение най-малко на всеки шест месеца от одобрението и при приключване на съответната административна проверка. Впоследствие контрольорът следи веднъж годишно дали е нужно ограничението да бъде запазено.

1.   Когато субектите на данни заявят достъп до собствените си лични данни, които се обработват във връзка с един или няколко конкретни случая или с определена операция по обработка, в съответствие с член 17 от Регламент (ЕС) 2018/1725, СРВК ограничава оценката на заявката само до тези лични данни.

2.   Когато СРВК ограничи, изцяло или частично, правото на достъп съгласно член 17 от Регламент (ЕС) 2018/1725, тя предприема следните стъпки:

Предоставянето на информация по буква a) може да бъде отложено, оставено без последствия или отказано в съответствие с член 25, параграф 8 от Регламент (ЕС) 2018/1725.

3.   Записът по параграф 2, първа алинея, буква б) и оправдателните документи с фактически и правни аспекти, според случая, се завеждат в регистър. При поискване те се предоставят на ЕНОЗД. Приложим е член 25, параграф 7 от Регламент (ЕС) 2018/1725.