1.   Tato kapitola stanoví pravidla, která musí dodržovat příslušný správce údajů, vymezený v čl. 2 odst. 1 rozhodnutí, při informování subjektů údajů o zpracování jejich údajů v souladu s články 14, 15 a 16 nařízení (EU) 2018/1725.

Rovněž stanoví podmínky, za nichž může příslušný správce údajů omezit použití článků 14 až 22, 35 a 36, jakož i článku 4 nařízení, v souladu s článkem 25 nařízení.

2.   Tato kapitola se vztahuje na zpracování osobních údajů divizí IG/IN pro účely činností prováděných za účelem splnění jejích úkolů uvedených v politice EIB v oblasti boje proti podvodům a v zásadách divize EIB pro vyšetřování podvodů nebo v souvislosti s uvedenými činnostmi.

3.   V rámci svého pověření zpracovává divize IG/IN několik kategorií osobních údajů, zejména identifikační údaje, kontaktní údaje, profesní údaje a údaje o zapojení do věci.

1.   Správcem údajů v rámci operací zpracování je vedoucí divize IG/IN.

2.   Osobní údaje jsou uchovávány v zabezpečeném elektronickém a fyzickém prostředí, které brání nezákonnému přístupu k údajům nebo předání údajů osobám, které je nepotřebují znát.

3.   Zpracovávané osobní údaje jsou uchovávány po dobu nejméně pěti let a nejdéle deseti let od skončení vyšetřování. Údaje související s případy, kde nebylo prokázáno porušení předpisů, jsou uchovávány po dobu nepřesahující pět let.

4.   Výše uvedené doby lze překročit jen ve výjimečných a řádně odůvodněných případech, a to se souhlasem inspektora.

1.   V případech, kdy divize IG/IN vykonává své povinnosti s ohledem na práva subjektů údajů podle nařízení, posoudí, zda se použije některá z výjimek stanovených v uvedeném nařízení.

2.   Podle článků 4 až 7 tohoto rozhodnutí může divize IG/IN omezit použití článků 14 až 22 a 35 nařízení, článku 36 nařízení, jakož i článku 4 nařízení, v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22 nařízení, pokud by výkon těchto práv a povinností ohrozil účel vyšetřování a jiných činností divize IG/IN, například odhalením jejích vyšetřovacích nástrojů a metod, nebo by negativně ovlivnil práva a svobody jiných subjektů údajů.

3.   Podle článků 4 až 7 tohoto rozhodnutí může divize IG/IN omezit práva a povinnosti uvedené v odstavci 2 tohoto článku ve vztahu k osobním údajům získaným od jiného útvaru či jiných útvarů EIB, OLAF nebo dalších orgánů, institucí a jiných subjektů Evropské unie, příslušných orgánů členských států nebo třetích zemí nebo od mezinárodních organizací, a to za těchto okolností:

Dříve než divize IG/IN použije omezení za okolností uvedených v prvním pododstavci písm. a) a b), konzultuje příslušný útvar či příslušné útvary EIB, OLAF, orgány, instituce a jiné subjekty Evropské unie nebo příslušné orgány členských států, pokud není divizi IG/IN jasné, že uplatnění omezení je stanoveno v některém z právních aktů uvedených v těchto písmenech.

Ustanovení prvního pododstavce písm. c) se nepoužije, pokud zájmy nebo základní práva a svobody subjektů údajů převáží nad zájmem Evropské unie o spolupráci se třetími zeměmi nebo mezinárodními organizacemi.

1.   Divize IG/IN zveřejní na internetových stránkách EIB prohlášení o ochraně údajů, jímž informuje všechny subjekty údajů o svých činnostech, při kterých jsou zpracovávány jejich osobní údaje.

2.   Divize IG/IN individuálně informuje všechny subjekty údajů, které považuje za dotčené osoby, svědky nebo informátory ve smyslu politiky EIB v oblasti boje proti podvodům a postupů vyšetřování.

3.   Pokud divize IG/IN zcela nebo zčásti omezí poskytování informací subjektům údajů uvedeným v odstavci 2, zaznamená důvody tohoto omezení, včetně posouzení nezbytnosti a přiměřenosti omezení.

Pro tyto účely se v záznamu uvede, jak by poskytnutí informací ohrozilo účel vyšetřovacích činností divize IG/IN nebo omezení uplatňovaných podle čl. 3 odst. 3, nebo jak by negativně ovlivnilo práva a svobody jiných subjektů údajů.

Záznam a případně dokumenty obsahující podkladové faktické a právní prvky se zaregistrují. Na žádost se zpřístupní evropskému inspektorovi ochrany údajů (EIOÚ).

4.   Omezení uvedená v odstavci 3 platí tak dlouho, dokud jsou platné důvody odůvodňující omezení.

Jakmile důvody omezení pominou, divize IG/IN poskytne subjektu údajů dotčené informace a uvede důvody omezení. Současně divize IG/IN informuje subjekt údajů o možnosti podat kdykoliv stížnost u EIOÚ nebo uplatnit opravný prostředek u Soudního dvora Evropské unie.

Divize IG/IN přezkoumá použití omezení přinejmenším každých šest měsíců od jeho přijetí a při uzavření příslušného vyšetřování. Potřebu zachovat jakékoli omezení poté monitoruje správce jednou ročně.

1.   Pokud subjekty údajů požadují v souladu s článkem 17 nařízení přístup ke svým osobním údajům zpracovávaným v kontextu jednoho nebo více zvláštních případů nebo ke konkrétní operaci zpracování, divize IG/IN omezí své posouzení žádosti pouze na tyto osobní údaje.

2.   Pokud divize IG/IN zcela nebo zčásti omezí právo na přístup uvedené v článku 17 nařízení, učiní následující kroky:

Poskytnutí informací uvedených v písmenu a) může být v souladu s čl. 25 odst. 8 nařízení odloženo, neprovedeno nebo odepřeno.

3.   Záznam uvedený v odst. 2 prvním pododstavci písm. b) a případně dokumenty obsahující podkladové faktické a právní prvky se zaregistrují. Na vyžádání se zpřístupní EIOÚ. Použije se čl. 25 odst. 7 nařízení (EU) 2018/1725.

1.   Tato kapitola stanoví pravidla, která musí dodržovat OCCO při informování subjektů údajů o zpracování jejich údajů v souladu s články 14, 15 a 16 nařízení (EU) 2018/1725.

Rovněž stanoví podmínky, za nichž může OCCO omezit použití článků 14 až 22, 35 a 36, jakož i článku 4 nařízení (EU) 2018/1725, v souladu s článkem 25 uvedeného nařízení.

2.   Tato kapitola se vztahuje na zpracování osobních údajů ze strany OCCO pro účely činností prováděných za účelem splnění jejích úkolů uvedených v mandátu GCCO, politice integrity a zásadách compliance a v dalších vnitřních pravidlech a zásadách nebo v souvislosti s uvedenými činnostmi.

3.   V rámci své činnosti OCCO zpracovává několik kategorií osobních údajů, zejména identifikační údaje, kontaktní údaje, profesní údaje a údaje o zapojení do věci.

1.   Příslušným správcem údajů je GCCO.

2.   Osobní údaje jsou uchovávány v zabezpečeném elektronickém a fyzickém prostředí, které brání nezákonnému přístupu k údajům nebo předání údajů osobám, které je nepotřebují znát.

3.   Osobní údaje zpracovávané OCCO jsou uchovávány po dobu nejméně šesti měsíců od odložení věci a po dobu nepřesahující pět let od uzavření správního šetření.

4.   Výše uvedené doby lze překročit jen ve výjimečných a řádně odůvodněných případech, a to se souhlasem inspektora.

1.   V případech, kdy OCCO vykonává své povinnosti s ohledem na práva subjektů údajů podle nařízení (EU) 2018/1725, posoudí, zda se použije některá z výjimek stanovených v uvedeném nařízení.

2.   Podle článků 12 až 15 tohoto rozhodnutí může OCCO omezit použití článků 14 až 22, 35 a 36 nařízení (EU) 2018/1725, jakož i článku 4 nařízení, v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22 nařízení (EU) 2018/1725, pokud by výkon těchto práv a povinností ohrozil účel správních šetření a jiných činností OCCO, například odhalením jejích nástrojů a metod správního šetření, nebo by negativně ovlivnil práva a svobody jiných subjektů údajů.

3.   Podle článků 12 až 15 tohoto rozhodnutí může OCCO omezit práva a povinnosti uvedené v odstavci 2 tohoto článku ve vztahu k osobním údajům získaným od jiného útvaru či jiných útvarů EIB, orgánů, institucí a jiných subjektů Evropské unie, příslušných orgánů členských států nebo třetích zemí nebo od mezinárodních organizací, a to za těchto okolností:

Dříve než OCCO použije omezení za okolností uvedených v prvním pododstavci písm. a) a b), konzultuje příslušný útvar či příslušné útvary EIB, orgány, instituce a jiné subjekty Evropské unie nebo příslušné orgány členských států, pokud není OCCO jasné, že uplatnění omezení je stanoveno v některém z právních aktů uvedených v těchto písmenech.

Ustanovení prvního pododstavce písm. c) se nepoužije, pokud zájmy nebo základní práva a svobody subjektů údajů převáží nad zájmem Evropské unie o spolupráci se třetími zeměmi nebo mezinárodními organizacemi.

1.   OCCO zveřejní na intranetu EIB prohlášení o ochraně údajů, jímž informuje všechny subjekty údajů o svých činnostech, při kterých jsou zpracovávány jejich osobní údaje.

2.   OCCO individuálně informuje všechny subjekty údajů, které považuje za dotčené osoby, svědky a informátory.

3.   Pokud OCCO zcela nebo zčásti omezí poskytování informací subjektům údajů uvedeným v odstavci 2, zaznamená důvody tohoto omezení, včetně posouzení nezbytnosti a přiměřenosti omezení.

Pro tyto účely se v záznamu uvede, jak by poskytnutí informací ohrozilo účel správního šetření nebo jiných činností OCCO nebo omezení uplatňovaných podle čl. 11 odst. 3, nebo jak by negativně ovlivnilo práva a svobody jiných subjektů údajů.

Záznam a případně dokumenty obsahující podkladové faktické a právní prvky se zaregistrují. Na vyžádání se zpřístupní EIOÚ.

4.   Omezení uvedená v odstavci 3 platí tak dlouho, dokud jsou platné důvody odůvodňující omezení.

Jakmile důvody omezení pominou, OCCO poskytne subjektu údajů dotčené informace a uvede důvody omezení. Současně OCCO informuje subjekt údajů o možnosti podat kdykoliv stížnost u EIOÚ nebo uplatnit opravný prostředek u Soudního dvora Evropské unie.

OCCO přezkoumá použití omezení přinejmenším každých šest měsíců od jeho přijetí a při uzavření příslušného správního šetření. Potřebu zachovat jakékoli omezení poté monitoruje správce jednou ročně.

1.   Pokud subjekty údajů požadují v souladu s článkem 17 nařízení (EU) 2018/1725 přístup ke svým osobním údajům zpracovávaným v kontextu jednoho nebo více zvláštních případů nebo ke konkrétní operaci zpracování, OCCO omezí své posouzení žádosti pouze na tyto osobní údaje.

2.   Pokud OCCO zcela nebo zčásti omezí právo na přístup uvedené v článku 17 nařízení (EU) 2018/1725, učiní následující kroky:

Poskytnutí informací uvedených v písmenu a) může být v souladu s čl. 25 odst. 8 nařízení (EU) 2018/1725 odloženo, neprovedeno nebo odepřeno.

3.   Záznam uvedený v odst. 2 prvním pododstavci písm. b) a případně dokumenty obsahující podkladové faktické a právní prvky se zaregistrují. Na vyžádání se zpřístupní EIOÚ. Použije se čl. 25 odst. 7 nařízení (EU) 2018/1725.