(1)

Det Europæiske Kontor for Bekæmpelse af Svig (i det følgende benævnt »kontoret«) blev oprettet ved Kommissionens afgørelse 1999/352/EF, EKSF, Euratom (1) som en tjenestegren i Kommissionen. Kontoret udfører sine undersøgelser i fuld uafhængighed.

(2)

Kontoret udfører administrative undersøgelser med henblik på at bekæmpe svig, korruption og alle andre former for ulovlig virksomhed, der skader Unionens finansielle interesser, i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU, Euratom) nr. 883/2013 (2). Kontoret udøver i den forbindelse de undersøgelsesbeføjelser, der i henhold til de relevante EU-retsakter er tillagt Kommissionen i medlemsstaterne samt, i medfør af gældende aftaler om samarbejde og gensidig bistand og enhver anden gældende retsakt, i tredjelande og internationale organisationers lokaler.

(3)

Kontoret udfører endvidere administrative undersøgelser i de institutioner, organer, kontorer og agenturer, som er oprettet ved eller på grundlag af traktaterne. Inden for rammerne af sine undersøgelsesbeføjelser indsamler kontoret oplysninger af undersøgelsesinteresse, herunder personoplysninger, fra forskellige kilder — offentlige myndigheder, private enheder og fysiske personer — og udveksler dem med EU's institutioner, organer, kontorer og agenturer, med kompetente myndigheder i medlemsstaterne og tredjelande samt med internationale organisationer inden, under og efter undersøgelses- eller koordineringsaktiviteterne.

(4)

Kontoret behandler i forbindelse med sine aktiviteter flere kategorier af personoplysninger, navnlig identifikationsoplysninger, kontaktoplysninger, erhvervsmæssige oplysninger og oplysninger om sagstilhørsforhold. Kontoret, der er repræsenteret ved sin generaldirektør, fungerer som dataansvarlig. Personoplysninger lagres i et sikret elektronisk miljø, som hindrer ulovlig adgang eller overførsel af oplysninger til personer, der ikke har behov for at kende til disse. Efter henlæggelse af en sag, eller efter at en undersøgelse eller koordineringssag er blevet afsluttet ved en afgørelse truffet af generaldirektøren, opbevares de behandlede personoplysninger i 15 år. Ved udløbet af opbevaringsperioden overføres de sagsrelaterede oplysninger, herunder personoplysninger, til de historiske arkiver.

(5)

Kontoret er under udførelsen af sine opgaver forpligtet til at overholde fysiske personers rettigheder i forbindelse med behandling af personoplysninger, jf. artikel 8, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder og traktatens artikel 16, stk. 1, samt retsakter baseret på disse bestemmelser. Samtidig er kontoret forpligtet til at overholde strenge regler om fortrolighed og tavshedspligt, jf. artikel 10 i forordning (EU, Euratom) nr. 883/2013, og sikre overholdelsen af de proceduremæssige rettigheder for berørte personer og vidner som omhandlet i nævnte forordnings artikel 9, navnlig de berørte personers ret til uskyldsformodning.

(6)

Det sikrede elektroniske miljø, hvori personoplysninger opbevares, samt de processuelle garantier og strenge regler om tavshedspligt og fortrolighed, der er nævnt henholdsvis i artikel 9 og 10 i forordning (EU, Euratom) nr. 883/2013, sikrer en høj grad af beskyttelse mod risici for de registreredes rettigheder og frihedsrettigheder i forbindelse med behandlingen.

(7)

I visse tilfælde er det nødvendigt at forene de registreredes rettigheder i henhold til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (3) med undersøgelsesbehovene og behovene for fortrolighed ved udveksling af oplysninger med andre kompetente offentlige myndigheder, samt at sikre, at andre registreredes grundlæggende rettigheder og frihedsrettigheder overholdes fuldt ud. I den forbindelse giver nævnte forordnings artikel 25 kontoret mulighed for at begrænse anvendelsen af artikel 14-22, 35 og 36 samt artikel 4, for så vidt dens bestemmelser svarer til de rettigheder og forpligtelser, som er omhandlet i artikel 14-22.

(8)

Kontoret har i henhold til artikel 10, stk. 4, i forordning (EU, Euratom) nr. 883/2013 udpeget en databeskyttelsesansvarlig, jf. artikel 24 i Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (4).

(9)

Med henblik på at sikre fortrolighed og effektivitet i forbindelse med undersøgelser og andre operationelle aktiviteter, der udføres af kontoret, og samtidig overholde standarderne for beskyttelse af personoplysninger i henhold til forordning (EU) 2018/1725 er det nødvendigt at vedtage interne regler, i henhold til hvilke kontoret kan begrænse de registreredes rettigheder i overensstemmelse med nævnte forordnings artikel 25.

(10)

Anvendelsesområdet for denne retsakt bør omfatte alle behandlingsaktiviteter, der udføres af kontoret inden for rammerne af dets uafhængige undersøgelsesfunktion. Disse regler bør gælde for behandlingsaktiviteter, der udføres forud for indledningen af en undersøgelse, både i forbindelse med interne og eksterne undersøgelser, jf. artikel 3 og 4 i forordning (EU, Euratom) nr. 883/2013, og i forbindelse med overvågningen af opfølgningen på undersøgelsesresultaterne. De bør finde anvendelse på behandlingsaktiviteter, som udgør en del af de aktiviteter, der er knyttet til undersøgelsesfunktionen, såsom systemet til indberetning af svig, operationelle analyser, internationale samarbejdsdatabaser samt aktiviteter, der kan omfatte undersøgelsesoplysninger, som f.eks. i forbindelse med håndteringen af databeskyttelsesansvarliges undersøgelser eller andre klageprocesser, der gennemføres af kontoret. Dette bør også omfatte bistand og samarbejde, som ydes af kontoret til nationale myndigheder og internationale organisationer ved siden af dets administrative undersøgelser.

(11)

Med henblik på at efterkomme kravene i artikel 14, 15 og 16 i forordning (EU) 2018/1725 bør kontoret underrette alle berørte personer om de aktiviteter, der omfatter behandling af deres personoplysninger, og om deres rettigheder på en gennemsigtig og sammenhængende måde, i form af databeskyttelsesmeddelelser offentliggjort på kontorets websted, samt individuelt og på passende vis underrette registrerede, som er af interesse for undersøgelsen, dvs. berørte personer, vidner og informanter.

(12)

Uden at dette berører anvendelsen af undtagelserne, som er fastsat i forordning (EU) 2018/1725, kan det være nødvendigt for kontoret at begrænse underretningen af de registrerede og anvendelsen af de registreredes øvrige rettigheder for at beskytte dets egne undersøgelser, medlemsstaternes myndigheders undersøgelser og procedurer, efterforskningsværktøjerne og -metoderne samt andre personers rettigheder i forbindelse med dets undersøgelser.

(13)

I nogle tilfælde ville formidling af særlige oplysninger til de registrerede eller afsløring af eksistensen af en undersøgelse kunne gøre det umuligt at gennemføre behandlingen eller i alvorlig grad skade formålet med behandlingen og evnen hos kontoret, de kompetente nationale myndigheder og EU's institutioner, organer, kontorer og agenturer til at gennemføre en undersøgelse effektivt i fremtiden.

(14)

Derudover er kontoret forpligtet til at beskytte informanters identitet, herunder whistleblowere og vidner, så disse ikke udsættes for negative konsekvenser i forbindelse med deres samarbejde med kontoret.

(15)

Derfor kan det være nødvendigt for kontoret at anvende visse begrundelser for begrænsninger, jf. artikel 25 i forordning (EU) 2018/1725, i forbindelse med databehandlingsaktiviteter, der udføres inden for rammerne af kontorets opgaver som fastsat i artikel 2 i afgørelse 1999/352/EF, EKSF, Euratom.

(16)

Med henblik på at bevare et effektivt samarbejde kan det desuden være nødvendigt for kontoret at anvende begrænsninger af registreredes rettigheder for at beskytte oplysninger, der indeholder personoplysninger, og som stammer fra Kommissionens tjenestegrene eller andre EU-institutioner, -organer, -kontorer og -agenturer, kompetente myndigheder i medlemsstaterne og tredjelande samt fra internationale organisationer. I den forbindelse bør kontoret høre disse tjenestegrene, institutioner, organer, kontorer, agenturer, myndigheder og internationale organisationer om de relevante begrundelser for og nødvendigheden og proportionaliteten af begrænsningerne.

(17)

Som led i sin undersøgelsesfunktion udveksler kontoret ofte oplysninger, herunder personoplysninger, med bl.a. Kommissionens tjenestegrene og forvaltningsorganer, som bistår Kommissionens tjenestegrene i forbindelse med gennemførelsen af deres programmer. I overensstemmelse med artikel 25, stk. 5, i forordning (EU) 2018/1725, hvorefter de interne regler kræves vedtaget på højeste forvaltningsniveau i Unionens institutioner, organer, kontorer og agenturer, omfatter denne afgørelse behandling af personoplysninger, der er indeholdt i oplysninger, som de skal overføre til kontoret. Derfor bør alle Kommissionens tjenestegrene og forvaltningsorganer, der behandler personoplysninger, for så vidt angår deres forpligtelse til at underrette kontoret i henhold til artikel 8, stk. 1, i forordning (EU, Euratom) nr. 883/2013, eller hvor sådanne personoplysninger behandles af kontoret i udførelsen af dets opgaver, anvende reglerne i denne afgørelse med henblik på at beskytte de behandlingsaktiviteter, der udføres af kontoret. Under sådanne omstændigheder bør Kommissionens tjenestegrene og forvaltningsorganer derfor høre kontoret om de relevante begrundelser for begrænsningerne og deres nødvendighed og proportionalitet med henblik på at sikre, at de anvendes på en sammenhængende måde.

(18)

Kontoret — og, hvor det er relevant, Kommissionens tjenestegrene og forvaltningsorganer — bør behandle alle begrænsninger på gennemsigtig vis og registrere hver enkelt anvendelse af begrænsninger i det tilsvarende registreringssystem.

(19)

I henhold til artikel 25, stk. 8, i forordning (EU) 2018/1725 kan de dataansvarlige udsætte eller undlade underretning om begrundelsen for at anvende en begrænsning på den registrerede, hvis dette på nogen måde ville kompromittere formålet med begrænsningen. Hvis der anvendes en begrænsning af de rettigheder, der er fastsat i artikel 16 og 35, ville underretning om en sådan begrænsning navnlig kompromittere formålet med begrænsningen. For at sikre, at den registreredes ret til at blive underrettet, jf. artikel 16 og 38 i forordning (EU) 2018/1725, kun begrænses, så længe udskydelsen er begrundet, bør kontoret jævnligt tage sin holdning op til overvejelse.

(20)

Hvis der anvendes en begrænsning af andre registreredes rettigheder, bør den dataansvarlige fra sag til sag vurdere, om det ville kompromittere formålet at informere om begrænsningen.

(21)

Den databeskyttelsesansvarlige for kontoret – og, hvor det er relevant, den databeskyttelsesansvarlige for Kommissionen eller for det pågældende forvaltningsorgan – bør ligeledes foretage en uafhængig vurdering af anvendelsen af begrænsninger med henblik på at sikre, at denne afgørelse overholdes.

(22)

Forordning (EU) 2018/1725 træder i stedet for forordning (EF) nr. 45/2001 uden nogen overgangsperiode fra den dato, hvor den træder i kraft. Muligheden for at indføre begrænsninger af visse rettigheder blev fastsat i forordning (EF) nr. 45/2001. For at undgå at bringe formålet med de undersøgelser, der hører under kontorets kompetence, i fare og krænke andres rettigheder og frihedsrettigheder bør denne afgørelse anvendes fra datoen for ikrafttrædelsen af forordning (EU) 2018/1725.

(23)

Den Europæiske Tilsynsførende for Databeskyttelse blev hørt den 23. november 2018 —