(1)

La Oficina Europea de Lucha contra el Fraude («la Oficina») se creó, en virtud de la Decisión 1999/352/CE, CECA, Euratom, de la Comisión (1), como un servicio de la Comisión. La Oficina lleva a cabo investigaciones con total independencia.

(2)

La Oficina lleva a cabo investigaciones administrativas con el fin de luchar contra el fraude, la corrupción y cualquier otra actividad ilegal que afecte a los intereses financieros de la Unión de conformidad con el Reglamento (UE, Euratom) n.o 883/2013 del Parlamento Europeo y del Consejo (2). A tal fin, ejerce las facultades de investigación atribuidas a la Comisión por los actos pertinentes de la Unión, así como de conformidad con los acuerdos de cooperación y de asistencia mutua vigentes y cualquier otro instrumento jurídico en vigor, en los Estados miembros, en terceros países y en los locales de las organizaciones internacionales.

(3)

La Oficina también lleva a cabo investigaciones administrativas en las instituciones, órganos, oficinas y agencias creadas por los Tratados o sobre la base de estos. En el marco de su mandato de investigación, la Oficina recaba información de interés para la investigación, incluidos datos personales, procedente de diversas fuentes: autoridades públicas, entidades privadas y personas físicas, y la intercambia con las instituciones, órganos, oficinas y agencias de la Unión; con las autoridades competentes de los Estados miembros y de terceros países, y con organizaciones internacionales, antes, durante y después de la investigación o de actividades de coordinación.

(4)

En el marco de sus actividades, la Oficina trata varias categorías de datos personales, en particular, datos de identificación, datos de contacto, datos profesionales y datos relacionados con los asuntos. La Oficina, representada por su Director General, actúa como responsable del tratamiento de datos. Los datos personales se almacenan en un entorno electrónico seguro que impide el acceso o la transferencia ilícita de datos a personas que no deban conocerlos. Los datos personales tratados se conservan durante quince años después de que la investigación se abandone o se cierre con una decisión del Director General. Al final del período de conservación, la información relacionada con el caso, incluidos los datos personales, se transfiere a los archivos históricos.

(5)

En el desempeño de sus funciones, la Oficina está obligada a respetar los derechos de las personas físicas en relación con el tratamiento de los datos de carácter personal reconocidos en el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16, apartado 1, del Tratado, así como por actos jurídicos basados en dichas disposiciones. Al mismo tiempo, la Oficina está obligada a cumplir las estrictas normas de confidencialidad y secreto profesional a que se refiere el artículo 10 del Reglamento (UE, Euratom) n.o 883/2013 y a garantizar el respeto de los derechos procedimentales de los interesados y los testigos a que se refiere el artículo 9 de dicho Reglamento, en particular, el derecho de toda persona a la presunción de inocencia.

(6)

El entorno electrónico seguro en el que se almacenan los datos personales, así como las garantías procedimentales y las normas estrictas de confidencialidad y secreto profesional a que se hace referencia, respectivamente, en los artículos 9 y 10 del Reglamento (UE, Euratom) n.o 883/2013, aseguran un alto nivel de protección contra los riesgos para los derechos y libertades de los titulares de los datos objeto del tratamiento.

(7)

En determinadas circunstancias, es necesario conciliar los derechos de los interesados en virtud del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (3) con las necesidades de las investigaciones y la confidencialidad de los intercambios de información con otras autoridades públicas competentes, así como con el pleno respeto de los derechos fundamentales y las libertades de los otros titulares de datos. A tal efecto, el artículo 25 de este Reglamento otorga a la Oficina la posibilidad de restringir la aplicación de los artículos 14 a 22, 35 y 36, así como del artículo 4 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 14 a 22.

(8)

La Oficina designó, en virtud del artículo 10, apartado 4, del Reglamento (UE, Euratom) n.o 883/2013, un responsable de la protección de datos, de conformidad con el artículo 24 del Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo (4).

(9)

Con objeto de garantizar la confidencialidad y la eficacia de las investigaciones y otras actividades operativas realizadas por la Oficina, respetando al mismo tiempo las normas de protección de los datos personales de conformidad con el Reglamento (UE) 2018/1725, es necesario un reglamento interno con arreglo al cual la Oficina pueda restringir los derechos de los interesados con arreglo al artículo 25 de dicho Reglamento.

(10)

El ámbito de aplicación del presente acto jurídico debe cubrir todas las operaciones de tratamiento de datos realizadas por la Oficina en el ejercicio de su función de investigación independiente. Estas disposiciones deben aplicarse a las operaciones de tratamiento de datos efectuadas antes de la apertura de una investigación, durante las investigaciones internas y externas - como disponen los artículos 3 y 4 del Reglamento (UE, Euratom) no 883/2013 - y durante el seguimiento de la actuación consecutiva a los resultados de las investigaciones. Sus disposiciones se deben aplicar a las operaciones de tratamiento de datos que formen parte de las actividades relacionadas con la función de investigación, tales como el sistema de notificación de los casos de fraude, los análisis operativos y las bases de datos de cooperación internacional, así como a las operaciones que puedan contener datos de investigación, como la tramitación de las investigaciones del responsable de la protección de datos o de otras denuncias que investigue la Oficina. También debe incluir la asistencia y la cooperación prestada por la Oficina a las autoridades nacionales y las organizaciones internacionales al margen de sus investigaciones administrativas.

(11)

En cumplimiento de lo dispuesto en los artículos 14, 15 y 16 del Reglamento (UE) 2018/1725, la Oficina debe informar a todos los interesados de las actividades de tratamiento de sus datos personales y de sus derechos de un modo transparente y coherente, en forma de anuncios de protección de datos publicados en el sitio web de la Oficina, así como informar individualmente a los titulares de los datos pertinentes para la investigación - interesados, testigos e informantes - en el formato adecuado.

(12)

Sin perjuicio de la aplicación de las excepciones previstas en el Reglamento (UE) 2018/1725, la Oficina puede restringir la comunicación de información a los interesados y la aplicación de otros derechos de los interesados a fin de proteger sus propias investigaciones, las investigaciones y procedimientos de las autoridades públicas de los Estados miembros, las herramientas y métodos de investigación, así como los derechos de otras personas relacionadas con sus investigaciones.

(13)

En algunos casos, proporcionar información a los interesados o revelar la existencia de una investigación puede imposibilitar u obstaculizar gravemente la finalidad de las operaciones de tratamiento y la capacidad de la Oficina o de las autoridades nacionales competentes y las instituciones, organismos, oficinas y agencias de la UE para llevar a cabo una investigación eficaz en el futuro.

(14)

Además, la Oficina está obligada a proteger la identidad de los informantes, incluidos los denunciantes y los testigos, que no deben sufrir consecuencias negativas por su cooperación con la Oficina.

(15)

Por estas razones, la Oficina puede necesitar invocar la aplicación de algunos de los motivos de restricción a que se refiere el artículo 25 del Reglamento (UE) 2018/1725 a las operaciones de tratamiento de datos efectuadas en el marco de las funciones de la Oficina establecidas en el artículo 2 de la Decisión 1999/352/CE, CECA, Euratom.

(16)

Además, con el fin de mantener una cooperación eficaz, la Oficina puede necesitar aplicar las restricciones de los derechos de los interesados para proteger la información que contenga datos personales procedente de los servicios de la Comisión o de otras instituciones, órganos, oficinas y agencias de la Unión; de las autoridades competentes de los Estados miembros y de terceros países, así como de organizaciones internacionales. A tal efecto, la Oficina debe consultar con dichos servicios, instituciones, organismos, oficinas, agencias, autoridades y organizaciones internacionales los motivos y la necesidad y proporcionalidad de las restricciones.

(17)

En el marco de sus funciones de investigación, la Oficina intercambia a menudo información, incluidos datos personales, con, entre otros, los servicios de la Comisión y las agencias ejecutivas que asisten a los servicios de la Comisión en la ejecución de sus programas. De conformidad con el artículo 25, apartado 5, del Reglamento (UE) 2018/1725 - que exige la adopción de normas internas al más alto nivel de gestión de las instituciones, organismos, agencias y oficinas de la Unión afectados -, la presente Decisión regula el tratamiento de los datos personales contenidos en la información que estos deban transmitir a la Oficina. Por lo tanto, todos los servicios de la Comisión y las agencias ejecutivas que traten datos personales sujetos a la obligación de informar a la Oficina con arreglo al artículo 8, apartado 1, del Reglamento (UE, Euratom) n.o 883/2013, o cuando dichos datos personales sean tratados por la Oficina en el desempeño de sus funciones, deberán aplicar las disposiciones establecidas en la presente Decisión con miras a proteger las operaciones de tratamiento de datos realizadas por la Oficina. En estas circunstancias, los servicios de la Comisión y las agencias ejecutivas de que se trate deberán, por tanto, consultar con la Oficina los motivos de las restricciones y su necesidad y proporcionalidad a fin de garantizar su aplicación coherente.

(18)

La Oficina y, en su caso, los servicios de la Comisión y las agencias ejecutivas deberán gestionar todas las restricciones de manera transparente y consignar cada aplicación de restricciones en el sistema de registro correspondiente.

(19)

De conformidad con el artículo 25, apartado 8, del Reglamento (UE) 2018/1725, los responsables del tratamiento podrán aplazar o denegar la comunicación de información sobre los motivos de la aplicación de una restricción al interesado cuando dicha comunicación deje sin efecto la restricción impuesta. En particular, si se restringen los derechos contemplados en los artículos 16 y 35, la notificación de dicha restricción podría comprometer la finalidad de la restricción. Con el fin de garantizar que el derecho de los interesados a ser informados en virtud de los artículos 16 y 38 del Reglamento (UE) 2018/1725 solo se restrinja en la medida en que subsistan los motivos del aplazamiento, la Oficina deberá revisar periódicamente su posición.

(20)

Cuando se restrinjan los derechos de los interesados, el responsable del tratamiento deberá evaluar, caso por caso, si la comunicación de la restricción pudiera comprometer su finalidad.

(21)

El responsable de la protección de datos de la Oficina - y, en su caso, el responsable de la protección de datos de la Comisión o de la agencia ejecutiva de que se trate - también debería llevar a cabo una revisión independiente de la aplicación de las restricciones, a fin de garantizar el cumplimiento de la presente Decisión.

(22)

El Reglamento (UE) 2018/1725 sustituye al Reglamento (CE) 45/2001 sin ningún período transitorio desde la fecha de su entrada en vigor. El Reglamento(CE) 45/2001 brinda la posibilidad de restringir determinados derechos. Con el objeto de evitar comprometer la finalidad de las investigaciones de la Oficina en el ejercicio de sus funciones y para que no se vean afectados los derechos y libertades de terceros, la presente Decisión se aplicará desde la fecha de entrada en vigor del Reglamento (UE) 2018/1725.

(23)

El Supervisor Europeo de Protección de Datos fue consultado el 23 de noviembre de 2018.