(1)

Het Europees Bureau voor fraudebestrijding („het Bureau”) is opgericht bij Besluit 1999/352/EG, EGKS, Euratom (1) als dienst van de Commissie. Het Bureau opereert bij zijn onderzoeken volstrekt onafhankelijk.

(2)

Het Bureau verricht administratieve onderzoeken met het oog op het bestrijden van fraude, corruptie en elke andere onwettige activiteit waardoor de financiële belangen van de Unie worden geschaad overeenkomstig Verordening (EU, Euratom) nr. 883/2013 van het Europees Parlement en de Raad (2). Daartoe verricht het de onderzoekstaken die aan de Commissie zijn toevertrouwd bij de toepasselijke rechtshandelingen van de Unie in de lidstaten en conform de vigerende overeenkomsten voor samenwerking en wederzijdse bijstand en andere vigerende rechtsinstrumenten, in derde landen en bij internationale organisaties.

(3)

Het Bureau verricht ook administratieve onderzoeken binnen de instellingen, organen en instanties die zijn opgericht bij de Verdragen of op basis daarvan. In het kader van zijn onderzoeksmandaat verzamelt het Bureau voor zijn onderzoeken relevante gegevens, inclusief persoonsgegevens, bij verschillende bronnen – overheidsinstanties, particuliere entiteiten en natuurlijke personen – en wisselt die uit met instellingen, organen en instanties van de Unie, bevoegde autoriteiten van de lidstaten en derde landen, alsook met internationale organisaties vóór, tijdens en na de onderzoeks- of coördinatiewerkzaamheden.

(4)

In het kader van zijn werkzaamheden verwerkt het Bureau verschillende categorieën persoonsgegevens, met name identificatiegegevens, contactgegevens, professionele gegevens en gegevens die betrekking hebben op de rol van betrokkenen in de zaak. Het Bureau, dat wordt vertegenwoordigd door zijn directeur-generaal, treedt op als verwerkingsverantwoordelijke. De persoonsgegevens worden opgeslagen in een beveiligde elektronische omgeving om onrechtmatige toegang of doorgifte van gegevens aan personen die niet beantwoorden aan het „need-to-know”-criterium, te voorkomen. De verwerkte persoonsgegevens worden bewaard gedurende vijftien jaar nadat de zaak is afgewezen of het onderzoek of de coördinatiezaak is afgesloten bij besluit van de directeur-generaal. Aan het eind van de bewaartermijn wordt de zaakgerelateerde informatie, inclusief de persoonsgegevens, overgebracht naar de historische archieven.

(5)

Bij de uitvoering van zijn taken is het Bureau gebonden aan de eerbiediging van de rechten van natuurlijke personen in verband met de verwerking van persoonsgegevens die zijn verankerd in artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie en artikel 16, lid 1, van het Verdrag, alsook in wetgevingshandelingen die op die bepalingen gebaseerd zijn. Daarnaast is het Bureau gebonden aan de in artikel 10 van Verordening (EU, Euratom) nr. 883/2013 bedoelde strikte regels inzake vertrouwelijkheid en beroepsgeheim en moet het de eerbiediging van de in artikel 9 van die verordening bedoelde procedurele rechten van betrokkenen en getuigen waarborgen, met name het recht van betrokkenen op vermoeden van onschuld.

(6)

De beveiligde elektronische omgeving waarin persoonsgegevens worden opgeslagen, en de procedurele waarborgen en strikte regels inzake vertrouwelijkheid en beroepsgeheim als bedoeld in respectievelijk de artikelen 9 en 10 van Verordening (EU, Euratom) nr. 883/2013 zorgen voor een hoog niveau van bescherming tegen de risico's voor de rechten en vrijheden van bij de verwerking betrokkenen personen.

(7)

In bepaalde omstandigheden moeten de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (3) worden afgestemd op de behoeften van onderzoeken en het vertrouwelijke karakter van de uitwisseling van informatie met andere bevoegde overheidsinstanties, alsook op de volledige eerbiediging van de fundamentele rechten en vrijheden van andere betrokkenen. Met het oog hierop voorziet artikel 25 van die verordening in de mogelijkheid voor het Bureau om de toepassing van de artikelen 14 tot en met 22, 35 en 36, alsook van artikel 4, te beperken, voor zover de bepalingen daarvan overeenkomen met de rechten en verplichtingen als bedoeld in de artikelen 14 tot en met 22.

(8)

Ingevolge artikel 10, lid 4, van Verordening (EU, Euratom) nr. 883/2013 heeft het Bureau een functionaris voor gegevensbescherming aangesteld overeenkomstig artikel 24 van Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad (4).

(9)

Ter wille van de vertrouwelijkheid en de doeltreffendheid van onderzoeken en andere operationele activiteiten van het Bureau en met inachtneming van de in Verordening (EU) 2018/1725 vastgestelde normen voor de bescherming van persoonsgegevens moeten interne voorschriften worden vastgesteld op grond waarvan het Bureau de rechten van betrokkenen in overeenstemming met artikel 25 van die verordening kan beperken.

(10)

Het toepassingsgebied van deze rechtshandeling moet alle verwerkingen omvatten die door het Bureau bij de uitoefening van zijn onafhankelijke onderzoekstaak worden verricht. De voorschriften moeten van toepassing zijn op verwerkingen die worden verricht vóór de opening van een onderzoek, tijdens interne en externe onderzoeken als bedoeld in de artikelen 3 en 4 van Verordening (EU, Euratom) nr. 883/2013 en tijdens de monitoring van de follow-up van de resultaten van de onderzoeken. Voorts moeten ze van toepassing zijn op verwerkingen die deel uitmaken van de activiteiten in verband met de onderzoekstaak, zoals het systeem om fraude te melden, operationele analyses, databanken voor internationale samenwerking, alsmede activiteiten waarbij mogelijk onderzoeksgegevens worden verwerkt, zoals bij onderzoeken van de functionaris voor gegevensbescherming of bij andere klachtenprocedures van het Bureau. Ze moeten ook de bijstand en samenwerking bestrijken die het Bureau buiten zijn administratieve onderzoeken biedt aan nationale autoriteiten en internationale organisaties.

(11)

Om te voldoen aan de artikelen 14, 15 en 16 van Verordening (EU) 2018/1725 moet het Bureau alle personen op transparante en coherente wijze informeren over zijn activiteiten in verband met de verwerking van hun persoonsgegevens en over hun rechten via de op de website van het Bureau gepubliceerde privacyverklaringen, en de voor het onderzoek relevante betrokkenen — betrokken personen, getuigen en informanten – individueel informeren in een passend formaat.

(12)

Onverminderd de toepassing van de in Verordening (EU) 2018/1725 vastgestelde uitzonderingen kan het zijn dat het Bureau de verstrekking van informatie aan betrokkenen en de toepassing van andere rechten van betrokkenen moet beperken ter bescherming van zijn eigen onderzoeken, onderzoeken en procedures van overheidsinstanties van de lidstaten, de onderzoeksinstrumenten en -methoden, alsmede de rechten van andere bij zijn onderzoeken betrokken personen.

(13)

In sommige gevallen kan het verstrekken van bepaalde informatie aan de betrokkenen of het onthullen van het bestaan van een onderzoek het doel van de verwerking en het vermogen van het Bureau of van de bevoegde nationale autoriteiten en de instellingen, organen en instanties van de Unie om in de toekomst op doeltreffende wijze een onderzoek te voeren, tenietdoen of ernstig schaden.

(14)

Voorts moet het Bureau de identiteit van informanten, inclusief klokkenluiders, en van getuigen beschermen omdat zij geen negatieve gevolgen mogen ondervinden van hun samenwerking met het Bureau.

(15)

Om deze redenen kan het zijn dat het Bureau bepaalde beperkingen als bedoeld in artikel 25 van Verordening (EU) 2018/1725 moet toepassen ten aanzien van gegevensverwerkingen in het kader van de in artikel 2 van Besluit 1999/352/EG, EGKS, Euratom vastgestelde taken van het Bureau.

(16)

Om een effectieve samenwerking in stand te houden, moet het Bureau mogelijk ook beperkingen toepassen ten aanzien van de rechten van betrokkenen om informatie te beschermen die persoonsgegevens bevat die afkomstig zijn van diensten van de Commissie of andere instellingen, organen en instanties van de Unie, van bevoegde instanties van de lidstaten en derde landen, alsook van internationale organisaties. Met het oog hierop moet het Bureau die diensten, instellingen, organen, instanties, autoriteiten en internationale organisaties raadplegen over de relevante redenen voor de beperkingen en de noodzaak en de evenredigheid daarvan.

(17)

In het kader van zijn onderzoekstaak wisselt het Bureau vaak informatie, inclusief persoonsgegevens, uit met onder andere diensten van de Commissie en uitvoerende agentschappen die die diensten bijstaan bij de uitvoering van hun programma's. In overeenstemming met artikel 25, lid 5, van Verordening (EU) 2018/1725 — op grond waarvan de interne voorschriften moeten worden vastgesteld op het hoogste beheerniveau van de betrokken instellingen, organen en instanties van de Unie — omvat dit besluit de verwerking van persoonsgegevens die zijn vervat in de informatie die zij aan het Bureau moeten doorgeven. Daarom moeten alle diensten van de Commissie en uitvoerende agentschappen, wanneer zij persoonsgegevens verwerken in het kader van hun verplichting uit hoofde van artikel 8, lid 1, van Verordening (EU, Euratom) nr. 883/2013 om het Bureau te informeren, alsook het Bureau, wanneer het dergelijke persoonsgegevens verwerkt in het kader van de vervulling van zijn taken, de in dit besluit vastgestelde regels toepassen teneinde de door het Bureau verrichte verwerkingen te beschermen. In dergelijke gevallen moeten de betrokken diensten van de Commissie en uitvoerende agentschappen het Bureau derhalve raadplegen over de relevante gronden voor de beperkingen en de noodzaak en de evenredigheid daarvan, teneinde een coherente toepassing ervan te verzekeren.

(18)

Het Bureau en, in voorkomend geval, de diensten van de Commissie en de uitvoerende agentschappen moeten alle beperkingen op transparante wijze behandelen en elke toepassing van beperkingen registreren in het desbetreffende registratiesysteem.

(19)

Krachtens artikel 25, lid 8, van Verordening (EU) 2018/1725 kunnen de verwerkingsverantwoordelijken het aan de betrokkene verstrekken van informatie over de redenen voor de toepassing van een beperking uitstellen of achterwege laten indien het verstrekken van die informatie het doel van de beperking op welke wijze dan ook in het gedrang zou brengen. Met name wanneer een beperking van de in de artikelen 16 en 35 verankerde rechten wordt toegepast, kan de kennisgeving daarvan het doel van de beperking in het gedrang brengen. Om ervoor te zorgen dat het recht van de betrokkene om te worden geïnformeerd overeenkomstig de artikelen 16 en 38 van Verordening (EU) 2018/1725 slechts wordt beperkt zolang de redenen voor het uitstel blijven bestaan, moet het Bureau zijn standpunt regelmatig herzien.

(20)

Worden andere rechten van betrokkenen beperkt, dan moet de verwerkingsverantwoordelijke per geval beoordelen of de mededeling van de beperking het doel ervan in gevaar zou brengen.

(21)

De functionaris voor gegevensbescherming van het Bureau en, in voorkomend geval, de functionaris voor gegevensbescherming van de Commissie of van het betrokken uitvoerend agentschap moet ook een onafhankelijke evaluatie van de toepassing van beperkingen verrichten met het oog op de naleving van dit besluit.

(22)

Verordening (EU) 2018/1725 vervangt Verordening (EG) nr. 45/2001, zonder overgangsperiode, vanaf de datum waarop zij in werking treedt. De mogelijkheid om beperkingen op bepaalde rechten toe te passen, is vastgesteld in Verordening (EG) nr. 45/2001. Om te voorkomen dat het doel van de onder de bevoegdheid van het Bureau vallende onderzoeken in het gedrang komt en dat afbreuk wordt gedaan aan de rechten en vrijheden van andere betrokkenen, moet dit besluit van toepassing zijn vanaf de datum van inwerkingtreding van Verordening (EU) 2018/1725.

(23)

De Europese Toezichthouder voor gegevensbescherming is geraadpleegd op 23 november 2018.