(1)

Europejski Urząd ds. Zwalczania Nadużyć Finansowych („Urząd”) ustanowiono decyzją Komisji 1999/352/WE, EWWiS, Euratom (1) jako służbę Komisji. Urząd prowadzi dochodzenia w sposób w pełni niezależny.

(2)

Urząd prowadzi dochodzenia administracyjne w celu zwalczania nadużyć finansowych, korupcji i wszelkiej innej nielegalnej działalności na szkodę interesów finansowych Unii zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE, Euratom) nr 883/2013 (2). W tym celu Urząd wykonuje uprawnienia w zakresie prowadzenia dochodzeń przyznane Komisji na mocy odpowiednich unijnych aktów prawnych w państwach członkowskich, a zgodnie z obowiązującymi porozumieniami w sprawie współpracy i wzajemnej pomocy i innymi instrumentami prawnymi – w państwach trzecich i w pomieszczeniach organizacji międzynarodowych.

(3)

Urząd prowadzi również dochodzenia administracyjne w instytucjach, organach i jednostkach administracyjnych ustanowionych traktatami lub na ich podstawie. W ramach swojego mandatu dochodzeniowego Urząd gromadzi informacje na potrzeby dochodzeń, m.in. dane osobowe, z różnych źródeł – organów publicznych, podmiotów prywatnych i osób fizycznych – oraz wymienia je z instytucjami, organami i jednostkami organizacyjnymi Unii, z właściwymi organami państw członkowskich i państw trzecich, jak również z organizacjami międzynarodowymi przed dochodzeniem lub działaniami koordynacyjnymi, w ich trakcie lub po ich zakończeniu.

(4)

W ramach swojej działalności Urząd przetwarza kilka kategorii danych osobowych, w szczególności dane identyfikacyjne, dane kontaktowe, dane zawodowe i dane dotyczące udziału w sprawie. Urząd, reprezentowany przez dyrektora generalnego, działa jako administrator danych. Dane osobowe przechowywane są w zabezpieczonym środowisku elektronicznym, co zapobiega bezprawnemu dostępowi do tych danych lub przekazywaniu ich osobom, które nie są ich odbiorcami zgodnie z zasadą ograniczonego dostępu. Przetwarzane dane osobowe przechowywane są przez piętnaście lat od umorzenia sprawy lub zakończenia dochodzenia, lub zamknięcia sprawy dotyczącej koordynacji na mocy decyzji dyrektora generalnego. Po upływie okresu przechowywania informacje dotyczące sprawy, w tym dane osobowe, przekazywane są do archiwów historycznych.

(5)

W trakcie wykonywania swoich zadań Urząd zobowiązany jest przestrzegać praw osób fizycznych w odniesieniu do przetwarzania danych osobowych uznanych w art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej i w art. 16 ust. 1 Traktatu, jak również w aktach prawnych opartych na tych przepisach. Jednocześnie Urząd zobowiązany jest do przestrzegania ścisłych zasad poufności i tajemnicy zawodowej, o których mowa w art. 10 rozporządzenia (UE, Euratom) nr 883/2013, oraz poszanowania praw procesowych osób objętych dochodzeniem i świadków, o których to prawach jest mowa w art. 9 tego rozporządzenia, w szczególności prawa osób, których dotyczy zasada domniemania niewinności.

(6)

Zabezpieczone środowisko elektroniczne, w którym przechowywane są dane osobowe, jak również gwarancje proceduralne i ścisłe zasady poufności i tajemnicy zawodowej, o których mowa odpowiednio w art. 9 i 10 rozporządzenia (UE, Euratom) nr 883/2013, zapewniają wysoki poziom ochrony przed związanym z przetwarzaniem ryzykiem naruszenia praw i wolności osób, których dane dotyczą.

(7)

W pewnych okolicznościach konieczne jest pogodzenie praw osób, których dane dotyczą, określonych w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2018/1725 (3), z wymogami dochodzeń i zasadą poufności wymiany informacji z innymi właściwymi organami publicznymi, jak również z pełnym poszanowaniem podstawowych praw i wolności innych osób, których dane dotyczą. W tym celu art. 25 wspomnianego rozporządzenia stanowi, że Urząd może ograniczyć stosowanie art. 14–22, 35 i 36, a także art. 4 w zakresie, w jakim przepisy tego rozporządzenia odpowiadają prawom i obowiązkom przewidzianym w art. 14–22.

(8)

Urząd wyznaczył, na mocy art. 10 ust. 4 rozporządzenia (UE, Euratom) nr 883/2013, inspektora ochrony danych zgodnie z art. 24 rozporządzenia (WE) nr 45/2001 Parlamentu Europejskiego i Rady (4).

(9)

Aby zapewnić poufność i skuteczność prowadzonych przez Urząd dochodzeń i innych czynności operacyjnych i jednocześnie przestrzegać norm w zakresie ochrony danych osobowych na mocy rozporządzenia (UE) 2018/1725, konieczne jest przyjęcie przepisów wewnętrznych, na mocy których OLAF może ograniczyć prawa osób, których dane dotyczą, zgodnie z art. 25 tego rozporządzenia.

(10)

Zakres niniejszego aktu prawnego powinien obejmować wszystkie operacje przetwarzania przeprowadzane przez Urząd w trakcie sprawowania przez niego niezależnej funkcji dochodzeniowej. Przepisy wewnętrzne powinny mieć zastosowanie do operacji przetwarzania dokonanych przed wszczęciem dochodzenia, zarówno podczas dochodzeń wewnętrznych, jak i zewnętrznych, o których mowa w art. 3 i 4 rozporządzenia (UE, Euratom) nr 883/2013, oraz w trakcie monitorowania działań następczych w odniesieniu do wyników dochodzeń. Powinny one mieć również zastosowanie do operacji przetwarzania, które należą do czynności związanych z funkcją dochodzeniową, takich jak system zgłaszania nadużyć finansowych, analizy operacyjne, bazy danych współpracy międzynarodowej, a także operacje, które mogą zawierać dane jak w przypadku dochodzeń, np. dochodzeń podejmowanych przez inspektora ochrony danych, lub innych procesów składania skarg prowadzonych przez Urząd. Niniejszy akt prawny powinien obejmować swoim zakresem również pomoc i współpracę ze strony Urzędu na rzecz organów krajowych i organizacji międzynarodowych, wykraczające poza prowadzone przez niego dochodzenia administracyjne.

(11)

W celu zapewnienia zgodności z art. 14, 15 i 16 rozporządzenia (UE) 2018/1725 Urząd powinien informować wszystkie osoby fizyczne o swoich działaniach związanych z przetwarzaniem ich danych osobowych i o ich prawach w sposób przejrzysty i spójny w formie informacji o ochronie danych publikowanych na stronie internetowej Urzędu, jak również powinien – indywidualnie i w odpowiednim formacie – informować osoby, których dane dotyczą i które mają związek z dochodzeniem, tj. osoby zainteresowane, świadków i informatorów.

(12)

Bez uszczerbku dla stosowania wyjątków określonych w rozporządzeniu (UE) 2018/1725 Urząd może musieć ograniczyć przekazywanie informacji do osób, których dane dotyczą, oraz ograniczyć stosowanie innych praw osób, których dane dotyczą, w celu ochrony własnych dochodzeń, dochodzeń i postępowań prowadzonych przez organy publiczne państw członkowskich, narzędzi i metod dochodzeniowych, jak również praw innych osób związanych z jego dochodzeniami.

(13)

W niektórych przypadkach dostarczenie konkretnych informacji osobom, których dane dotyczą, lub ujawnienie istnienia dochodzenia może uniemożliwić lub poważnie zakłócić osiągnięcie celu operacji przetwarzania i zdolność Urzędu lub właściwych organów krajowych i instytucji, organów i jednostek organizacyjnych Unii do prowadzenia skutecznych dochodzeń w przyszłości.

(14)

Ponadto Urząd jest zobowiązany do ochrony tożsamości informatorów, w tym sygnalistów, oraz świadków, którzy nie powinni odczuwać negatywnych konsekwencji w związku z ich współpracą z Urzędem.

(15)

Z tych względów Urząd może być zmuszony do zastosowania ograniczeń z powodu przesłanek, o których mowa w art. 25 rozporządzenia (UE) 2018/1725, w odniesieniu do operacji przetwarzania danych prowadzonych w ramach zadań Urzędu określonych w art. 2 decyzji 1999/352/WE, EWWiS, Euratom.

(16)

W celu utrzymania skutecznej współpracy Urząd może być zmuszony także do stosowania ograniczeń w odniesieniu do praw osób, których dane dotyczą, do ochrony informacji zawierających dane osobowe pochodzących od służb Komisji lub innych instytucji, organów i jednostek organizacyjnych Unii, właściwych organów państw członkowskich i państw trzecich, a także od organizacji międzynarodowych. W tym celu Urząd powinien konsultować z tymi służbami, instytucjami, organami i jednostkami organizacyjnymi Unii, a także agencjami, organami państw i organizacjami międzynarodowymi istotne przesłanki zastosowania ograniczeń, konieczność ich zastosowania oraz ich proporcjonalność.

(17)

W ramach swojej funkcji dochodzeniowej Urząd często wymienia się informacjami, w tym danymi osobowymi, m.in. ze służbami Komisji i agencjami wykonawczymi wspierającymi te służby we wdrażaniu ich programów. Zgodnie z art. 25 ust. 5 rozporządzenia (UE) 2018/1725, który wymaga przyjęcia wewnętrznych przepisów na najwyższym szczeblu kierownictwa instytucji, organów, agencji i urzędów Unii, niniejsza decyzja obejmuje przetwarzanie danych osobowych zawartych w informacjach, które instytucje, organy, agencje i urzędy Unii są zobowiązane przekazywać Urzędowi. W związku z tym wszystkie służby Komisji i agencje wykonawcze, które przetwarzają dane osobowe, podlegają obowiązkowi powiadamiania Urzędu zgodnie z art. 8 ust. 1 rozporządzenia (UE, Euratom) nr 883/2013, a w przypadku gdy takie dane osobowe przetwarza Urząd w ramach wykonywania swoich zadań, zastosowanie powinny mieć przepisy określone w niniejszej decyzji w celu ochrony operacji przetwarzania przeprowadzanych przez Urząd. W takich okolicznościach zainteresowane służby Komisji i agencje wykonawcze powinny zatem skonsultować z Urzędem istotne przesłanki zastosowania ograniczeń, konieczność ich zastosowania oraz ich proporcjonalność w celu zapewnienia ich spójnego stosowania.

(18)

Urząd, a w stosownych przypadkach służby Komisji i agencje wykonawcze, powinny rozpatrywać wszystkie ograniczenia w przejrzysty sposób i rejestrować każde zastosowanie ograniczeń w odpowiednim systemie rejestracji.

(19)

Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 administratorzy danych mogą wstrzymać przekazanie osobie, której dane dotyczą, informacji o powodach zastosowania ograniczenia lub odmówić przekazania takich informacji, jeżeli mogłoby to w jakikolwiek sposób zagrozić celowi ograniczenia. W szczególności gdy stosuje się ograniczenie praw przewidzianych w art. 16 i 35, zgłoszenie takiego ograniczenia zagrażałoby celowi ograniczenia. Urząd powinien regularnie weryfikować swoje stanowisko, aby zapewnić, że prawo osoby, której dane dotyczą, do uzyskania informacji zgodnie z art. 16 i 38 rozporządzenia (UE) 2018/1725 jest ograniczone wyłącznie tak długo, jak długo zachodzą przesłanki opóźnienia przekazania tych informacji.

(20)

W przypadku ograniczenia innych praw osób, których dane dotyczą, administrator danych powinien ocenić w poszczególnych przypadkach, czy poinformowanie o ograniczeniu zagrażałoby celowi takiego ograniczenia.

(21)

Inspektor ochrony danych w Urzędzie, a w stosownych przypadkach inspektor ochrony danych w Komisji lub danej agencji wykonawczej, powinien również przeprowadzić niezależny przegląd stosowania ograniczeń w celu zapewnienia zgodności z niniejszą decyzją,

(22)

Rozporządzenie (UE) 2018/1725 zastępuje rozporządzenie (WE) nr 45/2001, bez żadnego okresu przejściowego, od dnia jego wejścia w życie. Rozporządzenie (WE) nr 45/2001 przewiduje możliwość zastosowania ograniczeń w odniesieniu do niektórych praw. Aby nie stwarzać zagrożenia dla realizacji celu dochodzeń leżących w zakresie kompetencji Urzędu i aby uniknąć negatywnego wpływu na prawa i wolności innych osób, niniejsza decyzja powinna mieć zastosowanie od dnia wejścia w życie rozporządzenia (UE) 2018/1725.

(23)

W dniu 23 listopada 2018 r. skonsultowano się z Europejskim Inspektorem Ochrony Danych,