(1)

O Organismo Europeu de Luta Antifraude («Organismo») foi instituído pela Decisão 1999/352/CE, CECA, Euratom da Comissão (1) como serviço da Comissão. O Organismo efetua inquéritos com total independência.

(2)

O Organismo efetua inquéritos administrativos destinados a combater a fraude, a corrupção e quaisquer outras atividades ilegais lesivas dos interesses financeiros da União, em conformidade com o Regulamento (UE, Euratom) n.o 883/2013 do Parlamento Europeu e do Conselho (2). Para o efeito, exerce o poder de inquérito nos Estados-Membros, atribuído à Comissão pelos atos aplicáveis da União, bem como, em países terceiros e instalações de organizações internacionais, nos termos de acordos de cooperação e de assistência mútua, ou de qualquer outro instrumento jurídico em vigor.

(3)

O Organismo efetua igualmente inquéritos administrativos nas instituições, órgãos, organismos e agências criados pelos Tratados ou com base nestes. No âmbito do seu mandato de inquérito, o Organismo recolhe informações de interesse para o inquérito, incluindo dados pessoais, provenientes de várias fontes — autoridades públicas, entidades privadas e pessoas singulares — e intercambia tais informações com as instituições, órgãos, organismos e agências da União, com as autoridades competentes dos Estados-Membros e de países terceiros, bem como com organizações internacionais, antes, durante e após as atividades de inquérito ou de coordenação.

(4)

No quadro das suas atividades, o Organismo trata várias categorias de dados pessoais, nomeadamente dados de identificação, dados de contacto, dados profissionais e dados de envolvimento em casos. O Organismo, representado pelo seu diretor-geral, atua como responsável pelo tratamento dos dados. Os dados pessoais são armazenados num ambiente eletrónico seguro, que impede a pessoas que não têm necessidade de os conhecer o acesso ilegal aos mesmos e a sua transferência ilegal. Os dados pessoais tratados são conservados por um período de quinze anos após o arquivamento do caso ou o encerramento do inquérito ou do processo de coordenação por decisão do diretor-geral. No termo do período de conservação, as informações relativas ao caso, incluindo os dados pessoais, são transferidas para os arquivos históricos.

(5)

No exercício das suas funções, o Organismo é obrigado a respeitar os direitos das pessoas singulares em relação ao tratamento de dados pessoais, reconhecidos no artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia e no artigo 16.o, n.o 1, do Tratado, bem como por atos jurídicos com base nessas disposições. Ao mesmo tempo, o Organismo deve cumprir normas estritas de confidencialidade e sigilo profissional, a que se refere o artigo 10.o do Regulamento (UE, Euratom) n.o 883/2013, e garantir o respeito dos direitos processuais das pessoas em causa e das testemunhas, a que se refere o artigo 9.o do mesmo regulamento, em especial o direito das pessoas em causa à presunção de inocência.

(6)

O ambiente eletrónico seguro em que são conservados os dados pessoais, bem como as garantias processuais e as regras estritas de confidencialidade e de sigilo profissional, referidos, respetivamente, nos artigos 9.o e 10.o do Regulamento (UE, Euratom) n.o 883/2013, garantem um elevado nível de proteção dos titulares dos dados objeto do tratamento contra os riscos para os seus direitos e liberdades.

(7)

Em determinadas circunstâncias, é necessário conciliar os direitos dos titulares de dados, protegidos nos termos do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (3), com as necessidades dos inquéritos e a confidencialidade do intercâmbio de informações com outras autoridades públicas competentes, bem como com o pleno respeito dos direitos e liberdades fundamentais de outros titulares de dados. Para o efeito, o artigo 25.o do citado regulamento confere ao Organismo a possibilidade de limitar a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o, na medida em que as disposições daquele artigo correspondam aos direitos e deveres estabelecidos nos artigos 14.o a 22.o.

(8)

O Organismo nomeia, em conformidade com o artigo 10.o, n.o 4, do Regulamento (UE, Euratom) n.o 883/2013, um responsável pela proteção dos dados, nos termos do artigo 24.o do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (4).

(9)

A fim de garantir a confidencialidade e a eficácia dos inquéritos e de outras atividades operacionais efetuados pelo Organismo no respeito das normas de proteção dos dados pessoais nos termos do Regulamento (UE) 2018/1725, é necessário adotar normas internas que rejam a limitação dos direitos dos titulares dos dados pelo Organismo, em conformidade com o artigo 25.o do mesmo regulamento.

(10)

O âmbito de aplicação do ato jurídico deve abranger todas as operações de tratamento realizadas pelo Organismo no exercício da sua função de inquérito independente. As normas devem aplicar-se às operações de tratamento realizadas antes da abertura de um inquérito, tanto interno, como externo, a que se referem os artigos 3.o e 4.o do Regulamento (UE, Euratom) n.o 883/2013, bem como à supervisão do seguimento dado aos resultados dos inquéritos. Essas normas devem aplicar-se também às operações de tratamento integradas nas atividades ligadas à função de inquérito, tais como o sistema de comunicação de fraudes, análises operacionais, bases de dados de cooperação internacional, bem como operações que possam conter dados de investigação, como, por exemplo, no tratamento de investigações realizadas pelo responsável pela proteção de dados (RPD) ou noutros processos de queixa conduzidos pelo Organismo. Devem aplicar-se ainda à assistência prestada às autoridades nacionais e organizações internacionais pelo Organismo, assim como à cooperação deste com aquelas, fora dos seus inquéritos administrativos.

(11)

A fim de dar cumprimento aos artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725, o Organismo deve informar todos as pessoas singulares das suas atividades que envolvam o tratamento dos seus dados pessoais e dos seus direitos, de forma transparente e coerente, sob a forma de avisos sobre a proteção de dados publicados no sítio Web do Organismo, bem como informar individualmente, no formato adequado, os titulares de dados – pessoas em causa, testemunhas e informadores – relevantes para o inquérito.

(12)

Sem prejuízo da aplicação das exceções previstas no Regulamento (UE) 2018/1725, o Organismo pode ter de limitar a prestação de informações aos titulares dos dados e o exercício de outros direitos dos titulares dos dados, a fim de proteger os seus próprios inquéritos, as investigações e os processos das autoridades públicas dos Estados-Membros, os instrumentos e métodos de investigação, bem como os direitos de outras pessoas relacionados com os seus inquéritos.

(13)

Em alguns casos, a prestação de informações específicas aos titulares dos dados, ou a revelação da existência de um inquérito, pode impossibilitar ou prejudicar gravemente o objetivo da operação de tratamento e a capacidade do Organismo, ou das autoridades nacionais competentes, de instituições, órgãos, organismos e agências da União para investigarem eficazmente no futuro.

(14)

Além disso, o Organismo deve proteger a identidade dos informadores, inclusivamente dos denunciantes e das testemunhas, que não devem ser afetados negativamente pela sua cooperação com o Organismo.

(15)

Por estes motivos, o Organismo pode ter de invocar determinados fundamentos, referidos no artigo 25.o do Regulamento (UE) 2018/1725, para aplicar limitações às operações de tratamento de dados efetuadas no âmbito das atribuições do Organismo, previstas no artigo 2.o da Decisão 1999/352/CE, CECA, Euratom.

(16)

Além disso, a fim de manter uma cooperação eficaz, o Organismo pode ter de aplicar limitações aos direitos dos titulares dos dados para proteger as informações que contenham dados pessoais provenientes dos serviços da Comissão ou de outras instituições, órgãos, organismos e agências da União, de autoridades competentes dos Estados-Membros e de países terceiros, bem como de organizações internacionais. Para o efeito, o Organismo deve consultar tais serviços, instituições, órgãos, organismos, agências, autoridades e organizações internacionais sobre os motivos pertinentes às limitações, bem como sobre a necessidade e a proporcionalidade destas.

(17)

No quadro da sua função de inquérito, o Organismo procede frequentemente ao intercâmbio de informações, incluindo dados pessoais, com, entre outros, serviços da Comissão e agências de execução que assistem os serviços da Comissão na execução dos seus programas. Em conformidade com do artigo 25.o, n.o 5, do Regulamento (UE) 2018/1725, por força do qual as regras internas devem ser adotadas ao mais alto nível de direção das instituições, órgãos, agências e serviços da União em causa, a presente decisão deve abranger o tratamento dos dados pessoais contidos nas informações que estes devem transmitir ao Organismo. Por conseguinte, todos os serviços da Comissão e agências de execução que tratam dados pessoais e devem informar o Organismo por força do artigo 8.o, n.o 1, do Regulamento (UE, Euratom) n.o 883/2013, e o Organismo, se esses dados pessoais forem por este tratados no exercício das suas funções, devem aplicar as normas estabelecidas pela presente decisão, para protegerem as operações de tratamento realizadas pelo Organismo. Em tais circunstâncias, os serviços da Comissão e agências de execução em causa devem consultar o Organismo sobre os motivos subjacentes às limitações, bem como sobre a necessidade e proporcionalidade destas, a fim de assegurar a sua aplicação coerente.

(18)

O Organismo e, se for caso disso, os serviços da Comissão e agências de execução, devem tratar todas as limitações de forma transparente e introduzir os pedidos de limitação no sistema de registo correspondente.

(19)

Nos termos do artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725, os responsáveis pelo tratamento podem adiar a informação ao titular dos dados sobre os motivos para a aplicação de uma limitação, ou abster-se de o fazerem, se tal comprometer de algum modo a finalidade da limitação. A notificação de tal limitação compromete a finalidade desta, em particular, nos casos em que se trate da limitação dos direitos previstos nos artigos 16.o e 35.o. A fim de assegurar que o direito do titular dos dados de ser informado nos termos dos artigos 16.o e 38.o do Regulamento (UE) 2018/1725 é limitado apenas enquanto perdurarem os motivos para o adiamento da comunicação das informações, o Organismo deve reexaminar periodicamente a sua posição.

(20)

Sempre que seja aplicada uma limitação dos direitos de outros titulares dos dados, incumbe ao responsável pelo tratamento verificar, caso a caso, se a comunicação da limitação comprometeria a sua finalidade.

(21)

O responsável pela proteção de dados do Organismo e, se for caso disso, o responsável pela proteção de dados da Comissão ou da agência de execução em causa, deve igualmente proceder a uma análise independente da aplicação das limitações, com vista a assegurar o cumprimento da presente decisão.

(22)

O Regulamento (UE) 2018/1725 substitui o Regulamento (CE) n.o 45/2001, sem qualquer período transitório, a partir da data da sua entrada em vigor. A possibilidade de se aplicarem limitações a certos direitos estava prevista no Regulamento (CE) n.o 45/2001. A fim de não comprometer o objetivo dos inquéritos no âmbito das competências do Organismo nem prejudicar os direitos e as liberdades de terceiros, a presente decisão deve ser aplicável a partir da data de entrada em vigor do Regulamento (UE) 2018/1725.

(23)

A Autoridade Europeia para a Proteção de Dados foi consultada em 23 de novembro de 2018,