# Jornal Oficial L 65I/2019

| | ISSN 1977-0774 |
| --- | --- |
| Jornal Oficial
  da União Europeia | L 065I |
| | |
| Edição em língua portuguesa | Legislação | 62.° ano6 de março de 2019 |

ISSN 1977-0774

Jornal Oficial

da União Europeia

L 065I

Edição em língua portuguesa

Legislação

62.° ano6 de março de 2019

---

| Índice | | II   Atos não legislativos | Página |
| --- | --- | --- | --- |
| | | REGULAMENTOS INTERNOS E DE PROCESSO |
| | | Banco Europeu de Investimento |
| | * | Decisão do Banco Europeu de Investimento, de 6 de fevereiro de 2019, que estabelece as normas internas para o tratamento dos dados pessoais pela Divisão de Investigação de Fraudes da Inspeção-Geral e pelo Gabinete do Chefe de Conformidade do Banco Europeu de Investimento no que respeita à comunicação de informações aos titulares de dados e à limitação de alguns dos seus direitos | 1 |

Índice

II   Atos não legislativos

Página

REGULAMENTOS INTERNOS E DE PROCESSO

Banco Europeu de Investimento

*

Decisão do Banco Europeu de Investimento, de 6 de fevereiro de 2019, que estabelece as normas internas para o tratamento dos dados pessoais pela Divisão de Investigação de Fraudes da Inspeção-Geral e pelo Gabinete do Chefe de Conformidade do Banco Europeu de Investimento no que respeita à comunicação de informações aos titulares de dados e à limitação de alguns dos seus direitos

1

| PT | Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.
  Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes. |
| --- | --- |

PT

Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.

Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes.

---

II Atos não legislativos

REGULAMENTOS INTERNOS E DE PROCESSO

Banco Europeu de Investimento

| 6.3.2019 | PT | Jornal Oficial da União Europeia | LI 65/1 |
| --- | --- | --- | --- |

6.3.2019

PT

Jornal Oficial da União Europeia

LI 65/1

---

DECISÃO DO BANCO EUROPEU DE INVESTIMENTO

de 6 de fevereiro de 2019

que estabelece as normas internas para o tratamento dos dados pessoais pela Divisão de Investigação de Fraudes da Inspeção-Geral e pelo Gabinete do Chefe de Conformidade do Banco Europeu de Investimento no que respeita à comunicação de informações aos titulares de dados e à limitação de alguns dos seus direitos

O BANCO EUROPEU DE INVESTIMENTO (BEI),

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 309.o,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1),

Tendo em conta os pareceres da Autoridade Europeia para a Proteção de Dados (2),

Considerando o seguinte:

| (1) | Nos termos da Política Antifraude do BEI (3) e da Carta da Divisão de Investigação de Fraudes do BEI (4), a Divisão de Investigação de Fraudes da Inspeção-Geral do BEI (IG/IN) tem o mandato de investigar casos de alegada fraude, corrupção, conluio, coerção, obstrução, branqueamento de capitais e financiamento do terrorismo («condutas proibidas») no âmbito de todas as atividades do BEI. A IG/IN está mandatada para investigar i) membros dos órgãos de direção, pessoal e consultores do BEI, ii) partes envolvidas em projetos do BEI, iii) partes envolvidas na contratação pública do BEI, e iv) partes envolvidas nas atividades de captação de fundos e de tesouraria do BEI. O mandato da IG/IN inclui ainda a realização de análises proativas de integridade em áreas de risco acrescido, com o objetivo de melhorar a eficácia e eficiência das operações e atividades do BEI. |
| --- | --- |

(1)

Nos termos da Política Antifraude do BEI (3) e da Carta da Divisão de Investigação de Fraudes do BEI (4), a Divisão de Investigação de Fraudes da Inspeção-Geral do BEI (IG/IN) tem o mandato de investigar casos de alegada fraude, corrupção, conluio, coerção, obstrução, branqueamento de capitais e financiamento do terrorismo («condutas proibidas») no âmbito de todas as atividades do BEI. A IG/IN está mandatada para investigar i) membros dos órgãos de direção, pessoal e consultores do BEI, ii) partes envolvidas em projetos do BEI, iii) partes envolvidas na contratação pública do BEI, e iv) partes envolvidas nas atividades de captação de fundos e de tesouraria do BEI. O mandato da IG/IN inclui ainda a realização de análises proativas de integridade em áreas de risco acrescido, com o objetivo de melhorar a eficácia e eficiência das operações e atividades do BEI.

| (2) | Nos termos do Código de Conduta do Pessoal do Banco Europeu de Investimento (5) e da Política de Deteção e Denúncia de Fraudes (6), com a redação que lhes foi dada pelas sucessivas alterações e aditamentos, os membros do pessoal do BEI têm o dever de comunicar qualquer caso de incumprimento das obrigações profissionais, incluindo atividades ilegais, condutas proibidas e/ou violações dos regulamentos, normas, políticas ou orientações do Grupo BEI, incluindo o Código de Conduta, aos serviços competentes, consoante a natureza do incumprimento, ou seja, ao Gabinete do Chefe de Conformidade do BEI (OCCO) e à Inspeção-Geral do BEI (IG). |
| --- | --- |

(2)

Nos termos do Código de Conduta do Pessoal do Banco Europeu de Investimento (5) e da Política de Deteção e Denúncia de Fraudes (6), com a redação que lhes foi dada pelas sucessivas alterações e aditamentos, os membros do pessoal do BEI têm o dever de comunicar qualquer caso de incumprimento das obrigações profissionais, incluindo atividades ilegais, condutas proibidas e/ou violações dos regulamentos, normas, políticas ou orientações do Grupo BEI, incluindo o Código de Conduta, aos serviços competentes, consoante a natureza do incumprimento, ou seja, ao Gabinete do Chefe de Conformidade do BEI (OCCO) e à Inspeção-Geral do BEI (IG).

| (3) | Nos termos do mandato do Chefe de Conformidade do Grupo BEI («Mandato do GCCO») e da Carta de Integridade e Conformidade (7), compete ao Chefe de Conformidade do Grupo BEI identificar, avaliar, aconselhar, monitorizar e prestar informações sobre o risco de conformidade do Grupo BEI, ou seja, o risco de um membro do Grupo BEI sofrer sanções legais ou regulamentares, perdas financeiras ou perda de reputação em consequência do incumprimento de leis, regulamentos, códigos de conduta e normas de boas práticas aplicáveis. Em conformidade com o seu mandato, o GCCO realiza os inquéritos administrativos necessários sobre eventuais casos de incumprimento, por parte de membros do pessoal, dos Códigos de Conduta do Grupo BEI. O pessoal do Grupo BEI tem o dever de cooperar na realização de tais inquéritos administrativos, seguindo as instruções do Chefe de Conformidade do Grupo BEI. |
| --- | --- |

(3)

Nos termos do mandato do Chefe de Conformidade do Grupo BEI («Mandato do GCCO») e da Carta de Integridade e Conformidade (7), compete ao Chefe de Conformidade do Grupo BEI identificar, avaliar, aconselhar, monitorizar e prestar informações sobre o risco de conformidade do Grupo BEI, ou seja, o risco de um membro do Grupo BEI sofrer sanções legais ou regulamentares, perdas financeiras ou perda de reputação em consequência do incumprimento de leis, regulamentos, códigos de conduta e normas de boas práticas aplicáveis. Em conformidade com o seu mandato, o GCCO realiza os inquéritos administrativos necessários sobre eventuais casos de incumprimento, por parte de membros do pessoal, dos Códigos de Conduta do Grupo BEI. O pessoal do Grupo BEI tem o dever de cooperar na realização de tais inquéritos administrativos, seguindo as instruções do Chefe de Conformidade do Grupo BEI.

| (4) | No exercício das suas funções, a IG/IN e o OCCO são obrigados a respeitar os direitos das pessoas singulares em matéria de tratamento de dados pessoais, reconhecidos no artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia e no artigo 16.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia, bem como em atos normativos adotados com base nessas disposições. Ao mesmo tempo, a IG/IN e o OCCO devem cumprir as normas estritas de confidencialidade e sigilo profissional enunciadas no Regulamento de Pessoal do BEI e no Código de Conduta do Pessoal do BEI, e garantir o respeito dos direitos processuais das pessoas em causa e das testemunhas, em especial o direito das pessoas em causa a um processo equitativo e à presunção de inocência. |
| --- | --- |

(4)

No exercício das suas funções, a IG/IN e o OCCO são obrigados a respeitar os direitos das pessoas singulares em matéria de tratamento de dados pessoais, reconhecidos no artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia e no artigo 16.o, n.o 1, do Tratado sobre o Funcionamento da União Europeia, bem como em atos normativos adotados com base nessas disposições. Ao mesmo tempo, a IG/IN e o OCCO devem cumprir as normas estritas de confidencialidade e sigilo profissional enunciadas no Regulamento de Pessoal do BEI e no Código de Conduta do Pessoal do BEI, e garantir o respeito dos direitos processuais das pessoas em causa e das testemunhas, em especial o direito das pessoas em causa a um processo equitativo e à presunção de inocência.

| (5) | Em determinadas circunstâncias, é necessário conciliar os direitos dos titulares dos dados, protegidos nos termos do Regulamento (UE) 2018/1725 («regulamento»), com as finalidades e necessidades inerentes às atribuições respetivas da IG/IN e do OCCO, bem como com o pleno respeito dos direitos e liberdades fundamentais de outros titulares dos dados. Para o efeito, o artigo 25.o do regulamento confere à IG/IN e ao OCCO a possibilidade de limitar, em conformidade com os respetivos mandatos, a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 22.o. Para esse efeito, é necessário adotar normas internas ao abrigo das quais o responsável pelo tratamento dos dados pertinente possa limitar os direitos dos titulares dos dados, em conformidade com o artigo 25.o do regulamento. |
| --- | --- |

(5)

Em determinadas circunstâncias, é necessário conciliar os direitos dos titulares dos dados, protegidos nos termos do Regulamento (UE) 2018/1725 («regulamento»), com as finalidades e necessidades inerentes às atribuições respetivas da IG/IN e do OCCO, bem como com o pleno respeito dos direitos e liberdades fundamentais de outros titulares dos dados. Para o efeito, o artigo 25.o do regulamento confere à IG/IN e ao OCCO a possibilidade de limitar, em conformidade com os respetivos mandatos, a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 22.o. Para esse efeito, é necessário adotar normas internas ao abrigo das quais o responsável pelo tratamento dos dados pertinente possa limitar os direitos dos titulares dos dados, em conformidade com o artigo 25.o do regulamento.

| (6) | As normas internas devem aplicar-se a todas as operações de tratamento realizadas pela IG/IN e pelo OCCO no exercício dos respetivos mandatos, consagrados, respetivamente, na Política Antifraude do BEI, na Carta da Divisão de Investigação de Fraudes do BEI, na Carta de Integridade e de Conformidade e no Mandato do GCCO, ao longo de todo o processo. |
| --- | --- |

(6)

As normas internas devem aplicar-se a todas as operações de tratamento realizadas pela IG/IN e pelo OCCO no exercício dos respetivos mandatos, consagrados, respetivamente, na Política Antifraude do BEI, na Carta da Divisão de Investigação de Fraudes do BEI, na Carta de Integridade e de Conformidade e no Mandato do GCCO, ao longo de todo o processo.

| (7) | A fim de dar cumprimento aos artigos 14.o, 15.o e 16.o do regulamento, o responsável pelo tratamento dos dados deve informar todas as pessoas singulares acerca das suas atividades que envolvam o tratamento dos seus dados pessoais e dos seus direitos, de modo transparente e coerente, sob a forma de avisos sobre a proteção de dados publicados no sítio Web do BEI e na Intranet do BEI, bem como informar individualmente os titulares dos dados — pessoas em causa, testemunhas e informadores — relevantes para as suas atividades. |
| --- | --- |

(7)

A fim de dar cumprimento aos artigos 14.o, 15.o e 16.o do regulamento, o responsável pelo tratamento dos dados deve informar todas as pessoas singulares acerca das suas atividades que envolvam o tratamento dos seus dados pessoais e dos seus direitos, de modo transparente e coerente, sob a forma de avisos sobre a proteção de dados publicados no sítio Web do BEI e na Intranet do BEI, bem como informar individualmente os titulares dos dados — pessoas em causa, testemunhas e informadores — relevantes para as suas atividades.

| (8) | A IG/IN e o OCCO podem ter de invocar determinados fundamentos, referidos no artigo 25.o do regulamento, para aplicar limitações às operações de tratamento de dados efetuadas no âmbito das suas atribuições, previstas, respetivamente, na i) Política Antifraude do BEI e nos Procedimentos de Investigação para a IG/IN (8) e no ii) Mandato do GCCO para o OCCO. |
| --- | --- |

(8)

A IG/IN e o OCCO podem ter de invocar determinados fundamentos, referidos no artigo 25.o do regulamento, para aplicar limitações às operações de tratamento de dados efetuadas no âmbito das suas atribuições, previstas, respetivamente, na i) Política Antifraude do BEI e nos Procedimentos de Investigação para a IG/IN (8) e no ii) Mandato do GCCO para o OCCO.

| (9) | A comunicação entre o OLAF e o BEI processa-se em conformidade com o Acordo de Cooperação Administrativa celebrado entre o Organismo Europeu de Luta Antifraude e o Banco Europeu de Investimento, em 31 de março de 2016. |
| --- | --- |

(9)

A comunicação entre o OLAF e o BEI processa-se em conformidade com o Acordo de Cooperação Administrativa celebrado entre o Organismo Europeu de Luta Antifraude e o Banco Europeu de Investimento, em 31 de março de 2016.

| (10) | Além disso, a fim de manter uma cooperação eficaz, a IG/IN e o OCCO podem ter de aplicar limitações aos direitos dos titulares dos dados para proteger as informações que contenham dados pessoais provenientes de outros serviços do BEI, das instituições, órgãos, organismos e agências da União Europeia, de autoridades competentes dos Estados-Membros e de países terceiros, bem como de organizações internacionais. Para o efeito, a IG/IN e o OCCO devem consultar os outros serviços do BEI, instituições, órgãos, organismos, agências, autoridades e organizações internacionais em causa sobre os motivos subjacentes às limitações, bem como sobre a necessidade e proporcionalidade destas. |
| --- | --- |

(10)

Além disso, a fim de manter uma cooperação eficaz, a IG/IN e o OCCO podem ter de aplicar limitações aos direitos dos titulares dos dados para proteger as informações que contenham dados pessoais provenientes de outros serviços do BEI, das instituições, órgãos, organismos e agências da União Europeia, de autoridades competentes dos Estados-Membros e de países terceiros, bem como de organizações internacionais. Para o efeito, a IG/IN e o OCCO devem consultar os outros serviços do BEI, instituições, órgãos, organismos, agências, autoridades e organizações internacionais em causa sobre os motivos subjacentes às limitações, bem como sobre a necessidade e proporcionalidade destas.

| (11) | A IG/IN e o OCCO devem tratar todas as limitações de forma transparente e introduzir os pedidos de limitação no sistema de registo correspondente. |
| --- | --- |

(11)

A IG/IN e o OCCO devem tratar todas as limitações de forma transparente e introduzir os pedidos de limitação no sistema de registo correspondente.

| (12) | Nos termos do artigo 25.o, n.o 8, do regulamento, os responsáveis pelo tratamento podem adiar a informação ao titular dos dados sobre os motivos para a aplicação de uma limitação, ou abster-se de o fazerem, se tal comprometer de algum modo a finalidade da limitação. A notificação de tal limitação compromete a finalidade desta, em particular nos casos em que se trate da limitação dos direitos previstos nos artigos 16.o e 35.o. A fim de assegurar que o direito do titular dos dados de ser informado nos termos dos artigos 16.o e 35.o do Regulamento (UE) 2018/1725 é limitado apenas enquanto perdurarem os motivos para o adiamento da comunicação das informações, o responsável pelo tratamento dos dados em causa deve reexaminar periodicamente a sua posição. |
| --- | --- |

(12)

Nos termos do artigo 25.o, n.o 8, do regulamento, os responsáveis pelo tratamento podem adiar a informação ao titular dos dados sobre os motivos para a aplicação de uma limitação, ou abster-se de o fazerem, se tal comprometer de algum modo a finalidade da limitação. A notificação de tal limitação compromete a finalidade desta, em particular nos casos em que se trate da limitação dos direitos previstos nos artigos 16.o e 35.o. A fim de assegurar que o direito do titular dos dados de ser informado nos termos dos artigos 16.o e 35.o do Regulamento (UE) 2018/1725 é limitado apenas enquanto perdurarem os motivos para o adiamento da comunicação das informações, o responsável pelo tratamento dos dados em causa deve reexaminar periodicamente a sua posição.

| (13) | Sempre que seja aplicada uma limitação dos direitos de outros titulares dos dados, incumbe ao responsável pelo tratamento verificar, caso a caso, se a comunicação da limitação pode comprometer a sua finalidade. |
| --- | --- |

(13)

Sempre que seja aplicada uma limitação dos direitos de outros titulares dos dados, incumbe ao responsável pelo tratamento verificar, caso a caso, se a comunicação da limitação pode comprometer a sua finalidade.

| (14) | O BEI designou o seu próprio encarregado da proteção de dados (EPD), em conformidade com o artigo 24.o do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (9). |
| --- | --- |

(14)

O BEI designou o seu próprio encarregado da proteção de dados (EPD), em conformidade com o artigo 24.o do Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho (9).

| (15) | O EPD pode proceder a uma análise independente da aplicação das limitações, com vista a assegurar o cumprimento da presente decisão, |
| --- | --- |

(15)

O EPD pode proceder a uma análise independente da aplicação das limitações, com vista a assegurar o cumprimento da presente decisão,

ADOTOU A PRESENTE DECISÃO:

CAPÍTULO I

DIVISÃO DE INVESTIGAÇÃO DE FRAUDES DA INSPEÇÃO-GERAL

Artigo 1.o

Objeto e âmbito de aplicação

1.   O presente capítulo estabelece as normas a cumprir pelo responsável pelo tratamento dos dados pertinente, tal como previsto no artigo 2.o, n.o 1, da presente decisão, ao informar os titulares dos dados sobre o tratamento dos dados que lhes digam respeito, em conformidade com os artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725.

Estabelece igualmente as condições em que o responsável pelo tratamento dos dados pode limitar a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o do regulamento, em conformidade com o artigo 25.o do mesmo regulamento.

2.   O presente capítulo aplica-se ao tratamento de dados pessoais por parte da IG/IN, no âmbito das atividades realizadas com o objetivo de desempenhar as funções a que se referem a Política Antifraude do BEI e a Carta da Divisão de Investigação de Fraudes do BEI.

3.   No quadro do seu mandato, a IG/IN trata várias categorias de dados pessoais, nomeadamente dados de identificação, dados de contacto, dados profissionais e dados de envolvimento em casos.

Artigo 2.o

Especificação do responsável pelo tratamento e garantias

1.   O responsável pelas operações de tratamento é o chefe da Divisão IG/IN.

2.   Os dados pessoais são armazenados num ambiente eletrónico e físico seguro, que impede o acesso e a transferência ilegais dos dados por parte de, ou para pessoas que não têm necessidade de os conhecer.

3.   Os dados pessoais tratados são conservados durante, pelo menos, cinco anos e, no máximo, dez anos após o encerramento da investigação. Os dados relacionados com processos não fundamentados serão conservados por um período máximo de cinco anos.

4.   Em casos excecionais e devidamente justificados, poderão aplicar-se períodos mais longos do que os acima especificados, sujeitos ao acordo do EPD.

Artigo 3.o

Exceções e limitações aplicáveis

1.   Sempre que a IG/IN exercer as suas funções no que diz respeito aos direitos dos titulares dos dados nos termos do regulamento, deve verificar se se aplicam quaisquer exceções previstas nesse regulamento.

2.   Sob reserva do disposto nos artigos 4.o a 7.o da presente decisão, a IG/IN pode limitar a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o do regulamento, na medida em que as disposições deste artigo correspondam aos direitos e às obrigações previstos nos artigos 14.o a 22.o do regulamento, nos casos em que o exercício desses direitos e obrigações possa comprometer a finalidade das investigações e de outras atividades da IG/IN, ao revelar, por exemplo, os seus instrumentos e métodos de investigação, ou prejudicar os direitos e as liberdades de outros titulares dos dados.

3.   Sob reserva do disposto nos artigos 4.o a 7.o da presente decisão, a IG/IN pode limitar os direitos e as obrigações referidos no n.o 2 do presente artigo relativamente a dados pessoais provenientes de outro(s) serviço(s) do BEI, do OLAF ou de outras instituições, órgãos, agências e serviços da União Europeia, de autoridades competentes dos Estados-Membros ou de países terceiros, ou de organizações internacionais, nas seguintes circunstâncias:

| a) | Caso o exercício desses direitos e obrigações possa ser limitado por outro(s) serviço(s) do BEI, pelo OLAF ou por outras instituições, órgãos, agências e serviços da União Europeia com base noutros atos previstos no artigo 25.o do regulamento, ou em conformidade com o capítulo IX desse regulamento; |
| --- | --- |

a)

Caso o exercício desses direitos e obrigações possa ser limitado por outro(s) serviço(s) do BEI, pelo OLAF ou por outras instituições, órgãos, agências e serviços da União Europeia com base noutros atos previstos no artigo 25.o do regulamento, ou em conformidade com o capítulo IX desse regulamento;

| b) | Caso o exercício desses direitos e obrigações possa ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (10), ou ao abrigo de medidas nacionais de transposição dos artigos 13.o, n.o 3, 15.o, n.o 3, ou 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (11); |
| --- | --- |

b)

Caso o exercício desses direitos e obrigações possa ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (10), ou ao abrigo de medidas nacionais de transposição dos artigos 13.o, n.o 3, 15.o, n.o 3, ou 16.o, n.o 3, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (11);

| c) | Caso o exercício desses direitos e obrigações possa pôr em causa a cooperação da IG/IN com países terceiros ou organizações internacionais no exercício das suas funções. |
| --- | --- |

c)

Caso o exercício desses direitos e obrigações possa pôr em causa a cooperação da IG/IN com países terceiros ou organizações internacionais no exercício das suas funções.

Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do primeiro parágrafo, a IG/IN deve consultar o(s) serviço(s) competente(s) do BEI, o OLAF, as outras instituições, órgãos, agências e serviços da União Europeia ou as autoridades competentes dos Estados-Membros, a menos que seja claro para a IG/IN que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas.

A alínea c) do primeiro parágrafo não se aplica se os interesses ou direitos e liberdades fundamentais dos titulares dos dados prevalecerem sobre o interesse da União Europeia em cooperar com países terceiros ou com organizações internacionais.

Artigo 4.o

Comunicação de informações aos titulares dos dados

1.   A IG/IN deve publicar no sítio Web do BEI avisos sobre a proteção de dados, a fim de informar todos os titulares dos dados acerca das suas atividades que envolvam o tratamento dos dados pessoais destes.

2.   A IG/IN deve informar individualmente todos os titulares dos dados que considere serem pessoas interessadas, testemunhas ou informadores, na aceção da Política Antifraude do BEI e dos Procedimentos de Investigação.

3.   Se a IG/IN limitar, no todo ou em parte, a comunicação da informação aos titulares dos dados referidos no n.o 2, deve documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação.

Para o efeito, a documentação deve indicar de que forma a comunicação da informação pode comprometer a finalidade das atividades de investigação da IG/IN ou das limitações aplicadas nos termos do artigo 3.o, n.o 3, ou prejudicaria os direitos e as liberdades de outros titulares dos dados.

A documentação e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. Devem ser colocados à disposição da Autoridade Europeia para a Proteção de Dados (AEPD), a pedido desta.

4.   A limitação referida no n.o 3 continuará a aplicar-se enquanto se mantiverem os motivos que a justificam.

Se os motivos da limitação cessarem, a IG/IN deve comunicar as informações em causa e os motivos da limitação ao titular dos dados. Simultaneamente, a IG/IN deve informar o titular dos dados da possibilidade de apresentar, a todo o tempo, uma reclamação à AEPD ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia.

A IG/IN deve reexaminar a aplicação da limitação, pelo menos uma vez por semestre a contar da sua adoção e por ocasião do encerramento da sua investigação. Seguidamente, o responsável pelo tratamento deve verificar anualmente a necessidade de se manter qualquer limitação.

Artigo 5.o

Direito de acesso do titular dos dados

1.   Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no contexto de um ou mais casos específicos ou de uma determinada operação de tratamento, em conformidade com o artigo 17.o do regulamento, a IG/IN deve restringir a sua apreciação do pedido a esses dados pessoais.

2.   Se a IG/IN limitar, no todo ou em parte, o direito de acesso previsto no artigo 17.o do regulamento, deve tomar as seguintes medidas:

| a) | Informar o titular dos dados em causa, na sua resposta ao pedido, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à AEPD ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia; |
| --- | --- |

a)

Informar o titular dos dados em causa, na sua resposta ao pedido, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à AEPD ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia;

| b) | Documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação. Para o efeito, a documentação deve indicar de que forma a comunicação da informação comprometeria a finalidade das atividades da IG/IN ou as limitações aplicadas nos termos do artigo 3.o, n.o 3, ou prejudicaria os direitos e as liberdades de outros titulares dos dados. |
| --- | --- |

b)

Documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação. Para o efeito, a documentação deve indicar de que forma a comunicação da informação comprometeria a finalidade das atividades da IG/IN ou as limitações aplicadas nos termos do artigo 3.o, n.o 3, ou prejudicaria os direitos e as liberdades de outros titulares dos dados.

A comunicação das informações a que se refere a alínea a) pode ser adiada, omitida ou recusada, em conformidade com o artigo 25.o, n.o 8, do regulamento.

3.   A documentação referida no n.o 2, primeiro parágrafo, alínea b), e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. Devem ser colocados à disposição da AEPD, a pedido desta. Aplica-se o artigo 25.o, n.o 7, do Regulamento (UE) 2018/1725.

Artigo 6.o

Direito de retificação, apagamento e limitação do tratamento

Sempre que a IG/IN limitar, no todo ou em parte, o exercício do direito de retificação, do direito ao apagamento dos dados ou do direito à limitação do tratamento, a que se referem os artigos 18.o, 19.o, n.o 1, e 20.o, n.o 1, do Regulamento (UE) 2018/1725, deve tomar as medidas indicadas no artigo 5.o, n.o 2, da presente decisão e registar a documentação em conformidade com o artigo 5.o, n.o 3.

o

o

o

o

o

o

o

o

o

Artigo 7.o

Comunicação de uma violação de dados pessoais ao titular dos dados

Sempre que a IG/IN limitar a comunicação de uma violação de dados pessoais ao titular dos dados, nos termos do artigo 35.o do regulamento, deve documentar e registar os motivos da limitação, em conformidade com o artigo 4.o, n.o 3, da presente decisão. Aplica-se o artigo 4.o, n.o 4, da presente decisão.

o

o

o

o

o

Artigo 8.o

Reexame pelo encarregado da proteção de dados

A IG/IN deve informar o EPD, sem demora injustificada, sempre que os direitos dos titulares dos dados forem limitados em conformidade com a presente decisão, e conceder-lhe acesso à documentação e à avaliação da necessidade e da proporcionalidade dessa limitação.

O EPD pode solicitar à IG/IN, por escrito, o reexame da limitação aplicada. A IG/IN deverá informar o EPD por escrito do resultado do reexame solicitado.

CAPÍTULO II

GABINETE DO CHEFE DE CONFORMIDADE DO GRUPO BEI

Artigo 9.o

Objeto e âmbito de aplicação

1.   O presente capítulo estabelece as normas a cumprir pelo OCCO ao informar os titulares dos dados sobre o tratamento destes, em conformidade com os artigos 14.o, 15.o e 16.o do Regulamento (UE) 2018/1725.

Estabelece igualmente as condições em que o OCCO pode limitar a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o do Regulamento (UE) 2018/1725, em conformidade com o artigo 25.o do mesmo regulamento.

2.   O presente capítulo aplica-se ao tratamento de dados pessoais, por parte do OCCO, no âmbito das atividades realizadas com o objetivo de desempenhar as funções previstas no Mandato do GCCO, na Carta de Integridade e de Conformidade e noutras políticas e normas internas.

3.   No âmbito das suas atividades, o OCCO trata várias categorias de dados pessoais, nomeadamente dados de identificação, dados de contacto, dados profissionais e dados de envolvimento em casos.

Artigo 10.o

Especificação do responsável pelo tratamento e garantias

1.   O GCCO atua como responsável pelo tratamento dos dados.

2.   Os dados pessoais são armazenados num ambiente eletrónico e físico seguro, que impede o acesso e a transferência ilegais dos dados por parte de, e para pessoas que não têm necessidade de os conhecer.

3.   Os dados pessoais tratados pelo OCCO são conservados durante, pelo menos, seis meses após o caso ter sido julgado improcedente e, no máximo, durante cinco anos após o encerramento do inquérito administrativo.

4.   Em casos excecionais e devidamente justificados, poderão aplicar-se períodos mais longos do que os acima especificados, sujeitos ao acordo do EPD.

Artigo 11.o

Exceções e limitações aplicáveis

1.   Sempre que o OCCO exercer as suas funções no que diz respeito aos direitos dos titulares dos dados nos termos do Regulamento (UE) 2018/1725, deve verificar se se aplica alguma das exceções previstas nesse regulamento.

2.   Sob reserva do disposto nos artigos 12.o a 15.o da presente decisão, o OCCO pode limitar a aplicação dos artigos 14.o a 22.o, dos artigos 35.o e 36.o, e do artigo 4.o do Regulamento (UE) 2018/1725, na medida em que as suas disposições correspondam aos direitos e às obrigações previstos nos artigos 14.o a 22.o do Regulamento (UE) 2018/1725, nos casos em que o exercício desses direitos e obrigações possa comprometer a finalidade dos inquéritos administrativos e de outras atividades do OCCO, ao revelar, por exemplo, os seus instrumentos e métodos de inquérito administrativo, ou prejudicar os direitos e as liberdades de outros titulares dos dados.

3.   Sob reserva do disposto nos artigos 12.o a 15.o da presente decisão, o OCCO pode limitar os direitos e as obrigações referidos no n.o 2 do presente artigo relativamente aos dados pessoais provenientes de outro(s) serviço(s) do BEI, de instituições, órgãos, agências e serviços da União Europeia, de autoridades competentes dos Estados-Membros ou de países terceiros, ou de organizações internacionais, nas seguintes circunstâncias:

| a) | Caso o exercício desses direitos e obrigações possa ser limitado por outro(s) serviço(s) do BEI, instituições, órgãos, agências e serviços da União Europeia com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725, ou em conformidade com o capítulo IX desse regulamento; |
| --- | --- |

a)

Caso o exercício desses direitos e obrigações possa ser limitado por outro(s) serviço(s) do BEI, instituições, órgãos, agências e serviços da União Europeia com base noutros atos previstos no artigo 25.o do Regulamento (UE) 2018/1725, ou em conformidade com o capítulo IX desse regulamento;

| b) | Caso o exercício desses direitos e obrigações possa ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679, ou ao abrigo de medidas nacionais de transposição dos artigos 13.o, n.o 3, 15.o, n.o 3, ou 16.o, n.o 3, da Diretiva (UE) 2016/680; |
| --- | --- |

b)

Caso o exercício desses direitos e obrigações possa ser limitado pelas autoridades competentes dos Estados-Membros com base nos atos referidos no artigo 23.o do Regulamento (UE) 2016/679, ou ao abrigo de medidas nacionais de transposição dos artigos 13.o, n.o 3, 15.o, n.o 3, ou 16.o, n.o 3, da Diretiva (UE) 2016/680;

| c) | Caso o exercício desses direitos e obrigações possa pôr em causa a cooperação do OCCO com países terceiros ou organizações internacionais no exercício das suas funções. |
| --- | --- |

c)

Caso o exercício desses direitos e obrigações possa pôr em causa a cooperação do OCCO com países terceiros ou organizações internacionais no exercício das suas funções.

Antes de aplicar limitações nas circunstâncias referidas nas alíneas a) e b) do primeiro parágrafo, o OCCO deve consultar o(s) serviço(s) competente(s) do BEI, as instituições, órgãos, agências e serviços da União Europeia ou as autoridades competentes dos Estados-Membros, a menos que seja claro para o OCCO que a aplicação de uma limitação está prevista num dos atos referidos nessas alíneas.

A alínea c) do primeiro parágrafo não se aplica se os interesses ou direitos e liberdades fundamentais dos titulares dos dados prevalecerem sobre o interesse da União Europeia em cooperar com países terceiros ou com organizações internacionais.

Artigo 12.o

Comunicação de informações aos titulares dos dados

1.   O OCCO deve publicar na Intranet do BEI avisos sobre a proteção de dados, a fim de informar todos os titulares dos dados acerca das suas atividades que envolvam o tratamento dos dados pessoais destes.

2.   O OCCO deve informar individualmente todos os titulares dos dados que considere serem pessoas interessadas, testemunhas e informadores.

3.   Se o OCCO limitar, no todo ou em parte, a comunicação da informação aos titulares dos dados referidos no n.o 2, deve documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação.

Para o efeito, a documentação deve indicar de que forma a comunicação da informação pode comprometer a finalidade dos inquéritos administrativos ou de outras atividades do OCCO ou das limitações aplicadas nos termos do artigo 11.o, n.o 3, ou prejudicar os direitos e as liberdades de outros titulares dos dados.

A documentação e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. Devem ser colocados à disposição da AEPD, a pedido desta.

4.   A limitação referida no n.o 3 continuará a aplicar-se enquanto se mantiverem os motivos que a justificam.

Se os motivos da limitação cessarem, o OCCO deve comunicar as informações em causa e os motivos da limitação ao titular dos dados. Simultaneamente, o OCCO deve informar o titular dos dados da possibilidade de apresentar, a todo o tempo, uma reclamação à AEPD ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia.

O OCCO deve reexaminar a aplicação da limitação, pelo menos, uma vez por semestre a contar da sua adoção e por ocasião do encerramento do seu inquérito administrativo. Seguidamente, o responsável pelo tratamento deve verificar anualmente a necessidade de se manter qualquer limitação.

Artigo 13.o

Direito de acesso do titular dos dados

1.   Sempre que os titulares dos dados solicitarem o acesso aos seus dados pessoais tratados no contexto de um ou mais casos específicos ou de uma determinada operação de tratamento, em conformidade com o artigo 17.o do Regulamento (UE) 2018/1725, o OCCO deve restringir a sua apreciação do pedido a esses dados pessoais.

2.   Se o OCCO limitar, no todo ou em parte, o direito de acesso previsto no artigo 17.o do Regulamento (UE) 2018/1725, deve tomar as seguintes medidas:

| a) | Informar o titular dos dados pertinente, na sua resposta ao pedido, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à AEPD ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia; |
| --- | --- |

a)

Informar o titular dos dados pertinente, na sua resposta ao pedido, da limitação aplicada e dos principais motivos para tal, bem como da possibilidade de apresentar uma reclamação à AEPD ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia;

| b) | Documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação. Para o efeito, a documentação deve indicar de que forma a comunicação da informação pode comprometer a finalidade dos inquéritos administrativos ou de outras atividades do OCCO ou das limitações aplicadas nos termos do artigo 11.o, n.o 3, ou prejudicar os direitos e as liberdades de outros titulares dos dados. |
| --- | --- |

b)

Documentar os motivos da limitação, incluindo uma avaliação da necessidade e da proporcionalidade dessa limitação. Para o efeito, a documentação deve indicar de que forma a comunicação da informação pode comprometer a finalidade dos inquéritos administrativos ou de outras atividades do OCCO ou das limitações aplicadas nos termos do artigo 11.o, n.o 3, ou prejudicar os direitos e as liberdades de outros titulares dos dados.

A comunicação das informações a que se refere a alínea a) pode ser adiada, omitida ou recusada, em conformidade com o artigo 25.o, n.o 8, do Regulamento (UE) 2018/1725.

3.   A documentação referida no n.o 2, primeiro parágrafo, alínea b), e, se for caso disso, os documentos que contenham elementos factuais e jurídicos subjacentes devem ser registados. Devem ser colocados à disposição daAEPD, a pedido desta. Aplica-se o artigo 25.o, n.o 7, do Regulamento (UE) 2018/1725.

Artigo 14.o

Direito de retificação, apagamento e limitação do tratamento

Sempre que o OCCO limitar, no todo ou em parte, o exercício do direito de retificação, do direito ao apagamento dos dados ou do direito à limitação do tratamento, a que se referem os artigos 18.o, 19.o, n.o 1, e 20.o, n.o 1, do Regulamento (UE) 2018/1725, deve tomar as medidas indicadas no artigo 13.o, n.o 2, da presente decisão e registar a documentação em conformidade com o artigo 13.o, n.o 3.

o

o

o

o

o

o

o

o

o

Artigo 15.o

Comunicação de uma violação de dados pessoais ao titular dos dados

Sempre que o OCCO limitar a comunicação de uma violação de dados pessoais ao titular dos dados, nos termos do artigo 35.o do Regulamento (UE) 2018/1725, deve documentar e registar os motivos da limitação, em conformidade com o artigo 12.o, n.o 3, da presente decisão. Aplica-se o artigo 12.o, n.o 4, da presente decisão.

o

o

o

o

o

Artigo 16.o

Reexame pelo encarregado da proteção de dados

O OCCO deve informar o EPD, sem demora injustificada, sempre que os direitos dos titulares dos dados forem limitados em conformidade com a presente decisão, e conceder-lhe acesso à documentação e à avaliação da necessidade e da proporcionalidade dessa limitação.

O EPD pode solicitar ao responsável pelo tratamento, por escrito, o reexame da limitação aplicada. O OCCO deverá informar o EPD por escrito do resultado do reexame solicitado.

CAPÍTULO III

DISPOSIÇÕES FINAIS

Artigo 17.o

Entrada em vigor

A presente decisão foi aprovada pelo Conselho de Administração do BEI em 6 de fevereiro de 2019 e entra em vigor no dia da sua publicação na página Web do BEI.

Feito no Luxemburgo, em 6 de fevereiro de 2019.

---

(1)  
  JO L 295 de 21.11.2018, p. 39.

1

(2)  O tratamento de dados pessoais no contexto das investigações da IG/IN e dos inquéritos administrativos do OCCO foi notificado à AEPD.

2

(3)  http://www.eib.org/attachments/strategies/anti_fraud_policy_20130917_pt.pdf

3

(4)  http://www.eib.org/attachments/general/fraud_investigatons_charter_2017_en.pdf

4

(5)  http://www.eib.org/en/infocentre/publications/all/staff-code-of-conduct.htm

5

(6)  http://www.eib.org/en/infocentre/publications/all/eib-s-whistleblowing-policy.htm

6

(7)  http://www.eib.org/en/infocentre/publications/all/integrity-policy-and-compliance-charter.htm

7

(8)  http://www.eib.org/en/infocentre/publications/all/anti-fraud-procedures.htm

8

(9)  Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO L 8 de 12.1.2001, p. 1).

9

o

(10)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

10

(11)  Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de crimes ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).

11

---