# Publicatieblad L 65I/2019

| | ISSN 1977-0758 |
| --- | --- |
| Publicatieblad
  van de Europese Unie | L 065I |
| | |
| Uitgave in de Nederlandse taal | Wetgeving | 62e jaargang6 maart 2019 |

ISSN 1977-0758

Publicatieblad

van de Europese Unie

L 065I

Uitgave in de Nederlandse taal

Wetgeving

62e jaargang6 maart 2019

---

| Inhoud | | II   Niet-wetgevingshandelingen | Bladzijde |
| --- | --- | --- | --- |
| | | REGLEMENTEN VAN ORDE EN REGLEMENTEN VOOR DE PROCESVOERING |
| | | Europese Investeringsbank |
| | * | Besluit van de Europese Investeringsbank van 6 februari 2019 houdende interne voorschriften betreffende de verwerking van persoonsgegevens door de afdeling Fraudeonderzoek binnen het Inspectoraat-generaal en de dienst van het hoofd Compliance van de Europese Investeringsbank in verband met informatieverstrekking aan betrokkenen en de beperking van sommige van hun rechten | 1 |

Inhoud

II   Niet-wetgevingshandelingen

Bladzijde

REGLEMENTEN VAN ORDE EN REGLEMENTEN VOOR DE PROCESVOERING

Europese Investeringsbank

*

Besluit van de Europese Investeringsbank van 6 februari 2019 houdende interne voorschriften betreffende de verwerking van persoonsgegevens door de afdeling Fraudeonderzoek binnen het Inspectoraat-generaal en de dienst van het hoofd Compliance van de Europese Investeringsbank in verband met informatieverstrekking aan betrokkenen en de beperking van sommige van hun rechten

1

| NL | Besluiten waarvan de titels mager zijn gedrukt, zijn besluiten van dagelijks beheer die in het kader van het landbouwbeleid zijn genomen en die in het algemeen een beperkte geldigheidsduur hebben.
  Besluiten waarvan de titels vet zijn gedrukt en die worden voorafgegaan door een sterretje, zijn alle andere besluiten. |
| --- | --- |

NL

Besluiten waarvan de titels mager zijn gedrukt, zijn besluiten van dagelijks beheer die in het kader van het landbouwbeleid zijn genomen en die in het algemeen een beperkte geldigheidsduur hebben.

Besluiten waarvan de titels vet zijn gedrukt en die worden voorafgegaan door een sterretje, zijn alle andere besluiten.

---

II Niet-wetgevingshandelingen

REGLEMENTEN VAN ORDE EN REGLEMENTEN VOOR DE PROCESVOERING

Europese Investeringsbank

| 6.3.2019 | NL | Publicatieblad van de Europese Unie | LI 65/1 |
| --- | --- | --- | --- |

6.3.2019

NL

Publicatieblad van de Europese Unie

LI 65/1

---

BESLUIT VAN DE EUROPESE INVESTERINGSBANK

van 6 februari 2019

houdende interne voorschriften betreffende de verwerking van persoonsgegevens door de afdeling Fraudeonderzoek binnen het Inspectoraat-generaal en de dienst van het hoofd Compliance van de Europese Investeringsbank in verband met informatieverstrekking aan betrokkenen en de beperking van sommige van hun rechten

DE EUROPESE INVESTERINGSBANK („EIB”),

Gelet op het Verdrag betreffende de werking van de Europese Unie, en met name artikel 309,

Gelet op Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit nr. 1247/2002/EG (1),

Gelet op de adviezen van de Europese Toezichthouder voor gegevensbescherming (EDPS) (2),

Overwegende hetgeen volgt:

| (1) | Uit hoofde van het antifraudebeleid van de EIB (3) en het handvest van de afdeling Fraudeonderzoek van de EIB (4), heeft de afdeling Fraudeonderzoek van de EIB binnen het Inspectoraat-generaal („IG/IN”) het mandaat om onderzoeken te verrichten naar vermeende gevallen van fraude, corruptie, samenzwering, dwang, obstructie, het witwassen van geld en het financieren van terrorisme („verboden gedrag”) bij de activiteiten van de EIB. IG/IN heeft het mandaat om onderzoek te verrichten naar (i) bestuursleden, medewerkers en adviseurs van de EIB, (ii) partijen gerelateerd aan de projecten van de EIB, (iii) partijen gerelateerd aan de aanbestedingsactiviteiten van de EIB, en (iv) partijen gerelateerd aan de emissie- en treasury-activiteiten van de EIB. Het mandaat van IG/IN omvat eveneens het verrichten van proactieve integriteitsonderzoeken op gebieden waarbij sprake is van een verhoogd risico, met als doel het verbeteren van de doelmatigheid en efficiency van de verrichtingen en activiteiten van de EIB. |
| --- | --- |

(1)

Uit hoofde van het antifraudebeleid van de EIB (3) en het handvest van de afdeling Fraudeonderzoek van de EIB (4), heeft de afdeling Fraudeonderzoek van de EIB binnen het Inspectoraat-generaal („IG/IN”) het mandaat om onderzoeken te verrichten naar vermeende gevallen van fraude, corruptie, samenzwering, dwang, obstructie, het witwassen van geld en het financieren van terrorisme („verboden gedrag”) bij de activiteiten van de EIB. IG/IN heeft het mandaat om onderzoek te verrichten naar (i) bestuursleden, medewerkers en adviseurs van de EIB, (ii) partijen gerelateerd aan de projecten van de EIB, (iii) partijen gerelateerd aan de aanbestedingsactiviteiten van de EIB, en (iv) partijen gerelateerd aan de emissie- en treasury-activiteiten van de EIB. Het mandaat van IG/IN omvat eveneens het verrichten van proactieve integriteitsonderzoeken op gebieden waarbij sprake is van een verhoogd risico, met als doel het verbeteren van de doelmatigheid en efficiency van de verrichtingen en activiteiten van de EIB.

| (2) | Uit hoofde van de gedragscode voor medewerkers van de EIB (5) en het klokkenluidersbeleid van de EIB (6), en de bijbehorende wijzigingen en aanvullingen, hebben de medewerkers van de EIB de plicht om ieder handelen dat in strijd is met de functie-beoefening, waaronder illegale activiteiten, verboden gedrag en/of overtredingen van de reglementen, regels, beleidslijnen of richtlijnen van de EIB-Groep, inclusief de gedragsregels, te melden aan de dienst die afhankelijk van de aard van de schending daartoe bevoegd is: hetzij de dienst van het hoofd Compliance van de EIB-Groep („OCCO”) of het Inspectoraat-generaal van de EIB („IG”). |
| --- | --- |

(2)

Uit hoofde van de gedragscode voor medewerkers van de EIB (5) en het klokkenluidersbeleid van de EIB (6), en de bijbehorende wijzigingen en aanvullingen, hebben de medewerkers van de EIB de plicht om ieder handelen dat in strijd is met de functie-beoefening, waaronder illegale activiteiten, verboden gedrag en/of overtredingen van de reglementen, regels, beleidslijnen of richtlijnen van de EIB-Groep, inclusief de gedragsregels, te melden aan de dienst die afhankelijk van de aard van de schending daartoe bevoegd is: hetzij de dienst van het hoofd Compliance van de EIB-Groep („OCCO”) of het Inspectoraat-generaal van de EIB („IG”).

| (3) | Op grond van de opdrachtomschrijving van het hoofd Compliance van de EIB-Groep, alsook het Integriteitsbeleid van de EIB en het EIB-Handvest voor Compliance (7), heeft het hoofd Compliance van de EIB-Groep de opdracht om de compliance-risico's van de EIB-Groep vast te stellen, te beoordelen en te volgen, en daarover te adviseren en rapporteren. Onder compliance-risico's worden verstaan de risico's op sancties opgelegd door justitiële of toezichthoudende instanties, en de financiële en/of reputatieschade die een onderdeel van de EIB-Groep zou kunnen lijden als gevolg van het niet naleven van de geldende wet- en regelgeving, gedragscodes voor medewerkers en standaarden voor goede praktijken. In overeenstemming met zijn opdrachtomschrijving voert het hoofd Compliance van de EIB-Groep de nodige administratieve onderzoeken uit naar mogelijke schendingen van de gedragscodes van de EIB-Groep door haar medewerkers. De medewerkers van de EIB-Groep hebben de plicht om hun medewerking te verlenen aan dergelijke administratieve onderzoeken en hierbij de aanwijzingen van het hoofd Compliance van de EIB-Groep op te volgen. |
| --- | --- |

(3)

Op grond van de opdrachtomschrijving van het hoofd Compliance van de EIB-Groep, alsook het Integriteitsbeleid van de EIB en het EIB-Handvest voor Compliance (7), heeft het hoofd Compliance van de EIB-Groep de opdracht om de compliance-risico's van de EIB-Groep vast te stellen, te beoordelen en te volgen, en daarover te adviseren en rapporteren. Onder compliance-risico's worden verstaan de risico's op sancties opgelegd door justitiële of toezichthoudende instanties, en de financiële en/of reputatieschade die een onderdeel van de EIB-Groep zou kunnen lijden als gevolg van het niet naleven van de geldende wet- en regelgeving, gedragscodes voor medewerkers en standaarden voor goede praktijken. In overeenstemming met zijn opdrachtomschrijving voert het hoofd Compliance van de EIB-Groep de nodige administratieve onderzoeken uit naar mogelijke schendingen van de gedragscodes van de EIB-Groep door haar medewerkers. De medewerkers van de EIB-Groep hebben de plicht om hun medewerking te verlenen aan dergelijke administratieve onderzoeken en hierbij de aanwijzingen van het hoofd Compliance van de EIB-Groep op te volgen.

| (4) | Bij de uitvoering van hun taken zijn IG/IN en OCCO gebonden aan de eerbiediging van de rechten van natuurlijke personen in verband met de verwerking van persoonsgegevens die zijn verankerd in artikel 8, lid 1 van het Handvest van de grondrechten van de Europese Unie en artikel 16, lid 1 van het Verdrag betreffende de werking van de Europese Unie, alsook in wetgevingshandelingen die op die bepalingen gebaseerd zijn. Tevens dienen IG/IN en OCCO zich te houden aan de strikte regels voor vertrouwelijkheid en beroepsgeheim die zijn opgenomen in de regels en de gedragscode voor medewerkers van de EIB, en moeten zij de procedurele rechten van de betrokken personen en getuigen waarborgen, met name het recht van de betrokken personen op een eerlijk proces en vermoeden van onschuld. |
| --- | --- |

(4)

Bij de uitvoering van hun taken zijn IG/IN en OCCO gebonden aan de eerbiediging van de rechten van natuurlijke personen in verband met de verwerking van persoonsgegevens die zijn verankerd in artikel 8, lid 1 van het Handvest van de grondrechten van de Europese Unie en artikel 16, lid 1 van het Verdrag betreffende de werking van de Europese Unie, alsook in wetgevingshandelingen die op die bepalingen gebaseerd zijn. Tevens dienen IG/IN en OCCO zich te houden aan de strikte regels voor vertrouwelijkheid en beroepsgeheim die zijn opgenomen in de regels en de gedragscode voor medewerkers van de EIB, en moeten zij de procedurele rechten van de betrokken personen en getuigen waarborgen, met name het recht van de betrokken personen op een eerlijk proces en vermoeden van onschuld.

| (5) | In bepaalde omstandigheden moeten de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 („de Verordening”) worden afgestemd op de doelstellingen en behoeften van IG/IN en OCCO bij het uitoefenen van hun taken, alsook op de volledige eerbiediging van de fundamentele rechten en vrijheden van andere betrokkenen. Met het oog hierop voorziet artikel 25 van de Verordening in de mogelijkheid voor IG/IN en OCCO om uit hoofde van hun mandaat de toepassing te beperken van de artikelen 14 t/m 22, 35 en 36, alsook artikel 4, voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 t/m 22 voorzien. Hiertoe moeten interne regels worden vastgelegd op grond waarvan de desbetreffende verwerkingsverantwoordelijke de rechten van de betrokkenen in overeenstemming met artikel 25 van de Verordening kan beperken. |
| --- | --- |

(5)

In bepaalde omstandigheden moeten de rechten van betrokkenen uit hoofde van Verordening (EU) 2018/1725 („de Verordening”) worden afgestemd op de doelstellingen en behoeften van IG/IN en OCCO bij het uitoefenen van hun taken, alsook op de volledige eerbiediging van de fundamentele rechten en vrijheden van andere betrokkenen. Met het oog hierop voorziet artikel 25 van de Verordening in de mogelijkheid voor IG/IN en OCCO om uit hoofde van hun mandaat de toepassing te beperken van de artikelen 14 t/m 22, 35 en 36, alsook artikel 4, voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 t/m 22 voorzien. Hiertoe moeten interne regels worden vastgelegd op grond waarvan de desbetreffende verwerkingsverantwoordelijke de rechten van de betrokkenen in overeenstemming met artikel 25 van de Verordening kan beperken.

| (6) | De interne regels dienen gedurende het gehele proces te worden toegepast op alle verwerkingsactiviteiten die IG/IN en OCCO uitvoeren in het kader van hun mandaten uit hoofde van het antifraudebeleid van de EIB, het handvest van de afdeling Fraudeonderzoek van de EIB, het Integriteitsbeleid van de EIB en het EIB-Handvest voor Compliance, alsook de opdrachtomschrijving van het hoofd Compliance van de EIB-Groep. |
| --- | --- |

(6)

De interne regels dienen gedurende het gehele proces te worden toegepast op alle verwerkingsactiviteiten die IG/IN en OCCO uitvoeren in het kader van hun mandaten uit hoofde van het antifraudebeleid van de EIB, het handvest van de afdeling Fraudeonderzoek van de EIB, het Integriteitsbeleid van de EIB en het EIB-Handvest voor Compliance, alsook de opdrachtomschrijving van het hoofd Compliance van de EIB-Groep.

| (7) | Om te voldoen aan de artikelen 14, 15 en 16 van de Verordening moet de desbetreffende verwerkingsverantwoordelijke alle personen op transparante en coherente wijze informeren over zijn activiteiten waarbij hun persoonsgegevens worden verwerkt en over hun rechten via op de website van de EIB en het EIB-intranet gepubliceerde privacyverklaringen, en de voor het onderzoek relevante betrokkenen — betrokken personen, getuigen en informanten — individueel informeren. |
| --- | --- |

(7)

Om te voldoen aan de artikelen 14, 15 en 16 van de Verordening moet de desbetreffende verwerkingsverantwoordelijke alle personen op transparante en coherente wijze informeren over zijn activiteiten waarbij hun persoonsgegevens worden verwerkt en over hun rechten via op de website van de EIB en het EIB-intranet gepubliceerde privacyverklaringen, en de voor het onderzoek relevante betrokkenen — betrokken personen, getuigen en informanten — individueel informeren.

| (8) | IG/IN en OCCO moeten mogelijk bepaalde gronden aangeven voor de beperkingen als bedoeld in artikel 25 van de Verordening, wanneer het gaat om de verwerking van gegevens in het kader van hun taken ingevolge (i) het antifraudebeleid van de EIB en het reglement voor onderzoeken door IG/IN (8), en (ii) de opdrachtomschrijving van het hoofd Compliance van de EIB-Groep. |
| --- | --- |

(8)

IG/IN en OCCO moeten mogelijk bepaalde gronden aangeven voor de beperkingen als bedoeld in artikel 25 van de Verordening, wanneer het gaat om de verwerking van gegevens in het kader van hun taken ingevolge (i) het antifraudebeleid van de EIB en het reglement voor onderzoeken door IG/IN (8), en (ii) de opdrachtomschrijving van het hoofd Compliance van de EIB-Groep.

| (9) | De communicatie tussen het Europees Bureau voor fraudebestrijding (OLAF) en de EIB vindt plaats overeenkomstig de bepalingen van de administratieve overeenkomst van 31 maart 2016 tussen OLAF en de Europese Investeringsbank. |
| --- | --- |

(9)

De communicatie tussen het Europees Bureau voor fraudebestrijding (OLAF) en de EIB vindt plaats overeenkomstig de bepalingen van de administratieve overeenkomst van 31 maart 2016 tussen OLAF en de Europese Investeringsbank.

| (10) | Voorts kunnen IG/IN en OCCO ten behoeve van een effectieve samenwerking, beperkingen toepassen op de rechten van de betrokkenen op bescherming van informatie met persoonsgegevens die afkomstig is van andere diensten van de EIB, instellingen, organen en instanties van de Europese Unie, bevoegde autoriteiten van lidstaten en derde landen of van internationale organisaties. Hiertoe dienen IG/IN en OCCO met deze andere diensten van de EIB, instellingen, organen, instanties, autoriteiten en internationale organisaties overleg te voeren over geldige gronden en de noodzaak en de evenredigheid van de beperkingen. |
| --- | --- |

(10)

Voorts kunnen IG/IN en OCCO ten behoeve van een effectieve samenwerking, beperkingen toepassen op de rechten van de betrokkenen op bescherming van informatie met persoonsgegevens die afkomstig is van andere diensten van de EIB, instellingen, organen en instanties van de Europese Unie, bevoegde autoriteiten van lidstaten en derde landen of van internationale organisaties. Hiertoe dienen IG/IN en OCCO met deze andere diensten van de EIB, instellingen, organen, instanties, autoriteiten en internationale organisaties overleg te voeren over geldige gronden en de noodzaak en de evenredigheid van de beperkingen.

| (11) | IG/IN en OCCO dienen alle beperkingen op transparante wijze te behandelen en iedere toegepaste beperking te registreren in het daarvoor geëigende registratiesysteem. |
| --- | --- |

(11)

IG/IN en OCCO dienen alle beperkingen op transparante wijze te behandelen en iedere toegepaste beperking te registreren in het daarvoor geëigende registratiesysteem.

| (12) | Uit hoofde van artikel 25, lid 8 van de Verordening mogen de verwerkingsverantwoordelijken het informeren van een betrokkene over een voor hem/haar geldende beperking uitstellen of achterwege laten, indien dit informeren op enige wijze afbreuk zou doen aan het doel van de beperking. Dit geldt met name wanneer er sprake is van een beperking van de rechten uit hoofde van de artikelen 16 en 35, en het informeren over deze beperking afbreuk zou doen aan het doel van de beperking. Om ervoor te zorgen dat het recht van de betrokkene om in overeenstemming met de artikelen 16 en 35 van de Verordening te worden geïnformeerd uitsluitend wordt beperkt zolang de redenen voor het uitstel bestaan, evalueert de desbetreffende verwerkingsverantwoordelijke zijn besluit regelmatig. |
| --- | --- |

(12)

Uit hoofde van artikel 25, lid 8 van de Verordening mogen de verwerkingsverantwoordelijken het informeren van een betrokkene over een voor hem/haar geldende beperking uitstellen of achterwege laten, indien dit informeren op enige wijze afbreuk zou doen aan het doel van de beperking. Dit geldt met name wanneer er sprake is van een beperking van de rechten uit hoofde van de artikelen 16 en 35, en het informeren over deze beperking afbreuk zou doen aan het doel van de beperking. Om ervoor te zorgen dat het recht van de betrokkene om in overeenstemming met de artikelen 16 en 35 van de Verordening te worden geïnformeerd uitsluitend wordt beperkt zolang de redenen voor het uitstel bestaan, evalueert de desbetreffende verwerkingsverantwoordelijke zijn besluit regelmatig.

| (13) | Voor zover een beperking wordt toegepast op de rechten van andere betrokkenen beoordeelt de verwerkingsverantwoordelijke per geval of het informeren over de beperking afbreuk zou doen aan het doel van de beperking. |
| --- | --- |

(13)

Voor zover een beperking wordt toegepast op de rechten van andere betrokkenen beoordeelt de verwerkingsverantwoordelijke per geval of het informeren over de beperking afbreuk zou doen aan het doel van de beperking.

| (14) | De EIB heeft een eigen functionaris voor gegevensbescherming aangesteld (Data Protection Officer, of „DPO”) overeenkomstig artikel 24 van Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad (9). |
| --- | --- |

(14)

De EIB heeft een eigen functionaris voor gegevensbescherming aangesteld (Data Protection Officer, of „DPO”) overeenkomstig artikel 24 van Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad (9).

| (15) | De DPO mag een onafhankelijke evaluatie uitvoeren van de toepassing van de beperkingen, om te waarborgen dat hierbij de bepalingen van dit Besluit worden nageleefd. |
| --- | --- |

(15)

De DPO mag een onafhankelijke evaluatie uitvoeren van de toepassing van de beperkingen, om te waarborgen dat hierbij de bepalingen van dit Besluit worden nageleefd.

HEEFT ONDERSTAAND BESLUIT AANGENOMEN:

HOOFDSTUK I

DE AFDELING FRAUDEONDERZOEK VAN HET INSPECTORAAT-GENERAAL

Artikel 1

Onderwerp en toepassingsgebied

1.   In dit hoofdstuk zijn de regels vastgelegd die de in artikel 2, lid 1 van dit Besluit bedoelde verwerkingsverantwoordelijke dient na te leven om de betrokkenen in overeenstemming met de artikelen 14, 15 en 16 van de Verordening te informeren over de verwerking van hun gegevens.

Hierin zijn ook de voorwaarden vastgelegd waaronder de desbetreffende verwerkingsverantwoordelijke in overeenstemming met artikel 25 van de Verordening de toepassing mag beperken van de artikelen 14 t/m 22, 35 en 36, alsook van artikel 4, van de Verordening.

2.   De bepalingen van dit hoofdstuk zijn van toepassing op de verwerking van persoonsgegevens door IG/IN ten behoeve van of in verband met de activiteiten die zij uitvoert uit hoofde van het antifraudebeleid van de EIB en het handvest van de afdeling Fraudeonderzoek van de EIB.

3.   In het kader van haar mandaat verwerkt IG/IN een aantal categorieën van persoonsgegevens, met name identificatiegegevens, contactgegevens, professionele gegevens en gegevens die betrekking hebben op de rol van betrokkenen in de zaak.

Artikel 2

Aanwijzing van de verwerkingsverantwoordelijke en vaststelling van waarborgen

1.   Het hoofd van IG/IN wordt aangewezen als verwerkingsverantwoordelijke.

2.   De persoonsgegevens worden opgeslagen in een beveiligde elektronische en fysieke omgeving om onrechtmatige toegang tot of doorgifte van gegevens aan personen die niet beantwoorden aan het „need-to-know”-criterium, te voorkomen.

3.   De verwerkte persoonsgegevens worden minimaal vijf en maximaal tien jaar na afronding van een onderzoek bewaard. Gegevens over afgewezen zaken worden maximaal vijf jaar bewaard.

4.   Langere termijnen worden bij wijze van uitzondering toegepast indien daartoe gegronde redenen bestaan, en uitsluitend met toestemming van de DPO.

Artikel 3

Toepasselijke uitzonderingen en beperkingen

1.   Bij de uitoefening van haar taken betreffende de rechten van de betrokkenen uit hoofde van de Verordening, gaat IG/IN na of een van de in die Verordening vastgestelde uitzonderingen van toepassing is.

2.   Onverminderd de artikelen 4 t/m 7 van dit Besluit mag IG/IN de toepassing beperken van de artikelen 14 t/m 22, 35 en 36 van de Verordening, alsook van artikel 4, voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 t/m 22 van de Verordening voorzien, wanneer de uitoefening van deze rechten en plichten het doel van het onderzoek en andere activiteiten van IG/IN in het gedrang zou brengen, bijvoorbeeld door openbaarmaking van haar onderzoeksmiddelen en -methoden, of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen.

3.   Onverminderd de artikelen 4 t/m 7 van dit Besluit mag IG/IN de rechten en plichten als bedoeld in lid 2 van dit artikel met betrekking tot persoonsgegevens die zijn verkregen van andere diensten van de EIB, OLAF of andere instellingen, organen en instanties van de Europese Unie, bevoegde autoriteiten van lidstaten en derde landen of van internationale organisaties, in onderstaande gevallen beperken:

| a) | wanneer het uitoefenen van die rechten en plichten zou kunnen worden beperkt door andere diensten van de EIB, OLAF of andere instellingen, organen en instanties van de Europese Unie op grond van andere handelingen als bedoeld in artikel 25 van de Verordening of in overeenstemming met hoofdstuk IX van die Verordening; |
| --- | --- |

a)

wanneer het uitoefenen van die rechten en plichten zou kunnen worden beperkt door andere diensten van de EIB, OLAF of andere instellingen, organen en instanties van de Europese Unie op grond van andere handelingen als bedoeld in artikel 25 van de Verordening of in overeenstemming met hoofdstuk IX van die Verordening;

| b) | wanneer het uitoefenen van die rechten en plichten zou kunnen worden beperkt door de bevoegde autoriteiten van lidstaten op grond van handelingen als bedoeld in artikel 23 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (10), of andere nationale maatregelen ter uitvoering van de artikelen 13, lid 3, 15, lid 3 of 16, lid 3 van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (11); |
| --- | --- |

b)

wanneer het uitoefenen van die rechten en plichten zou kunnen worden beperkt door de bevoegde autoriteiten van lidstaten op grond van handelingen als bedoeld in artikel 23 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (10), of andere nationale maatregelen ter uitvoering van de artikelen 13, lid 3, 15, lid 3 of 16, lid 3 van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (11);

| c) | wanneer het uitoefenen van die rechten en plichten de samenwerking tussen IG/IN en derde landen en internationale organisaties in verband met de uitvoering van haar taken, in het gedrang zou kunnen brengen. |
| --- | --- |

c)

wanneer het uitoefenen van die rechten en plichten de samenwerking tussen IG/IN en derde landen en internationale organisaties in verband met de uitvoering van haar taken, in het gedrang zou kunnen brengen.

Voordat IG/IN beperkingen toepast in gevallen als bedoeld in de eerste alinea, onder (a) en (b), raadpleegt zij de desbetreffende diensten van de EIB, OLAF, instellingen, organen en instanties van de Europese Unie of de bevoegde autoriteiten van lidstaten, tenzij het voor IG/IN duidelijk is dat een van de in die punten genoemde handelingen voorziet in de toepassing van een beperking.

Punt (c) van de eerste alinea is niet van toepassing wanneer de belangen of de fundamentele rechten en vrijheden van de betrokkenen prevaleren boven het belang van de Europese Unie om samen te werken met derde landen of internationale organisaties.

Artikel 4

Informatieverstrekking aan betrokkenen

1.   IG/IN publiceert op de website van de EIB een privacyverklaring waarin alle betrokkenen worden geïnformeerd over haar activiteiten waarbij hun persoonsgegevens worden verwerkt.

2.   IG/IN informeert individueel alle betrokkenen die zij beschouwt als betrokken personen, getuigen of informanten in de zin van het antifraudebeleid van de EIB en het reglement voor onderzoeken door IG/IN.

3.   Wanneer IG/IN de verstrekking van informatie aan de in lid 2 bedoelde betrokkenen geheel of gedeeltelijk beperkt, legt zij de redenen voor de beperking vast, en evalueert zij daarbij de noodzaak en de evenredigheid van de beperking.

Hiertoe wordt vastgelegd hoe de verstrekking van informatie het doel van de onderzoeksactiviteiten van IG/IN of van de uit hoofde van artikel 3, lid 3 toegepaste beperkingen in het gedrang zou brengen, of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen.

De vastgelegde gegevens, en voor zover van toepassing, de documenten met onderliggende feiten en juridische elementen, worden geregistreerd. Deze worden desgevraagd aan de Europese Toezichthouder voor gegevensbescherming (EDPS) verstrekt.

4.   De beperking als bedoeld in lid 3 blijft gelden zolang de redenen daarvoor bestaan.

Wanneer de redenen voor de beperking niet langer gelden, verstrekt IG/IN de desbetreffende informatie en de redenen voor de beperking aan de betrokkene. Tegelijkertijd informeert IG/IN de betrokkene over de mogelijkheid om te allen tijde een klacht in te dienen bij de EDPS of om beroep in te stellen bij het Hof van Justitie van de Europese Unie.

IG/IN evalueert de toepassing van de beperking om de zes maanden vanaf de invoering ervan en ook bij de afsluiting van het desbetreffende onderzoek. Daarna evalueert de verwerkingsverantwoordelijke jaarlijks of de beperking moet worden gehandhaafd.

Artikel 5

Recht van inzage van de betrokkene

1.   Wanneer de betrokkenen in overeenstemming met artikel 17 van de Verordening een verzoek om inzage in hun verwerkte persoonsgegevens doen in verband met één of meer specifieke gevallen of in verband met een bepaalde verwerkingsactiviteit, dan beperkt IG/IN haar toetsing van het verzoek tot deze persoonsgegevens.

2.   Wanneer IG/IN het recht op inzage als bedoeld in artikel 17 van de Verordening geheel of gedeeltelijk beperkt, neemt zij de volgende maatregelen:

| a) | zij informeert de betrokkene in haar antwoord op het verzoek over de toegepaste beperking en de belangrijkste redenen voor de beperking, en over de mogelijkheid om een klacht in te dienen bij de EDPS of om beroep in te stellen bij het Hof van Justitie van de Europese Unie; |
| --- | --- |

a)

zij informeert de betrokkene in haar antwoord op het verzoek over de toegepaste beperking en de belangrijkste redenen voor de beperking, en over de mogelijkheid om een klacht in te dienen bij de EDPS of om beroep in te stellen bij het Hof van Justitie van de Europese Unie;

| b) | zij legt de redenen voor de beperking vast, inclusief een afweging van de noodzaak en de evenredigheid van de beperking; hiertoe wordt vastgelegd op welke wijze het verstrekken van de informatie het doel van het activiteiten van IG/IN of van de uit hoofde van artikel 3, lid 3 toegepaste beperkingen in het gedrang zou brengen, of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen. |
| --- | --- |

b)

zij legt de redenen voor de beperking vast, inclusief een afweging van de noodzaak en de evenredigheid van de beperking; hiertoe wordt vastgelegd op welke wijze het verstrekken van de informatie het doel van het activiteiten van IG/IN of van de uit hoofde van artikel 3, lid 3 toegepaste beperkingen in het gedrang zou brengen, of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen.

Overeenkomstig artikel 25, lid 8 van de Verordening kan het verstrekken van de onder (a) bedoelde informatie worden uitgesteld, achterwege gelaten of geweigerd.

3.   De in lid 2, onder (b), bedoelde vastgelegde gegevens en, in voorkomend geval, de documenten met onderliggende feitelijke en juridische elementen, worden geregistreerd. Ze worden desgevraagd aan de EDPS verstrekt. Artikel 25, lid 7 van de Verordening is hierbij van toepassing.

Artikel 6

Recht op rectificatie, wissing en beperking van de verwerking

Wanneer IG/IN het recht op rectificatie, wissing en beperking van de verwerking, als bedoeld in de artikelen 18, 19, lid 1 en 20, lid 1 van de Verordening geheel of gedeeltelijk beperkt, neemt zij de maatregelen als bedoeld in artikel 5, lid 2 van dit Besluit en registreert zij dit in overeenstemming met artikel 5, lid 3 van dit Besluit.

Artikel 7

Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene

Wanneer IG/IN de mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene als bedoeld in artikel 35 van de Verordening beperkt, registreert zij de redenen voor de beperking in overeenstemming met artikel 4, lid 3 van dit Besluit. Het in artikel 4, lid 4 van dit Besluit gestelde is hierbij van toepassing.

Artikel 8

Evaluatie door de functionaris voor gegevensbescherming (DPO)

IG/IN informeert de DPO onverwijld over iedere beperking die zij in overeenstemming met dit Besluit toepast op de rechten van de betrokkene en geeft inzage in de vastgelegde gegevens en in de afweging van de noodzaak en de evenredigheid van de beperking.

De DPO mag IG/IN schriftelijk verzoeken een evaluatie uit te voeren van de toepassing van de beperkingen. IG/IN informeert de DPO schriftelijk over de uitkomst van de gevraagde evaluatie.

HOOFDSTUK II

DE DIENST VAN HET HOOFD COMPLIANCE VAN DE EIB-GROEP

Artikel 9

Onderwerp en toepassingsgebied

1.   In dit hoofdstuk zijn de regels vastgelegd die OCCO moet naleven om de betrokkenen in overeenstemming met de artikelen 14, 15 en 16 van de Verordening te informeren over de verwerking van hun gegevens.

Hierin zijn ook de voorwaarden vastgelegd waaronder OCCO in overeenstemming met artikel 25 van de Verordening de toepassing mag beperken van de artikelen 14 t/m 22, 35 en 36, alsook artikel 4, van de Verordening.

2.   De bepalingen van dit hoofdstuk gelden voor de verwerking van persoonsgegevens door OCCO ten behoeve van of in verband met de activiteiten die hij uitvoert uit hoofde van de opdrachtomschrijving van het hoofd Compliance van de EIB-Groep, het Integriteitsbeleid van de EIB en het EIB-Handvest voor Compliance, en andere interne regels en beleidslijnen.

3.   In het kader van zijn activiteiten verwerkt OCCO een aantal categorieën van persoonsgegevens, met name identificatiegegevens, contactgegevens, professionele gegevens en gegevens die betrekking hebben op de rol van betrokkenen in de zaak.

Artikel 10

Aanwijzing van de verwerkingsverantwoordelijke en vaststelling van waarborgen

1.   Het hoofd Compliance van de EIB-Groep treedt op als de desbetreffende verwerkingsverantwoordelijke.

2.   De persoonsgegevens worden opgeslagen in een beveiligde elektronische en fysieke omgeving om onrechtmatige toegang tot of doorgifte van gegevens aan personen die niet beantwoorden aan het „need-to-know”-criterium, te voorkomen.

3.   De door OCCO verwerkte persoonsgegevens worden minimaal een half jaar na afwijzing van een zaak en maximaal vijf jaar na afronding van het administratieve onderzoek bewaard.

4.   Langere termijnen worden bij wijze van uitzondering toegepast indien daartoe gegronde redenen bestaan, en uitsluitend met toestemming van de DPO.

Artikel 11

Toepasselijke uitzonderingen en beperkingen

1.   Bij de uitoefening van zijn taken betreffende de rechten van de betrokkenen uit hoofde van de Verordening, gaat OCCO na of een van de in die Verordening vastgestelde uitzonderingen van toepassing is.

2.   Onverminderd de artikelen 12 t/m 15 van dit Besluit mag OCCO de toepassing beperken van de artikelen 14 t/m 22, 35 en 36 van de Verordening, alsook van artikel 4, voor zover de bepalingen daarvan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 t/m 22 van de Verordening voorzien, wanneer de uitoefening van deze rechten en plichten het doel van het administratieve onderzoek en andere activiteiten van OCCO in het gedrang zou brengen, bijvoorbeeld door openbaarmaking van de onderzoeksmiddelen en -methoden van zijn administratieve onderzoek, of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen.

3.   Onverminderd de artikelen 12 t/m 15 van dit Besluit mag OCCO de rechten en plichten als bedoeld in lid 2 van dit artikel met betrekking tot persoonsgegevens die zijn verkregen van andere diensten van de EIB, instellingen, organen en instanties van de Europese Unie, bevoegde autoriteiten van lidstaten en derde landen of van internationale organisaties, in onderstaande gevallen beperken:

| a) | wanneer het uitoefenen van die rechten en plichten zou kunnen worden beperkt door andere diensten van de EIB, instellingen, organen en instanties van de Europese Unie op grond van andere handelingen als bedoeld in artikel 25 van de Verordening of in overeenstemming met hoofdstuk IX van die Verordening; |
| --- | --- |

a)

wanneer het uitoefenen van die rechten en plichten zou kunnen worden beperkt door andere diensten van de EIB, instellingen, organen en instanties van de Europese Unie op grond van andere handelingen als bedoeld in artikel 25 van de Verordening of in overeenstemming met hoofdstuk IX van die Verordening;

| b) | wanneer het uitoefenen van die rechten en plichten zou kunnen worden beperkt door de bevoegde autoriteiten van lidstaten op grond van handelingen als bedoeld in artikel 23 van Verordening (EU) 2016/679, of andere nationale maatregelen ter uitvoering van de artikelen 13, lid 3, 15, lid 3 of 16, lid 3 van Richtlijn (EU) 2016/680; |
| --- | --- |

b)

wanneer het uitoefenen van die rechten en plichten zou kunnen worden beperkt door de bevoegde autoriteiten van lidstaten op grond van handelingen als bedoeld in artikel 23 van Verordening (EU) 2016/679, of andere nationale maatregelen ter uitvoering van de artikelen 13, lid 3, 15, lid 3 of 16, lid 3 van Richtlijn (EU) 2016/680;

| c) | wanneer het uitoefenen van die rechten en plichten de samenwerking tussen OCCO en derde landen en internationale organisaties in verband met de uitvoering van haar taken, in het gedrang zou kunnen brengen. |
| --- | --- |

c)

wanneer het uitoefenen van die rechten en plichten de samenwerking tussen OCCO en derde landen en internationale organisaties in verband met de uitvoering van haar taken, in het gedrang zou kunnen brengen.

Voordat OCCO beperkingen toepast in gevallen als bedoeld in de eerste alinea, onder (a) en (b), raadpleegt hij de desbetreffende diensten van de EIB, instellingen, organen en instanties van de Europese Unie of de bevoegde autoriteiten van lidstaten, tenzij het voor OCCO duidelijk is dat een van de in die punten genoemde handelingen voorziet in de toepassing van een beperking.

Punt (c) van de eerste alinea is niet van toepassing wanneer de belangen of de fundamentele rechten en vrijheden van de betrokkenen prevaleren boven het belang van de Europese Unie om samen te werken met derde landen of internationale organisaties.

Artikel 12

Informatieverstrekking aan betrokkenen

1.   OCCO publiceert op het intranet van de EIB een privacyverklaring waarin alle betrokkenen worden geïnformeerd over zijn activiteiten waarbij hun persoonsgegevens worden verwerkt.

2.   OCCO informeert individueel alle betrokkenen die hij beschouwt als betrokken personen, getuigen en informanten.

3.   Wanneer OCCO de verstrekking van informatie aan de in lid 2 bedoelde betrokkenen geheel of gedeeltelijk beperkt, legt hij de redenen voor de beperking vast, en evalueert hij daarbij de noodzaak en de evenredigheid van de beperking.

Hiertoe wordt vastgelegd hoe de verstrekking van informatie het doel van de administratieve onderzoeken en andere activiteiten van OCCO of van de uit hoofde van artikel 11, lid 3 toegepaste beperkingen in het gedrang zou brengen of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen.

De vastgelegde gegevens, en voor zover van toepassing, de documenten met onderliggende feiten en juridische elementen, worden geregistreerd. Deze worden desgevraagd aan de EDPS verstrekt.

4.   De beperking als bedoeld in lid 3 blijft gelden zolang de redenen daarvoor bestaan.

Wanneer de redenen voor de beperking niet langer gelden, verstrekt OCCO de desbetreffende informatie en de redenen voor de beperking aan de betrokkene. Tegelijkertijd informeert OCCO de betrokkene over de mogelijkheid om te allen tijde een klacht in te dienen bij de EDPD of om beroep in te stellen bij het Hof van Justitie van de Europese Unie.

OCCO evalueert de toepassing van de beperking om de zes maanden vanaf de invoering ervan, en ook bij de afsluiting van het desbetreffende administratieve onderzoek. Daarna evalueert de verwerkingsverantwoordelijke jaarlijks of de beperking moet worden gehandhaafd.

Artikel 13

Recht van inzage van de betrokkene

1.   Wanneer de betrokkenen in overeenstemming met artikel 17 van de Verordening een verzoek om inzage in hun verwerkte persoonsgegevens doen in verband met één of meer specifieke gevallen of in verband met een bepaalde verwerkingsactiviteit, dan beperkt OCCO zijn toetsing van het verzoek tot deze persoonsgegevens.

2.   Wanneer OCCO het recht op inzage als bedoeld in artikel 17 van de Verordening geheel of gedeeltelijk beperkt, neemt hij de volgende maatregelen:

| a) | hij informeert de betrokkene in zijn antwoord op het verzoek over de toegepaste beperking en de belangrijkste redenen voor de beperking, en over de mogelijkheid om een klacht in te dienen bij de EDPS of om beroep in te stellen bij het Hof van Justitie van de Europese Unie; |
| --- | --- |

a)

hij informeert de betrokkene in zijn antwoord op het verzoek over de toegepaste beperking en de belangrijkste redenen voor de beperking, en over de mogelijkheid om een klacht in te dienen bij de EDPS of om beroep in te stellen bij het Hof van Justitie van de Europese Unie;

| b) | hij legt de redenen voor de beperking vast, inclusief een afweging van de noodzaak en de evenredigheid van de beperking; hiertoe wordt vastgelegd op welke wijze het verstrekken van de informatie het doel van het administratieve onderzoek, of andere activiteiten van OCCO of van de uit hoofde van artikel 11, lid 3 toegepaste beperkingen in het gedrang zou brengen of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen. |
| --- | --- |

b)

hij legt de redenen voor de beperking vast, inclusief een afweging van de noodzaak en de evenredigheid van de beperking; hiertoe wordt vastgelegd op welke wijze het verstrekken van de informatie het doel van het administratieve onderzoek, of andere activiteiten van OCCO of van de uit hoofde van artikel 11, lid 3 toegepaste beperkingen in het gedrang zou brengen of afbreuk zou doen aan de rechten en vrijheden van andere betrokkenen.

Overeenkomstig artikel 25, lid 8 van de Verordening kan het verstrekken van de onder (a) bedoelde informatie worden uitgesteld, achterwege gelaten of geweigerd.

3.   De in lid 2, onder (b), bedoelde vastgelegde gegevens en, in voorkomend geval, de documenten met onderliggende feitelijke en juridische elementen, worden geregistreerd. Ze worden desgevraagd aan de EDPS verstrekt. Artikel 25, lid 7 van de Verordening is hierbij van toepassing.

Artikel 14

Recht op rectificatie, wissing of beperking van de verwerking

Wanneer OCCO het recht op rectificatie, wissing of beperking van de verwerking, als bedoeld in de artikelen 18, 19, lid 1 en 20, lid 1 van de Verordening geheel of gedeeltelijk beperkt, neemt hij de maatregelen als bedoeld in artikel 13, lid 2 van dit Besluit en registreert hij dit in overeenstemming met artikel 13, lid 3 van dit Besluit.

Artikel 15

Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene

Wanneer OCCO de mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene als bedoeld in artikel 35 van de Verordening beperkt, registreert hij de redenen voor de beperking in overeenstemming met artikel 12, lid 3 van dit Besluit. Het in artikel 12, lid 4 van dit Besluit gestelde is hierbij van toepassing.

Artikel 16

Evaluatie door de functionaris voor gegevensbescherming (DPO)

OCCO informeert de DPO onverwijld over iedere beperking die hij in overeenstemming met dit Besluit toepast op de rechten van de betrokkene en geeft inzage in de vastgelegde gegevens en in de afweging van de noodzaak en de evenredigheid van de beperking.

De DPO kan de verwerkingsverantwoordelijke schriftelijk verzoeken een evaluatie uit te voeren van de toepassing van de beperkingen. OCCO informeert de DPO schriftelijk over de uitkomst van de gevraagde evaluatie.

HOOFDSTUK III

SLOTBEPALINGEN

Artikel 17

Inwerkingtreding

Dit Besluit is op 6 februari 2019 goedgekeurd door de Raad van Bewind van de EIB en treedt in werking op de dag van de publicatie van het Besluit op de webpagina van de EIB.

Gedaan te Luxemburg, 6 februari 2019.

---

(1)  
  PB L 295 van 21.11.2018, blz. 39.

1

(2)  De verwerking van persoonsgegevens in verband met onderzoeken door IG/IN en administratieve onderzoeken door OCCO is aan de EDPS voorgelegd.

2

(3)  http://www.eib.org/attachments/strategies/anti_fraud_policy_20130917_nl.pdf

3

(4)  http://www.eib.org/attachments/general/fraud_investigatons_charter_2017_en.pdf

4

(5)  http://www.eib.org/en/infocentre/publications/all/staff-code-of-conduct.htm

5

(6)  http://www.eib.org/en/infocentre/publications/all/eib-s-whistleblowing-policy.htm

6

(7)  http://www.eib.org/en/infocentre/publications/all/integrity-policy-and-compliance-charter.htm

7

(8)  http://www.eib.org/en/infocentre/publications/all/anti-fraud-procedures.htm

8

(9)  Verordening (EG) nr. 45/2001 van het Europees Parlement en de Raad van 18 december 2000 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de communautaire instellingen en organen en betreffende het vrije verkeer van die gegevens (PB L 8 van 12.1.2001, blz. 1).

9

(10)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).

10

(11)  Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89).

11

---