# Euroopa Liidu L 65I/2019

| | ISSN 1977-0650 |
| --- | --- |
| Euroopa Liidu
  Teataja | L 065I |
| | |
| Eestikeelne väljaanne | Õigusaktid | 62. aastakäik6. märts 2019 |

ISSN 1977-0650

Euroopa Liidu

Teataja

L 065I

Eestikeelne väljaanne

Õigusaktid

62. aastakäik6. märts 2019

---

| Sisukord | | II   Muud kui seadusandlikud aktid | Lehekülg |
| --- | --- | --- | --- |
| | | KODU- JA TÖÖKORRAD |
| | | Euroopa Investeerimispank |
| | * | Euroopa Investeerimispanga otsus, 6. veebruar 2019, millega sätestatakse isikuandmete töötlemise sise-eeskirjad Euroopa Investeerimispanga peainspektsiooni pettuste uurimise osakonnas ja vastavuskontrolli büroos seoses andmesubjektide teavitamisega ja nende teatavate õiguste piiramisega | 1 |

Sisukord

II   Muud kui seadusandlikud aktid

Lehekülg

KODU- JA TÖÖKORRAD

Euroopa Investeerimispank

*

Euroopa Investeerimispanga otsus, 6. veebruar 2019, millega sätestatakse isikuandmete töötlemise sise-eeskirjad Euroopa Investeerimispanga peainspektsiooni pettuste uurimise osakonnas ja vastavuskontrolli büroos seoses andmesubjektide teavitamisega ja nende teatavate õiguste piiramisega

1

| ET | Aktid, mille peakiri on trükitud harilikus trükikirjas, käsitlevad põllumajandusküsimuste igapäevast korraldust ning nende kehtivusaeg on üldjuhul piiratud.
  Kõigi ülejäänud aktide pealkirjad on trükitud poolpaksus kirjas ja nende ette on märgitud tärn. |
| --- | --- |

ET

Aktid, mille peakiri on trükitud harilikus trükikirjas, käsitlevad põllumajandusküsimuste igapäevast korraldust ning nende kehtivusaeg on üldjuhul piiratud.

Kõigi ülejäänud aktide pealkirjad on trükitud poolpaksus kirjas ja nende ette on märgitud tärn.

---

II Muud kui seadusandlikud aktid

KODU- JA TÖÖKORRAD

Euroopa Investeerimispank

| 6.3.2019 | ET | Euroopa Liidu Teataja | LI 65/1 |
| --- | --- | --- | --- |

6.3.2019

ET

Euroopa Liidu Teataja

LI 65/1

---

EUROOPA INVESTEERIMISPANGA OTSUS,

6. veebruar 2019,

millega sätestatakse isikuandmete töötlemise sise-eeskirjad Euroopa Investeerimispanga peainspektsiooni pettuste uurimise osakonnas ja vastavuskontrolli büroos seoses andmesubjektide teavitamisega ja nende teatavate õiguste piiramisega

EUROOPA INVESTEERIMISPANK (edaspidi „EIP“),

võttes arvesse Euroopa Liidu toimimise lepingut ja eriti selle artiklit 309,

võttes arvesse Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ, (1)

võttes arvesse Euroopa Andmekaitseinspektori arvamusi, (2)

ning arvestades järgmist:

| (1) | EIP pettustevastase poliitika (3) ja EIP pettuste uurimise osakonna põhikirja (4) kohaselt on EIP peainspektsiooni pettuste uurimise osakonnal (edaspidi „IG/IN“) volitused uurida väiteid pettuse, korruptsiooni, kokkumängu, sunni, takistamise, rahapesu ja terrorismi rahastamise (edaspidi „keelatud käitumine“) kohta kogu EIP tegevuses. IG/INile on antud volitused uurida i) EIP juhtorganite liikmeid, töötajaid ja konsultante, ii) EIP projektidega seotud isikuid, iii) EIP üldiste hangetega seotud isikuid ning iv) EIP laenuandjaid ja varahaldusega seotud isikuid. IG/INi volitused hõlmavad ka ennetavaid usaldusväärsuse kontrolle suurema riskiga valdkondades, et suurendada EIP tehingute ja tegevuse tulemuslikkust ja tõhusust. |
| --- | --- |

(1)

EIP pettustevastase poliitika (3) ja EIP pettuste uurimise osakonna põhikirja (4) kohaselt on EIP peainspektsiooni pettuste uurimise osakonnal (edaspidi „IG/IN“) volitused uurida väiteid pettuse, korruptsiooni, kokkumängu, sunni, takistamise, rahapesu ja terrorismi rahastamise (edaspidi „keelatud käitumine“) kohta kogu EIP tegevuses. IG/INile on antud volitused uurida i) EIP juhtorganite liikmeid, töötajaid ja konsultante, ii) EIP projektidega seotud isikuid, iii) EIP üldiste hangetega seotud isikuid ning iv) EIP laenuandjaid ja varahaldusega seotud isikuid. IG/INi volitused hõlmavad ka ennetavaid usaldusväärsuse kontrolle suurema riskiga valdkondades, et suurendada EIP tehingute ja tegevuse tulemuslikkust ja tõhusust.

| (2) | EIP töötajate tegevusjuhendi (5) ja EIP rikkumistest teatamise poliitika (6) (mida võidakse aeg-ajalt muuta ja täiendada) kohaselt on EIP töötajatel kohustus teatada ametikohuste rikkumistest, sealhulgas igasugusest ebaseaduslikust tegevusest ja/või EIP Grupi määruste, eeskirjade, poliitikate või suuniste, sealhulgas tegevusjuhendi rikkumistest olenevalt rikkumise laadist pädevatele talitustele, st EIP vastavusosakonnale (edaspidi „OCCO“) ja EIP peainspektsioonile (edaspidi „IG“). |
| --- | --- |

(2)

EIP töötajate tegevusjuhendi (5) ja EIP rikkumistest teatamise poliitika (6) (mida võidakse aeg-ajalt muuta ja täiendada) kohaselt on EIP töötajatel kohustus teatada ametikohuste rikkumistest, sealhulgas igasugusest ebaseaduslikust tegevusest ja/või EIP Grupi määruste, eeskirjade, poliitikate või suuniste, sealhulgas tegevusjuhendi rikkumistest olenevalt rikkumise laadist pädevatele talitustele, st EIP vastavusosakonnale (edaspidi „OCCO“) ja EIP peainspektsioonile (edaspidi „IG“).

| (3) | Grupi vastavuskontrolli ametniku (edaspidi „GCCO“) ametivolituste ning usaldusväärsuse poliitika ja vastavuskontrolli harta (7) alusel on grupi vastavusosakontrolli ametniku ülesanne teha kindlaks, hinnata ja jälgida EIP Grupi vastavusriski, st õiguslike või reguleerivate sanktsioonide, finantskahju või mainekahju riski, mida EIP Grupi liige võib kannatada tingituna sellest, et ta ei täida kõiki kohaldatavaid seadusi, määruseid, töötajate tegevusjuhendeid ja hea tava standardeid, ning selle riski teemal nõustada ja sellest teatada. Kooskõlas GCCO ametivolitustega viib GCCO läbi vajalikud haldusjuurdlused, kui töötajad on rikkunud EIP Grupi tegevusjuhendeid. EIP Grupi töötajate kohus on teha koostööd selliste haldusjuurdluste läbiviimisel grupi vastavuskontrolli ametniku kindlaks määratud viisil. |
| --- | --- |

(3)

Grupi vastavuskontrolli ametniku (edaspidi „GCCO“) ametivolituste ning usaldusväärsuse poliitika ja vastavuskontrolli harta (7) alusel on grupi vastavusosakontrolli ametniku ülesanne teha kindlaks, hinnata ja jälgida EIP Grupi vastavusriski, st õiguslike või reguleerivate sanktsioonide, finantskahju või mainekahju riski, mida EIP Grupi liige võib kannatada tingituna sellest, et ta ei täida kõiki kohaldatavaid seadusi, määruseid, töötajate tegevusjuhendeid ja hea tava standardeid, ning selle riski teemal nõustada ja sellest teatada. Kooskõlas GCCO ametivolitustega viib GCCO läbi vajalikud haldusjuurdlused, kui töötajad on rikkunud EIP Grupi tegevusjuhendeid. EIP Grupi töötajate kohus on teha koostööd selliste haldusjuurdluste läbiviimisel grupi vastavuskontrolli ametniku kindlaks määratud viisil.

| (4) | IG/IN ja OCCO peavad oma vastavaid ülesandeid täites järgima füüsiliste isikute isikuandmete töötlemisega seotud õigusi, mida tunnustatakse Euroopa Liidu põhiõiguste harta artikli 8 lõikega 1 ja Euroopa Liidu toimimise lepingu artikli 16 lõikega 1 ning kõnealustel sätetel põhinevate õigusaktidega. Samal ajal peavad IG/IN ja OCCO järgima rangeid konfidentsiaalsuse ja ametisaladuse eeskirju, millele on osutatud EIP personalieeskirjades ja EIP töötajate tegevusjuhendis, ning tagama juurdlusaluste isikute ja tunnistajate menetlusõiguste järgimise, eelkõige juurdlusaluste isikute õiguse nõuetekohasele menetlusele ja süütuse presumptsioonile. |
| --- | --- |

(4)

IG/IN ja OCCO peavad oma vastavaid ülesandeid täites järgima füüsiliste isikute isikuandmete töötlemisega seotud õigusi, mida tunnustatakse Euroopa Liidu põhiõiguste harta artikli 8 lõikega 1 ja Euroopa Liidu toimimise lepingu artikli 16 lõikega 1 ning kõnealustel sätetel põhinevate õigusaktidega. Samal ajal peavad IG/IN ja OCCO järgima rangeid konfidentsiaalsuse ja ametisaladuse eeskirju, millele on osutatud EIP personalieeskirjades ja EIP töötajate tegevusjuhendis, ning tagama juurdlusaluste isikute ja tunnistajate menetlusõiguste järgimise, eelkõige juurdlusaluste isikute õiguse nõuetekohasele menetlusele ja süütuse presumptsioonile.

| (5) | Teatavatel juhtudel on vaja leida tasakaal andmesubjektidele määruse (EL) 2018/1725 (edaspidi „määrus“) alusel antud õiguste ning IG/INi eesmärkide ja vajaduste ning OCCO vastavate ülesannete, samuti teiste andmesubjektide põhiõiguste ja -vabaduste täieliku austamise vahel. Seda silmas pidades on määruse artiklis 25 sätestatud IG/INi ja OCCO jaoks võimalus piirata oma vastavate volituste kohaselt artiklite 14–22, 35 ja 36 ning samuti artikli 4 kohaldamist, kui need sätted vastavad artiklites 14–22 sätestatud õigustele ja kohustustele. Selleks tuleb vastu võtta sise-eeskirjad, mille alusel asjaomane vastutav töötleja võib piirata andmesubjektide õigusi kooskõlas määruse artikliga 25. |
| --- | --- |

(5)

Teatavatel juhtudel on vaja leida tasakaal andmesubjektidele määruse (EL) 2018/1725 (edaspidi „määrus“) alusel antud õiguste ning IG/INi eesmärkide ja vajaduste ning OCCO vastavate ülesannete, samuti teiste andmesubjektide põhiõiguste ja -vabaduste täieliku austamise vahel. Seda silmas pidades on määruse artiklis 25 sätestatud IG/INi ja OCCO jaoks võimalus piirata oma vastavate volituste kohaselt artiklite 14–22, 35 ja 36 ning samuti artikli 4 kohaldamist, kui need sätted vastavad artiklites 14–22 sätestatud õigustele ja kohustustele. Selleks tuleb vastu võtta sise-eeskirjad, mille alusel asjaomane vastutav töötleja võib piirata andmesubjektide õigusi kooskõlas määruse artikliga 25.

| (6) | Sise-eeskirju tuleks kohaldada kogu protsessi jooksul kõikide töötlemistoimingute suhtes, mida teevad IG/IN ja OCCO oma vastavate volituste täitmisel, mis on sätestatud vastavalt EIP pettustevastases poliitikas, EIP pettuste uurimise osakonna põhikirjas, usaldusväärsuse poliitikas ja vastavuskontrolli hartas ning GCCO ametivolitustes. |
| --- | --- |

(6)

Sise-eeskirju tuleks kohaldada kogu protsessi jooksul kõikide töötlemistoimingute suhtes, mida teevad IG/IN ja OCCO oma vastavate volituste täitmisel, mis on sätestatud vastavalt EIP pettustevastases poliitikas, EIP pettuste uurimise osakonna põhikirjas, usaldusväärsuse poliitikas ja vastavuskontrolli hartas ning GCCO ametivolitustes.

| (7) | Määruse artiklite 14, 15 ja 16 täitmiseks peaks asjaomane vastutav töötleja teavitama kõiki isikuid oma tegevusest, mis hõlmab nende isikuandmete töötlemist, ja nende õigustest läbipaistval ja sidusal viisil isikuandmete kaitse põhimõtete teadetes, mis avaldatakse EIP veebisaidil ja EIP sisevõrgus, samuti teavitama individuaalselt oma tegevuse asjaomaseid andmesubjekte – juurdlusaluseid isikuid, tunnistajaid ja informaatoreid. |
| --- | --- |

(7)

Määruse artiklite 14, 15 ja 16 täitmiseks peaks asjaomane vastutav töötleja teavitama kõiki isikuid oma tegevusest, mis hõlmab nende isikuandmete töötlemist, ja nende õigustest läbipaistval ja sidusal viisil isikuandmete kaitse põhimõtete teadetes, mis avaldatakse EIP veebisaidil ja EIP sisevõrgus, samuti teavitama individuaalselt oma tegevuse asjaomaseid andmesubjekte – juurdlusaluseid isikuid, tunnistajaid ja informaatoreid.

| (8) | IG/IN ja OCCO võivad olla kohustatud kohaldama teatavaid aluseid määruse artiklis 25 osutatud piirangute rakendamiseks andmetöötlustoimingutele, mida tehakse vastavalt i) EIP pettustevastases poliitikas ja IG/INi uurimiskorras (8) ning GCCO ametivolitustes OCCO jaoks sätestatud ülesannete raames. |
| --- | --- |

(8)

IG/IN ja OCCO võivad olla kohustatud kohaldama teatavaid aluseid määruse artiklis 25 osutatud piirangute rakendamiseks andmetöötlustoimingutele, mida tehakse vastavalt i) EIP pettustevastases poliitikas ja IG/INi uurimiskorras (8) ning GCCO ametivolitustes OCCO jaoks sätestatud ülesannete raames.

| (9) | OLAFi ja EIP vaheline teabevahetus toimub kooskõlas Euroopa Pettustevastase Ameti ja Euroopa Investeerimispanga 31. märtsi 2016. aasta halduskokkuleppega. |
| --- | --- |

(9)

OLAFi ja EIP vaheline teabevahetus toimub kooskõlas Euroopa Pettustevastase Ameti ja Euroopa Investeerimispanga 31. märtsi 2016. aasta halduskokkuleppega.

| (10) | Lisaks võivad IG/IN ja OCCO olla tõhusa koostöö säilitamiseks sunnitud piirama andmesubjektide õigusi teistelt EIP talitustelt, Euroopa Liidu institutsioonidelt, organitelt ja asutustelt, liikmesriikide ja kolmandate riikide pädevatelt asutustelt ning rahvusvahelistelt organisatsioonidelt pärit isikuandmeid sisaldava teabe kaitsele. Seepärast peaksid IG/IN ja OCCO konsulteerima asjaomaste teiste EIP talituste, institutsioonide, organite, asutuste, ametiasutuste ja rahvusvaheliste organisatsioonidega, et välja selgitada asjakohased alused piirangute kehtestamiseks ning piirangute vajalikkus ja proportsionaalsus. |
| --- | --- |

(10)

Lisaks võivad IG/IN ja OCCO olla tõhusa koostöö säilitamiseks sunnitud piirama andmesubjektide õigusi teistelt EIP talitustelt, Euroopa Liidu institutsioonidelt, organitelt ja asutustelt, liikmesriikide ja kolmandate riikide pädevatelt asutustelt ning rahvusvahelistelt organisatsioonidelt pärit isikuandmeid sisaldava teabe kaitsele. Seepärast peaksid IG/IN ja OCCO konsulteerima asjaomaste teiste EIP talituste, institutsioonide, organite, asutuste, ametiasutuste ja rahvusvaheliste organisatsioonidega, et välja selgitada asjakohased alused piirangute kehtestamiseks ning piirangute vajalikkus ja proportsionaalsus.

| (11) | IG/IN ja OCCO peaksid käsitlema kõiki piiranguid läbipaistvalt ja registreerima kõik kohaldatavad piirangud vastavas dokumenteerimissüsteemis. |
| --- | --- |

(11)

IG/IN ja OCCO peaksid käsitlema kõiki piiranguid läbipaistvalt ja registreerima kõik kohaldatavad piirangud vastavas dokumenteerimissüsteemis.

| (12) | Vastavalt määruse artikli 25 lõikele 8 võivad vastutavad töötlejad andmesubjekti suhtes piirangut kohaldamise põhjustest teavitamise edasi lükata või sellest keelduda, kui see kahjustaks mingil viisil piirangu eesmärgi saavutamist. Eelkõige juhtudel, kus kohaldatakse artiklites 16 ja 35 sätestatud õiguste piiramist, võib piirangust teatamine kahjustada eesmärgi saavutamist. Selleks et tagada, et andmesubjekti õigust saada teavet vastavalt määruse (EL) 2018/1725 artiklitele 16 ja 35, piiratakse ainult niikaua, kuni edasilükkamise põhjused kehtivad, peaks asjaomane vastutav töötleja oma seisukoha korrapäraselt läbi vaatama. |
| --- | --- |

(12)

Vastavalt määruse artikli 25 lõikele 8 võivad vastutavad töötlejad andmesubjekti suhtes piirangut kohaldamise põhjustest teavitamise edasi lükata või sellest keelduda, kui see kahjustaks mingil viisil piirangu eesmärgi saavutamist. Eelkõige juhtudel, kus kohaldatakse artiklites 16 ja 35 sätestatud õiguste piiramist, võib piirangust teatamine kahjustada eesmärgi saavutamist. Selleks et tagada, et andmesubjekti õigust saada teavet vastavalt määruse (EL) 2018/1725 artiklitele 16 ja 35, piiratakse ainult niikaua, kuni edasilükkamise põhjused kehtivad, peaks asjaomane vastutav töötleja oma seisukoha korrapäraselt läbi vaatama.

| (13) | Kui piiratakse andmesubjekti muid õigusi, peaks vastutav töötleja hindama iga juhtumi puhul eraldi, kas piirangust teatamine kahjustaks selle kehtestamise eesmärgi saavutamist. |
| --- | --- |

(13)

Kui piiratakse andmesubjekti muid õigusi, peaks vastutav töötleja hindama iga juhtumi puhul eraldi, kas piirangust teatamine kahjustaks selle kehtestamise eesmärgi saavutamist.

| (14) | EIP on kooskõlas Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 45/2001 (9) artikliga 24 ametisse nimetanud oma andmekaitseametniku. |
| --- | --- |

(14)

EIP on kooskõlas Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 45/2001 (9) artikliga 24 ametisse nimetanud oma andmekaitseametniku.

| (15) | Andmekaitseametnik võib läbi viia piirangute kohaldamise sõltumatu läbivaatamise eesmärgiga tagada käesolevale otsusele vastavus. |
| --- | --- |

(15)

Andmekaitseametnik võib läbi viia piirangute kohaldamise sõltumatu läbivaatamise eesmärgiga tagada käesolevale otsusele vastavus.

ON VASTU VÕTNUD KÄESOLEVA OTSUSE:

I PEATÜKK

PEAINSPEKTSIOONI PETTUSTE UURIMISE OSAKOND

Artikkel 1

Reguleerimisese ja kohaldamisala

1.   Käesolevas peatükis sätestatakse eeskirjad, mida asjaomane vastutav töötleja peab järgima, nagu on kindlaks määratud otsuse artikli 2 lõikes 1, kui ta teavitab andmesubjekte kooskõlas määruse (EL) 2018/1725 artiklitega 14, 15 ja 16 nende andmete töötlemisest.

Lisaks sätestatakse käesolevas otsuses tingimused, mille korral asjaomane volitatud töötleja võib vastavalt kõnealuse määruse artiklile 25 piirata määruse artiklite 14–22, 35 ja 36 ning artikli 4 kohaldamist.

2.   Käesolevat peatükki kohaldatakse isikuandmete töötlemise suhtes, mida IG/IN teeb oma tegevuse eesmärgil või sellega seoses EIP pettustevastasest poliitikast ja EIP pettuste uurimise osakonna põhikirjast tulenevate ülesannete täitmiseks.

3.   IG/IN töötleb oma volituste alusel mitmeid isikuandmete kategooriaid, eelkõige identifitseerimisandmeid, kontaktandmed, kutsealaseid andmeid ja juhtumisse kaasatuse andmeid.

Artikkel 2

Vastutava töötleja ja kaitsemeetmete määratlemine

1.   Töötlemistoimingute vastutav töötleja on IG/INi osakonna juhataja.

2.   Isikuandmeid säilitatakse turvalises elektroonilises ja füüsilises keskkonnas, mis aitab ära hoida ebaseaduslikku juurdepääsu või andmete edastamist isikutele, kellel puudub teadmisvajadus.

3.   Töödeldavaid isikuandmeid säilitatakse vähemalt viis aastat ja kuni kümme aastat pärast uurimise lõpetamist. Põhjendamatute juhtumitega seotud andmeid säilitatakse maksimaalselt viis aastat.

4.   Eespool märgitust pikemaid perioode kohaldatakse kokkuleppel andmekaitseametnikuga erakorralistel ja nõuetekohaselt põhjendatud juhtudel.

Artikkel 3

Kohaldatavad erandid ja piirangud

1.   IG/IN kaalub oma kohuste täitmisel andmesubjektide õiguste suhtes vastavalt määrusele, kas on kohaldatav mõni selles määruses sätestatud eranditest.

2.   Kui käesoleva otsuse artiklitest 4–7 ei tulene teisiti, võib IG/IN piirata määruse artiklite 14–22 ning 35 ja 36, samuti artikli 4 kohaldamist, kui käesoleva otsuse sätted vastavad määruse artiklites 14–22 sätestatud õigustele ja kohustustele ning kui asjaomaste õiguste järgimine ja kohustuste täitmine ohustaks IG/INi juurdlustegevust, paljastaks muu hulgas tema juurdlusvahendid ja -meetodid või kahjustaks teiste andmesubjektide õigusi ja vabadusi.

3.   Kui käesoleva otsuse artiklitest 4–7 ei tulene teisiti, võib IG/IN piirata ka käesoleva artikli lõikes 2 osutatud õigusi ja kohustusi, mis on seotud EIP talitustelt, OLAFilt või muudelt Euroopa Liidu institutsioonidelt, organitelt, ja asutustelt, liikmesriikide ja kolmandate riikide pädevatelt asutustelt või rahvusvahelistelt organisatsioonidelt saadud isikuandmetega, järgmistel juhtudel:

| a) | kui nende õiguste kasutamist ja kohustuste täitmist võiksid piirata teised EIP talitused, OLAF või teised Euroopa Liidu institutsioonid, organid ja asutused määruse artiklis 25 osutatud muude õigusaktide alusel või kooskõlas nimetatud määruse IX peatükiga; |
| --- | --- |

a)

kui nende õiguste kasutamist ja kohustuste täitmist võiksid piirata teised EIP talitused, OLAF või teised Euroopa Liidu institutsioonid, organid ja asutused määruse artiklis 25 osutatud muude õigusaktide alusel või kooskõlas nimetatud määruse IX peatükiga;

| b) | kui nende õiguste järgimist ja kohustuste täitmist võiksid piirata liikmesriikide pädevad asutused Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (10) artiklis 23 osutatud õigusaktide alusel või selliste siseriiklike meetmete alusel, millega on üle võetud Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/680 (11) artikli 13 lõige 3, artikli 15 lõige 3 või artikli 16 lõige 3; |
| --- | --- |

b)

kui nende õiguste järgimist ja kohustuste täitmist võiksid piirata liikmesriikide pädevad asutused Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (10) artiklis 23 osutatud õigusaktide alusel või selliste siseriiklike meetmete alusel, millega on üle võetud Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/680 (11) artikli 13 lõige 3, artikli 15 lõige 3 või artikli 16 lõige 3;

| c) | kui nende õiguste kasutamine ja kohustuste täitmine võiks kahjustada IG/INi koostööd kolmandate riikide või rahvusvaheliste organisatsioonidega tema ülesannete täitmisel. |
| --- | --- |

c)

kui nende õiguste kasutamine ja kohustuste täitmine võiks kahjustada IG/INi koostööd kolmandate riikide või rahvusvaheliste organisatsioonidega tema ülesannete täitmisel.

Enne piirangute kohaldamist esimese lõigu punktides a ja b kirjeldatud asjaoludel konsulteerib IG/IN asjaomaste EIP talituste, OLAFi, Euroopa Liidu institutsioonide, organite või asutuste või liikmesriikide pädevate asutustega, välja arvatud juhul, kui IG/INi jaoks on selge, et piirangu kohaldamine on ette nähtud mõne neis punktides osutatud õigusaktiga.

Esimese lõigu punkti c ei kohaldata, kui andmesubjekti huvid või põhiõigused ja -vabadused on kaalukamad kui Euroopa Liidu huvi teha koostööd kolmandate riikide või rahvusvaheliste organisatsioonidega.

Artikkel 4

Andmesubjektide teavitamine

1.   IG/IN avaldab EIP veebisaidil andmekaitseteate, mis teavitab kõiki andmesubjekte tema tegevusest, milles töödeldakse nende isikuandmeid.

2.   IG/IN teavitab individuaalselt kõiki andmesubjekte, keda ta peab juurdlusalusteks isikuteks, tunnistajateks või informaatoriteks EIP pettustevastase poliitika ja uurimiskorra tähenduses.

3.   Kui IG/IN piirab lõikes 2 osutatud andmesubjektide teavitamist täielikult või osaliselt, dokumenteerib ta piirangu kehtestamise põhjused, sealhulgas hinnangu selle piirangu vajalikkuse ja proportsionaalsuse kohta.

Selleks tuleb dokumenteerida, kuidas ohustaks asjaomase teabe esitamine IG/INi juurdlustegevuse või artikli 3 lõike 3 kohaselt kehtestatud piirangute eesmärke või kuidas see kahjustaks teiste andmesubjektide õigusi ja vabadusi.

Põhjusi sisaldav dokument ja vajaduse korral ka asjakohaseid faktilisi ning õiguslikke elemente sisaldavad dokumendid registreeritakse. Taotluse korral tehakse need kättesaadavaks Euroopa Andmekaitseinspektorile.

4.   Lõikes 3 osutatud piirangut kohaldatakse seni, kuni kehtivad selle kehtestamise põhjused.

Kui piirangu põhjused enam ei kehti, edastab IG/IN andmesubjektile asjakohase teabe ja piirangu põhjused. Samal ajal teavitab IG/IN andmesubjekti võimalusest esitada kaebus Euroopa Andmekaitseinspektorile või pöörduda Euroopa Liidu Kohtusse.

IG/IN vaatab piirangu kohaldamise läbi vähemalt iga kuue kuu tagant pärast selle vastuvõtmist ning samuti asjaomase juurdluse lõpetamise korral. Pärast seda hindab piirangu kohaldamise vajalikkust vastutav töötleja üks kord aastas.

Artikkel 5

Andmesubjekti õigus andmetega tutvuda

1.   Kui andmesubjektid taotlevad juurdepääsu oma isikuandmetele, mida töödeldakse seoses ühe või mitme konkreetse juhtumiga, või konkreetsele isikuandmete töötlemise toimingule kooskõlas määruse artikliga 17, piirdub IG/IN taotluse hindamisel ainult nende isikuandmetega.

2.   Kui IG/IN piirab määruse artiklis 17 sätestatud andmetega tutvumise õigust täielikult või osaliselt, teeb ta järgmist:

| a) | teatab oma vastuses andmesubjekti taotlusele piirangu kehtestamisest, selle peamistest põhjustest ning võimalusest esitada kaebus Euroopa Andmekaitseinspektorile või pöörduda Euroopa Liidu Kohtusse; |
| --- | --- |

a)

teatab oma vastuses andmesubjekti taotlusele piirangu kehtestamisest, selle peamistest põhjustest ning võimalusest esitada kaebus Euroopa Andmekaitseinspektorile või pöörduda Euroopa Liidu Kohtusse;

| b) | dokumenteerib piirangu kehtestamise põhjused, sealhulgas hinnangu selle piirangu vajalikkuse ja proportsionaalsuse kohta; selleks tuleb dokumenteerida, kuidas ohustaks juurdepääsu võimaldamine IG/INi juurdlustegevuse või artikli 3 lõike 3 kohaselt kehtestatud piirangute eesmärke või kuidas see kahjustaks teiste andmesubjektide õigusi ja vabadusi. |
| --- | --- |

b)

dokumenteerib piirangu kehtestamise põhjused, sealhulgas hinnangu selle piirangu vajalikkuse ja proportsionaalsuse kohta; selleks tuleb dokumenteerida, kuidas ohustaks juurdepääsu võimaldamine IG/INi juurdlustegevuse või artikli 3 lõike 3 kohaselt kehtestatud piirangute eesmärke või kuidas see kahjustaks teiste andmesubjektide õigusi ja vabadusi.

Punktis a osutatud teabe esitamist võib edasi lükata, teabe võib esitamata jätta või selle esitamisest keelduda kooskõlas määruse artikli 25 lõikega 8.

3.   Lõike 2 esimese lõigu punktis b osutatud põhjusi sisaldav dokument ja vajaduse korral asjakohaseid faktilisi ning õiguslikke elemente sisaldavad dokumendid registreeritakse. Taotluse korral tehakse need kättesaadavaks Euroopa Andmekaitseinspektorile. Kohaldatakse määruse (EL) 2018/1725 artikli 25 lõiget 7.

Artikkel 6

Andmete parandamise ja kustutamise ning nende töötlemise piiramise õigus

Kui IG/IN piirab isikuandmete parandamise, kustutamise või nende töötlemise piiramise õigust osaliselt või täielikult, nagu on osutatud määruse (EL) 2018/1725 artiklis 18, artikli 19 lõikes 1 ja artikli 20 lõikes 1, võtab ta käesoleva otsuse artikli 5 lõikes 2 sätestatud meetmed ja registreerib asjaomased dokumendid kooskõlas artikli 5 lõikega 3.

Artikkel 7

Andmesubjekti teavitamine isikuandmetega seotud rikkumisest

Kui IG/IN piirab andmesubjekti teavitamist isikuandmetega seotud rikkumistest, nagu on osutatud määruse artiklis 35, dokumenteerib ja registreerib ta piirangu põhjused kooskõlas käesoleva otsuse artikli 4 lõikega 3. Kohaldatakse käesoleva otsuse artikli 4 lõiget 4.

Artikkel 8

Andmekaitseametniku teostatav läbivaatamine

IG/IN teavitab põhjendamatu viivituseta andmekaitseametnikku, kui ta piirab andmesubjektide õigusi vastavalt käesolevale otsusele, ning annab juurdepääsu põhjusi sisaldavale dokumendile ning piirangu vajalikkuse ja proportsionaalsuse hinnangule.

Andmekaitseametnik võib taotleda IG/INilt kirjalikult piirangute läbivaatamist. IG/IN teavitab andmekaitseametnikku taotluse kohaselt korraldatud läbivaatamise tulemustest kirjalikult.

II PEATÜKK

EIP GRUPI VASTAVUSOSAKOND

Artikkel 9

Reguleerimisese ja kohaldamisala

1.   Käesolevas peatükis sätestatakse eeskirjad, mida OCCO peab järgima, kui ta teavitab andmesubjekte kooskõlas määruse (EL) 2018/1725 artiklitega 14, 15 ja 16 nende andmete töötlemisest.

Lisaks sätestatakse käesolevas otsuses tingimused, mille korral OCCO võib vastavalt määruse (EL) 2018/1725 artiklile 25 piirata kõnealuse määruse artiklite 14–22, 35 ja 36 ning artikli 4 kohaldamist.

2.   Käesolevat peatükki kohaldatakse isikuandmete töötlemise suhtes tegevuse eesmärgil või seoses tegevusega, mida OCCO teeb oma GCCO ametivolitustest, usaldusväärsuse poliitikast ja vastavuskontrolli hartast ning muudest sise-eeskirjadest ja poliitikatest tulenevate ülesannete täitmiseks.

3.   OCCO töötleb oma tegevuse raames mitmeid isikuandmete kategooriaid, eelkõige identifitseerimisandmeid, kontaktandmed, kutsealaseid andmeid ja juhtumisse kaasatuse andmeid.

Artikkel 10

Vastutava töötleja ja kaitsemeetmete määratlemine

1.   GCCO tegutseb asjaomase vastutava töötlejana.

2.   Isikuandmeid säilitatakse turvalises elektroonilises ja füüsilises keskkonnas, mis aitab ära hoida ebaseaduslikku juurdepääsu või andmete edastamist isikutele, kellel puudub teadmisvajadus.

3.   OCCO töödeldavaid isikuandmeid säilitatakse vähemalt kuus kuud pärast juhtumi lõpetamist ja kuni viis aastat pärast haldusjuurdluse lõpetamist.

4.   Eespool märgitust pikemaid perioode kohaldatakse kokkuleppel andmekaitseametnikuga erakorralistel ja nõuetekohaselt põhjendatud juhtudel.

Artikkel 11

Kohaldatavad erandid ja piirangud

1.   OCCO kaalub oma kohuste täitmisel andmesubjektide õiguste suhtes vastavalt määrusele (EL) 2018/1725, kas on kohaldatav mõni selles määruses sätestatud eranditest.

2.   Kui käesoleva otsuse artiklitest 12–15 ei tulene teisiti, võib OCCO piirata määruse (EL) 2018/1725 artiklite 14–22 ning 35 ja 36, samuti artikli 4 kohaldamist, kui käesoleva otsuse sätted vastavad määruse (EL) 2018/1725 artiklites 14–22 sätestatud õigustele ja kohustustele ning kui asjaomaste õiguste kasutamine ja kohustuste täitmine ohustaks OCCO haldusjuurdluseid, paljastaks muu hulgas tema haldusjuurdluse vahendid ja meetodid või kahjustaks teiste andmesubjektide õigusi ja vabadusi.

3.   Kui käesoleva otsuse artiklitest 12–15 ei tulene teisiti, võib OCCO piirata ka käesoleva artikli lõikes 2 osutatud õigusi ja kohustusi, mis on seotud EIP talitustelt või teistelt Euroopa Liidu institutsioonidelt, organitelt, ja asutustelt, liikmesriikide ja kolmandate riikide pädevatelt asutustelt või rahvusvahelistelt organisatsioonidelt saadud isikuandmetega, järgmistel juhtudel:

| a) | kui nende õiguste kasutamist ja kohustuste täitmist võiksid piirata teised EIP talitused, Euroopa Liidu institutsioonid, organid ja asutused määruse (EL) 2018/1725 artiklis 25 osutatud muude õigusaktide alusel või kooskõlas nimetatud määruse IX peatükiga; |
| --- | --- |

a)

kui nende õiguste kasutamist ja kohustuste täitmist võiksid piirata teised EIP talitused, Euroopa Liidu institutsioonid, organid ja asutused määruse (EL) 2018/1725 artiklis 25 osutatud muude õigusaktide alusel või kooskõlas nimetatud määruse IX peatükiga;

| b) | kui nende õiguste kasutamist ja kohustuste täitmist võiksid piirata liikmesriikide pädevad asutused määruse (EL) 2016/679 artiklis 23 osutatud õigusaktide alusel või selliste siseriiklike meetmete alusel, millega on üle võetud direktiivi (EL) 2016/680 artikli 13 lõige 3, artikli 15 lõige 3 või artikli 16 lõige 3; |
| --- | --- |

b)

kui nende õiguste kasutamist ja kohustuste täitmist võiksid piirata liikmesriikide pädevad asutused määruse (EL) 2016/679 artiklis 23 osutatud õigusaktide alusel või selliste siseriiklike meetmete alusel, millega on üle võetud direktiivi (EL) 2016/680 artikli 13 lõige 3, artikli 15 lõige 3 või artikli 16 lõige 3;

| c) | kui nende õiguste kasutamine ja kohustuste täitmine võiks kahjustada OCCO koostööd kolmandate riikide või rahvusvaheliste organisatsioonidega tema ülesannete täitmisel. |
| --- | --- |

c)

kui nende õiguste kasutamine ja kohustuste täitmine võiks kahjustada OCCO koostööd kolmandate riikide või rahvusvaheliste organisatsioonidega tema ülesannete täitmisel.

Enne piirangute kohaldamist esimese lõigu punktides a ja b kirjeldatud asjaoludel konsulteerib OCCO asjaomaste EIP talituste, Euroopa Liidu institutsioonide, organite või asutuste või liikmesriikide pädevate asutustega, välja arvatud juhul, kui OCCO jaoks on selge, et piirangu kohaldamine on ette nähtud mõne neis punktides osutatud õigusaktiga.

Esimese lõigu punkti c ei kohaldata, kui andmesubjekti huvid või põhiõigused ja -vabadused on kaalukamad kui Euroopa Liidu huvi teha koostööd kolmandate riikide või rahvusvaheliste organisatsioonidega.

Artikkel 12

Andmesubjektide teavitamine

1.   OCCO avaldab EIP sisevõrgus andmekaitseteate, mis teavitab kõiki andmesubjekte tema tegevusest, milles töödeldakse nende isikuandmeid.

2.   OCCO teavitab individuaalselt kõiki andmesubjekte, keda ta peab juurdlusalusteks isikuteks, tunnistajateks ja informaatoriteks.

3.   Kui OCCO piirab lõikes 2 osutatud andmesubjektide teavitamist täielikult või osaliselt, dokumenteerib ta piirangu kehtestamise põhjused, sealhulgas hinnangu selle piirangu vajalikkuse ja proportsionaalsuse kohta.

Selleks tuleb dokumenteerida, kuidas ohustaks asjaomase teabe esitamine OCCO haldusjuurdluste või muu tegevuse või artikli 11 lõike 3 kohaselt kehtestatud piirangute eesmärke või kuidas see kahjustaks teiste andmesubjektide õigusi ja vabadusi.

Põhjusi sisaldav dokument ja vajaduse korral ka asjakohaseid faktilisi ning õiguslikke elemente sisaldavad dokumendid registreeritakse. Taotluse korral tehakse need kättesaadavaks Euroopa Andmekaitseinspektorile.

4.   Lõikes 3 osutatud piirangut kohaldatakse seni, kuni kehtivad selle kehtestamise põhjused.

Kui piirangu põhjused enam ei kehti, edastab OCCO andmesubjektile asjakohase teabe ja piirangu põhjused. Samal ajal teavitab OCCO andmesubjekti võimalusest esitada kaebus Euroopa Andmekaitseinspektorile või pöörduda Euroopa Liidu Kohtusse.

OCCO vaatab piirangu kohaldamise läbi vähemalt iga kuue kuu tagant pärast selle vastuvõtmist, samuti asjaomase haldusjuurdluse lõpetamise korral. Pärast seda hindab piirangu kohaldamise vajalikkust vastutav töötleja üks kord aastas.

Artikkel 13

Andmesubjekti õigus andmetega tutvuda

1.   Kui andmesubjektid taotlevad juurdepääsu oma isikuandmetele, mida töödeldakse seoses ühe või mitme konkreetse juhtumiga, või konkreetsele isikuandmete töötlemise toimingule kooskõlas määruse (EL) 2018/1725 artikliga 17, piirdub OCCO taotluse hindamisel ainult nende isikuandmetega.

2.   Kui OCCO piirab määruse (EL) 2018/1725 artiklis 17 sätestatud andmetega tutvumise õigust täielikult või osaliselt, teeb ta järgmist:

| a) | teatab oma vastuses andmesubjekti taotlusele piirangu kehtestamisest, selle peamistest põhjustest ning võimalusest esitada kaebus Euroopa Andmekaitseinspektorile või pöörduda Euroopa Liidu Kohtusse; |
| --- | --- |

a)

teatab oma vastuses andmesubjekti taotlusele piirangu kehtestamisest, selle peamistest põhjustest ning võimalusest esitada kaebus Euroopa Andmekaitseinspektorile või pöörduda Euroopa Liidu Kohtusse;

| b) | dokumenteerib piirangu kehtestamise põhjused, sealhulgas hinnangu selle piirangu vajalikkuse ja proportsionaalsuse kohta; selleks tuleb dokumenteerida, kuidas ohustaks juurdepääsu võimaldamine OCCO haldusjuurdluste või muu tegevuse või artikli 11 lõike 3 kohaselt kehtestatud piirangute eesmärke või kuidas see kahjustaks teiste andmesubjektide õigusi ja vabadusi. |
| --- | --- |

b)

dokumenteerib piirangu kehtestamise põhjused, sealhulgas hinnangu selle piirangu vajalikkuse ja proportsionaalsuse kohta; selleks tuleb dokumenteerida, kuidas ohustaks juurdepääsu võimaldamine OCCO haldusjuurdluste või muu tegevuse või artikli 11 lõike 3 kohaselt kehtestatud piirangute eesmärke või kuidas see kahjustaks teiste andmesubjektide õigusi ja vabadusi.

Punktis a osutatud teabe esitamist võib edasi lükata, teabe võib esitamata jätta või selle esitamisest keelduda kooskõlas määruse (EL) 2018/1725 artikli 25 lõikega 8.

3.   Lõike 2 esimese lõigu punktis b osutatud põhjusi sisaldav dokument ja vajaduse korral asjakohaseid faktilisi ning õiguslikke elemente sisaldavad dokumendid registreeritakse. Taotluse korral tehakse need kättesaadavaks Euroopa Andmekaitseinspektorile. Kohaldatakse määruse (EL) 2018/1725 artikli 25 lõiget 7.

Artikkel 14

Andmete parandamise ja kustutamise ning nende töötlemise piiramise õigus

Kui OCCO piirab isikuandmete parandamise, kustutamise või nende töötlemise piiramise õigust osaliselt või täielikult, nagu on osutatud määruse (EL) 2018/1725 artiklis 18, artikli 19 lõikes 1 ja artikli 20 lõikes 1, võtab ta käesoleva otsuse artikli 13 lõikes 2 sätestatud meetmed ja registreerib asjaomased dokumendid kooskõlas artikli 13 lõikega 3.

Artikkel 15

Andmesubjekti teavitamine isikuandmetega seotud rikkumisest

Kui OCCO piirab andmesubjekti teavitamist isikuandmetega seotud rikkumistest, nagu on osutatud määruse (EL) 2018/1725 artiklis 35, dokumenteerib ja registreerib ta piirangu põhjused kooskõlas käesoleva otsuse artikli 12 lõikega 3. Kohaldatakse käesoleva otsuse artikli 12 lõiget 4.

Artikkel 16

Andmekaitseametniku teostatav läbivaatamine

OCCO teavitab põhjendamatu viivituseta andmekaitseametnikku, kui ta piirab andmesubjektide õigusi vastavalt käesolevale otsusele, ning annab juurdepääsu põhjusi sisaldavale dokumendile ning piirangu vajalikkuse ja proportsionaalsuse hinnangule.

Andmekaitseametnik võib taotleda vastutavalt töötlejalt kirjalikult piirangute läbivaatamist. OCCO teavitab andmekaitseametnikku taotluse kohaselt korraldatud läbivaatamise tulemustest kirjalikult.

III PEATÜKK

LÕPPSÄTTED

Artikkel 17

Jõustumine

Käesoleva otsuse kiitis EIP direktorite nõukogu heaks 6. veebruaril 2019 ning see jõustub otsuse EIP veebisaidil avaldamise kuupäeval.

Luxembourg, 6. veebruar 2019

---

(1)  
  ELT L 295, 21.11.2018, lk 39.

1

(2)  Isikuandmete töötlemisest IG/INi uurimiste ja vastavusosakonna (OCCO) haldusjuurdluste raames teatati Euroopa Andmekaitseinspektorile.

2

(3)  https://www.eib.org/attachments/strategies/anti_fraud_policy_20130917_en.pdf

3

(4)  http://www.eib.org/attachments/general/fraud_investigatons_charter_2017_en.pdf

4

(5)  http://www.eib.org/en/infocentre/publications/all/staff-code-of-conduct.htm

5

(6)  http://www.eib.org/en/infocentre/publications/all/eib-s-whistleblowing-policy.htm

6

(7)  http://www.eib.org/en/infocentre/publications/all/integrity-policy-and-compliance-charter.htm

7

(8)  http://www.eib.org/en/infocentre/publications/all/anti-fraud-procedures.htm

8

(9)  Euroopa Parlamendi ja nõukogu 18. detsembri 2000. aasta määrus (EÜ) nr 45/2001 üksikisikute kaitse kohta isikuandmete töötlemisel ühenduse institutsioonides ja asutustes ning selliste andmete vaba liikumise kohta (ELT L 8, 12.1.2001, lk 1).

9

(10)  Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 4.5.2016, lk 1).

10

(11)  Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 4.5.2016, lk 89).

11

---