DÉCISION DE LA BANQUE EUROPÉENNE D'INVESTISSEMENT

du 6 février 2019

établissant les règles internes régissant le traitement des données à caractère personnel par la division «Enquête sur les fraudes» de l'Inspection générale et la direction de la conformité de la Banque européenne d'investissement en ce qui concerne la communication d'informations aux personnes concernées et la limitation de certains de leurs droits

LA BANQUE EUROPÉENNE D'INVESTISSEMENT (la «BEI»),

vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 309,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1),

vu les avis du Contrôleur européen de la protection des données (CEPD) (2),

considérant ce qui suit:

(1) En vertu de la politique antifraude de la Banque européenne d'investissement (BEI) (3) et de la charte de la division «Enquête sur les fraudes» (4), la division «Enquête sur les fraudes» de l'Inspection générale («IG/IN») de la BEI est chargée d'enquêter sur les allégations de fraude, corruption, collusion ou coercition, d'obstruction, de blanchiment de capitaux et de financement du terrorisme (les «manœuvres interdites») concernant l'ensemble des activités de la BEI. IG/IN a pour mandat de conduire des enquêtes en rapport avec: i) les membres des instances dirigeantes, le personnel et les consultants de la BEI; ii) les tiers associés aux projets de la BEI; iii) les tiers associés à la passation des marchés de la BEI; iv) les tiers associés aux activités d'emprunt et de trésorerie de la BEI. La conduite d'analyses préventives d'intégrité dans les domaines présentant des risques accrus afin de renforcer l'efficacité et l'efficience des opérations et activités de la BEI relève également du mandat d'IG/IN.

(2) Conformément au code de conduite du personnel de la BEI (5) et à la politique de signalement de la BEI (6), tels que modifiés et complétés périodiquement, les membres du personnel de la BEI sont tenus de signaler toute violation des obligations professionnelles, notamment toute activité illégale, manœuvre interdite et/ou infraction aux réglementations, règles, politiques ou lignes directrices, notamment audit code de conduite, aux services compétents, en fonction de la nature de la violation, à savoir la direction de la conformité de la BEI («OCCO») ou l'Inspection générale de la BEI («IG»).

(3) Aux termes de la charte d'intégrité et de conformité (7) et en vertu du mandat du chef de la conformité du Groupe BEI, celui-ci a pour mission d'identifier et d'évaluer les risques de non-conformité au sein du Groupe BEI, ainsi que de fournir des conseils, d'assurer le suivi et de préparer des rapports y afférents, étant entendu que cette notion recouvre les risques de sanctions légales ou réglementaires, de perte financière ou de perte de réputation auxquels peut être exposée une entité membre du Groupe BEI du fait de son inobservation de l'ensemble des lois, règlements, codes de conduite du personnel et normes de bonnes pratiques en vigueur. Le chef de la conformité du Groupe BEI («GCCO») mène, en vertu de son mandat (le «mandat du GCCO»), les enquêtes administratives nécessaires en cas de suspicion de violation, par des membres du personnel, des codes de conduite du Groupe BEI. Le personnel du Groupe BEI est tenu de coopérer à la réalisation desdites enquêtes administratives conformément aux indications du chef de la conformité du Groupe.

(4) Dans l'exercice de leurs missions respectives, IG/IN et OCCO ont le devoir de respecter les droits des personnes physiques relatifs au traitement des données à caractère personnel consacrés par l'article 8, paragraphe 1, de la charte des droits fondamentaux de l'Union européenne et par l'article 16, paragraphe 1, du traité sur le fonctionnement de l'Union européenne, ainsi que par les actes juridiques fondés sur ces dispositions. Dans le même temps, IG/IN et OCCO sont tenues de se conformer aux règles strictes de confidentialité et de secret professionnel prévues dans le règlement du personnel de la BEI et le code de conduite du personnel de la BEI et de veiller au respect des droits procéduraux des personnes concernées et des témoins, en particulier du droit des personnes concernées à un procès équitable et à la présomption d'innocence.

(5) Dans certains cas, il est nécessaire de concilier les droits des personnes concernées prévus dans le règlement (UE) 2018/1725 (le «règlement») avec les objectifs et les besoins des missions respectives d'IG/IN et d'OCCO, ainsi qu'avec le plein respect des droits fondamentaux et libertés des autres personnes concernées. À cet effet, l'article 25 du règlement confère à IG/IN et à OCCO la possibilité de limiter, dans le cadre de leurs mandats respectifs, l'application des articles 14 à 22, 35 et 36, ainsi que de l'article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22. Pour cela, il est nécessaire d'adopter des règles internes en vertu desquelles le responsable du traitement des données concerné peut limiter les droits des personnes concernées conformément à l'article 25 du règlement.

(6) Les règles internes devraient s'appliquer à toutes les opérations de traitement effectuées par IG/IN et OCCO dans le cadre de l'exécution de leurs mandats, inscrits respectivement dans la politique antifraude de la BEI, la charte de la division «Enquête sur les fraudes» de la BEI, la charte d'intégrité et de conformité et le mandat du GCCO, d'un bout à l'autre du processus.

(7) Pour se conformer aux articles 14, 15 et 16 du règlement, le responsable du traitement des données devrait informer toutes les personnes concernées de ses activités nécessitant un traitement de leurs données à caractère personnel et de leurs droits, de manière transparente et cohérente, en publiant des avis relatifs à la protection des données sur les sites internet et intranet de la BEI, et informer individuellement les personnes concernées par ses activités (personnes concernées, témoins et informateurs).

(8) IG/IN et OCCO peuvent être amenées à appliquer certaines limitations prévues à l'article 25 du règlement aux opérations de traitement des données effectuées dans le cadre de leurs missions définies respectivement dans i) la politique antifraude de la BEI et les procédures d'enquête dans le cas d'IG/IN (8), et ii) le mandat du GCCO dans le cas d'OCCO.

(9) La communication entre l'Office européen de lutte antifraude (OLAF) et la BEI s'effectue conformément à l'accord administratif conclu le 31 mars 2016 entre l'OLAF et la BEI.

(10) En outre, en vue de préserver l'efficacité de la coopération, IG/IN et OCCO peuvent être amenées à appliquer des limitations aux droits des personnes concernées afin de protéger des informations contenant des données à caractère personnel provenant d'autres services de la BEI, d'autres institutions, organes ou organismes de l'Union européenne, des autorités compétentes des États membres ou de pays tiers, ainsi que d'organisations internationales. À cet effet, IG/IN et OCCO devraient consulter ces autres services de la BEI, institutions, organes, organismes, autorités out organisations internationales au sujet des motifs pertinents, de la nécessité et de la proportionnalité desdites limitations.

(11) IG/IN et OCCO devraient traiter toutes les limitations de manière transparente et consigner chaque demande de limitations dans le système d'enregistrement correspondant.

(12) En vertu de l'article 25, paragraphe 8, du règlement, les responsables du traitement des données peuvent différer ou omettre la communication des motifs de l'application d'une limitation à la personne concernée, lorsqu'elle est susceptible de priver d'effet la limitation. En particulier, lorsqu'une limitation des droits prévus aux articles 16 et 35 est appliquée, la notifier pourrait la priver d'effet Afin de garantir que le droit de la personne concernée à être informée conformément aux articles 16 et 35 du règlement (UE) 2018/1725 n'est limité que tant que les motifs d'un report de communication subsistent, le responsable du traitement des données en question devrait régulièrement réexaminer sa position.

(13) Dès lors qu'une limitation des droits des autres personnes concernées est appliquée, le responsable du traitement des données doit évaluer, au cas par cas, si la communication de la limitation risque de la priver d'effet.

(14) La BEI a désigné son propre délégué à la protection des données («DPD») conformément aux dispositions de l'article 24 du règlement (CE) no 45/2001 du Parlement européen et du Conseil (9).

(15) Le DPD peut procéder à un examen indépendant de l'application des limitations, en vue d'assurer le respect de la présente décision,

A ADOPTÉ LA PRÉSENTE DÉCISION:

CHAPITRE I

DIVISION «ENQUÊTE SUR LES FRAUDES» DE L'INSPECTION GÉNÉRALE

Article premier Objet et champ d'application 1. Le présent chapitre établit les règles à suivre par le responsable du traitement des données correspondant, au sens de l'article 2, paragraphe 1, de la présente décision, afin d'informer les personnes concernées du traitement de leurs données, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725. Il établit en outre les conditions dans lesquelles le responsable du traitement des données correspondant peut limiter l'application de l'article 4, des articles 14 à 22 et des articles 35 et 36 du règlement, conformément à l'article 25 dudit règlement. 2. Le présent chapitre est applicable aux opérations de traitement de données à caractère personnel par IG/IN aux fins des activités menées en vue d'accomplir les tâches d'IG/IN visées dans la politique antifraude de la BEI et la charte de la division «Enquête sur les fraudes» de la BEI. 3. Dans le cadre de son mandat, IG/IN traite plusieurs catégories de données à caractère personnel, en particulier des données d'identification, données professionnelles, données de contact et données relatives au rôle joué dans l'affaire.

Article 2 Détermination du responsable du traitement des données et mesures de sauvegarde 1. Le responsable du traitement des données est le chef de la division «Enquête sur les fraudes» (IG/IN). 2. Les données à caractère personnel sont conservées dans un environnement électronique et physique sécurisé, qui empêche leur consultation ou transfert illicite par ou à des personnes qui n'ont pas besoin d'en connaître. 3. Les données à caractère personnel sont conservées pendant une durée de cinq ans au minimum et jusqu'à dix ans au maximum à compter de la clôture de l'enquête. Les données qui concernent des cas infondés sont conservées pendant cinq ans au maximum. 4. Des délais plus longs que ceux indiqués ci-dessus sont appliqués dans des cas exceptionnels et dûment justifiés, sous réserve de l'accord du DPD.

Article 3 Exceptions et limitations applicables 1. Lorsque IG/IN exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement, cette division examine la question de savoir si l'une des exceptions prévues par ledit règlement s'applique. 2. Sous réserve des dispositions des articles 4 à 7 de la présente décision, IG/IN peut limiter l'application des articles 14 à 22 et des articles 35 et 36 du règlement, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 du règlement dans le cas où l'exercice de ces droits et obligations compromettrait la finalité de l'enquête et des autres activités d'IG/IN, notamment en révélant ses outils et méthodes d'enquête, ou porterait atteinte aux droits et libertés des autres personnes concernées. 3. Sous réserve des dispositions des articles 4 à 7 de la présente décision, IG/IN peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d'un ou de plusieurs services de la BEI, de l'OLAF ou d'autres institutions, organes ou organismes de l'Union européenne, d'autorités compétentes des États membres ou de pays tiers, ou d'organisations internationales, dans les cas suivants: a) lorsque l'exercice de ces droits et obligations pourrait être limité par d'autres services de la BEI, de l'OLAF ou d'autres institutions, organes ou organismes de l'Union européenne sur la base d'autres actes prévus à l'article 25 du règlement ou conformément au chapitre IX dudit règlement; b) lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 du Parlement européen et du Conseil (10), ou en vertu de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680 du Parlement européen et du Conseil (11); c) lorsque l'exercice de ces droits et obligations risque de compromettre la coopération d'IG/IN avec des pays tiers ou des organisations internationales dans l'accomplissement de ses missions. Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, IG/IN consulte le ou les services compétents de la BEI, de l'OLAF, des institutions, organes ou organismes de l'Union européenne ou les autorités compétentes des États membres à moins qu'il ne soit clair pour IG/IN que l'application d'une limitation est prévue par l'un des actes visés à ces points. Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l'intérêt de l'Union européenne à coopérer avec des pays tiers ou des organisations internationales.

Article 4 Communication d'informations aux personnes concernées 1. IG/IN publie sur le site internet de la BEI un avis relatif à la protection des données qui informe toutes les personnes concernées de ses activités nécessitant un traitement de leurs données à caractère personnel. 2. IG/IN informe individuellement toutes les personnes qu'elle considère comme des personnes concernées, des témoins ou des informateurs au sens de la politique antifraude et des procédures d'enquête de la BEI. 3. Lorsque IG/IN limite, en tout ou en partie, la communication d'informations aux personnes concernées visées au paragraphe 2, cette division veille à consigner dans un relevé les motifs de la limitation, accompagnés d'une évaluation de la nécessité et de la proportionnalité de cette dernière. À cette fin, le relevé précise la manière dont la communication des informations compromettrait la finalité des activités d'enquête d'IG/IN ou des limitations appliquées conformément à l'article 3, paragraphe 3, ou dont elle porterait atteinte aux droits et libertés d'autres personnes concernées. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du CEPD sur demande. 4. Les limitations visées au paragraphe 3 continuent de s'appliquer tant que les motifs les justifiant subsistent. Lorsque les raisons justifiant ces limitations cessent d'exister, IG/IN fournit à la personne concernée les informations en question et les motifs de la limitation. Dans le même temps, IG/IN informe la personne concernée de la possibilité de déposer une plainte auprès du CEPD à tout moment ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne. IG/IN examine l'application de la limitation au moins tous les six mois à compter de son adoption et à la clôture de l'enquête en question. Par la suite, le responsable du traitement des données vérifie la nécessité de maintenir la limitation sur une base annuelle.

Article 5 Droit d'accès de la personne concernée 1. Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d'un ou de plusieurs cas spécifiques ou d'une opération de traitement particulière, conformément à l'article 17 du règlement, IG/IN limite son examen de la demande à ces seules données à caractère personnel. 2. Lorsque IG/IN limite, en tout ou en partie, le droit d'accès visé à l'article 17 du règlement, cette division prend les mesures suivantes: a) elle informe la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité d'introduire une plainte auprès du CEPD ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne; b) elle consigne dans un relevé les motifs de la limitation, accompagnés d'une évaluation de sa nécessité et de sa proportionnalité; à cette fin, le relevé précise la manière dont l'accès aux informations compromettrait la finalité des activités d'enquête d'IG/IN ou des limitations appliquées conformément à l'article 3, paragraphe 3, ou dont il porterait atteinte aux droits et libertés d'autres personnes concernées. La communication des informations visées au point a) peut être différée, omise ou refusée conformément à l'article 25, paragraphe 8, du règlement. 3. Le relevé mentionné au paragraphe 2, premier alinéa, point b), et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du CEPD sur demande. L'article 25, paragraphe 7, du règlement (UE) 2018/1725 s'applique.

Article 6 Droit de rectification, droit à l'effacement et droit à la limitation du traitement Dans le cas où IG/IN limite, en tout ou partie, l'application du droit de rectification, du droit à l'effacement ou du droit à la limitation du traitement, visés à l'article 18, à l'article 19, paragraphe 1, et à l'article 20, paragraphe 1, du règlement (UE) 2018/1725, cette division prend les mesures visées à l'article 5, paragraphe 2, de la présente décision, et enregistre le relevé conformément à son article 5, paragraphe 3.

Article 7 Communication à la personne concernée d'une violation de données à caractère personnel Dans le cas où IG/IN limite la communication d'une violation de données à caractère personnel à la personne concernée, visée à l'article 35 du règlement, elle consigne et enregistre les motifs de cette limitation conformément à l'article 4, paragraphe 3, de la présente décision. L'article 4, paragraphe 4, de la présente décision s'applique.

Article 8 Contrôle par le délégué à la protection des données IG/IN informe sans délai le DPD chaque fois que les droits des personnes concernées sont limités conformément à la présente décision et lui donne accès au relevé et à l'évaluation de la nécessité et de la proportionnalité de la limitation. Le DPD peut demander par écrit le réexamen de l'application des limitations. IG/IN informe le DPD par écrit du résultat du réexamen demandé.

CHAPITRE II

DIRECTION DE LA CONFORMITÉ DU GROUPE BEI

Article 9 Objet et champ d'application 1. Le présent chapitre établit les règles à suivre par OCCO pour informer les personnes concernées du traitement de leurs données, conformément aux articles 14, 15 et 16 du règlement (UE) 2018/1725. Il établit en outre les conditions dans lesquelles OCCO peut limiter l'application de l'article 4, des articles 14 à 22 et des articles 35 et 36 du règlement (UE) 2018/1725, conformément à l'article 25 dudit règlement. 2. Le présent chapitre est applicable aux opérations de traitement de données à caractère personnel par OCCO aux fins des activités menées en vue d'accomplir les tâches visées dans le mandat du GCCO, la charte d'intégrité et de conformité et d'autres règles et politiques internes. 3. Dans le cadre de ses activités, OCCO traite plusieurs catégories de données à caractère personnel, en particulier des données d'identification, données professionnelles, données de contact et données relatives au rôle joué dans l'affaire.

Article 10 Détermination du responsable du traitement des données et mesures de sauvegarde 1. Le GCCO agit en qualité de responsable du traitement des données. 2. Les données à caractère personnel sont conservées dans un environnement électronique et physique sécurisé qui empêche leur consultation ou transfert illicite par ou à des personnes qui n'ont pas besoin d'en connaître. 3. Les données à caractère personnel traitées par OCCO sont conservées pendant une période de six mois au minimum après le rejet du dossier et pendant une période de cinq ans maximum après la clôture de l'enquête administrative. 4. Des délais plus longs que ceux indiqués ci-dessus sont appliqués dans des cas exceptionnels et dûment justifiés, sous réserve de l'accord du DPD.

Article 11 Exceptions et limitations applicables 1. Lorsque OCCO exerce ses fonctions en ce qui concerne les droits des personnes concernées en vertu du règlement (UE) 2018/1725, cette direction examine la question de savoir si l'une des exceptions prévues par le règlement s'applique. 2. Sous réserve des dispositions des articles 12 à 15 de la présente décision, OCCO peut limiter l'application des articles 14 à 22 et des articles 35 et 36 du règlement (UE) 2018/1725, ainsi que de son article 4, dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22 du règlement (UE) 2018/1725, dans le cas où l'exercice de ces droits et obligations compromettrait la finalité des enquêtes administratives et des autres activités d'OCCO, notamment en révélant ses outils et méthodes d'enquête administrative, ou porterait atteinte aux droits et libertés d'autres personnes concernées. 3. Sous réserve des dispositions des articles 12 à 15 de la présente décision, OCCO peut limiter les droits et obligations visés au paragraphe 2 du présent article en ce qui concerne les données à caractère personnel obtenues auprès d'un ou de plusieurs services de la BEI, d'institutions, organes ou organismes de l'Union européenne, d'autorités compétentes des États membres ou des pays tiers, ou d'organisations internationales, dans les cas suivants: a) lorsque l'exercice de ces droits et obligations pourrait être limité par d'autres services de la BEI ou d'institutions, organes ou organismes de l'Union européenne sur la base d'autres actes prévus à l'article 25 du règlement (UE) 2018/1725 ou conformément au chapitre IX dudit règlement; b) lorsque l'exercice de ces droits et obligations pourrait être limité par les autorités compétentes des États membres sur la base des actes visés à l'article 23 du règlement (UE) 2016/679 ou en vertu de mesures nationales transposant l'article 13, paragraphe 3, l'article 15, paragraphe 3, ou l'article 16, paragraphe 3, de la directive (UE) 2016/680; c) lorsque l'exercice de ces droits et obligations risque de compromettre la coopération d'OCCO avec des pays tiers ou des organisations internationales dans l'accomplissement de ses missions. Avant d'appliquer des limitations dans les cas visés aux points a) et b) du premier alinéa, OCCO consulte le ou les services compétents de la BEI, les institutions, organes ou organismes de l'Union européenne ou les autorités compétentes des États membres à moins qu'il ne soit clair pour OCCO que l'application d'une limitation est prévue par l'un des actes visés à ces points. Le point c) du premier alinéa ne s'applique pas lorsque les intérêts ou les libertés et droits fondamentaux des personnes concernées prévalent sur l'intérêt de l'Union européenne à coopérer avec des pays tiers ou des organisations internationales.

Article 12 Communication d'informations aux personnes concernées 1. OCCO publie sur le site intranet de la BEI un avis relatif à la protection des données qui informe toutes les personnes concernées de ses activités nécessitant un traitement de leurs données à caractère personnel. 2. OCCO informe individuellement toutes les personnes qu'il considère comme des personnes concernées, des témoins ou des informateurs. 3. Lorsque OCCO limite, en tout ou en partie, la communication d'informations aux personnes concernées visées au paragraphe 2, cette direction veille à consigner dans un relevé les motifs de la limitation, accompagnés d'une évaluation de sa nécessité et de sa proportionnalité. À cette fin, le relevé précise la manière dont la communication des informations compromettrait la finalité des activités d'enquête administrative ou d'autres activités d'OCCO, ou des limitations appliquées conformément à l'article 11, paragraphe 3, ou dont elle porterait atteinte aux droits et libertés d'autres personnes concernées. Le relevé et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du CEPD sur demande. 4. Les limitations visées au paragraphe 3 continuent de s'appliquer tant que les motifs les justifiant subsistent. Lorsque les raisons justifiant ces limitations cessent d'exister, OCCO fournit à la personne concernée les informations en question et les motifs de la limitation. Dans le même temps, OCCO informe la personne concernée de la possibilité de déposer une plainte auprès du CEPD à tout moment ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne. OCCO examine l'application de la limitation au moins tous les six mois à compter de son adoption et à la clôture de l'enquête administrative en question. Par la suite, le responsable du traitement des données vérifie la nécessité de maintenir la limitation sur une base annuelle.

Article 13 Droit d'accès de la personne concernée 1. Dans les cas où les personnes concernées demandent à accéder à leurs données à caractère personnel traitées dans le cadre d'un ou de plusieurs cas spécifiques ou d'une opération de traitement particulière, conformément à l'article 17 du règlement (UE) 2018/1725, OCCO limite son examen de la demande à ces seules données à caractère personnel. 2. Lorsque OCCO limite, en tout ou en partie, le droit d'accès visé à l'article 17 du règlement (UE) 2018/1725, cette direction prend les mesures suivantes: a) informer la personne concernée, dans sa réponse à la demande, de la limitation appliquée et des principales raisons qui la motivent, ainsi que de la possibilité d'introduire une plainte auprès du CEPD ou de former un recours juridictionnel devant la Cour de justice de l'Union européenne; b) consigner dans un relevé les motifs de la limitation, accompagnés d'une évaluation de sa nécessité et de sa proportionnalité; à cette fin, le relevé précise la manière dont l'accès aux informations compromettrait la finalité des activités d'enquête administrative ou d'autres activités d'OCCO ou des limitations appliquées conformément à l'article 11, paragraphe 3, ou dont il porterait atteinte aux droits et libertés d'autres personnes concernées. La communication des informations visées au point a) peut être différée, omise ou refusée conformément à l'article 25, paragraphe 8, du règlement (UE) 2018/1725. 3. Le relevé mentionné au paragraphe 2, premier alinéa, point b), et, le cas échéant, les documents contenant des éléments factuels et juridiques sous-jacents sont enregistrés. Ils sont mis à la disposition du CEPD sur demande. L'article 25, paragraphe 7, du règlement (UE) 2018/1725 s'applique.

Article 14 Droit de rectification, droit à l'effacement et droit à la limitation du traitement Dans le cas où OCCO limite, en tout ou partie, l'application du droit de rectification, du droit à l'effacement ou du droit à la limitation du traitement, visés à l'article 18, à l'article 19, paragraphe 1, et à l'article 20, paragraphe 1, du règlement (UE) 2018/1725, cette direction prend les mesures visées à l'article 13, paragraphe 2, de la présente décision, et enregistre le relevé conformément à son article 13, paragraphe 3.

Article 15 Communication à la personne concernée d'une violation de données à caractère personnel Dans le cas où OCCO limite la communication d'une violation de données à caractère personnel à la personne concernée, visée à l'article 35 du règlement (UE) 2018/1725, elle consigne et enregistre les raisons de cette limitation conformément à l'article 12, paragraphe 3, de la présente décision. L'article 12, paragraphe 4, de la présente décision s'applique.

Article 16 Contrôle par le délégué à la protection des données OCCO informe sans délai le DPD chaque fois qu'elle limite les droits des personnes concernées conformément à la présente décision et lui donne accès au relevé et à l'évaluation de la nécessité et de la proportionnalité de la limitation. Le DPD peut demander par écrit au responsable du traitement des données un réexamen de l'application des limitations. OCCO informe le DPD par écrit du résultat du réexamen demandé.

CHAPITRE III

DISPOSITIONS FINALES

Article 17 Entrée en vigueur La présente décision a été approuvée par le Conseil d'administration de la BEI le 6 février 2019 et entre en vigueur le jour de sa publication sur la page web de la BEI.

Fait à Luxembourg, le 6 février 2019.

(1) JO L 295 du 21.11.2018, p. 39.

(2) Le CEPD a été informé du traitement des données à caractère personnel dans le cadre des enquêtes d'IG/IN ou des enquêtes administratives d'OCCO.

(3) http://www.eib.org/attachments/strategies/anti_fraud_policy_20130917_fr.pdf

(4) http://www.eib.org/attachments/general/fraud_investigatons_charter_2017_fr.pdf

(5) http://www.eib.org/fr/infocentre/publications/all/staff-code-of-conduct.htm

(6) http://www.eib.org/fr/infocentre/publications/all/eib-s-whistleblowing-policy.htm

(7) http://www.eib.org/fr/infocentre/publications/all/integrity-policy-and-compliance-charter.htm

(8) http://www.eib.org/fr/infocentre/publications/all/anti-fraud-procedures.htm

(9) Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1).

(10) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(11) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).