ДИРЕКТИВА ЗА ИЗПЪЛНЕНИЕ (ЕС) 2015/2392 НА КОМИСИЯТА
от 17 декември 2015 година
относно Регламент (ЕС) № 596/2014 на Европейския парламент и на Съвета по отношение на съобщаването на компетентните органи за действителни или възможни нарушения на посочения регламент
ЕВРОПЕЙСКАТА КОМИСИЯ,
като взе предвид Договора за функционирането на Европейския съюз,
като взе предвид Регламент (ЕС) № 596/2014 на Европейския парламент и на Съвета от 16 април 2014 г. относно пазарната злоупотреба (Регламент относно пазарната злоупотреба) и за отмяна на Директива 2003/6/ЕО на Европейския парламент и на Съвета и директиви 2003/124/ЕО, 2003/125/ЕО и 2004/72/ЕО на Комисията (1), и по-специално член 32, параграф 5 от него,
като има предвид, че:
(1)
Лицата, които съобщават за действителни или възможни нарушения на Регламент (ЕС) № 596/2014 (подаващите сигнали за нарушения лица) на компетентните органи, могат да предоставят нова информация на вниманието на компетентните органи и да им съдействат за разкриването на нарушения, свързани с пазарна злоупотреба, както и за налагането на съответните санкции. Подаването на сигналите за нарушения обаче може да бъде възпрепятствано от страх от ответни действия, дискриминация или разкриване на лични данни. Следователно са необходими адекватни мерки във връзка с подаването на сигнали за нарушения, за да се гарантира цялостната защита и зачитането на основните права на подаващите сигнали за нарушения лица, както и на обвиненото лице. Лицата, които умишлено съобщават невярна или подвеждаща информация на компетентните органи, следва да не се считат за подаващи сигнали за нарушения лица, и следователно не следва да се ползват от механизми за защита.
(2)
Анонимното съобщаване следва да бъде разрешено от компетентните органи, а механизмите за защита, предвидени в настоящата директива, следва да се прилагат дори в случаите, когато анонимни лица, подаващи сигнали за нарушения, решат да разкрият самоличността си пред компетентния орган на по-късен етап. Подаващите сигнали за нарушения лица следва да бъдат свободни да подават съобщения чрез вътрешни процедури, когато такива съществуват, или директно на компетентния орган.
(3)
Ще бъдат необходими професионално обучени специализирани служители на компетентните органи, включително по отношение на приложимите правила за защита на личните данни, за обработване на подадените съобщения за нарушения на Регламент (ЕС) № 596/2014 и за осъществяване на комуникацията с подалото съобщение за нарушение лице, както и за предприемането на подходящи последващи мерки.
(4)
Лицата, които желаят да съобщят за действителни или възможни нарушения на Регламент (ЕС) № 596/2014, следва да могат да вземат информирано решение относно това дали, как и кога да подадат съобщение. Компетентните органи следва публично и по лесно достъпен начин да оповестяват информация за наличните канали за комуникация с компетентните органи относно приложимите процедури, както и относно техните специализирани служители, които се занимават със съобщенията за нарушения. Цялата информация относно съобщенията за нарушения следва да бъде прозрачна, лесно разбираема и надеждна, за да насърчава, а не да възпрепятства подаването на съобщения за нарушения.
(5)
С цел да осигурят ефективна комуникация със специализираните си служители, компетентните органи трябва да имат на разположение и да използват различни канали за комуникация, които следва да бъдат удобни за потребителите и да предоставят възможност за писмена и устна, както и за електронна и различна от електронната комуникация.
(6)
Важно е процедурите за защита на лицата, работещи на трудов договор, независимо от естеството на тяхното трудово правоотношение и дали получават възнаграждение или не, които съобщават за нарушения или са обвинени в извършването на нарушения на Регламент (ЕС) № 596/2014, да осигуряват защитата на тези лица срещу ответни действия, дискриминация или други форми на пряко или непряко несправедливо отношение. Съществуват много различни форми на несправедливо отношение в зависимост от обстоятелствата. Затова отделните случаи трябва да се оценяват въз основа на правила за разрешаване на спорове или чрез съдебни производства съгласно националното законодателство.
(7)
Държавите членки следва да гарантират, че компетентните органи разполагат с адекватни процедури за защита при обработката на съобщения за нарушения и лични данни на лицата, за които е подадено съобщение. Тези процедури следва да гарантират, че поверителността на всяко подало съобщение всяко лице, за което е подадено съобщение, е защитена на всички етапи на процедурата. Това задължение следва да се прилага, без да се накърнява необходимостта и пропорционалността на задължението да се разкрива информация, когато това се изисква съгласно законодателството на Съюза или националното законодателство, и при съблюдаване на съответните гаранции съгласно тези разпоредби, включително в контекста на разследвания или съдебни производства, или за да се защитят свободите на другите, включително правото на защита на лицето, за което е подадено съобщение.
(8)
Много е важно и необходимо специализираните служители и другите служители на компетентния орган, които получават достъп до информацията, предоставена от лицето, подаващо съобщение до компетентния орган, да спазват задължението за професионална тайна и поверителност, когато данните се предават във и извън границите на компетентния орган, включително в случаите, когато компетентен орган започва разследване или отправя запитване, или предприема последващи дейности по принудително изпълнение във връзка със съобщения за нарушения.
(9)
Държавите членки следва да гарантират адекватното водене на регистри относно всички съобщения за нарушение и че информацията за всяко съобщение е достъпна в рамките на компетентния орган, както и че информацията, получавана посредством съобщения, може да бъде използвана като доказателство при действия по принудително изпълнение, ако е целесъобразно. Държавите членки следва да гарантират спазването на Директива 95/46/ЕО на Европейския парламент и на Съвета (2) и на националното законодателство, транспониращо посочената директива.
(10)
От решаващо значение е да се осигури защита на личните данни на подалото съобщение лице, както и на лицето, за което е подадено съобщение, за да се избегне несправедливото отношение или вредите за репутацията вследствие на разкриване на лични данни, по-специално данни, разкриващи самоличността на засегнатото лице. Следователно, в допълнение към националното законодателство за защита на личните данни, с което се транспонира Директива 95/46/ЕО, компетентните органи следва да установят подходящи процедури за защита на личните данни, специално насочени към защита на подалото съобщение лице и лицето, за което е подадено съобщение, които следва да включват сигурна система в рамките на компетентния орган с права на достъп само за упълномощен персонал.
(11)
Предаването на лични данни, свързани със съобщения за нарушения, от страна на компетентния орган може да бъде необходимо, за да се оцени дадено съобщение за нарушение и да се предприеме съответното разследване и действия по принудително изпълнение. При предаването на данни в рамките на компетентния орган или на трети страни компетентните органи следва да запазят поверителността в максимална степен в съответствие с националното законодателство.
(12)
Правата на лицето, за което е подадено съобщение, обвинено в нарушение на Регламент (ЕС) № 596/2014, следва да бъдат защитени, за да се избегнат вреди за репутацията или други отрицателни последици. Освен това правото на защита и достъп до средства за правна защита на лицето, за което е подадено съобщение, следва изцяло да се зачита на всеки етап от процедурата в резултат на подаденото съобщение. Държавите членки следва да осигурят правото на защита на лицето, включително правото на достъп до досието, правото на изслушване и правото на ефективни правни средства за защита срещу решението относно лицето, за което е подадено съобщение, съгласно приложимите процедури, определени от националното законодателство в контекста на разследванията или последващите съдебни производства.
(13)
Редовният и провеждан най-малко веднъж на две години преглед на процедурите на компетентните органи следва да гарантира, че тези процедури са подходящи и отговарят на съвременните технологии, като така изпълняват своята функция. За тази цел е важно компетентните органи да оценяват собствения си опит и да обменят опит и добри практики с други компетентни органи.
(14)
Като се има предвид, че подробни правила за защита на подаващите сигнали за нарушения лица биха затруднили държавите членки при осигуряването на оперативна и друга съвместимост с националните им системи, включително административните, процедурните и институционални аспекти, актът за изпълнение трябва да притежава известна гъвкавост. Подобна гъвкавост ще бъде постигната най-добре посредством директива, а не чрез регламент, следователно директивата изглежда най-подходящият инструмент, за да се даде възможност на държавите членки да адаптират ефективно режима за съобщаване на нарушения в националните си системи, включително в институционалната рамка.
(15)
Като се има предвид, че Регламент (ЕС) № 596/2014 влиза в сила на 3 юли 2016 г., е целесъобразно държавите членки да транспонират и да започнат да прилагат разпоредбите на настоящата директива от 3 юли 2016 г.
(16)
Мерките, предвидени в настоящата директива, са съгласувани със становището на Европейския комитет по ценни книжа,
ПРИЕ НАСТОЯЩАТА ДИРЕКТИВА:
ГЛАВА I
ПРЕДМЕТ И ОПРЕДЕЛЕНИЯ
Член 1
Предмет
В настоящата директива се определят правилата, с които се установяват процедурите, посочени в член 32, параграф 1 от Регламент (ЕС) № 596/2014, включително договореностите за съобщаване и за последващи съобщаването мерки, както и мерки за защита на лицата, работещи на трудов договор и мерки за защита на личните данни.
Член 2
Определения
За целите на настоящата директива се прилагат следните определения:
1)
„подало съобщение лице“ означава лице, което съобщава на компетентния орган за действително или възможно нарушение на Регламент (ЕС) № 596/2014;
2)
„лице, за което е подадено съобщение“ означава лице, което е обвинено от подалото съобщение лице, че е извършило или възнамерява да извърши нарушение на Регламент (ЕС) № 596/2014;
3)
„съобщение за нарушение“ означава съобщение от страна на подалото съобщение лице до компетентния орган относно действително или възможно нарушение на Регламент (ЕС) № 596/2014.
ГЛАВА II
ПРОЦЕДУРИ ЗА ПРИЕМАНЕ НА СЪОБЩЕНИЯ ЗА НАРУШЕНИЯ И СЪОТВЕТНИТЕ ПОСЛЕДВАЩИ МЕРКИ
Член 3
Специализирани служители
1. Държавите членки трябва да гарантират, че компетентните органи разполагат с персонал, специализиран в обработването на съобщения за нарушения („специализирани служители“). Специализираните служители трябва да бъдат обучени за обработка на съобщения за нарушения.
2. Специализираните служители изпълняват следните функции:
а)
предоставят на всяко заинтересовано лице информация относно процедурите за съобщаване на нарушения;
б)
приемат съобщения за нарушения и предприемат последващи мерки;
в)
поддържат контакт с подалото съобщение лице, когато то се е представило.
Член 4
Информация относно приемането на съобщения за нарушения и съответните последващи мерки
1. Държавите членки гарантират, че компетентните органи публикуват на своите уебсайтове в отделен, лесно разпознаваем и достъпен раздел информация за приемане на съобщенията за нарушения, посочени в параграф 2.
2. Информацията по параграф 1 включва всичко изброено по-долу:
а)
комуникационните канали за приемане на съобщенията за нарушения и предприемане на последващи мерки, както и за осъществяване на връзка със специализираните служители в съответствие с член 6, параграф 1, включително:
1)
телефонните номера, като се посочва дали разговорите са записани или не по време на тяхното използване;
2)
специализираните електронен и пощенски адреси, които са сигурни и гарантират поверителност за контакт със специализираните служители;
б)
посочените в член 5 процедури, приложими за съобщения за нарушения;
в)
режимът на поверителност, приложим за съобщения за нарушения в съответствие с процедурите за съобщения за нарушения, посочени в член 5;
г)
процедурите за защита на лицата, работещи на трудов договор;
д)
декларация, в която ясно се заявява, че не може да се счита, че лица, които предоставят информация на компетентния орган в съответствие с Регламент (ЕС) № 596/2014, нарушават ограниченията за разкриване на информация, наложени по силата на договор или на законови, подзаконови или административни разпоредби, и не носят отговорност от каквото и да е естество във връзка с разкриването.
3. Компетентните органи могат да публикуват на уебсайтовете си по-подробна информация по отношение на приемането на съобщенията за нарушения и съответните последващи мерки, посочени в параграф 2.
Член 5
Процедури, приложими за съобщения за нарушения
1. В процедурите, приложими за съобщения за нарушения, посочени в член 4, параграф 2, буква б), ясно се посочва следната информация:
а)
възможността съобщения за нарушения да бъдат подавани анонимно;
б)
начинът, по който компетентният орган може да изиска от подалото съобщението лице да поясни съобщената информация или да предостави допълнителна информация, с която разполага;
в)
видът, съдържанието и графикът на обратна връзка за резултатите от съобщението за нарушение, които подалото съобщението лице може да очаква след съобщаването;
г)
режимът на поверителност, приложим за съобщения за нарушения, включително подробно описание на обстоятелствата, при които поверителните данни на подалото съобщението лице могат да бъдат разкрити в съответствие с членове 27, 28 и 29 от Регламент (ЕС) № 596/2014.
2. С подробното описание, споменато в параграф 1, буква г), се осигурява осведомеността на подалото съобщението лице относно изключителни случаи, в които поверителността на данните не може да бъде гарантирана, включително когато разкриването на данни е необходимо и пропорционално задължение съгласно законодателството на Съюза или националното законодателство в контекста на разследванията или последващите съдебни производства, или с цел да се защитят свободите на другите, включително правото на защита на лицето, за което е подадено съобщение, и във всеки случай при съблюдаване на съответните гаранции съгласно тези правни уредби.
Член 6
Специални канали за комуникация
1. Държавите членки гарантират, че компетентните органи създават независими и автономни канали за комуникация, които са сигурни и гарантират поверителност, и служат за приемане на съобщения за нарушения и предприемане на съответните последващи мерки („специални комуникационни канали“).
2. Специалните канали за комуникация се считат за независими и автономни, при условие че отговарят на всички изброени по-долу критерии:
а)
отделени са от общите канали за комуникация на компетентния орган, включително тези, които компетентният орган обичайно ползва за вътрешна комуникация и комуникация с трети страни;
б)
проектирани са, създадени са и се управляват по начин, който гарантира пълнотата, целостта и поверителността на информацията, като се възпрепятства достъпа на неупълномощени членове на персонала на компетентния орган;
в)
дават възможност за съхранение на записана на траен носител информация в съответствие с член 7, така че да могат да се провеждат по-нататъшни разследвания.
3. Чрез специалните комуникационни канали трябва да могат да се съобщават действителни или възможни нарушения по най-малко следните начини:
а)
писмено съобщение за нарушение в електронен формат или на хартиен носител;
б)
устно съобщение за нарушение чрез телефонни линии, независимо дали те се записват или не;
в)
среща със специализираните служители на компетентния орган.
4. Компетентният орган трябва да предостави информацията, посочена в член 4, параграф 2, на подалото съобщението лице, преди да приеме съобщението за нарушение или най-късно в момента на приемането му.
5. Компетентните органи гарантират, че съобщението за нарушение, прието чрез средства, различни от специалните канали за комуникация, посочени в настоящия член, се препраща надлежно без изменение на специализираните служители на компетентния орган посредством специални канали за комуникация.
Член 7
Водене на регистър на приетите съобщения
1. Държавите членки гарантират, че компетентните органи вписват в регистър всяко прието съобщение за нарушение.
2. Компетентните органи незабавно потвърждават, че са получили писмените съобщения за нарушения, с отговор до пощенския или електронния адрес, посочен от подалото съобщението лице, освен ако лицето изрично е поискало друго или ако компетентният орган има разумни основания да счита, че това потвърждение би могло да доведе до опасност от разкриване на самоличността на подалото съобщението лице.
3. Когато за съобщаване на нарушения се използва телефонна линия, разговорите по която се записват, компетентният орган има правото да документира устно подаденото съобщение под формата на:
а)
аудиозапис на разговора на траен и позволяващ извличане носител; или
б)
пълен и точен протокол на разговора, изготвен от специализираните служители на компетентния орган. В случаите, когато подалото съобщението лице е разкрило самоличността си, компетентният орган трябва да му даде възможност да провери, коригира и да се съгласи с протокола от разговора, като го подпише.
4. Когато за съобщаване на нарушения се използва телефонна линия, разговорите по която не се записват, компетентният орган има правото да документира устно подаденото съобщение под формата на точен протокол на разговора, изготвен от специализираните служители на компетентния орган. В случаите, когато подалото съобщението лице е разкрило самоличността си, компетентният орган трябва да му даде възможност да провери, коригира и да се съгласи с протокола от разговора, като го подпише.
5. Когато дадено лице поиска среща лично със специализираните служители на компетентния орган, за да съобщи за нарушение съгласно член 6, параграф 3, буква в), компетентните органи гарантират, че се води пълен и точен протокол на срещата, който се съхранява на траен и позволяващ извличане носител. Компетентният орган има правото да документира данните от срещата под формата на:
а)
аудиозапис на разговора на на траен и позволяващ извличане носител; или
б)
точен протокол на срещата, изготвен от специализираните служители на компетентния орган. В случаите, когато подалото съобщението лице е разкрило самоличността си, компетентният орган трябва да му даде възможност да провери, коригира и да се съгласи с протокола от срещата, като го подпише.
Член 8
Защита на лицата, работещи на трудов договор
1. Държавите членки установяват процедури за гарантиране на ефективен обмен на информация и сътрудничество между компетентните органи и всички други органи, участващи в защитата на работещите на трудов договор лица, които съобщават за нарушения на Регламент (ЕС) № 596/2014 до компетентния орган или са обвинени в извършването на нарушения, срещу ответни действия, дискриминация или други видове несправедливо отношение, възникнали поради или във връзка с подаването на съобщения за нарушения на Регламент (ЕС) № 596/2014.
2. Процедурите, посочени в параграф 1, трябва да гарантират най-малко, че:
а)
подалите съобщения лица имат достъп до изчерпателна информация и консултации относно средствата за правна защита и процедурите, предвидени в националното законодателство, за да ги защитят от несправедливо отношение, включително относно процедурите за искане на парични обезщетения;
б)
подалите съобщения лица имат достъп до ефективна помощ от компетентните органи по отношение на всички съответни органи, участващи в защитата им срещу несправедливо отношение, която включва удостоверяване на статута на лицата като подаващи сигнал за нарушение лица в контекста на трудовоправни спорове.
Член 9
Процедури за защита на личните данни
1. Държавите членки гарантират, че компетентните органи съхраняват документацията, посочена в член 7 в поверителна и сигурна система.
2. Достъпът до системата, посочена в параграф 1, е предмет на ограничения, които гарантират, че съхраняваните в нея данни се предоставят само на служители на компетентния орган, за които достъпът до тези данни е необходим, за да изпълняват служебните си задължения.
Член 10
Предаване на данни във и извън компетентния орган
1. Държавите членки гарантират, че компетентните органи разполагат с адекватни процедури за предаването на лични данни на подалото съобщение лице и лицето, за което е подадено съобщение, във и извън рамките на компетентния орган.
2. Държавите членки гарантират, че предаването на данни, свързани със съобщение за нарушение във или извън рамките на компетентният орган, не разкрива, пряко или косвено, самоличността на подалото съобщение лице и лицето, за което е подадено съобщение, или други позовавания на обстоятелства, които биха позволили да се предположи самоличността на подалото съобщение лице и лицето, за което е подадено съобщение, освен ако такова предаване е в съответствие с режима на поверителност, посочен в член 5, параграф 1, буква г).
Член 11
Процедури за защита на лицата, за които е подадено съобщение
1. Когато самоличността на лицата, за което е подадено съобщение, не е известна на обществеността, съответната държава членка гарантира, че самоличността им е защитена най-малко по същия начин като този, предвиден за лица, които са предмет на разследване от страна на компетентния орган.
2. Процедурите, посочени в член 9, се прилагат и за защита на самоличността на лицата, за което е подадено съобщение.
Член 12
Преглед на процедурите на компетентните органи
Държавите членки гарантират, че компетентните им органи редовно и най-малко веднъж на всеки две години преразглеждат своите процедури за приемане на съобщения за нарушения и съответните последващи мерки. При прегледа на такива процедури компетентните органи вземат предвид своя опит и този на другите компетентни органи и съответно адаптират процедурите си, като отчитат също така развитието на пазара и технологиите.
ГЛАВА III
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 13
Транспониране
Държавите членки приемат и публикуват не по-късно от 3 юли 2016 г. законовите, подзаконовите и административните разпоредби, необходими, за да се съобразят с настоящата директива. Те незабавно съобщават на Комисията текста на тези разпоредби.
Те прилагат тези разпоредби от 3 юли 2016 г.
Когато държавите членки приемат тези разпоредби, в тях се съдържа позоваване на настоящата директива или то се извършва при официалното им публикуване. Условията и редът на позоваване се определят от държавите членки.
Член 14
Влизане в сила
Настоящата директива влиза в сила на двадесетия ден след деня на публикуването ѝ в Официален вестник на Европейския съюз.
Член 15
Адресати
Адресати на настоящата директива са държавите членки.
Съставено в Брюксел на 17 декември 2015 година.
COMMISSION IMPLEMENTING DIRECTIVE (EU) 2015/2392
of 17 December 2015
on Regulation (EU) No 596/2014 of the European Parliament and of the Council as regards reporting to competent authorities of actual or potential infringements of that Regulation
THE EUROPEAN COMMISSION,
Having regard to the Treaty on the Functioning of the European Union,
Having regard to Regulation (EU) No 596/2014 of the European Parliament and of the Council of 16 April 2014 on market abuse (market abuse regulation) and repealing Directive 2003/6/EC of the European Parliament and of the Council and Commission Directives 2003/124/EC, 2003/125/EC and 2004/72/EC (1), and in particular Article 32(5) thereof,
Whereas:
(1)
Persons reporting actual or potential infringements of Regulation (EU) No 596/2014 (whistle-blowers) to competent authorities may bring new information to the attention of competent authorities and assist the latter in detecting and imposing sanctions for market abuse offences. However, whistleblowing of infringements may be deterred by fear of retaliation, discrimination or disclosure of personal data. Adequate arrangements regarding whistleblowing are hence necessary to ensure the overall protection and the respect of the fundamental rights of the whistle-blowers and the accused persons. Persons who knowingly report wrong or misleading information to competent authorities should not be considered as whistle-blowers and thus should not enjoy the protection mechanisms.
(2)
Anonymous reporting should be allowed by competent authorities and the protection mechanisms of this Directive should also apply where an anonymous whistle-blower decides to reveal its identity to the competent authority at a later stage. Whistle-blowers should be free to report either through internal procedures, where such procedures exist, or directly to the competent authority.
(3)
Dedicated staff members of the competent authorities, who are professionally trained, including on applicable data protection rules, would be necessary in order to handle reports of infringements of Regulation (EU) No 596/2014 and to ensure communication with the reporting person, as well as following up on the report in a suitable manner.
(4)
Persons intending to report actual or potential infringements of Regulation (EU) No 596/2014 should be able to make an informed decision on whether, how and when to report. Competent authorities should therefore publicly disclose and make easily accessible information about the available communication channels with competent authorities, about the applicable procedures and about the dedicated staff members within the authority dealing with reports of infringements. All information regarding reports of infringements should be transparent, easily understandable and reliable in order to promote and not deter reporting of infringements.
(5)
In order to allow for effective communication with its dedicated staff it is necessary that the competent authorities have in place and use different communication channels that should be user-friendly and allow for written and oral, as well as electronic and non-electronic communication.
(6)
It is important that the procedures for the protection of persons working under a contract of employment, irrespective of the nature of their working relationship and whether they are paid or not, who report infringements or are accused of infringements of Regulation (EU) No 596/2014 protect such persons against retaliation, discrimination or other types of direct or indirect unfair treatment. Unfair treatment can take very different forms depending on the circumstances. Thus individual cases need to be assessed through dispute resolution rules or judiciary procedures available under national law.
(7)
Member States should ensure that competent authorities have in place adequate protection procedures for the processing of reports of infringements and reported persons' personal data. Such procedures should ensure that the identity of every reporting and reported person is protected at all stages of the procedure. This obligation should be without prejudice to the necessity and proportionality of the obligation to disclose information when this is required by Union or national law and subject to appropriate safeguards under such laws, including in the context of investigations or judicial proceedings or to safeguard the freedoms of others, including the rights of defence of the reported person.
(8)
It is highly important and necessary that dedicated staff of the competent authority and staff members of the competent authority who receive access to the information provided by a reporting person to the competent authority comply with the duty of professional secrecy and the confidentiality when transmitting the data both inside and outside of the competent authority, including where a competent authority opens an investigation or an inquiry or subsequent enforcement activities in connection with the report of infringements.
(9)
Member States should ensure the adequate record-keeping of all reports of infringement and that every report is retrievable within the competent authority and that information received through reports could be used as evidence in enforcement actions where appropriate. Member States should ensure the compliance with Directive 95/46/EC of the European Parliament and of the Council (2) and national legislation transposing Directive 95/46/EC.
(10)
Protection of personal data of the reporting and reported person is crucial in order to avoid unfair treatment or reputational damages due to disclosure of personal data, in particular data revealing the identity of a person concerned. Hence, in addition to the national data protection legislation which transposes Directive 95/46/EC, competent authorities should establish adequate data protection procedures specifically geared to the protection of the reporting and reported person that should include a secure system within the competent authority with restricted access rights for authorised staff only.
(11)
Transmission of personal data connected to reports of infringements by the competent authority could be necessary to evaluate a report of infringements and to undertake the necessary investigation and enforcement actions. When transmitting data within the competent authority or to third parties, competent authorities should preserve the confidentiality to the maximum extent possible in accordance with national law.
(12)
The rights of the reported person accused of an infringement of Regulation (EU) No 596/2014 should be protected in order to avoid reputational damages or other negative consequences. Furthermore, the rights of defence and access to remedies of the reported person should be fully respected at every stage of the procedure following the report. Member States should ensure the right of defence of the reported person, including the right to access to the file, the right to be heard and the right to seek effective remedy against a decision concerning the reported person under the applicable procedures set out in national law in the context of investigations or subsequent judicial proceedings.
(13)
The regular and at least biannual (once every two years) review of the procedures of competent authorities should guarantee that these procedures are adequate and state of the art, and thus serving their purpose. For this purpose, it is important that competent authorities evaluate their own experiences and exchange experiences and good practices with other competent authorities.
(14)
Given that detailed rules on the protection of whistle-blowers would make it more difficult for Member States to ensure compatibility and operational fit with their national systems, including administrative, procedural and institutional aspects, some flexibility is needed for the implementing act. Such flexibility would best be achieved through a directive, rather than a regulation and hence a directive appears to be the most appropriate instrument in order to allow Member States to adapt the reporting of infringements regime efficiently into their national systems including the institutional framework.
(15)
Given the fact that Regulation (EU) No 596/2014 enters into application on 3 July 2016, it is appropriate that the Member States transpose and apply provisions pertaining to this Directive from 3 July 2016.
(16)
The measures provided for in this Directive are in accordance with the opinion of the European Securities Committee,
HAS ADOPTED THIS DIRECTIVE:
CHAPTER I
SUBJECT MATTER AND DEFINITIONS
Article 1
Subject-matter
This Directive lays down rules specifying the procedures set out in Article 32(1) of Regulation (EU) No 596/2014, including the arrangements for reporting and for following-up reports, and measures for the protection of persons working under a contract of employment and measures for the protection of personal data.
Article 2
Definitions
For the purposes of this Directive, the following definitions shall apply:
(1)
‘reporting person’ means a person reporting an actual or potential infringement of Regulation (EU) No 596/2014 to the competent authority;
(2)
‘reported person’ means a person who is accused of having committed, or intending to commit, an infringement of Regulation (EU) No 596/2014 by the reporting person;
(3)
‘report of infringement’ means a report submitted by the reporting person to the competent authority regarding an actual or potential infringement of Regulation (EU) No 596/2014.
CHAPTER II
PROCEDURES FOR THE RECEIPT OF REPORTS OF INFRINGEMENTS AND THEIR FOLLOW-UP
Article 3
Dedicated staff members
1. Member States shall ensure that competent authorities have staff members dedicated to handling reports of infringements (‘dedicated staff members’). Dedicated staff members shall be trained for the purposes of handling reports of infringements.
2. Dedicated staff members shall exercise the following functions:
(a)
providing any interested person with information on the procedures for reporting infringements;
(b)
receiving and following-up reports of infringements;
(c)
maintaining contact with the reporting person where the latter has identified itself.
Article 4
Information regarding the receipt of reports of infringements and their follow-up
1. Member States shall ensure that competent authorities publish on their websites in a separate, easily identifiable and accessible section the information regarding the receipt of reports of infringements set out in paragraph 2.
2. The information referred to in paragraph 1 shall include all of the following:
(a)
the communication channels for receiving and following-up the reporting of infringements and for contacting the dedicated staff members in accordance with Article 6(1), including:
(1)
the phone numbers, indicating whether conversations are recorded or unrecorded when using those phone lines;
(2)
dedicated electronic and postal addresses, which are secure and ensure confidentiality, to contact the dedicated staff members;
(b)
the procedures applicable to reports of infringements referred to in Article 5;
(c)
the confidentiality regime applicable to reports of infringements in accordance with the procedures applicable to reports of infringements referred to in Article 5;
(d)
the procedures for the protection of persons working under a contract of employment;
(e)
a statement clearly explaining that persons making information available to the competent authority in accordance with Regulation (EU) No 596/2014 are not considered to be infringing any restriction on disclosure of information imposed by contract or by any legislative, regulatory or administrative provision, and are not to be involved in liability of any kind related to such disclosure.
3. Competent authorities may publish on their websites more detailed information regarding the receipt and follow-up of infringements set out in paragraphs 2.
Article 5
Procedures applicable to reports of infringements
1. The procedures applicable to reports of infringements referred to in Article 4(2)(b) shall clearly indicate all of the following information:
(a)
that reports of infringements can also be submitted anonymously;
(b)
the manner in which the competent authority may require the reporting person to clarify the information reported or to provide additional information that is available to the reporting person;
(c)
the type, content and timeframe of the feed-back about the outcome of the report of infringement that the reporting person can expect after the reporting;
(d)
the confidentiality regime applicable to reports of infringements, including a detailed description of the circumstances under which the confidential data of a reporting person may be disclosed in accordance with Articles 27, 28 and 29 of Regulation (EU) No 596/2014.
2. The detailed description referred to in point (d) of paragraph 1 shall ensure awareness of the reporting person concerning the exceptional cases in which confidentiality of data may not be ensured, including where the disclosure of data is a necessary and proportionate obligation required under Union or national law in the context of investigations or subsequent judicial proceedings or to safeguard the freedoms of others including the right of defence of the reported person, and in each case subject to appropriate safeguards under such laws.
Article 6
Dedicated communication channels
1. Member States shall ensure that competent authorities establish independent and autonomous communication channels, which are both secure and ensure confidentiality, for receiving and following-up the reporting of infringements (‘dedicated communication channels’).
2. Dedicated communication channels shall be considered independent and autonomous, provided that they meet all of the following criteria:
(a)
they are separated from general communication channels of the competent authority, including those through which the competent authority communicates internally and with third parties in its ordinary course of business;
(b)
they are designed, set up and operated in a manner that ensures the completeness, integrity and confidentiality of the information and prevents access to non-authorised staff members of the competent authority;
(c)
they enable the storage of durable information in accordance with Article 7 to allow for further investigations.
3. The dedicated communication channels shall allow for reporting of actual or potential infringements in at least all of the following ways:
(a)
written report of infringements in electronic or paper format;
(b)
oral report of infringements through telephone lines, whether recorded or unrecorded;
(c)
physical meeting with dedicated staff members of the competent authority.
4. The competent authority shall provide the information referred to in paragraph 2 of Article 4 to the reporting person before receiving the report of infringement, or at the moment of receiving it at the latest.
5. Competent authorities shall ensure that a report of infringement received by means other than dedicated communication channels referred to in this Article is promptly forwarded without modification to the dedicated staff members of the competent authority by using dedicated communication channels.
Article 7
Record-keeping of reports received
1. Member States shall ensure that competent authorities keep records of every report of infringement received.
2. Competent authorities shall promptly acknowledge the receipt of written reports of infringements to the postal or electronic address indicated by the reporting person, unless the reporting person explicitly requested otherwise or the competent authority reasonably believes that acknowledging receipt of a written report would jeopardise the protection of the reporting person's identity.
3. Where a recorded telephone line is used for reporting of infringements, the competent authority shall have the right to document the oral reporting in the form of:
(a)
an audio recording of the conversation in a durable and retrievable form; or
(b)
a complete and accurate transcript of the conversation prepared by the dedicated staff members of the competent authority. In cases where the reporting person has disclosed its identity, the competent authority shall offer the possibility to the reporting person to check, rectify and agree with the transcript of the call by signing it.
4. Where an unrecorded telephone line is used for reporting of infringements, the competent authority shall have the right to document the oral reporting in the form of accurate minutes of the conversation prepared by the dedicated staff members of the competent authority. In cases where the reporting person has disclosed its identity, the competent authority shall offer the possibility to the reporting person to check, rectify and agree with the minutes of the call by signing them.
5. Where a person requests a physical meeting with the dedicated staff members of the competent authority for reporting an infringement according to Article 6(3)(c), competent authorities shall ensure that complete and accurate records of the meeting are kept in a durable and retrievable form. A competent authority shall have the right to document the records of the physical meeting in the form of:
(a)
an audio recording of the conversation in a durable and retrievable form; or
(b)
accurate minutes of the meeting prepared by the dedicated staff members of the competent authority. In cases where the reporting person has disclosed its identity, the competent authority shall offer the possibility to the reporting person to check, rectify and agree with the minutes of the meeting by signing them.
Article 8
Protection of persons working under a contract of employment
1. Member States shall put in place procedures ensuring effective exchange of information and cooperation between competent authorities and any other relevant authority involved in the protection of persons working under a contract of employment who report infringements of Regulation (EU) No 596/2014 to the competent authority or are accused of such infringements, against retaliation, discrimination or other types of unfair treatment, arising due to or in connection with reporting of infringements of Regulation (EU) No 596/2014.
2. The procedures set out in paragraph 1 shall ensure at least the following:
(a)
reporting persons have access to comprehensive information and advice on the remedies and procedures available under national law to protect them against unfair treatment, including on the procedures for claiming pecuniary compensation;
(b)
reporting persons have access to effective assistance from competent authorities before any relevant authority involved in their protection against unfair treatment, including by certifying the condition of whistle-blower of the reporting person in employment disputes.
Article 9
Protection procedures for personal data
1. Member States shall ensure that competent authorities store the records referred to in Article 7 in a confidential and secure system.
2. Access to the system referred to in paragraph 1 shall be subject to restrictions ensuring that the data stored therein is only available to staff members of the competent authority for whom access to that data is necessary to perform their professional duties.
Article 10
Transmission of data inside and outside of the competent authority
1. Member States shall ensure that competent authorities have in place adequate procedures for the transmission of personal data of the reporting person and reported person inside and outside of the competent authority.
2. Member States shall ensure that the transmission of data related to a report of infringement within or outside the competent authority does not reveal, directly or indirectly, the identity of the reporting person or reported person or any other references to circumstances that would allow the identity of the reporting person or reported person to be deduced, unless such transmission is in accordance with the confidentiality regime referred to in Article 5(1)(d).
Article 11
Procedures for the protection of the reported persons
1. Where the identity of reported persons is not known to the public, the Member State concerned shall ensure that their identity is protected at least in the same manner as for persons that are under investigation by the competent authority.
2. The procedures set out Article 9 shall also apply for the protection of the identity of the reported persons.
Article 12
Review of the procedures by competent authorities
Member States shall ensure that their competent authorities review their procedures for receiving reports of infringements and their follow-up regularly, and at least once every two years. In reviewing such procedures competent authorities shall take account of their experience and that of other competent authorities and adapt their procedures accordingly and in line with market and technological developments.
CHAPTER III
FINAL PROVISIONS
Article 13
Transposition
Member States shall adopt and publish, by 3 July 2016 at the latest, the laws, regulations and administrative provisions necessary to comply with this Directive. They shall forthwith communicate to the Commission the text of those provisions.
They shall apply those provisions from 3 July 2016.
When Member States adopt those provisions, they shall contain a reference to this Directive or be accompanied by such a reference on the occasion of their official publication. Member States shall determine how such reference is to be made.
Article 14
Entry into force
This Directive shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union.
Article 15
Addressees
This Directive is addressed to the Member States.
Done at Brussels, 17 December 2015.