Document UE

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE, în special articolul 25,

având în vedere Regulamentul (UE) nr. 1093/2010 al Parlamentului European și al Consiliului din 24 noiembrie 2010 de instituire a Autorității europene de supraveghere (Autoritatea Bancară Europeană), de modificare a Deciziei nr. 716/2009/CE și de abrogare a Deciziei 2009/78/CE a Comisiei, în special articolul 47 alineatul (1) și articolul 71,

Autoritatea Bancară Europeană (ABE) își desfășoară activitatea în conformitate cu Regulamentul (UE) nr. 1093/2010, astfel cum poate fi modificat, abrogat sau înlocuit ulterior.

În conformitate cu articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, este necesar ca restricționarea aplicării articolelor 14-22, 35 și 36, precum și a articolului 4 din regulamentul respectiv în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-22, să se bazeze pe normele interne care urmează să fie adoptate de ABE, în cazul în care acestea nu au la bază acte legislative adoptate în temeiul tratatelor.

În cazul în care ABE își exercită atribuțiile cu privire la drepturile persoanelor vizate în temeiul Regulamentului (UE) 2018/1725, aceasta trebuie să analizeze dacă se aplică vreuna dintre excepțiile prevăzute în regulamentul respectiv.

ABE prelucrează mai multe categorii de date cu caracter personal, inclusiv date obiective (cum ar fi date de identificare, date de contact, date profesionale, detalii administrative, date primite din surse specifice, date referitoare la comunicații electronice și trafic) și/sau date subiective (referitoare la caz, cum ar fi raționamente, date comportamentale și date privind conduita și date referitoare la sau prezentate în legătură cu obiectul procedurii sau al activității).

ABE, reprezentată de directorul său executiv, acționează în calitate de operator de date, indiferent de orice alte delegări ale rolului de operator în cadrul ABE, pentru a reflecta responsabilitățile operaționale aferente operațiunilor specifice de prelucrare a datelor cu caracter personal.

Datele cu caracter personal sunt stocate în siguranță într-un mediu electronic sau pe hârtie pentru a preveni accesul ilegal la acestea sau transferul lor către persoane care nu au nevoie să le cunoască. Datele cu caracter personal prelucrate nu sunt păstrate mai mult timp decât este necesar și adecvat îndeplinirii scopurilor în care sunt prelucrate pe perioada specificată în evidențele privind protecția datelor și în declarațiile de confidențialitate ale ABE.

Pentru a-și exercita misiunile, ABE are obligația de a respecta, în cea mai mare măsură posibilă, drepturile fundamentale ale persoanelor vizate, în special pe cele referitoare la dreptul de furnizare de informații, de acces și de rectificare, dreptul de ștergere a datelor, de restricționare a prelucrării acestora, dreptul de comunicare a unei încălcări a securității datelor cu caracter personal către persoana vizată sau dreptul la confidențialitatea comunicării, astfel cum sunt menționate în Regulamentul (UE) 2018/1725.

Cu toate acestea, este posibil ca ABE să aibă obligația de a restricționa informarea persoanelor vizate sau alte drepturi ale persoanelor vizate pentru a proteja în special confidențialitatea și eficacitatea investigațiilor proprii, investigațiile și procedurile altor autorități publice, precum și drepturile altor persoane legate de investigațiile acesteia sau de alte proceduri.

În cadrul funcționării sale administrative, ABE poate desfășura o serie de investigații, precum anchete administrative, proceduri disciplinare, activități preliminare legate de frauda financiară, investigații legate de cazurile de avertizare în interes public sau de hărțuire, audituri interne, investigații efectuate de responsabilul cu protecția datelor (RPD) sau investigații privind etica, investigații privind TIC, investigații privind securitatea informațiilor și activități desfășurate în contextul gestionării riscurilor și incidentelor de securitate. În plus, pentru a-și exercita misiunile, ABE poate efectua investigații privind eventualele încălcări ale dreptului Uniunii, soluționarea dezacordurilor dintre autoritățile competente, medierea desfășurată între autoritățile competente, precum și investigații legate de prevenirea și combaterea spălării banilor și a finanțării terorismului, anchete legate de protecția consumatorilor și activitățile financiare pentru a evalua eventualele amenințări la adresa integrității piețelor financiare sau a stabilității sistemului financiar din Uniune.

Normele interne trebuie să se aplice tuturor operațiunilor de prelucrare efectuate de ABE în desfășurarea investigațiilor de mai sus. Acestea trebuie să se aplice și operațiunilor de prelucrare efectuate înaintea deschiderii investigațiilor menționate mai sus, pe durata acestor investigații, precum și pe durata monitorizării măsurilor luate în urma rezultatelor acestor investigații. De asemenea, trebuie să includă asistența, coordonarea și/sau cooperarea pe care autoritățile naționale și organizațiile internaționale le solicită ABE în contextul propriilor investigații administrative.

Înainte de a utiliza restricțiile prevăzute în aceste norme interne, ABE trebuie să analizeze dacă se aplică oricare dintre excepțiile stabilite în Regulamentul (UE) 2018/1725. În cazurile în care se aplică restricțiile din cadrul acestor norme interne, ABE trebuie să explice de ce restricțiile sunt necesare și proporționale într-o societate democratică și să respecte esența drepturilor și a libertăților fundamentale.

ABE trebuie să monitorizeze dacă se aplică în continuare condițiile care justifică restricția și să ridice restricția atunci când acestea nu mai sunt aplicabile.

Operatorul trebuie să informeze responsabilul cu protecția datelor atunci când restricționează aplicarea anumitor drepturi ale persoanelor vizate în temeiul acestei decizii, atunci când extinde o astfel de restricție și atunci când restricția este ridicată,

Prezenta decizie stabilește normele interne referitoare la condițiile în care ABE, în cadrul activităților sale prevăzute la alineatele (2)-(5), poate restricționa aplicarea drepturilor menționate la articolele 14-21 și 35, precum și la articolul 4, cu respectarea articolului 25 din Regulamentul (UE) 2018/1725. Aceste restricții nu aduc atingere excepțiilor privind drepturile persoanelor vizate, specificate în Regulamentul (UE) 2018/1725.

În cadrul funcționării administrative a ABE, restricțiile prevăzute la alineatul (1) se aplică prelucrării datelor cu caracter personal de către ABE, în următoarele scopuri:

anchete administrative și proceduri disciplinare, în conformitate cu articolul 25 alineatul (1) litera (f) din Regulamentul (UE) 2018/1725;

prelucrarea neregulilor în colaborare cu Oficiul European de Luptă Antifraudă (OLAF), în conformitate cu articolul 25 alineatul (1) litera (b) sau (f) din Regulamentul (UE) 2018/1725;

prelucrarea cazurilor de avertizare în interes public, a cazurilor (oficiale și neoficiale) de hărțuire, precum și a plângerilor interne și externe, în conformitate cu articolul 25 alineatul (1) litera (f) din Regulamentul (UE) 2018/1725;

audituri interne, investigații privind etica, anchete, proceduri și investigații efectuate de responsabilul cu protecția datelor (RPD) în conformitate cu articolul 25 alineatul (1) litera (f) sau (g) sau cu articolul 45 alineatul (2) din Regulamentul (UE) 2018/1725;

investigații privind TIC, investigații privind securitatea informațiilor și activități desfășurate în contextul gestionării riscurilor și incidentelor de securitate, gestionate pe plan intern sau cu implicare din exterior, în conformitate cu articolul 25 alineatul (1) litera (d) din Regulamentul (UE) 2018/1725.

În cadrul exercitării misiunilor ABE, restricțiile prevăzute la alineatul (1) se aplică prelucrării datelor cu caracter personal de către ABE, în oricare dintre următoarele scopuri:

investigații privind eventualele încălcări ale dreptului Uniunii, în temeiul articolului 17 din Regulamentul (UE) nr. 1093/2010;

anchete și proceduri legate de protecția consumatorilor și activitățile financiare pentru a evalua eventualele amenințări la adresa integrității piețelor financiare sau a stabilității sistemului financiar din Uniune, în temeiul articolelor 9 și 22 din Regulamentul (UE) nr. 1093/2010;

proceduri legate de soluționarea dezacordurilor dintre autoritățile competente, în temeiul articolului 19 din Regulamentul (UE) nr. 1093/2010 și al actelor legislative menționate la articolul 1 alineatul (2) din regulamentul respectiv;

proceduri legate de procesul de mediere fără caracter obligatoriu derulat de ABE, în temeiul articolului 31 alineatul (2) litera (c) din Regulamentul (UE) nr. 1093/2010 și al actelor legislative menționate la articolul 1 alineatul (2) din regulamentul respectiv;

investigații legate de prevenirea și combaterea spălării banilor și a finanțării terorismului, în temeiul articolului 9 litera (b) din Regulamentul (UE) nr. 1093/2010 și al actelor legislative menționate la articolul 1 alineatul (2) din regulamentul respectiv.

În plus, aceste restricții se aplică asistenței, coordonării și/sau cooperării asigurate de ABE în beneficiul autorităților competente definite la articolul 4 alineatul (2) din Regulamentul (UE) nr. 1093/2010, inclusiv autorităților din țări terțe, și organizațiilor internaționale în contextul investigațiilor desfășurate pentru exercitarea misiunilor legale ale acestora.

Restricțiile menționate la alineatul (1) se aplică și operațiunilor de prelucrare efectuate înaintea deschiderii investigațiilor sau a altor anchete administrative menționate la alineatele (2)-(4), pe durata acestor investigații, precum și pe durata monitorizării măsurilor luate în urma rezultatelor acestor investigații.

Prezenta decizie se aplică oricărei categorii de date cu caracter personal prelucrate în contextul activităților prezentate la alineatele (2)-(5).

Sub rezerva condițiilor prevăzute în prezenta decizie, restricțiile se pot aplica următoarelor drepturi: dreptul de furnizare de informații persoanelor vizate, dreptul de acces și de rectificare, dreptul de ștergere a datelor, de restricționare a prelucrării lor și dreptul de comunicare a unei încălcări a securității datelor cu caracter personal către persoana vizată.

Garanțiile instituite pentru a preveni utilizările abuzive sau accesul ori transferul ilegal în contextul investigațiilor menționate la articolul 1 sunt următoarele:

documentele pe hârtie se păstrează în dulapuri încuiate, accesibile doar personalului autorizat în baza necesității de a le cunoaște. De asemenea, în vederea asigurării unor garanții adecvate, se instituie un sistem de securitate la sediu și politici interne de gestionare a evidențelor, se asigură formarea personalului și audituri;

toate fișierele electronice se gestionează cu dispozitivele, sistemele informatice, aplicațiile și resursele media de stocare aprobate de ABE. Datele se stochează într-un mediu electronic securizat, conceput și întreținut pentru a preveni distrugerea accidentală sau ilegală, pierderea, modificarea, transferul, divulgarea neautorizată a datelor cu caracter personal sau accesarea acestor date de către partenerii interni și externi care nu sunt autorizați în acest sens. Aplicațiile sistemului de gestionare a documentelor din cadrul ABE se utilizează pentru a organiza, a găsi, a partaja, a întreține și a proteja datele electronice ale ABE. Personalul autorizat al ABE are acces la datele electronice doar în baza necesității de a le cunoaște;

bazele de date și fișierele electronice se protejează cu parolă în baza unui sistem de autentificare unic ce se conectează automat cu numele de utilizator și parola. Este strict interzisă înlocuirea utilizatorilor. Evidențele electronice se stochează în siguranță, astfel încât să se asigure confidențialitatea și protecția datelor;

toate persoanele care au acces la date au obligația de a păstra confidențialitatea acestora și semnează un document prin care confirmă această obligație și cerințele prevăzute la prezentul alineat.

Operatorul pentru operațiunile de prelucrare este ABE, reprezentată de directorul său executiv. Persoanele vizate sunt informate cu privire la operatorul delegat prin intermediul evidențelor privind protecția datelor publicate pe site-ul ABE.

Perioada de păstrare a datelor cu caracter personal nu este mai mare decât este necesar și adecvat îndeplinirii scopurilor în care sunt prelucrate datele. Perioada de păstrare este specificată în evidențele privind protecția datelor și în declarațiile de confidențialitate menționate la articolul 5 alineatul (1).

În cazul în care se are în vedere aplicarea unei restricții, ABE apreciază riscul față de drepturile și libertățile persoanei vizate, în special în raport cu riscul față de drepturile și libertățile altor persoane vizate și cu riscul de anulare a efectului investigațiilor sau al procedurilor ABE, de exemplu prin distrugerea probelor. Riscurile față de drepturile și libertățile persoanei vizate privesc, în primul rând, dar fără a se limita la acestea, riscurile de imagine și riscurile față de dreptul la apărare și dreptul de a fi ascultat.

În temeiul articolului 25 alineatul (1) din Regulamentul (UE) 2018/1725, ABE aplică restricții numai pentru a garanta:

prevenirea, investigarea, depistarea și urmărirea penală a infracțiunilor sau executarea sancțiunilor penale, inclusiv protejarea împotriva amenințărilor la adresa securității publice și prevenirea acestora, în special în ceea ce privește operațiunile de prelucrare prevăzute la articolul 1 alineatul (2) litera (b) din prezenta decizie;

alte obiective importante de interes public general ale Uniunii sau ale unui stat membru, în special obiectivele politicii externe și de securitate comune ale Uniunii sau un interes economic sau financiar important al Uniunii sau al unui stat membru, inclusiv în domeniile monetar, bugetar și fiscal și în domeniul sănătății publice și al securității sociale, în special în legătură cu operațiunile de prelucrare prevăzute la articolul 1 alineatul (3) din prezenta decizie;

securitatea internă a instituțiilor și organelor Uniunii, inclusiv a rețelelor lor de comunicații electronice, în special în legătură cu operațiunea de prelucrare prevăzută la articolul 1 alineatul (2) litera (c) din prezenta decizie;

prevenirea, investigarea, depistarea și urmărirea penală a încălcării eticii în cazul profesiilor reglementate, în special în legătură cu operațiunile de prelucrare prevăzute la articolul 1 alineatul (2) literele (a) și (c) din prezenta decizie;

o funcție de monitorizare, inspecție sau reglementare legată, chiar și ocazional, de exercitarea autorității oficiale în cazurile menționate la literele (a) și (b), în special în legătură cu operațiunile de prelucrare prevăzute la articolul 1 alineatul (2) litera (d) din prezenta decizie;

protecția persoanei vizate sau a drepturilor și libertăților altora.

În aplicarea specifică a scopurilor descrise la alineatul (1) de mai sus, ABE poate aplica restricții în legătură cu datele cu caracter personal care fac obiectul schimburilor cu serviciile Comisiei sau cu alte instituții, organe, agenții și oficii ale Uniunii, cu autoritățile competente ale statelor membre sau ale țărilor terțe ori cu organizațiile internaționale, într-una sau în mai multe dintre următoarele situații:

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de serviciile Comisiei sau de alte instituții, organe, agenții și oficii ale Uniunii, pe baza altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din acest regulament sau cu actele de instituire a altor instituții, organe, agenții și oficii ale Uniunii;

în cazul în care exercitarea acestor drepturi și obligații ar putea fi restricționată de autoritățile competente ale statelor membre pe baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului sau în temeiul unor măsuri naționale de transpunere a articolului 13 alineatul (3), a articolului 15 alineatul (3) sau a articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului;

în cazul în care exercitarea acestor drepturi și obligații ar periclita cooperarea ABE cu țări terțe sau cu organizații internaționale în îndeplinirea atribuțiilor sale sau a atribuțiilor țărilor terțe sau ale organizațiilor internaționale.

Orice restricție trebuie să fie necesară și proporțională având în vedere riscurile față de drepturile și libertățile persoanelor vizate și să respecte esența drepturilor și libertăților fundamentale într-o societate democratică.

Dacă se are în vedere aplicarea restricției, se efectuează un test de necesitate și proporționalitate pe baza prezentelor norme. Acesta este documentat, de la caz la caz, printr-o notă de evaluare internă în scopul asigurării răspunderii.

Restricțiile sunt ridicate imediat ce situațiile care le justifică nu se mai aplică, în special, în cazul în care se consideră că exercitarea dreptului restricționat nu ar mai anula efectul restricției impuse sau nu ar mai afecta negativ drepturile sau libertățile altor persoane vizate.

Operatorul informează responsabilul cu protecția datelor, fără întârzieri nejustificate, ori de câte ori operatorul intenționează să restricționeze aplicarea drepturilor persoanelor vizate sau prelungește restricția, în conformitate cu prezenta decizie. Operatorul asigură accesul responsabilului cu protecția datelor la nota internă care conține evaluarea necesității și a proporționalității restricției, precum și, dacă este cazul, la elementele de fapt și de drept care stau la baza acesteia, și consemnează data informării responsabilului.

RPD poate solicita operatorului, în scris, reexaminarea aplicării restricțiilor. Operatorul informează RPD, în scris, cu privire la rezultatul reexaminării solicitate.

Operatorul informează RPD atunci când restricția a fost ridicată.

Operatorul consemnează implicarea RPD în diferitele etape ale procesului, începând cu data informării RPD.

Nota internă și, dacă este cazul, elementele de fapt și de drept care stau la baza acesteia, se pun la dispoziția Autorității Europene pentru Protecția Datelor, la cerere.

ABE publică pe site-ul său evidențe privind protecția datelor prin care toate persoanele vizate sunt informate cu privire la activitățile sale care implică prelucrarea de date cu caracter personal, inclusiv informații legate de eventuala restricționare a drepturilor persoanelor vizate, în temeiul articolului 3 din prezenta decizie. Informațiile se referă la drepturile care pot fi restricționate, la motivele pentru care se pot aplica restricții și la durata potențială a acestora.

ABE informează fiecare persoană vizată în parte, care este considerată persoană interesată în investigație sau anchetă, cu privire la evidențele privind protecția datelor legate de anumite operațiuni de prelucrare avute în vedere, fără întârzieri nejustificate și în scris.

În cazurile justificate corespunzător și în condițiile specificate în această decizie, ABE poate restricționa, integral sau parțial, furnizarea de informații către persoanele vizate menționate la alineatul (2). În acest caz, consemnează într-o notă internă motivele restricției, temeiul juridic în conformitate cu articolul 3 din prezenta decizie, în care include o evaluare a necesității și proporționalității restricției.

Restricția menționată la alineatul (3) din prezenta decizie continuă să se aplice atât timp cât motivele care o justifică rămân aplicabile.

În urma unei cereri a persoanei vizate, ABE poate restricționa, integral sau parțial, dreptul persoanei vizate de a obține confirmarea prelucrării de către ABE a datelor cu caracter personal care o privesc, în contextul unei investigații sau al unei anchete menționate la articolul 1 din prezenta decizie, și, în caz afirmativ, poate restricționa dreptul de acces la aceste date și la alte informații menționate la articolul 17 din Regulamentul (UE) 2018/1725.

În cazul în care se restricționează dreptul de acces, ABE informează persoana vizată – în răspunsul său la cererea acesteia – cu privire la restricția aplicată și la principalele motive ale acesteia, precum și cu privire la posibilitatea de a depune plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.

Furnizarea informațiilor menționate la alineatul (2) poate fi amânată, omisă sau refuzată, dacă ar anula efectul restricției impuse, în conformitate cu articolul 25 alineatul (8) din Regulamentul (UE) 2018/1725. Dacă este cazul, ABE consemnează într-o notă de evaluare internă motivele restricționării, inclusiv o evaluare a necesității și proporționalității restricției, și durata acesteia.

ABE reexaminează aplicarea restricției o dată la șase luni de la adoptarea ei, precum și la închiderea anchetei sau investigației relevante.

În urma unei cereri a persoanei vizate, ABE, în contextul unei investigații sau al unei anchete menționate la articolul 1 din această decizie, poate restricționa, integral sau parțial, dreptul persoanei vizate de a obține rectificarea datelor cu caracter personal care o privesc, de a șterge sau de a restricționa prelucrarea lor, astfel cum se prevede la articolele 18, 19 și 20 din Regulamentul (UE) 2018/1725.

În cazul în care se restricționează aplicarea dreptului de a rectifica și de a șterge datele sau a dreptului de a restricționa prelucrarea lor, menționate mai sus, ABE ia măsurile stabilite la articolul 6 alineatul (2) și le consemnează în conformitate cu articolul 6 alineatul (3).

ABE reexaminează aplicarea restricției o dată la șase luni de la adoptarea ei, precum și la închiderea anchetei sau investigației relevante.

ABE informează persoana vizată în cauză cu privire la încălcarea securității datelor cu caracter personal, fără întârzieri nejustificate, în cazul în care încălcarea securității datelor cu caracter personal poate să ducă la un risc mare la adresa drepturilor și libertăților persoanelor fizice, astfel cum se prevede la articolul 35 din Regulamentul (UE) 2018/1725.

În cazurile justificate corespunzător și în condițiile specificate în această decizie, ABE poate restricționa, integral sau parțial, furnizarea de informații către persoanele vizate menționate la alineatul (1) din acest articol. În acest caz, consemnează într-o notă internă motivele restricției, temeiul juridic în conformitate cu articolul 3 din prezenta decizie, în care include o evaluare a necesității și proporționalității restricției.

Restricția menționată la alineatul (2) continuă să se aplice atât timp cât motivele care o justifică rămân aplicabile.

Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Adoptată la Paris, 23 aprilie 2021.Pentru Consiliul de administrațieJosé Manuel CampaPreședinte