DEN EUROPÆISKE CENTRALBANKS RETNINGSLINJE

af 22. december 1998

om fælles regler og mindstestandarder med henblik på at beskytte fortroligheden af den individuelle statistiske information, der indsamles af Den Europæiske Centralbank med bistand fra de nationale centralbanker

(ECB/1998/NP28)

STYRELSESRÅDET FOR DEN EUROPÆISKE CENTRALBANK HAR -

under henvisning til statutten for Det Europæiske System af Centralbanker og Den Europæiske Centralbank (i det følgende benævnt "statutten"), særlig artikel 5, 12.1, 14.3 og 38,

under henvisning til Rådets forordning (EF) nr. 2533/98 af 23. november 1998 om Den Europæiske Centralbanks indsamling af statistisk information(1), særlig artikel 8, og

ud fra følgende betragtninger:

(1) I henhold til artikel 8, stk. 3, i ovennævnte forordning (EF) nr. 2533/98 skal rapporteringsenhederne informeres om, til hvilke statistiske eller andre administrative formål den statistiske information, de har indsendt, kan bruges; i henhold til den samme artikel har rapporteringsenhederne ret til at få oplysninger om retsgrundlaget for overførslen og de vedtagne beskyttelsesforanstaltninger.

(2) Artikel 8, stk. 9, i ovennævnte forordning (EF) nr. 2533/98 kræver, at Den Europæiske Centralbank (ECB) og de nationale centralbanker (NCB'er) træffer alle nødvendige reguleringsmæssige, administrative, tekniske og organisatoriske foranstaltninger for at beskytte fortrolig statistisk information; samme artikel kræver, at ECB fastlægger fælles regler og mindstestandarder for at hindre ulovlig videregivelse og uautoriseret brug af fortrolig statistisk information.

(3) I ECB og NCB'erne gælder interne procedurer, som sikrer en høj grad af beskyttelse af fortrolig statistisk information i ECB og NCB'erne; derfor kan formålet med de fælles regler og mindstestandarder, der stilles krav om i artikel 8, stk. 9, i forordning (EF) nr. 2533/98, opnås ved at fastsætte et grundlæggende beskyttelsesniveau i hele Det Europæiske System af Centralbanker, uden at eventuelle højere beskyttelsesniveauer opnået via de faktiske, gældende beskyttelsesprocedurer i ECB og NCB'erne forringes, og uden at der gøres indgreb i disse faktiske beskyttelsesprocedurer eller pålægges ECB og NCB'erne specifikke tekniske løsninger, såfremt de fælles regler og mindstestandarder er opfyldt.

(4) For at ECB kan udføre sin opgave med hensyn til at fastlægge de fælles regler og mindstestandarder, som er beskrevet i ovennævnte artikel 8, stk. 9, i forordning (EF) nr. 2533/98, og vurdere, hvorvidt kravet om et grundlæggende beskyttelsesniveau er opfyldt, må den regelmæssigt informeres af NCB'erne om de faktiske beskyttelsesforanstaltninger.

(5) I overensstemmelse med artikel 12.1 og 14.3 i statutten udgør retningslinjer fastsat af ECB en integrerende del af fællesskabsretten -

VEDTAGET FØLGENDE RETNINGSLINJE:

Artikel 1

Definitioner

I denne retningslinje forstås ved:

1) "Fortrolig statistisk information": statistisk information, der defineres som fortrolig i overensstemmelse med artikel 8, stk. 1, i forordning (EF) nr. 2533/98.

2) "Beskyttelsesforanstaltninger": passende procedurer med henblik på såvel logisk som fysisk beskyttelse af fortrolig statistisk information.

3) "Logisk beskyttelse": beskyttelsesforanstaltninger, der hindrer uautoriseret adgang til selve den fortrolige statistiske information.

4) "Fysisk beskyttelse": beskyttelsesforanstaltninger, der hindrer uautoriseret adgang til det fysiske område og de fysiske medier.

5) "Fysisk område": en hvilken som helst del af den bygning, hvor de fysiske medier er placeret, hvorpå fortrolig statistisk information opbevares, eller hvorigennem, denne overføres.

6) "Fysiske medier": papirudskrifter og edb-udstyr (herunder periferiudstyr og lageranordninger), hvorpå fortrolig statistisk information lagres eller bearbejdes.

Artikel 2

Logisk beskyttelse

1. EBC og NBC'erne skal hver især fastsætte og indføre autorisationsregler og beskyttelsesforanstaltninger med hensyn til logisk beskyttelse for så vidt angår deres ansattes adgang til fortrolig statistisk information.

2. Uden at systemadministrationens funktionsmæssige kontinuitet forringes, skal den minimale beskyttelsesforanstaltning være en entydig brugeridentifikation og et personligt password.

3. Der træffes alle passende foranstaltninger for at sikre, at den fortrolige statistiske information tilrettelægges således, at alle offentliggjorte data omfatter mindst tre økonomiske enheder. I de tilfælde, hvor en eller to økonomiske enheder udgør en tilstrækkelig stor andel af en given observation til, at de kan identificeres indirekte, skal de offentliggjorte data tilrettelægges således, at en indirekte identifikation hindres. Disse regler gælder ikke, hvis rapporteringsenhederne eller de øvrige juridiske personer, fysiske personer, enheder eller filialer, der kan identificeres, udtrykkeligt har givet deres samtykke til en offentliggørelse.

Artikel 3

Fysisk beskyttelse

EBC og NBC'erne skal hver især fastsætte og indføre autorisationsregler og beskyttelsesforanstaltninger med hensyn til deres ansattes adgang til alle fysiske områder, dog med forbehold af artikel 4 i denne retningslinje.

Artikel 4

Tredjeparts adgang

I de tilfælde, hvor en tredjepart har adgang til fortrolig statistisk information, sikrer ECB og NCB'erne ved hjælp af passende midler, så vidt muligt via en kontrakt, at kravene vedrørende fortrolighed, som beskrevet i forordning (EF) nr. 2533/98 og denne retningslinje, respekteres af den pågældende tredjepart.

Artikel 5

Dataoverførsel og netværk

1. Såfremt dette ikke medfører overtrædelse af artikel 8 i forordning (EF) nr. 2533/98 overføres fortrolig statistisk information "extra muros" elektronisk, efter at der er foretaget kryptering.

2. ECB og NCB'erne fastlægger hver især bemyndigelsesregler for denne overførsel af fortrolig statistisk information.

3. For så vidt angår interne netværk, træffes passende beskyttelsesforanstaltninger med henblik på at hindre autoriseret adgang.

4. Interaktiv adgang til fortrolig statistisk information fra ikke-sikrede netværk forbydes.

Artikel 6

Dokumentation og informering af personalet

ECB og NCB'erne sikrer, at alle deres regler og procedurer vedrørende beskyttelse af fortrolig statistisk information dokumenteres, og at denne dokumentation ajourføres. Det berørte personale informeres om betydningen af at beskytte fortrolig statistisk information og holdes ajour om alle regler og procedurer med indvirkning på deres arbejde.

Artikel 7

Rapportering

1. Mindst en gang om året informerer NCB'erne ECB om de problemer, de har haft i den forudgående periode, de foranstaltninger, der er truffet for at imødegå disse, og de forbedringer, der er planer om at foretage vedrørende beskyttelsen af fotrolig statistisk information. ECB udarbejder en rapport herom.

2. Mindst en gang om året foretager ECB's Styrelsesråd en vurdering af gennemførelsen af denne retningslinje. Forud for denne vurdering informeres og rapporterer ECB om de bemyndigelsesregler og former for beskyttelsesforanstaltninger, der anvendes af ECB og NCB'erne som omtalt i artikel 2, 3 og 5 i denne retningslinje.

Artikel 8

Afsluttende bestemmelser

Denne retningslinje er rettet til de deltagende medlemsstaters nationale centralbanker.

Denne retningslinje træder i kraft den 1. januar 1999.

Udfærdiget i Frankfurt am Main, den 22. december 1998.

På vegne af Styrelsesrådet for ECB

Willem F. Duisenberg

(1) EFT L 318 af 27.11.1998, s. 8.