Resumé af Den Europæiske Tilsynsførende for Databeskyttelses udtalelse om forslag til forordning om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014 og (EU) nr. 909/2014

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på EDPS’ websted www.edps.europa.eu)

(2021/C 229/05)

Kommissionen vedtog den 24. september 2020 et forslag til forordning om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014 og (EU) nr. 909/2014 (»forslaget«). Forslaget fastlægger en omfattende ramme for digital operationel modstandsdygtighed for EU’s finansielle enheder baseret på fem nøgleområder, nemlig styring af IKT-risici (kapitel II), styring, klassificering og indberetning af hændelser (kapitel III), afprøvning af digital operationel modstandsdygtighed (kapitel IV), styring af IKT-tredjepartsrisici og regulering af kritiske tredjepartsudøvere af IKT-tjenester (kapitel V) og informationsudveksling (kapitel VI).

EDPS glæder sig over målene i forslaget og finder det vigtigt for stabiliteten på Den Europæiske Unions finansielle marked, at finansielle institutioner baserer sig på en sund, omfattende og veldokumenteret IKT-risikostyringsramme

EDPS understreger vigtigheden af at sikre, at enhver behandling i forbindelse med de finansielle enheders aktiviteter er baseret på et af de juridiske grundlag, der er fastlagt i artikel 6 i GDPR (1). Desuden understreger EDPS, at det er vigtigt for finansielle enheder at indarbejde et stærkt styringsinstrument til databeskyttelse i deres ramme for digital operationel modstandsdygtighed, der klart identificerer den dataansvarliges og databehandlerens roller og ansvar samt de behandlingsaktiviteter, der vil finde sted.

Med hensyn til internationale overførsler til tredjepartsudøvere af IKT-tjenester etableret i et tredjeland minder EDPS om, at alle internationale overførsler af personoplysninger skal efterleve kravene i kapitel V i GDPR som fortolket i EU-Domstolens retspraksis, herunder dommen i Schrems II.

Med hensyn til ordningerne for udveksling af efterretninger og information om internettrusler mellem finansielle enheder understreger EDPS, at beskyttelsen af personoplysninger ikke udgør en hindring for udveksling af efterretninger i den finansielle sektor. Tværtimod bør krav om databeskyttelse opfattes som et grundlæggende krav, der skal overholdes for at sikre beskyttelsen af enkeltpersoners rettigheder. I denne sammenhæng opfordrer EDPS også til at indføre adfærdskodekser i overensstemmelse med artikel 40 i GDPR i den finansielle sektor, især med henblik på klart at fastlægge de vigtigste interessenters rolle i behandlingen af personoplysninger samt sikre en retfærdig og gennemsigtig behandling.

Med hensyn til offentliggørelse af administrative bøder anbefaler EDPS, at der blandt kriterierne for den kompetente myndigheds overvejelse inkluderes risici vedrørende beskyttelsen af enkeltpersoners personoplysninger. Desuden minder EDPS om, at princippet om opbevaringsbegrænsning kræver, at personoplysninger ikke opbevares længere, end det er nødvendigt til det formål, hvortil personoplysningerne behandles.

Med hensyn til anmeldelse af brud på persondatasikkerheden fremhæver EDPS, at ordlyden i forslagets betragtning 42 er uforenelig med artikel 33 i GDPR. Derfor anbefaler EDPS at slette henvisningen til databeskyttelsesmyndigheder fra forslagets betragtning 42 samt at ændre forslagets artikel 17 i overensstemmelse med henstillingerne i denne udtalelse.

1. BAGGRUND

1. Kommissionen vedtog den 24. september 2020 et forslag til forordning om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014 og (EU) nr. 909/2014 (» forslaget «). Forslaget fastlægger en omfattende ramme for digital operationel modstandsdygtighed for EU’s finansielle enheder baseret på fem nøgleområder, nemlig styring af IKT-risici (kapitel II), styring, klassificering og indberetning af hændelser (kapitel III), afprøvning af digital operationel modstandsdygtighed (kapitel IV), styring af IKT-tredjepartsrisici og regulering af kritiske tredjepartsudøvere af IKT-tjenester (kapitel V) og informationsudveksling (kapitel VI).

3. Den 15. marts 2021 anmodede Europa-Kommissionen Den Europæiske Tilsynsførende for Databeskyttelse (»EDPS«) om at afgive udtalelse om forslaget i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725. Disse kommentarer er begrænset til de bestemmelser i forslaget, der er relevante set fra et databeskyttelsesperspektiv.

4. KONKLUSIONER

På baggrund af ovenstående:

— Fremhæver EDPS vigtigheden af at sikre, at enhver behandlingsaktivitet i forbindelse med de finansielle enheders aktiviteter er baseret på et af retsgrundlagene i artikel 6 i GDPR og angiver artikel 6, stk. 1, litra c), e) og f), i GDPR som muligt retsgrundlag for finansielle enheder.

— Desuden understreger EDPS, at det er vigtigt for finansielle enheder at indarbejde et stærkt styringsinstrument til databeskyttelse i deres ramme for digital operationel modstandsdygtighed, der klart identificerer den dataansvarliges og databehandlerens roller og ansvar samt de behandlingsaktiviteter, der vil finde sted.

— EDPS minder om, at alle finansielle enheders internationale overførsler af personoplysninger til en tredjepartsudøver af IKT-tjenester etableret i et tredjeland skal efterleve kravene i kapitel V i GDPR og, hvis de foretages, være underlagt passende beskyttelsesforanstaltninger i overensstemmelse med databeskyttelsesrammen og EU-Domstolens praksis, særlig Schrems II-sagen. Sådanne finansielle enheder kan benytte sig af standardkontraktbestemmelserne, da det ser ud til at være det mest relevante overførselsværktøj.

— EDPS fremhæver, at beskyttelsen af personoplysninger ikke udgør en hindring for udveksling af efterretninger i den finansielle sektor. Tværtimod bør krav om databeskyttelse opfattes som et grundlæggende krav, der skal overholdes for at sikre beskyttelsen af enkeltpersoners rettigheder i de finansielle enheders ramme for digital operationel modstandsdygtighed.

— EDPS opfordrer også til at indføre adfærdskodekser i den finansielle sektor i overensstemmelse med artikel 40 i GDPR, især med henblik på klart at fastlægge de vigtigste interessenters rolle i behandlingen af personoplysninger samt sikre en retfærdig og gennemsigtig behandling.

— Med hensyn til offentliggørelse af administrative bøder anbefaler EDPS, at der blandt kriterierne for den kompetente myndigheds overvejelser inkluderes risici vedrørende beskyttelsen af enkeltpersoners personoplysninger.

— I overensstemmelse med princippet om opbevaringsbegrænsning anbefaler EDPS de finansielle enheder, at de indfører foranstaltninger til at sikre, at oplysningerne om de administrative bøder slettes fra deres websted, når de fem år er gået, eller før, hvis de ikke længere er nødvendige.

— EDPS understreger, at ordlyden i forslagets betragtning 42 er uforenelig med artikel 33 i GDPR. Derfor anbefaler EDPS at slette henvisningen til databeskyttelsesmyndigheder fra forslagets betragtning 42 samt at ændre forslagets artikel 17, så den indeholder en henvisning til pligten til anmeldelse af brud på persondatasikkerheden til de relevante databeskyttelsesmyndigheder.

— EDPS anbefaler at ændre forslaget artikel 23, stk. 2, for at sikre, at prøvning, produktudvikling eller forskning i IKT-systemerne muligvis ikke udføres på aktive produktionssystemer, der indeholder kundedata.

Bruxelles, den 10. maj 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EFT L 119 af 4.5.2016, s. 1).

(2) Forslag til Europa-Parlamentets og Rådets forordning om markeder for kryptoaktiver og om ændring af direktiv (EU) 2019/1937, COM/2020/593 final. Kan findes på EUR-Lex - 52020PC0593 - DA - EUR-Lex (europa.eu)

(3) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi COM/2020/594 final, kan findes på EUR-Lex - 52020PC0594 - DA - EUR-Lex (europa.eu)

(4) Forslag til Europa-Parlamentets og Rådets direktiv om ændring af direktiv 2006/43/EF, 2009/65/EF, 2009/138/EU, 2011/61/EU, 2013/36/EU, 2014/65/EU, (EU) 2015/2366 og (EU) 2016/2341, COM/2020/596 final. Kan findes på EUR-Lex - 52020PC0596 - DA - EUR-Lex (europa.eu)

(5) Udtalelse 6/2021 om forslag til en pilotordning for markedsinfrastrukturer baseret på distributed ledger-teknologi, kan findes på 2021-0219_d0912_opinion_6_2021_en_0.pdf (europa.eu)

(6) Europa-Parlamentets og Rådets forordning (EU) 2018/1727 af 14. november 2018 om Den Europæiske Unions Agentur for Strafferetligt Samarbejde (Eurojust), og om erstatning og ophævelse af Rådets afgørelse 2002/187/RIA (EFT L 295 af 21.11.2018, s. 138).