Συνοπτική παρουσίαση της γνωμοδότησης του Ευρωπαίου Επόπτη Προστασίας Δεδομένων για την πρόταση κανονισμού σχετικά με την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014 και (ΕΕ) αριθ. 909/2014

(Το πλήρες κείμενο της παρούσας γνωμοδότησης είναι διαθέσιμο στην αγγλική, γαλλική και γερμανική γλώσσα στον διαδικτυακό τόπο του ΕΕΠΔ www.edps.europa.eu)

(2021/C 229/05)

Στις 24 Σεπτεμβρίου 2020 η Ευρωπαϊκή Επιτροπή εξέδωσε πρόταση κανονισμού σχετικά με την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014 και (ΕΕ) αριθ. 909/2014 («η πρόταση»). Η πρόταση θεσπίζει ένα ολοκληρωμένο πλαίσιο για την ψηφιακή επιχειρησιακή ανθεκτικότητα των χρηματοπιστωτικών οντοτήτων της ΕΕ, το οποίο βασίζεται σε πέντε κύριους τομείς, ήτοι τη διαχείριση κινδύνων ΤΠΕ (Κεφάλαιο ΙΙ), τη διαχείριση, ταξινόμηση και αναφορά συμβάντων (Κεφάλαιο ΙΙΙ), τις δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας (Κεφάλαιο IV), τη διαχείριση κινδύνων τρίτου παρόχου ΤΠΕ και τη ρύθμιση κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ (Κεφάλαιο V), καθώς και την ανταλλαγή πληροφοριών (Κεφάλαιο VI).

Ο ΕΕΠΔ εκφράζει την ικανοποίησή του για τους στόχους της πρότασης και θεωρεί ότι είναι απαραίτητο για τη σταθερότητα της χρηματοπιστωτικής αγοράς της Ευρωπαϊκής Ένωσης να υπάρχει ένα ισχυρό, ολοκληρωμένο και άρτια τεκμηριωμένο πλαίσιο διαχείρισης κινδύνων ΤΠΕ στο οποίο θα βασίζονται τα χρηματοπιστωτικά ιδρύματα.

Ο ΕΕΠΔ επισημαίνει πόσο σημαντικό είναι να διασφαλίζεται ότι κάθε δραστηριότητα επεξεργασίας που εκτελείται στο πλαίσιο των δραστηριοτήτων των χρηματοπιστωτικών οντοτήτων βασίζεται σε μία από τις νομικές βάσεις που καθιερώνει το άρθρο 6 του ΓΚΠΔ (1). Επιπλέον, ο ΕΕΠΔ επισημαίνει πόσο σημαντικό είναι οι χρηματοπιστωτικές οντότητες να ενσωματώσουν στο οικείο πλαίσιο ψηφιακής επιχειρησιακής ανθεκτικότητας έναν ισχυρό μηχανισμό διακυβέρνησης για την προστασία των δεδομένων, ο οποίος θα προσδιορίζει σαφώς τους ρόλους και τις αρμοδιότητες του υπεύθυνου επεξεργασίας και του εκτελούντος την επεξεργασία, καθώς και τις δραστηριότητες επεξεργασίας που θα εκτελούνται.

Αναφορικά με τις διεθνείς διαβιβάσεις σε τρίτους παρόχους υπηρεσιών ΤΠΕ οι οποίοι είναι εγκατεστημένοι σε τρίτη χώρα, ο ΕΕΠΔ υπενθυμίζει ότι κάθε διεθνής διαβίβαση δεδομένων προσωπικού χαρακτήρα πρέπει να συμμορφώνεται προς τις απαιτήσεις του Κεφαλαίου V του ΓΚΠΔ όπως ερμηνεύονται στη νομολογία του ΔΕΕ, συμπεριλαμβανομένης της απόφασης στην υπόθεση Schrems II.

Αναφορικά με τις ρυθμίσεις ανταλλαγής στοιχείων και πληροφοριών για κυβερνοαπειλές μεταξύ χρηματοπιστωτικών οντοτήτων, ο ΕΕΠΔ επισημαίνει ότι η προστασία των δεδομένων προσωπικού χαρακτήρα δεν αποτελεί εμπόδιο για την ανταλλαγή πληροφοριών στον χρηματοπιστωτικό τομέα. Αντιθέτως, οι απαιτήσεις περί προστασίας δεδομένων θα πρέπει να εκλαμβάνονται ως βασική απαίτηση, η συμμόρφωση προς την οποία διασφαλίζει τον σεβασμό των ατομικών δικαιωμάτων. Στο πλαίσιο αυτό, ο ΕΕΠΔ ενθαρρύνει και τον χρηματοπιστωτικό τομέα να θεσπίσει κώδικες δεοντολογίας σύμφωνα με το άρθρο 40 του ΓΚΠΔ, ιδίως με στόχο την αποσαφήνιση των ρόλων των κύριων ενδιαφερόμενων στο πλαίσιο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας.

Αναφορικά με τη δημοσιοποίηση των διοικητικών προστίμων, ο ΕΕΠΔ συνιστά οι κίνδυνοι για την προστασία των δεδομένων προσωπικού χαρακτήρα των φυσικών προσώπων να συμπεριληφθούν μεταξύ των κριτηρίων που θα λαμβάνει υπόψη η αρμόδια αρχή. Επιπλέον, ο ΕΕΠΔ υπενθυμίζει ότι η αρχή του περιορισμού της περιόδου αποθήκευσης απαιτεί τα δεδομένα προσωπικού χαρακτήρα να μην αποθηκεύονται για μεγαλύτερο χρονικό διάστημα από αυτό που είναι αναγκαίο για τους σκοπούς της επεξεργασίας.

Αναφορικά με τις γνωστοποιήσεις των παραβιάσεων δεδομένων προσωπικού χαρακτήρα, ο ΕΕΠΔ τονίζει ότι το γράμμα της αιτιολογικής σκέψης 42 της πρότασης δεν είναι συμβατό με το άρθρο 33 του ΓΚΠΔ. Ως εκ τούτου, ο ΕΕΠΔ συνιστά να διαγραφεί η αναφορά στις αρχές προστασίας δεδομένων από την αιτιολογική σκέψη 42 της πρότασης, καθώς και να τροποποιηθεί ελαφρώς η διατύπωση του άρθρου 17 της πρότασης σύμφωνα με τις συστάσεις της παρούσας γνωμοδότησης.

1. ΙΣΤΟΡΙΚΟ

1. Στις 24 Σεπτεμβρίου 2020 η Ευρωπαϊκή Επιτροπή εξέδωσε πρόταση κανονισμού σχετικά με την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014 και (ΕΕ) αριθ. 909/2014 ( «η πρόταση» ). Η πρόταση θεσπίζει ένα ολοκληρωμένο πλαίσιο για την ψηφιακή επιχειρησιακή ανθεκτικότητα των χρηματοπιστωτικών οντοτήτων της ΕΕ, το οποίο βασίζεται σε πέντε κύριους τομείς, ήτοι τη διαχείριση κινδύνων ΤΠΕ (Κεφάλαιο ΙΙ), τη διαχείριση, ταξινόμηση και αναφορά συμβάντων (Κεφάλαιο ΙΙΙ), τις δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας (Κεφάλαιο IV), τη διαχείριση κινδύνων τρίτου παρόχου ΤΠΕ και τη ρύθμιση κρίσιμων τρίτων παρόχων υπηρεσιών ΤΠΕ (Κεφάλαιο V), καθώς και την ανταλλαγή πληροφοριών (Κεφάλαιο VI).

2. κανονισμός MICA »), πρόταση σχετικά με ένα πιλοτικό καθεστώς για τις υποδομές της αγοράς που βασίζονται σε τεχνολογία κατανεμημένου καθολικού Η παρούσα πρόταση αποτελεί μέρος μιας δέσμης μέτρων που περιλαμβάνει πρόταση κανονισμού για τη δημιουργία αγορών κρυπτοπεριουσιακών στοιχείων ( 2 ) («»), πρόταση σχετικά με ένα πιλοτικό καθεστώς για τις υποδομές της αγοράς που βασίζονται σε τεχνολογία κατανεμημένου καθολικού ( 3 ) , καθώς και πρόταση για την αποσαφήνιση ή την τροποποίηση ορισμένων συναφών κανόνων της ΕΕ για τις χρηματοπιστωτικές υπηρεσίες ( 4 ) . Ζητήθηκε η γνώμη του ΕΕΠΔ για την πρόταση σχετικά με ένα πιλοτικό καθεστώς για τις υποδομές της αγοράς που βασίζονται σε τεχνολογία κατανεμημένου καθολικού και στις 23 Απριλίου 2021 υποβλήθηκε η γνωμοδότησή του ( 5 ) . Στις 29 Απριλίου 2021 ζητήθηκε επίσης η γνώμη του σχετικά με τον κανονισμό MICA, η δε γνωμοδότησή του θα υποβληθεί σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/17251727του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου ( 6 )

3. Στις 15 Μαρτίου 2021, η Ευρωπαϊκή Επιτροπή ζήτησε από τον Ευρωπαίο Επόπτη Προστασίας Δεδομένων (ο «ΕΕΠΔ») να εκδώσει γνωμοδότηση για την πρόταση, σύμφωνα με το άρθρο 42 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725. Αυτά τα σχόλια περιορίζονται στις διατάξεις της πρότασης που θεωρούνται συναφείς από την άποψη της προστασίας δεδομένων.

4. ΣΥΜΠΕΡΑΣΜΑΤΑ

Δεδομένων των ανωτέρω, ο ΕΕΠΔ:

— Επισημαίνει πόσο σημαντικό είναι να διασφαλίζεται ότι κάθε δραστηριότητα επεξεργασίας στο πλαίσιο των δραστηριοτήτων των χρηματοπιστωτικών οντοτήτων βασίζεται σε μία από τις νομικές βάσεις του άρθρου 6 του ΓΚΠΔ, υποδεικνύει δε τις περιπτώσεις που παρατίθενται στο άρθρο 6 παράγραφος 1 στοιχεία γ), ε) και στ) του ως άνω κανονισμού ως πιθανές νομικές βάσεις προς εξέταση από τις χρηματοπιστωτικές οντότητες.

— Ο ΕΕΠΔ επισημαίνει πόσο σημαντικό είναι οι χρηματοπιστωτικές οντότητες να ενσωματώσουν στο οικείο πλαίσιο ψηφιακής επιχειρησιακής ανθεκτικότητας έναν ισχυρό μηχανισμό διακυβέρνησης για την προστασία των δεδομένων, ο οποίος θα προσδιορίζει σαφώς τους ρόλους και τις αρμοδιότητες του υπεύθυνου επεξεργασίας και του εκτελούντος την επεξεργασία, καθώς και τις δραστηριότητες επεξεργασίας που θα εκτελούνται.

— Ο ΕΕΠΔ υπενθυμίζει ότι κάθε διεθνής διαβίβαση δεδομένων προσωπικού χαρακτήρα από χρηματοπιστωτικές οντότητες προς τρίτους παρόχους υπηρεσιών ΤΠΕ οι οποίοι είναι εγκατεστημένοι σε τρίτη χώρα πρέπει να συμμορφώνεται προς τις απαιτήσεις του Κεφαλαίου V του ΓΚΠΔ, ενώ η εκτέλεσή της πρέπει να υπόκειται σε κατάλληλες εγγυήσεις σύμφωνα με το πλαίσιο προστασίας δεδομένων και τη νομολογία του ΔΕΕ, ιδίως την απόφαση στη υπόθεση Schrems II. Οι εν λόγω χρηματοπιστωτικές οντότητες μπορούν να χρησιμοποιήσουν τις τυποποιημένες συμβατικές ρήτρες, οι οποίες φαίνεται να αποτελούν το πλέον κατάλληλο μέσο διαβίβασης.

— Ο ΕΕΠΔ επισημαίνει ότι η προστασία των δεδομένων προσωπικού χαρακτήρα δεν αποτελεί εμπόδιο στην ανταλλαγή πληροφοριών στον χρηματοπιστωτικό τομέα. Αντιθέτως, οι απαιτήσεις περί προστασίας δεδομένων θα πρέπει να εκλαμβάνονται ως βασική απαίτηση, η συμμόρφωση προς την οποία διασφαλίζει τον σεβασμό των ατομικών δικαιωμάτων εντός του πλαισίου ψηφιακής επιχειρησιακής ανθεκτικότητας των χρηματοπιστωτικών οντοτήτων.

— Ο ΕΕΠΔ ενθαρρύνει και τον χρηματοπιστωτικό τομέα να θεσπίσει κώδικες δεοντολογίας σύμφωνα με το άρθρο 40 του ΓΚΠΔ, ιδίως με στόχο την αποσαφήνιση των ρόλων των κύριων ενδιαφερόμενων στο πλαίσιο της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα, καθώς και τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας.

— Αναφορικά με τη δημοσιοποίηση των διοικητικών κυρώσεων, ο ΕΕΠΔ συνιστά οι κίνδυνοι για την προστασία των δεδομένων προσωπικού χαρακτήρα των φυσικών προσώπων να συμπεριληφθούν μεταξύ των κριτηρίων που θα λαμβάνει υπόψη η αρμόδια αρχή.

— Σύμφωνα με την αρχή του περιορισμού της περιόδου αποθήκευσης, ο ΕΕΠΔ συνιστά στις χρηματοπιστωτικές οντότητες να θεσπίσουν μέτρα που θα διασφαλίζουν ότι οι πληροφορίες σχετικά με τα διοικητικά πρόστιμα θα διαγράφονται από τον διαδικτυακό τους τόπο μετά την παρέλευση πενταετίας, ή και νωρίτερα, εάν δεν είναι πλέον αναγκαίες.

— Ο ΕΕΠΔ τονίζει ότι το γράμμα της αιτιολογικής σκέψης 42 της πρότασης δεν είναι συμβατό με το άρθρο 33 του ΓΚΠΔ. Ως εκ τούτου, ο ΕΕΠΔ συνιστά να διαγραφεί από την αιτιολογική σκέψη 42 της πρότασης η αναφορά στις αρχές προστασίας δεδομένων, καθώς και να τροποποιηθεί το άρθρο 17 της πρότασης ώστε να συμπεριλάβει αναφορά στην υποχρέωση γνωστοποίησης των παραβιάσεων δεδομένων προσωπικού χαρακτήρα στις αρμόδιες αρχές προστασίας δεδομένων.

— Ο ΕΕΠΔ συνιστά να τροποποιηθεί το άρθρο 23 παράγραφος 2 της πρότασης προκειμένου να διασφαλισθεί ότι οι δοκιμές, η ανάπτυξη προϊόντων ή η έρευνα σχετικά με τα συστήματα ΤΠΕ δεν μπορούν να εκτελούνται σε συστήματα ζωντανής παραγωγής τα οποία περιέχουν δεδομένα προσωπικού χαρακτήρα των πελατών.

Βρυξέλλες, 10 Μαΐου 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ L 119 της 4.5.2019, σ. 1).

(2) Πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για τις αγορές κρυπτοστοιχείων και για την τροποποίηση της οδηγίας (ΕΕ) 2019/1937, COM/2020/593 final. Ανατρέξτε στον σύνδεσμο EUR-Lex - 52020PC0593 - EL - EUR-Lex (europa.eu)

(3) Πρόταση κανονισμού του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με ένα πιλοτικό καθεστώς για τις υποδομές της αγοράς που βασίζονται σε τεχνολογία κατανεμημένου καθολικού COM/2020/594 final, ανατρέξτε στον σύνδεσμο EUR-Lex - 52020PC0594 - EL - EUR-Lex (europa.eu)

(4) Πρόταση οδηγίας του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου για την τροποποίηση των οδηγιών 2006/43/ΕΚ, 2009/65/ΕΚ, 2009/138/ΕΕ, 2011/61/ΕΕ, ΕΕ/2013/36, 2014/65/ΕΕ, (ΕΕ) 2015/2366 και ΕΕ/2016/2341, COM/2020/596 final. Ανατρέξτε στον σύνδεσμο EUR-Lex - 52020PC0596 - EL - EUR-Lex (europa.eu)

(5) Opinion 6/2021 on the Proposal for a Pilot Regime for Market Infrastructures based on Distributed Ledger Technology [γνωμοδότηση 6/2021 επί της πρότασης σχετικά με ένα πιλοτικό καθεστώς για τις υποδομές της αγοράς που βασίζονται σε τεχνολογία κατανεμημένου καθολικού], ανατρέξτε στον σύνδεσμο 2021-0219_d0912_opinion_6_2021_en_0.pdf (europa.eu)

(6) Κανονισμός (ΕΕ) 2018/1727του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Νοεμβρίου 2018, σχετικά με τον οργανισμό της Ευρωπαϊκής Ένωσης για τη συνεργασία στον τομέα της ποινικής δικαιοσύνης (Eurojust) και την αντικατάσταση και την κατάργηση της απόφασης 2002/187/ΔΕΥ του Συμβουλίου (ΕΕ L 295 της 21.11.2018, σ. 138).