PT Jornal Oficial da União Europeia L 47/16

ORIENTAÇÃO (UE) 2016/256 DO BANCO CENTRAL EUROPEU

de 5 de fevereiro de 2016

relativa à extensão das regras comuns e normas mínimas destinadas à proteção da confidencialidade da informação estatística compilada pelo Banco Central Europeu, com a assistência dos bancos centrais nacionais, às autoridades nacionais competentes de Estados-Membros participantes e ao Banco Central Europeu, no exercício das suas funções de supervisão (BCE/2016/1)

O CONSELHO DO BANCO CENTRAL EUROPEU,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 127.o, n.o 6,

Tendo em conta o Regulamento (UE) n.o 1024/2013 do Conselho, de 15 de outubro de 2013, que confere ao Banco Central Europeu atribuições específicas no que diz respeito às políticas relativas à supervisão prudencial das instituições de crédito (1), nomeadamente o artigo 6.o, n.o 1, conjugado com o n.o 7,

Considerando o seguinte:

(1) O artigo 5.o-1 dos Estatutos do Sistema Europeu de Bancos Centrais e do Banco Central Europeu impõe que o Banco Central Europeu (BCE), coadjuvado pelos bancos centrais nacionais (BCN), colija a informação estatística de que necessita para cumprimento das atribuições cometidas ao Sistema Europeu de Bancos Centrais (SEBC), a fornecer quer pelas autoridades nacionais competentes, quer diretamente pelos agentes económicos.

(2) O artigo 8.o, n.o 3, do Regulamento (CE) n.o 2533/98 do Conselho (2) impõe aos membros do SEBC que tomem todas as medidas regulamentares, administrativas, técnicas e organizativas necessárias para garantir a proteção física e lógica da informação estatística confidencial. Para esse efeito, o BCE deve definir regras comuns e aplicar normas mínimas para evitar a divulgação ilícita e a utilização para fins não autorizados de informação estatística confidencial.

(3) A Orientação BCE/1998/NP28 do Banco Central Europeu (3) estabelece as regras comuns e normas mínimas exigidas pelo artigo 8.o, n.o 3 Regulamento (CE) n.o 2533/98, as quais asseguram um nível básico de proteção da informação estatística confidencial coligida pelo BCE.

(4) Na sequência da criação do Mecanismo Único de Supervisão (MUS), o Regulamento (UE) 2015/373 do Conselho (4) alterou o artigo 8.o, n.o 1, alínea d), e n.o 4 do Regulamento (CE) n.o 2533/98, no sentido de passar a ser permitida a transmissão e a utilização de informação estatística confidencial no âmbito do cumprimento das atribuições cometidas aos membros do SEBC no domínio da supervisão prudencial. O tratamento a dar à informação estatística confidencial pelos membros do SEBC também deveria beneficiar de uma proteção de confidencialidade adequada, tal como o exige o artigo 8.o, n.o 3, do Regulamento (CE) n.o 2533/98.

(5) Além disso, o Regulamento (UE) 2015/373 inseriu um novo n.o 4-A no artigo 8.o do Regulamento (CE) n.o 2533/98, o qual permite ao SEBC transmitir informação estatística confidencial às autoridades ou órgãos dos Estados-Membros e da União responsáveis pela supervisão das instituições, mercados e infraestruturas financeiros, na medida do necessário e com o nível de detalhe requerido para o cumprimento das respetivas atribuições. As autoridades ou os órgãos destinatários de informação estatística confidencial deveriam tomar todas as medidas regulamentares, administrativas, técnicas e organizativas necessárias para garantir a segurança física e lógica dos dados estatísticos confidenciais.

(6) A Orientação BCE/1998/NP28 especifica as obrigações dos membros do SEBC quanto ao tratamento de informação estatística confidencial no que se refere às suas atribuições fora do âmbito do MUS. Deveria assegurar-se o mesmo nível de proteção na transmissão, e subsequente utilização, de informação estatística confidencial no que respeita tanto às autoridades nacionais competentes (ANC) dos Estados-Membros que participam no MUS (incluindo os BCN, relativamente às suas funções na qualidade de ANC), como ao BCE, no desempenho das atribuições que lhe competem ao abrigo do Regulamento (UE) n.o 1024/2013.

(7) O artigo 6.o, n.o 7, do Regulamento (UE) n.o 1024/2013 confere poderes ao BCE para, em consulta com as autoridades nacionais competentes, e com base numa proposta do Conselho de Supervisão, adotar e publicar o enquadramento legal das modalidades práticas de aplicação do artigo citado, o qual dispõe, nomeadamente, que o BCE é responsável pelo funcionamento eficaz e coerente do MUS,

ADOTOU A PRESENTE ORIENTAÇÃO:

Artigo 1.o

Definições

Para efeitos da presente orientação, entende-se por:

1. «Informação estatística confidencial»: a informação estatística classificada como confidencial de acordo com a definição constante do artigo 1.o, n.o 12, do Regulamento (CE) n.o 2533/98, e que tenha sido compilada de acordo com as disposições e para os efeitos definidos nesse Regulamento;

2. «Medidas de proteção»: os procedimentos adequados à proteção, tanto lógica como física, de informação estatística confidencial;

3. «Medidas de proteção lógica»: as medidas impeditivas do acesso não autorizado à informação estatística confidencial em si;

4. «Medidas de proteção física»: as medidas impeditivas do acesso não autorizado a uma área física e a suportes físicos;

5. «Área física»: qualquer parte do edifício onde se encontrem instalados os meios físicos destinados à armazenagem ou à transmissão da informação estatística confidencial;

6. «Meios físicos»: cópias (em papel) e material informático (incluindo periféricos e dispositivos de memória) utilizados na armazenagem ou no processamento da informação estatística confidencial;

7. «Autoridade nacional competente»: uma autoridade nacional competente, na aceção do artigo 2.o, n.o 2, do Regulamento (CE) n.o 1024/2013;

8. «Inquirido»: um inquirido, na aceção do artigo 1.o, n.o 2, do Regulamento (CE) n.o 2533/98.

Artigo 2.o

Proteção lógica

1. O BCE e as ANC definirão e aplicarão individualmente as regras de autorização e as medidas de proteção lógica regendo ao acesso à informação estatística confidencial por parte dos respetivos funcionários.

2. Sem prejuízo da continuidade da função de administração do sistema, a medida mínima de proteção a aplicar deve consistir na atribuição de um código único de identificação do utilizador e de uma palavra-passe personalizada.

3. Devem ser tomadas todas as medidas adequadas para garantir a organização da informação estatística confidencial de maneira a que quaisquer dados publicados se refiram, pelo menos, a três agentes económicos. Sempre que a parte atribuível a um ou dois agentes económicos numa observação seja suficiente para permitir que os mesmos sejam indiretamente identificados, os dados publicados devem ser apresentados de modo a evitar uma identificação indireta. Estas regras não serão aplicáveis se os inquiridos, ou outras pessoas singulares ou coletivas, entidades ou sucursais suscetíveis de ser identificados, tiverem expressamente consentido na divulgação.

Artigo 3.o

Proteção física

Sem prejuízo do disposto no artigo 4.o da presente orientação, o BCE e as ANC definirão e aplicarão individualmente as regras de autorização e as medidas de proteção física referentes ao acesso qualquer área física por parte dos respetivos funcionários.

Artigo 4.o

Acesso de terceiros

Em caso de acesso de terceiros a informação estatística confidencial ao abrigo do artigo 8.o, n.o 4-A, do Regulamento (CE) n.o 2533/98, o BCE e as ANC devem assegurar por meios adequados — sempre que possível por via contratual — a observância, por parte desses terceiros, dos requisitos de confidencialidade estabelecidos no Regulamento (CE) n.o 2533/98 e na presente orientação.

Artigo 5.o

Transmissão de dados e redes

1. Nas circunstâncias em que o artigo 8.o do Regulamento (CE) n.o 2533/98 o permita, a informação estatística confidencial será transmitida para o exterior por via eletrónica, depois de ter sido encriptada.

2. O BCE e as autoridades nacionais competentes (ANC) definirão individualmente as regras de autorização para este tipo de transmissão de informação estatística confidencial.

3. No que se refere às redes internas, serão tomadas medidas de proteção apropriadas para evitar o acesso não autorizado.

4. O acesso interativo a informação estatística confidencial a partir de redes não protegidas deve ser proibido.

Artigo 6.o

Elaboração de documentação e sensibilização dos funcionários

O BCE e as ANC devem assegurar a elaboração de documentação contendo a totalidade das respetivas regras e procedimentos relacionados com a proteção de informação estatística confidencial, bem como a atualização da mesma. Os membros do pessoal envolvido devem ser informados da importância da proteção da informação estatística confidencial e mantidos ao corrente de todas as regras e procedimentos relacionados com o seu trabalho.

Artigo 7.o

Prestação de informação

1. As ANC devem comunicar ao BCE, no mínimo uma vez por ano, os problemas com que se depararam depois do último reporte, bem como as medidas tomadas para lhes fazer face e as melhorias planeadas em matéria de proteção de informação estatística confidencial. O BCE também elaborará um relatório anual versando os mesmos aspetos.

2. O Conselho do BCE apreciará a execução da presente orientação pelo menos uma vez por ano. No âmbito da preparação para esta avaliação, o BCE deve ser informado das regras de autorização e dos tipos de medidas de proteção referidas nos artigos 2.o, 3.o e 5.o da presente orientação que foram adotadas pelas ANC. O BCE dará conhecimento ao Conselho do BCE da aplicação dessas regras e medidas de proteção tanto por parte das ANC como do próprio BCE.

Artigo 8.o

Produção de efeitos e implementação

1. A presente orientação produz efeitos no vigésimo dia a contar da sua publicação no Jornal Oficial da União Europeia.

2. As ANC e o BCE devem zelar por que as disposições da presente orientação sejam igualmente aplicáveis aos membros dos respetivos órgãos de decisão.

3. O BCE e as ANC devem tentar, tanto quanto legalmente permissível, alargar às pessoas envolvidas no desempenho de funções de supervisão que não sejam membros do seu pessoal as obrigações por si definidas em cumprimento do disposto nesta orientação.

Artigo 9.o

Destinatários

As ANC e o BCE, este no exercício das atribuições que lhe são conferidas pelo Regulamento (UE) n.o 1024/2013, e em ambos os casos na medida em que recebam informação confidencial da parte do SEBC, são os destinatários da presente orientação.

Feito em Frankfurt am Main, em 5 de fevereiro de 2016. Pelo Conselho do BCE O Presidente do BCE Mario DRAGHI

(1) JO L 287 de 29.10.2013, p. 63.

(2) Regulamento (CE) n.o 2533/98 do Conselho, de 23 de novembro de 1998, relativo à compilação de informação estatística pelo Banco Central Europeu (JO L 318 de 27.11.1998, p. 8).

(3) Orientação BCE/1998/NP28, de 22 de dezembro de 1998, relativa às regras comuns e normas mínimas destinadas à proteção da confidencialidade da informação estatística de ordem individual compilada pelo Banco Central Europeu com a assistência dos bancos centrais nacionais (JO L 55 de 24.2.2001, p. 72).

(4) Regulamento (UE) 2015/373 do Conselho, de 5 de março de 2015, que altera o Regulamento (CE) n.o 2533/98 relativo à compilação de informação estatística pelo Banco Central Europeu (JO L 64 de 7.3.2015, p. 6).