SKLEP ENOTNEGA ODBORA ZA REŠEVANJE

z dne 18. septembra 2019

o notranjih predpisih glede omejitev določenih pravic posameznikov, na katere se nanašajo osebni podatki, v zvezi z obdelavo osebnih podatkov v okviru administrativnih poizvedb/disciplinskih postopkov/preiskav/drugih postopkov, ki jih izvaja Enotni odbor za reševanje

(SRB/ES/2019/32)

ENOTNI ODBOR ZA REŠEVANJE JE –

ob upoštevanju Pogodbe o delovanju Evropske unije,

ob upoštevanju Uredbe (EU) št. 806/2014 Evropskega parlamenta in Sveta z dne 15. julija 2014 o določitvi enotnih pravil in enotnega postopka za reševanje kreditnih institucij in določenih investicijskih podjetij v okviru enotnega mehanizma za reševanje in enotnega sklada za reševanje ter o spremembi Uredbe (EU) št. 1093/2010 (1) ter zlasti člena 42, člena 43(5), člena 50(3), člena 56(1)–(3), členov 61, 63 in 64 Uredbe,

ob upoštevanju Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (2),

Ob upoštevanju posvetovanja z Evropskim nadzornikom za varstvo podatkov,

ob upoštevanju naslednjega:

(1) Enotni odbor za reševanje (v nadaljnjem besedilu: SRB) opravlja naloge organa za reševanje v okviru enotnega mehanizma za reševanje v skladu z Uredbo (EU) št. 806/2014. Naloga odbora je skrbeti za urejeno reševanje bank v težavah s čim manjšimi posledicami za gospodarstvo, finančni sistem in javne finance sodelujočih držav članic in držav članic, ki niso del bančne unije.

(2) SRB lahko izvaja notranje preiskave in/ali administrativne poizvedbe po uradni dolžnosti ali na podlagi zaupnih informacij, ki jih zagotovijo uslužbenci SRB v okviru postopka za prijavo nepravilnosti. SRB lahko izvaja disciplinske postopke tudi v skladu s Prilogo IX Kadrovskih predpisov.

(3) SRB lahko v okviru notranjih preiskav in/ali administrativnih poizvedb in/ali disciplinskih postopkov o zadevah uradno obvesti Preiskovalni in disciplinski urad Komisije (IDOC) in Evropski urad za boj proti goljufijam (OLAF) v skladu s sklepom odbora s svoje izvršilne seje 6. novembra 2015 o pogojih za notranje preiskave v zvezi s preprečevanjem goljufij, korupcije in kakršnega koli nezakonitega ravnanja, ki škodi interesu Skupnosti (SRB/ES/2015/01);

(4) SRB, ki ga zastopa odgovorna oseba za varovanje zakonitosti poslovanja oziroma pooblaščena oseba SRB za varstvo podatkov, obdeluje več kategorij osebnih podatkov, zlasti identifikacijske podatke, kontaktne podatke in poklicne podatke ter deluje kot upravljavec podatkov. Osebni podatki so shranjeni v varnem elektronskem okolju, ki preprečuje nezakonit dostop do podatkov ali njihov prenos osebam, ki nimajo potrebe po seznanitvi z njimi. Obdelani osebni podatki se hranijo v skladu s pravili SRB o hrambi dokumentov. Ob koncu obdobja hrambe se informacije v zvezi s primerom, vključno z osebnimi podatki, prenesejo v zgodovinski arhiv ali izbrišejo v skladu z načelom zmanjšanja količine podatkov in točnosti podatkov;

(5) Notranji predpisi bi se morali uporabljati za vse postopke obdelave podatkov, ki jih SRB izvaja pri svojih dejavnostih za preprečevanje, preiskovanje, odkrivanje in pregon kršitev, med drugim, etičnega kodeksa SRB in kadrovskih predpisov;

(6) Notranji predpisi bi se morali uporabljati za postopke obdelave podatkov, ki se izvajajo med notranjimi in zunanjimi preiskavami, pa tudi za spremljanje nadaljnjih ukrepov na podlagi rezultatov teh preiskav. Notranji predpisi bi se morali uporabljati za postopke obdelave podatkov, ki so del dejavnosti, povezanih s funkcijami odgovorne osebe za varovanje zakonitosti poslovanja, po potrebi pa tudi s pooblaščeno osebo SRB za varstvo podatkov. Vključena bi morala biti tudi pomoč in sodelovanje, ki ju zagotavlja odgovorna oseba za varovanje zakonitosti poslovanja oziroma pooblaščena oseba SRB za varstvo podatkov na zahtevo, ki prihaja s strani nacionalnih organov in mednarodnih organizacij ali je naslovljena nanje, zunaj svojih administrativnih poizvedb;

(7) SRB mora predložiti utemeljitve, v katerih pojasni, zakaj so omejitve nujno potrebne in sorazmerne v demokratični družbi ter spoštujejo bistvo temeljnih pravic in svoboščin;

(8) V tem okviru mora SRB med zgoraj navedenimi postopki v največji možni meri spoštovati temeljne pravice posameznikov, na katere se nanašajo osebni podatki, zlasti pravice v zvezi s pravico do dostopa in popravka, pravico do izbrisa, prenosljivosti podatkov itd., kot je določeno v Uredbi (EU) 2018/1725;

(9) Vendar pa se lahko od SRB zahteva, naj odloži posredovanje informacij posamezniku, na katerega se nanašajo osebni podatki, in uveljavljanje drugih pravic posameznika, na katerega se nanašajo osebni podatki, da se zaščitijo zlasti njegove lastne preiskave, preiskave in postopki drugih javnih organov, vključno z IDOC in OLAF, ter pravice drugih oseb, ki so povezane z njegovimi preiskavami, ter da se zaščiti njegov disciplinski postopek;

(10) SRB tako lahko odloži posredovanje informacij za zaščito preiskav in/ali disciplinskih postopkov;

(11) Omejitev bi moral odpraviti takoj, ko in če pogoji, ki jo upravičujejo, prenehajo veljati;

(12) Redno, tj. vsakih šest mesecev, bi moral spremljati omejevalne pogoje ter jih po potrebi revidirati;

(13) Med revizijami bi se moral posvetovati s pooblaščeno osebo za varstvo podatkov –

SPREJEL NASLEDNJI SKLEP:

Člen 1 Predmet urejanja in področje uporabe 1. Ta sklep določa notranje predpise v zvezi s pogoji, pod katerimi lahko SRB v okviru notranjih preiskav, administrativnih poizvedb in disciplinskih postopkov, ki jih izvaja odgovorna oseba za varovanje zakonitosti poslovanja, ali preiskav, ki jih izvaja pooblaščena oseba SRB za varstvo podatkov v skladu s členom 45(2) Uredbe (EU) 2018/1725, omeji uporabo pravic iz členov 14 do 21, 35 in člena 4 Uredbe, v skladu s členom 25 Uredbe (EU) 2018/1725. 2. Ta sklep se uporablja za postopke obdelave osebnih podatkov s strani SRB za izvajanje notranjih preiskav, upravnih preiskav in disciplinskih postopkov.Za postopke obdelave osebnih podatkov, ki jih SRB uporablja za začetek, izvajanje in zaključek neformalnega postopka v okviru politike SRB za zaščito človekovega dostojanstva ter preprečevanje psihičnega in spolnega nadlegovanja, se uporablja drugačen sklep glede omejitve pravic (sklic: SRB/ES/2019/33). 3. Vrste zadevnih podatkov so objektivni podatki (administrativni podatki, telefonska številka, zasebni naslov, elektronske komunikacije in podatki o prometu (uporaba aplikacij IKT, internetni podatki)) in/ali subjektivni podatki (ocene, preiskave, poročila o predhodnih preiskavah) itd. 4. Pod pogoji iz tega sklepa lahko omejitve veljajo za naslednje pravice: pravice do dostopa, popravka, izbrisa in prenosljivosti, pravice do obveščenosti in zaupnosti komunikacije ter za načela postopkov obdelave podatkov, če se nanašajo na pravico.

Člen 2 Specifikacija upravljavca in zaščitnih ukrepov 1. Zaščitni ukrepi za preprečevanje kršitev, uhajanja ali nepooblaščenega razkritja podatkov so: omejitev pravic dostopa do elektronskih map in namenskega poštnega predala za vložitev pritožb, omar, opremljenih s ključi, in posebnega usposabljanja oseb, ki imajo opravka z informacijami o zaupnosti. 2. Upravljavec teh postopkov obdelave je SRB, ki ga zastopa odgovorna oseba za varovanje zakonitosti poslovanja oziroma pooblaščena oseba SRB za varstvo podatkov. 3. Zbrani osebni podatki se shranjujejo in hranijo v skladu s pravili SRB za hrambo dokumentov. Pri obdobju hrambe se načelo zadržanja upošteva le toliko časa, kot je potrebno za izpolnitev namena postopkov obdelave, in nazadnje, da se omogoči sodni ali upravni spor.

Člen 3 Omejitve 1. V skladu s členom 25(1) Uredbe (EU) 2018/1725 se vsaka omejitev uporabi samo za zaščito: — preprečevanja, preiskovanja, odkrivanja in pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, — notranje varnosti institucij in organov Unije, vključno z varnostjo njihovih elektronskih komunikacijskih omrežij, — varstva sodnih postopkov, — preprečevanja, preiskovanja, odkrivanja in pregona kršitev etike v zakonsko urejenih poklicih, — varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih. 2. Vsaka omejitev je nujna in sorazmerna v demokratični družbi ter spoštuje bistvo temeljnih pravic in svoboščin. 3. Preizkus nujnosti in sorazmernosti se izvede na podlagi obstoječih notranjih predpisov. Dokumentira se z obvestilom o notranji oceni, ki ga predloži upravljavec zadevnega postopka obdelave podatkov za namene odgovornosti za vsak primer posebej. 4. Omejitve se ustrezno spremljajo in redno pregledujejo vsakih šest mesecev. 5. Odpravijo se takoj, ko okoliščine, ki jih upravičujejo, ne veljajo več. 6. Tveganje za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, je začasna omejitev učinkovitega uveljavljanja pravic takega posameznika, med drugim do informacij, izbrisa ali obrambe, kot je zagotovljeno z Uredbo (EU) 2018/1725.Ta tveganja se upoštevajo pri preizkusu nujnosti in sorazmernosti iz odstavka 3 tega člena.

Člen 4 Vključenost pooblaščene osebe za varstvo podatkov 1. SRB v vseh postopkih omejevanja in brez nepotrebnega odlašanja obvesti pooblaščeno osebo SRB za varstvo podatkov (v nadaljnjem besedilu: pooblaščena oseba za varstvo podatkov), kadar omeji uporabo pravic posameznikov, na katere se nanašajo osebni podatki, v skladu s tem sklepom. Zagotavlja dostop do evidence ter oceno nujnosti in sorazmernosti omejitve. 2. Pooblaščena oseba za varstvo podatkov lahko od upravljavca pisno zahteva, da pregleda uporabo omejitev. SRB uradno pisno obvesti pooblaščeno osebo za varstvo podatkov o rezultatu zahtevanega pregleda in o tem, kdaj je bila omejitev odpravljena.

Člen 5 Zagotavljanje informacij posamezniku, na katerega se nanašajo osebni podatki 1. SRB v obvestila o varstvu podatkov, ki so objavljena na njegovem intranetu in s katerimi posameznike, na katere se nanašajo osebni podatki, obvešča o njihovih pravicah v okviru določenega postopka, vključi informacije o morebitni omejitvi teh pravic. Te informacije vključujejo pravice, ki se lahko omejijo, razloge za omejitev in morebitno trajanje omejitve. 2. Poleg tega SRB posameznike, na katere se nanašajo osebni podatki, brez nepotrebnega odlašanja in v pisni obliki obvesti o njihovih pravicah glede obstoječih ali prihodnjih omejitev, brez poseganja v naslednji odstavek. 3. Posamezniki, na katere se nanašajo osebni podatki, so obveščeni o glavnih razlogih, na katerih temelji uporaba omejitve, in o njihovi pravici do vložitve pritožbe pri Evropskem nadzorniku za varstvo podatkov.

Člen 6 Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa 1. Kadar posamezniki, na katere se nanašajo osebni podatki, v skladu s členom 17 Uredbe (EU) 2018/1725 zahtevajo dostop do svojih osebnih podatkov, ki se obdelujejo v okviru enega ali več posebnih primerov, ali do določenega postopka obdelave, SRB omeji svojo oceno zahteve le na take osebne podatke. 2. Kadar SRB v celoti ali delno omejuje pravico do dostopa iz člena 17 Uredbe (EU) 2018/1725, sprejme naslednje ukrepe: (a) posameznika, na katerega se nanašajo osebni podatki, v svojem odgovoru na zahtevo obvesti o uporabljeni omejitvi in o glavnih razlogih zanjo ter o možnosti vložitve pritožbe pri Evropskem nadzorniku za varstvo podatkov ali uveljavljanja pravnega sredstva na Sodišču Evropske unije; (b) v evidenci zabeleži razloge za omejitev, vključno z oceno nujnosti in sorazmernosti omejitve; v ta namen se v evidenci navede, kako bi zagotovitev dostopa ogrozila namen preiskovalnih dejavnosti SRB ali omejitev, ki se uporabljajo v skladu s členom 2(3), ter ali bi negativno vplivala na pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki. Zagotavljanje informacij iz točke (a) se lahko odloži, opusti ali zavrne v skladu s členom 25(8) Uredbe (EU) 2018/1725. 3. Evidenca iz točke (b) odstavka 2 in po potrebi dokumenti, ki vsebujejo temeljna dejstva in pravne elemente, se registrirajo. Na zahtevo se dajo na voljo Evropskemu nadzorniku za varstvo podatkov.Uporablja se člen 25(7) Uredbe (EU) 2018/1725.

Člen 7 Pravica do popravka, izbrisa in omejitve obdelave Če SRB v celoti ali delno omejuje uporabo pravice do popravka, izbrisa ali omejitve obdelave iz člena 18, člena 19(1) in člena 20(1) Uredbe (EU) 2018/1725, sprejme ukrepe iz člena 6(2) tega sklepa in registrira evidenco v skladu s členom 6(3) tega sklepa.

Člen 8 Sporočilo posamezniku, na katerega se nanašajo osebni podatki, o kršitvi varstva osebnih podatkov Če SRB omejuje sporočanje kršitve varstva osebnih podatkov posamezniku, na katerega se nanašajo osebni podatki, iz člena 35 Uredbe (EU) 2018/1725, razloge za omejitev evidentira in registrira v skladu s členom 3(3) tega sklepa. Uporablja se člen 3(4) tega sklepa.

Člen 9 Začetek veljavnosti Ta sklep začne veljati dan po objavi v Uradnem listu Evropske unije.

V Bruslju, 18. septembra 2019 Za Enotni odbor za reševanje Elke KÖNIG Predsednica

(1) UL L 225, 30.7.2014, str. 1.

(2) UL L 295, 21.11.2018, str. 39.