SKLEP ENOTNEGA ODBORA ZA REŠEVANJE

z dne 18. septembra 2019

o notranjih predpisih glede omejitev določenih pravic posameznikov, na katere se nanašajo osebni podatki, v zvezi z obdelavo osebnih podatkov v okviru notranjih preiskav varnostnih incidentov, ki jih izvaja Enotni odbor za reševanje (SRB/ES/2019/34)

ENOTNI ODBOR ZA REŠEVANJE JE –

ob upoštevanju Pogodbe o delovanju Evropske unije,

ob upoštevanju Uredbe (EU) št. 806/2014 Evropskega parlamenta in Sveta z dne 15. julija 2014 o določitvi enotnih pravil in enotnega postopka za reševanje kreditnih institucij in določenih investicijskih podjetij v okviru enotnega mehanizma za reševanje in enotnega sklada za reševanje ter o spremembi Uredbe (EU) št. 1093/2010 (1) ter zlasti člena 42, člena 43(5), člena 50(3), člena 56(1) do (3), členov 61, 63 in 64 Uredbe,

ob upoštevanju Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (2),

ob upoštevanju posvetovanja z Evropskim nadzornikom za varstvo podatkov,

ob upoštevanju naslednjega:

(1) Enotni odbor za reševanje (v nadaljnjem besedilu: SRB) opravlja naloge organa za reševanje v okviru enotnega mehanizma za reševanje v skladu z Uredbo (EU) št. 806/2014. Naloga odbora je skrbeti za urejeno reševanje bank v težavah s čim manjšimi posledicami za gospodarstvo, finančni sistem in javne finance sodelujočih držav članic in držav članic, ki niso del bančne unije.

(2) SRB lahko obdeluje osebne podatke za različne sisteme, nameščene v njegovih prostorih (videonadzor, nadzor dostopa, knjige za obiskovalce).Te informacije se dosledno zbirajo zaradi varnostnih razlogov (npr. za spremljanje števila ljudi v stavbi za namene evakuacije, in sicer v skladu z varnostnimi odločitvami ES), za preprečevanje, odkrivanje in dokumentiranje varnostnih incidentov, ki se zgodijo v stavbah ali na sosednjih območjih.

(3) SRB, ki ga zastopa vodja enote za podjetniške storitve in IKT, obdeluje več kategorij osebnih podatkov, zlasti identifikacijske, kontaktne in poklicne podatke. Osebni podatki so shranjeni v varnem elektronskem okolju, ki preprečuje nezakonit dostop do podatkov ali njihov prenos osebam, ki nimajo potrebe po seznanitvi z njimi. Obdelani osebni podatki se hranijo v skladu s pravili ES o hrambi podatkov. Po koncu obdobja hrambe se zbrane informacije, vključno z osebnimi podatki, izbrišejo v skladu z najdaljšim dovoljenim obdobjem: knjige za obiskovalce: 6 mesecev, sistem za video nadzor: 30 dni, sistem za nadzor dostopa: 2 meseca.

(4) Notranji predpisi bi se morali uporabljati za vse postopke obdelave podatkov, ki jih SRB uporablja za izvajanje svojih dejavnosti na področju zaščite in varnosti, za preprečevanje, odkrivanje ali preiskovanje varnostnih incidentov, zaščito osebja, lastnine in informacij agencije ter obiskovalcev SRB.

(5) Notranji predpisi bi se morali uporabljati za postopke obdelave podatkov, ki se izvajajo med preiskavami incidentov v zvezi z notranjo varnostjo, pa tudi za spremljanje nadaljnjih ukrepov na podlagi rezultatov teh preiskav. Notranji predpisi bi se morali uporabljati za postopke obdelave podatkov, ki so del dejavnosti, povezanih s sektorjem varnosti/infrastrukture SRB. Vključena bi morala biti tudi pomoč in sodelovanje, ki ju zagotavlja varnost/infrastruktura SRB nacionalnim organom, belgijskim pravnim silam, uradu OLAF, službam za izredne razmere in mednarodnim organizacijam zunaj svojih administrativnih preiskav.

(6) SRB mora predložiti utemeljitve, v katerih pojasni, zakaj so omejitve nujno potrebne in sorazmerne v demokratični družbi ter spoštujejo bistvo temeljnih pravic in svoboščin.

(7) V tem okviru mora SRB v največji možni meri spoštovati temeljne pravice posameznikov, na katere se nanašajo osebni podatki, med zgoraj navedenimi postopki, zlasti pravice v zvezi s pravico do dostopa in popravka, pravico do izbrisa, prenosljivosti podatkov itd., kot je določeno v Uredbi (EU) 2018/1725.

(8) Vendar pa se lahko od SRB zahteva, naj odloži posredovanje informacij posamezniku, na katerega se nanašajo osebni podatki, in uveljavljanje drugih pravic posameznika, na katerega se nanašajo osebni podatki, da se zlasti zaščitijo njegove lastne preiskave varnostnih incidentov, ki vključujejo podatke iz sistemov za video nadzor ali nadzor dostopa.

(9) SRB tako lahko odloži posredovanje informacij za zaščito preiskav varnostnih incidentov.

(10) Omejitev bi moral odpraviti takoj, ko in če pogoji, ki upravičujejo omejitev, ne veljajo več.

(11) Redno, tj. vsakih šest mesecev, bi moral spremljati omejevalne pogoje in jih po potrebi revidirati.

(12) Med revizijami bi se moral posvetovati s pooblaščeno osebo za varstvo podatkov –

SPREJEL NASLEDNJI SKLEP:

Člen 1 Vsebina in področje uporabe 1. Ta sklep določa notranje predpise v zvezi s pogoji, pod katerimi lahko SRB v okviru preiskav notranjih varnostnih incidentov omeji uporabo pravic iz členov 14 do 21 in 35 ter člena 4 Uredbe, v skladu s členom 25 Uredbe (EU) 2018/1725. 2. Ta sklep se uporablja za postopke obdelave osebnih podatkov, ki jih SRB uporablja za izvajanje preiskav notranjih varnostnih incidentov in med spremljanjem nadaljnjih ukrepov na podlagi rezultatov teh preiskav. 3. Vrste zadevnih podatkov so objektivni podatki (administrativni podatki, telefonska številka, zasebni naslov, elektronske komunikacije, podatki o prometu) in/ali subjektivni podatki (ocene, preiskave, poročila o predhodnih preiskavah) itd. 4. Pod pogoji iz tega sklepa lahko omejitve veljajo za naslednje pravice: pravice do dostopa, popravka, izbrisa in prenosljivosti, pravice do obveščenosti in zaupnosti komunikacije ter za načela postopkov obdelave podatkov, če se nanašajo na pravico.

Člen 2 Specifikacija upravljavca in zaščitnih ukrepov 1. Zaščitni ukrepi za preprečevanje kršitev, uhajanja ali nepooblaščenega razkritja podatkov so: omejitev pravic dostopa do elektronskih map in namenskega poštnega predala za vložitev pritožb, omar, opremljenih s ključi, in posebnega usposabljanja oseb, ki imajo opravka z informacijami o zaupnosti. 2. Upravljavec teh postopkov obdelave podatkov je SRB, ki ga zastopa vodja enote za skupne službe in IKT. 3. Zbrani osebni podatki se shranjujejo in hranijo v skladu s pravili ES o hrambi podatkov in v skladu z belgijskim zakonom z dne 21. marca 2007 (ki ureja namestitev in uporabo nadzornih kamer).Pri obdobju hrambe se načelo zadržanja upošteva le toliko časa, kot je potrebno za izpolnitev namena postopkov obdelave, in nazadnje, da se omogoči sodni ali upravni spor.

Člen 3 Omejitve 1. V skladu s členom 25(1) Uredbe (EU) 2018/1725 se vsaka omejitev uporabi samo za zaščito: — preprečevanja, preiskovanja, odkrivanja in pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, — notranje varnosti institucij in organov Unije, vključno z varnostjo njihovih elektronskih komunikacijskih omrežij, — varstva sodnih postopkov, — preprečevanja, preiskovanja, odkrivanja in pregona kršitev etike v zakonsko urejenih poklicih, — varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih. 2. Vsaka omejitev je nujna in sorazmerna v demokratični družbi ter spoštuje bistvo temeljnih pravic in svoboščin. 3. Preizkus nujnosti in sorazmernosti se izvede na podlagi sedanjih notranjih predpisov. Dokumentira se z obvestilom o notranji oceni za namene odgovornosti za vsak primer posebej. 4. Omejitve se ustrezno spremljajo in redno pregledujejo vsakih šest mesecev. 5. Omejitve se odpravijo takoj, ko okoliščine, ki jih upravičujejo, ne veljajo več. 6. Tveganje za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, je začasna omejitev učinkovitega uveljavljanja pravic takega posameznika, med drugim do informacij, izbrisa ali obrambe, kot je zagotovljeno z Uredbo (EU) 2018/1725. Ta tveganja se upoštevajo pri preizkusu nujnosti in sorazmernosti iz odstavka 3 tega člena.

Člen 4 Vključenost pooblaščene osebe za varstvo podatkov 1. SRB med postopkom za omejitev in brez nepotrebnega odlašanja obvesti pooblaščeno osebo SRB za varstvo podatkov (v nadaljnjem besedilu: pooblaščena oseba za varstvo podatkov), kadar omeji uporabo pravic posameznikov, na katere se nanašajo osebni podatki, v skladu s tem sklepom. Zagotavlja dostop do evidence ter oceno nujnosti in sorazmernosti omejitve. 2. Pooblaščena oseba za varstvo podatkov lahko od upravljavca pisno zahteva, naj pregleda uporabo omejitev. SRB pisno obvesti pooblaščeno osebo za varstvo podatkov o rezultatu zahtevanega pregleda in o tem, kdaj se omejitev odpravi.

Člen 5 Zagotavljanje informacij posamezniku, na katerega se nanašajo osebni podatki 1. SRB v obvestila o varstvu podatkov, ki so objavljena na njegovem intranetu in spletnem mestu in s katerimi posameznike, na katere se nanašajo osebni podatki, obvešča o njihovih pravicah v okviru določenega postopka, vključi informacije o morebitni omejitvi teh pravic. Informacije vključujejo pravice, ki se lahko omejijo, razloge za omejitev in morebitno trajanje omejitve. 2. Poleg tega SRB posameznike, na katere se nanašajo osebni podatki, brez nepotrebnega odlašanja in v pisni obliki obvesti o njihovih pravicah glede obstoječih ali prihodnjih omejitev, brez poseganja v naslednji odstavek. 3. Posamezniki, na katere se nanašajo osebni podatki, so obveščeni o glavnih razlogih, na katerih temelji uporaba omejitve, in o njihovi pravici do vložitve pritožbe pri Evropskem nadzorniku za varstvo podatkov.

Člen 6 Pravica posameznika, na katerega se nanašajo osebni podatki, do dostopa 1. Kadar posamezniki, na katere se nanašajo osebni podatki, v skladu s členom 17 Uredbe (EU) 2018/1725 zahtevajo dostop do svojih osebnih podatkov, ki se obdelujejo v okviru enega ali več posebnih primerov, ali do določenega postopka obdelave podatkov, SRB omeji svojo oceno zahteve le na take osebne podatke. 2. Kadar SRB v celoti ali delno omejuje pravico do dostopa iz člena 17 Uredbe (EU) 2018/1725, sprejme naslednje ukrepe: (a) posameznika, na katerega se nanašajo osebni podatki, v svojem odgovoru na zahtevo obvesti o uporabljeni omejitvi in o glavnih razlogih zanjo ter o možnosti vložitve pritožbe pri Evropskem nadzorniku za varstvo podatkov ali uveljavljanja pravnega sredstva na Sodišču Evropske unije; (b) v evidenci zabeleži razloge za omejitev, vključno z oceno nujnosti in sorazmernosti omejitve; v ta namen se v evidenci navede, kako bi zagotovitev dostopa ogrozila namen preiskovalnih dejavnosti SRB ali omejitev, ki se uporabljajo v skladu s členom 2(3), ter ali bi negativno vplivala na pravice in svoboščine drugih posameznikov, na katere se nanašajo osebni podatki. Zagotavljanje informacij iz točke (a) se lahko odloži, opusti ali zavrne v skladu s členom 25(8) Uredbe (EU) 2018/1725. 3. Evidenca iz točke (b) odstavka 2 in po potrebi dokumenti, ki vsebujejo temeljna dejstva in pravne elemente, se registrirajo. Na zahtevo se dajo na voljo Evropskemu nadzorniku za varstvo podatkov. Uporablja se člen 25(7) Uredbe (EU) 2018/1725.

Člen 7 Pravica do popravka, izbrisa in omejitve obdelave Če SRB v celoti ali delno omejuje uporabo pravice do popravka, izbrisa ali omejitve obdelave iz člena 18, člena 19(1) in člena 20(1) Uredbe (EU) 2018/1725, sprejme ukrepe iz člena 6(2) tega sklepa in evidentira evidenco v skladu s členom 6(3) te odločbe.

Člen 8 Sporočilo posamezniku, na katerega se nanašajo osebni podatki, o kršitvi varstva osebnih podatkov Če SRB omejuje sporočanje kršitve varstva osebnih podatkov posamezniku, na katerega se nanašajo osebni podatki, iz člena 35 Uredbe (EU) 2018/1725, razloge za omejitev evidentira in registrira v skladu s členom 3(3) tega sklepa. Uporablja se člen 3(4) tega sklepa.

Člen 9 Začetek veljavnosti Ta sklep začne veljati dan po objavi v Uradnem listu Evropske unije.

V Bruslju, 18. septembra 2019 Za Enotni odbor za reševanje Elke KÖNIG Predsednica

(1) UL L 225, 30.7.2014, str. 1.

(2) UL L 295, 21.11.2018, str. 39.