CELEX: 32021D1486
Language: ro
Date: 2021-09-07 00:00:00
Title: Decizia (UE) 2021/1486 a Băncii Centrale Europene din 7 septembrie 2021 de adoptare a unor norme interne privind restricționarea drepturilor persoanelor vizate în legătură cu atribuțiile Băncii Centrale Europene legate de supravegherea prudențială a instituțiilor de credit (BCE/2021/42)

16.9.2021   
               
               
                  RO
               
               
                  Jurnalul Oficial al Uniunii Europene
               
               
                  L 328/15
               
            
         DECIZIA (UE) 2021/1486 A BĂNCII CENTRALE EUROPENE
         din 7 septembrie 2021 de adoptare a unor norme interne privind restricționarea drepturilor persoanelor vizate în legătură cu atribuțiile Băncii Centrale Europene legate de supravegherea prudențială a instituțiilor de credit
         (BCE/2021/42)
         COMITETUL EXECUTIV AL BĂNCII CENTRALE EUROPENE,
         având în vedere Tratatul privind funcționarea Uniunii Europene,
         având în vedere Statutul Sistemului European al Băncilor Centrale și al Băncii Centrale Europene, în special articolul 11.6,
         având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (1), în special articolul 25,
         întrucât:
         
                     (1)
                  
                  
                     Banca Centrală Europeană (BCE) își îndeplinește atribuțiile în conformitate cu tratatele și cu Regulamentul (UE) nr. 1024/2013 al Consiliului (2).
                  
               
                     (2)
                  
                  
                     Potrivit articolului 45 alineatul (3) din Regulamentul (UE) 2018/1725, Decizia (UE) 2020/655 a Băncii Centrale Europene (BCE/2020/28) (3) stabilește normele generale de punere în aplicare a Regulamentului (UE) 2018/1725 în ceea ce privește BCE. În special, aceasta prevede normele referitoare la numirea și rolul responsabilului cu protecția datelor al BCE (RPD), inclusiv atribuțiile, obligațiile și competențele RPD.
                  
               
                     (3)
                  
                  
                     În exercitarea atribuțiilor care îi sunt conferite, BCE și, în special, unitatea organizațională în cauză acționează în calitate de operator de date în măsura în care stabilește, singură sau împreună cu altele, scopurile și mijloacele de prelucrare a datelor cu caracter personal.
                  
               
                     (4)
                  
                  
                     În temeiul articolului 4 alineatul (1) din Regulamentul (UE) nr. 1024/2013, BCE are competența exclusivă de a îndeplini, în scopuri de supraveghere și în vederea asigurării siguranței și solidității instituțiilor de credit și a stabilității sistemului financiar, atribuții specifice în legătură cu toate instituțiile de credit stabilite în statele membre care participă la mecanismul unic de supraveghere (MUS).
                  
               
                     (5)
                  
                  
                     În îndeplinirea acestor atribuții specifice, BCE prelucrează mai multe categorii de informații care pot fi legate de o persoană fizică identificată sau identificabilă, cum ar fi date de identificare, date de contact, date profesionale, detalii financiare sau administrative, date primite din surse specifice, date privind comunicațiile electronice și datele privind traficul electronic, cazierele judiciare, o descriere a intereselor financiare și nefinanciare, detalii privind relațiile unei persoane sau ale rudelor apropiate ale acesteia cu entități supravegheate sau cu membri ai organului de conducere al entităților supravegheate, precum și date referitoare la funcția pentru care a fost sau poate fi desemnată o persoană. Datele cu caracter personal ar putea, totodată, să facă parte dintr-o evaluare care să includă o evaluare efectuată: în scopul autorizării unei instituții de credit, al retragerii autorizației unei instituții de credit și al unei proceduri privind participațiile calificate; în legătură cu dreptul de stabilire al unei entități supravegheate semnificative; pentru a stabili dacă sunt îndeplinite cerințele de competență și onorabilitate; în legătură cu politica de remunerare a entității supravegheate semnificative și cu creditele acordate de o astfel de entitate propriilor înalți funcționari și persoanelor înrudite cu acești funcționari; și în legătură cu acuzațiile legate de posibile încălcări ale actelor juridice menționate la articolul 4 alineatul (3) din Regulamentul (UE) nr. 1024/2013.
                  
               
                     (6)
                  
                  
                     Scopul BCE în îndeplinirea acestor atribuții specifice este de a urmări obiective importante de interes public general ale Uniunii. Din acest motiv, îndeplinirea acestor atribuții ar trebui să fie garantată, astfel cum se prevede în Regulamentul (UE) 2018/1725, în special la articolul 25 alineatul (1) literele (c) și (g). În special în îndeplinirea acestor atribuții, BCE acționează în interesul public general al Uniunii în calitate de autoritate publică căreia i s-a încredințat îndeplinirea, în scopuri de supraveghere, a unor atribuții specifice în legătură cu toate instituțiile de credit stabilite în statele membre care participă la MUS. Printre aceste atribuții se numără funcțiile de monitorizare, inspecție sau reglementare în ceea ce privește exercitarea autorității oficiale legate de supravegherea prudențială a instituțiilor de credit.
                  
               
                     (7)
                  
                  
                     În acest context, este oportun să se precizeze motivele pentru care BCE poate restricționa drepturile persoanelor vizate în ceea ce privește datele obținute în îndeplinirea atribuțiilor sale de supraveghere în temeiul Regulamentului (UE) nr. 1024/2013.
                  
               
                     (8)
                  
                  
                     În conformitate cu articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, restricțiile privind aplicarea articolelor 14-22, 35 și 36 și, în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-22, a articolului 4 din regulamentul respectiv ar trebui stabilite în normele interne sau în actele juridice adoptate în temeiul tratatelor. În consecință, BCE ar trebui să stabilească normele în temeiul cărora poate restricționa drepturile persoanelor vizate în îndeplinirea atribuțiilor sale de supraveghere.
                  
               
                     (9)
                  
                  
                     În timp ce prezenta decizie stabilește regulile în temeiul cărora BCE ar putea restricționa drepturile persoanelor vizate în îndeplinirea atribuțiilor sale de supraveghere, Comitetul executiv intenționează să adopte o decizie separată care să conțină regulile interne privind restricționarea acelor drepturi atunci când BCE procesează date cu caracter personal în legătură cu funcționarea sa internă.
                  
               
                     (10)
                  
                  
                     BCE poate aplica o excepție în conformitate cu Regulamentul (UE) 2018/1725 care face necesar să se considere că o restricție nu este necesară, inclusiv, în special, cele prevăzute la articolul 15 alineatul (4), la articolul 16 alineatul (5), la articolul 19 alineatul (3) și la articolul 35 alineatul (3) din regulamentul respectiv. În scopul prelucrării în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, BCE poate aplica o excepție prevăzută la articolul 16 alineatul (5) litera (b) sau la articolul 19 alineatul (3) litera (d) din Regulamentul (UE) 2018/1725.
                  
               
                     (11)
                  
                  
                     Exercitarea drepturilor persoanelor vizate menționate la articolele 17, 18, 20, 21, 22 și 23 din Regulamentul (UE) 2018/1725 poate face imposibilă sau poate împiedica în mod semnificativ realizarea anumitor obiective, inclusiv, după caz, a unor obiective de arhivare în interes public, de cercetare științifică sau istorică ori de natură statistică. Prin urmare, prezenta decizie ar trebui să prevadă o derogare de la aceste drepturi în conformitate cu articolul 25 alineatul (3) sau (4) din Regulamentul (UE) 2018/1725, sub rezerva unor garanții adecvate.
                  
               
                     (12)
                  
                  
                     BCE ar trebui să justifice motivul pentru care astfel de restricții ale drepturilor persoanelor vizate sunt strict necesare și proporționale într-o societate democratică pentru a proteja obiectivele urmărite în exercitarea autorității sale oficiale și a funcțiilor legate de aceasta, precum și modul în care BCE respectă esența drepturilor și libertăților fundamentale, impunând, în același timp, o astfel de restricție.
                  
               
                     (13)
                  
                  
                     În acest cadru, BCE are obligația de a respecta, în cea mai mare măsură posibilă, drepturile fundamentale ale persoanelor vizate, în special pe cele referitoare la dreptul la furnizarea de informații, la acces și la rectificare, dreptul la ștergerea datelor, dreptul la restricționarea prelucrării, dreptul la comunicarea unei încălcări a securității datelor cu caracter personal către persoana vizată sau dreptul la confidențialitatea comunicării, astfel cum se prevede în Regulamentul (UE) 2018/1725.
                  
               
                     (14)
                  
                  
                     Cu toate acestea, BCE poate fi obligată să restricționeze informațiile furnizate persoanelor vizate și drepturile persoanelor vizate pentru a proteja îndeplinirea atribuțiilor sale, în special propriile investigații și proceduri, investigațiile și procedurile desfășurate de alte autorități publice și drepturile și libertățile fundamentale ale altor persoane legate de investigațiile sau de alte proceduri pe care le desfășoară.
                  
               
                     (15)
                  
                  
                     BCE ar trebui să elimine o restricție care a fost deja aplicată în măsura în care aceasta nu mai este necesară.
                  
               
                     (16)
                  
                  
                     Responsabilul cu protecția datelor al BCE (RPD al BCE) ar trebui să revizuiască modul în care sunt aplicate restricțiile pentru a asigura conformitatea cu prezenta decizie și cu Regulamentul (UE) 2018/1725.
                  
               
                     (17)
                  
                  
                     Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 41 alineatul (2) din Regulamentul (UE) 2018/1725 și a emis un aviz în acest sens la 12 martie 2021,
                  
               ADOPTĂ PREZENTA DECIZIE:
         
            Articolul 1
            Obiect și domeniu de aplicare
            
               (1)   Prezenta decizie stabilește regulile referitoare la restricționarea de către BCE a drepturilor persoanelor vizate cu ocazia desfășurării activităților de procesare a datelor cu caracter personal astfel cum sunt înregistrate în registrul central în contextul îndeplinirii atribuțiilor ce îi revin în materie de supraveghere în temeiul Regulamentului (UE) nr. 1024/2013.
            
            
               (2)   Drepturile persoanelor vizate care pot fi restricționate sunt prevăzute la următoarele articole din Regulamentul (UE) 2018/1725:
               
                           (a)
                        
                        
                           articolul 14 (transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate);
                        
                     
                           (b)
                        
                        
                           articolul 15 (informații care se furnizează în cazul în care date cu caracter personal sunt colectate de la persoana vizată);
                        
                     
                           (c)
                        
                        
                           articolul 16 (informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată);
                        
                     
                           (d)
                        
                        
                           articolul 17 (dreptul de acces al persoanei vizate);
                        
                     
                           (e)
                        
                        
                           articolul 18 (dreptul la rectificare);
                        
                     
                           (f)
                        
                        
                           articolul 19 [dreptul la ștergerea datelor („dreptul de a fi uitat”)];
                        
                     
                           (g)
                        
                        
                           articolul 20 (dreptul la restricționarea prelucrării);
                        
                     
                           (h)
                        
                        
                           articolul 21 (obligația de notificare privind rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării);
                        
                     
                           (i)
                        
                        
                           articolul 22 (dreptul la portabilitatea datelor);
                        
                     
                           (j)
                        
                        
                           articolul 35 (informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal);
                        
                     
                           (k)
                        
                        
                           articolul 36 (confidențialitatea comunicațiilor electronice);
                        
                     
                           (l)
                        
                        
                           articolul 4, în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-22 din Regulamentul (UE) 2018/1725.
                        
                     
         
         
            Articolul 2
            Definiții
            În sensul prezentei decizii, se aplică următoarele definiții:
            
                        1.
                     
                     
                        „prelucrare” înseamnă prelucrarea astfel cum este definită la articolul 3 punctul 3 din Regulamentul (UE) 2018/1725;
                     
                  
                        2.
                     
                     
                        „date cu caracter personal” înseamnă datele cu caracter personal astfel cum sunt definite la articolul 3 punctul 1 din Regulamentul (UE) 2018/1725;
                     
                  
                        3.
                     
                     
                        „persoană vizată” înseamnă o persoană fizică identificată sau identificabilă; o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau prin referire la unul sau mai multe elemente specifice, proprii identității fizice, fiziologice, genetice, psihice, economice, culturale sau sociale a persoanei fizice respective;
                     
                  
                        4.
                     
                     
                        „registru central” înseamnă registrul disponibil public al tuturor activităților de prelucrare a datelor cu caracter personal desfășurate la BCE, care este ținut de RPD al BCE și menționat la articolul 9 din Decizia (UE) 2020/655 (BCE/2020/28);
                     
                  
                        5.
                     
                     
                        „operator” înseamnă BCE, în special unitatea organizațională competentă din cadrul BCE care, singură sau împreună cu alte unități, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal și care este responsabilă de operațiunea de procesare;
                     
                  
                        6.
                     
                     
                        „instituții și organe ale Uniunii” înseamnă instituțiile și organele Uniunii, astfel cum sunt definite la articolul 3 punctul 10 din Regulamentul (UE) 2018/1725.
                     
                  
         
            Articolul 3
            Aplicarea de restricții
            
               (1)   Operatorul poate restricționa drepturile menționate la articolul 1 alineatul (2) pentru a salvgarda interesele și obiectivele menționate la articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, în special în cazul în care exercitarea drepturilor respective ar pune în pericol sau ar afecta negativ:
               
                           (a)
                        
                        
                           îndeplinirea atribuțiilor de supraveghere ale BCE în temeiul Regulamentului (UE) nr. 1024/2013, inclusiv buna funcționare a sistemului de supraveghere;
                        
                     
                           (b)
                        
                        
                           siguranța și soliditatea instituțiilor de credit și stabilitatea sistemului financiar în cadrul Uniunii și în fiecare stat membru participant;
                        
                     
                           (c)
                        
                        
                           eficacitatea raportării încălcărilor în conformitate cu articolul 23 din Regulamentul (UE) nr. 1024/2013.
                        
                     
            
               (2)   Pentru a proteja interesele și obiectivele menționate la articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, operatorul poate restricționa drepturile menționate la articolul 1 alineatul (2) în ceea ce privește datele cu caracter personal obținute de la alte instituții și organe ale Uniunii și de la autorități competente ale statelor membre sau țări terțe sau de la organizații internaționale, în oricare dintre următoarele circumstanțe:
               
                           (a)
                        
                        
                           în cazul în care exercitarea acelor drepturi ar putea fi restricționată de alte instituții și organe ale Uniunii de la care au fost obținute datele cu caracter personal, în temeiul altor acte prevăzute la articolul 25 din Regulamentul (UE) 2018/1725 sau în conformitate cu capitolul IX din regulamentul respectiv sau cu actele de instituire a altor instituții și organe ale Uniunii;
                        
                     
                           (b)
                        
                        
                           în cazul în care exercitarea acestor drepturi ar putea fi restricționată de autoritățile competente ale statelor membre de la care au fost obținute datele cu caracter personal, pe baza actelor menționate la articolul 23 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (4) sau în temeiul măsurilor naționale de transpunere a articolului 13 alineatul (3), articolului 15 alineatul (3) sau articolului 16 alineatul (3) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului (5);
                        
                     
                           (c)
                        
                        
                           în cazul în care exercitarea acestor drepturi ar putea pune în pericol sau afecta negativ cooperarea BCE cu țările terțe sau cu organizațiile internaționale de la care au fost obținute informațiile, în exercitarea atribuțiilor sale, cu excepția cazului în care interesele sau drepturile și libertățile fundamentale ale persoanelor vizate prevalează asupra interesului de cooperare al BCE.
                        
                     
            
               (3)   Înainte de a aplica o restricție în circumstanțele menționate la alineatul (2) literele (a) și (b), operatorul:
               
                           (a)
                        
                        
                           ia act de acordurile încheiate cu instituțiile și organele relevante ale Uniunii sau cu autoritățile competente ale statelor membre; și
                        
                     
                           (b)
                        
                        
                           se consultă cu instituțiile și organele relevante ale Uniunii sau cu autoritățile competente ale statelor membre, cu excepția cazului în care este clar pentru operator că aplicarea restricției respective este prevăzută de unul dintre actele sau măsurile menționate la alineatul (2) literele (a) și (b).
                        
                     
            
               (4)   Operatorul poate aplica o restricție numai în cazul în care, în urma unei evaluări de la caz la caz, concluzionează că restricția:
               
                           (a)
                        
                        
                           este necesară și proporțională, ținând seama de riscurile la adresa drepturilor și libertăților persoanei vizate; și
                        
                     
                           (b)
                        
                        
                           respectă esența drepturilor și libertăților fundamentale într-o societate democratică.
                        
                     
            
               (5)   Operatorul își documentează evaluarea într-o notă de evaluare internă care include temeiul juridic, motivele restricției, drepturile persoanelor vizate care sunt restricționate, persoanele vizate afectate, necesitatea și proporționalitatea restricției și durata probabilă a restricției.
            
            
               (6)   Decizia de restricționare a drepturilor unei persoane vizate în temeiul prezentei decizii, care urmează să fie luată de operator, se ia la nivelul directorului general, al directorului sau al adjunctului acestuia în a cărui direcție generală sau direcție se desfășoară principala operațiune de prelucrare care implică datele cu caracter personal.
            
         
         
            Articolul 4
            Derogări
            
               (1)   Pentru prelucrarea în scopuri de cercetare științifică sau istorică ori în scopuri statistice, operatorul poate aplica derogări în conformitate cu articolul 25 alineatul (3) din Regulamentul (UE) 2018/1725. În acest scop, operatorul poate deroga de la drepturile menționate la articolele 17, 18, 20 și 23 din Regulamentul (UE) 2018/1725 în conformitate cu condițiile prevăzute la articolul 25 alineatul (3) din regulamentul respectiv.
            
            
               (2)   Pentru prelucrarea în scopuri de arhivare de interes public, operatorul poate aplica derogări în conformitate cu articolul 25 alineatul (4) din Regulamentul (UE) 2018/1725. În acest scop, operatorul poate deroga de la drepturile menționate la articolele 17, 18, 20, 21, 22 și 23 din Regulamentul (UE) 2018/1725 în conformitate cu condițiile prevăzute la articolul 25 alineatul (4) din regulamentul respectiv.
            
            
               (3)   Astfel de derogări fac obiectul unor garanții adecvate, în conformitate cu articolul 13 din Regulamentul (UE) 2018/1725 și cu articolul 8 din prezenta decizie.
            
         
         
            Articolul 5
            Furnizarea de informații generale privind restricțiile
            Operatorul furnizează informații generale cu privire la potențiala restricționare a drepturilor persoanelor vizate după cum urmează:
            
                        (a)
                     
                     
                        operatorul precizează drepturile care pot fi restricționate, motivele restricționării și durata potențială a restricționării;
                     
                  
                        (b)
                     
                     
                        operatorul include informațiile prevăzute la litera (a) în avizele sale privind protecția datelor, în declarațiile sale de confidențialitate și în evidențele activităților de prelucrare menționate la articolul 31 din Regulamentul (UE) 2018/1725.
                     
                  
         
            Articolul 6
            Restricționarea dreptului de acces al persoanelor vizate, dreptul la rectificare, dreptul la ștergerea datelor sau restricționarea prelucrării
            
               (1)   În cazul în care operatorul restricționează, complet sau parțial, dreptul de acces, dreptul la rectificare, dreptul la ștergerea datelor sau dreptul la restricționarea prelucrării prevăzute la articolele 17, 18, articolul 19 alineatul (1) și articolul 20 alineatul (1) din Regulamentul (UE) 2018/1725, acesta informează, în perioada prevăzută la articolul 11 alineatul (5) din Decizia (UE) 2020/655 (BCE/2020/28), persoana vizată, în răspunsul scris la solicitare, cu privire la restricția aplicată, principalele motive pentru restricție și posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.
            
            
               (2)   Operatorul păstrează nota de evaluare internă prevăzută la articolul 3 alineatul (5) și, după caz, documentele care conțin elementele juridice și de fapt subiacente și le pune, la cerere, la dispoziția Autorității Europene pentru Protecția Datelor.
            
            
               (3)   Operatorul poate amâna, omite sau refuza să furnizeze informațiile privind motivele restricției prevăzute la alineatul (1) atât timp cât furnizarea acelor informații ar compromite scopul restricției. Imediat ce operatorul stabilește că furnizarea informațiilor respective nu mai contravine scopului restricției, acesta furnizează informațiile respective persoanei vizate.
            
         
         
            Articolul 7
            Durata restricțiilor
            
               (1)   Operatorul elimină o restricție imediat ce nu mai există circumstanțele care au justificat-o.
            
            
               (2)   Atunci când operatorul elimină o restricție în temeiul alineatului (1), acesta efectuează cu promptitudine următoarele:
               
                           (a)
                        
                        
                           în măsura în care nu a făcut-o deja, informează persoana vizată cu privire la principalele motive pe care s-a bazat aplicarea restricției;
                        
                     
                           (b)
                        
                        
                           informează persoana vizată cu privire la dreptul pe care îl are de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene;
                        
                     
                           (c)
                        
                        
                           acordă persoanei vizate dreptul care a făcut obiectul restricției care a fost eliminată.
                        
                     
            
               (3)   Operatorul reevaluează la fiecare șase luni nevoia de a păstra o restricție aplicată în temeiul prezentei decizii și documentează această reevaluare într-o notă de evaluare internă.
            
         
         
            Articolul 8
            Măsuri de salvgardare
            BCE aplică garanții organizaționale și tehnice pentru a preveni abuzul sau accesul sau transferul ilegal, astfel cum sunt prevăzute în anexă.
         
         
            Articolul 9
            Revizuirea de către responsabilul cu protecția datelor
            
               (1)   Atunci când operatorul restricționează aplicarea drepturilor unei persoane vizate, acesta trebuie să îl implice în mod constant pe RPD. În special, se aplică următoarele:
               
                           (a)
                        
                        
                           operatorul îl consultă pe RPD fără întârziere nejustificată;
                        
                     
                           (b)
                        
                        
                           la solicitarea RPD, operatorul îi furnizează acestuia accesul la orice documente care conțin elementele juridice și de fapt subiacente, inclusiv nota de evaluare internă prevăzută la articolul 3 alineatul (5);
                        
                     
                           (c)
                        
                        
                           operatorul documentează modul în care RPD a fost implicat, inclusiv informațiile relevante care au fost făcute disponibile, în special data primei consultări astfel cum este prevăzută la litera (a);
                        
                     
                           (d)
                        
                        
                           RPD poate solicita operatorului să revizuiască restricția;
                        
                     
                           (e)
                        
                        
                           operatorul îl informează pe RPD în scris cu privire la rezultatul revizuirii solicitate, fără întârziere nejustificată și în orice caz înainte de aplicarea oricărei restricții.
                        
                     
            
               (2)   Operatorul îl informează pe RPD atunci când restricția a fost eliminată.
            
         
         
            Articolul 10
            Intrarea în vigoare
            Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.
         
         
            Adoptată la Frankfurt pe Main, 7 septembrie 2021.
            
               
                  Președintele BCE
               
               Christine LAGARDE
            
         
         
            (1)  JO L 295, 21.11.2018, p. 39.
         
            (2)  Regulamentul (UE) nr. 1024/2013 al Consiliului din 15 octombrie 2013 de conferire a unor atribuții specifice Băncii Centrale Europene în ceea ce privește politicile legate de supravegherea prudențială a instituțiilor de credit (JO L 287, 29.10.2013, p. 63).
         
            (3)  Decizia (UE) 2020/655 a Băncii Centrale Europene din 5 mai 2020 de adoptare a normelor de punere în aplicare privind protecția datelor la Banca Centrală Europeană și de abrogare a Deciziei BCE/2007/1 (BCE/2020/28), JO L 152, 15.5.2020, p. 13).
         
            (4)  Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO L 119, 4.5.2016, p. 1).
         
            (5)  Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei-cadru 2008/977/JAI a Consiliului (JO L 119, 4.5.2016, p. 89).
      
      
         
            ANEXĂ
            Garanțiile organizaționale și tehnice aplicate la BCE pentru a preveni abuzul sau accesul sau transferul ilegal includ:
            
                        (a)
                     
                     
                        în ceea ce privește persoanele:
                        
                                    (i)
                                 
                                 
                                    toate persoanele care au acces la informațiile BCE care nu au caracter public și care sunt responsabile de cunoașterea și aplicarea politicii și normelor BCE privind gestionarea și confidențialitatea informațiilor;
                                 
                              
                                    (ii)
                                 
                                 
                                    un proces de autorizare de securitate care asigură faptul că numai persoanele verificate și autorizate au acces în incintele BCE și la informațiile BCE care nu au caracter public;
                                 
                              
                                    (iii)
                                 
                                 
                                    măsuri de creștere a gradului de cunoaștere în ceea ce privește tehnologia informației și securitatea fizică și a informațiilor;
                                 
                              
                                    (iv)
                                 
                                 
                                    cursuri organizate regulat pentru membrii personalului și furnizorii de servicii externi;
                                 
                              
                                    (v)
                                 
                                 
                                    membrii personalului BCE care sunt supuși regulilor stricte de păstrare a secretului profesional prevăzute în Condițiile de angajare și Statutul personalului BCE, a căror încălcare atrage sancțiuni disciplinare;
                                 
                              
                                    (vi)
                                 
                                 
                                    reguli și obligații care guvernează accesul furnizorilor de servicii externi sau al contractanților la informațiile BCE care nu au caracter public, care sunt stabilite în acorduri contractuale;
                                 
                              
                                    (vii)
                                 
                                 
                                    controale ale accesului, inclusiv stabilirea zonelor de securitate, care sunt aplicate și care asigură faptul că accesul persoanelor la informațiile BCE care nu au caracter public este autorizat și restricționat pe baza nevoilor funcționale și cerințelor de securitate;
                                 
                              
                  
                        (b)
                     
                     
                        în ceea ce privește procesele:
                        
                                    (i)
                                 
                                 
                                    procesele care există pentru a asigura implementarea controlată, funcționarea și mentenanța aplicațiilor IT care susțin activitatea BCE;
                                 
                              
                                    (ii)
                                 
                                 
                                    utilizarea aplicațiilor IT pentru activitatea BCE care respectă standardele de securitate ale BCE;
                                 
                              
                                    (iii)
                                 
                                 
                                    deținerea unui program cuprinzător de securitate fizică în funcțiune, care evaluează permanent amenințările de securitate și include măsuri de securitate fizică pentru a asigura un nivel adecvat de protecție;
                                 
                              
                  
                        (c)
                     
                     
                        în ceea ce privește tehnologia:
                        
                                    (i)
                                 
                                 
                                    toate datele electronice stocate în aplicațiile IT care respectă standardele de securitate ale BCE și sunt astfel protejate împotriva accesului sau alterării neautorizate;
                                 
                              
                                    (ii)
                                 
                                 
                                    implementarea, operarea și întreținerea aplicațiilor IT la un nivel de securitate proporțional cu nevoile de confidențialitate, integritate și disponibilitate ale aplicațiilor IT, care se bazează pe analize ale impactului asupra activității;
                                 
                              
                                    (iii)
                                 
                                 
                                    nivelul de securitate al aplicațiilor IT care sunt validate periodic prin evaluări de securitate tehnice și non-tehnice;
                                 
                              
                                    (iv)
                                 
                                 
                                    accesul la informațiile BCE care nu au caracter public este acordat în conformitate cu principiul necesității de a cunoaște, iar accesul privilegiat este strict limitat și atent controlat;
                                 
                              
                                    (v)
                                 
                                 
                                    punerea în aplicare a unor controale pentru detectarea și monitorizarea încălcărilor efective și potențiale ale securității.