CELEX: 32021D1486
Language: lv
Date: 2021-09-07 00:00:00
Title: Eiropas Centrālās bankas Lēmums (ES) 2021/1486 (2021. gada 7. septembris), ar kuru pieņem iekšējos noteikumus par datu subjektu tiesību ierobežojumiem saistībā ar Eiropas Centrālās bankas uzdevumiem, kas attiecas uz kredītiestāžu prudenciālo uzraudzību (ECB/2021/42)

16.9.2021   
               
               
                  LV
               
               
                  Eiropas Savienības Oficiālais Vēstnesis
               
               
                  L 328/15
               
            
         EIROPAS CENTRĀLĀS BANKAS LĒMUMS (ES) 2021/1486
         (2021. gada 7. septembris),
         ar kuru pieņem iekšējos noteikumus par datu subjektu tiesību ierobežojumiem saistībā ar Eiropas Centrālās bankas uzdevumiem, kas attiecas uz kredītiestāžu prudenciālo uzraudzību (ECB/2021/42)
         EIROPAS CENTRĀLĀS BANKAS VALDE,
         ņemot vērā Līgumu par Eiropas Savienības darbību,
         ņemot vērā Eiropas Centrālo banku sistēmas un Eiropas Centrālās bankas Statūtus un jo īpaši to 11.6. pantu,
         Ņemot vērā Eiropas Parlamenta un Padomes Regulu (ES) 2018/1725 (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (1), un jo īpaši tās 25. pantu,
         tā kā:
         
                     (1)
                  
                  
                     Eiropas Centrālā banka (ECB) veic savus uzdevumus saskaņā ar Līgumiem un Padomes Regulu (ES) Nr. 1024/2013 (2).
                  
               
                     (2)
                  
                  
                     Saskaņā ar Regulas (ES) 2018/1725 45. panta 3. punktu Eiropas Centrālās bankas Lēmumā (ES) 2020/655 (ECB/2020/28) (3) izklāstīti vispārīgie noteikumi Regulas (ES) 2018/1725 īstenošanai attiecībā uz ECB. It īpaši tajā precizēti noteikumi attiecībā uz ECB datu aizsardzības inspektora (DAI) iecelšanu un lomu, tostarp DAI uzdevumi, pienākumi un pilnvaras.
                  
               
                     (3)
                  
                  
                     Pildot ECB uzticētos uzdevumus, ECB un jo īpaši attiecīgā organizatoriskā vienība darbojas kā datu pārzinis, ciktāl tā viena pati vai kopīgi ar citiem nosaka personas datu apstrādes nolūkus un līdzekļus.
                  
               
                     (4)
                  
                  
                     Saskaņā ar Regulas (ES) Nr. 1024/2013 4. panta 1. punktu ECB ir ekskluzīva kompetence uzraudzības nolūkos un nolūkā nodrošināt kredītiestāžu drošumu un stabilitāti un finanšu sistēmas stabilitāti veikt īpašus uzdevumus attiecībā uz visām kredītiestādēm, kas iedibinātas dalībvalstīs, kuras piedalās Vienotajā uzraudzības mehānismā (VUM).
                  
               
                     (5)
                  
                  
                     Veicot šos īpašos uzdevumus, ECB apstrādā vairākas informācijas kategorijas, kas var būt saistītas ar identificētu vai identificējamu fizisku personu, piemēram, identifikācijas datus, kontaktinformāciju, profesionālos datus, finanšu vai administratīvos datus, datus, kas saņemti no īpašiem avotiem, datus par elektroniskajām komunikācijām un elektroniskās informācijas plūsmas datus, sodāmības reģistrus, aprakstu par finanšu un nefinanšu interesēm, ziņas par fizisku personu vai to tuvu radinieku attiecībām ar uzraudzītajām iestādēm vai uzraudzīto iestāžu vadības struktūru locekļiem un datus, kas attiecas uz amatu, kurā persona iecelta vai var tikt iecelta. Personas dati varētu būt arī daļa no novērtējuma, tostarp novērtējuma, kuru veic: kredītiestādes atļaujas izsniegšanai, kredītiestādes atļaujas anulēšanai un būtiskas līdzdalības procedūras ietvaros; attiecībā uz nozīmīgas uzraudzītās iestādes iedibinājumtiesībām; lai noteiktu, vai ir izpildītas atbilstības un piemērotības prasības; saistībā ar nozīmīgas uzraudzītās iestādes atalgojuma politiku un attiecībā uz kredītiem, ko šāda iestāde piešķir savām augstākajām amatpersonām un personām, kas saistītas ar šīm amatpersonām; un saistībā ar apgalvojumiem, kas saistīti ar iespējamiem Regulas (ES) Nr. 1024/2013 4. panta 3. punktā minēto tiesību aktu pārkāpumiem.
                  
               
                     (6)
                  
                  
                     ECB mērķis, veicot šos īpašos uzdevumus, ir īstenot svarīgus Savienības vispārējo sabiedrības interešu mērķus. Tādēļ būtu jānodrošina šādu uzdevumu izpilde, kā tas apsvērts Regulā (ES) 2018/1725, jo īpaši tās 25. panta 1. punkta c) un g) apakšpunktā. Jo īpaši, veicot šādus uzdevumus, ECB rīkojas Savienības vispārējās sabiedrības interesēs kā publiska iestāde, kurai uzraudzības nolūkos uzticēts veikt īpašus uzdevumus attiecībā uz visām kredītiestādēm, kas iedibinātas dalībvalstīs, kuras piedalās VUM. Šādi uzdevumi ietver monitoringa, pārbaudes vai regulatīvās funkcijas, kas attiecas uz valsts varas īstenošanu saistībā ar kredītiestāžu prudenciālu uzraudzību.
                  
               
                     (7)
                  
                  
                     Šajā sakarā ir lietderīgi precizēt iemeslus, uz kuru pamata ECB var ierobežot datu subjektu tiesības saistībā ar datiem, kas iegūti, pildot uzraudzības uzdevumus saskaņā ar Regulu (ES) Nr. 1024/2013.
                  
               
                     (8)
                  
                  
                     Saskaņā ar Regulas (ES) 2018/1725 25. panta 1. punktu ierobežojumi attiecībā uz 14.–22., 35. un 36. panta piemērošanu un, ciktāl tā noteikumi atbilst 14.–22. pantā paredzētajām tiesībām un pienākumiem, minētās regulas 4. panta piemērošanu būtu jāizklāsta iekšējos noteikumos vai tiesību aktos, kas pieņemti, pamatojoties uz Līgumiem. Attiecīgi ECB būtu jāparedz noteikumi, saskaņā ar kuriem tā var ierobežot datu subjektu tiesības, veicot savus uzraudzības uzdevumus.
                  
               
                     (9)
                  
                  
                     Lai gan šajā lēmumā izklāstīti noteikumi, saskaņā ar kuriem ECB var ierobežot datu subjektu tiesības, veicot savus uzraudzības uzdevumus, ECB Valde plāno pieņemt atsevišķu lēmumu, ar ko apstiprina iekšējos noteikumus par minēto tiesību ierobežošanu, ECB apstrādājot personas datus saistībā ar tās iekšējo darbību.
                  
               
                     (10)
                  
                  
                     ECB var piemērot izņēmumu saskaņā ar Regulu (ES) 2018/1725, kas ierobežojumu apsvēršanu padara nevajadzīgu, jo īpaši to ierobežojumu, kas noteikti minētās regulas 15. panta 4. punktā, 16. panta 5. punktā, 19. panta 3. punktā un 35. panta 3. punktā. Lai arhivēšanas vajadzībām veiktu apstrādi sabiedrības interesēs, zinātniskās vai vēstures pētniecības vajadzībām vai statistikas vajadzībām, ECB var piemērot izņēmumu, kas noteikts Regulas (ES) 2018/1725 16. panta 5. punkta b) apakšpunktā vai 19. panta 3. punkta d) apakšpunktā.
                  
               
                     (11)
                  
                  
                     Regulas (ES) 2018/1725 17., 18., 20., 21., 22. un 23. pantā minēto datu subjektu tiesību īstenošana var padarīt neiespējamu vai būtiski traucēt konkrētu mērķu sasniegšanu, tostarp attiecīgos gadījumos arhivēšanas vajadzībām sabiedrības interesēs, zinātniskās vai vēstures pētniecības vajadzībām vai statistikas vajadzībām. Tāpēc šajā lēmumā būtu jāparedz atkāpe no minētajām tiesībām saskaņā ar Regulas (ES) 2018/1725 25. panta 3. vai 4. punktu, ievērojot atbilstošus aizsardzības pasākumus.
                  
               
                     (12)
                  
                  
                     ECB būtu jāpamato, kāpēc šādi datu subjektu tiesību ierobežojumi demokrātiskā sabiedrībā ir noteikti nepieciešami un samērīgi, lai aizsargātu mērķus, ko tā tiecas sasniegt, īstenojot savas oficiālās pilnvaras, un ar to saistītās funkcijas, un to, kā ECB ievēro pamattiesību un brīvību būtību, nosakot šādus ierobežojumus.
                  
               
                     (13)
                  
                  
                     Šajā kontekstā ECB, cik vien iespējams, jāievēro datu subjektu pamattiesības, jo īpaši tās, kas attiecas uz tiesībām sniegt informāciju, piekļuvi datiem un to labošanu, tiesībām uz dzēšanu, apstrādes ierobežošanu, datu subjekta tiesībām uz informēšanu par personas datu aizsardzības pārkāpumu vai saziņas konfidencialitāti, kā noteikts Regulā (ES) 2018/1725.
                  
               
                     (14)
                  
                  
                     Tomēr ECB var būt pienākums ierobežot datu subjektiem sniegto informāciju un datu subjektu tiesības, lai aizsargātu savu uzdevumu izpildi, jo īpaši tās veiktās izmeklēšanas un procedūras, citu valsts iestāžu izmeklēšanas un procedūras un citu personu pamattiesības un brīvības, kas saistītas ar tās veiktajām izmeklēšanām vai citām procedūrām.
                  
               
                     (15)
                  
                  
                     ECB būtu jāatceļ jau piemērotie ierobežojumi, ciktāl tie vairs nav vajadzīgi.
                  
               
                     (16)
                  
                  
                     ECB DAI būtu jāpārskata ierobežojumu piemērošana, lai nodrošinātu atbilstību šim lēmumam un Regulai (ES) 2018/1725.
                  
               
                     (17)
                  
                  
                     Saskaņā ar Regulas (ES) 2018/1725 41. panta 2. punktu notika apspriešanās ar Eiropas Datu aizsardzības uzraugu, kurš savu atzinumu sniedza 2021. gada 12. martā,
                  
               IR PIEŅĒMUSI ŠO LĒMUMU.
         
            1. pants
            Priekšmets un piemērošanas joma
            
               1.   Šajā lēmumā izklāstīti noteikumi attiecībā uz datu subjektu tiesību ierobežošanu, ko ECB īsteno, savu Regulā (ES) Nr. 1024/2013 noteikto uzraudzības uzdevumu ietvaros veicot centrālajā reģistrā reģistrētās personas datu apstrādes darbības.
            
            
               2.   Datu subjektu tiesības, kuras var tikt ierobežotas, norādītas šādos Regulas (ES) 2018/1725. pantos:
               
                           a)
                        
                        
                           14. pants (pārredzama informācija, saziņa un datu subjekta tiesību izmantošanas kārtība);
                        
                     
                           b)
                        
                        
                           15. pants (informācija, kas jāsniedz, ja personas dati ir iegūti no datu subjekta);
                        
                     
                           c)
                        
                        
                           16. pants (informācija, kas jāsniedz, ja personas dati nav iegūti no datu subjekta);
                        
                     
                           d)
                        
                        
                           17. pants (datu subjekta piekļuves tiesības);
                        
                     
                           e)
                        
                        
                           18. pants (tiesības labot);
                        
                     
                           f)
                        
                        
                           19. pants (tiesības uz dzēšanu (“tiesības tikt aizmirstam”));
                        
                     
                           g)
                        
                        
                           20. pants (tiesības ierobežot apstrādi);
                        
                     
                           h)
                        
                        
                           21. pants (pienākums ziņot par personas datu labošanu vai dzēšanu vai apstrādes ierobežošanu);
                        
                     
                           i)
                        
                        
                           22. pants (tiesības uz datu pārnesamību);
                        
                     
                           j)
                        
                        
                           35. pants (datu subjekta informēšana par personas datu aizsardzības pārkāpumu);
                        
                     
                           k)
                        
                        
                           36. pants (elektronisko sakaru konfidencialitāte);
                        
                     
                           l)
                        
                        
                           4. pants, ciktāl tā noteikumi atbilst Regulas (ES) 2018/1725 14.–22. pantā noteiktajām tiesībām un pienākumiem.
                        
                     
         
         
            2. pants
            Definīcijas
            Šajā lēmumā piemēro šādas definīcijas:
            
                        1)
                     
                     
                        “apstrāde” ir apstrāde Regulas (ES) 2018/1725 3. panta 3) punkta izpratnē;
                     
                  
                        2)
                     
                     
                        “personas dati” ir personas dati Regulas (ES) 2018/1725 3. panta 1) punkta izpratnē;
                     
                  
                        3)
                     
                     
                        “datu subjekts” ir identificēta vai identificējama fiziska persona; identificējama persona ir persona, kuru var tieši vai netieši identificēt, jo īpaši izmantojot tādus identifikatorus kā, piemēram, vārdu, uzvārdu, identifikācijas numuru, atrašanās vietas datus, tiešsaistes identifikatoru vai vienu vai vairākus minētajai fiziskajai personai raksturīgus fiziskos, fizioloģiskos, ģenētiskos, garīgos, ekonomiskos, kultūras vai sociālās identitātes faktorus;
                     
                  
                        4)
                     
                     
                        “centrālais reģistrs” ir publiski pieejams visu ECB veikto personas datu apstrādes darbību repozitorijs, ko uztur ECB DAI un kas minēts Lēmuma (ES) 2020/655 (ECB/2020/28) 9. pantā;
                     
                  
                        5)
                     
                     
                        “pārzinis” ir ECB, un jo īpaši kompetentā organizatoriskā vienība ECB ietvaros, kas viena pati vai kopā ar citiem nosaka personas datu apstrādes nolūkus un līdzekļus un kas ir atbildīga par apstrādes darbībām;
                     
                  
                        6)
                     
                     
                        “Savienības iestādes un struktūras” ir Savienības iestādes un struktūras, kā definēts Regulas (ES) 2018/1725 3. panta 10) punktā.
                     
                  
         
            3. pants
            Ierobežojumu piemērošana
            
               1.   Pārzinis var ierobežot 1. panta 2. punktā minētās tiesības, lai aizsargātu Regulas (ES) 2018/1725 25. panta 1. punktā norādītās intereses un mērķus, jo īpaši, ja minēto tiesību īstenošana apdraudētu vai citādi negatīvi ietekmētu:
               
                           a)
                        
                        
                           ECB uzraudzības uzdevumu izpildi saskaņā ar Regulu (ES) Nr. 1024/2013, tostarp uzraudzības sistēmas pienācīgu darbību;
                        
                     
                           b)
                        
                        
                           kredītiestāžu drošumu un stabilitāti un finanšu sistēmas stabilitāti Savienībā un dalībvalstīs;
                        
                     
                           c)
                        
                        
                           ziņošanas par pārkāpumiem efektivitāti saskaņā ar Regulas (ES) Nr. 1024/2013 23. pantu.
                        
                     
            
               2.   Lai aizsargātu Regulas (ES) 2018/1725 25. panta 1. punktā minētās intereses un mērķus, pārzinis var ierobežot 1. panta 2. punktā minētās tiesības attiecībā uz personas datiem, kas iegūti no citām Savienības iestādēm un struktūrām un no dalībvalstu vai trešo valstu kompetentajām iestādēm vai starptautiskām organizācijām, jebkurā no šādiem gadījumiem:
               
                           a)
                        
                        
                           ja minēto tiesību īstenošanu varētu ierobežot citas Savienības iestādes un struktūras, no kurām personas dati iegūti, pamatojoties uz citiem tiesību aktiem, kas paredzēti Regulas (ES) 2018/1725 25. pantā, vai saskaņā ar minētās regulas IX nodaļu vai citu Savienības iestāžu un struktūru dibināšanas aktiem;
                        
                     
                           b)
                        
                        
                           ja minēto tiesību īstenošanu varētu ierobežot to dalībvalstu kompetentās iestādes, no kurām personas dati iegūti, pamatojoties uz aktiem, kas minēti Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (4) 23. pantā, vai saskaņā ar nacionālajiem pasākumiem, ar kuriem transponēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2016/680 (5) 13. panta 3. punkts, 15. panta 3. punkts vai 16. panta 3. punkts;
                        
                     
                           c)
                        
                        
                           ja šo tiesību īstenošana varētu apdraudēt vai citādi nelabvēlīgi ietekmēt ECB sadarbību ar trešām valstīm vai starptautiskām organizācijām, no kurām iegūta informācija, tās uzdevumu izpildē, ja vien ECB intereses sadarboties nav svarīgākas par datu subjektu interesēm vai pamattiesībām un brīvībām.
                        
                     
            
               3.   Pirms ierobežojuma piemērošanas 2. punkta a) un b) apakšpunktā minētajos apstākļos pārzinis:
               
                           a)
                        
                        
                           ņem vērā vienošanās, kas noslēgtas ar attiecīgajām Savienības iestādēm un struktūrām vai dalībvalstu kompetentajām iestādēm;
                        
                     
                           b)
                        
                        
                           apspriežas ar attiecīgajām Savienības iestādēm un struktūrām vai dalībvalstu kompetentajām iestādēm, ja vien pārzinim nav skaidrs, ka minētā ierobežojuma piemērošana paredzēta kādā no 2. punkta a) un b) apakšpunktā minētajiem aktiem vai pasākumiem.
                        
                     
            
               4.   Pārzinis var piemērot ierobežojumu tikai tad, ja, izvērtējot katru gadījumu atsevišķi, tas secina, ka ierobežojums:
               
                           a)
                        
                        
                           ir nepieciešams un samērīgs, ņemot vērā datu subjekta tiesību un brīvību riskus;
                        
                     
                           b)
                        
                        
                           ievēro pamattiesību un brīvību būtību demokrātiskā sabiedrībā.
                        
                     
            
               5.   Pārzinis savu novērtējumu dokumentē iekšējā novērtējuma piezīmēs, kurās ietver juridisko pamatu, ierobežojuma iemeslus, datu subjektu tiesības, uz kurām attiecas ierobežojumi, datu subjektus, kurus tas skar, ierobežojuma nepieciešamību un samērīgumu, kā arī ierobežojuma iespējamo ilgumu.
            
            
               6.   Lēmumu ierobežot datu subjekta tiesības saskaņā ar šo lēmumu, kas jāpieņem pārzinim, pieņem tā attiecīgās darbības jomas vadītāja vai vadītāja vietnieka līmenī, kura darbības jomā tiek veikta galvenā ar personas datiem saistītā apstrāde.
            
         
         
            4. pants
            Atkāpes
            
               1.   Saistībā ar apstrādi zinātniskās vai vēstures pētniecības vajadzībām vai statistikas vajadzībām pārzinis var piemērot atkāpes saskaņā ar Regulas (ES) 2018/1725 25. panta 3. punktu. Minētajā nolūkā pārzinis var atkāpties no tiesībām, kas minētas Regulas (ES) 2018/1725 17., 18., 20. un 23. pantā, ievērojot nosacījumus, kas noteikti minētās regulas 25. panta 3. punktā.
            
            
               2.   Saistībā ar apstrādi arhivēšanas vajadzībām sabiedrības interesēs pārzinis var piemērot atkāpes saskaņā ar Regulas (ES) 2018/1725 25. panta 4. punktu. Minētajā nolūkā pārzinis var atkāpties no tiesībām, kas minētas Regulas (ES) 2018/1725 17., 18., 20., 21., 22. un 23. pantā, ievērojot nosacījumus, kas noteikti minētās regulas 25. panta 4. punktā.
            
            
               3.   Uz šādām atkāpēm attiecas atbilstoši aizsardzības pasākumi saskaņā ar Regulas (ES) 2018/1725 13. pantu un šā lēmuma 8. pantu.
            
         
         
            5. pants
            Vispārīgas informācijas sniegšana par ierobežojumiem
            Pārzinis sniedz šādu vispārīgu informāciju par datu subjekta tiesību iespējamo ierobežošanu:
            
                        a)
                     
                     
                        pārzinis norāda tiesības, kuras var tikt ierobežotas, ierobežojuma iemeslus un tā iespējamo ilgumu;
                     
                  
                        b)
                     
                     
                        pārzinis a) apakšpunktā minēto informāciju iekļauj savos datu aizsardzības paziņojumos, privātuma paziņojumos un apstrādes darbību reģistrā, kā norādīts Regulas (ES) 2018/1725 31. pantā.
                     
                  
         
            6. pants
            Datu subjektu piekļuves tiesību ierobežošana, tiesības labot, tiesības uz dzēšanu vai apstrādes ierobežošana
            
               1.   Ja pārzinis pilnībā vai daļēji ierobežo attiecīgi Regulas (ES) 2018/1725 17. pantā, 18. pantā, 19. panta 1. punktā un 20. panta 1. punktā minētās piekļuves tiesības, tiesības labot, tiesības uz dzēšanu vai tiesības ierobežot apstrādi, tas Lēmuma (ES) 2020/655 (ECB/2020/28) 11. panta 5. punktā noteiktajā termiņā savā rakstiskajā atbildē uz lūgumu informē attiecīgo datu subjektu par piemēroto ierobežojumu, galvenajiem ierobežojuma iemesliem un iespēju iesniegt sūdzību Eiropas Datu aizsardzības uzraugam vai vērsties Eiropas Savienības Tiesā.
            
            
               2.   Pārzinis saglabā 3. panta 5. punktā minētās iekšējā novērtējuma piezīmes un attiecīgos gadījumos dokumentus, kas satur pamatā esošos faktiskos un juridiskos elementus, un pēc pieprasījuma dara tos pieejamus Eiropas Datu aizsardzības uzraugam.
            
            
               3.   Pārzinis var atlikt, izlaist tās daļu vai atteikt informācijas sniegšanu par 1. punktā minētā ierobežojuma iemesliem, ciktāl šāda informācijas sniegšana apdraudētu ierobežojuma mērķi. Tiklīdz pārzinis konstatē, ka informācijas sniegšana vairs neapdraud ierobežojuma mērķi, pārzinis minēto informāciju sniedz datu subjektam.
            
         
         
            7. pants
            Ierobežojumu ilgums
            
               1.   Pārzinis atceļ ierobežojumu, tiklīdz vairs nepastāv apstākļi, kas bija minētā ierobežojuma pamatā.
            
            
               2.   Ja pārzinis atceļ ierobežojumu saskaņā ar 1. punktu, pārzinis nekavējoties:
               
                           a)
                        
                        
                           ja tas vēl nav izdarīts, informē datu subjektu par galvenajiem iemesliem, kas bija ierobežojuma piemērošanas pamatā;
                        
                     
                           b)
                        
                        
                           informē datu subjektu par tā tiesībām iesniegt sūdzību Eiropas Datu aizsardzības uzraugam vai vērsties Eiropas Savienības Tiesā;
                        
                     
                           c)
                        
                        
                           piešķir datu subjektam tiesības, uz kurām attiecās atceltais ierobežojums.
                        
                     
            
               3.   Pārzinis ik pēc sešiem mēnešiem atkārtoti izvērtē nepieciešamību saglabāt saskaņā ar šo lēmumu piemērotos ierobežojumus un savu atkārtoto novērtējumu dokumentē iekšējā novērtējuma piezīmēs.
            
         
         
            8. pants
            Aizsardzības pasākumi
            ECB piemēro organizatoriskus un tehniskus aizsardzības pasākumus, kā izklāstīts pielikumā, lai novērstu ļaunprātīgu izmantošanu vai nelikumīgu piekļuvi vai pārsūtīšanu.
         
         
            9. pants
            Datu aizsardzības inspektora veiktā pārskatīšana
            
               1.   Ja pārzinis ierobežo datu subjekta tiesību piemērošanu, tam pastāvīgi jāiesaista DAI. Jo īpaši piemēro šādus noteikumus:
               
                           a)
                        
                        
                           pārzinis bez liekas kavēšanās apspriežas ar DAI;
                        
                     
                           b)
                        
                        
                           pēc DAI pieprasījuma pārzinis nodrošina DAI piekļuvi visiem dokumentiem, kas satur pamatā esošos faktiskos un juridiskos elementus, tostarp 3. panta 5. punktā minētās iekšējā novērtējuma piezīmes;
                        
                     
                           c)
                        
                        
                           pārzinis dokumentē DAI iesaisti, tostarp attiecīgo kopīgoto informāciju, jo īpaši a) apakšpunktā minētās pirmās apspriešanās datumu;
                        
                     
                           d)
                        
                        
                           DAI var pieprasīt pārzinim pārskatīt ierobežojumu;
                        
                     
                           e)
                        
                        
                           pārzinis bez liekas kavēšanās un jebkurā gadījumā pirms ierobežojuma piemērošanas rakstiski informē DAI par pieprasītās pārskatīšanas rezultātu.
                        
                     
            
               2.   Pārzinis informē DAI par ierobežojuma atcelšanu.
            
         
         
            10. pants
            Stāšanās spēkā
            Šis lēmums stājas spēkā divdesmitajā dienā pēc tā publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.
         
         
            Frankfurtē pie Mainas, 2021. gada 7. septembrī
            
               
                  ECB prezidente
               
               Christine LAGARDE
            
         
         
            (1)  OV L 295, 21.11.2018., 39. lpp.
         
         
            (2)  Padomes Regula (ES) Nr. 1024/2013 (2013. gada 15. oktobris), ar ko Eiropas Centrālajai bankai uztic īpašus uzdevumus saistībā ar politikas nostādnēm, kas attiecas uz kredītiestāžu prudenciālo uzraudzību (OV L 287, 29.10.2013., 63. lpp.).
         
            (3)  Eiropas Centrālās bankas Lēmums (ES) 2020/655 (2020. gada 5. maijs), ar ko pieņem īstenošanas noteikumus attiecībā uz datu aizsardzību Eiropas Centrālajā bankā un atceļ Lēmumu ECB/2007/1 (ECB/2020/28) (OV L 152, 15.5.2020., 13. lpp.).
         
            (4)  Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV L 119, 4.5.2016., 1. lpp.).
         
            (5)  Eiropas Parlamenta un Padomes Direktīva (ES) 2016/680 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi, ko veic kompetentās iestādes, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem vai izpildītu kriminālsodus, un par šādu datu brīvu apriti, ar ko atceļ Padomes Pamatlēmumu 2008/977/TI (OV L 119, 4.5.2016., 89. lpp.).
      
      
         
            PIELIKUMS
            ECB organizatoriskie un tehniskie aizsardzības pasākumi ļaunprātīgas izmantošanas vai nelikumīgas piekļuves vai pārsūtīšanas novēršanai ir šādi:
            
                        a)
                     
                     
                        attiecībā uz personām:
                        
                                    i)
                                 
                                 
                                    visu personu, kurām ir piekļuve ECB nepubliskotai informācijai, atbildība par ECB politikas un noteikumu par informācijas pārvaldību un konfidencialitāti pārzināšanu un piemērošanu;
                                 
                              
                                    ii)
                                 
                                 
                                    drošības pielaides process, kas nodrošina, ka ECB telpām un tās nepubliskotai informācijai piekļūst tikai pārbaudītas un pilnvarotas personas;
                                 
                              
                                    iii)
                                 
                                 
                                    IT, informācijas un fiziskās drošības izpratnes veicināšanas pasākumi;
                                 
                              
                                    iv)
                                 
                                 
                                    darbinieku un ārpakalpojumu sniedzēju regulāra apmācība;
                                 
                              
                                    v)
                                 
                                 
                                    uz ECB darbiniekiem attiecināti stingri dienesta noslēpuma noteikumi, kas izklāstīti ECB Nodarbināšanas kārtībā un Personāla noteikumos, kuru neievērošanas gadījumā tiek piemēroti disciplinārsodi;
                                 
                              
                                    vi)
                                 
                                 
                                    līgumos noteikti noteikumi un pienākumi, kas reglamentē ārpakalpojumu sniedzēju vai līgumslēdzēju piekļuvi ECB nepubliskotai informācijai;
                                 
                              
                                    vii)
                                 
                                 
                                    piekļuves kontrole, t. sk. drošības zonējums, kas tiek īstenots, nodrošinot, ka personu piekļuve ECB nepubliskotai informācijai tiek atļauta un ierobežota, pamatojoties uz operacionālajām vajadzībām un drošības prasībām;
                                 
                              
                  
                        b)
                     
                     
                        attiecībā uz procesiem:
                        
                                    i)
                                 
                                 
                                    procesi, kas ieviesti, lai nodrošinātu ECB darbību atbalstošo IT lietojumprogrammu kontrolētu ieviešanu, ekspluatāciju un uzturēšanu;
                                 
                              
                                    ii)
                                 
                                 
                                    ECB darbībā tiek izmantotas IT lietojumprogrammas, kas atbilst ECB drošības standartiem;
                                 
                              
                                    iii)
                                 
                                 
                                    darbojas visaptveroša fiziskās drošības programma, kurā pastāvīgi tiek izvērtēti drošības apdraudējumi un ietverti fiziskās drošības pasākumi, kas nodrošina pienācīgu aizsardzības līmeni;
                                 
                              
                  
                        c)
                     
                     
                        attiecībā uz tehnoloģijām:
                        
                                    i)
                                 
                                 
                                    visi elektroniskie dati tiek glabāti IT lietojumprogrammās, kas atbilst ECB drošības standartiem, un tādējādi tie tiek aizsargāti pret neatļautu piekļuvi vai pārveidošanu;
                                 
                              
                                    ii)
                                 
                                 
                                    IT lietojumprogrammas tiek ieviestas, ekspluatētas un uzturētas tādā drošības līmenī, kas atbilst IT lietojumprogrammu konfidencialitātes, integritātes un pieejamības vajadzībām, kuru pamatā ir operacionālās ietekmes analīze;
                                 
                              
                                    iii)
                                 
                                 
                                    IT lietojumprogrammu drošības līmenis tiek regulāri pārbaudīts, veicot tehniskus un netehniskus drošības novērtējumus;
                                 
                              
                                    iv)
                                 
                                 
                                    piekļuve ECB nepubliskotai informācijai tiek piešķirta saskaņā ar “vajadzības zināt” principu, un priviliģēta piekļuve tiek stingri ierobežota un cieši kontrolēta;
                                 
                              
                                    v)
                                 
                                 
                                    tiek īstenoti kontroles pasākumi, lai atklātu un kontrolētu faktiskos un potenciālos drošības pārkāpumus.