CELEX: 32021D1486
Language: nl
Date: 2021-09-07 00:00:00
Title: Besluit (EU) 2021/1486 van de Europese Centrale Bank van 7 september 2021 tot vaststelling van specifieke voorschriften betreffende beperkingen van de rechten van betrokkenen in verband met de taken van de Europese Centrale Bank inzake het prudentieel toezicht op kredietinstellingen (ECB/2021/42)

16.9.2021   
               
               
                  NL
               
               
                  Publicatieblad van de Europese Unie
               
               
                  L 328/15
               
            
         BESLUIT (EU) 2021/1486 VAN DE EUROPESE CENTRALE BANK
         van 7 september 2021 tot vaststelling van specifieke voorschriften betreffende beperkingen van de rechten van betrokkenen in verband met de taken van de Europese Centrale Bank inzake het prudentieel toezicht op kredietinstellingen
         (ECB/2021/42)
         DE DIRECTIE VAN DE EUROPESE CENTRALE BANK,
         Gezien het Verdrag betreffende de werking van de Europese Unie,
         Gezien de statuten van het Europees Stelsel van centrale banken en van de Europese Centrale Bank, en met name artikel 11.6,
         Gezien Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens en tot intrekking van Verordening (EG) nr. 45/2001 en Besluit 1247/2002/EG (1), en met name artikel 25,
         Overwegende hetgeen volgt:
         
                     (1)
                  
                  
                     De Europese Centrale Bank (ECB) voert haar taken uit in overeenstemming met de Verdragen en Verordening (EU) nr. 1024/2013 van de Raad (2).
                  
               
                     (2)
                  
                  
                     Overeenkomstig artikel 45, lid 3, van Verordening (EU) 2018/1725 stelt Besluit (EU) 2020/655 van de Europese Centrale Bank (ECB/2020/28) (3) algemene uitvoeringsvoorschriften vast voor Verordening (EU) 2018/1725 voor wat betreft de ECB. Het besluit bevat met name de regels betreffende de benoeming en de rol van de functionaris voor gegevensbescherming van de ECB, met inbegrip van de taken, verplichtingen en bevoegdheden van de functionaris voor gegevensbescherming.
                  
               
                     (3)
                  
                  
                     Bij de uitoefening van de aan de ECB opgedragen taken treedt de ECB, en met name de betrokken organisatorische eenheid, op als verwerkingsverantwoordelijke voor zover zij, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.
                  
               
                     (4)
                  
                  
                     Krachtens artikel 4, lid 1, van Verordening (EU) nr. 1024/2013 is de ECB exclusief bevoegd om voor toezichtdoeleinden en met het oog op het waarborgen van de veiligheid en soliditeit van kredietinstellingen en de stabiliteit van het financiële stelsel specifieke taken uit te voeren met betrekking tot alle kredietinstellingen die gevestigd zijn in de lidstaten die deelnemen aan het gemeenschappelijk toezichtsmechanisme (Single Supervisory Mechanism (SSM)).
                  
               
                     (5)
                  
                  
                     Bij de uitvoering van deze specifieke taken verwerkt de ECB verschillende categorieën informatie die verband kunnen houden met een geïdentificeerde of identificeerbare natuurlijke persoon, zoals identificatiegegevens, contactgegevens, professionele gegevens, financiële of administratieve gegevens, gegevens uit specifieke bronnen, gegevens over elektronische communicatie en elektronische verkeersgegevens, strafregisters, een beschrijving van financiële en niet-financiële belangen, details over de relaties van een persoon of hun naaste verwanten met onder toezicht staande entiteiten of leden van het leidinggevend orgaan van onder toezicht staande entiteiten, en gegevens betreffende de functie waarvoor een persoon is of kan worden benoemd. Persoonsgegevens kunnen ook deel uitmaken van een beoordeling, met inbegrip van een uitgevoerde beoordeling ten behoeve van een vergunningverlening aan een kredietinstelling, de intrekking van een vergunning van een kredietinstelling en een procedure voor gekwalificeerde deelneming, met betrekking tot het recht van vestiging voor een belangrijke onder toezicht staande entiteit; om te bepalen of aan de deskundigheids- en betrouwbaarheidsvereisten is voldaan, met betrekking tot het beloningsbeleid van een belangrijke onder toezicht staande entiteit en met betrekking tot kredieten van een dergelijke entiteit aan haar eigen hoge ambtenaren en met deze ambtenaren verbonden personen, en met betrekking tot aantijgingen in verband met mogelijke inbreuken op de in artikel 4, lid 3, van Verordening (EU) nr. 1024/2013 bedoelde rechtshandelingen.
                  
               
                     (6)
                  
                  
                     Het doel van de ECB bij de uitvoering van deze taken is het nastreven van belangrijke doelstellingen van algemeen openbaar belang van de Unie. Om deze reden moet de uitvoering van dergelijke taken worden gewaarborgd zoals bepaald in Verordening (EU) 2018/1725, in het bijzonder door artikel 25, lid 1, punten c) en g). Met name bij de uitvoering van deze taken handelt de ECB in het algemeen openbaar belang van de Unie als een overheidsinstantie die belast is met de uitvoering van specifieke taken met betrekking tot alle kredietinstellingen die gevestigd zijn in de aan het SSM deelnemende lidstaten voor toezichtdoeleinden. Deze taken omvatten taken op het gebied van toezicht, inspectie of regelgeving die verband houden met de uitoefening van het openbaar gezag op het gebied van het prudentieel toezicht op kredietinstellingen.
                  
               
                     (7)
                  
                  
                     In dit verband is het passend te specificeren op welke gronden de ECB de rechten van betrokkenen kan beperken voor wat betreft gegevens die zijn verkregen bij de uitoefening van haar toezichttaken uit hoofde van Verordening (EU) nr. 1024/2013.
                  
               
                     (8)
                  
                  
                     Overeenkomstig artikel 25, lid 1, van Verordening (EU) 2018/1725 moeten beperkingen van de toepassing van de artikelen 14 tot en met 22, 35 en 36 en, voor zover de bepalingen ervan overeenstemmen met de rechten en verplichtingen waarin de artikelen 14 tot en met 22 voorzien, artikel 4 van die verordening worden vastgelegd in op basis van de Verdragen vastgestelde interne voorschriften of rechtshandelingen. Dienovereenkomstig dient de ECB de regels vast te stellen op grond waarvan zij de rechten van betrokkenen bij de uitoefening van haar toezichttaken kan beperken.
                  
               
                     (9)
                  
                  
                     Hoewel dit besluit de regels uiteenzet op basis waarvan de ECB de rechten van betrokkenen kan beperken in de uitoefening van haar toezichttaken, is de directie voornemens een apart besluit vast te stellen waarin zij interne regels vaststelt die deze rechten beperken wanneer de ECB persoonsgegevens verwerkt in verband met haar interne functioneren.
                  
               
                     (10)
                  
                  
                     De ECB kan een uitzondering toepassen overeenkomstig Verordening (EU) 2018/1725, die de noodzaak om een beperking te overwegen overbodig maakt, in het bijzonder de uitzonderingen zoals vermeld in artikel 15, lid 4, artikel 16, lid 5, artikel 19, lid 3 en artikel 35, lid 3, van die verordening. Voor verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden kan de ECB een uitzondering als bedoeld in artikel 16, lid 5, punt b), of artikel 19, lid 3, punt d), van Verordening (EU) 2018/1725 toepassen.
                  
               
                     (11)
                  
                  
                     De uitoefening van de in de artikelen 17, 18, 20, 21, 22 en 23 van Verordening (EU) 2018/1725 bedoelde rechten van betrokkenen kan de verwezenlijking van bepaalde doeleinden, waaronder, in voorkomend geval, archiveringsdoeleinden in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, onmogelijk maken of ernstig belemmeren. Daarom moet dit besluit voorzien in een afwijking van die rechten overeenkomstig artikel 25, lid 3 of 4, van Verordening (EU) 2018/1725, met inachtneming van passende waarborgen.
                  
               
                     (12)
                  
                  
                     De ECB moet rechtvaardigen waarom dergelijke beperkingen van de rechten van betrokkenen in een democratische samenleving strikt noodzakelijk en evenredig zijn om de bij de uitoefening van haar openbaar gezag nagestreefde doelstellingen en de daaraan verbonden taken te waarborgen, en hoe de ECB de wezenlijke inhoud van de grondrechten en fundamentele vrijheden eerbiedigt bij het opleggen van een dergelijke beperking.
                  
               
                     (13)
                  
                  
                     Binnen dit kader is de ECB gehouden de grondrechten van betrokkenen zo veel mogelijk te eerbiedigen, met name die welke verband houden met het recht op informatieverstrekking, toegang en rectificatie, het recht op wissing, beperking van de verwerking, het recht op mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene of de vertrouwelijkheid van communicatie als neergelegd in Verordening (EU) 2018/1725.
                  
               
                     (14)
                  
                  
                     De ECB kan evenwel worden verplicht de aan betrokkenen verstrekte informatie en de rechten van betrokkenen ter bescherming van de vervulling van haar toezichttaken, met name haar eigen onderzoeken en procedures, de onderzoeken en procedures van andere overheidsinstanties en de fundamentele rechten en vrijheden van andere personen die verband houden met haar onderzoeken of andere procedures, te beperken.
                  
               
                     (15)
                  
                  
                     De ECB dient een reeds toegepaste beperking op te heffen voor zover deze niet langer nodig is.
                  
               
                     (16)
                  
                  
                     De functionaris voor gegevensbescherming van de ECB moet de toepassing van beperkingen evalueren om ervoor te zorgen dat dit besluit en Verordening (EU) 2018/1725 worden nageleefd.
                  
               
                     (17)
                  
                  
                     De Europese Toezichthouder voor gegevensbescherming werd geraadpleegd overeenkomstig artikel 41, lid 2, van Verordening (EU) 2018/1725 en heeft op 12 maart 2021 advies uitgebracht,
                  
               HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
         
            Artikel 1
            Onderwerp en reikwijdte
            
               1.   Dit besluit stelt voorschriften vast betreffende de beperking van de rechten van betrokkenen door de ECB wanneer zij bij de uitoefening van haar toezichttaken uit hoofde van Verordening (EU) nr. 1024/2013 persoonsgegevens verwerkt, zoals vastgelegd in het centrale register.
            
            
               2.   De rechten van betrokkenen die kunnen worden beperkt zijn neergelegd in de volgende artikelen van Verordening (EU) 2018/1725:
               
                           a)
                        
                        
                           artikel 14: (transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene);
                        
                     
                           b)
                        
                        
                           artikel 15 (te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld);
                        
                     
                           c)
                        
                        
                           artikel 16 (te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen);
                        
                     
                           d)
                        
                        
                           artikel 17 (recht van inzage van de betrokkene);
                        
                     
                           e)
                        
                        
                           artikel 18 (recht op rectificatie);
                        
                     
                           f)
                        
                        
                           artikel 19 (recht op wissing van gegevens (“recht om te worden vergeten”));
                        
                     
                           g)
                        
                        
                           artikel 20 (recht op beperking van de verwerking);
                        
                     
                           h)
                        
                        
                           artikel 21 (kennisgevingsplicht inzake rectificatie of wissing van persoonsgegevens of beperking van de verwerking);
                        
                     
                           i)
                        
                        
                           artikel 22 (recht op overdraagbaarheid van gegevens);
                        
                     
                           j)
                        
                        
                           artikel 35 (mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene);
                        
                     
                           k)
                        
                        
                           artikel 36 (vertrouwelijkheid van elektronische communicatie);
                        
                     
                           l)
                        
                        
                           artikel 4, voor zover de bepalingen ervan overeenstemmen met de rechten en verplichtingen als bedoeld in de artikelen 14 tot en met 22 van Verordening (EU) 2018/1725.
                        
                     
         
         
            Artikel 2
            Definities
            Voor de toepassing van dit besluit gelden de volgende definities:
            
                        1)
                     
                     
                        “verwerking”: verwerking als gedefinieerd in artikel 3, punt 3, van Verordening (EU) 2018/1725;
                     
                  
                        2)
                     
                     
                        “persoonsgegevens”: persoonsgegevens als gedefinieerd in artikel 3, punt 1, van Verordening (EU) 2018/1725;
                     
                  
                        3)
                     
                     
                        “betrokkene”: een geïdentificeerde of identificeerbare natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatiemiddel zoals een naam, een identificatienummer, locatiegegevens, een online-identificatiemiddel, of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
                     
                  
                        4)
                     
                     
                        “centraal register”: het openbaar toegankelijke register van alle bij de ECB uitgevoerde activiteiten op het gebied van de verwerking van persoonsgegevens, dat wordt bijgehouden door de functionaris voor gegevensbescherming van de ECB en waarnaar wordt verwezen in artikel 9 van Besluit (EU) 2020/655 (ECB/2020/28);
                     
                  
                        5)
                     
                     
                        “verwerkingsverantwoordelijke”: de ECB, en met name de bevoegde organisatorische eenheid binnen de ECB, die, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt en die verantwoordelijk is voor de verwerking;
                     
                  
                        6)
                     
                     
                        “instellingen en organen van de Unie”: instellingen en organen van de Unie als gedefinieerd in artikel 3, punt 10, van Verordening (EU) 2018/1725.
                     
                  
         
            Artikel 3
            Toepassing van beperkingen
            
               1.   De verwerkingsverantwoordelijke kan de in artikel 1, lid 2, genoemde rechten beperken om de in artikel 25, lid 1, van Verordening (EU) 2018/1725 genoemde belangen en doelstellingen te waarborgen, met name wanneer de uitoefening van die rechten het volgende in gevaar zou brengen of daaraan afbreuk zou doen:
               
                           a)
                        
                        
                           de uitvoering van de toezichttaken van de ECB uit hoofde van Verordening (EU) nr. 1024/2013, met inbegrip van de goede werking van het toezichtsysteem;
                        
                     
                           b)
                        
                        
                           de veiligheid en soliditeit van kredietinstellingen en de stabiliteit van het financiële stelsel binnen de Unie en in elke lidstaat;
                        
                     
                           c)
                        
                        
                           de doeltreffendheid van het melden van inbreuken overeenkomstig artikel 23 van Verordening (EU) nr. 1024/2013.
                        
                     
            
               2.   Teneinde de in artikel 25, lid 1, van Verordening (EU) 2018/1725 genoemde belangen en doelstellingen te beschermen, kan de verwerkingsverantwoordelijke de in artikel 1, lid 2, genoemde rechten met betrekking tot persoonsgegevens die zijn verkregen van andere instellingen en organen van de Unie en bevoegde autoriteiten van lidstaten, derde landen of internationale organisaties, beperken in elk van de volgende omstandigheden:
               
                           a)
                        
                        
                           indien de uitoefening van die rechten kan worden beperkt door andere instellingen en organen van de Unie waarvan de persoonsgegevens zijn verkregen op grond van andere handelingen als bedoeld in artikel 25 van Verordening (EU) 2018/1725 of in overeenstemming met hoofdstuk IX van die verordening of de oprichtingsbesluiten van andere instellingen en organen van de Unie;
                        
                     
                           b)
                        
                        
                           indien de uitoefening van die rechten kan worden beperkt door de bevoegde autoriteiten van de lidstaten waarvan de persoonsgegevens zijn verkregen op grond van de in artikel 23 van Verordening (EU) 2016/679 van het Europees Parlement en de Raad (4) genoemde handelingen of uit hoofde van nationale maatregelen ter omzetting van artikel 13, lid 3, artikel 15, lid 3, of artikel 16, lid 3, van Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad (5);
                        
                     
                           c)
                        
                        
                           indien bij de uitvoering van haar taken de uitoefening van die rechten de samenwerking van de ECB met derde landen of internationale organisaties waarvan de informatie is verkregen in gevaar zou kunnen brengen of anderszins daaraan afbreuk zou kunnen doen, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkenen prevaleren boven het belang van de ECB bij samenwerking.
                        
                     
            
               3.   Alvorens een beperking in de in lid 2, punten a) en b), genoemde omstandigheden een beperking toe te passen, zal de verwerkingsverantwoordelijke:
               
                           a)
                        
                        
                           kennisnemen van de regelingen die zijn getroffen met de betrokken instellingen en organen van de Unie of met de bevoegde autoriteiten van de lidstaten, en
                        
                     
                           b)
                        
                        
                           overleg plegen met de betrokken instellingen en organen van de Unie of met de bevoegde autoriteiten van de lidstaten, tenzij het voor de verwerkingsverantwoordelijke duidelijk is dat in de toepassing van die beperking is voorzien door een van de in lid 2, punten a) en b), bedoelde handelingen of maatregelen.
                        
                     
            
               4.   De verwerkingsverantwoordelijke mag een beperking alleen toepassen indien hij op basis van een beoordeling per geval tot de conclusie komt dat de beperking:
               
                           a)
                        
                        
                           noodzakelijk en evenredig is, rekening houdend met de risico’s voor de rechten en vrijheden van de betrokkene, en
                        
                     
                           b)
                        
                        
                           de wezenlijke inhoud van de grondrechten en fundamentele vrijheden in een democratische samenleving respecteert.
                        
                     
            
               5.   De verwerkingsverantwoordelijke documenteert zijn beoordeling in een interne beoordelingsnota, waarin de rechtsgrondslag, de redenen voor de beperking, de rechten van de betrokkenen die beperkt worden, de getroffen betrokkenen, de noodzaak en evenredigheid van de beperking en de waarschijnlijke duur van de beperking worden vermeld.
            
            
               6.   Een door de verwerkingsverantwoordelijke te nemen besluit om de rechten van een betrokkene uit hoofde van dit besluit te beperken wordt genomen op het niveau van het hoofd of plaatsvervangend hoofd van het betrokken bedrijfsonderdeel in wiens bedrijfsonderdeel de belangrijkste verwerkingsactiviteit met betrekking tot de persoonsgegevens wordt uitgevoerd.
            
         
         
            Artikel 4
            Afwijkingen
            
               1.   Voor de verwerking met het oog op wetenschappelijk of historisch onderzoek of statistische doeleinden kan de verwerkingsverantwoordelijke afwijkingen toepassen overeenkomstig artikel 25, lid 3, van Verordening (EU) 2018/1725. Daartoe kan de verwerkingsverantwoordelijke van de in de artikelen 17, 18, 20 en 23 van Verordening (EU) 2018/1725 genoemde rechten afwijken, zulks overeenkomstig de in artikel 25, lid 3, van die verordening gestelde voorwaarden.
            
            
               2.   Voor de verwerking met het oog op archivering in het algemeen belang kan de verwerkingsverantwoordelijke afwijkingen toepassen overeenkomstig artikel 25, lid 4, van Verordening (EU) 2018/1725. Daartoe kan de verwerkingsverantwoordelijke afwijken van de in de artikelen 17, 18, 20, 21, 22 en 23 van Verordening (EU) 2018/1725 genoemde rechten, zulks overeenkomstig de in artikel 25, lid 4, van die verordening gestelde voorwaarden.
            
            
               3.   Dergelijke afwijkingen zijn onderworpen aan passende waarborgen overeenkomstig artikel 13 van Verordening (EU) 2018/1725 en artikel 8 van dit besluit.
            
         
         
            Artikel 5
            Verstrekking van algemene informatie over beperkingen
            De verwerkingsverantwoordelijke verstrekt als volgt algemene informatie over de mogelijke beperking van de rechten van betrokkenen:
            
                        a)
                     
                     
                        de verwerkingsverantwoordelijke specificeert de rechten die kunnen worden beperkt, de redenen voor de beperking en de mogelijke duur;
                     
                  
                        b)
                     
                     
                        de verwerkingsverantwoordelijke neemt de in punt a) genoemde informatie op in zijn gegevensbeschermingsmededelingen, privacyverklaringen en registers van verwerkingsactiviteiten als bedoeld in artikel 31 van Verordening (EU) 2018/1725.
                     
                  
         
            Artikel 6
            Beperking van het recht van inzage door betrokkenen, recht op rectificatie, recht op wissing of beperking van de verwerking
            
               1.   Indien de verwerkingsverantwoordelijke het recht op inzage, rectificatie, wissing of beperking van de verwerking als bedoeld in respectievelijk de artikelen 17 en 18, artikel 19, lid 1, en artikel 20, lid 1, van Verordening (EU) 2018/1725 geheel of gedeeltelijk beperkt, stelt hij de betrokkene binnen de in artikel 11, lid 5, van Besluit (EU) 2020/655 (ECB/2020/28) genoemde termijn, in zijn schriftelijk antwoord op het verzoek, in kennis van de toegepaste beperking, de belangrijkste redenen voor de beperking en van de mogelijkheid om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of om beroep in te stellen bij het Hof van Justitie van de Europese Unie.
            
            
               2.   De verwerkingsverantwoordelijke bewaart de in artikel 3, lid 5, genoemde interne beoordelingsnota en, in voorkomend geval, de documenten met onderliggende feitelijke en juridische elementen en stelt deze op verzoek ter beschikking van de Europese Toezichthouder voor gegevensbescherming.
            
            
               3.   De verwerkingsverantwoordelijke kan de verstrekking van informatie over de redenen voor de in lid 1 bedoelde beperking uitstellen, achterwege laten of weigeren zolang die verstrekking van informatie het doel van de beperking zou ondermijnen. Zodra de verwerkingsverantwoordelijke vaststelt dat het verstrekken van de informatie het doel van de beperking niet langer ondermijnt, verstrekt de verwerkingsverantwoordelijke die informatie aan de betrokkene.
            
         
         
            Artikel 7
            Duur van de beperkingen
            
               1.   De verwerkingsverantwoordelijke heft een beperking op zodra de omstandigheden die die beperking rechtvaardigden niet langer van toepassing zijn.
            
            
               2.   Indien de verwerkingsverantwoordelijke overeenkomstig lid 1 een beperking opheft, zal de verwerkingsverantwoordelijke onverwijld:
               
                           a)
                        
                        
                           voor zover de verwerkingsverantwoordelijke zulks nog niet heeft gedaan, de betrokkene in kennis stellen van de voornaamste redenen waarop de toepassing van een beperking werd gebaseerd;
                        
                     
                           b)
                        
                        
                           de betrokkene in kennis te stellen van zijn of haar recht om een klacht in te dienen bij de Europese Toezichthouder voor gegevensbescherming of beroep in te stellen bij het Hof van Justitie van de Europese Unie;
                        
                     
                           c)
                        
                        
                           de betrokkene het recht te verlenen waarop de opgeheven beperking van toepassing was.
                        
                     
            
               3.   De verwerkingsverantwoordelijke beoordeelt om de zes maanden opnieuw of een beperking uit hoofde van dit besluit moet worden gehandhaafd en documenteert zijn herbeoordeling in een interne beoordelingsnota.
            
         
         
            Artikel 8
            Waarborgen
            De ECB past de in de bijlage opgenomen organisatorische en technische waarborgen toe om misbruik of onrechtmatige toegang of overdracht te voorkomen.
         
         
            Artikel 9
            Evaluatie door de functionaris voor gegevensbescherming
            
               1.   Indien de verwerkingsverantwoordelijke de toepassing van de rechten van een betrokkene beperkt, moet hij de functionaris voor gegevensbescherming voortdurend bij de zaak betrekken. Met name geldt het volgende:
               
                           a)
                        
                        
                           de verwerkingsverantwoordelijke raadpleegt onverwijld de functionaris voor gegevensbescherming;
                        
                     
                           b)
                        
                        
                           op verzoek van de functionaris voor gegevensbescherming verleent de verwerkingsverantwoordelijke de functionaris voor gegevensbescherming toegang tot alle documenten die onderliggende feitelijke en juridische elementen bevatten, met inbegrip van de in artikel 3, lid 5, bedoelde interne beoordelingsnota;
                        
                     
                           c)
                        
                        
                           de verwerkingsverantwoordelijke documenteert hoe de functionaris voor gegevensbescherming betrokken is geweest, met inbegrip van relevante informatie die werd gedeeld, met name de datum van de eerste raadpleging als bedoeld in punt a);
                        
                     
                           d)
                        
                        
                           de functionaris voor gegevensbescherming kan de verwerkingsverantwoordelijke verzoeken de beperking te herzien;
                        
                     
                           e)
                        
                        
                           de verwerkingsverantwoordelijke stelt de functionaris voor gegevensbescherming zonder onnodige vertraging en in elk geval voordat een beperking wordt toegepast schriftelijk in kennis van het resultaat van de gevraagde beoordeling.
                        
                     
            
               2.   De verwerkingsverantwoordelijke informeert de functionaris voor gegevensbescherming wanneer de beperking is opgeheven.
            
         
         
            Artikel 10
            Inwerkingtreding
            Dit besluit treedt in werking op de twintigste dag volgende op die van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
         
         
            Gedaan te Frankfurt am Main, 7 september 2021.
            
               
                  De president van de ECB
               
               Christine LAGARDE
            
         
         
            (1)  PB L 295 van 21.11.2018, blz. 39.
         
            (2)  Verordening (EU) nr. 1024/2013 van 15 oktober 2013 van de Raad waarbij aan de Europese Centrale Bank specifieke taken worden opgedragen betreffende het beleid inzake het prudentieel toezicht op kredietinstellingen (PB L 287 van 29.10.2013, blz. 63).
         
            (3)  Besluit (EU) 2020/655 van de Europese Centrale Bank van 5 mei 2020 houdende de vaststelling van uitvoeringsvoorschriften betreffende gegevensbescherming bij de Europese Centrale Bank en tot intrekking van Besluit ECB/2007/1 (ECB/2020/28) (PB L 152 van 15.5.2020, blz. 13).
         
            (4)  Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).
         
            (5)  Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (PB L 119 van 4.5.2016, blz. 89).
      
      
         
            BIJLAGE
            Organisatorische en technische waarborgen bij de ECB om misbruik of onrechtmatige toegang of overdracht te voorkomen, omvatten:
            
                        a)
                     
                     
                        ten aanzien van personen:
                        
                                    i)
                                 
                                 
                                    alle personen die toegang hebben tot niet-openbare ECB-informatie die verantwoordelijk zijn voor het kennen en toepassen van het beleid en de regelingen van de ECB inzake het beheer en de vertrouwelijkheid van informatie;
                                 
                              
                                    ii)
                                 
                                 
                                    een procedure voor veiligheidsmachtiging die waarborgt dat alleen gescreende en gemachtigde personen toegang hebben tot de gebouwen van de ECB en haar niet-openbare informatie;
                                 
                              
                                    iii)
                                 
                                 
                                    maatregelen voor de bewustmaking van veiligheid op het gebied van IT, informatie- en fysieke beveiliging;
                                 
                              
                                    iv)
                                 
                                 
                                    opleidingen die regelmatig worden georganiseerd voor personeelsleden en externe dienstverleners;
                                 
                              
                                    v)
                                 
                                 
                                    personeelsleden van de ECB zijn onderworpen aan strikte regels inzake beroepsgeheim die zijn neergelegd in de arbeidsvoorwaarden en personeelsverordeningen en -regelingen van de ECB, waarvan de schending aanleiding geeft tot disciplinaire sancties;
                                 
                              
                                    vi)
                                 
                                 
                                    regels en verplichtingen betreffende de toegang van externe dienstverleners of contractanten tot niet-openbare ECB-informatie die zijn vastgelegd in contractuele regelingen;
                                 
                              
                                    vii)
                                 
                                 
                                    toegangscontroles, met inbegrip van beveiligingszonering, die worden toegepast om ervoor te zorgen dat de toegang van personen tot niet-openbare informatie van de ECB wordt toegestaan en beperkt op basis van zakelijke behoeften en beveiligingsvereisten;
                                 
                              
                  
                        b)
                     
                     
                        wat processen betreft:
                        
                                    i)
                                 
                                 
                                    processen om te zorgen voor de gecontroleerde uitvoering, exploitatie en onderhoud van IT-toepassingen ter ondersteuning van de bedrijfsactiviteiten van de ECB;
                                 
                              
                                    ii)
                                 
                                 
                                    gebruikmaking van IT-toepassingen voor de activiteiten van de ECB die voldoen aan de beveiligingsnormen van de ECB;
                                 
                              
                                    iii)
                                 
                                 
                                    beschikken over een uitgebreid programma voor fysieke beveiliging dat voortdurend rekening houdt met veiligheidsdreigingen en fysieke beveiligingsmaatregelen omvat om een adequaat beschermingsniveau te waarborgen;
                                 
                              
                  
                        c)
                     
                     
                        wat technologie betreft:
                        
                                    i)
                                 
                                 
                                    alle elektronische gegevens die worden opgeslagen in IT-applicaties die voldoen aan de beveiligingsnormen van de ECB en aldus worden beschermd tegen ongeoorloofde toegang of wijziging;
                                 
                              
                                    ii)
                                 
                                 
                                    IT-toepassingen die worden geïmplementeerd, geëxploiteerd en onderhouden op een beveiligingsniveau dat in verhouding staat tot de behoeften van de IT-applicaties op het gebied van vertrouwelijkheid, integriteit en beschikbaarheid en die gebaseerd zijn op bedrijfseffectanalyses;
                                 
                              
                                    iii)
                                 
                                 
                                    het beveiligingsniveau van IT-applicaties dat regelmatig worden gevalideerd door middel van technische en niet-technische beveiligingsbeoordelingen;
                                 
                              
                                    iv)
                                 
                                 
                                    toegang tot niet-openbare informatie van de ECB wordt verleend overeenkomstig het “need-to-know”-beginsel, en bevoorrechte toegang wordt strikt beperkt en streng gecontroleerd;
                                 
                              
                                    v)
                                 
                                 
                                    controles om feitelijke en potentiële inbreuken op de beveiliging op te sporen en op te volgen.