CELEX: 32021D1486
Language: da
Date: 2021-09-07 00:00:00
Title: Den Europæiske Centralbanks afgørelse (EU) 2021/1486 af 7. september 2021 om vedtagelse af interne regler vedrørende begrænsninger af registreredes rettigheder i forbindelse med Den Europæiske Centralbanks opgaver vedrørende tilsyn med kreditinstitutter (ECB/2021/42)

16.9.2021   
               
               
                  DA
               
               
                  Den Europæiske Unions Tidende
               
               
                  L 328/15
               
            
         DEN EUROPÆISKE CENTRALBANKS AFGØRELSE (EU) 2021/1486
         af 7. september 2021
         om vedtagelse af interne regler vedrørende begrænsninger af registreredes rettigheder i forbindelse med Den Europæiske Centralbanks opgaver vedrørende tilsyn med kreditinstitutter (ECB/2021/42)
         DIREKTIONEN FOR DEN EUROPÆISKE CENTRALBANK HAR —
         under henvisning til traktaten om Den Europæiske Unions funktionsmåde,
         under henvisning til statutten for Det Europæiske System af Centralbanker og Den Europæiske Centralbank, særlig artikel 11.6,
         under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1), særlig artikel 25, og
         ud fra følgende betragtninger:
         
                     (1)
                  
                  
                     Den Europæiske Centralbank (ECB) udfører sine opgaver i overensstemmelse med traktaterne og Rådets forordning (EU) nr. 1024/2013 (2).
                  
               
                     (2)
                  
                  
                     I overensstemmelse med artikel 45, stk. 3, i forordning (EU) 2018/1725 er de generelle regler, der gennemfører forordning (EU) 2018/1725, for så vidt angår ECB, fastsat i Den Europæiske Centralbanks afgørelse (EU) 2020/655 (ECB/2020/28) (3). Navnlig fastsætter denne afgørelse reglerne for udnævnelsen af og rollen for den databeskyttelsesansvarlige i ECB, herunder den databeskyttelsesansvarliges hverv, opgaver og beføjelser.
                  
               
                     (3)
                  
                  
                     Ved udførelsen af de opgaver, der er overdraget til ECB, fungerer ECB og navnlig den pågældende organisatoriske enhed som dataansvarlig for så vidt som den, alene eller sammen med andre, afgør, til hvilket formål og med hvilke midler der må foretages behandling af personoplysninger.
                  
               
                     (4)
                  
                  
                     I henhold til artikel 4, stk. 1, i forordning (EU) nr. 1024/2013 har ECB enekompetence til med henblik på tilsyn og med henblik på at sikre kreditinstitutternes sikkerhed og soliditet og det finansielle systems stabilitet at udføre specifikke opgaver i forbindelse med alle de kreditinstitutter, der er etableret i de medlemsstater, der deltager i den fælles tilsynsmekanisme (Single Supervisory Mechanism, SSM).
                  
               
                     (5)
                  
                  
                     Ved udførelsen af disse specifikke opgaver behandler ECB flere kategorier af oplysninger, der kan være relateret til en identificeret eller identificerbar fysisk person, såsom identifikationsdata, kontaktoplysninger, erhvervsmæssige oplysninger, finansielle eller administrative oplysninger, data modtaget fra specifikke kilder, data om elektronisk kommunikation og elektroniske trafikdata, strafferegistre, en beskrivelse af finansielle og ikke-finansielle interesser, oplysninger om en persons eller dennes nære slægtninge til enheder under tilsyn eller medlemmer af ledelsesorganet i enheder under tilsyn samt data vedrørende den stilling, som en person er blevet udnævnt eller kan udnævnes til. Persondata kan også indgå i en vurdering, herunder en vurdering foretaget: med henblik på godkendelse af et kreditinstitut, inddragelse af et kreditinstituts tilladelse og en procedure til fastlæggelse af kvalificerede kapitalandele, i relation til etableringsretten for en signifikant enhed under tilsyn, for at fastslå, om kravene til egnethed og hæderlighed er opfyldt, i relation til aflønningspolitikkerne for en signifikant enhed under tilsyn og vedrørende en sådan enheds kredit til personer i ledende stillinger og personer, der har en tilknytning til sådanne personer, og i forbindelse med påstande om en eventuel manglende overholdelse af de retsakter, der er omhandlet i artikel 4, stk. 3, i forordning (EU) nr. 1024/2013.
                  
               
                     (6)
                  
                  
                     I forbindelse med udførelsen af disse specifikke opgaver er det ECB's hensigt at forfølge vigtige mål i almenhedens interesse i Unionen. Derfor bør udførelsen af sådanne opgaver sikres som omhandlet i forordning (EU) 2018/1725, særlig artikel 25, stk. 1, litra c) og g). Navnlig i forbindelse med udførelsen af sådanne opgaver handler ECB i offentlighedens interesse i Unionen som en offentlig myndighed, der med henblik på tilsyn har fået til opgave at udføre specifikke opgaver i forbindelse med alle de kreditinstitutter, der er etableret i de medlemsstater, der deltager i SSM. Disse opgaver omfatter overvågnings-, inspektions- eller reguleringsopgaver i forbindelse med udøvelsen af offentlig myndighed vedrørende tilsynet med kreditinstitutter.
                  
               
                     (7)
                  
                  
                     I den forbindelse er det hensigtsmæssigt at præcisere, på hvilket grundlag ECB kan begrænse registreredes rettigheder henset til de data, der er indhentet i forbindelse med udførelsen af ECB's tilsynsopgaver i henhold til forordning (EU) nr. 1024/2013.
                  
               
                     (8)
                  
                  
                     I overensstemmelse med artikel 25, stk. 1, i forordning (EU) 2018/1725 bør begrænsninger i anvendelsen af artikel 14-22, 35 og 36, og for så vidt bestemmelserne svarer til de rettigheder og forpligtelser, der er fastsat i artikel 14-22, forordningens artikel 4 fastsættes i interne regler eller retsakter vedtaget på grundlag af traktaterne. ECB bør derfor fastsætte regler for, hvorledes registreredes rettigheder kan begrænses i forbindelse med udførelsen af ECB's tilsynsopgaver.
                  
               
                     (9)
                  
                  
                     Denne afgørelse fastsætter reglerne for, hvorledes ECB kan begrænse registreredes rettigheder i forbindelse med dens udførelse af sine tilsynsopgaver, men Direktionen forventer at vedtage en separat afgørelse om vedtagelse af interne regler for begrænsninger af disse rettigheder, når ECB behandler personoplysninger i forbindelse med sin interne funktion.
                  
               
                     (10)
                  
                  
                     ECB kan anvende en undtagelse i henhold til forordning (EU) 2018/1725, som gør det unødvendigt at overveje en begrænsning, herunder navnlig de undtagelser, der er omhandlet i forordningens artikel 15, stk. 4, artikel 16, stk. 5, artikel 19, stk. 3, og artikel 35, stk. 3. Hvad angår behandling med henblik på arkivering i almenhedens interesse, videnskabelige eller historiske forskningsformål eller statistiske formål kan ECB anvende en undtagelse fastsat i artikel 16, stk. 5, litra b), eller artikel 19, stk. 3, litra d), i forordning (EU) 2018/1725.
                  
               
                     (11)
                  
                  
                     Udøvelsen af registreredes rettigheder som omhandlet i artikel 17, 18, 20, 21, 22 og 23 i forordning (EU) 2018/1725 kan umuliggøre eller i alvorlig grad hindre opfyldelsen af visse formål, herunder arkivering i almenhedens interesse, videnskabelige eller historiske forskningsformål eller statistiske formål. I denne afgørelse bør der derfor gives mulighed for en undtagelse fra disse rettigheder i overensstemmelse med artikel 25, stk. 3 eller 4, i forordning (EU) 2018/1725, med forbehold af de fornødne sikkerhedsforanstaltninger.
                  
               
                     (12)
                  
                  
                     ECB bør begrunde, hvorfor sådanne begrænsninger af registreredes rettigheder er strengt nødvendige og forholdsmæssige i et demokratisk samfund for at sikre de mål, der forfølges under udøvelsen af dens officielle myndighed og de dermed forbundne funktioner, og hvordan ECB respekterer kernen i de grundlæggende rettigheder og frihedsrettigheder, samtidig med at den pålægger en sådan begrænsning.
                  
               
                     (13)
                  
                  
                     Inden for disse rammer er ECB forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder, navnlig de, der vedrører retten til information, indsigt og berigtigelse, retten til sletning, begrænsning af behandling, retten til underretning af den registrerede om et brud på persondatasikkerheden eller fortroligheden af kommunikation som fastsat i forordning (EU) 2018/1725.
                  
               
                     (14)
                  
                  
                     ECB kan dog være forpligtet til at begrænse de oplysninger, der gives til registrerede, og registreredes rettigheder for at beskytte udførelsen af sine tilsynsopgaver, navnlig ECB's egne undersøgelser og procedurer, andre offentlige myndigheders undersøgelser og procedurer og andre personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med ECB's undersøgelser eller andre procedurer.
                  
               
                     (15)
                  
                  
                     ECB bør ophæve en restriktion, der allerede er blevet anvendt, i det omfang den ikke længere er nødvendig.
                  
               
                     (16)
                  
                  
                     ECB's databeskyttelsesansvarlige bør gennemgå anvendelsen af begrænsninger med henblik på at sikre overholdelse af denne afgørelse og forordning (EU) 2018/1725.
                  
               
                     (17)
                  
                  
                     Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 41, stk. 2, i forordning (EU) 2018/1725 og afgav en udtalelse den 12. marts 2021 —
                  
               VEDTAGET DENNE AFGØRELSE:
         
            Artikel 1
            Genstand og anvendelsesområde
            
               1.   I denne afgørelse fastsættes reglerne for ECB's begrænsning af de registreredes rettigheder, når ECB behandler personoplysninger opført i det centrale register i forbindelse med udførelsen af sine tilsynsopgaver i henhold til forordning (EU) nr. 1024/2013.
            
            
               2.   De registreredes rettigheder, som kan begrænses, er angivet i følgende artikler i forordning (EU) 2018/1725:
               
                           a)
                        
                        
                           Artikel 14 (gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder)
                        
                     
                           b)
                        
                        
                           Artikel 15 (oplysningspligt ved indsamling af personoplysninger hos den registrerede)
                        
                     
                           c)
                        
                        
                           Artikel 16 (oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede)
                        
                     
                           d)
                        
                        
                           Artikel 17 (den registreredes indsigtsret)
                        
                     
                           e)
                        
                        
                           Artikel 18 (ret til berigtigelse)
                        
                     
                           f)
                        
                        
                           Artikel 19 (ret til sletning (»ret til at blive glemt«))
                        
                     
                           g)
                        
                        
                           Artikel 20 (ret til begrænsning af behandling)
                        
                     
                           h)
                        
                        
                           Artikel 21 (underretningspligt i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling)
                        
                     
                           i)
                        
                        
                           Artikel 22 (ret til dataportabilitet)
                        
                     
                           j)
                        
                        
                           Artikel 35 (underretning om brud på persondatasikkerheden til den registrerede)
                        
                     
                           k)
                        
                        
                           Artikel 36 (fortrolighed af elektronisk kommunikation)
                        
                     
                           l)
                        
                        
                           Artikel 4 i det omfang, bestemmelserne svarer til de rettigheder og forpligtelser, der er fastsat i artikel 14-22 i forordning (EU) 2018/1725.
                        
                     
         
         
            Artikel 2
            Definitioner
            I denne afgørelse forstås ved:
            
                        1)
                     
                     
                        »behandling«: behandling som defineret i artikel 3, nr. 3), i forordning (EU) 2018/1725
                     
                  
                        2)
                     
                     
                        »personoplysninger«: personoplysninger som defineret i artikel 3, nr. 1), i forordning (EU) 2018/1725
                     
                  
                        3)
                     
                     
                        »den registrerede«: en identificeret eller identificerbar fysisk person. Ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet
                     
                  
                        4)
                     
                     
                        »centralt register«: det offentligt tilgængelige register over alle behandlingsaktiviteter vedrørende personoplysninger, der udføres i ECB, og som opbevares af ECB's databeskyttelsesansvarlige, jf. artikel 9 i afgørelse (EU) 2020/655 (ECB/2020/28)
                     
                  
                        5)
                     
                     
                        »dataansvarlig«: ECB og navnlig den kompetente organisatoriske enhed i ECB, der alene eller sammen med andre afgør, til hvilket formål og med hvilke midler der må foretages behandling af personoplysninger, og som er ansvarlig for behandlingen
                     
                  
                        6)
                     
                     
                        »EU-institutioner og -organer«: EU-institutioner og -organer som defineret i artikel 3, nr. 10), i forordning (EU) 2018/1725.
                     
                  
         
            Artikel 3
            Anvendelse af begrænsninger
            
               1.   Den dataansvarlige kan begrænse de i artikel 1, stk. 2, omhandlede rettigheder for at beskytte de interesser og mål, der er omhandlet i artikel 25, stk. 1, i forordning (EU) 2018/1725, navnlig hvis udøvelsen af disse rettigheder vil bringe følgende i fare eller på anden måde påvirke følgende negativt:
               
                           a)
                        
                        
                           udførelsen af ECB's tilsynsopgaver i henhold til forordning (EU) nr. 1024/2013, herunder tilsynsordningens korrekte funktion
                        
                     
                           b)
                        
                        
                           kreditinstitutternes sikkerhed og soliditet og stabiliteten i det finansielle system i Unionen og i de enkelte medlemsstater
                        
                     
                           c)
                        
                        
                           effektiviteten af indberetningen af overtrædelser i henhold til artikel 23 i forordning (EU) nr. 1024/2013.
                        
                     
            
               2.   For at beskytte de interesser og mål, der er omhandlet i artikel 25, stk. 1, i forordning (EU) 2018/1725, kan den dataansvarlige begrænse de rettigheder, der er omhandlet i artikel 1, stk. 2, hvad angår personoplysninger, der er indhentet fra andre EU-institutioner og -organer og kompetente myndigheder i medlemsstaterne eller tredjelande eller internationale organisationer, i følgende tilfælde:
               
                           a)
                        
                        
                           hvis udøvelsen af disse rettigheder kan begrænses af andre EU-institutioner og -organer, hvorfra personoplysningerne blev indsamlet, på grundlag af andre retsakter som omhandlet i artikel 25 i forordning (EU) 2018/1725 eller i overensstemmelse med kapitel IX i nævnte forordning eller med de grundlæggende retsakter for andre EU-institutioner og -organer
                        
                     
                           b)
                        
                        
                           hvis udøvelsen af disse rettigheder kan begrænses af de kompetente myndigheder i de medlemsstater, hvorfra personoplysningerne blev indsamlet, på grundlag af de retsakter, der er omhandlet i artikel 23 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 (4), eller i henhold til nationale foranstaltninger til gennemførelse af artikel 13, stk. 3, artikel 15, stk. 3, eller artikel 16, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (5)
                           
                        
                     
                           c)
                        
                        
                           hvis udøvelsen af disse rettigheder vil bringe i fare eller på anden måde negativt påvirke ECB's samarbejde med tredjelande eller internationale organisationer, hvorfra oplysningerne er indhentet, under udførelsen af dens opgaver, medmindre ECB's interesse i samarbejde tilsidesættes af de registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder.
                        
                     
            
               3.   Inden den dataansvarlige anvender en begrænsning i de tilfælde, der er omhandlet i stk. 2, litra a) og b), skal den dataansvarlige
               
                           a)
                        
                        
                           notere sig de ordninger, der er indgået med de relevante EU-institutioner og -organer eller med medlemsstaternes kompetente myndigheder, og
                        
                     
                           b)
                        
                        
                           høre de relevante EU-institutioner og -organer eller medlemsstaternes kompetente myndigheder, medmindre det er klart for den dataansvarlige, at anvendelsen af denne begrænsning er fastsat i en af de retsakter eller foranstaltninger, der er omhandlet i stk. 2, litra a) og b).
                        
                     
            
               4.   Den dataansvarlige må kun anvende en begrænsning, hvis denne efter en konkret vurdering konkluderer, at begrænsningen:
               
                           a)
                        
                        
                           er nødvendig og forholdsmæssig under hensyntagen til risiciene for den registreredes rettigheder og frihedsrettigheder
                        
                     
                           b)
                        
                        
                           respekterer kernen i de grundlæggende rettigheder og frihedsrettigheder i et demokratisk samfund.
                        
                     
            
               5.   Den dataansvarlige dokumenterer sin vurdering i et internt vurderingsnotat, som skal indeholde retsgrundlaget, begrundelserne for begrænsningen, de registreredes rettigheder, som er begrænset, de pågældende registrerede, nødvendigheden og proportionaliteten af begrænsningen og begrænsningens forventede varighed.
            
            
               6.   En afgørelse om at begrænse en registrerets rettigheder i henhold til denne afgørelse, der skal træffes af den dataansvarlige, træffes af det relevante forretningsområdes leder eller stedfortrædende leder, på hvis forretningsområde den væsentligste behandling, der involverer personoplysningerne, finder sted.
            
         
         
            Artikel 4
            Undtagelser
            
               1.   I forbindelse med behandling til videnskabelige eller historiske forskningsformål eller statistiske formål kan den dataansvarlige anvende undtagelser i overensstemmelse med artikel 25, stk. 3, i forordning (EU) 2018/1725. I den forbindelse kan den dataansvarlige fravige de rettigheder, der er omhandlet i artikel 17, 18, 20 og 23 i forordning (EU) 2018/1725, i overensstemmelse med betingelserne i forordningens artikel 25, stk. 3.
            
            
               2.   I forbindelse med behandling til arkivering i almenhedens interesse kan den dataansvarlige anvende undtagelser i overensstemmelse med artikel 25, stk. 4, i forordning (EU) 2018/1725. I den forbindelse kan den dataansvarlige fravige de rettigheder, der er omhandlet i artikel 17, 18, 20, 21, 22 og 23 i forordning (EU) 2018/1725, i overensstemmelse med betingelserne i forordningens artikel 25, stk. 4.
            
            
               3.   Sådanne undtagelser skal være omfattet af de fornødne sikkerhedsforanstaltninger i overensstemmelse med artikel 13 i forordning (EU) 2018/1725 og artikel 8 i denne afgørelse.
            
         
         
            Artikel 5
            Generelle oplysninger om begrænsninger
            Den dataansvarlige giver generelle oplysninger om den eventuelle begrænsning af registreredes rettigheder som følger:
            
                        a)
                     
                     
                        den dataansvarlige præciserer de rettigheder, der kan begrænses, årsagerne til begrænsningen og den eventuelle varighed
                     
                  
                        b)
                     
                     
                        den dataansvarlige medtager de oplysninger, der er omhandlet i litra a), i sine databeskyttelsesmeddelelser, -erklæringer og fortegnelser over behandlingsaktiviteter, jf. artikel 31 i forordning (EU) 2018/1725.
                     
                  
         
            Artikel 6
            Begrænsning af registreredes indsigtsret, ret til berigtigelse, ret til sletning eller begrænsning af behandling
            
               1.   Hvis den dataansvarlige helt eller delvist begrænser indsigtsretten, retten til berigtigelse, retten til sletning eller retten til begrænsning af behandling, jf. henholdsvis artikel 17, artikel 18, artikel 19, stk. 1, og artikel 20, stk. 1, i forordning (EU) 2018/1725, underretter denne inden for den frist, der er omhandlet i artikel 11, stk. 5, i afgørelse (EU) 2020/655 (ECB/2020/28), i sit skriftlige svar på anmodningen den pågældende registrerede om den anvendte begrænsning, de vigtigste begrundelser for begrænsningen og muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller for at indbringe sagen for Den Europæiske Unions Domstol.
            
            
               2.   Den dataansvarlige opbevarer det interne vurderingsnotat, der er omhandlet i artikel 3, stk. 5, og, hvor det er relevant, de dokumenter, der indeholder underliggende faktuelle og retlige forhold, og stiller dem efter anmodning til rådighed for Den Europæiske Tilsynsførende for Databeskyttelse.
            
            
               3.   Den dataansvarlige kan udsætte, undlade eller nægte at give oplysninger om årsagerne til den begrænsning, der er omhandlet i stk. 1, så længe denne videregivelse af oplysninger undergraver formålet med begrænsningen. Så snart den dataansvarlige fastslår, at videregivelse af oplysningerne ikke længere undergraver formålet med begrænsningen, fremsender den dataansvarlige disse oplysninger til den registrerede.
            
         
         
            Artikel 7
            Begrænsningernes varighed
            
               1.   Den dataansvarlige ophæver en begrænsning, så snart de omstændigheder, der begrundede begrænsningen, ikke længere gør sig gældende.
            
            
               2.   Hvis den dataansvarlige ophæver en begrænsning i henhold til stk. 1, skal den dataansvarlige straks:
               
                           a)
                        
                        
                           i det omfang det ikke allerede er sket, underrette den registrerede om de vigtigste begrundelser, som anvendelsen af en begrænsning er baseret på
                        
                     
                           b)
                        
                        
                           underrette den registrerede om den pågældendes ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller til at indbringe sagen for Den Europæiske Unions Domstol
                        
                     
                           c)
                        
                        
                           tildele den registrerede den ret, der var omfattet af den ophævede begrænsning.
                        
                     
            
               3.   Den dataansvarlige vurderer hver sjette måned på ny behovet for at opretholde en begrænsning, der anvendes i henhold til denne afgørelse, og dokumenterer sin fornyede vurdering i et internt vurderingsnotat.
            
         
         
            Artikel 8
            Beskyttelsesforanstaltninger
            ECB anvender de organisatoriske og tekniske sikkerhedsforanstaltninger, der er fastsat i bilaget, for at forhindre misbrug eller ulovlig adgang eller overførsel.
         
         
            Artikel 9
            Den databeskyttelsesansvarliges gennemgang
            
               1.   Hvis den dataansvarlige begrænser anvendelsen af en registrerets rettigheder, skal denne løbende inddrage den databeskyttelsesansvarlige. Følgende finder navnlig anvendelse:
               
                           a)
                        
                        
                           den dataansvarlige hører uden unødigt ophold den databeskyttelsesansvarlige
                        
                     
                           b)
                        
                        
                           den dataansvarlige giver på den databeskyttelsesansvarliges anmodning adgang til alle dokumenter, der indeholder underliggende faktuelle og retlige forhold, herunder det interne vurderingsnotat omhandlet i artikel 3, stk. 5
                        
                     
                           c)
                        
                        
                           den dataansvarlige dokumenterer, hvordan den databeskyttelsesansvarlige var involveret, herunder relevante oplysninger, der blev delt, navnlig datoen for den første høring af denne som omhandlet i litra a)
                        
                     
                           d)
                        
                        
                           den databeskyttelsesansvarlige kan anmode den dataansvarlige om at gennemgå begrænsningen
                        
                     
                           e)
                        
                        
                           den dataansvarlige underretter uden unødigt ophold skriftligt den databeskyttelsesansvarlige om resultatet af den gennemgang, der anmodes om, og under alle omstændigheder inden en begrænsning anvendes.
                        
                     
            
               2.   Den dataansvarlige underretter den databeskyttelsesansvarlige, når begrænsningen er blevet ophævet.
            
         
         
            Artikel 10
            Ikrafttrædelse
            Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
         
         
            Udfærdiget i Frankfurt am Main, den 7. september 2021.
            
               Christine LAGARDE
               
                  Formand for ECB
               
            
         
         
            (1)  EUT L 295 af 21.11.2018, s. 39.
         
            (2)  Rådets forordning (EU) nr. 1024/2013 af 15. oktober 2013 om overdragelse af specifikke opgaver til Den Europæiske Centralbank i forbindelse med politikker vedrørende tilsyn med kreditinstitutter (EUT L 287 af 29.10.2013, s. 63).
         
            (3)  Den Europæiske Centralbanks afgørelse (EU) 2020/655 af 5. maj 2020 om vedtagelse af gennemførelsesbestemmelser vedrørende databeskyttelse i Den Europæiske Centralbank og om ophævelse af afgørelse ECB/2007/1 (ECB/2020/28) (EUT L 152 af 15.5.2020, s. 13).
         
            (4)  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).
         
            (5)  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89).
      
      
         
            BILAG
            De organisatoriske og tekniske sikkerhedsforanstaltninger i ECB for at forhindre misbrug eller ulovlig adgang eller overførsel omfatter:
            
                        a)
                     
                     
                        for så vidt angår personer:
                        
                                    i)
                                 
                                 
                                    alle personer, der har adgang til ikke-offentlige oplysninger fra ECB, og som er ansvarlige for at kende og anvende ECB's politik og regler for forvaltning og fortrolighed af oplysninger
                                 
                              
                                    ii)
                                 
                                 
                                    en sikkerhedsgodkendelsesprocedure, der sikrer, at kun nøje kontrollerede og bemyndigede personer har adgang til ECB's område og ECB's ikke-offentlige oplysninger
                                 
                              
                                    iii)
                                 
                                 
                                    IT-foranstaltninger, informationsforanstaltninger og fysiske sikkerhedsbevidstgørelsesforanstaltninger
                                 
                              
                                    iv)
                                 
                                 
                                    kurser, som regelmæssigt afholdes for medarbejdere og eksterne tjenesteudbydere
                                 
                              
                                    v)
                                 
                                 
                                    ansatte i ECB, som i henhold til ECB's ansættelsesvilkår og personaleregler er underlagt strenge regler om tavshedspligt, der i tilfælde af overtrædelse giver anledning til disciplinære sanktioner
                                 
                              
                                    vi)
                                 
                                 
                                    regler og forpligtelser vedrørende eksterne tjenesteyderes eller kontrahenters adgang til ikke-offentlige oplysninger fra ECB, som er fastsat i kontraktlige aftaler
                                 
                              
                                    vii)
                                 
                                 
                                    adgangskontrol, herunder inddeling i sikkerhedszoner, som håndhæves og sikrer, at personers adgang til ECB's ikke-offentlige oplysninger er tilladt og begrænset på grundlag af forretningsmæssige behov og sikkerhedskrav
                                 
                              
                  
                        b)
                     
                     
                        for så vidt angår processer:
                        
                                    i)
                                 
                                 
                                    processer, der er indført for at sikre kontrolleret gennemførelse, drift og vedligeholdelse af IT-applikationer, der understøtter ECB's virksomhed
                                 
                              
                                    ii)
                                 
                                 
                                    anvendelse af IT-applikationer til ECB's forretninger, som er i overensstemmelse med ECB's sikkerhedsstandarder
                                 
                              
                                    iii)
                                 
                                 
                                    at have et omfattende fysisk sikkerhedsprogram i drift, som løbende vurderer sikkerhedstrusler og omfatter fysiske sikkerhedsforanstaltninger for at sikre et tilstrækkeligt beskyttelsesniveau
                                 
                              
                  
                        c)
                     
                     
                        for så vidt angår teknologi:
                        
                                    i)
                                 
                                 
                                    alle elektroniske data, der lagres i IT-applikationer, som opfylder ECB's sikkerhedsstandarder og således beskyttes mod uautoriseret adgang eller ændring
                                 
                              
                                    ii)
                                 
                                 
                                    IT-applikationer, der implementeres, drives og vedligeholdes på et sikkerhedsniveau, der står i et rimeligt forhold til IT-applikationernes behov for fortrolighed, integritet og tilgængelighed, og som er baseret på forretningsmæssige konsekvensanalyser
                                 
                              
                                    iii)
                                 
                                 
                                    sikkerhedsniveauet for IT-applikationer, der regelmæssigt valideres ved hjælp af tekniske og ikke-tekniske sikkerhedsvurderinger
                                 
                              
                                    iv)
                                 
                                 
                                    adgang til ikke-offentlige oplysninger fra ECB gives i overensstemmelse med »need-to-know«-princippet, og privilegeret adgang er strengt begrænset og nøje kontrolleret
                                 
                              
                                    v)
                                 
                                 
                                    kontroller, der gennemføres for at opdage og følge op på faktiske og potentielle sikkerhedsbrud.