Articolul text
Text integral
DECIZIA AUTORITĂȚII BANCARE EUROPENE din 23 aprilie 2021 de stabilire a normelor interne referitoare la restricționarea anumitor drepturi ale persoanelor vizate în ceea ce privește prelucrarea datelor cu caracter personal în cadrul funcționării Autorității Bancare Europene (2021/C 196/06) CONSILIUL DE ADMINISTRAȚIE având în vedere Tratatul privind funcționarea Uniunii Europene, având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (1), în special articolul 25, având în vedere Regulamentul (UE) nr. 1093/2010 al Parlamentului European și al Consiliului din 24 noiembrie 2010 de instituire a Autorității europene de supraveghere (Autoritatea Bancară Europeană), de modificare a Deciziei nr. 716/2009/CE și de abrogare a Deciziei 2009/78/CE a Comisiei (2), în special articolul 47 alineatul (1) și articolul 71, întrucât: ADOPTĂ PREZENTA DECIZIE: Articolul 1 Obiect și domeniu de aplicare 1. Prezenta decizie stabilește normele interne referitoare la condițiile în care ABE, în cadrul activităților sale prevăzute la alineatele (2)-(5), poate restricționa aplicarea drepturilor menționate la articolele 14-21 și 35, precum și la articolul 4, cu respectarea articolului 25 din Regulamentul (UE) 2018/1725. Aceste restricții nu aduc atingere excepțiilor privind drepturile persoanelor vizate, specificate în Regulamentul (UE) 2018/1725. 2. În cadrul funcționării administrative a ABE, restricțiile prevăzute la alineatul (1) se aplică prelucrării datelor cu caracter personal de către ABE, în următoarele scopuri: 3. În cadrul exercitării misiunilor ABE, restricțiile prevăzute la alineatul (1) se aplică prelucrării datelor cu caracter personal de către ABE, în oricare dintre următoarele scopuri: 4. În plus, aceste restricții se aplică asistenței, coordonării și/sau cooperării asigurate de ABE în beneficiul autorităților competente definite la articolul 4 alineatul (2) din Regulamentul (UE) nr. 1093/2010, inclusiv autorităților din țări terțe, și organizațiilor internaționale în contextul investigațiilor desfășurate pentru exercitarea misiunilor legale ale acestora. 5. Restricțiile menționate la alineatul (1) se aplică și operațiunilor de prelucrare efectuate înaintea deschiderii investigațiilor sau a altor anchete administrative menționate la alineatele (2)-(4), pe durata acestor investigații, precum și pe durata monitorizării măsurilor luate în urma rezultatelor acestor investigații. 6. Prezenta decizie se aplică oricărei categorii de date cu caracter personal prelucrate în contextul activităților prezentate la alineatele (2)-(5). 7. Sub rezerva condițiilor prevăzute în prezenta decizie, restricțiile se pot aplica următoarelor drepturi: dreptul de furnizare de informații persoanelor vizate, dreptul de acces și de rectificare, dreptul de ștergere a datelor, de restricționare a prelucrării lor și dreptul de comunicare a unei încălcări a securității datelor cu caracter personal către persoana vizată. Articolul 2 Operatorul responsabil cu investigațiile și garanțiile aplicabile 1. Garanțiile instituite pentru a preveni utilizările abuzive sau accesul ori transferul ilegal în contextul investigațiilor menționate la articolul 1 sunt următoarele: 2. Operatorul pentru operațiunile de prelucrare este ABE, reprezentată de directorul său executiv. Persoanele vizate sunt informate cu privire la operatorul delegat prin intermediul evidențelor privind protecția datelor publicate pe site-ul ABE. 3. Perioada de păstrare a datelor cu caracter personal nu este mai mare decât este necesar și adecvat îndeplinirii scopurilor în care sunt prelucrate datele. Perioada de păstrare este specificată în evidențele privind protecția datelor și în declarațiile de confidențialitate menționate la articolul 5 alineatul (1). 4. În cazul în care se are în vedere aplicarea unei restricții, ABE apreciază riscul față de drepturile și libertățile persoanei vizate, în special în raport cu riscul față de drepturile și libertățile altor persoane vizate și cu riscul de anulare a efectului investigațiilor sau al procedurilor ABE, de exemplu prin distrugerea probelor. Riscurile față de drepturile și libertățile persoanei vizate privesc, în primul rând, dar fără a se limita la acestea, riscurile de imagine și riscurile față de dreptul la apărare și dreptul de a fi ascultat. Articolul 3 Restricții 1. În temeiul articolului 25 alineatul (1) din Regulamentul (UE) 2018/1725, ABE aplică restricții numai pentru a garanta: 2. În aplicarea specifică a scopurilor descrise la alineatul (1) de mai sus, ABE poate aplica restricții în legătură cu datele cu caracter personal care fac obiectul schimburilor cu serviciile Comisiei sau cu alte instituții, organe, agenții și oficii ale Uniunii, cu autoritățile competente ale statelor membre sau ale țărilor terțe ori cu organizațiile internaționale, într-una sau în mai multe dintre următoarele situații: Înainte de a aplica restricții în situațiile menționate la alineatul (1) literele (a) și (b), ABE consultă serviciile relevante ale Comisiei, instituțiile, organele, agențiile și oficiile Uniunii sau autoritățile competente ale statelor membre, cu excepția cazului în care ABE are certitudinea că aplicarea unei restricții este prevăzută de unul dintre actele menționate la literele respective. 3. Orice restricție trebuie să fie necesară și proporțională având în vedere riscurile față de drepturile și libertățile persoanelor vizate și să respecte esența drepturilor și libertăților fundamentale într-o societate democratică. 4. Dacă se are în vedere aplicarea restricției, se efectuează un test de necesitate și proporționalitate pe baza prezentelor norme. Acesta este documentat, de la caz la caz, printr-o notă de evaluare internă în scopul asigurării răspunderii. 5. Restricțiile sunt ridicate imediat ce situațiile care le justifică nu se mai aplică, în special, în cazul în care se consideră că exercitarea dreptului restricționat nu ar mai anula efectul restricției impuse sau nu ar mai afecta negativ drepturile sau libertățile altor persoane vizate. Articolul 4 Reexaminarea de către responsabilul cu protecția datelor 1. Operatorul informează responsabilul cu protecția datelor, fără întârzieri nejustificate, ori de câte ori operatorul intenționează să restricționeze aplicarea drepturilor persoanelor vizate sau prelungește restricția, în conformitate cu prezenta decizie. Operatorul asigură accesul responsabilului cu protecția datelor la nota internă care conține evaluarea necesității și a proporționalității restricției, precum și, dacă este cazul, la elementele de fapt și de drept care stau la baza acesteia, și consemnează data informării responsabilului. 2. RPD poate solicita operatorului, în scris, reexaminarea aplicării restricțiilor. Operatorul informează RPD, în scris, cu privire la rezultatul reexaminării solicitate. 3. Operatorul informează RPD atunci când restricția a fost ridicată. 4. Operatorul consemnează implicarea RPD în diferitele etape ale procesului, începând cu data informării RPD. 5. Nota internă și, dacă este cazul, elementele de fapt și de drept care stau la baza acesteia, se pun la dispoziția Autorității Europene pentru Protecția Datelor, la cerere. Articolul 5 Furnizarea de informații către persoana vizată 1. ABE publică pe site-ul său evidențe privind protecția datelor prin care toate persoanele vizate sunt informate cu privire la activitățile sale care implică prelucrarea de date cu caracter personal, inclusiv informații legate de eventuala restricționare a drepturilor persoanelor vizate, în temeiul articolului 3 din prezenta decizie. Informațiile se referă la drepturile care pot fi restricționate, la motivele pentru care se pot aplica restricții și la durata potențială a acestora. 2. ABE informează fiecare persoană vizată în parte, care este considerată persoană interesată în investigație sau anchetă, cu privire la evidențele privind protecția datelor legate de anumite operațiuni de prelucrare avute în vedere, fără întârzieri nejustificate și în scris. 3. În cazurile justificate corespunzător și în condițiile specificate în această decizie, ABE poate restricționa, integral sau parțial, furnizarea de informații către persoanele vizate menționate la alineatul (2). În acest caz, consemnează într-o notă internă motivele restricției, temeiul juridic în conformitate cu articolul 3 din prezenta decizie, în care include o evaluare a necesității și proporționalității restricției. 4. Restricția menționată la alineatul (3) din prezenta decizie continuă să se aplice atât timp cât motivele care o justifică rămân aplicabile. În cazul în care motivele restricției nu se mai aplică, ABE informează persoana vizată în cauză cu privire la evidența de protecție a datelor corespunzătoare și cu privire la principalele motive ale restricției. Această informare poate fi combinată cu invitația de a prezenta observații cu privire la constatările din investigația sau ancheta în curs, pentru exercitarea dreptului la apărare al persoanei vizate în cauză. În același timp, ABE informează persoana vizată în cauză cu privire la dreptul de a depune plângere la Autoritatea Europeană pentru Protecția Datelor în orice moment sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene. ABE reexaminează aplicarea restricției o dată la șase luni de la adoptarea ei, precum și la închiderea anchetei sau investigației relevante. Articolul 6 Dreptul de acces al persoanei vizate 1. În urma unei cereri a persoanei vizate, ABE poate restricționa, integral sau parțial, dreptul persoanei vizate de a obține confirmarea prelucrării de către ABE a datelor cu caracter personal care o privesc, în contextul unei investigații sau al unei anchete menționate la articolul 1 din prezenta decizie, și, în caz afirmativ, poate restricționa dreptul de acces la aceste date și la alte informații menționate la articolul 17 din Regulamentul (UE) 2018/1725. 2. În cazul în care se restricționează dreptul de acces, ABE informează persoana vizată – în răspunsul său la cererea acesteia – cu privire la restricția aplicată și la principalele motive ale acesteia, precum și cu privire la posibilitatea de a depune plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene. 3. Furnizarea informațiilor menționate la alineatul (2) poate fi amânată, omisă sau refuzată, dacă ar anula efectul restricției impuse, în conformitate cu articolul 25 alineatul (8) din Regulamentul (UE) 2018/1725. Dacă este cazul, ABE consemnează într-o notă de evaluare internă motivele restricționării, inclusiv o evaluare a necesității și proporționalității restricției, și durata acesteia. 4. ABE reexaminează aplicarea restricției o dată la șase luni de la adoptarea ei, precum și la închiderea anchetei sau investigației relevante. Articolul 7 Dreptul de a rectifica și a șterge datele și dreptul de a restricționa prelucrarea lor 1. În urma unei cereri a persoanei vizate, ABE, în contextul unei investigații sau al unei anchete menționate la articolul 1 din această decizie, poate restricționa, integral sau parțial, dreptul persoanei vizate de a obține rectificarea datelor cu caracter personal care o privesc, de a șterge sau de a restricționa prelucrarea lor, astfel cum se prevede la articolele 18, 19 și 20 din Regulamentul (UE) 2018/1725. 2. În cazul în care se restricționează aplicarea dreptului de a rectifica și de a șterge datele sau a dreptului de a restricționa prelucrarea lor, menționate mai sus, ABE ia măsurile stabilite la articolul 6 alineatul (2) și le consemnează în conformitate cu articolul 6 alineatul (3). 3. ABE reexaminează aplicarea restricției o dată la șase luni de la adoptarea ei, precum și la închiderea anchetei sau investigației relevante. Articolul 8 Informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal 1. ABE informează persoana vizată în cauză cu privire la încălcarea securității datelor cu caracter personal, fără întârzieri nejustificate, în cazul în care încălcarea securității datelor cu caracter personal poate să ducă la un risc mare la adresa drepturilor și libertăților persoanelor fizice, astfel cum se prevede la articolul 35 din Regulamentul (UE) 2018/1725. 2. În cazurile justificate corespunzător și în condițiile specificate în această decizie, ABE poate restricționa, integral sau parțial, furnizarea de informații către persoanele vizate menționate la alineatul (1) din acest articol. În acest caz, consemnează într-o notă internă motivele restricției, temeiul juridic în conformitate cu articolul 3 din prezenta decizie, în care include o evaluare a necesității și proporționalității restricției. 3. Restricția menționată la alineatul (2) continuă să se aplice atât timp cât motivele care o justifică rămân aplicabile. În cazul în care motivele restricției nu se mai aplică, ABE informează persoana vizată în cauză cu privire la încălcarea securității datelor cu caracter personal și cu privire la principalele motive ale restricției. În același timp, ABE informează persoana vizată în cauză cu privire la dreptul de a depune plângere la Autoritatea Europeană pentru Protecția Datelor în orice moment sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene. ABE reexaminează aplicarea restricției o dată la șase luni de la adoptarea ei, precum și la închiderea anchetei sau investigației relevante. Articolul 9 Intrarea în vigoare Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene. Adoptată la Paris, 23 aprilie 2021. Pentru Consiliul de administrație José Manuel CAMPA Președinte (1) . JO L 295, 21.11.2018, p. 39. (2) . JO L 331, 15.12.2010, p. 12.