Recitale
(1)
Banca Centrală Europeană (BCE) și fiecare autoritate națională competentă (ANC) formează împreună mecanismul unic de supraveghere (MUS). BCE și ANC îndeplinesc atribuții de supraveghere legate de supravegherea prudențială a instituțiilor de credit în temeiul Regulamentului (UE) nr. 1024/2013. Atunci când îndeplinesc aceste atribuții de supraveghere, BCE și ANC pot prelucra date cu caracter personal.
(2)
Atunci când prelucrează date cu caracter personal în îndeplinirea atribuțiilor de supraveghere, BCE și ANC stabilesc în comun scopurile și mijloacele de prelucrare. Stabilirea în comun a scopurilor prelucrării datelor cu caracter personal are loc ca urmare a organizării activității în cadrul MUS, care implică cooperarea dintre BCE și ANC.
(3)
Prin urmare, BCE și fiecare ANC trebuie considerate operatori asociați în sensul articolului 28 alineatul (1) din Regulamentul (UE) 2018/1725, în ceea ce privește BCE, și al articolului 26 alineatul (1) din Regulamentul (UE) 2016/679, în ceea ce privește ANC, în legătură cu operațiunile de prelucrare a datelor cu caracter personal efectuate în îndeplinirea atribuțiilor de supraveghere.
(4)
Articolul 28 alineatul (1) din Regulamentul (UE) 2018/1725 și articolul 26 alineatul (1) din Regulamentul (UE) 2016/679 prevăd că operatorii asociați trebuie să stabilească, prin intermediul unui acord între ei, responsabilitățile fiecăruia în ceea ce privește îndeplinirea obligațiilor care le revin în temeiul Regulamentului (UE) 2018/1725 și, respectiv, al Regulamentului (UE) 2016/679. În interesul funcționării eficace și consecvente a MUS pentru care BCE este responsabilă în temeiul articolului 6 alineatul (1) din Regulamentul (UE) nr. 1024/2013, precum și al transparenței și al securității juridice, este oportun ca un astfel de acord să fie instituit printr-o decizie a BCE adoptată în consultare cu ANC în conformitate cu articolul 6 alineatele (1) și (7) din Regulamentul (UE) nr. 1024/2013.
(5)
Operatorii asociați ar trebui să prelucreze datele cu caracter personal în scopul îndeplinirii următoarelor atribuții de supraveghere: (a) procedurile de evaluare a competenței și onorabilității privind entitățile supravegheate semnificative; (b) procedurile de autorizare; (c) supravegherea continuă a entităților supravegheate semnificative; (d) asigurarea respectării normelor și aplicarea de sancțiuni, cu excluderea anumitor proceduri specifice; (e) efectuarea de inspecții la fața locului la entitățile supravegheate semnificative; (f) monitorizarea supravegherii entităților supravegheate mai puțin semnificative; și (g) supravegherea entităților supravegheate mai puțin semnificative.
(6)
În cazul în care datele cu caracter personal sunt prelucrate în contextul procedurilor prevăzute la articolul 18 alineatul (5) din Regulamentul (UE) nr. 1024/2013 din momentul în care BCE notifică ANC că solicită ANC să inițieze proceduri; în contextul procedurilor prevăzute la articolul 136 din Regulamentul (UE) nr. 468/2014 al Băncii Centrale Europene (BCE/2014/17) (4) din momentul în care BCE notifică ANC solicitarea sa; și în cazul în care există un temei juridic pentru prelucrarea datelor cu caracter personal diferit de Regulamentul (UE) nr. 1024/2013, fiecare ANC ar trebui să fie operator unic. Pentru orice prelucrare a datelor cu caracter personal în legătură cu raportările privind încălcări ale dreptului Uniunii sau ale dreptului intern referitoare la supravegherea prudențială a instituțiilor de credit transmise prin intermediul mecanismului de avertizare de integritate al BCE sau al unei ANC, BCE sau, respectiv, ANC ar trebui să fie operator unic.
(7)
Pentru a respecta articolul 28 alineatul (2) din Regulamentul (UE) 2018/1725 și articolul 26 alineatul (2) din Regulamentul (UE) 2016/679, prezenta decizie ar trebui să stabilească rolurile și relațiile respective ale operatorilor asociați cu persoanele vizate și să reglementeze modul în care operatorii asociați trebuie să pună principalele prevederi ale acordului la dispoziția persoanelor vizate.
(8)
Organizarea activității în cadrul MUS implică faptul că, de regulă, numai doi sau mai mulți operatori asociați îndeplinesc o atribuție de supraveghere în legătură cu o entitate supravegheată și efectuează operațiunile conexe de prelucrare a datelor cu caracter personal. Prin urmare, este oportun ca la stabilirea responsabilităților respective ale operatorilor asociați în temeiul articolului 28 alineatul (1) din Regulamentul (UE) 2018/1725 sau al articolului 26 alineatul (1) din Regulamentul (UE) 2016/679 să se țină seama de operatorii asociați care îndeplinesc atribuția specifică de supraveghere în legătură cu o entitate supravegheată. Această abordare pentru stabilirea responsabilităților respective ale operatorilor asociați este deosebit de relevantă în contextul furnizării de informații persoanei vizate, al soluționării cererilor persoanelor vizate și al notificării autorităților de supraveghere cu privire la încălcările securității datelor cu caracter personal referitoare la datele cu caracter personal prelucrate de respectivul operator asociat.
(9)
Încălcările securității datelor cu caracter personal ar trebui gestionate de operatorul asociat responsabil. În cazul puțin probabil în care operatorul asociat responsabil nu poate fi identificat rapid, toți operatorii asociați ar trebui să fie responsabili de gestionarea încălcării securității datelor cu caracter personal. Într-un astfel de caz, este oportun ca toți operatorii asociați să se coordoneze în vederea îndeplinirii obligațiilor lor respective de notificare către autoritatea de supraveghere și a obligațiilor lor de comunicare către persoana vizată în temeiul Regulamentului (UE) 2018/1725 sau al Regulamentului (UE) 2016/679. În cazul în care o încălcare a securității datelor cu caracter personal este comunicată persoanei vizate, este necesar ca acest lucru să se facă în mod eficace pentru a fi evitate comunicările multiple sau inconsecvente. BCE ar trebui să notifice întotdeauna Autorității Europene pentru Protecția Datelor toate încălcările securității datelor cu caracter personal, cu excepția cazului în care este puțin probabil ca încălcarea securității datelor cu caracter personal să genereze un risc pentru drepturile și libertățile persoanelor fizice.
(10)
Fiecare operator asociat ar trebui să rămână responsabil individual pentru păstrarea unei evidențe a activităților de prelucrare care intră în responsabilitatea sa; stabilirea perioadelor pentru care vor fi stocate datele cu caracter personal; luarea deciziei de a impune restricții în privința exercitării drepturilor persoanelor vizate, atunci când acest lucru este necesar și proporțional, sau aplicarea oricărei excepții în temeiul articolului 16 alineatul (5) din Regulamentul (UE) 2018/1725 sau al articolului 14 alineatul (5) din Regulamentul (UE) 2016/679; identificarea și evaluarea legalității, necesității și proporționalității transferurilor de date cu caracter personal către o țară terță sau o organizație internațională; și implicarea persoanelor împuternicite de operatori care prelucrează date cu caracter personal în numele său.
(11)
Operatorii asociați sunt răspunzători pentru prejudiciul suferit ca urmare a unei încălcări a Regulamentului (UE) 2018/1725 sau, respectiv, a Regulamentului (UE) 2016/679, în conformitate cu articolul 65 din Regulamentul (UE) 2018/1725, în ceea ce privește BCE, și cu articolul 82 din Regulamentul (UE) 2016/679, în ceea ce privește fiecare ANC. Fiecare dintre operatorii asociați este răspunzător în solidar față de persoanele vizate și, prin urmare, trebuie reglementat modul în care despăgubirile plătite ar trebui repartizate între operatorii asociați.
(12)
Prezenta decizie nu ar trebui să aducă atingere aplicabilității altor acte juridice ale Uniunii care stabilesc norme privind transmiterea informațiilor în materie de supraveghere deținute de BCE către instituțiile și organele Uniunii, precum și către instanțele și autoritățile naționale și internaționale,
Articolul 1
Obiect și domeniu de aplicare
(1) Prezenta decizie stabilește repartizarea rolurilor și responsabilităților respective între operatorii asociați, și anume BCE și ANC, pentru respectarea Regulamentului (UE) 2018/1725, în ceea ce privește BCE, și a Regulamentului (UE) 2016/679, în ceea ce privește ANC, atunci când prelucrează date cu caracter personal în îndeplinirea atribuțiilor de supraveghere enumerate la alineatul (2).
(2) Prezenta decizie se aplică prelucrării datelor cu caracter personal în îndeplinirea următoarelor atribuții de supraveghere: (a) procedurile de evaluare a competenței și onorabilității privind entitățile supravegheate semnificative; (b) procedurile de autorizare; (c) supravegherea continuă a entităților supravegheate semnificative; (d) asigurarea respectării normelor și aplicarea de sancțiuni, excluzând prelucrarea datelor cu caracter personal de către ANC care acționează în temeiul articolului 18 alineatul (5) din Regulamentul (UE) nr. 1024/2013 din momentul în care BCE notifică ANC că solicită ANC să inițieze proceduri, precum și procedurile prevăzute de articolul 136 din Regulamentul (UE) nr. 468/2014 (BCE/2014/17) din momentul în care BCE notifică ANC solicitarea sa; (e) inspecții la fața locului ale entităților supravegheate semnificative; (f) monitorizarea supravegherii entităților supravegheate mai puțin semnificative; (g) supravegherea entităților supravegheate mai puțin semnificative. Pentru fiecare atribuție de supraveghere, obiectul, natura și scopul prelucrării, temeiul juridic al prelucrării, persoanele vizate în cauză și categoriile de date cu caracter personal prelucrate sunt stabilite în anexe.
(3) Prezenta decizie nu se aplică prelucrării datelor cu caracter personal în legătură cu raportările privind încălcări ale dreptului Uniunii sau ale dreptului intern referitoare la supravegherea prudențială a instituțiilor de credit transmise prin intermediul mecanismului de avertizare de integritate al BCE sau al unei ANC. Regulamentul nu se aplică nici în cazul în care ANC prelucrează date cu caracter personal pe baza unui alt temei juridic decât Regulamentul (UE) nr. 1024/2013.
(4) Prezenta decizie nu aduce atingere altor acte juridice ale Uniunii care stabilesc norme privind transmiterea informațiilor în materie de supraveghere deținute de BCE către instituțiile și organele Uniunii, precum și către instanțele și autoritățile naționale și internaționale.
Articolul 2
Definiții
În sensul prezentei decizii, se aplică definițiile cuprinse în Regulamentul (UE) nr. 1024/2013 și în Regulamentul (UE) nr. 468/2014 (BCE/2014/17), cu excepția cazului în care se prevede altfel, concomitent cu următoarele definiții:
1. „prelucrare” înseamnă prelucrare astfel cum este definită la articolul 3 punctul 3 din Regulamentul (UE) 2018/1725 sau la articolul 4 punctul 2 din Regulamentul (UE) 2016/679;
2. „date cu caracter personal” înseamnă date cu caracter personal astfel cum sunt definite la articolul 3 punctul 1 din Regulamentul (UE) 2018/1725 sau la articolul 4 punctul 1 din Regulamentul (UE) 2016/679;
3. „autoritate națională competentă” (ANC) înseamnă o autoritate națională competentă astfel cum este definită la articolul 2 punctul 9 din Regulamentul (UE) nr. 468/2014 (BCE/2014/17);
4. „atribuție de supraveghere” înseamnă o atribuție conferită BCE în temeiul articolului 4 alineatele (1) și (2) și îndeplinită în cadrul stabilit de articolului 6 din Regulamentul (UE) nr. 1024/2013;
5. „operator” înseamnă un operator astfel cum este definit la articolul 3 punctul 8 din Regulamentul (UE) 2018/1725 sau la articolul 4 punctul 7 din Regulamentul (UE) 2016/679;
6. „operator asociat” înseamnă un operator asociat în sensul articolului 28 alineatul (1) din Regulamentul (UE) 2018/1725 sau al articolului 26 alineatul (1) din Regulamentul (UE) 2016/679;
7. „persoană împuternicită de operator” înseamnă o persoană împuternicită de operator astfel cum este definită la articolul 3 punctul 12 din Regulamentul (UE) 2018/1725 sau la articolul 4 punctul 8 din Regulamentul (UE) 2016/679;
8. „instituții și organisme ale Uniunii” înseamnă instituții și organe ale Uniunii astfel cum sunt definite la articolul 3 punctul 10 din Regulamentul (UE) 2018/1725;
9. „aviz privind protecția datelor” înseamnă un document prin care persoanelor vizate li se furnizează informații în conformitate cu articolul 15 sau 16 din Regulamentul (UE) 2018/1725 sau cu articolul 13 sau 14 din Regulamentul (UE) 2016/679;
10. „cerere a persoanei vizate” înseamnă o cerere adresată de o persoană vizată unuia sau mai multor operatori asociați prin care persoana vizată își exercită oricare dintre drepturile care îi revin în temeiul capitolului III din Regulamentul (UE) 2018/1725 sau al capitolului III din Regulamentul (UE) 2016/679;
11. „încălcare a securității datelor cu caracter personal” înseamnă o încălcare a securității datelor cu caracter personal astfel cum este definită la articolul 3 punctul 16 din Regulamentul (UE) 2018/1725 sau la articolul 4 punctul 12 din Regulamentul (UE) 2016/679;
12. „autoritate de supraveghere” înseamnă o autoritate națională de supraveghere astfel cum este definită la articolul 3 punctul 22 din Regulamentul (UE) 2018/1725, o autoritate de supraveghere astfel cum este definită la articolul 4 punctul 21 din Regulamentul (UE) 2016/679 sau Autoritatea Europeană pentru Protecția Datelor;
13. „stat membru de origine” înseamnă statul membru în care o instituție de credit a fost autorizată;
14. „stat membru gazdă” înseamnă statul membru în care o instituție de credit are o sucursală sau în care prestează servicii.
Articolul 3
Furnizarea de informații persoanei vizate
(1) Operatorul asociat care începe prelucrarea datelor cu caracter personal, prelucrare care include colectarea de date cu caracter personal, furnizează persoanei vizate informațiile prevăzute la articolele 15 și 16 din Regulamentul (UE) 2018/1725 sau la articolele 13 și 14 din Regulamentul (UE) 2016/679 și, respectiv, la articolul 28 alineatul (2) a doua teză din Regulamentul (UE) 2018/1725 sau la articolul 26 alineatul (2) a doua teză din Regulamentul (UE) 2016/679. Operatorul asociat respectiv este: (a) pentru datele cu caracter personal transmise prin intermediul portalului Sistemului de gestionare a informațiilor (IMAS), BCE; (b) pentru datele cu caracter personal primite în toate celelalte cazuri: (i) pentru procedurile de evaluare a competenței și onorabilității privind entitățile supravegheate semnificative, ANC relevantă în conformitate cu articolele 93 și 94 din Regulamentul (UE) nr. 468/2014 (BCE/2014/17); (ii) pentru procedurile de autorizare: 1. în cazul acordării de autorizații, ANC care primește solicitarea de autorizare pentru inițierea activității unei instituții de credit în temeiul articolului 14 alineatul (1) din Regulamentul (UE) nr. 1024/2013; 2. în cazul participațiilor calificate, ANC care primește notificarea sau orice informații conexe în temeiul articolului 15 alineatul (1) din Regulamentul (UE) nr. 1024/2013; 3. în cazul procedurilor inițiate de o ANC pentru retragerea unei autorizații pentru inițierea activității unei instituții de credit, inclusiv retragerea la cererea instituției de credit, în temeiul articolului 80 din Regulamentul (UE) nr. 468/2014 (BCE/2014/17), ANC relevantă; 4. în cazul procedurilor inițiate de BCE pentru retragerea unei autorizații pentru inițierea activității unei instituții de credit, BCE; 5. în cazul înființării unei sucursale de către o entitate supravegheată semnificativă, ANC din statul membru de origine, în conformitate cu articolul 11 din Regulamentul (UE) nr. 468/2014 (BCE/2014/17); 6. în cazul notificării unei modificări a furnizării de servicii de către o entitate supravegheată semnificativă sau o entitate supravegheată mai puțin semnificativă, al notificării unei modificări a informațiilor privind sucursala de către o entitate supravegheată semnificativă sau o entitate supravegheată mai puțin semnificativă sau al înființării unei sucursale de către o entitate supravegheată mai puțin semnificativă, ANC din statul membru de origine; 7. în cazul înființării unei sucursale într-un stat membru participant de către o instituție de credit cu sediul într-un stat membru neparticipant, ANC din statul membru gazdă; 8. în cazul furnizării de servicii în afara statelor membre participante de către o entitate supravegheată semnificativă sau de către o entitate supravegheată mai puțin semnificativă, ANC din statul membru de origine; 9. în cazul furnizării de servicii într-un stat membru participant de către o instituție de credit cu sediul într-un stat membru neparticipant, ANC din statul membru gazdă; 10. în cazul aprobării sau exceptării de la aprobare a holdingurilor financiare (mixte) care cuprind entități supravegheate semnificative sau grupuri supravegheate semnificative, BCE; 11. în cazul aprobării sau exceptării de la aprobare a holdingurilor financiare (mixte) care cuprind entități supravegheate mai puțin semnificative sau grupuri supravegheate mai puțin semnificative, ANC care primește solicitarea în conformitate cu articolul 21a din Directiva 2013/36/UE a Parlamentului European și a Consiliului (5); 12. în cazul fuziunilor efectuate de instituții și de holdinguri financiare (mixte), atunci când entitățile rezultate în urma unei astfel de operațiuni propuse sunt entități supravegheate semnificative, BCE; 13. în cazul fuziunilor efectuate de instituții și de holdinguri financiare (mixte), atunci când entitățile rezultate în urma unei astfel de operațiuni propuse sunt entități supravegheate mai puțin semnificative, ANC care primește notificarea în conformitate cu articolul 27i alineatul (1) primul paragraf din Directiva 2013/36/UE; 14. în cazul divizărilor efectuate de instituții și de holdinguri financiare (mixte) care sunt entități supravegheate semnificative, BCE; 15. în cazul divizărilor efectuate de instituții și de holdinguri financiare (mixte) care sunt entități supravegheate mai puțin semnificative, ANC care primește notificarea în conformitate cu articolul 27i alineatul (1) al doilea paragraf din Directiva 2013/36/UE; (iii) pentru supravegherea continuă a entităților supravegheate semnificative, BCE; (iv) pentru asigurarea respectării normelor și aplicarea de sancțiuni, BCE; (v) pentru efectuarea de inspecții la fața locului la entitățile supravegheate semnificative, BCE; (vi) pentru monitorizarea entităților supravegheate mai puțin semnificative, BCE; (vii) pentru supravegherea entităților supravegheate mai puțin semnificative: 1. ANC din statul membru de origine; sau 2. în cazul în care BCE exercită ea însăși în mod direct toate competențele relevante pentru o entitate supravegheată mai puțin semnificativă în temeiul articolului 6 alineatul (5) litera (b) din Regulamentul (UE) nr. 1024/2013, BCE.
(2) Fiecare operator asociat publică un aviz privind protecția datelor pe website-ul său, în plus față de respectarea obligației menționate la alineatul (1).
(3) Operatorii asociați coordonează și convin asupra conținutului consecvent, dacă nu identic, al informațiilor care trebuie furnizate persoanei vizate în temeiul articolului 28 alineatul (2) a doua teză din Regulamentul (UE) 2018/1725 și, respectiv, al articolului 26 alineatul (2) a doua teză din Regulamentul (UE) 2016/679.
Articolul 4
Soluționarea cererilor persoanelor vizate
(1) Persoanele vizate își pot exercita drepturile în temeiul Regulamentului (UE) 2018/1725 sau al Regulamentului (UE) 2016/679, după caz, cu privire la și în raport cu fiecare dintre operatorii asociați. Fiecare operator asociat publică punctul său de contact și punctul de contact al fiecăruia dintre ceilalți operatori asociați în avizul său privind protecția datelor de pe website-ul său.
(2) Operatorul asociat responsabil cu soluționarea cererii persoanei vizate este: (a) pentru procedurile de evaluare a competenței și onorabilității privind entitățile supravegheate semnificative, ANC relevantă în conformitate cu articolele 93 și 94 din Regulamentul (UE) nr. 468/2014 (BCE/2014/17) până când evaluarea din cadrul procedurii de evaluare a competenței și onorabilității este atribuită BCE și, ulterior, BCE; (b) pentru procedurile de autorizare: (i) în cazul acordării de autorizații, ANC care primește solicitarea de autorizare pentru inițierea activității unei instituții de credit în temeiul articolului 14 alineatul (1) din Regulamentul (UE) nr. 1024/2013 până când proiectul de decizie pregătit de ANC este notificat BCE și, ulterior, BCE; (ii) în cazul participațiilor calificate, ANC care primește notificarea sau orice informații conexe în temeiul articolului 15 alineatul (1) din Regulamentul (UE) nr. 1024/2013 până când proiectul de propunere de decizie a ANC de a se opune sau de a nu se opune achiziției este transmis BCE și, ulterior, BCE; (iii) în cazul procedurilor inițiate de o ANC pentru retragerea unei autorizații pentru inițierea activității unei instituții de credit, inclusiv retragerea la solicitarea instituției de credit, în temeiul articolului 80 din Regulamentul (UE) nr. 468/2014 (BCE/2014/17), ANC relevantă până când proiectul de decizie de retragere pregătit de ANC este transmis BCE și, ulterior, BCE; (iv) în cazul procedurilor inițiate de BCE pentru retragerea unei autorizații pentru inițierea activității unei instituții de credit, BCE; (v) în cazul înființării unei sucursale de către o entitate supravegheată semnificativă, ANC din statul membru de origine în conformitate cu articolul 11 din Regulamentul (UE) nr. 468/2014 (BCE/2014/17) până când inițierea procedurii de „pașaport” este notificată BCE, iar ulterior BCE; (vi) în cazul notificării unei modificări a furnizării de servicii de către o entitate supravegheată semnificativă sau o entitate supravegheată mai puțin semnificativă, al notificării unei modificări a informațiilor privind sucursala de către o entitate supravegheată semnificativă sau o entitate supravegheată mai puțin semnificativă sau al înființării unei sucursale de către o entitate supravegheată mai puțin semnificativă, ANC din statul membru de origine până când inițierea procedurii de „pașaport” este notificată BCE și, ulterior, BCE; (vii) în cazul înființării unei sucursale într-un stat membru participant de către o instituție de credit cu sediul într-un stat membru neparticipant, ANC din statul membru gazdă până când inițierea procedurii de „pașaport” este notificată BCE și, ulterior, BCE; (viii) în cazul furnizării de servicii în afara statelor membre participante de către o entitate supravegheată semnificativă sau de către o entitate supravegheată mai puțin semnificativă, ANC din statul membru de origine până când inițierea procedurii de „pașaport” este notificată BCE și, ulterior, BCE; (ix) în cazul furnizării de servicii într-un stat membru participant de către o instituție de credit cu sediul într-un stat membru neparticipant, ANC din statul membru gazdă până când inițierea procedurii de „pașaport” este notificată BCE și, ulterior, BCE; (x) în cazul aprobării sau exceptării de la aprobare a holdingurilor financiare (mixte) care cuprind entități supravegheate semnificative sau grupuri supravegheate semnificative, BCE; (xi) în cazul aprobării sau exceptării de la aprobare a holdingurilor financiare (mixte) care cuprind entități supravegheate mai puțin semnificative sau grupuri supravegheate mai puțin semnificative, ANC care primește cererea în conformitate cu articolul 21a din Directiva 2013/36/UE; (xii) în cazul fuziunilor efectuate de instituții și de holdinguri financiare (mixte), atunci când entitățile rezultate în urma unei astfel de operațiuni propuse sunt entități supravegheate semnificative, BCE; (xiii) în cazul fuziunilor efectuate de instituții și de holdinguri financiare (mixte), atunci când entitățile rezultate în urma unei astfel de operațiuni propuse sunt entități supravegheate mai puțin semnificative, ANC care primește notificarea în temeiul articolului 27i alineatul (1) primul paragraf din Directiva 2013/36/UE; (xiv) în cazul divizărilor efectuate de instituții și de holdinguri financiare (mixte) care sunt entități supravegheate semnificative, BCE; (xv) în cazul divizărilor efectuate de instituții și de holdinguri financiare (mixte) care sunt entități supravegheate mai puțin semnificative, ANC care primește notificarea în temeiul articolului 27i alineatul (1) al doilea paragraf din Directiva 2013/36/UE; (c) pentru supravegherea continuă a entităților supravegheate semnificative, BCE; (d) pentru asigurarea respectării normelor și aplicarea de sancțiuni, BCE; (e) pentru efectuarea de inspecții la fața locului la entitățile supravegheate semnificative, BCE; (f) pentru monitorizarea supravegherii entităților supravegheate mai puțin semnificative, BCE; (g) pentru supravegherea entităților supravegheate mai puțin semnificative: (i) ANC din statul membru de origine; sau (ii) în cazul în care BCE exercită ea însăși în mod direct toate competențele relevante pentru o entitate supravegheată mai puțin semnificativă în temeiul articolului 6 alineatul (5) litera (b) din Regulamentul (UE) nr. 1024/2013, BCE.
(3) Un operator asociat, atunci când i se solicită acest lucru de către operatorul asociat responsabil în temeiul alineatului (2), îi oferă acestuia din urmă asistență rapidă și eficientă în soluționarea oricăror cereri ale persoanelor vizate, în conformitate cu procedura prevăzută la alineatul (4).
(4) Următoarele norme se aplică soluționării cererilor persoanelor vizate: (a) operatorul asociat care primește cererea persoanei vizate trimite persoanei vizate o confirmare de primire fără întârzieri nejustificate. În cazul în care cererea persoanei vizate nu intră în responsabilitatea sa, astfel cum este stabilită în conformitate cu alineatul (2), operatorul asociat care primește cererea persoanei vizate o transmite operatorului asociat care este de fapt responsabil de soluționarea cererii respective în temeiul alineatului (2); (b) în cazul în care operatorul asociat căruia i s-a transmis cererea persoanei vizate confirmă că este operatorul asociat responsabil de soluționarea cererii respective în temeiul alineatului (2), operatorul asociat care a primit cererea persoanei vizate informează persoana vizată cu privire la transmiterea cererii persoanei vizate către operatorul asociat respectiv; (c) orice dezacord cu privire la stabilirea operatorului asociat care este responsabil în temeiul alineatului (2) se soluționează în cadrul unei întâlniri între operatorul asociat care a primit cererea persoanei vizate, operatorul asociat căruia i-a fost transmisă cererea persoanei vizate și orice alt operator asociat pe care acesta din urmă îl consideră responsabil în temeiul alineatului (2). În urma respectivei întâlniri, operatorul asociat care a primit cererea persoanei vizate informează persoana vizată cu privire la transmiterea cererii persoanei vizate către operatorul asociat care a confirmat că este responsabil în temeiul alineatului (2). În cazul în care operatorul asociat care primește cererea persoanei vizate este operatorul asociat responsabil în temeiul alineatului (2), dar cererea persoanei vizate se referă și la alte atribuții de supraveghere menționate la alineatul (2) literele (a)-(g), respectivul operator asociat solicită asistență din partea altui operator asociat sau a altor operatori asociați în conformitate cu alineatul (3); (d) operatorul asociat responsabil în temeiul alineatului (2) trimite răspunsul final persoanei vizate, după includerea informațiilor furnizate de orice alți operatori asociați în temeiul literei (c), dacă este cazul.
Articolul 5
Procedura legată de încălcarea securității datelor cu caracter personal
(1) Un operator asociat care ia cunoștință de o încălcare a securității datelor cu caracter personal îi informează pe toți ceilalți operatori asociați cu privire la încălcare fără întârzieri nejustificate și cel târziu în termen de 24 de ore de la data la care a luat cunoștință de producerea încălcării securității datelor cu caracter personal.
(2) Operatorul asociat care a cauzat încălcarea securității datelor cu caracter personal sau căruia îi este imputabilă încălcarea securității datelor cu caracter personal, inclusiv în cazul încălcărilor cauzate de persoanele împuternicite de operatori sau de subcontractanții acestora ori al încălcărilor care le sunt imputabile acestora, este responsabil de gestionarea respectivei încălcări a securității datelor cu caracter personal în conformitate cu Regulamentul (UE) 2018/1725 sau, respectiv, cu Regulamentul (UE) 2016/679. În cazul în care, în termen de 24 de ore de la primirea notificării menționate la alineatul (1), nu se poate stabili care operator asociat este responsabil, toți operatorii asociați sunt responsabili de gestionarea încălcării securității datelor cu caracter personal.
(3) Operatorul asociat responsabil în temeiul alineatului (2) notifică, în special, autoritatea sa de supraveghere și informează persoana vizată cu privire la încălcarea securității datelor cu caracter personal, dacă este cazul. Chiar dacă nu este operatorul asociat responsabil, BCE notifică încălcarea securității datelor cu caracter personal și Autorității Europene pentru Protecția Datelor, cu excepția cazului în care este puțin probabil ca încălcarea securității datelor cu caracter personal să genereze un risc pentru drepturile și libertățile persoanelor fizice.
(4) Operatorul asociat responsabil în temeiul alineatului (2) îi informează pe toți ceilalți operatori asociați, fără întârzieri nejustificate, cu privire la (a) măsurile aplicate de operatorul asociat pentru a atenua riscurile care decurg din încălcarea securității datelor cu caracter personal și cu privire la aspectul (b) dacă încălcarea securității datelor a fost sau va fi notificată autorității de supraveghere și comunicată persoanei vizate.
Articolul 6
Securitatea prelucrării
(1) În temeiul articolului 33 din Regulamentul (UE) 2018/1725 și, respectiv, al articolului 32 din Regulamentul (UE) 2016/679, operatorii asociați pun în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura securitatea datelor cu caracter personal prelucrate. La evaluarea nivelului adecvat de securitate, operatorii asociați iau în considerare stadiul actual al tehnologiei; costurile de punere în aplicare; natura, domeniul de aplicare, contextul și scopurile prelucrării; și riscurile pe care le implică pentru persoanele vizate.
(2) Fiecare operator asociat care întreține și administrează un sistem informatic utilizat pentru prelucrarea datelor cu caracter personal stabilește și pune în aplicare sau se asigură că persoana împuternicită de operator stabilește și pune în aplicare măsuri tehnice și organizatorice adecvate cu privire la un astfel de sistem.
(3) Operatorii asociați acordă acces la datele cu caracter personal prelucrate în contextul prezentei decizii numai persoanelor fizice care acționează sub autoritatea lor și numai în măsura în care acest lucru este necesar pentru îndeplinirea scopurilor prelucrării prevăzute în anexe.
(4) Operatorii asociați se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de respectare a confidențialității.
Articolul 7
Evaluarea impactului în ceea ce privește protecția datelor
(1) Operatorii asociați stabilesc dacă este necesară o evaluare a impactului în ceea ce privește protecția datelor și care dintre operatorii asociați să elaboreze un proiect de evaluare a impactului în ceea ce privește protecția datelor.
(2) O evaluare a impactului în ceea ce privește protecția datelor poate fi considerată finală numai dacă a fost aprobată de toți operatorii asociați.
(3) În cazuri justificate, cum ar fi atunci când operatorii asociați nu sunt implicați în aceleași etape ale unei operațiuni de prelucrare, operatorii asociați efectuează o evaluare separată a impactului în ceea ce privește protecția datelor pentru etapa specifică a operațiunii de prelucrare în care sunt implicați.
(4) În cazul în care o evaluare a impactului în ceea ce privește protecția datelor indică faptul că, în absența unor garanții, măsuri de securitate și mecanisme de atenuare a riscului, prelucrarea ar genera un risc ridicat pentru drepturile și libertățile persoanelor fizice, iar operatorul asociat responsabil cu elaborarea proiectului în temeiul alineatului (1) consideră că riscul nu poate fi atenuat prin mijloace rezonabile în baza tehnologiilor disponibile și a costurilor de punere în aplicare, operatorul asociat respectiv se consultă cu autoritatea sa de supraveghere. Într-un astfel de caz, BCE consultă, de asemenea, Autoritatea Europeană pentru Protecția Datelor în temeiul articolului 40 din Regulamentul (UE) 2018/1725, chiar dacă nu este operatorul asociat responsabil de elaborarea proiectului prevăzut la alineatul (1).
Articolul 8
Alte responsabilități ale operatorilor asociați
(1) Fără a aduce atingere obligațiilor care le revin operatorilor asociați în temeiul Regulamentului (UE) 2018/1725, al Regulamentului (UE) 2016/679 sau al legislației naționale, fiecare operator asociat este responsabil de următoarele: (a) stabilirea perioadelor pentru care datele cu caracter personal vor fi stocate în conformitate cu legislația aplicabilă privind protecția datelor; (b) luarea deciziei de a restricționa exercitarea drepturilor persoanelor vizate, atunci când acest lucru este necesar și proporțional, în conformitate cu normele aplicabile privind protecția datelor, inclusiv cu normele interne adoptate de un operator asociat sau cu legislația națională, cu respectarea Regulamentului (UE) 2018/1725 sau, respectiv, a Regulamentului (UE) 2016/679, ori de a aplica orice excepție în temeiul articolului 16 alineatul (5) din Regulamentul (UE) 2018/1725 sau, respectiv, al articolului 14 alineatul (5) din Regulamentul (UE) 2016/679; (c) identificarea și evaluarea legalității, necesității și proporționalității transferurilor de date cu caracter personal către o țară terță sau o organizație internațională, și respectarea obligațiilor care îi revin în temeiul capitolului V din Regulamentul (UE) 2018/1725 sau, respectiv, al capitolului V din Regulamentul (UE) 2016/679; (d) implicarea numai a persoanelor împuternicite de operatori care oferă garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate, în temeiul articolului 29 din Regulamentul (UE) 2018/1725 și, respectiv, al articolului 28 din Regulamentul (UE) 2016/679; (e) punerea la dispoziția celorlalți operatori asociați a unei liste de persoane împuternicite de operatori implicate de operatorul asociat respectiv în prelucrarea de date cu caracter personal în îndeplinirea atribuțiilor de supraveghere enumerate la articolul 1 alineatul (2).
(2) Operatorii asociați își notifică reciproc orice informații relevante referitoare la respectarea obligațiilor prevăzute la alineatul (1), ținând seama în mod corespunzător de regimul de confidențialitate aplicabil.
Articolul 9
Conformitate și documentare
(1) Fiecare dintre operatorii asociați respectă principiile generale de protecție a datelor, astfel cum sunt prevăzute la articolul 4 din Regulamentul (UE) 2018/1725 sau, respectiv, la articolul 5 din Regulamentul (UE) 2016/679.
(2) Fiecare operator asociat ține evidența activităților de prelucrare care intră în responsabilitatea sa și păstrează informațiile necesare pentru a demonstra că respectă prezenta decizie.
Articolul 10
Cooperarea dintre operatorii asociați
Operatorii asociați își oferă reciproc asistența necesară pentru ca fiecare dintre ei să fie în măsură să respecte cerințele Regulamentului (UE) 2018/1725 sau, respectiv, ale Regulamentului (UE) 2016/679, precum și ale prezentei decizii, într-un interval de timp compatibil cu cerințele cuprinse în regulamentele respective.
Articolul 11
Repartizarea despăgubirilor
Operatorii asociați își compensează reciproc orice despăgubire plătită de unul (sau mai mulți) dintre ei pentru prejudiciul suferit ca urmare a unei încălcări a Regulamentului (UE) 2018/1725 sau a Regulamentului (UE) 2016/679, în funcție de gradul real de responsabilitate. Un operator asociat care dovedește că nu este responsabil în niciun fel pentru vreun eveniment care atrage răspunderea este scutit de o astfel de compensare între acesta și alți operatori asociați și are dreptul de a recupera de la operatorul asociat responsabil în fapt orice contribuție pe care a făcut-o la despăgubirile plătite.
Articolul 12
Soluționarea dezacordurilor
(1) În cazul unui dezacord cu privire la compensarea despăgubirii plătite de unul dintre operatorii asociați pentru prejudiciul suferit ca urmare a unei încălcări a Regulamentului (UE) 2018/1725 sau a Regulamentului (UE) 2016/679, se instituie un grup independent pentru a facilita soluționarea dezacordului.
(2) Oricare dintre operatorii asociați poate notifica existența unui dezacord unuia sau mai multor operatori asociați și poate desemna un membru al grupului. Fiecare operator asociat care a fost notificat își desemnează membrul în termen de două săptămâni de la data primirii notificării. Operatorul asociat care a notificat dezacordul și operatorii asociați care au fost notificați sunt considerați părți la dezacord.
(3) Grupul independent are un număr impar de membri și este compus din membrii desemnați în conformitate cu alineatul (2), precum și din unul sau doi membri desemnați în comun de aceștia. Membrul sau membrii desemnați în comun exercită funcția de președinte sau, respectiv, de președinte și vicepreședinte în funcție de vechimea lor în funcție și sunt remunerați printr-o contribuție financiară egală din partea tuturor părților la dezacord. Membrul sau membrii desemnați în comun sunt independenți față de părțile la dezacord. Președintele notifică președintelui BCE componența finală a grupului.
(4) Grupul independent își desfășoară activitatea în conformitate cu principiile imparțialității și egalității și cu dreptul de a fi ascultat.
(5) Grupul are ca obiectiv să transmită președintelui BCE, în termen de trei luni de la data notificării componenței sale finale, o recomandare motivată privind soluționarea dezacordului. Recomandarea nu este obligatorie pentru părțile la dezacord și poate fi prezentată ca mijloc de probă în cadrul procedurilor judiciare.
Articolul 13
Reexaminare
Pentru a asigura eficacitatea stabilirii responsabilităților, în rândul operatorilor asociați, în ceea ce privește respectarea obligațiilor prevăzute în Regulamentul (UE) 2018/1725 și, respectiv, în Regulamentul (UE) 2016/679, Consiliul guvernatorilor reexaminează dispozițiile prevăzute în prezenta decizie în termen de cel mult cinci ani de la data la care prezenta decizie produce efecte.
Articolul 14
Producerea de efecte
Prezenta decizie produce efecte de la data notificării sale către destinatari.
Articolul 15
Destinatari
Prezenta decizie se adresează autorităților naționale competente din statele membre participante.