(1)

Европейската централна банка (ЕЦБ) изпълнява задачите си в съответствие с Договорите и Регламент (ЕС) № 1024/2013 на Съвета (2).

(2)

Съгласно член 45, параграф 3 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета в Решение (ЕС) 2020/655 на Европейската централна банка (ЕЦБ/2020/28) (3) се съдържат общите правила за прилагане на Регламент (ЕС) 2018/1725 в ЕЦБ. В частност то съдържа правилата за назначаването и функциите на длъжностното лице по защита на данните (ДЛЗД), включително задачите, задълженията и правомощията му.

(3)

При изпълнението на възложените ѝ задачи ЕЦБ и по-специално съответното организационно звено действа като администратор на данни, доколкото определя, самостоятелно или съвместно с други, целите и средствата за обработването на лични данни.

(4)

Съгласно член 4, параграф 1 от Регламент (ЕС) № 1024/2013 за целите на надзора и с оглед на гарантирането на сигурността и стабилността на кредитните институции и стабилността на финансовата система ЕЦБ има изключителната компетентност да извършва конкретни задачи във връзка с всички кредитни институции, установени в държавите членки, участващи в единния надзорен механизъм (ЕНМ).

(5)

При изпълнението на тези конкретни задачи ЕЦБ обработва няколко категории информация, които може да са свързани с физическо лице, което е идентифицирано или може да бъде идентифицирано, като например данни за установяване на самоличността, данни за връзка, професионални данни, финансови или административни данни, данни, получени от специфични източници, данни за електронни съобщения и данни за електронния трафик, данни от регистрите за съдимост, описание на финансовите и нефинансовите интереси, данни за отношенията на дадено физическо лице или близките му роднини с поднадзорните лица или с членовете на ръководния орган на поднадзорните лица, както и данни, свързани с длъжността, на която е назначено или може да бъде назначено лицето. Личните данни могат също да са част от оценка, включително оценка, извършвана: за целите на лицензирането на кредитна институция, отнемането на лиценза на кредитна институция и процедура за квалифицирано дялово участие; във връзка с правото на установяване за значимо поднадзорно лице; за определяне дали са изпълнени изискванията за надеждност и пригодност; във връзка с политиките за възнагражденията на значимо поднадзорно лице и по отношение на кредитите от такова лице към собствените му висши длъжностни лица и лица, свързани с тези длъжностни лица; и във връзка с твърдения за потенциално неизпълнение на правните актове, посочени в член 4, параграф 3 от Регламент (ЕС) № 1024/2013.

(6)

При изпълнението на тези конкретни задачите ЕЦБ се стреми да постигне важни цели от общ обществен интерес на Съюза. Поради тази причина изпълнението на тези задачи следва да бъде гарантирано, както е предвидено в Регламент (ЕС) 2018/1725, и по-специално в член 25, параграф 1, букви в) и ж) от него. По-специално при изпълнението на тези задачи ЕЦБ действа в общия обществен интерес на Съюза като публичен орган, на който е възложено да извършва за целите на надзора конкретни задачи във връзка с всички кредитни институции, установени в държавите членки, участващи в ЕНМ. Тези задачи включват функции по наблюдение, проверка или регулиране, свързани с упражняването на правомощия за пруденциален надзор над кредитните институции.

(7)

В този контекст е целесъобразно да се уточнят основанията, на които ЕЦБ може да ограничи правата на субектите на данни във връзка с данните, получени при изпълнението на надзорните ѝ задачи съгласно Регламент (ЕС) № 1024/2013.

(8)

В съответствие с член 25, параграф 1 от Регламент (ЕС) 2018/1725 ограниченията на прилагането на членове 14—22, 35 и 36, както и на член 4, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 14—22 от същия регламент, следва да бъдат определени във вътрешни правила или правни актове, приети въз основа на Договорите. Поради това ЕЦБ следва да определи правилата, съгласно които може да ограничава правата на субектите на данни при изпълнението на надзорните си задачи.

(9)

Макар че с настоящото решение се определят правилата, съгласно които ЕЦБ може да ограничава правата на субектите на данни при изпълнението на надзорните си задачи, Изпълнителният съвет възнамерява да приеме отделно решение за приемане на вътрешни правила относно ограничаването на тези права, когато ЕЦБ обработва лични данни във връзка с вътрешната си дейност.

(10)

ЕЦБ може да прилага изключения в съответствие с Регламент (ЕС) 2018/1725, което обезсмисля необходимостта от прилагането на ограничения, включително по-специално предвидените в член 15, параграф 4, член 16, параграф 5, член 19, параграф 3 и член 35, параграф 3 от посочения регламент. За обработването на данни за целите на архивирането в обществен интерес, за целите на научни или исторически изследвания или за статистически цели ЕЦБ може да прилага изключението, посочено в член 16, параграф 5, буква б) или в член 19, параграф 3, буква г) от Регламент (ЕС) 2018/1725.

(11)

Упражняването на правата на субектите на данни, уредени в членове 17, 18, 20, 21, 22 и 23 от Регламент (ЕС) 2018/1725, може да направи невъзможно или сериозно да затрудни постигането на конкретни целите на обработването, включително целите на архивирането в обществен интерес, целите на научните или историческите изследвания и статистическите цели. Поради това с настоящото решение следва да се предвиди дерогация от тези права съгласно член 25, параграфи 3 и 4 от Регламент (ЕС) 2018/1725, като се предвидят подходящи гаранции.

(12)

ЕЦБ следва да обоснове защо подобни ограничения на правата на субектите на данни са строго необходими и пропорционални в едно демократично общество, за да се гарантират преследваните цели при упражняването на правомощията ѝ и свързаните с тях функции, както и как ЕЦБ зачита същността на основните права и свободи, като същевременно налага такива ограничения.

(13)

В тази рамка ЕЦБ е задължена да зачита във възможно най-голяма степен предвидените в Регламент (ЕС) 2018/1725 основни права на субектите на данни, по-специално правата, свързани с правото на предоставяне на информация, достъп и коригиране, правото на изтриване, ограничаване на обработването, правото на съобщаване на субекта на данните за нарушение на сигурността на личните данни или поверителността на съобщенията.

(14)

ЕЦБ обаче може да бъде задължена да ограничи информацията, предоставяна на субектите на данни, и техните права, за да защити изпълнението на надзорните си задачи, по-специално собствените си разследвания и процедури, разследванията и процедурите на други публични органи и основните права и свободи на други лица, свързани с нейните разследвания или други процедури.

(15)

ЕЦБ следва да отмени ограничението, което вече е било наложено, доколкото то вече не е необходимо.

(16)

ДЛЗД на ЕЦБ следва да преразгледа прилагането на ограниченията, за да гарантира спазването на настоящото решение и на Регламент (ЕС) 2018/1725.

(17)

В съответствие с член 41, параграф 2 от Регламент (ЕС) 2018/1725 беше проведена консултация с Европейския надзорен орган по защита на данните, който прие становище на 12 март 2021 г.,

1)

„обработване“ означава обработване съгласно определението в член 3, точка 3 от Регламент (ЕС) 2018/1725;

2)

„лични данни“ означава лични данни съгласно определението в член 3, точка 1 от Регламент (ЕС) 2018/1725;

3)

„субект на данни“ означава физическо лице, което е идентифицирано или може да бъде идентифицирано; физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождението, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, икономическата, културната или социалната идентичност на това физическо лице;

4)

„централен регистър“ означава публично достъпното хранилище на всички дейности по обработване на лични данни, извършени в ЕЦБ, поддържано от ДЛЗД на ЕЦБ и предвидено в член 9 от Решение (ЕС) 2020/655 (ЕЦБ/2020/28);

5)

„администратор“ означава ЕЦБ и по-специално компетентното организационно звено на ЕЦБ, което самостоятелно или съвместно с други, определя целите и средствата на обработването на лични данни и отговаря за операцията по обработването;

6)

„институции и органи на Съюза“ означава институции и органи на Съюза съгласно определението в член 3, точка 10 от Регламент (ЕС) 2018/1725.

а)

администраторът посочва правата, които могат да бъдат ограничени, причините за ограничението и потенциалната му продължителност;

б)

администраторът включва информацията, посочена в буква а), в своите съобщения за защита на данните, декларации за поверителност и регистри на дейностите по обработване, предвидени в член 31 от Регламент (ЕС) 2018/1725.