2.12.2022   

CS

Úřední věstník Evropské unie

L 311/176

ROZHODNUTÍ EVROPSKÉ CENTRÁLNÍ BANKY (EU) 2022/2359

ze dne 22. listopadu 2022,

kterým se přijímají interní pravidla týkající se omezení práv subjektů údajů v souvislosti s vnitřním fungováním Evropské centrální banky (ECB/2022/42)

VÝKONNÁ RADA EVROPSKÉ CENTRÁLNÍ BANKY,

s ohledem na Smlouvu o fungování Evropské unie,

s ohledem na statut Evropského systému centrálních bank a Evropské centrální banky, a zejména na článek 11.6 tohoto statutu,

s ohledem na nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (1), a zejména na článek 25 uvedeného nařízení,

vzhledem k těmto důvodům:

(1)

Evropská centrální banka (ECB) vykonává své úkoly v souladu se Smlouvami.

(2)

V souladu s čl. 45 odst. 3 nařízení (EU) 2018/1725 stanoví rozhodnutí Evropské centrální banky (EU) 2020/655 (ECB/2020/28) (2) obecná pravidla, kterými se provádí nařízení (EU) 2018/1725, pokud se týká ECB. Stanoví zejména pravidla týkající se jmenování a funkce pověřence pro ochranu osobních údajů v ECB, včetně jeho úkolů, povinností a pravomocí.

(3)

ECB, a zejména dotčená organizační jednotka, jedná při plnění úkolů svěřených ECB jako správce údajů v rozsahu, v němž sama nebo společně s jinými určuje účely a prostředky zpracování osobních údajů.

(4)

V souvislosti s vnitřním fungováním ECB jsou různé organizační složky ECB (včetně generálního ředitelství pro lidské zdroje, kanceláře pro compliance, správu a řízení, ředitelství pro interní audit a generálního ředitelství pro právní služby) v právním rámci upravujícím zaměstnávání v ECB pověřeny úkoly, které zahrnují zpracování osobních údajů. Tyto úkoly mohou zahrnovat např. opatření přijímaná v souvislosti s možným porušením pracovních povinností (včetně vyšetřování nevhodného chování podle pravidel ECB týkajících se důstojnosti při práci a následných opatření v návaznosti na oznámení o protiprávní činnosti či porušení pracovních povinností učiněná pomocí jakéhokoli prostředku, mimo jiné prostřednictvím nástroje pro oznámení porušení); úkoly týkající se výběrových řízení; úkoly vykonávané generálním ředitelství pro lidské zdroje při plnění jeho funkcí týkajících se řízení výkonnosti, povyšování, přímého jmenování pracovníků ECB, profesního rozvoje včetně kalibrace talentů v rámci jednotlivých organizačních složek, zvyšování platů a odměn a rozhodnutí o mobilitě a dovolené; přezkoumávání vnitřních odvolání podaných pracovníky ECB (včetně správního přezkumu, řízení o stížnostech nebo zvláštních odvolacích řízení či lékařských komisí) a následná opatření; poradní úkoly kanceláře pro compliance, správu a řízení podle etického rámce ECB (stanoveného v části 0 pravidel pro zaměstnance ECB) a úkoly kanceláře pro compliance, správu a řízení týkající se sledování dodržování pravidel pro soukromé finanční aktivity (včetně spolupráce s externím poskytovatelem služeb jmenovaným podle článku 0.4.3.3 pravidel pro zaměstnance ECB); a audity prováděné ředitelstvím pro interní audit a úkoly prováděné podle administrativního oběžníku 01/2006 o interních správních šetřeních (3) při provádění vyšetřovacích činností a správních vyšetřování v situacích, které mohou mít disciplinární dopad na pracovníky ECB (včetně úkolů osob provádějících vyšetřování nebo členů vyšetřovací komise, pokud jsou povinni shromažďovat důkazy a zjišťovat relevantní skutečnosti).

(5)

Podle rozhodnutí Evropské centrální banky (EU) 2016/456 (ECB/2016/3) (4) je ECB povinna Evropskému úřadu pro boj proti podvodům na jeho žádost nebo z vlastního podnětu předávat informace, které má ECB k dispozici a které vzbuzují podezření na existenci možných případů podvodu, korupce nebo jiné protiprávní činnosti poškozující finanční zájmy Unie. Rozhodnutí (EU) 2016/456 (ECB/2016/3) stanoví, že v takovém případě musí být dotčené osoby urychleně vyrozuměny, není-li to na újmu vyšetřování, a že v žádném případě nesmějí být vypracovány závěry, v nichž je uvedeno jméno dotčené osoby, aniž by této osobě bylo umožněno vyjádřit se ke všem skutečnostem, které se jí týkají, včetně všech důkazů, které proti ní existují.

(6)

Podle čl. 4 písm. b) rozhodnutí (EU) 2020/655 (ECB/2020/28) je pověřenec pro ochranu osobních údajů povinen vyšetřovat záležitosti a incidenty související s ochranou údajů buď z vlastního podnětu, nebo na žádost ECB.

(7)

Odbor pro ochranu a bezpečnost v rámci ředitelství pro vnitřní záležitosti odpovídá za provádění vyšetřování za účelem zajištění ochrany fyzické bezpečnosti osob, prostor a majetku v ECB, za shromažďování informací o hrozbách a analýzu bezpečnostních incidentů.

(8)

ECB má povinnost loajálně spolupracovat s vnitrostátními orgány, včetně vnitrostátních orgánů činných v trestním řízení. Podle rozhodnutí Evropské centrální banky (EU) 2016/1162 (ECB/2016/19) (5) konkrétně může ECB na žádost vnitrostátního orgánu zabývajícího se vyšetřováním trestných činů poskytnout vnitrostátnímu příslušnému orgánu nebo národní centrální bance důvěrné informace, kterými disponuje a které se týkají úkolů svěřených ECB nařízením (EU) č. 1024/2013 (6) nebo jiných úkolů souvisejících s ESCB/Eurosystémem, za účelem zpřístupnění těchto informací dotyčnému vnitrostátnímu orgánu zabývajícímu se vyšetřováním trestných činů, jsou-li splněny určité podmínky.

(9)

Podle nařízení Rady (EU) 2017/1939 (7) je ECB povinna neprodleně poskytnout Úřadu evropského veřejného žalobce veškeré informace, bylo-li zjištěno podezření na trestný čin spadající do jeho pravomoci.

(10)

ECB je povinna se subjekty EU, které vykonávají funkci dohledu, kontroly nebo auditu, jíž ECB podléhá, jako jsou evropský inspektor ochrany údajů, Evropský účetní dvůr a evropský veřejný ochránce práv, spolupracovat při plnění jejich příslušných úkolů. V této souvislosti může ECB zpracovávat osobní údaje, aby mohla reagovat na žádosti těchto subjektů, konzultovat s nimi a poskytovat jim informace.

(11)

Podle interního rámce pro řešení sporů v ECB se mohou pracovníci ECB kdykoli a jakýmkoli způsobem obrátit na mediátora a požádat ho o podporu při řešení pracovního sporu nebo jeho předcházení. Tento rámec stanoví, že veškerá komunikace s mediátorem je důvěrná. Veškeré informace uvedené v mediačním řízení se považují za důvěrné a každá strana, která se mediace účastní, může tyto informace použít jen pro účely mediačního řízení, aniž je dotčeno jakékoli soudní řízení. Ve výjimečných případech může mediátor zveřejnit informace, pokud se jejich zveřejnění jeví jako nezbytné, aby se zabránilo bezprostřednímu riziku vážného poškození fyzické nebo duševní integrity osoby.

(12)

ECB usiluje o zajištění pracovních podmínek, které chrání zdraví a bezpečnost jejích pracovníků a respektují jejich důstojnost při práci, a to poskytováním poradenství za účelem jejich podpory. Pracovníci ECB si mohou vyžádat služby sociálního poradce v souvislosti s jakýmikoli záležitostmi, včetně emočních, osobních a pracovních záležitostí. Sociální poradce má přístup k osobnímu spisu pracovníků ECB pouze s jejich výslovným souhlasem. Obdržené informace nebo prohlášení poskytnutá fyzickou osobou sociálnímu poradci nesmějí být zveřejněny, pokud to tato osoba výslovně nepovolí nebo pokud to nevyžaduje právní předpis.

(13)

ECB v souvislosti se svým vnitřním fungováním zpracovává několik kategorií údajů, které se mohou týkat identifikované nebo identifikovatelné fyzické osoby. Demonstrativní seznamy těch kategorií osobních údajů, které ECB zpracovává v souvislosti se svým vnitřním fungováním, jsou uvedeny v přílohách tohoto rozhodnutí. Osobní údaje mohou být též součástí některých posouzení včetně posouzení prováděného odpovědnou organizační složkou v souvislosti se zkoumanou záležitostí, včetně například posouzení ze strany generálního ředitelství pro lidské zdroje, generálního ředitelství pro právní služby, ředitelství pro interní audit nebo disciplinární či vyšetřovací komise v souvislosti s porušením pracovních povinností.

(14)

V souvislosti s 4. až 13. bodem odůvodnění je vhodné uvést důvody, na jejichž základě může ECB omezit práva subjektů údajů.

(15)

Při plnění svých úkolů ECB sleduje důležité cíle obecného veřejného zájmu Unie. Plnění těchto úkolů je proto třeba zaručit ve smyslu nařízení (EU) 2018/1725, zejména čl. 25 odst. 1 písm. b), c), d), f), g) a h).

(16)

V souladu s čl. 25 odst. 1 nařízení (EU) 2018/1725 by omezení použití článků 14 až 22, 35 a 36, jakož i článku 4 uvedeného nařízení v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22, měla být stanovena ve vnitřních předpisech nebo právních aktech přijatých na základě Smluv. ECB by proto měla stanovit pravidla, na jejichž základě může omezit práva subjektů údajů při plnění svých úkolů.

(17)

ECB by měla odůvodnit, proč jsou taková omezení práv subjektů údajů v demokratické společnosti nezbytně nutná a přiměřená k zajištění cílů, které sleduje při výkonu veřejné moci a funkcí s ní spojených, a jak ECB respektuje podstatu základních práv a svobod při ukládání takového omezení.

(18)

V tomto rámci je ECB povinna v maximální možné míře respektovat základní práva subjektů údajů, zejména ta, která se týkají práva na poskytování informací, práva na přístup k údajům a jejich opravu, práva na výmaz, omezení zpracování, práva na oznamování případů porušení zabezpečení osobních údajů subjektu údajů nebo na důvěrnost komunikace, jak je zakotveno v nařízení (EU) 2018/1725.

(19)

ECB však může být povinna omezit informace poskytované subjektům údajů a práva jiných subjektů údajů s cílem chránit plnění svých úkolů, zejména vlastní vyšetřování a postupy, vyšetřování a postupy jiných veřejných orgánů a základní práva a svobody jiných osob související s vyšetřováními nebo jinými postupy ECB.

(20)

ECB by měla zrušit omezení, které již bylo uplatněno, pokud již není nutné.

(21)

Pověřenec pro ochranu osobních údajů by měl přezkoumat uplatňování omezení s cílem zajistit soulad s tímto rozhodnutím a s nařízením (EU) 2018/1725.

(22)

Zatímco toto rozhodnutí stanoví pravidla, podle nichž může ECB omezit práva subjektů údajů v případech, kdy ECB zpracovává osobní údaje v souvislosti se svým vnitřním fungováním, Výkonná rada přijala samostatné rozhodnutí o přijetí vnitřních pravidel týkajících se omezení práv při plnění úkolů ECB v oblasti dohledu.

(23)

ECB může uplatnit výjimku podle nařízení (EU) 2018/1725 a v takovém případě není nutné zvažovat omezení; tak je tomu zejména v případě výjimek stanovených v čl. 15 odst. 4, čl. 16 odst. 5, čl. 19 odst. 3 a čl. 35 odst. 3 uvedeného nařízení.

(24)

Pro účely archivace ve veřejném zájmu mohou vnitřní předpisy nebo právní akty, které ECB přijme na základě Smluv v souvislosti se svou archivační činností, stanovit odchylky od práv subjektů údajů uvedených v článcích 17, 18, 20, 21, 22 a 23 nařízení (EU) 2018/1725, s výhradou podmínek a záruk požadovaných v souladu s čl. 25 odst. 4 nařízení (EU) 2018/1725.

(25)

V souladu s čl. 41 odst. 2 nařízení (EU) 2018/1725 byl konzultován evropský inspektor ochrany údajů, který vydal své stanovisko dne 12. března 2021.

(26)

Byl konzultován výbor zaměstnanců,

PŘIJALA TOTO ROZHODNUTÍ:

Článek 1

Předmět a oblast působnosti

1.   Toto rozhodnutí stanoví pravidla týkající se omezení práv subjektů údajů ze strany ECB při provádění činností zpracování osobních údajů, které jsou vedeny v centrálním rejstříku, v souvislosti s vnitřním fungováním ECB.

2.   Práva subjektů údajů, která mohou být omezena, jsou vymezena v těchto článcích nařízení (EU) 2018/1725:

a)

článek 14 (transparentní informace, sdělení a postupy pro výkon práv subjektu údajů);

b)

článek 15 (informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů);

c)

článek 16 (informace poskytované v případě, že osobní údaje nebyly získány od subjektu údajů);

d)

článek 17 (právo subjektu údajů na přístup k osobním údajům);

e)

článek 18 (právo na opravu);

f)

článek 19 (právo na výmaz („právo být zapomenut“));

g)

článek 20 (právo na omezení zpracování);

h)

článek 21 (oznamovací povinnost ohledně opravy nebo výmazu osobních údajů nebo omezení zpracování);

i)

článek 22 (právo na přenositelnost údajů);

j)

článek 35 (oznamování případů porušení zabezpečení osobních údajů subjektu údajů);

k)

článek 36 (důvěrnost elektronických komunikací);

l)

článek 4, v rozsahu, v jakém jeho ustanovení odpovídají právům a povinnostem stanoveným v článcích 14 až 22 nařízení (EU) 2018/1725.

Článek 2

Definice

Pro účely tohoto rozhodnutí se použijí tyto definice:

(1)

„zpracováním“ se rozumí zpracování ve smyslu čl. 3 bodu 3 nařízení (EU) 2018/725;

(2)

„osobními údaji“ se rozumí osobní údaje ve smyslu čl. 3 bodu 1 nařízení (EU) 2018/1725;

(3)

„subjektem údajů“ se rozumí identifikovaná nebo identifikovatelná fyzická osoba; identifikovatelnou osobou je osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby;

(4)

„centrálním rejstříkem“ se rozumí veřejně přístupný archiv všech činností zpracování osobních údajů prováděných v ECB, který vede pověřenec pro ochranu osobních údajů a na který se odkazuje v článku 9 rozhodnutí (EU) 2020/655 (ECB/2020/28);

(5)

„správcem“ se rozumí ECB, a zejména příslušná organizační jednotka ECB, která sama nebo společně s jinými určuje účely a prostředky zpracování osobních údajů a která odpovídá za operaci zpracování.

(6)

„orgány a subjekty Unie“ se rozumějí orgány a subjekty Unie ve smyslu čl. 3 bodu 10 nařízení (EU) 2018/1725.

Článek 3

Uplatňování omezení

1.   V případě činností zpracování osobních údajů uvedených v čl. 1 odst. 1 může správce omezit práva uvedená v čl. 1 odst. 2 s cílem chránit zájmy a cíle uvedené v čl. 25 odst. 1 nařízení (EU) 2018/1725, pokud by výkon těchto práv ohrozil:

a)

posuzování a oznamování možných porušení pracovních povinností a v případě potřeby jejich následné šetření a následná opatření, včetně pozastavení výkonu činnosti, zaručení čehož je v souladu s čl. 25 odst. 1 písm. b), c), f) nebo h) nařízení (EU) 2018/1725;

b)

neformální nebo formální postupy týkající se důstojnosti při práci, včetně posuzování případů, které mohou vést k takovému postupu, jak je uvedeno v části 0.5 pravidel pro zaměstnance ECB, zaručení čehož je v souladu s čl. 25 odst. 1 písm. b), c), f) a/nebo h) nařízení (EU) 2018/1725;

c)

řádné plnění funkcí generálního ředitelství pro lidské zdroje v souladu s pracovněprávním rámcem v ECB, pokud jde o řízení výkonnosti, postupy povyšování nebo přímé jmenování pracovníků ECB, výběrová řízení a profesní rozvoj, zaručení čehož je v souladu s čl. 25 odst. 1 písm. c) nebo h) nařízení (EU) 2018/1725;

d)

přezkoumávání vnitřních odvolání podaných pracovníky ECB (včetně prostřednictvím správního přezkumu nebo řízení o stížnostech, zvláštních odvolacích řízení nebo lékařských komisí) a následná opatření, zaručení čehož je v souladu s čl. 25 odst. 1 písm. b), c) nebo h) nařízení (EU) 2018/1725;

e)

oznamování protiprávní činnosti nebo porušení pracovních povinností prostřednictvím nástroje ECB pro oznamování porušení nebo posuzování žádostí o ochranu oznamovatelů nebo svědků před odvetnými opatřeními, které provádí kancelář pro compliance, správu a řízení, zaručení čehož je v souladu s čl. 25 odst. 1 písm. b), c), f) nebo h) nařízení (EU) 2018/1725;

f)

činnosti kanceláře pro compliance, správu a řízení podle etického rámce ECB stanoveného v části 0 pravidel pro zaměstnance ECB a pravidel pro výběr a jmenování stanovených v části 1A pravidel pro zaměstnance ECB a sledování dodržování pravidel pro soukromé finanční aktivity, včetně funkcí vykonávaných externím poskytovatelem služeb jmenovaným podle článku 0.4.3.3 pravidel pro zaměstnance ECB a posuzování možných porušení vyplývajících z takového sledování a příjímání následných opatření ze strany kanceláře pro compliance, správu a řízení, zaručení čehož je v souladu s čl. 25 odst. 1 písm. b), c), f) nebo h) nařízení (EU) 2018/1725;

g)

audity prováděné ředitelstvím pro interní audit, vyšetřovací činnosti a interní správní šetření, zaručení čehož je v souladu s čl. 25 odst. 1 písm. b), c) nebo h) nařízení (EU) 2018/1725;

h)

plnění úkolů ECB podle rozhodnutí (EU) 2016/456 (ECB/2016/3), zejména povinnost ECB oznamovat informace o protiprávní činnosti, zaručení čehož je v souladu s čl. 25 odst. 1 písm. b), c), g) nebo h) nařízení (EU) 2018/1725;

i)

vyšetřování prováděná pověřencem pro ochranu osobních údajů týkající se činností zpracování prováděných v ECB podle čl. 4 písm. b) rozhodnutí (EU) 2020/655 (ECB/2020/28), zaručení čehož je v souladu s čl. 25 odst. 1 písm. b) nebo h) nařízení (EU) 2018/1725;

j)

vyšetřování za účelem zajištění fyzické bezpečnosti osob, prostor a majetku v ECB, ať už jsou prováděna interně nebo s externí podporou, shromažďování informací o hrozbách a analýza bezpečnostních incidentů, zaručení čehož je v souladu s čl. 25 odst. 1 písm. b), c), d) nebo h) nařízení (EU) 2018/1725;

k)

soudní řízení, zaručení čehož je v souladu s čl. 25 odst. 1 písm. b), c) nebo h) nařízení (EU) 2018/1725;

l)

spolupráci mezi ECB a vnitrostátními orgány zabývajícími se vyšetřováním trestných činů, zejména poskytování důvěrných informací, které má ECB k dispozici, za účelem jejich zpřístupnění vnitrostátnímu orgánu zabývajícímu se vyšetřováním trestných činů na jeho žádost, zaručení čehož je v souladu s čl. 25 odst. 1 písm. b), c), d) nebo h) nařízení (EU) 2018/1725;

m)

spolupráci mezi ECB a Úřadem evropského veřejného žalobce podle nařízení (EU) 2017/1939, zejména povinnost ECB poskytovat informace o trestných činech, zaručení čehož je v souladu s čl. 25 odst. 1 písm. b), c), d) nebo h) nařízení (EU) 2018/1725;

n)

spolupráci se subjekty EU, které vykonávají funkci dohledu, kontroly nebo auditu, jíž ECB podléhá, zaručení čehož je v souladu s čl. 25 odst. 1 písm. c), d), g) nebo h) nařízení (EU) 2018/1725;

o)

plnění úkolů mediátora podle interního rámce pro řešení sporů v ECB, zejména poskytování podpory při řešení nebo prevenci pracovních sporů, zaručení čehož je v souladu s čl. 25 odst. 1 písm. h) nařízení (EU) 2018/1725;

p)

poskytování poradenství sociálním poradcem na podporu pracovníků ECB, zaručení čehož je v souladu s čl. 25 odst. 1 písm. h) nařízení (EU) 2018/1725.

Kategorie osobních údajů, v souvislosti s nimiž mohou být uplatněna omezení uvedená v odstavci 1, jsou uvedeny v přílohách I až XIV tohoto rozhodnutí.

2.   Správce může omezení uplatnit pouze tehdy, pokud na základě individuálního posouzení dojde k závěru, že omezení:

a)

je nezbytné a přiměřené s ohledem na rizika pro práva a svobody subjektu údajů a

b)

respektuje podstatu základních práv a svobod v demokratické společnosti.

3.   Správce své posouzení zdokumentuje v oznámení o interním posouzení, které obsahuje právní základ, důvody omezení, práva subjektů údajů, která jsou omezena, dotčené subjekty údajů, nezbytnost a přiměřenost omezení a pravděpodobnou délku jeho trvání.

4.   Rozhodnutí správce omezit práva subjektu údajů podle odstavce 1 se přijímá na úrovni vedoucího nebo zástupce vedoucího příslušné organizační složky, v níž se provádí hlavní operace zpracování osobních údajů.

Článek 4

Poskytování obecných informací o omezeních

Správce poskytuje obecné informace o možném omezení práv subjektu údajů takto:

a)

správce uvede práva, která mohou být omezena, důvody omezení a možnou délku jeho trvání;

b)

správce zahrne informace uvedené v písmeni a) do svých oznámení o ochraně osobních údajů, prohlášení o ochraně soukromí a záznamů o činnostech zpracování podle článku 31 nařízení (EU) 2018/1725.

Článek 5

Omezení práva subjektů údajů na přístup k osobním údajům, práva na opravu, práva na výmaz nebo práva na omezení zpracování

1.   Pokud správce zcela nebo částečně omezí právo na přístup k údajům, právo na opravu, právo na výmaz nebo právo na omezení zpracování uvedené v článku 17, článku 18, čl. 19 odst. 1 a čl. 20 odst. 1 nařízení (EU) 2018/1725, je povinen ve své písemné odpovědi na žádost ve lhůtě uvedené v čl. 11 odst. 5 rozhodnutí (EU) 2020/655 (ECB/2020/28) informovat dotčený subjekt údajů o uplatněném omezení, o jeho hlavních důvodech a o možnosti podat stížnost u evropského inspektora ochrany údajů nebo žádat o soudní ochranu u Soudního dvora Evropské unie.

2.   Správce uchovává oznámení o interním posouzení uvedené v čl. 3 odst. 3 a případně dokumenty obsahující relevantní věcné a právní prvky, a na požádání je zpřístupní pověřenci pro ochranu osobních údajů a evropskému inspektorovi ochrany údajů.

3.   Správce může odložit, neprovést nebo odepřít poskytnutí informací o důvodech omezení uvedeného v odstavci 1 po dobu, kdy by toto poskytnutí informací mařilo účel omezení. Jakmile správce zjistí, že poskytnutí informací již nemaří účel omezení, poskytne tyto informace subjektu údajů.

Článek 6

Délka omezení

1.   Správce omezení zruší, jakmile pominou okolnosti, které toto omezení odůvodňovaly.

2.   Pokud správce zruší omezení podle odstavce 1, je povinen neprodleně:

a)

informovat subjekt údajů o hlavních důvodech, na nichž bylo uplatnění omezení založeno, pokud tak již neučinil;

b)

informovat subjekt údajů o právu podat stížnost u evropského inspektora ochrany údajů nebo žádat o soudní ochranu u Soudního dvora Evropské unie;

c)

přiznat subjektu údajů právo, které podléhalo zrušenému omezení.

3.   Správce každých šest měsíců opětovně posoudí potřebu zachovat omezení uplatňované podle tohoto rozhodnutí a opětovné posouzení zdokumentuje v oznámení o interním posouzení.

Článek 7

Záruky

ECB uplatňuje organizační a technické záruky vymezené v příloze XV s cílem zabránit zneužití údajů nebo protiprávnímu přístupu k nim či jejich protiprávnímu předání.

Článek 8

Přezkum pověřencem pro ochranu osobních údajů

1.   Pokud správce omezí uplatňování práv subjektu údajů, zajistí průběžné zapojení pověřence pro ochranu osobních údajů. Platí zejména tato ustanovení:

a)

správce bez zbytečného odkladu konzultuje pověřence pro ochranu osobních údajů;

b)

správce pověřenci pro ochranu osobních údajů na žádost poskytne přístup k veškerým dokumentům obsahujícím věcné a právní prvky, z nichž omezení vycházejí, včetně oznámení o interním posouzení podle čl. 3 odst. 3;

c)

správce zdokumentuje, jak byl pověřenec pro ochranu osobních údajů zapojen, včetně příslušných poskytnutých informací, a zejména data první konzultace podle písmene a);

d)

pověřenec pro ochranu osobních údajů může správce požádat, aby omezení přezkoumal;

e)

správce pověřence pro ochranu osobních údajů bez zbytečného odkladu a v každém případě před uplatněním jakéhokoli omezení písemně informuje o výsledku požadovaného přezkumu.

2.   Správce informuje pověřence pro ochranu osobních údajů o opětovném posouzení omezení v souladu s čl. 6 odst. 3 nebo o jeho zrušení.

Článek 9

Vstup v platnost

Toto rozhodnutí vstupuje v platnost dvacátým dnem po zveřejnění v Úředním věstníku Evropské unie.

Ve Frankfurtu nad Mohanem dne 22. listopadu 2022.

Prezidentka ECB

Christine LAGARDE

(1)   Úř. věst. L 295, 21.11. 2018, s. 39.

(2)  Rozhodnutí Evropské centrální banky (EU) 2020/655 ze dne 5. května 2020, kterým se přijímají prováděcí pravidla týkající se ochrany údajů v Evropské centrální bance a zrušuje rozhodnutí ECB/2007/1 (ECB/2020/28) (Úř. věst. L 152, 15.5.2020, s. 13).

(3)  Administrativní oběžník č. 01/2006 byl přijat dne 21. března 2006 a je k dispozici na internetových stránkách ECB.

(4)  Rozhodnutí Evropské centrální banky (EU) 2016/456 ze dne 4. března 2016 o podmínkách vyšetřování prováděného Evropským úřadem pro boj proti podvodům v Evropské centrální bance v souvislosti s předcházením podvodům, úplatkářství a jakýmkoli jiným protiprávním činnostem ohrožujícím finanční zájmy Unie (ECB/2016/3) (Úř. věst. L 79, 30.3.2016, s. 34).

(5)  Rozhodnutí Evropské centrální banky (EU) 2016/1162 ze dne 30. června 2016 o poskytování důvěrných informací v souvislosti s vyšetřováním trestných činů (ECB/2016/19) (Úř. věst. L 192, 16.7.2016, s. 73).

(6)  Nařízení Rady (EU) č. 1024/2013 ze dne 15. října 2013, kterým se Evropské centrální bance svěřují zvláštní úkoly týkající se politik, které se vztahují k obezřetnostnímu dohledu nad úvěrovými institucemi (Úř. věst. L 287, 29.10.2013, s. 63).

(7)  Nařízení Rady (EU) 2017/1939 ze dne 12. října 2017, kterým se provádí posílená spolupráce za účelem zřízení Úřadu evropského veřejného žalobce (Úř. věst. L 283, 31.10.2017, s. 1).

PŘÍLOHA I

Posuzování a oznamování možných porušení pracovních povinností a v případě potřeby jejich následné šetření a následná opatření

Omezení uvedené v čl. 3 odst. 1 písm. a) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

finanční údaje (např. informace o platu, příspěvcích nebo soukromých transakcích);

e)

údaje o rodině, životním stylu a sociální situaci;

f)

lokalizační údaje;

g)

údaje o dodaném zboží nebo poskytnutých službách;

h)

údaje o externích aktivitách;

i)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

j)

jakékoli jiné údaje týkající se posuzování a oznamování možných porušení pracovních povinností a v případě potřeby jejich následného šetření a následných opatření.

PŘÍLOHA II

Neformální nebo formální postupy týkající se důstojnosti při práci, včetně posuzování případů, které mohou vést k takovému postupu, jak je uvedeno v části 0.5 pravidel pro zaměstnance ECB

Omezení uvedené v čl. 3 odst. 1 písm. b) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

finanční údaje (např. informace o platu, příspěvcích nebo soukromých transakcích);

e)

údaje o rodině, životním stylu a sociální situaci;

f)

lokalizační údaje;

g)

údaje o dodaném zboží nebo poskytnutých službách;

h)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

i)

jakékoli jiné údaje týkající se neformálních nebo formálních postupů týkajících se důstojnosti při práci, včetně posuzování případů, které mohou vést k takovému postupu, jak je uvedeno v části 0.5 pravidel pro zaměstnance ECB.

PŘÍLOHA III

Plnění funkcí generálního ředitelství pro lidské zdroje v souladu s pracovněprávním rámcem v ECB

Omezení uvedené v čl. 3 odst. 1 písm. c) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

finanční údaje (např. informace o platu, příspěvcích nebo soukromých transakcích);

e)

údaje o rodině, životním stylu a sociální situaci;

f)

lokalizační údaje;

g)

údaje o dodaném zboží nebo poskytnutých službách;

h)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

i)

jakékoli jiné údaje zahrnuté do posuzování jednotlivých případů nebo související s ním, zejména těch, které mohou mít za následek rozhodnutí s nepříznivým dopadem na pracovníky ECB, a zahrnuté do přezkoumávání vnitřních odvolání podaných pracovníky ECB a následných opatření nebo související s nimi;

j)

jakékoli jiné údaje týkající se výběrových řízení.

PŘÍLOHA IV

Přezkoumávání vnitřních odvolání a následná opatření

Omezení uvedené v čl. 3 odst. 1 písm. d) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

finanční údaje (např. informace o platu, příspěvcích nebo soukromých transakcích);

e)

údaje o rodině, životním stylu a sociální situaci;

f)

lokalizační údaje;

g)

údaje o dodaném zboží nebo poskytnutých službách;

h)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

i)

jakékoli jiné údaje zahrnuté do posuzování jednotlivých případů nebo související s ním, zejména těch, které mohou mít za následek rozhodnutí s nepříznivým dopadem na pracovníky ECB, a zahrnuté do přezkoumávání vnitřních odvolání podaných pracovníky ECB a následných opatření nebo související s nimi.

PŘÍLOHA V

Oznamování protiprávní činnosti nebo porušení pracovních povinností prostřednictvím jakéhokoli prostředku včetně nástroje ECB pro oznamování porušení, nebo posuzování žádostí o ochranu oznamovatelů nebo svědků ze strany kanceláře pro compliance, správu a řízení

Omezení uvedené v čl. 3 odst. 1 písm. e) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

finanční údaje (např. informace o platu, příspěvcích nebo soukromých transakcích);

e)

údaje o rodině, životním stylu a sociální situaci;

f)

lokalizační údaje;

g)

údaje o dodaném zboží nebo poskytnutých službách;

h)

údaje o externích aktivitách;

i)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

j)

jakékoli jiné údaje týkající se údajné protiprávní činnosti nebo údajného porušení pracovních povinností nebo jakékoli žádosti o ochranu oznamovatelů nebo svědků.

PŘÍLOHA VI

Činnosti kanceláře pro compliance, správu a řízení podle pravidel pro zaměstnance ECB

Omezení uvedené v čl. 3 odst. 1 písm. f) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

finanční údaje (např. informace o soukromých transakcích);

e)

údaje o rodině, životním stylu a sociální situaci;

f)

údaje o externích aktivitách;

g)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

h)

jakékoli jiné údaje týkající se aktivit, které byly oznámeny kanceláři pro compliance, správu a řízení nebo které tato kancelář prošetřuje.

PŘÍLOHA VII

Audity prováděné ředitelstvím pro interní audit a vyšetřovací činnosti nebo interní správní šetření

Omezení uvedené v čl. 3 odst. 1 písm. g) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

finanční údaje (např. informace o platu, příspěvcích nebo soukromých transakcích);

e)

údaje o rodině, životním stylu a sociální situaci;

f)

údaje o externích aktivitách;

g)

lokalizační údaje;

h)

údaje o dodaném zboží nebo poskytnutých službách;

i)

sociální údaje a údaje o chování a další typy údajů, které jsou specifické pro danou operaci zpracování;

j)

informace o správních řízeních nebo jiných šetřeních;

k)

elektronické provozní údaje;

l)

údaje z kamerového dohledu;

m)

zvukové záznamy;

n)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

o)

údaje týkající se trestního řízení, sankcí nebo jiných správních postihů;

p)

jakékoli jiné údaje týkající se auditů prováděných ředitelstvím pro interní audit a jakékoli vyšetřovací činnosti nebo interního správního šetření.

PŘÍLOHA VIII

Plnění úkolů ECB podle rozhodnutí (EU) 2016/456 (ECB/2016/3)

Omezení uvedené v čl. 3 odst. 1 písm. h) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

finanční údaje (např. informace o platu nebo příspěvcích nebo o soukromých transakcích);

e)

údaje o rodině, životním stylu a sociální situaci;

f)

údaje o externích aktivitách;

g)

lokalizační údaje;

h)

informace o dodaném zboží nebo poskytnutých službách;

i)

elektronické provozní údaje;

j)

údaje z kamerového dohledu;

k)

zvukové záznamy;

l)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

m)

jakékoli jiné údaje týkající se plnění úkolů ECB podle rozhodnutí (EU) 2016/456 (ECB/2016/3).

PŘÍLOHA IX

Vyšetřování prováděná pověřencem pro ochranu osobních údajů podle čl. 4 písm. b) rozhodnutí (EU) 2020/655 (ECB/2020/28)

Omezení uvedené v čl. 3 odst. 1 písm. i) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

finanční údaje (např. informace o platu nebo příspěvcích nebo o soukromých transakcích);

e)

údaje o rodině, životním stylu a sociální situaci;

f)

údaje o externích aktivitách;

g)

lokalizace údajů;

h)

údaje o dodaném zboží nebo poskytnutých službách;

i)

elektronické provozní údaje;

j)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

k)

jakékoli jiné údaje týkající se vyšetřování prováděných pověřencem pro ochranu osobních údajů podle čl. 4 písm. b) rozhodnutí (EU) 2020/655 (ECB/2020/28).

PŘÍLOHA X

Vyšetřování za účelem zajištění fyzické bezpečnosti osob, prostor a majetku v ECB, shromažďování informací o hrozbách a analýza bezpečnostních incidentů

Omezení uvedené v čl. 3 odst. 1 písm. j) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

lokalizační údaje;

e)

údaje o rodině, životním stylu a sociální situaci;

f)

elektronické provozní údaje;

g)

údaje z kamerového dohledu;

h)

zvukové záznamy;

i)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

j)

údaje týkající se probíhajících trestních řízení nebo rejstříku trestů;

k)

jakékoli jiné údaje týkající se vyšetřování za účelem zajištění fyzické bezpečnosti osob, prostor a majetku v ECB, shromažďování informací o hrozbách nebo analýzy bezpečnostních incidentů.

PŘÍLOHA XI

Soudní řízení

Omezení uvedené v čl. 3 odst. 1 písm. k) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

finanční údaje (např. informace o platu, příspěvcích nebo soukromých transakcích);

e)

údaje o rodině, životním stylu a sociální situaci;

f)

údaje o externích aktivitách;

g)

lokalizace údajů;

h)

elektronické provozní údaje;

i)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

j)

jakékoli jiné údaje týkající se soudních řízení.

PŘÍLOHA XII

Spolupráce mezi ECB a vnitrostátními orgány zabývajícími se vyšetřováním trestných činů, Úřadem evropského veřejného žalobce a subjekty EU, které vykonávají funkci dohledu, kontroly nebo auditu, jíž ECB podléhá

Omezení uvedené v čl. 3 odst. 1 písm. l) až n) tohoto rozhodnutí lze uplatnit na všechny kategorie osobních údajů uvedené v přílohách I až XI, jakož i na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

identifikační údaje;

b)

kontaktní údaje;

c)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

d)

finanční údaje (např. informace o platu, příspěvcích nebo soukromých transakcích);

e)

údaje o rodině, životním stylu a sociální situaci;

f)

údaje o externích aktivitách;

g)

lokalizační údaje;

h)

údaje o dodaném zboží nebo poskytnutých službách;

i)

údaje z kamerového dohledu;

j)

elektronické provozní údaje;

k)

zvukové záznamy;

l)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

m)

informace o správních řízeních nebo jiných šetřeních;

n)

údaje týkající se trestního řízení, sankcí nebo jiných správních postihů;

o)

jakékoli jiné údaje týkající se spolupráce mezi ECB a vnitrostátními orgány zabývajícími se vyšetřováním trestných činů, Úřadem evropského veřejného žalobce a subjekty EU, které vykonávají funkci dohledu, kontroly nebo auditu, jíž ECB podléhá.

PŘÍLOHA XIII

Plnění úkolů mediátora

Omezení uvedené v čl. 3 odst. 1 písm. o) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

kontaktní údaje;

b)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

c)

finanční údaje (např. informace o platu, příspěvcích nebo soukromých transakcích);

d)

údaje o rodině, životním stylu a sociální situaci;

e)

sociální údaje a údaje o chování a další druhy údajů, které jsou specifické pro danou operaci zpracování;

f)

informace o správních řízeních nebo jiných regulatorních šetřeních;

g)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

h)

jakékoli další údaje týkající se plnění úkolů mediátora.

PŘÍLOHA XIV

Poskytování poradenství sociálním poradcem

Omezení uvedené v čl. 3 odst. 1 písm. p) tohoto rozhodnutí lze uplatnit na kategorie údajů uvedené v příslušných záznamech o zpracování, a zejména na tyto kategorie osobních údajů:

a)

kontaktní údaje;

b)

profesní údaje, včetně údajů týkajících se vzdělání, odborné přípravy a zaměstnání;

c)

finanční údaje (např. informace o platu, příspěvcích nebo soukromých transakcích);

d)

údaje o rodině, životním stylu a sociální situaci;

e)

sociální údaje a údaje o chování a další druhy údajů, které jsou specifické pro danou operaci zpracování;

f)

informace o správních řízeních nebo jiných regulatorních šetřeních;

g)

údaje, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, genetické údaje nebo biometrické údaje, údaje o zdravotním stavu nebo údaje o sexuálním životě či sexuální orientaci fyzické osoby;

h)

jakékoli další údaje týkající se poskytování poradenství sociálním poradcem.

PŘÍLOHA XV

Mezi organizační a technické záruky, které ECB uplatňuje s cílem zabránit zneužití nebo protiprávnímu zpracování osobních údajů, patří:

a)

pokud jde o osoby:

i)

odpovědnost všech osob, které mají přístup k neveřejným informacím ECB, za to, že znají a uplatňují zásady a pravidla ECB týkající se správy a důvěrnosti informací;

ii)

postup bezpečnostní prověrky, který zajišťuje, aby do prostor ECB a k jejím neveřejným informacím měly přístup pouze prověřené a oprávněné osoby;

iii)

osvětová opatření v oblasti bezpečnosti IT a informací a fyzické bezpečnosti, jakož i školení v těchto oblastech, která jsou pravidelně pořádána pro pracovníky ECB a externí poskytovatele služeb;

iv)

přísná pravidla služebního tajemství stanovená v pracovním řádu a pravidlech pro zaměstnance ECB, která se vztahují na pracovníky ECB a jejichž porušení vede k disciplinárním sankcím;

v)

pravidla a povinnosti, které upravují přístup externích poskytovatelů služeb nebo dodavatelů k neveřejným informacím ECB a které jsou stanoveny ve smluvních ujednáních;

vi)

uplatňování kontrol přístupu včetně bezpečnostních zón, které zajišťují, že přístup osob k neveřejným informacím ECB je povolen a omezen na základě provozních potřeb a bezpečnostních požadavků;

b)

pokud jde o postupy:

i)

postupy k zajištění kontrolovaného zavádění, provozu a údržby IT aplikací podporujících činnost ECB;

ii)

používání takových IT aplikací při činnosti ECB, které splňují bezpečnostní standardy ECB;

iii)

provozování komplexního programu fyzické bezpečnosti, v jehož rámci jsou průběžně vyhodnocovány bezpečnostní hrozby a který zahrnuje opatření fyzické bezpečnosti k zajištění odpovídající úrovně ochrany;

c)

pokud jde o technologii:

i)

uchovávání všech elektronických údajů v IT aplikacích, které splňují bezpečnostní standardy ECB, což zajišťuje ochranu těchto údajů před neoprávněným přístupem nebo změnou;

ii)

zavádění, provoz a údržba IT aplikací na úrovni bezpečnosti odpovídající požadavkům IT aplikací, pokud jde o důvěrnost, integritu a dostupnost, které vycházejí z analýzy dopadů na činnost;

iii)

pravidelné ověřování úrovně bezpečnosti IT aplikací prostřednictvím technických a netechnických hodnocení bezpečnosti;

iv)

udělování přístupu k neveřejným informacím ECB v souladu se zásadou, podle níž je získání takových informací podmíněno potřebou je znát, a přísné omezení a striktní kontrola privilegovaného přístupu;

v)

zavedení kontrolních mechanismů s cílem odhalovat skutečné a potenciální narušení bezpečnosti a přijímat následná opatření.