2.12.2022   

DA

Den Europæiske Unions Tidende

L 311/176

DEN EUROPÆISKE CENTRALBANKS AFGØRELSE (EU) 2022/2359

af 22. november 2022

om vedtagelse af interne regler vedrørende begrænsninger af registreredes rettigheder i forbindelse med Den Europæiske Centralbanks interne funktion (ECB/2022/42)

DIREKTIONEN FOR DEN EUROPÆISKE CENTRALBANK HAR —

under henvisning til traktaten om Den Europæiske Unions funktionsmåde,

under henvisning til statutten for Det Europæiske System af Centralbanker og Den Europæiske Centralbank, særlig artikel 11.6,

under henvisning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (1), særlig artikel 25, og

ud fra følgende betragtninger:

(1)

Den Europæiske Centralbank (ECB) udfører sine opgaver i overensstemmelse med traktaterne.

(2)

I overensstemmelse med artikel 45, stk. 3, i forordning (EU) 2018/1725 er de generelle regler, der gennemfører forordning (EU) 2018/1725, for så vidt angår ECB, fastsat i Den Europæiske Centralbanks afgørelse (EU) 2020/655 (ECB/2020/28) (2). Den fastsætter navnlig reglerne for udnævnelsen af og rollen for den databeskyttelsesansvarlige i ECB, herunder den databeskyttelsesansvarliges hverv, opgaver og beføjelser.

(3)

Ved udførelsen af de opgaver, der er overdraget til ECB, fungerer ECB og navnlig den pågældende organisatoriske enhed som dataansvarlig for så vidt som den, alene eller sammen med andre, afgør til hvilket formål og med hvilke midler, der må foretages behandling af personoplysninger.

(4)

I forbindelse med ECB's interne drift er forskellige forretningsområder i ECB (herunder Generaldirektoratet for Human Resources (DG/HR), Compliance and Governance-kontoret (CGO), Direktoratet for Intern Revision (D/IA) og Generaldirektoratet for Juridiske Tjenester (DG/L)) overdraget opgaver inden for de retlige rammer, der regulerer ansættelse i ECB, og som omfatter behandling af personoplysninger. Sådanne opgaver kan for eksempel omfatte foranstaltninger, der er truffet i forbindelse med potentielle overtrædelser af tjenestepligter (herunder undersøgelser af upassende adfærd i henhold til ECB’s ramme for værdighed på arbejdspladsen og opfølgningen på indberetningen af ulovlige aktiviteter eller overtrædelse af tjenestepligter, der indgives via en hvilken som helst kanal, herunder bl.a. ECB's whistleblowing-værktøj), opgaver vedrørende udnævnelsesprocedurer, opgaver varetaget af DG/HR under udførelsen af dets funktioner i forbindelse med resultatstyring, forfremmelse, direkte udnævnelse af ECB's personale, professionel udvikling, herunder kalibrering af talent i og på tværs af forretningsområder, lønforhøjelse og bonus og afgørelser om mobilitet og orlov; undersøgelsen af interne klager fremsat af ansatte i ECB (herunder gennem den administrative revision, klageprocedurer, særlige klageprocedurer eller lægefaglige udvalg) og opfølgning på disse, CGO's rådgivende opgaver i henhold til ECB's etiske ramme (der er fastsat i del 0 i ECB's personaleregler) og CGO's opgaver i forbindelse med overvågningen af private finansielle aktiviteter med henblik på overholdelse (herunder samarbejde med eksterne tjenesteudbydere udnævnt i henhold til artikel 0.4.3.3 i ECB's personaleregler og de revisioner, der udføres af D/IA og de opgaver, der udføres inden for rammerne af administrativt cirkulære 01/2006 om interne administrative undersøgelser (3), når de udfører undersøgende aktiviteter og administrative undersøgelser i tilfælde, der kan have disciplinære dimensioner, der omfatter ansatte i ECB (herunder opgaver for de personer, der foretager undersøgelsen eller undersøgelsespanelet, hvis de har pligt til at indsamle beviser og fastlægge de relevante faktiske forhold).

(5)

I henhold til Den Europæiske Centralbanks afgørelse (EU) 2016/456 (ECB/2016/3) (4) skal ECB på anmodning eller på eget initiativ videregive oplysninger, som ECB er i besiddelse af, og som giver anledning til mistanke om eventuelle tilfælde af svig, korruption eller anden ulovlig aktivitet, der skader Unionens finansielle interesser, til Det Europæiske Kontor for Bekæmpelse af Svig. I henhold til afgørelse (EU) 2016/456 (ECB/2016/3) skal interesserede parter i et sådant tilfælde underrettes hurtigt, hvis det ikke skader undersøgelsen, og under alle omstændigheder kan der ikke drages nogen konklusioner, hvori der henvises til interesserede parter ved navns nævnelse, uden at de berørte parter får mulighed for at udtale sig om alle de forhold, der vedrører dem, herunder beviser mod dem.

(6)

I henhold til artikel 4, litra b), i afgørelse (EU) 2020/655 (ECB/2020/28) skal den databeskyttelsesansvarlige undersøge spørgsmål og hændelser vedrørende databeskyttelse enten på eget initiativ eller efter anmodning fra ECB.

(7)

Afdelingen for Beskyttelse og Sikkerhed i Direktoratet for Administration er ansvarlig for at gennemføre undersøgelser med henblik på at sikre beskyttelsen af den fysiske sikkerhed i ECB for personer, lokaler og ejendom, for at indsamle trusselsefterretninger for at foretage analyser af sikkerhedshændelser.

(8)

ECB har pligt til at samarbejde loyalt med nationale myndigheder, herunder nationale myndighed, der varetager strafferetlig forfølgelse. Navnlig kan ECB i henhold til Den Europæiske Centralbanks afgørelse (EU) 2016/1162 (ECB/2016/19) (5) på anmodning af en national myndighed, der varetager strafferetlig efterforskning, under visse betingelser fremsende fortrolige oplysninger, som er i dens besiddelse, vedrørende de opgaver, som er overdraget til ECB ved Rådets forordning (EU) nr. 1024/2013 (6) eller andre ESCB/Eurosystem-opgaver, til en kompetent national myndighed eller en national centralbank til videregivelse til den pågældende nationale myndighed, der varetager strafferetlig efterforskning.

(9)

I henhold til Rådets forordning (EU) 2017/1939 (7) skal ECB omgående overdrage alle oplysninger til Den Europæiske Anklagemyndighed (EPPO), når der opstår mistanke om, at der er begået en lovovertrædelse, der henhører under dens kompetence.

(10)

ECB skal samarbejde med EU-organerne, der udøver en tilsyns-, overvågnings- eller revisionsfunktion, som ECB er omfattet af, såsom Den Europæiske Tilsynsførende for Databeskyttelse, Den Europæiske Revisionsret og Den Europæiske Ombudsmand, under udførelsen af deres respektive opgaver. I den forbindelse kan ECB behandle personoplysninger for at kunne besvare anmodninger fra, høre og fremsende oplysninger til sådanne organer.

(11)

I henhold til ECB's interne tvistbilæggelsesramme kan ECB's personale til enhver tid og på en hvilken som helst måde kontakte en mægler for at bede om mæglerens støtte til at løse eller forhindre en arbejdsrelateret tvist. I henhold til rammen er al kommunikation med mægleren beskyttet af fortrolighed. Alt, hvad der tales om under mæglingsprocessen betragtes som privilegeret, og de enkelte parter, som deltager i mæglingen, må udelukkende anvende de pågældende informationer i forbindelse med mæglingsprocessen, med forbehold af eventuelle retssager. Undtagelsesvis kan mægleren videregive informationer, hvis det er nødvendigt for at forhindre en overhængende risiko for, at en persons fysiske eller mentale integritet vil lide alvorlig skade.

(12)

ECB bestræber sig på at sikre arbejdsforhold, som beskytter ECB's personales sundhed og sikkerhed, og som respekterer medarbejdernes værdighed på arbejdspladsen ved at stille rådgivende tjenester til rådighed som støtte. ECB's personale kan anmode om hjælp fra en socialrådgiver i alle anliggender, herunder følelsesmæssige, personlige og arbejdsrelaterede spørgsmål. Socialrådgiveren har ikke adgang til personalemapperne for ECB's personale, medmindre de udtrykkeligt har givet tilladelse hertil. Oplysninger, der modtages, eller udtalelser, som en person afgiver til socialrådgiveren, må ikke offentliggøres, medmindre den pågældende person udtrykkeligt har givet tilladelse, eller det kræves i henhold til lovgivningen.

(13)

ECB behandler i forbindelse med sin interne funktion flere kategorier af data, der kan være relateret til en identificeret eller identificerbar fysisk person. Bilagene til denne afgørelse indeholder ikke-udtømmende lister over de kategorier af personoplysninger, som behandles af ECB i forbindelse med dens interne funktion. Personoplysninger kan også indgå i en vurdering, herunder en vurdering foretaget af det ansvarlige forretningsområde i forbindelse med det spørgsmål, der undersøges, herunder f.eks. en vurdering foretaget af DG/HR, DG/L, D/IA eller af et disciplinærudvalg eller et undersøgelsespanel vedrørende overtrædelse af tjenestepligter.

(14)

I forbindelse med betragtning 4-13 er det hensigtsmæssigt at præcisere grundene til, at ECB kan begrænse registreredes rettigheder.

(15)

I forbindelse med udførelsen af sine opgaver er det ECB’s hensigt at forfølge vigtige mål i almenhedens interesse i Unionen. Udførelsen af sådanne opgaver bør derfor sikres som omhandlet i forordning (EU) 2018/1725, særlig artikel 25, stk. 1, litra b), c), d), f), g) og h).

(16)

I overensstemmelse med artikel 25, stk. 1, i forordning (EU) 2018/1725 bør begrænsninger i anvendelsen af artikel 14-22, 35 og 36, og for så vidt bestemmelserne svarer til de rettigheder og forpligtelser, der er fastsat i artikel 14-22, forordningens artikel 4 fastsættes i interne regler eller retsakter vedtaget på grundlag af traktaterne. ECB bør derfor fastsætte regler, hvorefter registreredes rettigheder kan begrænses i forbindelse med udførelsen af sine opgaver.

(17)

ECB bør begrunde, hvorfor sådanne begrænsninger af registreredes rettigheder er strengt nødvendige og forholdsmæssige i et demokratisk samfund for at sikre de mål, der forfølges under udøvelsen af dens officielle myndighed og de dermed forbundne funktioner, og hvordan ECB respekterer kernen i de grundlæggende rettigheder og frihedsrettigheder, samtidig med at den pålægger en sådan begrænsning.

(18)

Inden for disse rammer er ECB forpligtet til i videst muligt omfang at respektere de registreredes grundlæggende rettigheder, navnlig de, der vedrører retten til information, indsigt og berigtigelse, retten til sletning, begrænsning af behandling, retten til underretning om et brud på persondatasikkerheden til den registrerede eller kommunikationshemmeligheden som fastsat i forordning (EU) 2018/1725.

(19)

ECB kan dog være forpligtet til at begrænse de oplysninger, der gives til registrerede, og andre registreredes rettigheder for at beskytte udførelsen af sine opgaver, navnlig sine egne undersøgelser og procedurer, andre offentlige myndigheders undersøgelser og procedurer og andre personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med sine undersøgelser eller andre procedurer.

(20)

ECB bør ophæve en restriktion, der allerede er blevet anvendt, i det omfang den ikke længere er nødvendig.

(21)

Den databeskyttelsesansvarlige bør gennemgå anvendelsen af begrænsninger med henblik på at sikre overholdelse af denne afgørelse og forordning (EU) 2018/1725.

(22)

Selv om denne afgørelse fastsætter de regler, i henhold til hvilke ECB kan begrænse registreredes rettigheder, når ECB behandler personoplysninger i forbindelse med sin interne funktion, har direktionen vedtaget en særskilt afgørelse om vedtagelse af interne regler om begrænsning af rettigheder i forbindelse med udførelsen af dens tilsynsopgaver.

(23)

ECB kan anvende en undtagelse i henhold til forordning (EU) 2018/1725, som gør det unødvendigt at overveje en begrænsning, herunder navnlig de undtagelser, der er omhandlet i forordningens artikel 15, stk. 4, artikel 16, stk. 5, artikel 19, stk. 3, og artikel 35, stk. 3.

(24)

Undtagelser fra de registreredes rettigheder, der er omhandlet i artikel 17, 18, 20, 21, 22 og 23 i forordning (EU) 2018/1725 med henblik på arkivering i samfundets interesse, kan fastsættes i interne regler eller retsakter, der vedtages på grundlag af traktaterne af ECB i forbindelse med arkivering, på de betingelser og med de garantier, der kræves i henhold til artikel 25, stk. 4, i forordning (EU) 2018/1725.

(25)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 41, stk. 2, i forordning (EU) 2018/1725 og afgav en udtalelse den 12. marts 2021.

(26)

Personaleudvalget er blevet hørt —

VEDTAGET DENNE AFGØRELSE:

Artikel 1

Genstand og anvendelsesområde

1.   I denne afgørelse fastsættes reglerne om ECB's begrænsning af de registreredes rettigheder i forbindelse med behandling af personoplysninger som registreret i det centrale register i forbindelse med dens interne funktion.

2.   De registreredes rettigheder, som kan begrænses, er angivet i følgende artikler i forordning (EU) 2018/1725:

a)

Artikel 14 (gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder)

b)

Artikel 15 (oplysningspligt ved indsamling af personoplysninger hos den registrerede)

c)

Artikel 16 (oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede)

d)

Artikel 17 (den registreredes indsigtsret)

e)

Artikel 18 (ret til berigtigelse)

f)

Artikel 19 (ret til sletning (»ret til at blive glemt«))

g)

Artikel 20 (ret til begrænsning af behandling)

h)

Artikel 21 (underretningspligt i forbindelse med berigtigelse eller sletning af personoplysninger eller begrænsning af behandling)

i)

Artikel 22 (ret til dataportabilitet)

j)

Artikel 35 (underretning om brud på persondatasikkerheden til den registrerede)

k)

Artikel 36 (fortrolighed af elektronisk kommunikation)

l)

Artikel 4 i det omfang, bestemmelserne svarer til de rettigheder og forpligtelser, der er fastsat i artikel 14-22 i forordning (EU) 2018/1725.

Artikel 2

Definitioner

I denne afgørelse forstås ved:

1)

»behandling«: behandling som defineret i artikel 3, nr. 3), i forordning (EU) 2018/725

2)

»personoplysninger«: personoplysninger som defineret i artikel 3, nr. 1), i forordning (EU) 2018/1725

3)

»den registrerede«: en identificeret eller identificerbar fysisk person. Ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet

4)

»centralt register«: det offentligt tilgængelige register over alle behandlingsaktiviteter vedrørende personoplysninger, der udføres i ECB, og som opbevares af den databeskyttelsesansvarlige, jf. artikel 9 i afgørelse (EU) 2020/655 (ECB/2020/28)

5)

»dataansvarlig«: ECB og navnlig den kompetente organisatoriske enhed i ECB, der alene eller sammen med andre afgør, til hvilket formål og med hvilke midler der må foretages behandling af personoplysninger, og som er ansvarlig for behandlingen

6)

»EU-institutioner og -organer«: EU-institutioner og -organer som defineret i artikel 3, nr. 10), i forordning (EU) 2018/1725.

Artikel 3

Anvendelse af begrænsninger

1.   For så vidt angår de behandlingsaktiviteter vedrørende personoplysninger, der er fastsat i artikel 1, stk. 1, kan den dataansvarlige begrænse de rettigheder, der er omhandlet i artikel 1, stk. 2, for at beskytte de interesser og mål, der er omhandlet i artikel 25, stk. 1, i forordning (EU) 2018/1725, hvis udøvelsen af disse rettigheder ville bringe en af følgende i fare:

a)

vurderingen og indberetningen af potentielle overtrædelser af tjenestepligter og om nødvendigt efterfølgende undersøgelse og opfølgning, herunder tjenestefritagelse, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra b), c), f) og/eller h), i forordning (EU) 2018/1725

b)

de uformelle og/eller formelle procedurer vedrørende værdighed på arbejdspladsen, herunder behandling af sager, der kan føre til en sådan procedure som fastsat i del 0.5 i ECB's personaleregler, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra b), c), f) og/eller h), i forordning (EU) 2018/1725

c)

den korrekte udførelse af GD/HR's funktioner i henhold til den arbejdsretlige ramme i ECB vedrørende resultatstyring, forfremmelsesprocedurer eller direkte udnævnelse af ECB's personale, udvælgelsesprocedurer og faglig udvikling, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra c) og/eller h), i forordning (EU) 2018/1725

d)

undersøgelsen af interne klager indgivet af ECB’s personale, (herunder gennem den administrative revision, klageprocedurer, særlige klageprocedurer eller lægefaglige udvalg) og opfølgning på disse, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra b), c) og/eller h), i forordning (EU) 2018/1725

e)

indberetning af ulovlige aktiviteter eller overtrædelser af tjenestepligter via ECB's whistleblowing-værktøj eller vurderingen af anmodninger fra Compliance and Governance-kontoret (CGO) om beskyttelse af whistleblowere eller vidner mod gengældelse, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra b), c), f) og/eller h), i forordning (EU) 2018/1725

f)

CGO's aktiviteter i henhold til ECB's etiske rammer, der er fastsat i del 0 i ECB's personaleregler, og reglerne for udvælgelse og udnævnelse i del 1A i ECB's personaleregler og overvågningen af private finansielle aktiviteter med henblik på overholdelse, herunder både de funktioner, der varetages af den eksterne tjenesteyder, der er udpeget i henhold til artikel 0.4.3.3, i ECB's personaleregler, og vurderingen og opfølgningen vedrørende potentielle overtrædelser som følge af CGO's overvågning, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra b), c), f) og/eller h), i forordning (EU) 2018/1725

g)

revisioner foretaget af Direktoratet for Intern Revision, undersøgelsesaktiviteter og interne administrative undersøgelser, hvis beskyttelse er i overensstemmelse med artikel 25, litra b), c) og/eller h), i forordning (EU) 2018/1725

h)

udøvelsen af ECB's funktioner i henhold til afgørelse (EU) 2016/456 (ECB/2016/3), navnlig ECB’s forpligtelse til at indberette oplysninger om ulovlige aktiviteter, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra b), c), g) og/eller h), i forordning (EU) 2018/1725

i)

undersøgelser foretaget af den databeskyttelsesansvarlige om de behandlingsaktiviteter, der udføres af ECB i henhold til artikel 4, litra b), i afgørelse (EU) 2020/655 (ECB/2020/28), hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra b) og/eller h), i forordning (EU) 2018/1725

j)

undersøgelser med henblik på at sikre fysisk sikkerhed i ECB for personer, lokaler og ejendom, uanset om de håndteres internt eller med ekstern støtte, indsamling af trusselsefterretninger og analyser af sikkerhedshændelser, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra b), c), d) og/eller h), i forordning (EU) 2018/1725

k)

retssager, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra b), c) og/eller h), i forordning (EU) 2018/1725

l)

samarbejdet mellem ECB og de nationale myndigheder, der varetager strafferetlig efterforskning, navnlig videregivelse af fortrolige oplysninger, som ECB er i besiddelse af med henblik på videregivelse til en national myndighed, der varetager strafferetlig efterforskning, på dennes anmodning, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra b), c), d) og/eller h), i forordning (EU) 2018/1725

m)

Samarbejdet mellem ECB og EPPO i henhold til forordning (EU) 2017/1939, navnlig ECB’s forpligtelse til at indberette oplysninger om overtrædelser, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra b), c), d) og/eller h), i forordning (EU) 2018/1725

n)

samarbejdet med EU-organer, der udøver en tilsyns-, overvågnings- eller revisionsfunktion, som ECB er underlagt, og hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra c), d), g) og/eller h), i forordning (EU) 2018/1725

o)

udførelsen af en mæglers opgaver i henhold til ECB's interne tvistbilæggelsesramme, navnlig støtte til at hjælpe med at løse eller forebygge en arbejdsrelateret tvist, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra h), i forordning (EU) 2018/1725

p)

socialrådgiverens ydelse af rådgivningstjenester til at støtte ECB's personale, hvis beskyttelse er i overensstemmelse med artikel 25, stk. 1, litra h), i forordning (EU) 2018/1725.

De kategorier af personoplysninger, for hvilke begrænsningerne i stk. 1 finder anvendelse, er anført i bilag I-XIV til denne afgørelse.

2.   Den dataansvarlige må kun anvende en begrænsning, hvis denne efter en konkret vurdering konkluderer, at begrænsningen:

a)

er nødvendig og forholdsmæssig under hensyntagen til risiciene for den registreredes rettigheder og frihedsrettigheder

b)

respekterer kernen i de grundlæggende rettigheder og frihedsrettigheder i et demokratisk samfund.

3.   Den dataansvarlige dokumenterer sin vurdering i et internt vurderingsnotat, som skal indeholde retsgrundlaget, begrundelserne for begrænsningen, de registreredes rettigheder, som er begrænset, de pågældende registrerede, nødvendigheden og proportionaliteten af begrænsningen og begrænsningens forventede varighed.

4.   En afgørelse om at begrænse en registrerets rettigheder i henhold til stk. 1, der skal træffes af den dataansvarlige, træffes af det relevante forretningsområdes leder eller stedfortrædende leder, på hvis forretningsområde den væsentligste behandling, der involverer personoplysningerne, finder sted.

Artikel 4

Generelle oplysninger om begrænsninger

Den dataansvarlige giver generelle oplysninger om den eventuelle begrænsning af registreredes rettigheder som følger:

a)

den dataansvarlige præciserer de rettigheder, der kan begrænses, årsagerne til begrænsningen og den eventuelle varighed

b)

den dataansvarlige medtager de oplysninger, der er omhandlet i litra a), i sine databeskyttelsesmeddelelser, -erklæringer og fortegnelser over behandlingsaktiviteter, jf. artikel 31 i forordning (EU) 2018/1725.

Artikel 5

Begrænsning af registreredes indsigtsret, ret til berigtigelse, ret til sletning eller begrænsning af behandling

1.   Hvis den dataansvarlige helt eller delvist begrænser indsigtsretten, retten til berigtigelse, retten til sletning eller retten til begrænsning af behandling, jf. henholdsvis artikel 17, 18, 19, stk. 1, og 20, stk. 1, i forordning (EU) 2018/1725, underretter denne inden for den frist, der er omhandlet i artikel 11, stk. 5, i afgørelse (EU) 2020/655 (ECB/2020/28), i sit skriftlige svar på anmodningen den pågældende registrerede om den anvendte begrænsning, de vigtigste begrundelser for begrænsningen og muligheden for at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse og for at indbringe sagen for Den Europæiske Unions Domstol.

2.   Den dataansvarlige opbevarer det interne vurderingsnotat, der er omhandlet i artikel 3, stk. 3, og, hvor det er relevant, de dokumenter, der indeholder underliggende faktuelle og retlige forhold, og stiller dem efter anmodning til rådighed for den databeskyttelsesansvarlige og Den Europæiske Tilsynsførende for Databeskyttelse.

3.   Den dataansvarlige kan udsætte, undlade eller nægte at give oplysninger om årsagerne til den begrænsning, der er omhandlet i stk. 1, så længe denne videregivelse af oplysninger undergraver formålet med begrænsningen. Så snart den dataansvarlige fastslår, at videregivelse af oplysningerne ikke længere undergraver formålet med begrænsningen, fremsender den dataansvarlige disse oplysninger til den registrerede.

Artikel 6

Begrænsningernes varighed

1.   Den dataansvarlige ophæver en begrænsning, så snart de omstændigheder, der begrundede begrænsningen, ikke længere gør sig gældende.

2.   Hvis den dataansvarlige ophæver en begrænsning i henhold til stk. 1, skal den dataansvarlige straks:

a)

i det omfang det ikke allerede er sket, underrette den registrerede om de vigtigste begrundelser, som anvendelsen af en begrænsning er baseret på

b)

underrette den registrerede om den pågældendes ret til at indgive en klage til Den Europæiske Tilsynsførende for Databeskyttelse eller til at indbringe sagen for Den Europæiske Unions Domstol

c)

tildele den registrerede den ret, der var omfattet af den ophævede begrænsning.

3.   Den dataansvarlige vurderer hver sjette måned på ny behovet for at opretholde en begrænsning, der anvendes i henhold til denne afgørelse, og dokumenterer sin fornyede vurdering i et internt vurderingsnotat.

Artikel 7

Beskyttelsesforanstaltninger

ECB anvender de organisatoriske og tekniske sikkerhedsforanstaltninger, der er fastsat i bilag XV, for at forhindre misbrug eller ulovlig adgang eller overførsel.

Artikel 8

Den databeskyttelsesansvarliges gennemgang

1.   Hvis den dataansvarlige begrænser anvendelsen af en registrerets rettigheder, skal denne løbende inddrage den databeskyttelsesansvarlige. Følgende finder navnlig anvendelse:

a)

den dataansvarlige hører uden unødigt ophold den databeskyttelsesansvarlige

b)

den dataansvarlige giver på den databeskyttelsesansvarliges anmodning adgang til alle dokumenter, der indeholder underliggende faktuelle og retlige forhold, herunder det interne vurderingsnotat omhandlet i artikel 3, stk. 3

c)

den dataansvarlige dokumenterer, hvordan den databeskyttelsesansvarlige var involveret, herunder relevante oplysninger, der blev delt, navnlig datoen for den første høring af denne som omhandlet i litra a)

d)

den databeskyttelsesansvarlige kan anmode den dataansvarlige om at gennemgå begrænsningen

e)

den dataansvarlige underretter uden unødigt ophold skriftligt den databeskyttelsesansvarlige om resultatet af den gennemgang, der anmodes om, og under alle omstændigheder inden en begrænsning anvendes.

2.   Den dataansvarlige underretter den databeskyttelsesansvarlige, når begrænsningen er blevet revurderet i overensstemmelse med artikel 6, stk. 3, eller når den er blevet ophævet.

Artikel 9

Ikrafttrædelse

Denne afgørelse træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.

Udfærdiget i Frankfurt am Main, den 22. november 2022.

Christine LAGARDE

Formand for ECB

(1)  EUT L 295 af 21.11.2018, s. 39.

(2)  Den Europæiske Centralbanks afgørelse (EU) 2020/655 af 5. maj 2020 om vedtagelse af gennemførelsesbestemmelser vedrørende databeskyttelse i Den Europæiske Centralbank og om ophævelse af afgørelse ECB/2007/1 (ECB/2020/28) (EUT L 152 af 15.5.2020, s. 13).

(3)  Administrativt cirkulære 01/2006 blev vedtaget 21. marts 2006 og findes på ECB's websted.

(4)  Den Europæiske Centralbanks afgørelse (EU) 2016/456 af 4. marts 2016 om de nærmere vilkår for Det Europæiske Kontor for Bekæmpelse af Svigs undersøgelser af Den Europæiske Centralbank i forbindelse med forebyggelse af svig, korruption og anden ulovlig aktivitet, der skader Unionens finansielle interesser (ECB/2016/3) (EUT L 79 af 30.3.2016, s. 34).

(5)  Den Europæiske Centralbanks afgørelse (EU) 2016/1162 af 30. juni 2016 om videregivelse af fortrolige oplysninger i forbindelse med strafferetlig efterforskning (ECB/2016/19) (EUT L 192 af 16.7.2016, s. 73).

(6)  Rådets forordning (EU) nr. 1024/2013 af 15. oktober 2013 om overdragelse af specifikke opgaver til Den Europæiske Centralbank i forbindelse med politikker vedrørende tilsyn med kreditinstitutter (EUT L 287 af 29.10.2013, s. 63).

(7)  Rådets forordning (EU) 2017/1939 af 12. oktober 2017 om gennemførelse af et forstærket samarbejde om oprettelse af Den Europæiske Anklagemyndighed (»EPPO«) (EUT L 283 af 31.10.2017, s. 1).

BILAG I

Vurdering og indberetning af potentielle overtrædelser af tjenestepligter og, om nødvendigt, efterfølgende undersøgelse og opfølgning

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra a), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

finansielle oplysninger (f.eks. oplysninger om løn, godtgørelser eller private transaktioner)

e)

oplysninger om familie, livsstil og sociale forhold

f)

lokaliseringsdata

g)

data om leverede varer eller tjenesteydelser

h)

data om eksterne aktiviteter

i)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

j)

alle andre data vedrørende vurdering og indberetning af potentielle overtrædelser af tjenestepligter og, om nødvendigt, efterfølgende undersøgelse og opfølgning.

BILAG II

Uformelle og/eller formelle procedurer vedrørende værdighed på arbejdspladsen, herunder behandling af sager, der kan føre til en sådan procedure som fastsat i del 0.5 i ECB's personaleregler

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra b), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

finansielle oplysninger (f.eks. oplysninger om løn, godtgørelser eller private transaktioner)

e)

oplysninger om familie, livsstil og sociale forhold

f)

lokaliseringsdata

g)

data om leverede varer eller tjenesteydelser

h)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

i)

andre data vedrørende uformelle og/eller formelle procedurer vedrørende værdighed på arbejdspladsen, herunder behandling af sager, der kan føre til en sådan procedure som fastsat i del 0.5 i ECB's personaleregler.

BILAG III

Udførelsen af DG/HR's funktioner i henhold til den arbejdsretlige ramme i ECB

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra c), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

finansielle oplysninger (f.eks. oplysninger om løn, godtgørelser eller private transaktioner)

e)

oplysninger om familie, livsstil og sociale forhold

f)

lokaliseringsdata

g)

data om leverede varer eller tjenesteydelser

h)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

i)

andre data, der indgår i eller vedrører individuelle sager, navnlig data, der kan føre til en afgørelse, der er til skade for ECB's personale, og til behandling af interne klager indgivet af ECB's personale og opfølgning på disse

j)

andre data vedrørende udnævnelsesprocedurer.

BILAG IV

Undersøgelse af interne klager og opfølgning på disse

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra d), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

finansielle oplysninger (f.eks. oplysninger om løn, godtgørelser eller private transaktioner)

e)

oplysninger om familie, livsstil og sociale forhold

f)

lokaliseringsdata

g)

data om leverede varer eller tjenesteydelser

h)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

i)

andre data, der indgår i eller vedrører individuelle sager, navnlig data, der kan føre til en afgørelse, der er til skade for ECB's personale, og til behandling af interne klager indgivet af ECB's personale og opfølgning på disse.

BILAG V

Udvælgelsesprocedurer Indberetning af ulovlige aktiviteter eller overtrædelser af tjenestepligter via en hvilken som helst kanal, herunder ECB's whistleblowing-værktøj eller Compliance and Governance-kontorets vurdering af anmodninger om beskyttelse af whistleblowere eller vidner

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra e), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

finansielle oplysninger (f.eks. oplysninger om løn, godtgørelser eller private transaktioner)

e)

oplysninger om familie, livsstil og sociale forhold

f)

lokaliseringsdata

g)

data om leverede varer eller tjenesteydelser

h)

data om eksterne aktiviteter

i)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

j)

alle andre oplysninger vedrørende påståede ulovlige aktiviteter eller påståede overtrædelser af tjenestepligter eller anmodninger om beskyttelse af whistleblowere eller vidner.

BILAG VI

CGO's aktiviteter i henhold til ECB's personaleregler

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra f), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

finansielle oplysninger (f.eks. oplysninger om private transaktioner)

e)

oplysninger om familie, livsstil og sociale forhold

f)

data om eksterne aktiviteter

g)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

h)

alle andre data vedrørende aktiviteter, der indberettes til eller undersøges af CGO.

BILAG VII

Revisioner foretaget af Direktoratet for Intern Revision og undersøgelsesaktiviteter eller interne administrative undersøgelser

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra g), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

finansielle oplysninger (f.eks. oplysninger om løn, godtgørelser eller private transaktioner)

e)

oplysninger om familie, livsstil og sociale forhold

f)

data om eksterne aktiviteter

g)

lokaliseringsdata

h)

data om leverede varer eller tjenesteydelser

i)

sociale og adfærdsmæssige data og andre typer data, der er specifikke for behandlingen

j)

oplysninger om administrative procedurer eller andre undersøgelser

k)

elektroniske trafikdata

l)

videoovervågningsdata

m)

lydoptagelser

n)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

o)

oplysninger om straffesager, sanktioner eller andre administrative sanktioner

p)

andre data vedrørende revisioner foretaget af Direktoratet for Intern Revision og undersøgelsesaktiviteter eller interne administrative undersøgelser.

BILAG VIII

Udøvelsen af ECB's funktioner i henhold til afgørelse (EU) 2016/456 (ECB/2016/3)

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra h), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

finansielle oplysninger (f.eks. oplysninger om løn eller godtgørelser eller private transaktioner)

e)

oplysninger om familie, livsstil og sociale forhold

f)

data om eksterne aktiviteter

g)

lokaliseringsdata

h)

data om leverede varer eller tjenesteydelser

i)

elektroniske trafikdata

j)

videoovervågningsdata

k)

lydoptagelser

l)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

m)

andre oplysninger vedrørende udøvelsen af ECB's funktioner i henhold til afgørelse (EU) 2016/456 (ECB/2016/3)

BILAG IX

Undersøgelser foretaget af den databeskyttelsesansvarlige i henhold til artikel 4, litra b), i afgørelse (EU) 2020/655 (ECB/2020/28)

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra i), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

finansielle oplysninger (f.eks. oplysninger om løn eller godtgørelser eller private transaktioner)

e)

oplysninger om familie, livsstil og sociale forhold

f)

data om eksterne aktiviteter

g)

dataenes placering

h)

data om leverede varer eller tjenesteydelser

i)

elektroniske trafikdata

j)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en persons seksualliv eller seksuelle orientering

k)

andre oplysninger vedrørende undersøgelser foretaget af den databeskyttelsesansvarlige i henhold til artikel 4, litra b), i afgørelse (EU) 2020/655 (ECB/2020/28).

BILAG X

Undersøgelser med henblik på at sikre fysisk sikkerhed i ECB for personer, lokaler og ejendom, indsamling af trusselsefterretninger og analyse af sikkerhedshændelser

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra j), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

lokaliseringsdata

e)

oplysninger om familie, livsstil og sociale forhold

f)

elektroniske trafikdata

g)

videoovervågningsdata

h)

lydoptagelser

i)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

j)

oplysninger om verserende straffesager eller straffeattester

k)

andre data vedrørende undersøgelser med henblik på at sikre personers, lokalers og ejendoms fysiske sikkerhed i ECB, trusselsefterretninger eller analyse af sikkerhedshændelser.

BILAG XI

Retssager

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra k), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

finansielle oplysninger (f.eks. oplysninger om løn, godtgørelser eller private transaktioner)

e)

oplysninger om familie, livsstil og sociale forhold

f)

data om eksterne aktiviteter

g)

dataenes placering

h)

elektroniske trafikdata

i)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

j)

andre oplysninger vedrørende retssager.

BILAG XII

Samarbejdet mellem ECB og de nationale myndigheder, der varetager strafferetlig efterforskning, EPPO og EU-organer, der udøver en tilsyns-, overvågnings- eller revisionsfunktion, som ECB er underlagt

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra l)-n), kan finde anvendelse i forbindelse med alle de kategorier af personoplysninger, der er nævnt i bilag I-XI, samt de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

identifikationsoplysninger

b)

kontaktoplysninger

c)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

d)

finansielle oplysninger (f.eks. oplysninger om løn, godtgørelser eller private transaktioner)

e)

oplysninger om familie, livsstil og sociale forhold

f)

data om eksterne aktiviteter

g)

placeringsdata

h)

data om leverede varer eller tjenesteydelser

i)

videoovervågningsdata

j)

elektroniske trafikdata

k)

lydoptagelser

l)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

m)

oplysninger om administrative procedurer eller andre undersøgelser

n)

oplysninger om straffesager, sanktioner eller andre administrative sanktioner

o)

andre data vedrørende samarbejdet mellem ECB og de nationale myndigheder, der varetager strafferetlig efterforskning, EPPO og EU-organer, der udøver en tilsyns-, overvågnings- eller revisionsfunktion, som ECB er underlagt.

BILAG XIII

Mæglerens udførelse af sine opgaver

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra o), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

kontaktoplysninger

b)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

c)

finansielle oplysninger (f.eks. oplysninger om løn, godtgørelser eller private transaktioner)

d)

oplysninger om familie, livsstil og sociale forhold

e)

sociale og adfærdsmæssige data og andre typer data, der er specifikke for behandlingen

f)

oplysninger om administrative procedurer eller andre lovmæssige undersøgelser

g)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

h)

andre oplysninger vedrørende mæglerens udførelse af sine opgaver.

BILAG XIV

Socialrådgiverens levering af rådgivningstjenester

Den begrænsning, der er omhandlet i denne afgørelses artikel 3, stk. 1, litra p), kan finde anvendelse i forbindelse med de kategorier af oplysninger, der er nævnt i de relevante registre over behandlingen, navnlig følgende kategorier af personoplysninger:

a)

kontaktoplysninger

b)

professionelle data, herunder oplysninger om uddannelse, kurser og beskæftigelse

c)

finansielle oplysninger (f.eks. oplysninger om løn, godtgørelser eller private transaktioner)

d)

oplysninger om familie, livsstil og sociale forhold

e)

sociale og adfærdsmæssige data og andre typer data, der er specifikke for behandlingen

f)

oplysninger om administrative procedurer eller andre lovmæssige undersøgelser

g)

oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold, genetiske data eller biometriske data, helbredsoplysninger eller oplysninger om en fysisk persons seksualliv eller seksuelle orientering

h)

andre oplysninger vedrørende socialrådgiverens levering af rådgivningstjenester.

BILAG XV

De organisatoriske og tekniske sikkerhedsforanstaltninger i ECB for at forhindre misbrug eller ulovlig behandling af personoplysninger omfatter:

a)

for så vidt angår personer:

i)

alle personer, der har adgang til ikke-offentlige oplysninger fra ECB, og som er ansvarlige for at kende og anvende ECB's politik og regler for forvaltning og fortrolighed af oplysninger

ii)

en sikkerhedsgodkendelsesprocedure, der sikrer, at kun nøje kontrollerede og bemyndigede personer har adgang til ECB's område og ECB's ikke-offentlige oplysninger

iii)

IT-foranstaltninger, informationsforanstaltninger og fysiske sikkerhedsbevidstgørelsesforanstaltninger og kurser, som regelmæssigt afholdes for ECB’s personale og eksterne tjenesteudbydere

iv)

ECB's personale, som i henhold til ECB's ansættelsesvilkår og personaleregler er underlagt strenge regler om tavshedspligt, der i tilfælde af overtrædelse giver anledning til disciplinære sanktioner

v)

regler og forpligtelser vedrørende eksterne tjenesteyderes eller kontrahenters adgang til ikke-offentlige oplysninger fra ECB, som er fastsat i kontraktlige aftaler

vi)

adgangskontrol, herunder inddeling i sikkerhedszoner, som håndhæves og sikrer, at personers adgang til ECB's ikke-offentlige oplysninger er tilladt og begrænset på grundlag af forretningsmæssige behov og sikkerhedskrav

b)

for så vidt angår processer:

i)

processer, der er indført for at sikre kontrolleret gennemførelse, drift og vedligeholdelse af IT-applikationer, der understøtter ECB's virksomhed

ii)

anvendelse af IT-applikationer til ECB's forretninger, som er i overensstemmelse med ECB's sikkerhedsstandarder

iii)

at have et omfattende fysisk sikkerhedsprogram i drift, som løbende vurderer sikkerhedstrusler og omfatter fysiske sikkerhedsforanstaltninger for at sikre et tilstrækkeligt beskyttelsesniveau

c)

for så vidt angår teknologi:

i)

alle elektroniske data, der lagres i IT-applikationer, som opfylder ECB's sikkerhedsstandarder og således beskyttes mod uautoriseret adgang eller ændring

ii)

IT-applikationer, der implementeres, drives og vedligeholdes på et sikkerhedsniveau, der står i et rimeligt forhold til IT-applikationernes behov for fortrolighed, integritet og tilgængelighed, og som er baseret på forretningsmæssige konsekvensanalyser

iii)

sikkerhedsniveauet for IT-applikationer, der regelmæssigt valideres ved hjælp af tekniske og ikke-tekniske sikkerhedsvurderinger

iv)

adgang til ikke-offentlige oplysninger fra ECB gives i overensstemmelse med »need-to-know«-princippet, og privilegeret adgang er strengt begrænset og nøje kontrolleret

v)

kontroller, der gennemføres for at opdage og følge op på faktiske og potentielle sikkerhedsbrud.