ΑΠΟΦΑΣΗ (ΕΕ) 2021/1486 ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΚΕΝΤΡΙΚΗΣ ΤΡΑΠΕΖΑΣ

της 7ης Σεπτεμβρίου 2021 που θεσπίζει εσωτερικούς κανόνες αναφορικά με περιορισμούς δικαιωμάτων των υποκειμένων δεδομένων σε σχέση με τα καθήκοντα της Ευρωπαϊκής Κεντρικής Τράπεζας που αφορούν την προληπτική εποπτεία των πιστωτικών ιδρυμάτων

(EKT/2021/42)

Η ΕΚΤΕΛΕΣΤΙΚΗ ΕΠΙΤΡΟΠΗ ΤΗΣ ΕΥΡΩΠΑΪΚΗΣ ΚΕΝΤΡΙΚΗΣ ΤΡΑΠΕΖΑΣ,

Έχοντας υπόψη τη Συνθήκη για τη λειτουργία της Ευρωπαϊκής Ένωσης,

Έχοντας υπόψη το καταστατικό του Ευρωπαϊκού Συστήματος Κεντρικών Τραπεζών και της Ευρωπαϊκής Κεντρικής Τράπεζας, και ιδίως το άρθρο 11.6,

Έχοντας υπόψη τον κανονισμό (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (1), και ιδίως το άρθρο 25,

Εκτιμώντας τα ακόλουθα:

(1)	Η Ευρωπαϊκή Κεντρική Τράπεζα (ΕΚΤ) ασκεί τα καθήκοντά της σύμφωνα με τις Συνθήκες και τον κανονισμό (ΕΕ) αριθ. 1024/2013 του Συμβουλίου (2).

(2)

Δυνάμει του άρθρου 45 παράγραφος 3 του κανονισμού (ΕΕ) 2018/1725, η απόφαση (ΕΕ) 2020/655 της Ευρωπαϊκής Κεντρικής Τράπεζας (ΕΚΤ/2020/28) (3) καθορίζει τις γενικές διατάξεις εφαρμογής του εν λόγω κανονισμού όσον αφορά την ΕΚΤ. Ειδικότερα, καθορίζει τους κανόνες σχετικά με τον διορισμό και τον ρόλο του υπευθύνου προστασίας δεδομένων (ΥΠΔ) της ΕΚΤ, συμπεριλαμβανομένων των καθηκόντων, αρμοδιοτήτων και εξουσιών του.

(3)	Κατά την άσκηση των καθηκόντων που της ανατίθενται η ΕΚΤ, και ειδικότερα η αρμόδια οργανωτική μονάδα της, ενεργεί ως υπεύθυνος επεξεργασίας δεδομένων στο μέτρο που καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας δεδομένων προσωπικού χαρακτήρα αυτοτελώς ή από κοινού με άλλους.

(4)

Σύμφωνα με το άρθρο 4 παράγραφος 1 του κανονισμού (ΕΕ) αριθ. 1024/2013, για εποπτικούς σκοπούς και χάριν της ασφάλειας και ευρωστίας των πιστωτικών ιδρυμάτων και της σταθερότητας του χρηματοπιστωτικού συστήματος η ΕΚΤ είναι αποκλειστικά αρμόδια να εκτελεί ειδικά καθήκοντα σε σχέση με όλα τα πιστωτικά ιδρύματα που είναι εγκατεστημένα στα κράτη μέλη τα οποία συμμετέχουν στον ενιαίο εποπτικό μηχανισμό (ΕΕΜ).

(5)

Κατά την εκτέλεση των ειδικών αυτών καθηκόντων η ΕΚΤ επεξεργάζεται διάφορες κατηγορίες πληροφοριών που μπορεί να σχετίζονται με ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο, όπως δεδομένα αναγνωριστικά της ταυτότητας, δεδομένα επικοινωνίας, επαγγελματικά δεδομένα, οικονομικά ή διοικητικά στοιχεία, δεδομένα προερχόμενα από συγκεκριμένες πηγές, δεδομένα ηλεκτρονικής επικοινωνίας και κίνησης, στοιχεία ποινικού μητρώου, περιγραφή οικονομικών και μη οικονομικών συμφερόντων, στοιχεία σχέσεων φυσικού προσώπου ή στενών συγγενών του με εποπτευόμενες οντότητες ή με μέλη των διοικητικών τους οργάνων, καθώς και στοιχεία για τη θέση στην οποία έχει διοριστεί ή ενδέχεται να διοριστεί φυσικό πρόσωπο. Τα δεδομένα προσωπικού χαρακτήρα θα μπορούσαν επίσης να αποτελούν μέρος αξιολόγησης διενεργούμενης μεταξύ άλλων: για σκοπούς χορήγησης άδειας λειτουργίας πιστωτικού ιδρύματος, ανάκλησης άδειας λειτουργίας πιστωτικού ιδρύματος και διαδικασίας ειδικής συμμετοχής σε τέτοιο· σε σχέση με το δικαίωμα εγκατάστασης σημαντικής εποπτευόμενης οντότητας· για σκοπούς διακρίβωσης της τήρησης των απαιτήσεων καταλληλότητας· σε σχέση με πολιτικές αποδοχών σημαντικής εποπτευόμενης οντότητας και πιστώσεις χορηγούμενες από την ίδια σε ανώτερους υπαλλήλους της και πρόσωπα συνδεόμενα με αυτούς· και σε σχέση με ισχυρισμούς για πιθανές παραβάσεις των νομικών πράξεων του άρθρου 4 παράγραφος 3 του κανονισμού (ΕΕ) αριθ. 1024/2013.

(6)

Σκοπός της ΕΚΤ κατά την εκτέλεση αυτών των ειδικών καθηκόντων είναι η επίτευξη σημαντικών στόχων γενικού δημόσιου συμφέροντος της Ένωσης. Για τον λόγο αυτό η εκτέλεσή τους θα πρέπει να διασφαλίζεται σύμφωνα με τα προβλεπόμενα στον κανονισμό (ΕΕ) 2018/1725, ιδίως στο άρθρο 25 παράγραφος 1 στοιχεία γ) και ζ). Ειδικότερα, κατά την εκτέλεση των καθηκόντων αυτών η ΕΚΤ ενεργεί με γνώμονα το γενικό δημόσιο συμφέρον της Ένωσης ως δημόσια αρχή επιφορτισμένη με την εκτέλεση ειδικών καθηκόντων για εποπτικούς σκοπούς σε σχέση με όλα τα πιστωτικά ιδρύματα που είναι εγκατεστημένα στα κράτη μέλη που συμμετέχουν στον ΕΕΜ. Στα καθήκοντα αυτά περιλαμβάνονται η παρακολούθηση, η επιθεώρηση ή κανονιστικές λειτουργίες που συνδέονται με την άσκηση δημόσιας εξουσίας σε σχέση με την προληπτική εποπτεία των πιστωτικών ιδρυμάτων.

(7)	Στο πλαίσιο αυτό ενδείκνυται η εξειδίκευση των λόγων για τους οποίους η ΕΚΤ μπορεί να περιορίζει τα δικαιώματα των υποκειμένων των δεδομένων σε σχέση με δεδομένα που λαμβάνει κατά την εκτέλεση των εποπτικών της καθηκόντων σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 1024/2013.

(8)

Σύμφωνα με το άρθρο 25 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, οι περιορισμοί της εφαρμογής των άρθρων 14 έως 22, 35 και 36 και, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις των άρθρων 14 έως 22, του άρθρου 4 του εν λόγω κανονισμού θα πρέπει να θεσπίζονται σε εσωτερικούς κανονισμούς ή νομικές πράξεις που εκδίδονται βάσει των Συνθηκών. Ως εκ τούτου, η ΕΚΤ θα πρέπει να θεσπίσει τους κανόνες βάσει των οποίων η ίδια θα μπορεί να περιορίζει τα δικαιώματα των υποκειμένων των δεδομένων κατά την εκτέλεση των εποπτικών καθηκόντων της.

(9)

Ενώ η παρούσα απόφαση θεσπίζει τους κανόνες βάσει των οποίων η ΕΚΤ μπορεί να περιορίζει τα δικαιώματα των υποκειμένων των δεδομένων κατά την εκτέλεση των εποπτικών της καθηκόντων, η εκτελεστική επιτροπή προτίθεται να εκδώσει ξεχωριστή απόφαση η οποία θα θεσπίζει εσωτερικούς κανόνες αναφορικά με τον περιορισμό των εν λόγω δικαιωμάτων κατά την επεξεργασία από την ΕΚΤ δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της εσωτερικής της λειτουργίας.

(10)

Μπορεί να επιτρέπεται στην ΕΚΤ η εφαρμογή εξαίρεσης σύμφωνα με τον κανονισμό (ΕΕ) 2018/1725, η οποία καθιστά περιττή την ανάγκη εξέτασης της δυνατότητας εφαρμογής περιορισμού, συμπεριλαμβανομένων ιδίως των προβλεπόμενων στα άρθρα 15 παράγραφος 4, 16 παράγραφος 5, 19 παράγραφος 3 και 35 παράγραφος 3 του εν λόγω κανονισμού. Όσον αφορά την επεξεργασία για λόγους αρχειοθέτησης που άπτονται του δημόσιου συμφέροντος, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς μπορεί να επιτρέπεται στην ΕΚΤ η εφαρμογή εξαίρεσης κατά το άρθρο 16 παράγραφος 5 στοιχείο β) ή το άρθρο 19 παράγραφος 3 στοιχείο δ) του κανονισμού (ΕΕ) 2018/1725.

(11)

Η άσκηση των δικαιωμάτων των υποκειμένων των δεδομένων κατά τα άρθρα 17, 18, 20, 21, 22 και 23 του κανονισμού (ΕΕ) 2018/1725 μπορεί να καταστήσει αδύνατη ή να παρακωλύσει σοβαρά την επίτευξη ορισμένων σκοπών, συμπεριλαμβανομένων, κατά περίπτωση, σκοπών αρχειοθέτησης που άπτονται του δημόσιου συμφέροντος, σκοπών επιστημονικής ή ιστορικής έρευνας ή στατιστικών σκοπών. Ως εκ τούτου, η παρούσα απόφαση θα πρέπει να προβλέπει παρέκκλιση από τα εν λόγω δικαιώματα σύμφωνα με το άρθρο 25 παράγραφος 3 ή 4 του κανονισμού (ΕΕ) 2018/1725, με την επιφύλαξη της εφαρμογής κατάλληλων εγγυήσεων.

(12)

Η ΕΚΤ θα πρέπει να τεκμηριώνει τους λόγους που καθιστούν τους εν λόγω περιορισμούς δικαιωμάτων των υποκειμένων των δεδομένων απολύτως αναγκαίους και αναλογικούς σε μια δημοκρατική κοινωνία ενόψει της κατοχύρωσης των στόχων που επιδιώκονται στο πλαίσιο της άσκησης από την ίδια δημόσιας εξουσίας και των λειτουργιών που συνδέονται με αυτήν, καθώς και να αιτιολογεί τον τρόπο με τον οποίο η ίδια η ΕΚΤ σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών όταν επιβάλλει τέτοιους περιορισμούς.

(13)

Στο πλαίσιο αυτό η ΕΚΤ δεσμεύεται να σέβεται στον μέγιστο δυνατό βαθμό τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων, ιδίως όσα αφορούν το δικαίωμα ενημέρωσης, πρόσβασης και διόρθωσης, το δικαίωμα διαγραφής, περιορισμού της επεξεργασίας, το δικαίωμα ανακοίνωσης παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων ή το απόρρητο της επικοινωνίας κατά τα οριζόμενα στον κανονισμό (ΕΕ) 2018/1725.

(14)

Πάντως, η ΕΚΤ μπορεί να υποχρεωθεί να περιορίζει τις πληροφορίες που παρέχονται στα υποκείμενα των δεδομένων και τα δικαιώματά τους για λόγους προστασίας της εκτέλεσης των εποπτικών καθηκόντων της, ιδίως των δικών της ερευνών και διαδικασιών, των ερευνών και διαδικασιών άλλων δημόσιων αρχών και των θεμελιωδών δικαιωμάτων και ελευθεριών άλλων προσώπων που σχετίζονται με τις έρευνές της ή άλλες διαδικασίες.

(15)	Η ΕΚΤ θα πρέπει να αίρει κάθε περιορισμό που εφαρμόζεται, εφόσον αυτός παύει να είναι αναγκαίος.

(16)	Ο ΥΠΔ της ΕΚΤ θα πρέπει να επανεξετάζει την εφαρμογή των περιορισμών με σκοπό τη διασφάλιση της συμμόρφωσης με την παρούσα απόφαση και με τον κανονισμό (ΕΕ) 2018/1725.

(17)	Σύμφωνα με το άρθρο 41 παράγραφος 2 του κανονισμού (ΕΕ) 2018/1725 ζητήθηκε η γνώμη του Ευρωπαίου Επόπτη Προστασίας Δεδομένων, ο οποίος γνωμοδότησε στις 12 Μαρτίου 2021,

ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:

Άρθρο 1

Αντικείμενο και πεδίο εφαρμογής

1. Η παρούσα απόφαση θεσπίζει κανόνες που διέπουν τον περιορισμό των δικαιωμάτων υποκειμένων των δεδομένων από την ΕΚΤ όταν αυτή ασκεί δραστηριότητες επεξεργασίας δεδομένων προσωπικού χαρακτήρα κατά την εκτέλεση των εποπτικών της καθηκόντων βάσει του κανονισμού (ΕΕ) αριθ. 1024/2013.

2. Τα δικαιώματα των υποκειμένων των δεδομένων που μπορούν να περιοριστούν καθορίζονται στα ακόλουθα άρθρα του κανονισμού (ΕΕ) 2018/1725:

α)	άρθρο 14 (διαφανής ενημέρωση, ανακοίνωση και ρυθμίσεις για την άσκηση των δικαιωμάτων του υποκειμένου των δεδομένων)·

β)	άρθρο 15 (πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων)·

γ)	άρθρο 16 (πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεχθεί από το υποκείμενο των δεδομένων)·

δ)	άρθρο 17 (δικαίωμα πρόσβασης του υποκειμένου των δεδομένων)·

ε)	άρθρο 18 (δικαίωμα διόρθωσης)·

στ)	άρθρο 19 [δικαίωμα διαγραφής («δικαίωμα στη λήθη»)]·

ζ)	άρθρο 20 (δικαίωμα περιορισμού της επεξεργασίας)·

η)	άρθρο 21 (υποχρέωση γνωστοποίησης όσον αφορά τη διόρθωση ή τη διαγραφή δεδομένων προσωπικού χαρακτήρα ή τον περιορισμό της επεξεργασίας)·

θ)	άρθρο 22 (δικαίωμα στη φορητότητα των δεδομένων)·

ι)	άρθρο 35 (ανακοίνωση παραβίασης δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων)·

ια)	άρθρο 36 (απόρρητο των ηλεκτρονικών επικοινωνιών)·

ιβ)	άρθρο 4, εφόσον οι διατάξεις του αντιστοιχούν στα δικαιώματα και τις υποχρεώσεις των άρθρων 14 έως 22 του κανονισμού (ΕΕ) 2018/1725.

Άρθρο 2

Ορισμοί

Για τους σκοπούς της παρούσας απόφασης ισχύουν οι ακόλουθοι ορισμοί:

1)	ως «επεξεργασία» νοείται επεξεργασία, όπως ορίζεται στο άρθρο 3 σημείο 3 του κανονισμού (ΕΕ) 2018/1725·

2)	ως «δεδομένα προσωπικού χαρακτήρα» νοούνται δεδομένα προσωπικού χαρακτήρα, όπως ορίζονται στο άρθρο 3 σημείο 1 του κανονισμού (ΕΕ) 2018/1725·

ως «υποκείμενο των δεδομένων» νοείται ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο· ταυτοποιήσιμο πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, αριθμό ταυτότητας, δεδομένα θέσης, επιγραμμικό αναγνωριστικό ταυτότητας ή έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική του ταυτότητα·

4)	ως «κεντρικό μητρώο» νοείται το δημόσια προσβάσιμο αποθετήριο όλων των δραστηριοτήτων επεξεργασίας δεδομένων προσωπικού χαρακτήρα που διεξάγονται στην ΕΚΤ, το οποίο τηρείται από τον ΥΠΔ της ΕΚΤ και αναφέρεται στο άρθρο 9 της απόφασης (ΕΕ) 2020/655 (ΕΚΤ/2020/28)·

5)	ως «υπεύθυνος επεξεργασίας» νοείται η ΕΚΤ, και ιδίως η οργανωτική της μονάδα, η οποία καθορίζει τους σκοπούς και τα μέσα επεξεργασίας δεδομένων προσωπικού χαρακτήρα, μόνη ή από κοινού με άλλους, και η οποία είναι αρμόδια για την πράξη επεξεργασίας·

6)	ως «όργανα και οργανισμοί της Ένωσης» νοούνται τα όργανα και οι οργανισμοί της Ένωσης, όπως ορίζονται στο άρθρο 3 σημείο 10 του κανονισμού (ΕΕ) 2018/1725.

Άρθρο 3

Εφαρμογή περιορισμών

1. Ο υπεύθυνος επεξεργασίας μπορεί να περιορίζει τα δικαιώματα του άρθρου 1 παράγραφος 2 χάριν της διασφάλισης των συμφερόντων και σκοπών που αναφέρονται στο άρθρο 25 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, ιδίως όταν η άσκηση των εν λόγω δικαιωμάτων θα έθετε σε κίνδυνο ή θα επηρέαζε δυσμενώς με άλλον τρόπο:

α)	την εκτέλεση των εποπτικών καθηκόντων της ΕΚΤ σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 1024/2013, συμπεριλαμβανομένης της ορθής λειτουργίας του εποπτικού συστήματος·

β)	την ασφάλεια και ευρωστία των πιστωτικών ιδρυμάτων και τη σταθερότητα του χρηματοπιστωτικού συστήματος στην Ένωση και στα επιμέρους κράτη μέλη·

γ)	την αποτελεσματικότητα της αναφοράς παραβάσεων σύμφωνα με το άρθρο 23 του κανονισμού (ΕΕ) αριθ. 1024/2013.

2. Χάριν της διασφάλισης των συμφερόντων και σκοπών που αναφέρονται στο άρθρο 25 παράγραφος 1 του κανονισμού (ΕΕ) 2018/1725, ο υπεύθυνος επεξεργασίας μπορεί να περιορίζει σε οποιαδήποτε από τις ακόλουθες περιπτώσεις τα δικαιώματα του άρθρου 1 παράγραφος 2 προκειμένου για δεδομένα προσωπικού χαρακτήρα προερχόμενα από άλλα όργανα και οργανισμούς της Ένωσης και αρμόδιες αρχές κρατών μελών, τρίτες χώρες ή διεθνείς οργανισμούς:

α)

όταν η άσκηση των εν λόγω δικαιωμάτων θα μπορούσε να περιοριστεί από άλλα όργανα και οργανισμούς της Ένωσης από τα οποία προήλθαν τα δεδομένα προσωπικού χαρακτήρα, βάσει άλλων πράξεων που προβλέπονται στο άρθρο 25 του κανονισμού (ΕΕ) 2018/1725 ή σύμφωνα με το κεφάλαιο IX του εν λόγω κανονισμού ή με τις ιδρυτικές πράξεις άλλων οργάνων και οργανισμών της Ένωσης·

β)

όταν η άσκηση των εν λόγω δικαιωμάτων θα μπορούσε να περιοριστεί από τις αρμόδιες αρχές των κρατών μελών από όπου προήλθαν τα δεδομένα προσωπικού χαρακτήρα, βάσει πράξεων που προβλέπονται στο άρθρο 23 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4) ή βάσει εθνικών μέτρων μεταφοράς των άρθρων 13 παράγραφος 3, 15 παράγραφος 3 ή 16 παράγραφος 3 της οδηγίας (ΕΕ) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5)·

γ)

όταν η άσκηση των εν λόγω δικαιωμάτων θα μπορούσε να θέσει σε κίνδυνο ή να επηρεάσει δυσμενώς με άλλον τρόπο τη συνεργασία της ΕΚΤ με τρίτες χώρες ή διεθνείς οργανισμούς από όπου προήλθαν οι πληροφορίες κατά την άσκηση των καθηκόντων της, εκτός εάν υπερτερούν του συμφέροντος της ΕΚΤ για συνεργασία τα συμφέροντα ή τα θεμελιώδη δικαιώματα και οι ελευθερίες των υποκειμένων των δεδομένων.

3. Πριν από την εφαρμογή περιορισμού στις περιπτώσεις των στοιχείων α) και β) της παραγράφου 2, ο υπεύθυνος επεξεργασίας:

α)	λαμβάνει υπόψη τυχόν ρυθμίσεις που έχουν συνομολογηθεί με τα οικεία όργανα και οργανισμούς της Ένωσης ή με τις αρμόδιες αρχές των κρατών μελών· και

β)	διαβουλεύεται με τα οικεία όργανα και οργανισμούς της Ένωσης ή τις αρμόδιες αρχές των κρατών μελών, εκτός εάν είναι σαφές για τον ίδιο ότι η εφαρμογή του περιορισμού προβλέπεται από πράξη ή μέτρο των στοιχείων α) και β) της παραγράφου 2.

4. Ο υπεύθυνος επεξεργασίας μπορεί να εφαρμόζει περιορισμό μόνον εάν, βάσει αξιολόγησης της εκάστοτε περίπτωσης, αποφαίνεται ότι ο περιορισμός:

α)	είναι αναγκαίος και αναλογικός, λαμβανομένων υπόψη των κινδύνων για τα δικαιώματα και τις ελευθερίες του υποκειμένου των δεδομένων· και

β)	σέβεται την ουσία των θεμελιωδών δικαιωμάτων και ελευθεριών σε μια δημοκρατική κοινωνία.

5. Ο υπεύθυνος επεξεργασίας τεκμηριώνει την αξιολόγησή του σε εσωτερικό σημείωμα αξιολόγησης το οποίο περιλαμβάνει τη νομική βάση, τους λόγους εφαρμογής του περιορισμού, τα περιοριζόμενα δικαιώματα των υποκειμένων των δεδομένων, τα υποκείμενα των δεδομένων τα οποία αφορά, την αναγκαιότητα και την αναλογικότητα του περιορισμού και την πιθανή διάρκειά του.

6. Οποιαδήποτε απόφαση του υπεύθυνου επεξεργασίας δεδομένων για τον περιορισμό των δικαιωμάτων υποκειμένου των δεδομένων σύμφωνα με την παρούσα απόφαση λαμβάνεται σε επίπεδο προϊσταμένου ή αναπληρωτή προϊσταμένου της αρμόδιας υπηρεσίας που διενεργεί την κύρια πράξη επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.

Άρθρο 4

Παρεκκλίσεις

1. Όσον αφορά την επεξεργασία για σκοπούς επιστημονικής ή ιστορικής έρευνας ή για στατιστικούς σκοπούς ο υπεύθυνος επεξεργασίας μπορεί να εφαρμόζει παρεκκλίσεις σύμφωνα με το άρθρο 25 παράγραφος 3 του κανονισμού (ΕΕ) 2018/1725. Ενόψει τούτου ο υπεύθυνος επεξεργασίας μπορεί να παρεκκλίνει από τα δικαιώματα των άρθρων 17, 18, 20 και 23 του κανονισμού (ΕΕ) 2018/1725, σύμφωνα με τους όρους του άρθρου 25 παράγραφος 3 του εν λόγω κανονισμού.

2. Όσον αφορά την επεξεργασία για λόγους αρχειοθέτησης που άπτονται του δημόσιου συμφέροντος ο υπεύθυνος επεξεργασίας μπορεί να εφαρμόζει παρεκκλίσεις σύμφωνα με το άρθρο 25 παράγραφος 4 του κανονισμού (ΕΕ) 2018/1725. Ενόψει τούτου ο υπεύθυνος επεξεργασίας μπορεί να παρεκκλίνει από τα δικαιώματα των άρθρων 17, 18, 20, 21, 22 και 23 του κανονισμού (ΕΕ) 2018/1725, σύμφωνα με τους όρους του άρθρου 25 παράγραφος 4 του εν λόγω κανονισμού.

3. Οι παρεκκλίσεις αυτές υπόκεινται σε κατάλληλες εγγυήσεις σύμφωνα με το άρθρο 13 του κανονισμού (ΕΕ) 2018/1725 και το άρθρο 8 της παρούσας απόφασης.

Άρθρο 5

Παροχή γενικών πληροφοριών για τους περιορισμούς

Ο υπεύθυνος επεξεργασίας παρέχει γενικές πληροφορίες για τον ενδεχόμενο περιορισμό δικαιωμάτων των υποκειμένων των δεδομένων ως εξής:

α)	ο υπεύθυνος επεξεργασίας προσδιορίζει τα δικαιώματα που μπορούν να περιοριστούν, τους λόγους εφαρμογής του περιορισμού και την πιθανή διάρκειά του·

β)	ο υπεύθυνος επεξεργασίας συμπεριλαμβάνει τις πληροφορίες του στοιχείου α) στις ανακοινώσεις του περί προστασίας δεδομένων, στις δηλώσεις περί απορρήτου και στα αρχεία των δραστηριοτήτων επεξεργασίας του άρθρου 31 του κανονισμού (ΕΕ) 2018/1725.

Άρθρο 6

Περιορισμός του δικαιώματος πρόσβασης των υποκειμένων των δεδομένων, του δικαιώματος διόρθωσης, του δικαιώματος διαγραφής ή περιορισμού της επεξεργασίας

1. Όταν ο υπεύθυνος επεξεργασίας περιορίζει εν όλω ή εν μέρει το δικαίωμα πρόσβασης, διόρθωσης, διαγραφής ή περιορισμού της επεξεργασίας κατά τα άρθρα 17, 18, 19 παράγραφος 1 και 20 παράγραφος 1, αντίστοιχα, του κανονισμού (ΕΕ) 2018/1725, με τη γραπτή απάντησή του στο σχετικό αίτημα ενημερώνει το θιγόμενο υποκείμενο των δεδομένων εντός της προθεσμίας του άρθρου 11 παράγραφος 5 της απόφασης (ΕΕ) 2020/655 (ΕΚΤ/2020/28) για τους βασικούς λόγους εφαρμογής του περιορισμού και τη δυνατότητα υποβολής καταγγελίας στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ή άσκησης προσφυγής ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης.

2. Ο υπεύθυνος επεξεργασίας φυλάσσει το εσωτερικό σημείωμα αξιολόγησης του άρθρου 3 παράγραφος 5 και, κατά περίπτωση, τα έγγραφα που περιέχουν τα υποκείμενα πραγματικά και νομικά στοιχεία και τα θέτει στη διάθεση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων κατόπιν αιτήματος.

3. Ο υπεύθυνος επεξεργασίας μπορεί να αναβάλλει, να παραλείπει ή να αρνείται την παροχή πληροφοριών σχετικά με τους λόγους εφαρμογής του περιορισμού κατά την παράγραφο 1 για όσο διάστημα η παροχή των συγκεκριμένων πληροφοριών θα υπονόμευε τον σκοπό του περιορισμού. Μόλις ο υπεύθυνος επεξεργασίας διαπιστώσει ότι η παροχή των πληροφοριών παύει να υπονομεύει τον σκοπό του περιορισμού, παρέχει τις πληροφορίες στο υποκείμενο των δεδομένων.

Άρθρο 7

Διάρκεια των περιορισμών

1. Ο υπεύθυνος επεξεργασίας αίρει οποιονδήποτε περιορισμό μόλις παύσουν να συντρέχουν οι περιστάσεις που δικαιολόγησαν την εφαρμογή του.

2. Όταν αίρει περιορισμό κατά την παράγραφο 1, ο υπεύθυνος επεξεργασίας:

α)	ενημερώνει το υποκείμενο των δεδομένων για τους βασικούς λόγους στους οποίους βασίστηκε η εφαρμογή περιορισμού, εφόσον δεν το έχει ήδη πράξει·

β)	ενημερώνει το υποκείμενο των δεδομένων για το δικαίωμά του να υποβάλει καταγγελία στον Ευρωπαίο Επόπτη Προστασίας Δεδομένων ή να προσφύγει ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης·

γ)	παρέχει στο υποκείμενο των δεδομένων το δικαίωμα που υπόκειτο στον περιορισμό που έχει αρθεί.

3. Ο υπεύθυνος επεξεργασίας επαναξιολογεί ανά εξάμηνο την ανάγκη διατήρησης περιορισμού που εφαρμόζεται σύμφωνα με την παρούσα απόφαση και τεκμηριώνει την επαναξιολόγησή του σε εσωτερικό σημείωμα αξιολόγησης.

Άρθρο 8

Εγγυήσεις

Η ΕΚΤ εφαρμόζει τις οργανωτικές και τεχνικές εγγυήσεις που ορίζονται στο παράρτημα για την πρόληψη περιπτώσεων κατάχρησης ή παράνομης πρόσβασης ή διαβίβασης.

Άρθρο 9

Επανεξέταση από τον υπεύθυνο προστασίας δεδομένων

1. Όταν ο υπεύθυνος επεξεργασίας περιορίζει την εφαρμογή των δικαιωμάτων ορισμένου υποκειμένου των δεδομένων, πρέπει να εμπλέκει συνεχώς τον ΥΠΔ. Ειδικότερα, ισχύουν τα ακόλουθα:

α)	ο υπεύθυνος επεξεργασίας διαβουλεύεται χωρίς αδικαιολόγητη καθυστέρηση με τον ΥΠΔ·

β)	κατόπιν αιτήματος του ΥΠΔ, ο υπεύθυνος επεξεργασίας του παρέχει πρόσβαση σε κάθε έγγραφο που περιέχει υποκείμενα πραγματικά και νομικά στοιχεία, συμπεριλαμβανομένου του εσωτερικού σημειώματος αξιολόγησης του άρθρου 3 παράγραφος 5·

γ)	ο υπεύθυνος επεξεργασίας τεκμηριώνει τον τρόπο συμμετοχής του ΥΠΔ, συμπεριλαμβανομένων των συναφών πληροφοριών που ανταλλάσσονται, ιδίως την ημερομηνία της πρώτης διαβούλευσης κατά το στοιχείο α)·

δ)	ο ΥΠΔ μπορεί να ζητήσει από τον υπεύθυνο επεξεργασίας να επανεξετάσει τον περιορισμό·

ε)	ο υπεύθυνος επεξεργασίας ενημερώνει εγγράφως τον ΥΠΔ σχετικά με το αποτέλεσμα της ζητούμενης επανεξέτασης χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση πριν από την εφαρμογή οποιουδήποτε περιορισμού.

2. Ο υπεύθυνος επεξεργασίας ενημερώνει τον ΥΠΔ όταν αρθεί ο περιορισμός.

Άρθρο 10

Έναρξη ισχύος

Η παρούσα απόφαση αρχίζει να ισχύει την εικοστή ημέρα από τη δημοσίευσή της στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

Φρανκφούρτη, 7 Σεπτεμβρίου 2021.

Η Πρόεδρος της ΕΚΤ

Christine LAGARDE

(1) ΕΕ L 295 της 21.11.2018, σ. 39.

(2) Κανονισμός (ΕΕ) αριθ. 1024/2013 του Συμβουλίου, της 15ης Οκτωβρίου 2013, για την ανάθεση ειδικών καθηκόντων στην Ευρωπαϊκή Κεντρική Τράπεζα σχετικά με τις πολιτικές που αφορούν την προληπτική εποπτεία των πιστωτικών ιδρυμάτων (ΕΕ L 287 της 29.10.2013, σ. 63).

(3) Απόφαση (ΕΕ) 2020/655 της Ευρωπαϊκής Κεντρικής Τράπεζας, της 5ης Μαΐου 2020, για τη θέσπιση διατάξεων εφαρμογής σχετικά με την προστασία δεδομένων στην Ευρωπαϊκή Κεντρική Τράπεζα και την κατάργηση της απόφασης ΕΚΤ/2007/1 (ΕΚΤ/2020/28) (ΕΕ L 152 της 15.5.2020, σ. 13).

(4) Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ L 119 της 4.5.2016, σ. 1).

(5) Οδηγία (EE) 2016/680 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από αρμόδιες αρχές για τους σκοπούς της πρόληψης, διερεύνησης, ανίχνευσης ή δίωξης ποινικών αδικημάτων ή της εκτέλεσης ποινικών κυρώσεων και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της απόφασης-πλαίσιο 2008/977/ΔΕΥ του Συμβουλίου (ΕΕ L 119 της 4.5.2016, σ. 89).