Back to EUR-Lex homepage

EUR-Lex Access to European Union law

Back to EUR-Lex homepage

This document is an excerpt from the EUR-Lex website

Use quotation marks to search for an "exact phrase". Append an asterisk (*) to a search term to find variations of it (transp*, 32019R*). Use a question mark (?) instead of a single character in your search term to find variations of it (ca?e finds case, cane, care).
Search tips
Need more search options? Use the Advanced search
You are here

Document 32021D1486

Euroopan keskuspankin päätös (EU) 2021/1486, annettu 7 päivänä syyskuuta 2021, niiden sisäisten sääntöjen hyväksymisestä, jotka koskevat rekisteröityjen oikeuksien rajoittamista luottolaitosten vakavaraisuusvalvontaan liittyvien Euroopan keskuspankin tehtävien yhteydessä (EKP/2021/42)

EUVL L 328, 16.9.2021, p. 15–22 (BG, ES, CS, DA, DE, ET, EL, EN, FR, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)

Legal status of the document In force: This act has been changed. Current consolidated version: 11/04/2024

ELI: http://data.europa.eu/eli/dec/2021/1486/oj

16.9.2021   

FI

Euroopan unionin virallinen lehti

L 328/15

EUROOPAN KESKUSPANKIN PÄÄTÖS (EU) 2021/1486,

annettu 7 päivänä syyskuuta 2021, niiden sisäisten sääntöjen hyväksymisestä, jotka koskevat rekisteröityjen oikeuksien rajoittamista luottolaitosten vakavaraisuusvalvontaan liittyvien Euroopan keskuspankin tehtävien yhteydessä

(EKP/2021/42)

EUROOPAN KESKUSPANKIN JOHTOKUNTA, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen,

ottaa huomioon Euroopan keskuspankkijärjestelmän ja Euroopan keskuspankin perussäännön ja erityisesti sen 11.6 artiklan,

ottaa huomioon luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23 päivänä lokakuuta 2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (1) ja erityisesti sen 25 artiklan,

sekä katsoo seuraavaa:

(1)

Euroopan keskuspankki (EKP) hoitaa tehtäviään perussopimusten ja neuvoston asetuksen (EU) N:o 1024/2013 (2) mukaisesti.

(2)

Asetuksen (EU) 2018/1725 45 artiklan 3 kohdan mukaisesti Euroopan keskuspankin päätöksessä (EU) 2020/655 (ECB/2020/28) (3) vahvistetaan yleiset säännöt siitä, miten asetus (EU) 2018/1725 pannaan täytäntöön EKP:n osalta. Siinä täsmennetään erityisesti säännöt, jotka koskevat EKP:n tietosuojavastaavan nimittämistä ja roolia, mukaan lukien tietosuojavastaavan tehtävät, velvollisuudet ja toimivaltuudet.

(3)

Kun EKP hoitaa sille annettuja tehtäviä, EKP ja erityisesti sen asianomainen organisaatioyksikkö toimivat rekisterinpitäjänä, sikäli kuin se määrittää yksin tai yhdessä muiden kanssa henkilötietojen käsittelyn tarkoitukset ja keinot.

(4)

EKP:lle on asetuksen (EU) N:o 1024/2013 4 artiklan 1 kohdan nojalla annettu yksinomainen toimivalta hoitaa kaikkien yhteiseen valvontamekanismiin (YVM) osallistuviin jäsenvaltioihin sijoittautuneiden luottolaitosten osalta vakavaraisuusvalvontaa koskevia erityistehtäviä, joilla pyritään varmistamaan luottolaitosten toiminnan turvallisuus ja vakaus sekä rahoitusjärjestelmän vakaus.

(5)

Näitä erityistehtäviä hoitaessaan EKP käsittelee useita tietoluokkia, jotka voivat liittyä tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön, kuten henkilön yksilöintiä koskevat tiedot, yhteystiedot, ammatilliset tiedot, taloudelliset tai hallinnolliset tiedot, erityisistä lähteistä saadut tiedot, sähköistä viestintää ja sähköistä tietoliikennettä koskevat tiedot, rikosrekisteritiedot, taloudellisten ja muiden kuin taloudellisten etujen kuvaus, tiedot henkilön tai hänen lähisukulaistensa suhteista valvottuihin yhteisöihin tai valvottujen yhteisöjen ylimmän hallintoelimen jäseniin, sekä tiedot, jotka liittyvät tehtävään, jota varten henkilö on nimitetty tai voidaan nimittää. Henkilötiedot voivat myös olla osa arviointia, mukaan luettuina seuraavia tarkoituksia varten tehdyt arvioinnit: luottolaitoksen toimiluvan myöntäminen, luottolaitoksen toimiluvan peruuttaminen ja määräosuuksien hankkimista koskeva menettely; merkittävän valvottavan yhteisön sijoittautumisoikeuden käyttäminen; sen määrittäminen, täyttyvätkö sopivuutta ja luotettavuutta koskevat vaatimukset; merkittävän valvottavan yhteisön palkka- ja palkkiopolitiikka ja tällaisen yhteisön omille johtavassa asemassa oleville henkilöille ja näihin henkilöihin liittyville henkilöille myöntämät luotot; asetuksen (EU) N:o 1024/2013 4 artiklan 3 kohdassa tarkoitettujen säädösten mahdollista rikkomista koskevat väitteet.

(6)

EKP:n pyrkii näitä erityistehtäviä hoitaessaan toteuttamaan unionin yleisen edun mukaisia tärkeitä tavoitteita. Tästä syystä näiden tehtävien suorittaminen olisi turvattava asetuksessa (EU) 2018/1725 ja erityisesti sen 25 artiklan 1 kohdan c ja g alakohdassa tarkoitetulla tavalla. EKP toimii, erityisesti tällaisia tehtäviä hoitaessaan, unionin yleisen edun mukaisesti viranomaisena, jonka tehtävänä on hoitaa kaikkia YVM:ään osallistuviin jäsenvaltioihin sijoittautuneita luottolaitoksia koskevia, valvontaan liittyviä erityistehtäviä. Näihin tehtäviin kuuluvat luottolaitosten vakavaraisuusvalvontaa koskevan julkisen vallan käyttöön liittyvät valvonta-, tarkastus- tai sääntelytehtävät.

(7)

Tässä yhteydessä on aiheellista täsmentää perusteet, joiden nojalla EKP voi rajoittaa rekisteröityjen oikeuksia niiden tietojen osalta, jotka se on saanut asetuksen (EU) N:o 1024/2013 mukaisia valvontatehtäviä suorittaessaan.

(8)

Asetuksen (EU) 2018/1725 25 artiklan 1 kohdan mukaisesti kyseisen asetuksen 14–22, 35 ja 36 artiklan sekä, siltä osin kuin sen säännökset vastaavat 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia, kyseisen asetuksen 4 artiklan soveltamista koskevat rajoitukset olisi vahvistettava perussopimusten nojalla hyväksytyissä sisäisissä säännöissä tai säädöksissä. EKP:n olisi näin ollen vahvistettava säännöt, joiden nojalla se voi rajoittaa rekisteröityjen oikeuksia valvontatehtäviä suorittaessaan.

(9)

Tässä päätöksessä vahvistetaan säännöt, joiden nojalla EKP voi rajoittaa rekisteröityjen oikeuksia valvontatehtäviä suorittaessaan, ja lisäksi EKP:n johtokunta aikoo hyväksyä erillisen päätöksen, jossa hyväksytään sisäiset säännöt, joiden nojalla EKP voi rajoittaa näitä oikeuksia käsitellessään henkilötietoja sisäisen toimintansa yhteydessä.

(10)

EKP voi mahdollisesti soveltaa asetuksen (EU) 2018/1725 mukaisia poikkeuksia, mikä tekee rajoitusten harkitsemisen tarpeettomaksi, mukaan lukien ja erityisesti kyseisen asetuksen 15 artiklan 4 kohdassa, 16 artiklan 5 kohdassa, 19 artiklan 3 kohdassa ja 35 artiklan 3 kohdassa säädetyt poikkeukset. Mitä tulee tietojen arkistointiin yleistä etua, tieteellistä tai historiallista tutkimusta tai tilastointia koskevia tarkoituksia varten, EKP:llä voi olla mahdollisuus soveltaa asetuksen (EU) 2018/1725 16 artiklan 5 kohdan b alakohdassa tai 19 artiklan 3 kohdan d alakohdassa säädettyjä poikkeuksia.

(11)

Asetuksen (EU) 2018/1725 17, 18, 20, 21, 22 ja 23 artiklassa tarkoitettujen rekisteröityjen oikeuksien käyttäminen voi tehdä tiettyjen tarkoitusten, kuten arkistoinnin yleisen etuun, tieteelliseen ja historialliseen tutkimukseen tai tilastointiin liittyvistä syistä, toteuttamisen mahdottomaksi tai vakavasti haitata sitä. Sen vuoksi tässä päätöksessä olisi säädettävä kyseisiä oikeuksia koskevasta poikkeuksesta asetuksen (EU) 2018/1725 25 artiklan 3 tai 4 kohdan mukaisesti, jollei asianmukaisista suojatoimista johdu muuta.

(12)

EKP:n olisi perusteltava, miksi tällaiset rekisteröityjen oikeuksien rajoitukset ovat ehdottoman välttämättömiä ja oikeasuhteisia demokraattisessa yhteiskunnassa, jotta voidaan turvata EKP:lle annetun julkisen vallan käyttöä ja siihen liittyviä tehtäviä koskevat tavoitteet, sekä täsmennettävä se, miten EKP kunnioittaa perusoikeuksien ja -vapauksien keskeistä sisältöä asettaessaan tällaisia rajoituksia.

(13)

EKP:n on näissä puitteissa kunnioitettava mahdollisimman suuressa määrin rekisteröityjen perusoikeuksia, erityisesti niitä, jotka liittyvät oikeuteen antaa tietoja, tutustua tietoihin ja oikaista niitä, oikeuteen poistaa tiedot ja rajoittaa tietojen käsittelyä, rekisteröidyn oikeuteen saada tieto henkilötietojen tietoturvaloukkauksesta tai viestinnän luottamuksellisuuteen asetuksen (EU) 2018/1725 mukaisesti.

(14)

EKP:llä voi kuitenkin olla velvollisuus rajoittaa rekisteröidyille annettavia tietoja ja rekisteröityjen oikeuksia turvatakseen valvontatehtäviensä suorittamisen, etenkin mitä tulee sen omiin tutkimuksiin ja menettelyihin, muiden viranomaisten tutkimuksiin ja menettelyihin sekä henkilöiden perusoikeuksiin ja -vapauksiin sen tutkimusten tai muiden menettelyjen yhteydessä.

(15)

EKP:n olisi poistettava käytössä olevat rajoitukset siltä osin kuin niiden soveltaminen ei enää ole tarpeen.

(16)

EKP:n tietosuojavastaavan olisi tarkasteltava rajoitusten soveltamista tämän päätöksen ja asetuksen (EU) 2018/1725 noudattamisen varmistamiseksi.

(17)

Euroopan tietosuojavaltuutettua on kuultu asetuksen (EU) 2018/1725 41 artiklan 2 kohdan mukaisesti, ja hän on antanut lausuntonsa 12 päivänä maaliskuuta 2021,

ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:

1 artikla

Kohde ja soveltamisala

1.   Tässä päätöksessä vahvistetaan rekisteröityjen oikeuksien rajoittamista koskevat säännöt, joita sovelletaan EKP:ssä keskusrekisteriin kirjattuihin henkilötietojen käsittelytoimiin asetuksen (EU) N:o 1024/2013 mukaisten valvontatehtävien hoitamisen yhteydessä.

2.   Rekisteröityjen oikeudet, joita voidaan rajoittaa, määritellään asetuksen (EU) 2018/1725 seuraavissa artikloissa:

a)

14 artikla (läpinäkyvä informointi, viestintä ja yksityiskohtaiset säännöt rekisteröidyn oikeuksien käyttöä varten);

b)

15 artikla (toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä);

c)

16 artikla (toimitettavat henkilötiedot, kun henkilötietoja ei ole saatu rekisteröidyltä);

d)

17 artikla (rekisteröidyn oikeus saada pääsy tietoihin);

e)

18 artikla (oikeus tietojen oikaisemiseen);

f)

19 artikla (oikeus tietojen poistamiseen (”oikeus tulla unohdetuksi”));

g)

20 artikla (oikeus käsittelyn rajoittamiseen);

h)

21 artikla (henkilötietojen oikaisua tai poistoa tai käsittelyn rajoitusta koskeva ilmoitusvelvollisuus);

i)

22 artikla (oikeus siirtää tiedot järjestelmästä toiseen);

j)

35 artikla (henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle);

k)

36 artikla (sähköisen viestinnän luottamuksellisuus);

l)

4 artikla siltä osin kuin sen säännökset vastaavat asetuksen (EU) 2018/1725 14–22 artiklassa säädettyjä oikeuksia ja velvollisuuksia.

2 artikla

Määritelmät

Tässä päätöksessä sovelletaan seuraavia määritelmiä:

1)

’käsittelyllä’ tarkoitetaan asetuksen (EU) 2018/1725 3 artiklan 3 kohdassa määriteltyä käsittelyä,

2)

’henkilötiedoilla’ asetuksen (EU) 2018/1725 3 artiklan 1 kohdassa määriteltyjä henkilötietoja,

3)

’rekisteröidyllä’ tarkoitetaan tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä; henkilö on tunnistettavissa, jos hänet voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, paikkatiedon, sähköisen tunnisteen tai yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, henkisen, taloudellisen, kulttuurisen tai sosiaalisen tekijän perusteella,

4)

’keskusrekisterillä’ tarkoitetaan päätöksen (EU) 2020/655 (EKP/2020/28) 9 artiklassa tarkoitettua EKP:n tietosuojavastaavan ylläpitämää julkisesti saatavilla olevaa rekisteriä kaikista EKP:ssä suoritetuista henkilötietojen käsittelytoimista;

5)

’rekisterinpitäjällä’ tarkoitetaan EKP:tä ja erityisesti EKP:n asianomaista organisaatioyksikköä, joka yksin tai yhdessä muiden kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot ja joka on vastuussa tietojen käsittelystä;

6)

’unionin toimielimillä ja elimillä’ asetuksen (EU) 2018/1725 3 artiklan 10 kohdassa määriteltyjä unionin toimielimiä ja elimiä.

3 artikla

Rajoitusten soveltaminen

1.   Rekisterinpitäjä voi rajoittaa 1 artiklan 2 kohdassa tarkoitettuja oikeuksia asetuksen (EU) 2018/1725 25 artiklan 1 kohdassa tarkoitettujen etujen ja tavoitteiden turvaamiseksi erityisesti, jos kyseisten oikeuksien käyttö vaarantaisi tai muutoin vaikuttaisi haitallisesti

a)

asetuksen (EU) N:o 1024/2013 mukaisten EKP:n valvontatehtävien hoitamiseen, mukaan lukien valvontajärjestelmän moitteeton toiminta;

b)

luottolaitosten turvallisuuteen ja vakauteen sekä rahoitusjärjestelmän vakauteen unionissa ja kussakin jäsenvaltiossa;

c)

tehokkaisiin mekanismeihin rikkomisista ilmoittamiseksi asetuksen (EU) N:o 1024/2013 23 artiklan mukaisesti.

2.   Rekisterinpitäjä voi asetuksen (EU) 2018/1725 25 artiklan 1 kohdassa tarkoitettujen etujen ja tavoitteiden turvaamiseksi rajoittaa 1 artiklan 2 kohdassa tarkoitettuja oikeuksia muilta unionin toimielimiltä ja elimiltä ja jäsenvaltioiden tai kolmansien maiden toimivaltaisilta viranomaisilta tai kansainvälisiltä järjestöiltä saatujen henkilötietojen osalta seuraavissa tilanteissa:

a)

muut unionin toimielimet ja elimet, joilta henkilötiedot saatiin, voisivat rajoittaa näiden oikeuksien käyttöä asetuksen (EU) 2018/1725 25 artiklassa tarkoitettujen muiden säädösten perusteella tai kyseisen asetuksen IX luvun tai unionin muiden toimielinten ja elinten perustamissäädösten mukaisesti;

b)

niiden jäsenvaltioiden toimivaltaiset viranomaiset, joilta henkilötiedot saatiin, voisivat rajoittaa näiden oikeuksien käyttöä Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (4) 23 artiklassa tarkoitettujen säädösten perusteella tai sellaisten kansallisten toimenpiteiden nojalla, joilla Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (5) 13 artiklan 3 kohta, 15 artiklan 3 kohta tai 16 artiklan 3 kohta saatetaan osaksi kansallista lainsäädäntöä;

c)

näiden oikeuksien käyttäminen voisi vaarantaa EKP:n tehtävien hoitamiseen liittyvän yhteistyön tai vaikuttaa haitallisesti yhteistyöhön sellaisten kolmansien maiden tai kansainvälisten järjestöjen kanssa, joilta tiedot on saatu, paitsi jos rekisteröityjen edut tai perusoikeudet ja -vapaudet ovat tällaiseen yhteistyöhön liittyviä EKP:n etuja painavampia.

3.   Ennen rajoituksen soveltamista 2 kohdan a ja b alakohdassa tarkoitetuissa olosuhteissa rekisterinpitäjän on

a)

otettava huomioon asianomaisten unionin toimielinten ja elinten tai jäsenvaltioiden toimivaltaisten viranomaisten kanssa sovitut järjestelyt; ja

b)

kuultava asianomaisia unionin toimielimiä ja elimiä tai jäsenvaltioiden toimivaltaisia viranomaisia, paitsi jos rekisterinpitäjälle on selvää, että rajoituksen soveltamisesta säädetään jossakin 2 kohdan a ja b alakohdassa tarkoitetuista säädöksistä tai toimenpiteistä.

4.   Rekisterinpitäjä voi soveltaa rajoitusta vain, jos se tapauskohtaisen arvioinnin perusteella toteaa, että rajoitus

a)

on tarpeen ja oikeasuhteinen rekisteröidyn oikeuksiin ja vapauksiin kohdistuvat riskit huomioon ottaen; ja

b)

kunnioittaa perusoikeuksien ja -vapauksien keskeistä sisältöä demokraattisessa yhteiskunnassa.

5.   Rekisterinpitäjän on kirjattava arviointinsa sisäiseen arviointimuistioon, joka sisältää rajoituksen oikeusperustan, rajoituksen syyt, rajoituksen kohteena olevat rekisteröityjen oikeudet, rekisteröidyt, joita asia koskee, rajoituksen tarpeellisuuden ja oikeasuhteisuuden sekä rajoituksen todennäköisen keston.

6.   Rekisterinpitäjän on tehtävä päätös rekisteröidyn oikeuksien rajoittamisesta tämän päätöksen nojalla sen asiaan liittyvän yksikön johtajan tai varajohtajan tasolla, jonka toimialalla henkilötietojen pääasiallinen käsittely suoritetaan.

4 artikla

Poikkeukset

1.   Rekisterinpitäjä voi soveltaa tieteellisiin tai historiallisiin tutkimustarkoituksiin tai tilastollisiin tarkoituksiin tapahtuvaan käsittelyyn poikkeuksia asetuksen (EU) 2018/1725 25 artiklan 3 kohdan mukaisesti. Tätä varten rekisterinpitäjä voi poiketa asetuksen (EU) 2018/1725 17, 18, 20 ja 23 artiklassa tarkoitetuista oikeuksista kyseisen asetuksen 25 artiklan 3 kohdassa säädetyin edellytyksin.

2.   Jos käsittely tapahtuu yleisen edun mukaisia arkistointitarkoituksia varten, rekisterinpitäjä voi soveltaa poikkeuksia asetuksen (EU) 2018/1725 25 artiklan 4 kohdan mukaisesti. Tätä varten rekisterinpitäjä voi poiketa asetuksen (EU) 2018/1725 17, 18, 20, 21, 22 ja 23 artiklassa tarkoitetuista oikeuksista kyseisen asetuksen 25 artiklan 4 kohdassa säädetyin edellytyksin.

3.   Tällaisiin poikkeuksiin on sovellettava asianmukaisia suojatoimia asetuksen (EU) 2018/1725 13 artiklan ja tämän päätöksen 8 artiklan mukaisesti.

5 artikla

Rajoituksia koskevien yleisten tietojen antaminen

Rekisterinpitäjän on annettava yleisiä tietoja rekisteröityjen oikeuksien mahdollisesta rajoittamisesta seuraavasti:

a)

rekisterinpitäjän on täsmennettävä oikeudet, joita voidaan rajoittaa, sekä rajoituksen syyt ja mahdollinen kesto;

b)

rekisterinpitäjän on sisällytettävä a alakohdassa tarkoitetut tiedot tietosuojaa koskeviin ilmoituksiinsa, tietosuojaselosteisiinsa ja asetuksen (EU) 2018/1725 31 artiklassa tarkoitettuun käsittelytoimia koskevaan selosteeseen.

6 artikla

Rekisteröidyn tiedonsaantioikeuden rajoittaminen, oikeus tietojen oikaisemiseen, oikeus tietojen poistamiseen tai käsittelyn rajoittamiseen

1.   Jos rekisterinpitäjä rajoittaa kokonaan tai osittain asetuksen (EU) 2018/1725 17 artiklassa, 18 artiklassa, 19 artiklan 1 kohdassa ja 20 artiklan 1 kohdassa tarkoitettuja oikeuksia eli oikeutta saada pääsy tietoihin, oikeutta tietojen oikaisemiseen, oikeutta tietojen poistamiseen tai oikeutta käsittelyn rajoittamiseen, sen on päätöksen (EU) 2020/655 (EKP/2020/28) 11 artiklan 5 kohdassa tarkoitetun määräajan kuluessa vastattava kirjallisesti pyyntöön ja ilmoitettava asianomaiselle rekisteröidylle sovelletusta rajoituksesta, rajoituksen pääasiallisista perusteluista ja mahdollisuudesta tehdä kantelu Euroopan tietosuojavaltuutetulle tai käyttää oikeussuojakeinoja Euroopan unionin tuomioistuimessa.

2.   Rekisterinpitäjän on säilytettävä 3 artiklan 5 kohdassa tarkoitettu sisäinen arviointimuistio ja tarvittaessa asiaan liittyvät tosiseikkoja ja oikeudellisia seikkoja sisältävät asiakirjat ja asetettava ne pyynnöstä Euroopan tietosuojavaltuutetun saataville.

3.   Rekisterinpitäjä voi lykätä 1 kohdassa tarkoitetun rajoituksen syitä koskevien tietojen toimittamista, jättää tiedot toimittamatta tai kieltäytyä tietojen toimittamisesta, siltä osin kuin tietojen antaminen vaarantaisi rajoituksen tarkoituksen. Heti kun rekisterinpitäjä toteaa, ettei tietojen antaminen ei enää vaaranna rajoituksen tarkoitusta, rekisterinpitäjän on toimitettava kyseiset tiedot rekisteröidylle.

7 artikla

Rajoitusten kesto

1.   Rekisterinpitäjän on poistettava rajoitus heti, kun rajoituksen perusteena olleet olosuhteet eivät enää ole voimassa.

2.   Jos rekisterinpitäjä poistaa rajoituksen 1 kohdan nojalla, rekisterinpitäjän on viipymättä

a)

ilmoitettava rekisteröidylle pääasialliset syyt rajoituksen soveltamiselle, ellei se ole jo aiemmin ilmoittanut niitä;

b)

ilmoitettava rekisteröidylle hänen oikeudestaan tehdä kantelu Euroopan tietosuojavaltuutetulle tai käyttää oikeussuojakeinoja Euroopan unionin tuomioistuimessa;

c)

myönnettävä rekisteröidylle oikeus, johon poistettua rajoitusta sovellettiin.

3.   Rekisterinpitäjän on arvioitava kuuden kuukauden välein uudelleen tarvetta pitää voimassa tämän päätöksen nojalla sovellettu rajoitus ja dokumentoitava sen uudelleenarviointi sisäiseen arviointimuistioon.

8 artikla

Suojatoimet

EKP soveltaa liitteessä vahvistettuja organisatorisia ja teknisiä suojatoimia väärinkäytösten tai laittoman pääsyn tai siirron estämiseksi.

9 artikla

Tietosuojavastaavan suorittama tarkastelu

1.   Jos rekisterinpitäjä rajoittaa rekisteröidyn oikeuksia, tietosuojavastaavan on jatkuvasti osallistuttava asian käsittelyyn. Erityisesti sovelletaan seuraavaa:

a)

rekisterinpitäjän on ilman aiheetonta viivästystä kuultava tietosuojavastaavaa;

b)

rekisterinpitäjän on tietosuojavastaavan pyynnöstä annettava tietosuojavastaavalle pääsy kaikkiin asiakirjoihin, jotka sisältävät asiaan liittyviä tosiseikkoja ja oikeudellisia seikkoja, mukaan lukien 3 artiklan 5 kohdassa tarkoitettu sisäinen arviointimuistio;

c)

rekisterinpitäjän on dokumentoitava, miten tietosuojavastaava on osallistunut toimintaan, mukaan lukien maininta asiaankuuluvista jaetuista tiedoista ja erityisesti päivä, jona tietosuojavastaavaa ensimmäisen kerran kuultiin a alakohdan mukaisesti;

d)

tietosuojavastaava voi pyytää rekisterinpitäjää arvioimiaan rajoituksen uudelleen;

e)

rekisterinpitäjän on ilmoitettava tietosuojavastaavalle kirjallisesti pyydetyn uudelleenarvioinnin lopputuloksesta ilman aiheetonta viivästystä ja joka tapauksessa ennen rajoituksen soveltamista.

2.   Rekisterinpitäjän on ilmoitettava tietosuojavastaavalle, kun rajoitus on poistettu.

10 artikla

Voimaantulo

Tämä päätös tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä.

Tehty Frankfurt am Mainissa 7 päivänä syyskuuta 2021.

EKP:n puheenjohtaja

Christine LAGARDE

(1)  EUVL L 295, 21.11.2018, s. 39.

(2)  Neuvoston asetus (EU) N:o 1024/2013, annettu 15 päivänä lokakuuta 2013, luottolaitosten vakavaraisuusvalvontaan liittyvää politiikkaa koskevien erityistehtävien antamisesta Euroopan keskuspankille (EUVL L 287, 29.10.2013, s. 63).

(3)  Euroopan keskuspankin päätös (EU) 2020/655, annettu 5 päivänä toukokuuta 2020, tietosuojaa Euroopan keskuspankissa koskevien täytäntöönpanosääntöjen hyväksymisestä ja päätöksen EKP/2007/1 kumoamisesta (EKP/2020/28) (EUVL L 15.5.2020, s. 13).

(4)  Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta (yleinen tietosuoja-asetus) (EUVL L 119, 4.5.2016, s. 1).

(5)  Euroopan parlamentin ja neuvoston direktiivi (EU) 2016/680, annettu 27 päivänä huhtikuuta 2016, luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL L 119, 4.5.2016, s. 89).

LIITE

EKP:n organisatoriset ja tekniset suojatoimet väärinkäytösten tai laittoman pääsyn tai siirron estämiseksi käsittävät:

a)

henkilöiden osalta seuraavaa:

i)

kaikilla henkilöillä, joilla on pääsy EKP:n ei-julkisiin tietoihin, on vastuu tuntea tietojen hallintaa ja luottamuksellisuutta koskevat EKP:n toimintaperiaatteet ja säännöt sekä soveltaa niitä;

ii)

turvallisuusselvitysmenettelyn avulla varmistetaan, että ainoastaan luotettavuusselvityksen läpäisseillä ja valtuutetuilla henkilöillä on pääsy EKP:n tiloihin ja sen muihin kuin julkisiin tietoihin;

iii)

käytössä on toimenpiteitä, joilla lisätään tietoisuutta tietotekniikan turvallisuudesta, tietoturvasta ja fyysisestä turvallisuudesta;

iv)

henkilöstölle ja ulkoisille palveluntarjoajille järjestetään säännöllisesti koulutusta;

v)

EKP:n henkilöstön jäseniin sovelletaan salassapitovelvollisuutta koskevat tiukkoja sääntöjä, jotka vahvistetaan EKP:n palvelussuhteen ehdoissa ja henkilöstösäännöissä ja joiden rikkomisesta voidaan määrätä kurinpitoseuraamuksia;

vi)

sopimusjärjestelyissä vahvistetaan säännöt ja velvoitteet, jotka koskevat ulkoisten palveluntarjoajien tai toimeksisaajien pääsyä EKP:n ei-julkisiin tietoihin;

vii)

turvavyöhykejaon käsittävän pääsynvalvonnan avulla varmistetaan, että EKP:n muita kuin julkisia tietoja koskevien pääsyoikeuksien myöntäminen ja niiden rajoittaminen perustuu toiminnan tarpeisiin ja turvallisuusvaatimuksiin;

b)

prosessien osalta seuraavaa:

i)

käytössä olevien prosessien avulla varmistetaan EKP:n toimintaa tukevien tietotekniikkasovellusten valvottu täytäntöönpano, toiminta ja ylläpito;

ii)

EKP:n toiminnassa käytetään tietoteknisiä sovelluksia, jotka vastaavat EKP:n turvallisuusstandardeja;

iii)

käytössä on kattava fyysisen turvallisuuden ohjelma, jossa jatkuvasti arvioidaan turvallisuusuhkia ja johon sisältyy fyysisiä turvatoimia riittävän suojelun tason varmistamiseksi;

c)

teknologian osalta seuraavaa:

i)

kaikki sähköisessä muodossa olevat tiedot on tallennettu EKP:n turvallisuusstandardien mukaisiin tietoteknisiin sovelluksiin ja siten suojattu luvattomalta käytöltä tai muuttamiselta;

ii)

tietotekniikkasovellusten käyttöönotto, käyttö ja ylläpito toteutetaan turvallisuustasolla, joka vastaa tietotekniikkasovellusten luottamuksellisuuden, eheyden ja käytettävyyden tarpeita, perustuen toimintaan kohdistuvien vaikutusten arviointiin;

iii)

tietoteknisten sovellusten turvallisuustaso arvioidaan säännöllisesti teknisten ja muiden kuin teknisten turvallisuusarviointien avulla;

iv)

pääsyoikeus EKP:n ei-julkisiin tietoihin myönnetään tiedonsaantitarpeen periaatteen mukaisesti, ja laajoja pääsyoikeuksia rajoitetaan ja valvotaan tiukasti;

v)

käytössä on valvontatoimia, joilla havaitaan toteutuneet ja mahdolliset tietoturvaloukkaukset ja seurataan niitä.
Top