(1)

La Banque centrale européenne (BCE) exerce ses missions conformément aux traités et au règlement (UE) no 1024/2013 du Conseil (2).

(2)

Conformément à l’article 45, paragraphe 3, du règlement (UE) 2018/1725, la décision (UE) 2020/655 de la Banque centrale européenne (BCE/2020/28) (3) établit les règles générales d’application du règlement (UE) 2018/1725 pour ce qui concerne la BCE. Elle précise notamment les règles relatives à la désignation et au rôle du délégué à la protection des données de la BCE, y compris ses tâches, ses fonctions et ses compétences.

(3)

Dans l’accomplissement des missions qui lui sont confiées, la BCE, et notamment l’unité organisationnelle concernée, agit en qualité de responsable du traitement dans la mesure où elle détermine, seule ou conjointement avec d’autres, les finalités et les moyens du traitement des données à caractère personnel.

(4)

Conformément à l’article 4, paragraphe 1, du règlement (UE) no 1024/2013, la BCE est seule compétente pour exercer, à des fins de surveillance prudentielle, et en ayant pour objectif de garantir la sécurité et la solidité des établissements de crédit et la stabilité du système financier, des missions spécifiques à l’égard de tous les établissements de crédit établis dans les États membres participant au mécanisme de surveillance unique (MSU).

(5)

Dans l’accomplissement de ces missions spécifiques, la BCE traite plusieurs catégories d’informations qui peuvent se rapporter à une personne physique identifiée ou identifiable telles que les données d’identification, les coordonnées, les données professionnelles, les détails financiers ou administratifs, les données provenant de sources spécifiques, les données relatives aux communications électroniques et au trafic des communications électroniques, les casiers judiciaires, une description des intérêts financiers et non financiers, les détails des relations d’une personne ou de ses parents proches avec des entités soumises à la surveillance prudentielle ou des membres de l’organe de direction d’une telle entité, et les données relatives au poste auquel une personne a été nommée ou est susceptible de l’être. Les données à caractère personnel pourraient également faire partie d’une évaluation, y compris une évaluation réalisée: aux fins de l’agrément d’un établissement de crédit, du retrait de l’agrément d’un établissement de crédit et d’une procédure relative à une participation qualifiée; en ce qui concerne le droit d’établissement d’une entité importante soumise à la surveillance prudentielle; pour déterminer si les exigences d’honorabilité, de connaissances, de compétences et d’expérience sont remplies; en ce qui concerne les politiques de rémunération d’une entité importante soumise à la surveillance prudentielle et les crédits accordés par une telle entité à ses cadres dirigeants et aux personnes liées à ces cadres; et en ce qui concerne des allégations relatives à d’éventuelles infractions aux actes juridiques visés à l’article 4, paragraphe 3, du règlement (UE) no 1024/2013.

(6)

Le but de la BCE dans l’accomplissement de ces missions spécifiques est de poursuivre des objectifs importants d’intérêt public général de l’Union. Pour cette raison, il convient de garantir l’accomplissement de ces missions comme le prévoit le règlement (UE) 2018/1725, et notamment son article 25, paragraphe 1, points c) et g). En particulier, dans l’accomplissement de ces missions, la BCE agit dans l’intérêt public général de l’Union en tant qu’autorité publique chargée d’exercer, à des fins de surveillance prudentielle, des missions spécifiques à l’égard de tous les établissements de crédit établis dans les États membres participant au MSU. Ces missions incluent les fonctions de contrôle, d’inspection ou de réglementation liées à l’exercice de l’autorité publique en ce qui concerne la surveillance prudentielle des établissements de crédit.

(7)

Dans ce contexte, il convient de préciser les motifs pour lesquels la BCE peut limiter les droits des personnes concernées relatifs aux données obtenues dans l’accomplissement de ses missions de surveillance prudentielle au titre du règlement (UE) no 1024/2013.

(8)

Conformément à l’article 25, paragraphe 1, du règlement (UE) 2018/1725, des limitations à l’application des articles 14 à 22, 35 et 36, ainsi que de l’article 4 de ce règlement dans la mesure où ses dispositions correspondent aux droits et obligations prévus aux articles 14 à 22, devraient être établies dans des règles internes ou des actes juridiques adoptés sur la base des traités. Par conséquent, il convient que la BCE définisse les règles en vertu desquelles elle peut limiter les droits des personnes concernées dans l’accomplissement de ses missions de surveillance prudentielle.

(9)

Bien que la présente décision établisse les règles en vertu desquelles la BCE peut limiter les droits des personnes concernées dans l’accomplissement de ses missions de surveillance prudentielle, le directoire a l’intention d’adopter une décision distincte portant adoption de règles internes concernant la limitation de ces droits lorsque la BCE traite des données à caractère personnel en lien avec son fonctionnement interne.

(10)

La BCE peut appliquer une exception conformément au règlement (UE) 2018/1725, ce qui rend inutile la nécessité d’envisager une limitation, y compris en particulier une de celles énoncées à l’article 15, paragraphe 4, à l’article 16, paragraphe 5, à l’article 19, paragraphe 3, et à l’article 35, paragraphe 3, de ce règlement. En ce qui concerne le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, la BCE peut appliquer une exception prévue à l’article 16, paragraphe 5, point b), ou à l’article 19, paragraphe 3, point d), du règlement (UE) 2018/1725.

(11)

L’exercice des droits des personnes concernées visés aux articles 17, 18, 20, 21, 22 et 23 du règlement (UE) 2018/1725 peut rendre impossible ou entraver sérieusement la réalisation de certaines finalités, y compris, selon le cas, des fins archivistiques dans l’intérêt public, des fins de recherche scientifique ou historique ou des fins statistiques. Par conséquent, il convient que la présente décision prévoie une dérogation à ces droits conformément à l’article 25, paragraphes 3 ou 4, du règlement (UE) 2018/1725, sous réserve de garanties appropriées.

(12)

Il convient que la BCE justifie les motifs pour lesquels ces limitations des droits des personnes concernées sont strictement nécessaires et proportionnées dans une société démocratique pour garantir les objectifs poursuivis dans l’exercice de son autorité publique et des fonctions qui y sont liées, et la manière dont la BCE entend respecter l’essence des droits et libertés fondamentaux tout en imposant de telles limitations.

(13)

Dans ce cadre, la BCE est tenue de respecter, dans toute la mesure du possible, les droits fondamentaux des personnes concernées, notamment ceux relatifs au droit à l’information, au droit d’accès et de rectification, au droit à l’effacement, à la limitation du traitement, au droit à la communication d’une violation de données à caractère personnel à la personne concernée ou à la confidentialité des communications, comme le prévoit le règlement (UE) 2018/1725.

(14)

Toutefois, la BCE peut être obligée de limiter les informations fournies aux personnes concernées et les droits des personnes concernées afin de protéger l’accomplissement de ses missions de surveillance prudentielle, en particulier ses propres enquêtes et procédures, les enquêtes et procédures d’autres autorités publiques, ainsi que les droits et libertés fondamentaux d’autres personnes liées à ses enquêtes ou à d’autres procédures.

(15)

Il convient que la BCE lève une limitation qui a déjà été appliquée lorsque celle-ci n’est plus nécessaire.

(16)

Il convient que le délégué à la protection des données de la BCE procède au réexamen de l’application des limitations afin de garantir la conformité avec la présente décision et le règlement (UE) 2018/1725.

(17)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 41, paragraphe 2, du règlement (UE) 2018/1725 et a rendu un avis le 12 mars 2021,