AZ EURÓPAI KÖZPONTI BANK (EU) 2021/1486 HATÁROZATA

(2021. szeptember 7.) az érintettek jogainak az Európai Központi Bank hitelintézetek prudenciális felügyeletével kapcsolatos feladataival összefüggő korlátozására vonatkozó belső szabályok elfogadásáról

(EKB/2021/42)

AZ EURÓPAI KÖZPONTI BANK IGAZGATÓSÁGA,

tekintettel az Európai Unió működéséről szóló szerződésre,

tekintettel a Központi Bankok Európai Rendszere és az Európai Központi Bank Alapokmányára és különösen annak 11.6. cikkére,

tekintettel a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23-i (EU) 2018/1725 európai parlamenti és tanácsi rendeletre (1) és különösen annak 25. cikkére,

mivel:

(1)	Az Európai Központi Bank (EKB) feladatait a Szerződésekkel és az 1024/2013/EU tanácsi rendelettel (2) összhangban látja el.

(2)

Az (EU) 2018/1725 rendelet 45. cikkének (3) bekezdésével összhangban az (EU) 2020/655 európai központi banki határozat (EKB/2020/28) (3) meghatározza az (EU) 2018/1725 rendeletet az EKB tekintetében végrehajtó általános szabályokat. E határozat különösen az EKB adatvédelmi tisztviselőjének kinevezésére és szerepére vonatkozó szabályokat határozza meg, ideértve az adatvédelmi tisztviselő feladatait, kötelességeit és hatáskörét.

(3)	Az EKB-ra ruházott feladatok ellátása során az EKB és különösen az érintett szervezeti egység adatkezelőként jár el, amennyiben önállóan vagy másokkal együtt meghatározza a személyes adatok kezelésének céljait és eszközeit.

(4)

Az 1024/2013/EU rendelet 4. cikkének (1) bekezdése értelmében az EKB kizárólagos hatáskörébe tartozik az egységes felügyeleti mechanizmusban (SSM) részt vevő tagállamokban székhellyel rendelkező valamennyi hitelintézetre vonatkozó külön feladatok prudenciális felügyelet céljából, valamint a hitelintézetek biztonságának és stabilitásának és a pénzügyi rendszer stabilitásának biztosítása céljából történő végrehajtása.

(5)

E külön feladatok ellátása során az EKB több olyan kategóriába tartozó információt kezel, amelyek azonosított vagy azonosítható természetes személyre vonatkozhatnak, így például személyazonosító adatokat, elérhetőségi adatokat, szakmai adatokat, pénzügyi vagy igazgatási adatokat, meghatározott forrásokból származó adatokat, az elektronikus kommunikáció adatait és elektronikus forgalmi adatokat, bűnügyi nyilvántartási adatokat, pénzügyi és nem pénzügyi érdekeltségek leírását, valamely egyénnek vagy közeli hozzátartozóinak felügyelt szervezetekhez vagy felügyelt szervezetek vezető testületei tagjaihoz fűződő viszonyának részleteit, valamint azon pozícióra vonatkozó adatokat, amelybe az adott egyént kinevezték vagy kinevezhetik. A személyes adatok továbbá részét képezhetik azon értékelésnek, amelyet: valamely hitelintézet engedélyezése vagy engedélyének visszavonása vagy befolyásoló részesedésre vonatkozó eljárás céljából; valamely jelentős felügyelt szervezet letelepedési joga vonatkozásában; a szakmai alkalmassági és üzleti megbízhatósági követelmények fennállásának megállapítása érdekében; valamely jelentős felügyelt szervezet díjazási politikája vonatkozásában vagy az ilyen szervezet által saját vezető tisztségviselőinek és az azokkal rokonságban álló személyeknek nyújtott hiteleket illetően; valamint az 1024/2013/EU rendelet 4. cikkének (3) bekezdésében említett jogi aktusok esetleges megsértésére vonatkozó állítások tekintetében folytatnak le.

(6)

Az EKB e konkrét feladatok ellátása során az Unió fontos általános közérdekű célkitűzéseinek megvalósítására törekszik. Ezért az ilyen feladatok ellátását az (EU) 2018/1725 rendelet, különösen a 25. cikk (1) bekezdésének c) és g) pontjában előirányzottak szerint védelemben kell részesíteni. Közelebbről, e feladatok ellátása során az EKB az Unió általános közérdekében jár el az SSM-ben részt vevő tagállamokban székhellyel rendelkező valamennyi hitelintézetre vonatkozó bizonyos külön feladatok prudenciális felügyelet céljából történő ellátásával megbízott hatóságként. E feladatok között szerepelnek a hitelintézetek prudenciális felügyeletével összefüggő közhatalmi feladatok ellátásához kapcsolódó ellenőrzési, vizsgálati vagy szabályozási tevékenységek.

(7)	Ebben az összefüggésben helyénvaló meghatározni azokat az okokat, amelyek alapján az EKB az 1024/2013/EU rendelet szerinti felügyeleti feladatai ellátása során szerzett adatok vonatkozásában korlátozhatja az érintettek jogait.

(8)

Az (EU) 2018/1725 rendelet 25. cikkének (1) bekezdésével összhangban a rendelet 14–22., 35. és 36. cikke alkalmazásának, továbbá – a 14–22. cikkben meghatározott jogokat és kötelezettségeket illető rendelkezései tekintetében – a 4. cikke alkalmazásának korlátozását a Szerződések alapján elfogadott jogi aktusokban vagy belső szabályokban kell megállapítani. Ennek megfelelően az EKB-nak meg kell határoznia azokat a szabályokat, amelyek alapján felügyeleti feladatainak ellátása során korlátozhatja az érintettek jogait.

(9)

Miközben e határozat meghatározza azokat a szabályokat, amelyek alapján az EKB felügyeleti feladatainak ellátása során korlátozhatja az érintettek jogait, az Igazgatóság külön határozatot kíván elfogadni azon belső szabályok elfogadásáról, amelyek e jogoknak az EKB belső működésével összefüggésben megvalósuló személyesadat-kezelés során megvalósuló korlátozására vonatkoznak.

(10)

Az EKB-nak lehetősége lehet olyan kivételt alkalmazni az (EU) 2018/1725 rendelettel összhangban, amely szükségtelenné teszi korlátozás megfontolását, ideértve különösen a rendelet 15. cikkének (4) bekezdésében, 16. cikkének (5) bekezdésében, 19. cikkénke (3) bekezdésében és 35. cikkének (3) bekezdésében szereplőket. A közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból végzett adatkezelés esetében az EKB-nak lehetősége lehet alkalmazni az (EU) 2018/1725 rendelet 16. cikke (5) bekezdésének b) pontja vagy a 19. cikke (3) bekezdésének d) pontja szerinti kivételt.

(11)

Az érintettek (EU) 2018/1725 rendelet 17., 18., 20., 21., 22. és 23. cikkében említett jogainak gyakorlása lehetetlenné teheti vagy súlyosan veszélyeztetheti bizonyos célok elérését, ideértve adott esetben a közérdekű archiválási célokat, a tudományos és történelmi kutatási célokat vagy a statisztikai célokat. Ezért e határozatnak – megfelelő garanciák mellett – az (EU) 2018/1725 rendelet 25. cikkének (3) vagy (4) bekezdésével összhangban rendelkeznie kell az említett jogoktól való eltérésről.

(12)

Az EKB-nak meg kell indokolnia, hogy az érintettek jogainak ilyen korlátozása miért feltétlenül szükséges és arányos egy demokratikus társadalomban a közhatalmi feladatainak ellátása során követett célok és az ahhoz kapcsolódó tevékenység védelme érdekében, valamint azt, hogy az EKB hogyan tartja tiszteletben az alapvető jogok és szabadságok lényeges tartalmát, miközben ilyen korlátozásokat ír elő.

(13)

Ennek keretében az EKB-nak a lehető legnagyobb mértékben tiszteletben kell tartania az érintettek alapvető jogait, különösen az (EU) 2018/1725 rendeletben előírtak szerinti, a tájékoztatáshoz, a hozzáféréshez és a helyesbítéshez való jogot, a törléshez való jogot, az adatkezelés korlátozásához való jogot, az érintett adatvédelmi incidensről való tájékoztatásának jogát vagy a kommunikáció bizalmas jellegét.

(14)

Az EKB-nak azonban kötelessége lehet korlátozni az érintettek tájékoztatását és az érintettek jogait felügyeleti feladatai ellátásának védelme érdekében, különös tekintettel a saját vizsgálataira és eljárásaira, más hatóságok vizsgálataira és eljárásaira, valamint a vizsgálataival vagy más eljárásokkal kapcsolatban más személyek alapvető jogaira és szabadságaira.

(15)	Az EKB-nak annyiban fel kell oldania a már alkalmazott korlátozást, amennyiben arra már nincs szükség.

(16)	Az EKB adatvédelmi tisztviselőjének felül kell vizsgálnia a korlátozások alkalmazását az e határozatnak és az (EU) 2018/1725 rendeletnek való megfelelés biztosítása érdekében.

(17)	Az (EU) 2018/1725 rendelet 41. cikkének (2) bekezdésével összhangban konzultációra került sor az európai adatvédelmi biztossal, aki 2021. március 12-én véleményt nyilvánított,

ELFOGADTA EZT A HATÁROZATOT:

1. cikk

Tárgy és hatály

(1) Ez a határozat megállapítja az érintettek jogainak EKB általi, az 1024/2013/EU rendelet szerinti felügyeleti feladatainak gyakorlása során a központi nyilvántartásban rögzített személyesadat-kezelési tevékenységek végzése keretében történő korlátozására vonatkozó szabályokat.

(2) Az érintettek korlátozható jogait az (EU) 2018/1725 rendelet alábbi cikkei határozzák meg:

a)	14. cikk (átlátható tájékoztatás, kommunikáció és az érintett jogainak gyakorlására vonatkozó intézkedések);

b)	15. cikk (rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik);

c)	16. cikk (rendelkezésre bocsátandó információk, ha a személyes adatokat nem az érintettől szerezték meg);

d)	17. cikk (az érintett hozzáférési joga);

e)	18. cikk (a helyesbítéshez való jog);

f)	19. cikk (a törléshez való jog („az elfeledtetéshez való jog”));

g)	20. cikk (az adatkezelés korlátozásához való jog);

h)	21. cikk (a személyes adatok helyesbítéséhez vagy törléséhez, illetve az adatkezelés korlátozásához kapcsolódó értesítési kötelezettség);

i)	22. cikk (az adathordozhatósághoz való jog);

j)	35. cikk (az érintett tájékoztatása az adatvédelmi incidensről);

k)	36. cikk (az elektronikus hírközlés bizalmas jellege);

l)	a 4. cikk annyiban, amennyiben rendelkezései megfelelnek az (EU) 2018/1725 rendelet 14-22. cikkében meghatározott jogoknak és kötelezettségeknek.

2. cikk

Fogalommeghatározások

E határozat alkalmazásában a következő fogalommeghatározásokat kell alkalmazni:

1.	„adatkezelés”: az (EU) 2018/1725 rendelet 3. cikkének 3. pontjában meghatározott adatkezelés;

2.	„személyes adat”: az (EU) 2018/1725 rendelet 3. cikkének 1. pontjában meghatározott személyes adat;

„érintett”: valamely azonosított vagy azonosítható természetes személy; azonosítható az a személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;

4.	„központi nyilvántartás”: az EKB-nál végzett valamennyi személyesadat-kezelési tevékenység nyilvánosan hozzáférhető, az EKB adatvédelmi tisztviselője által vezetett, az (EU) 2020/655 határozat (EKB/2020/28) 9. cikkében említett adattár;

5.	„adatkezelő”: az EKB és különösen az EKB illetékes szervezeti egysége, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza, és amely az adatkezelési műveletért felelős;

6.	„uniós intézmények és szervek”: az (EU) 2018/1725 rendelet 3. cikkének 10. pontjában meghatározott uniós intézmények és szervek.

3. cikk

A korlátozások alkalmazása

(1) Az adatkezelő az (EU) 2018/1725 rendelet 25. cikkének (1) bekezdésében említett érdekek és célkitűzések védelme érdekében korlátozhatja az 1. cikk (2) bekezdésében említett jogokat, különösen, ha e jogok gyakorlása veszélyeztetné vagy más módon hátrányosan befolyásolná a következőket:

a)	az EKB 1024/2013/EU rendelet szerinti felügyeleti feladatainak ellátása, a felügyeleti rendszer megfelelő működését is ideértve;

b)	a hitelintézetek biztonsága és stabilitása, valamint az Unión és az egyes tagállamokon belül a pénzügyi rendszer stabilitása;

c)	a jogsértések 1024/2013/EU rendelet 23. cikke szerinti jelentésének eredményessége.

(2) Az (EU) 2018/1725 rendelet 25. cikkének (1) bekezdésében említett érdekek és célok védelme érdekében az adatkezelő az alábbi körülmények bármelyike esetén korlátozhatja az 1. cikk (2) bekezdésében említett jogokat a más uniós intézményektől és szervektől, valamint a tagállamok vagy harmadik országok illetékes hatóságaitól vagy nemzetközi szervezetektől kapott személyes adatokkal kapcsolatban:

amennyiben e jogok gyakorlását más olyan uniós intézmény és szerv korlátozhatja, amelytől a személyes adatokat megszerezték, az (EU) 2018/1725 rendelet 25. cikkében előírt egyéb jogi aktusok alapján vagy a rendelet IX. fejezetével vagy más uniós intézmény és szerv alapító jogi aktusával összhangban;

amennyiben e jogok gyakorlását azon tagállamok illetékes hatóságai korlátozhatják, amelyektől a személyes adatokat megszerezték, az (EU) 2016/679 európai parlamenti és tanácsi rendelet (4) 23. cikkében említett jogi aktusok vagy az (EU) 2016/680 európai parlamenti és tanácsi irányelv (5) 13. cikkének (3) bekezdését, 15. cikkének (3) bekezdését vagy 16. cikkének (3) bekezdését átültető nemzeti intézkedések alapján;

amennyiben e jogok gyakorlása veszélyeztetheti vagy más módon hátrányosan érintheti az EKB és azon harmadik országok vagy nemzetközi szervezetek közötti együttműködést, amelyektől az információt megszerezték, feladatainak ellátása során, kivéve, ha az EKB együttműködéshez fűződő érdekét felülírják az érintettek érdekei vagy alapvető jogai és szabadságai.

(3) A (2) bekezdés a) és b) pontjában említett körülmények fennállása esetén a korlátozás alkalmazását megelőzően az adatkezelő:

a)	megismeri az érintett uniós intézményekkel és szervekkel vagy a tagállamok illetékes hatóságaival kötött megállapodásokat; és

b)	konzultál az érintett uniós intézményekkel és szervekkel vagy a tagállamok illetékes hatóságaival, kivéve, ha az adatkezelő számára egyértelmű, hogy a korlátozás alkalmazásáról a (2) bekezdés a) és b) pontjában említett valamely jogi aktus vagy intézkedés rendelkezik.

(4) Az adatkezelő csak akkor alkalmazhat korlátozást, ha eseti értékelés alapján arra a következtetésre jut, hogy a korlátozás:

a)	szükséges és arányos, figyelembe véve az érintett jogait és szabadságait érintő kockázatokat; és

b)	tiszteletben tartja az alapvető jogok és szabadságok demokratikus társadalombeli lényegét.

(5) Az adatkezelő értékelését belső értékelő feljegyzésben dokumentálja, amely tartalmazza a jogalapot, a korlátozás indokait, az érintettek korlátozás alá vont jogait, az érintetteket, a korlátozás szükségességét és arányosságát, valamint a korlátozás valószínű időtartamát.

(6) Az adatkezelő érintett jogainak e határozat szerinti korlátozására vonatkozó döntését az érintett üzleti terület azon vezetőjének vagy helyettes vezetőjének szintjén kell meghozni, akinek az üzleti területén a személyes adatokat érintő fő adatkezelési műveletet végzik.

4. cikk

Eltérések

(1) Tudományos és történelmi kutatási célú vagy statisztikai célú adatkezelés esetében az adatkezelő az (EU) 2018/1725 rendelet 25. cikkének (3) bekezdésével összhangban eltéréseket alkalmazhat. E célból az adatkezelő az (EU) 2018/1725 rendelet 25. cikkének (3) bekezdésében meghatározott feltételekkel összhangban eltérhet a rendelet 17., 18., 20. és 23. cikkében említett jogoktól.

(2) Közérdekű archiválási célú adatkezelés esetében az adatkezelő az (EU) 2018/1725 rendelet 25. cikkének (4) bekezdésével összhangban eltéréseket alkalmazhat. E célból az adatkezelő az (EU) 2018/1725 rendelet 25. cikkének (4) bekezdésében meghatározott feltételekkel összhangban eltérhet a rendelet 17., 18., 20., 21., 22. és 23. cikkében említett jogoktól.

(3) Ezekre az eltérésekre az (EU) 2018/1725 rendelet 13. cikkével és e határozat 8. cikkével összhangban megfelelő garanciákat kell alkalmazni.

5. cikk

Általános tájékoztatás a korlátozásokról

Az adatkezelő általános tájékoztatást nyújt az érintettek jogainak esetleges korlátozásáról az alábbiak szerint:

a)	az adatkezelő meghatározza a korlátozható jogokat, a korlátozás okait és a lehetséges időtartamot;

b)	az adatkezelő az adatvédelmi értesítéseiben, adatvédelmi nyilatkozataiban és az (EU) 2018/1725 rendelet 31. cikkében említett, az adatkezelési tevékenységeiről vezetett nyilvántartásaiban feltünteti az a) pontban említett információkat.

6. cikk

Az érintettek hozzáférési jogának, a helyesbítéshez való jogának, a törléshez vagy az adatkezelés korlátozásához való jogának korlátozása

(1) Amennyiben az adatkezelő teljes egészében vagy részben korlátozza az (EU) 2018/1725 rendelet 17. cikkében, 18. cikkében, 19. cikkének (1) bekezdésében és 20. cikkének (1) bekezdésében említett hozzáférési jogot, helyesbítési jogot, a törléshez való jogot vagy az adatkezelés korlátozásához való jogot, az (EU) 2020/655 határozat (EKB/2020/28) 11. cikkének (5) bekezdésében említett határidőn belül a kérelemre adott írásbeli válaszában tájékoztatja az érintettet az alkalmazott korlátozásról, a korlátozás fő okairól és arról a lehetőségről, hogy panaszt nyújthat be az európai adatvédelmi biztoshoz vagy bírósági jogorvoslatért fordulhat az Európai Unió Bíróságához.

(2) Az adatkezelő megőrzi a 3. cikk (5) bekezdésében említett belső értékelő feljegyzést, valamint adott esetben az alapul szolgáló ténybeli és jogi elemeket tartalmazó dokumentumokat, és azokat kérésre az európai adatvédelmi biztos rendelkezésére bocsátja.

(3) Az adatkezelő elhalaszthatja, elhagyhatja vagy megtagadhatja az (1) bekezdésben említett korlátozás okaira vonatkozó tájékoztatást mindaddig, amíg a tájékoztatás ellentétes a korlátozás céljával. Amint az adatkezelő megállapítja, hogy a tájékoztatás már nem ellentétes a korlátozás céljával, az érintett rendelkezésére bocsátja az információt.

7. cikk

A korlátozások időtartama

(1) Az adatkezelő feloldja a korlátozást, amint a korlátozást indokoló körülmények már nem állnak fenn.

(2) Amennyiben az adatkezelő az (1) bekezdés szerint feloldja a korlátozást, haladéktalanul:

a)	tájékoztatja az érintettet a korlátozás alkalmazásának fő okairól, amennyiben ezt még nem tette meg;

b)	tájékoztatja az érintettet arról a jogáról, hogy panaszt nyújthat be az európai adatvédelmi biztoshoz, vagy bírósági jogorvoslatért fordulhat az Európai Unió Bíróságához;

c)	biztosítja az érintettnek azt a jogot, amelyre a feloldott korlátozás vonatkozott.

(3) Az adatkezelő hathavonta újraértékeli az e határozat alapján alkalmazott korlátozás fenntartásának szükségességét, és újraértékelését belső értékelő feljegyzésben dokumentálja.

8. cikk

Garanciák

Az EKB a mellékletben meghatározott szervezeti és technikai garanciákat alkalmazza a visszaélések, a jogosulatlan hozzáférés vagy továbbítás megelőzése érdekében.

9. cikk

Az adatvédelmi tisztviselő általi felülvizsgálat

(1) Amennyiben az adatkezelő korlátozza az érintett jogainak alkalmazását, folyamatosan be kell vonnia az eljárásba az adatvédelmi tisztviselőt. Különösen a következők alkalmazandók:

a)	az adatkezelő indokolatlan késedelem nélkül konzultál az adatvédelmi tisztviselővel;

b)	az adatvédelmi tisztviselő kérésére az adatkezelő hozzáférést biztosít az adatvédelmi tisztviselő számára minden olyan dokumentumhoz, amely az alapul szolgáló ténybeli és jogi elemeket tartalmazza, ideértve a 3. cikk (5) bekezdésében említett belső értékelő feljegyzést is;

c)	az adatkezelő dokumentálja az adatvédelmi tisztviselő bevonásának módját, ideértve a megosztott vonatkozó információkat, különösen az a) pontban említett konzultáció első időpontját;

d)	az adatvédelmi tisztviselő kérheti az adatkezelőtől a korlátozás felülvizsgálatát;

e)	az adatkezelő indokolatlan késedelem nélkül, de minden esetben a korlátozás alkalmazása előtt írásban tájékoztatja az adatvédelmi tisztviselőt a kért felülvizsgálat eredményéről.

(2) Az adatkezelő tájékoztatja az adatvédelmi tisztviselőt a korlátozás feloldásakor.

10. cikk

Hatálybalépés

Ez a határozat az Európai Unió Hivatalos Lapjában való kihirdetését követő huszadik napon lép hatályba.

Kelt Frankfurt am Mainban, 2021. szeptember 7-én.

az EKB elnöke

Christine LAGARDE

(1) HL L 295., 2018.11.21., 39. o.

(2) A Tanács 1024/2013/EU rendelete (2013. október 15.) az Európai Központi Banknak a hitelintézetek prudenciális felügyeletére vonatkozó politikákkal kapcsolatos külön feladatokkal történő megbízásáról (HL L 287., 2013.10.29., 63. o.).

(3) Az Európai Központi Bank (EU) 2020/655 határozata (2020. május 5.) az Európai Központi Banknál az adatvédelemmel kapcsolatos végrehajtási szabályok elfogadásáról és az EKB/2007/1 határozat hatályon kívül helyezéséről (EKB/2020/28) (HL L 152., 2020.5.15., 13. o.).

(4) Az Európai Parlament és a Tanács (EU) 2016/679 rendelete (2016. április 27.) a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) (HL L 119., 2016.5.4., 1. o.).

(5) Az Európai Parlament és a Tanács (EU) 2016/680 irányelve (2016. április 27.) a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről (HL L 119., 2016.5.4., 89. o.).