DECISÃO (UE) 2022/2359 DO BANCO CENTRAL EUROPEU

de 22 de novembro de 2022

que adota regras internas relativas à restrição de direitos de titulares de dados relacionada com o funcionamento interno do Banco Central Europeu (BCE/2022/42)

A COMISSÃO EXECUTIVA DO BANCO CENTRAL EUROPEU,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta os Estatutos do Sistema Europeu de Bancos Centrais e do Banco Central Europeu, nomeadamente o artigo 11.o-6,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1), nomeadamente o artigo 25.o,

Considerando o seguinte:

(1)	O Banco Central Europeu (BCE) exerce as suas atribuições em conformidade com os Tratados.

(2)

De harmonia com o disposto no artigo 45.o, n.o 3, do Regulamento (UE) 2018/1725, a Decisão (UE) 2020/655 do Banco Central Europeu (BCE/2020/28) (2) estabelece as disposições gerais de execução do Regulamento (UE) 2018/1725 no tocante ao BCE. Define, nomeadamente, as regras relativas à nomeação e ao papel do encarregado da proteção de dados do BCE, incluindo as respetivas funções, deveres e competências.

(3)	No exercício das atribuições que lhe estão cometidas, o BCE e, em particular, a unidade organizativa em causa atuam como responsáveis pelo tratamento dos dados na medida em que determinem, individualmente ou em conjunto com outrem, as finalidades e os meios de tratamento dos dados pessoais.

(4)

No que se refere ao funcionamento interno do BCE, vários dos seus domínios operacionais [incluindo a Direção-Geral dos Recursos Humanos (DG/HR), o Gabinete de Conformidade e Governação (CGO), a Direção de Auditoria Interna (D/IA) e a Direção-Geral dos Serviços Jurídicos (DG/L)] estão incumbidos de funções no âmbito do quadro jurídico que rege as relações laborais no BCE que envolvam o tratamento de dados pessoais. Essas funções podem incluir, por exemplo, medidas em resposta a potenciais incumprimentos das obrigações profissionais (incluindo investigações de comportamento inadequado nos termos do quadro do BCE sobre dignidade no trabalho e a averiguação de denúncias de atividades ilegais ou incumprimento das obrigações profissionais apresentadas por qualquer meio, incluindo, nomeadamente, através do instrumento de denúncia de irregularidades do BCE); tarefas relacionadas com processos de seleção; tarefas realizadas pela DG/HR no exercício das suas funções em matéria de gestão do desempenho, promoções, nomeação direta de membros do pessoal do BCE, desenvolvimento profissional, incluindo calibrações de talento tanto dentro de como entre diferentes áreas de atividade, aumentos salariais e bónus, e decisões sobre mobilidade e férias; a apreciação de recursos internos interpostos por membros do pessoal do BCE (inclusive mediante recursos hierárquicos, procedimentos de reclamação ou procedimentos de recurso especial ou convocação de juntas médicas) e seu seguimento; as tarefas de consultoria do diretor do CGO no contexto do Código Deontológico do BCE (estabelecido na parte 0 das Regras Aplicáveis ao Pessoal do BCE); e as funções do CGO em matéria de controlo de conformidade de atividades financeiras privadas (incluindo a cooperação com qualquer prestador de serviços externo nomeado de acordo com o artigo 0.4.3.3 das Regras Aplicáveis ao Pessoal do BCE); as auditorias efetuadas pela D/IA e as tarefas realizadas nos termos da Circular Administrativa 01/2006 relativa aos inquéritos administrativos internos (3), ao realizar atividades de investigação e inquéritos administrativos em situações com possíveis consequências disciplinares envolvendo membros do pessoal do BCE (incluindo as atividades das pessoas que realizam o inquérito ou dos membros do painel de inquérito, quando chamados a reunir provas e determinar os factos pertinentes).

(5)

Nos termos da Decisão (UE) 2016/456 do Banco Central Europeu (BCE/2016/3) (4), o BCE deve transmitir ao Organismo Europeu de Luta Antifraude, a pedido deste ou por sua própria iniciativa, informações na sua posse que levem a suspeitar da existência de possíveis casos de fraude, corrupção ou qualquer outra atividade ilegal lesiva dos interesses financeiros da União. A Decisão BCE/2016/456 (BCE/2016/3) prevê que, nesse caso, as partes interessadas devem ser prontamente informadas, se tal não prejudicar o inquérito, e que, em todo o caso, não podem ser tiradas conclusões que refiram as partes interessadas pelo nome sem lhes dar a oportunidade de se pronunciar sobre todos os factos que lhes digam respeito, incluindo quaisquer elementos de prova incriminatórios.

(6)	Nos termos da alínea b) do artigo 4.o da Decisão (UE) 2020/655 (BCE/2020/28), o encarregado da proteção de dados deve investigar questões e incidentes relacionados com a proteção de dados, quer por sua própria iniciativa, quer a pedido do BCE.

(7)	A Divisão de Segurança e Proteção, integrada na Direção de Administração, é responsável pela realização de investigações destinadas a garantir a proteção da segurança física das instalações, pessoas e bens no BCE, pela recolha de informação sobre ameaças e pelas análises de incidentes de segurança.

(8)

O BCE tem o dever de cooperação leal com autoridades nacionais, incluindo as autoridades nacionais de investigação e ação penal. Especificamente, nos termos da Decisão (UE) 2016/1162 do Banco Central Europeu (BCE/2016/19) (5), o BCE pode, a pedido de uma autoridade de investigação criminal nacional, fornecer informação confidencial que se encontre na sua posse relativa às atribuições cometidas ao BCE pelo Regulamento (UE) n.o 1024/2013 do Conselho (6) ou a outras tarefas relacionadas com o SEBC/Eurosistema a uma ANC ou a um BCN, respetivamente, para transmissão à referida autoridade sob certas condições.

(9)	Nos termos do Regulamento (UE) 2017/1939 do Conselho (7), o BCE deve fornecer sem demora à Procuradoria Europeia todas as informações relativas a qualquer infração identificada que seja da competência desta.

(10)

O BCE deve cooperar com os organismos da UE que exercem as funções de supervisão, superintendência ou auditoria a que está sujeito, como sejam a Autoridade Europeia para a Proteção de Dados, o Tribunal de Contas Europeu e o Provedor de Justiça Europeu, no desempenho das respetivas atribuições. Neste contexto, o BCE pode ter de tratar dados pessoais para estar apto a responder a pedidos, efetuar consultas e fornecer informações aos referidos organismos.

(11)

De acordo com o quadro de resolução interna de litígios do BCE, o pessoal do BCE pode contactar um mediador a qualquer momento e por qualquer meio para solicitar o seu apoio na resolução ou na prevenção de conflitos laborais. O referido quadro prevê que todas as comunicações com o mediador estão protegidas pela confidencialidade. As informações mencionadas durante o processo de mediação são consideradas privilegiadas e cada uma das partes envolvidas na mediação deve utilizá-las exclusivamente para os efeitos do processo de mediação, sem prejuízo de eventuais processos judiciais. Excecionalmente, o mediador pode divulgar informações quando se afigure necessário para evitar um risco iminente de ofensa grave à integridade física ou mental de uma pessoa.

(12)

O BCE procura garantir condições de trabalho que protejam a saúde e a segurança dos membros do seu pessoal e respeitem a sua dignidade no trabalho, prestando serviços de aconselhamento para os apoiar. Os membros do pessoal do BCE podem solicitar os serviços de um consultor social relativamente a quaisquer questões, incluindo questões emocionais, pessoais e relacionadas com o trabalho. O consultor social não pode ter acesso ao processo pessoal dos membros do pessoal do BCE, salvo se por estes expressamente autorizados. As informações recebidas de uma pessoa ou as declarações por ela prestadas ao consultor social não podem ser divulgadas, a menos que tal seja expressamente autorizado por essa pessoa ou exigido por lei.

(13)

No âmbito do seu funcionamento interno, o BCE trata várias categorias de dados que podem estar relacionados com uma pessoa singular identificada ou identificável. Dos anexos da presente decisão constam listas não exaustivas das categorias de dados pessoais que são tratados pelo BCE no contexto no seu funcionamento interno. Os dados pessoais podem também fazer parte de uma avaliação que inclua uma apreciação efetuada pela área responsável relativamente à matéria em análise, incluindo, por exemplo, uma avaliação efetuada pela DG/HR, pela DG/L, pela D/IA ou por uma comissão disciplinar ou um painel de inquérito sobre um incumprimento das obrigações profissionais.

(14)	No contexto dos considerandos 4 a 13, é conveniente especificar os motivos pelos quais o BCE pode restringir os direitos dos titulares dos dados.

(15)

Ao exercer as suas atribuições, o BCE visa prosseguir importantes objetivos de interesse público geral da União. Por conseguinte, o exercício de tais atribuições deve ser salvaguardado, tal como previsto no Regulamento (UE) 2018/1725, nomeadamente no artigo 25.o, n.o 1, alíneas b), c), d), f), g) e h).

(16)

Em conformidade com o disposto no artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, as restrições à aplicação dos artigos 14.o a 22.o, 35.o e 36.o e, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 22.o, do artigo 4.o do referido regulamento, devem ser estabelecidas em regras internas ou em atos jurídicos adotados com base nos Tratados. Por conseguinte, o BCE deve estabelecer as regras ao abrigo das quais pode restringir os direitos dos titulares de dados no exercício das suas atribuições.

(17)

O BCE deve fornecer as razões pelas quais tais restrições são estritamente necessárias e proporcionadas numa sociedade democrática para salvaguardar os objetivos prosseguidos no exercício da sua autoridade pública e as funções que lhe estão associadas, e descrever a forma como respeita a essência dos direitos e liberdades fundamentais ao impor essa limitação.

(18)

Neste contexto, o BCE é obrigado a respeitar, tanto quanto possível, os direitos fundamentais dos titulares dos dados, em especial os direitos relacionados com o direito à prestação de informação, de acesso à mesma e de retificação, o direito ao apagamento, a limitação do tratamento, o direito de comunicação de uma violação de dados pessoais ao titular desses dados ou de confidencialidade da comunicação, tal como previsto no Regulamento (UE) 2018/1725.

(19)

No entanto, o BCE pode ser obrigado a limitar a informação prestada aos titulares dos dados, assim como os direitos de outros titulares de dados, a fim de salvaguardar o desempenho das suas atribuições, em especial as suas próprias investigações e procedimentos, as investigações e procedimentos de outras autoridades públicas e os direitos e liberdades fundamentais de outras pessoas relacionadas com as suas investigações ou outros procedimentos.

(20)	O BCE deve levantar as restrições já aplicadas quando deixarem de ser necessárias.

(21)	O encarregado da proteção de dados deve reexaminar a aplicação de restrições com vista a assegurar o cumprimento da presente decisão e do Regulamento (UE) 2018/1725.

(22)

Embora a presente decisão estabeleça as regras ao abrigo das quais o BCE pode restringir os direitos dos titulares de dados quando trata dados pessoais no contexto do seu funcionamento interno, a Comissão Executiva adotou uma decisão autónoma em que estabelece regras internas em matéria de limitação desses direitos no exercício das suas atribuições de supervisão.

(23)	O BCE pode aplicar exceções nos termos do Regulamento (UE) 2018/1725, o que significa não ser necessário prever restrições, em especial as contempladas nos artigos 15.o, n.o 4, 16,o, n.o 5, 19.o, n.o 3, e 35.o, n.o 3, do regulamento citado.

(24)

As derrogações aos direitos dos titulares de dados consagrados nos artigos 17.o, 18.o, 20.o, 21.o, 22.o e 23.o do Regulamento (UE) 2018/1725 para fins de arquivo de interesse público podem ser previstas em regras internas ou em atos jurídicos adotados com base nos Tratados pelo BCE em relação ao seu arquivo, sob reserva das condições e garantias exigidas nos termos do artigo 25.o, n.o 4, do Regulamento (UE) 2018/1725.

(25)	Tendo sido consultada a Autoridade Europeia para a Proteção de Dados nos termos do artigo 41.o, n.o 2, do Regulamento (UE) 2018/1725, e emitido o seu parecer em 12 de março de 2021,

(26)	Tendo sido consultado o Comité do Pessoal,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

Objeto e âmbito de aplicação

1. A presente decisão estabelece regras relativas à restrição dos direitos dos titulares de dados pelo BCE no exercício de atividades de tratamento de dados pessoais, tal como inscritas no registo central, no contexto do seu funcionamento interno.

2. Os direitos dos titulares dos dados que podem ser objeto de restrições são especificados nos seguintes artigos do Regulamento (UE) 2018/1725:

a)	Artigo 14.o (Transparência das informações e das comunicações e regras para o exercício dos direitos dos titulares dos dados);

b)	Artigo 15.o (Informações a prestar caso os dados pessoais sejam recolhidos junto do titular dos dados);

c)	Artigo 16.o (Informações a prestar caso os dados pessoais não sejam recolhidos junto do titular dos dados);

d)	Artigo 17.o (Direito de acesso do titular dos dados);

e)	Artigo 18.o (Direito de retificação);

f)	Artigo 19.o (Direito ao apagamento dos dados («direito a ser esquecido»);

g)	Artigo 20.o (Direito à limitação do tratamento);

h)	Artigo 21.o (Obrigação de notificação relativa à retificação ou ao apagamento dos dados pessoais e à limitação do tratamento);

i)	Artigo 22.o (Direito de portabilidade dos dados);

j)	Artigo 35.o (Comunicação de violações de dados pessoais ao titular dos dados);

k)	Artigo 36.o (Confidencialidade das comunicações eletrónicas);

l)	Artigo 4.o, na medida em que as suas disposições correspondam aos direitos e obrigações previstos nos artigos 14.o a 22.o do Regulamento (UE) 2018/1725.

Artigo 2.o

Definições

Para efeitos da presente decisão, entende-se por:

1)	«Tratamento», o mesmo que no artigo 3.o, ponto 3, do Regulamento (UE) 2018/1725;

2)	«Dados pessoais», o mesmo que no artigo 3.o, ponto 1, do Regulamento (UE) 2018/1725;

«Titular dos dados», uma pessoa singular identificada ou identificável; é identificável a pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador como, por exemplo, um nome, um número de identificação, dados de localização, um identificador por via eletrónica ou um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

4)	«Registo central», o repositório, acessível ao público, de todas as atividades de tratamento de dados pessoais realizadas no BCE, mantido pelo encarregado da proteção de dados do BCE e referido no artigo 9.o da Decisão (UE) 2020/655 (BCE/2020/28);

5)	«Responsável pelo tratamento de dados», o BCE e, nomeadamente, a unidade organizativa do BCE que, individualmente ou em conjunto com outras entidades, determine as finalidades e os meios de tratamento dos dados pessoais e que é responsável pela operação de tratamento;

6)	«Instituições e órgãos da União», o mesmo que no artigo 3.o, ponto 10, do Regulamento (UE) 2018/1725.

Artigo 3.o

Aplicação de restrições

1. No que respeita às atividades de tratamento previstas no artigo 1.o, n.o 1, o responsável pelo tratamento de dados pode restringir os direitos referidos no artigo 1.o, n.o 2, para salvaguarda dos interesses e objetivos referidos no artigo 25.o, n.o 1, do Regulamento (UE) 2018/1725, se o exercício desses direitos puder prejudicar ou afetar negativamente:

A avaliação e comunicação de potenciais incumprimentos de obrigações profissionais e, se necessário, a subsequente investigação e seguimento dos mesmos, incluindo a suspensão de funções, cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas b), c), f) e/ou h) do Regulamento (UE) 2018/1725;

Os processos informais e/ou formais relativos à dignidade no trabalho, incluindo a análise de casos que possam dar origem à instauração de tais processos, tal como estabelecido na parte 0.5 das Regras Aplicáveis ao Pessoal do BCE, cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas b), c), f) e/ou h) do Regulamento (UE) 2018/1725;

O correto desempenho das funções da DG/HR no quadro do direito do trabalho do BCE, relativo à gestão do desempenho, promoções, nomeação direta de membros do pessoal do BCE, procedimentos de seleção e desenvolvimento profissional, cuja salvaguarda esteja em conformidade com o artigo 25.o, n.o 1, alíneas c) e/ou h), do Regulamento (UE) 2018/1725;

A apreciação dos recursos internos interpostos pelos membros do pessoal do BCE (incluindo procedimentos de recurso administrativo ou de reclamação ou, ainda, procedimentos especiais de recurso ou juntas médicas), e seu seguimento, cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas b), c) e/ou h), do Regulamento (UE) 2018/1725;

A comunicação de qualquer atividade ilegal ou incumprimento das obrigações profissionais através do instrumento de denúncia de irregularidades do BCE ou a avaliação de pedidos apresentados pelo Gabinete de Conformidade e Governação (CGO) para proteção de denunciantes ou testemunhas contra atos de retaliação, cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas b), c), f) e/ou h), do Regulamento (UE) 2018/1725;

As atividades do CGO ao abrigo do Código Deontológico do BCE estabelecido na parte 0 das Regras Aplicáveis ao Pessoal do BCE e as regras de seleção e nomeação estabelecidas na parte 1-A das mesmas Regras, bem como a monitorização de atividades financeiras privadas para efeitos de conformidade, incluindo tanto as funções exercidas pelo prestador de serviços externo nomeado nos termos do artigo 0.4.3.3 das Regras Aplicáveis ao Pessoal do BCE, como a avaliação e o acompanhamento de potenciais casos de incumprimento resultantes dessa monitorização por parte do CGO, cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas b), c), f) e/ou h), do Regulamento (UE) 2018/1725;

g)	As auditorias realizadas pela Direção de Auditoria Interna, as atividades de investigação e os inquéritos administrativos internos cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas b), c) e/ou h), do Regulamento (UE) 2018/1725;

O desempenho das atribuições do BCE nos termos da Decisão (UE) 2016/456 (BCE/2016/3), nomeadamente o dever do BCE de reportar qualquer informação sobre atividades ilegais cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas b), c), g) e/ou h), do Regulamento (UE) 2018/1725;

As investigações realizadas pelo encarregado da proteção de dados sobre as atividades de tratamento realizadas no BCE nos termos do artigo 4.o, alínea b), da Decisão (UE) 2020/655 (BCE/2020/28), cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas b) e/ou h), do Regulamento (UE) 2018/1725;

As investigações destinadas a garantir a segurança física de pessoas, instalações e bens no BCE, quer realizadas internamente, quer com apoio externo, a recolha de informações sobre ameaças e análises de incidentes de segurança, cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas b), c), d) e/ou h), do Regulamento (UE) 2018/1725;

k)	Os processos judiciais cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas b), c), e/ou h), do Regulamento (UE) 2018/1725.

A cooperação entre o BCE e as autoridades nacionais de investigação criminal, em especial a prestação de informações confidenciais na posse do BCE para divulgação a uma autoridade nacional de investigação criminal a pedido desta última, cuja salvaguarda esteja em conformidade com o artigo 25.o, n.o 1, alíneas b), c), d) e/ou h), do Regulamento (UE) 2018/1725;

m)	A cooperação entre o BCE e a Procuradoria Europeia nos termos do Regulamento (UE) 2017/1939, nomeadamente o dever do BCE de prestar informações sobre infrações, cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas b), c), d) e/ou h), do Regulamento (UE) 2018/1725;

n)	A cooperação com os organismos da UE que exercem as funções de supervisão, superintendência ou auditoria a que o BCE está sujeito, cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alíneas c), d) g) e/ou h), do Regulamento (UE) 2018/1725;

o)	O exercício das funções de mediador nos termos do quadro de resolução interna de litígios do BCE, em particular prestando apoio para ajudar a resolver ou prevenir um conflito laboral, cuja salvaguarda esteja em conformidade com o artigo 25.o, n.o 1, alínea h), do Regulamento (UE) 2018/1725;

p)	A prestação de serviços de aconselhamento pelo consultor social para apoio aos membros do pessoal do BCE, cuja salvaguarda esteja em conformidade com o disposto no artigo 25.o, n.o 1, alínea h), do Regulamento (UE) 2018/1725;

As categorias de dados pessoais relativamente às quais se podem aplicar as restrições referidas no n.o 1 estão enumeradas nos anexos I a XIV da presente decisão.

2. O responsável pelo tratamento de dados só pode aplicar uma restrição se, numa apreciação casuística, concluir que essa limitação:

a)	É necessária e proporcionada, tendo em conta os riscos para os direitos e liberdades do titular dos dados; e

b)	Respeita a essência dos direitos e liberdades fundamentais numa sociedade democrática.

3. O responsável pelo tratamento de dados deve documentar a sua avaliação numa nota de avaliação interna, da qual devem constar a base jurídica, os motivos da restrição, os direitos dos titulares dos dados que são objeto de restrição, os titulares dos dados afetados, a necessidade e proporcionalidade da restrição e a duração provável da mesma.

4. A decisão de restringir os direitos de titular de dados nos termos do n.o 1, que cabe ao responsável pelo tratamento de dados, deve ser tomada ao nível do diretor ou diretor-adjunto da área de atividade em que se desenrolar a principal operação de tratamento envolvendo os dados pessoais.

Artigo 4.°

Prestação de informações gerais sobre as restrições

O responsável pelo tratamento de dados deve fornecer as seguintes informações gerais sobre a potencial restrição dos direitos dos titulares dos dados:

a)	O responsável pelo tratamento de dados deve especificar os direitos que podem ser restringidos, os motivos e a duração potencial da restrição imposta;

b)	O responsável pelo tratamento de dados deve incluir as informações referidas na alínea a) nos seus avisos sobre a proteção de dados, nas declarações de privacidade e nos registos das atividades de tratamento a que se refere o artigo 31.o do Regulamento (UE) 2018/1725.

Artigo 5.°

Restrição do direito de acesso por parte dos titulares dos dados, direito de retificação, direito ao apagamento ou limitação do tratamento

1. Se o responsável pelo tratamento de dados restringir, total ou parcialmente, o direito de acesso, o direito de retificação, o direito ao apagamento ou o direito à limitação do tratamento a que se referem, respetivamente, os artigos 17.o, 18.o, 19.o, n.o 1, e 20.o, n.o 1, do Regulamento (UE) 2018/1725, deve, no prazo referido no artigo 11.o, n.o 5, da Decisão (UE) 2020/655 (BCE/2020/28), informar o titular dos dados em causa, na sua resposta escrita ao pedido, da restrição aplicada, dos principais motivos para a restrição, da possibilidade de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial junto do Tribunal de Justiça da União Europeia.

2. O responsável pelo tratamento de dados deve conservar a nota de avaliação interna a que se refere o artigo 3.o, n.o 3, e, se for caso disso, todos os documentos contendo os elementos factuais e jurídicos subjacentes, e disponibilizá-los, a pedido, ao encarregado da proteção de dados e à Autoridade Europeia para a Proteção de Dados.

3. O responsável pelo tratamento de dados pode adiar, omitir ou recusar a prestação de informações sobre os motivos da limitação a que se refere o n.o 1 pelo período de tempo em que tal prestação de informações possa prejudicar a finalidade da restrição. Logo que determine que a prestação das informações já não prejudica a finalidade da restrição, o responsável pelo tratamento de dados deve fornecer essas informações ao titular dos dados.

Artigo 6.°

Duração das restrições

1. O responsável pelo tratamento de dados deve levantar as restrições logo que deixem de se verificar as circunstâncias que as justificaram.

2. Se o responsável pelo tratamento de dados levantar uma restrição nos termos do n.o 1, deve, prontamente:

a)	Na medida em que ainda o não tenha feito, informar o titular dos dados dos principais motivos em que se baseou a aplicação de uma restrição;

b)	Informar o titular dos dados do seu direito de apresentar uma reclamação à Autoridade Europeia para a Proteção de Dados ou de intentar uma ação judicial no Tribunal de Justiça da União Europeia;

c)	Conceder ao titular dos dados o direito que foi objeto da restrição entretanto levantada.

3. O responsável pelo tratamento de dados deve reavaliar semestralmente a necessidade de manter uma restrição aplicada nos termos da presente decisão e documentar a sua reavaliação numa nota de avaliação interna.

Artigo 7.o

Salvaguardas

O BCE aplicará as salvaguardas técnicas e organizativas previstas no anexo XV, no sentido de impedir o abuso ou o acesso ou a transferência ilícitos.

Artigo 8.o

Reexame pelo encarregado da proteção de dados

1. Sempre que o responsável pelo tratamento de dados restringir o exercício dos direitos do titular dos dados, deve envolver permanentemente o encarregado da proteção de dados. Observar-se-á, nomeadamente, o seguinte:

a)	O responsável pelo tratamento de dados deve consultar prontamente o encarregado da proteção de dados;

b)	A pedido do encarregado da proteção de dados, o responsável pelo tratamento de dados deve facultar-lhe o acesso a todos os documentos que contenham elementos factuais e jurídicos subjacentes, incluindo a nota de avaliação interna a que se refere o artigo 3.o, n.o 3;

c)	O responsável pelo tratamento de dados deve documentar a forma como o encarregado da proteção de dados esteve envolvido, incluindo informações relevantes que tenham sido partilhadas, em especial a data da sua primeira consulta, tal como referido na alínea a);

d)	O encarregado da proteção de dados pode solicitar ao responsável pelo tratamento de dados que reveja a restrição;

e)	O responsável pelo tratamento de dados deve informar o encarregado da proteção de dados, por escrito, do resultado do reexame solicitado sem demora injustificada e, em qualquer caso, antes da aplicação de qualquer restrição.

2. O responsável pelo tratamento de dados informa o encarregado da proteção de dados quando a restrição tiver sido reavaliada nos termos do artigo 6.o, n.o 3, ou quando tiver sido levantada.

Artigo 9.°

Entrada em vigor

A presente decisão entra em vigor no vigésimo dia subsequente ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Frankfurt am Main, em 22 de novembro de 2022.

A Presidente do BCE

Christine LAGARDE

(1) JO L 295 de 21.11.2018, p. 39.

(2) Decisão (UE) 2020/655 do BCE, de 5 de maio de 2020, que adota disposições de execução relativas à proteção de dados no BCE e que revoga a Decisão BCE/2007/1 (BCE/2020/28) (JO L 152 de 15.5.2020, p. 13).

(3) A Circular Administrativa 01/2006 foi adotada em 21 de março de 2006 e está disponível (em inglês) no sítio Web do BCE.

(4) Decisão (UE) 2016/456 do Banco Central Europeu, de 4 de março de 2016, relativa aos termos e condições que regem os inquéritos a efetuar pelo Organismo Europeu de Luta Antifraude no Banco Central Europeu em matéria de luta contra a fraude, a corrupção e todas as atividades ilegais lesivas dos interesses financeiros [da União] (BCE/2016/3) (JO L 79 de 30.3.2016, p. 34).

(5) Decisão (UE) 2016/1162 do Banco Central Europeu, de 30 de junho de 2016, relativa à comunicação de informação confidencial no contexto de investigações criminais (BCE/2016/19) (JO L 192 de 16.7.2016, p. 73).

(6) Regulamento (UE) n.o 1024/2013 do Conselho, de 15 de outubro de 2013, que confere ao Banco Central Europeu atribuições específicas no que diz respeito às políticas relativas à supervisão prudencial das instituições de crédito (JO L 287 de 29.10.2013, p. 63).

(7) Regulamento (UE) 2017/1939 do Conselho, de 12 de outubro de 2017, que dá execução a uma cooperação reforçada para a instituição da Procuradoria Europeia (JO L 283 de 31.10.2017, p.1).

ANEXO I

Avaliação e comunicação de potenciais casos de incumprimento das obrigações profissionais e, se necessário, subsequente investigação e seguimento

A restrição referida no artigo 3.o, n.o 1, alínea a), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados financeiros (por exemplo, informações sobre remunerações, subsídios ou transações privadas);

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados de localização;

g)	Dados relativos a bens ou serviços fornecidos;

h)	Dados relativos a atividades externas;

i)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

j)	Quaisquer outros dados relativos à avaliação e comunicação de potenciais casos de incumprimento das obrigações profissionais e, se necessário, subsequente investigação e seguimento.

ANEXO II

Processos informais e/ou formais relativos à dignidade no trabalho, incluindo a análise de casos que possam dar origem à instauração de tais processos, tal como estabelecido na parte 0.5 das Regras Aplicáveis ao Pessoal do BCE

A restrição referida no artigo 3.o, n.o 1, alínea b), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados financeiros (por exemplo, informações sobre remunerações, subsídios ou transações privadas);

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados de localização;

g)	Dados relativos a bens ou serviços fornecidos;

h)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

i)	Quaisquer outros dados relativos a processos informais e/ou formais relativos à dignidade no trabalho, incluindo a análise de casos que possam dar origem à instauração de tais processos, tal como estabelecido na parte 0.5 das Regras Aplicáveis ao Pessoal do BCE.

ANEXO III

O desempenho das funções da DG/HR no quadro do direito do trabalho do BCE

A restrição referida no artigo 3.o, n.o 1, alínea c), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados financeiros (por exemplo, informações sobre remunerações, subsídios ou transações privadas);

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados de localização;

g)	Dados relativos a bens ou serviços fornecidos;

h)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

i)	Quaisquer outros dados incluídos ou relacionados com considerações de casos individuais, em particular os que possam resultar numa decisão que afete negativamente o pessoal do BCE e a apreciação de recursos internos interpostos por membros do pessoal do BCE e o seu seguimento;

j)	Quaisquer outros dados relativos a processos de seleção.

ANEXO IV

A apreciação de recursos internos e o seu seguimento

A restrição referida no artigo 3.o, n.o 1, alínea d), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados financeiros (por exemplo, informações sobre remunerações, subsídios ou transações privadas);

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados de localização;

g)	Dados relativos a bens ou serviços fornecidos;

h)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

i)	Quaisquer outros dados incluídos ou relacionados com considerações de casos individuais, em particular os que possam resultar numa decisão que afete negativamente o pessoal do BCE e a apreciação de recursos internos interpostos por membros do pessoal do BCE e o seu seguimento.

ANEXO V

Comunicação de qualquer atividade ilegal ou incumprimento de obrigações profissionais por qualquer meio, incluindo através do instrumento de denúncia de irregularidades do BCE, ou da avaliação pelo Gabinete de Conformidade e Governação dos pedidos de proteção de denunciantes ou testemunhas

A restrição referida no artigo 3.o, n.o 1, alínea e), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados financeiros (por exemplo, informações sobre remunerações, subsídios ou transações privadas);

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados de localização;

g)	Dados relativos a bens ou serviços fornecidos;

h)	Dados relativos a atividades externas;

i)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

j)	Quaisquer outros dados relativos a uma alegada atividade ilegal ou a um alegado incumprimento de obrigações profissionais ou a qualquer pedido de proteção de denunciantes ou testemunhas.

ANEXO VI

Atividades do CGO ao abrigo das Regras Aplicáveis ao Pessoal do BCE

A restrição referida no artigo 3.o, n.o 1, alínea f), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados financeiros (por exemplo, informações sobre transações privadas);

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados relativos a atividades externas;

g)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou filiação sindical, dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

h)	Quaisquer outros dados relativos a quaisquer atividades comunicadas ou investigadas pelo CGO.

ANEXO VII

Auditorias realizadas pela Direção de Auditoria Interna e atividades de investigação ou inquéritos administrativos internos

A restrição referida no artigo 3.o, n.o 1, alínea g), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados financeiros (por exemplo, informações sobre remunerações, subsídios ou transações privadas);

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados relativos a atividades externas;

g)	Dados de localização;

h)	Dados relativos a bens ou serviços fornecidos;

i)	Dados sociais e comportamentais e outros tipos de dados específicos da operação de tratamento;

j)	Informações relativas a processos administrativos ou a quaisquer outras investigações;

k)	Dados de tráfego eletrónico;

l)	Dados de videovigilância;

m)	Gravações áudio;

n)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

o)	Dados relativos a processos penais, sanções ou outras sanções administrativas;

p)	Quaisquer outros dados relacionados com auditorias realizadas pela Direção de Auditoria Interna e qualquer atividade de investigação ou inquérito administrativo interno.

ANEXO VIII

Desempenho das atribuições do BCE nos termos da Decisão (UE) 2016/456 (BCE/2016/3)

A restrição referida no artigo 3.o, n.o 1, alínea h), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados financeiros (por exemplo, informações sobre remunerações ou subsídios, ou transações privadas);

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados relativos a atividades externas;

g)	Dados de localização;

h)	Dados sobre bens ou serviços fornecidos;

i)	Dados de tráfego eletrónico;

j)	Dados de videovigilância;

k)	Gravações áudio;

l)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

m)	Quaisquer outros dados relacionados com o desempenho das atribuições do BCE nos termos da Decisão (UE) 2016/456 (BCE/2016/3).

ANEXO IX

Investigações conduzidas pelo encarregado da proteção de dados nos termos do artigo 4.o, alínea b), da Decisão (UE) 2020/655 (BCE/2020/28)

A restrição referida no artigo 3.o, n.o 1, alínea i), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados financeiros (por exemplo, informações sobre remunerações ou subsídios, ou transações privadas);

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados relativos a atividades externas;

g)	Dados de localização;

h)	Dados relativos a bens ou serviços fornecidos;

i)	Dados de tráfego eletrónico;

j)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

k)	Quaisquer outros dados relativos a qualquer inquérito conduzido pelo encarregado da proteção de dados nos termos do artigo 4.o, alínea b), da Decisão (UE) 2020/655 (BCE/2020/28).

ANEXO X

Investigações destinadas a garantir a segurança física no BCE de pessoas, instalações e bens, e recolha de informações sobre ameaças e análises de incidentes de segurança

A restrição referida no artigo 3.o, n.o 1, alínea j), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados de localização;

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados de tráfego eletrónico;

g)	Dados de videovigilância;

h)	Gravações áudio;

i)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

j)	Dados relativos a processos penais pendentes ou cadastros;

k)	Quaisquer outros dados relativos a investigações destinadas a garantir a segurança física no BCE de pessoas, instalações e bens, ou relativos a informação sobre ameaças ou análises de incidentes de segurança.

ANEXO XI

Processos judiciais

A restrição referida no artigo 3.o, n.o 1, alínea k), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados financeiros (por exemplo, informações sobre remunerações, subsídios ou transações privadas);

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados relativos a atividades externas;

g)	Dados de localização;

h)	Dados de tráfego eletrónico;

i)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

j)	Quaisquer outros dados relativos a processos judiciais.

ANEXO XII

Cooperação entre o BCE e as autoridades nacionais de investigação criminal, a Procuradoria Europeia e os organismos da UE que exercem as funções de supervisão, superintendência ou auditoria a que o BCE está sujeito

A restrição referida no artigo 3.o, n.o 1, alíneas l) a n), da presente decisão pode ser aplicada às categorias de dados mencionadas nos anexos I a XI, bem como às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de identificação;

b)	Dados de contacto;

c)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

d)	Dados financeiros (por exemplo, informações sobre remunerações, subsídios ou transações privadas);

e)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

f)	Dados relativos a atividades externas;

g)	Dados de localização;

h)	Dados relativos a bens ou serviços fornecidos;

i)	Dados de videovigilância;

j)	Dados de tráfego eletrónico;

k)	Gravações áudio;

l)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

m)	Informações relativas a processos administrativos ou a quaisquer outras investigações;

n)	Dados relativos a processos penais, sanções ou outras penalidades administrativas;

o)	Quaisquer outros dados relativos à cooperação entre o BCE e as autoridades nacionais de investigação criminal, a Procuradoria Europeia, e os organismos da UE que exercem as funções de supervisão, superintendência ou auditoria a que o BCE está sujeito.

ANEXO XIII

Desempenho das funções do mediador

A restrição referida no artigo 3.o, n.o 1, alínea o), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de contacto;

b)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

c)	Dados financeiros (por exemplo, informações sobre remunerações, subsídios ou transações privadas);

d)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

e)	Dados sociais e comportamentais e outros tipos de dados específicos da operação de tratamento;

f)	Informações relativas a processos administrativos ou a quaisquer outras investigações regulamentares

g)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

h)	Quaisquer outros dados relativos ao desempenho das funções do mediador.

ANEXO XIV

Prestação dos serviços de aconselhamento pelo consultor social

A restrição referida no artigo 3.o, n.o 1, alínea p), da presente decisão pode ser aplicada às categorias de dados mencionadas nos registos de tratamento pertinentes, nomeadamente às seguintes categorias de dados pessoais:

a)	Dados de contacto;

b)	Dados profissionais, incluindo dados relativos à educação, formação e emprego;

c)	Dados financeiros (por exemplo, informações sobre remunerações, subsídios ou transações privadas);

d)	Dados relativos à família, ao estilo de vida e às circunstâncias sociais;

e)	Dados sociais e comportamentais e outros tipos de dados específicos da operação de tratamento;

f)	Informações relativas a processos administrativos ou a quaisquer outras investigações regulamentares

g)	Dados que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou filiação sindical; dados genéticos ou dados biométricos; dados relativos à saúde; ou dados relativos à vida sexual ou à orientação sexual de uma pessoa singular;

h)	Quaisquer outros dados relativos à prestação dos serviços de aconselhamento pelo consultor social.

ANEXO XV

As salvaguardas técnicas e organizativas do BCE destinadas a impedir o abuso ou o tratamento ilícito de dados pessoais abrangem:

No que diz respeito às pessoas:

i)	Todas as pessoas com acesso a informação não pública do BCE responsáveis por conhecer e aplicar a política e as regras do BCE em matéria de gestão e confidencialidade da informação;

ii)	Um processo de credenciação de segurança que garanta que apenas as pessoas devidamente escrutinadas e autorizadas tenham acesso às instalações do BCE e à sua informação não pública;

iii)	Ações de informação, de sensibilização e de formação regulares nos domínios da segurança física e da cibersegurança, destinadas a membros do pessoal do BCE e a prestadores de serviços externos;

iv)	Subordinação dos membros do pessoal do BCE a regras estritas de sigilo profissional estabelecidas nas condições de emprego e nas Regras Aplicáveis ao Pessoal do BCE, cujo incumprimento dê origem a sanções disciplinares;

v)	Regras e obrigações que rejam o acesso de fornecedores de bens ou serviços externos a informações não públicas do BCE e fiquem estabelecidas em acordos contratuais;

vi)	Controlos de acesso, incluindo zonas de segurança, que sejam aplicados para garantir que o acesso de pessoas à informação não pública do BCE é autorizado e restringido com base em necessidades operacionais e requisitos de segurança;

No que diz respeito aos processos:

i)	A existência de processos destinados a assegurar a implementação, o funcionamento e a manutenção sob controlo das aplicações informáticas de apoio às operações do BCE;

ii)	A utilização de aplicações informáticas para as atividades do BCE que cumpra os padrões de segurança do BCE;

iii)	Um programa global de segurança física em funcionamento que avalie continuamente as ameaças à segurança e inclua medidas de segurança física destinadas a assegurar um nível adequado de proteção.

No que diz respeito à tecnologia:

i)	Todos os dados eletrónicos são armazenados em aplicações informáticas conformes com as normas de segurança do BCE e, por conseguinte, protegidos contra o acesso ou alteração não autorizados;

ii)	As aplicações informáticas são implementadas, operadas e mantidas com um nível de segurança proporcional às necessidades confidencialidade, integridade e disponibilidade, baseadas em análises de impacto nas operações;

iii)	Validação regular do nível de segurança das aplicações informáticas através de avaliações de segurança técnicas e não técnicas;

iv)	Concessão do acesso à informação não pública do BCE de acordo com o princípio da «necessidade de tomar conhecimento», acesso privilegiado estritamente limitado e rigorosamente controlado;

v)	Realização de controlos para detetar e dar seguimento a falhas reais e potenciais da segurança.