DECISÃO (UE) 2026/1942 DO BANCO CENTRAL EUROPEU

de 30 de julho de 2026

relativa ao tratamento de dados pessoais no contexto da supervisão prudencial das instituições de crédito (BCE/2026/18)

O CONSELHO DO BANCO CENTRAL EUROPEU,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (1), nomeadamente o artigo 28.o,

Tendo em conta o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (2), nomeadamente o artigo 26.o,

Tendo em conta o Regulamento (UE) n.o 1024/2013 do Conselho, de 15 de outubro de 2013, que confere ao BCE atribuições específicas no que diz respeito às políticas relativas à supervisão prudencial das instituições de crédito (3) e, nomeadamente, os seus artigos 4.o, n.o 3, e 6.o, n.os 1 e 7,

Considerando o seguinte:

(1)

O Banco Central Europeu (BCE) e cada autoridade nacional competente (ANC) constituem, em conjunto, o Mecanismo Único de Supervisão (MUS). O BCE e as ANC desempenham atribuições de supervisão no que diz respeito à supervisão prudencial das instituições de crédito nos termos do Regulamento (UE) n.o 1024/2013. No exercício dessas atribuições de supervisão, o BCE e as ANC podem tratar dados pessoais.

(2)

No tratamento de dados pessoais no exercício das atribuições de supervisão, o BCE e as ANC determinam conjuntamente as finalidades e os meios de tratamento. A determinação conjunta das finalidades do tratamento de dados pessoais ocorre em resultado da organização do trabalho no âmbito do MUS, que implica a cooperação entre o BCE e as ANC.

(3)

Por conseguinte, no que respeita às operações de tratamento de dados pessoais realizadas no exercício das atribuições de supervisão, o BCE e cada ANC devem ser considerados responsáveis conjuntos pelo tratamento, na aceção do artigo 28.o, n.o 1, do Regulamento (UE) 2018/1725, no que diz respeito ao BCE, e do artigo 26.o, n.o 1, do Regulamento (UE) 2016/679, no que diz respeito às ANC.

(4)

O artigo 28.o, n.o 1, do Regulamento (UE) 2018/1725 e o artigo 26.o, n.o 1, do Regulamento (UE) 2016/679 preveem que os responsáveis conjuntos pelo tratamento devem determinar, através de um acordo entre si, as respetivas responsabilidades pelo cumprimento das obrigações decorrentes do Regulamento (UE) 2018/1725 e do Regulamento (UE) 2016/679, respetivamente. No interesse do funcionamento eficaz e coerente do MUS pelo qual o BCE é responsável nos termos do artigo 6.o, n.o 1, do Regulamento (UE) n.o 1024/2013, bem como da transparência e da segurança jurídica, é adequado que tal acordo seja estabelecido por meio de uma decisão do BCE adotada em consulta com as ANC, nos termos do artigo 6.o, n.os, 1 e 7, do Regulamento (UE) n.o 1024/2013.

(5)

Os responsáveis conjuntos pelo tratamento devem tratar os dados pessoais para efeitos das seguintes atribuições de supervisão: a) procedimentos de adequação e idoneidade relativos a entidades supervisionadas significativas; b) procedimentos de autorização; c) supervisão permanente de entidades supervisionadas significativas; d) medidas coercivas e sanções, com exclusão de certos procedimentos específicos; e) inspeções no local a entidades supervisionadas significativas; f) atividades de controlo geral da supervisão de entidades supervisionadas menos significativas; e g) supervisão de entidades supervisionadas menos significativas.

(6)

Cada ANC deve ser a única responsável pelo tratamento se os dados pessoais forem tratados no contexto de procedimentos ao abrigo do artigo 18.o, n.o 5, do Regulamento (UE) n.o 1024/2013, a partir do momento em que o BCE notifica a ANC de que requer que a ANC dê início a um processo; no contexto dos procedimentos previstos no artigo 136.o do Regulamento (UE) n.o 468/2014 do Banco Central Europeu (BCE/2014/17) (4), a partir do momento em que o BCE notifica a ANC do seu pedido e; sempre que exista uma base jurídica para o tratamento de dados pessoais diferente do disposto no Regulamento (UE) n.o 1024/2013. Para qualquer tratamento de dados pessoais relacionado com denúncias de infrações ao direito da União ou nacional relativas à supervisão prudencial das instituições de crédito apresentadas através do mecanismo de denúncia de irregularidades do BCE ou de uma ANC, o BCE ou a ANC, respetivamente, deve ser o único responsável pelo tratamento.

(7)

A fim de dar cumprimento ao artigo 28.o, n.o 2, do Regulamento (UE) 2018/1725 e ao artigo 26.o, n.o 2, do Regulamento (UE) 2016/679, a presente decisão deve estabelecer as funções e as relações respetivas dos responsáveis conjuntos pelo tratamento em relação aos titulares dos dados e reger a forma como os responsáveis conjuntos pelo tratamento devem disponibilizar o teor do acordo aos titulares dos dados.

(8)

A organização do trabalho no âmbito do MUS implica que, normalmente, apenas dois ou vários responsáveis conjuntos pelo tratamento exerçam uma função de supervisão em relação a uma entidade supervisionada e realizem as operações de tratamento de dados pessoais conexas. Por conseguinte, é adequado que a determinação das responsabilidades respetivas dos responsáveis conjuntos pelo tratamento nos termos do artigo 28.o, n.o 1, do Regulamento (UE) 2018/1725 ou do artigo 26.o, n.o 1, do Regulamento (UE) 2016/679 tenha em conta as quais os responsáveis conjuntos pelo tratamento desempenham a função de supervisão específica em relação a uma entidade supervisionada. Esta abordagem para determinar as responsabilidades respetivas dos responsáveis conjuntos pelo tratamento é particularmente relevante no contexto da prestação de informações ao titular dos dados, do tratamento dos pedidos dos titulares dos dados e da notificação às autoridades de controlo das violações de dados pessoais relacionadas com os dados pessoais tratados por esse responsável conjunto.

(9)

As violações de dados pessoais devem ser geridas pelo responsável conjunto pelo tratamento. No caso improvável de não ser possível determinar rapidamente o responsável conjunto pelo tratamento, todos os responsáveis conjuntos pelo tratamento devem ser responsáveis pela gestão da violação de dados pessoais. Nesse caso, é adequado que todos os responsáveis conjuntos pelo tratamento se coordenem entre si com vista a cumprir as respetivas obrigações de notificação perante a autoridade de supervisão e as suas obrigações de comunicação ao titular dos dados nos termos do Regulamento (UE) 2018/1725 ou do Regulamento (UE) 2016/679. Quando uma violação de dados pessoais é comunicada ao titular dos dados, é necessário que tal seja feito de forma eficaz, a fim de evitar comunicações múltiplas ou incoerentes. O BCE deve sempre notificar todas as violações de dados pessoais à Autoridade Europeia para a Proteção de Dados, salvo se for improvável que essa violação implique um risco para os direitos e liberdades das pessoas singulares.

(10)

Cada responsável conjunto pelo tratamento deve continuar a ser individualmente responsável pela manutenção de um registo das atividades de tratamento que são da sua responsabilidade; pela determinação dos períodos durante os quais os dados pessoais serão armazenados; pela decisão de limitar a aplicação dos direitos dos titulares dos dados, sempre que necessário e proporcionado; por aplicar quaisquer exceções previstas no artigo 16.o, n.o 5, do Regulamento (UE) 2018/1725 ou no artigo 14.o, n.o 5, do Regulamento (UE) 2016/679; por identificar e avaliar a legalidade, a necessidade e a proporcionalidade das transferências de dados pessoais para um país terceiro ou uma organização internacional; e por contratar os subcontratantes que tratam os dados pessoais em seu nome.

(11)

Os responsáveis conjuntos pelo tratamento são responsáveis pelos danos sofridos em resultado de uma infração ao Regulamento (UE) 2018/1725 ou ao Regulamento (UE) 2016/679, respetivamente, em conformidade com o artigo 65.o do Regulamento (UE) 2018/1725, no que diz respeito ao BCE, e com o artigo 82.o do Regulamento (UE) 2016/679, no que diz respeito a cada ANC. Cada um dos responsáveis conjuntos pelo tratamento é solidariamente responsável perante os titulares dos dados, pelo que a distribuição da compensação paga entre os responsáveis conjuntos pelo tratamento deve ser regulamentada.

(12)	A presente decisão não deve afetar a aplicabilidade de outros atos jurídicos da União que estabeleçam regras sobre a transmissão de informações de supervisão detidas pelo BCE às instituições e organismos da União, bem como aos tribunais e autoridades nacionais e internacionais,

ADOTOU A PRESENTE DECISÃO:

Artigo 1.o

Objeto e âmbito de aplicação

1. A presente decisão estabelece a repartição das respetivas funções e responsabilidades entre os responsáveis conjuntos pelo tratamento, que são o BCE e as ANC para efeitos do cumprimento do Regulamento (UE) 2018/1725, no que respeita ao BCE, e do Regulamento (UE) 2016/679, no que respeita às ANC, no tratamento de dados pessoais no exercício das atribuições de supervisão enumeradas no n.o 2.

2. A presente decisão aplica-se ao tratamento de dados pessoais no exercício das seguintes atribuições de supervisão:

a)	Procedimentos de adequação e idoneidade relativos a entidades supervisionadas significativas;

b)	Procedimentos de autorização;

c)	Supervisão permanente das entidades supervisionadas significativas;

Aplicação de medidas coercivas e sanções, com exclusão do tratamento de dados pessoais pelas ANC que atuam nos termos do artigo 18.o, n.o 5, do Regulamento (UE) n.o 1024/2013, a partir do momento em que o BCE notifica a ANC de que requer que a ANC dê início a um processo, e procedimentos nos termos do artigo 136.o do Regulamento (UE) n.o 468/2014 (BCE/2014/17) a partir do momento em que o BCE notifica a ANC do seu pedido;

e)	Inspeções no local de entidades supervisionadas significativas;

f)	Controlo geral da supervisão de entidades supervisionadas menos significativas;

g)	Supervisão de entidades supervisionadas menos significativas.

Para cada atribuição de supervisão, o objeto, a natureza e a finalidade do tratamento, a base jurídica do tratamento, os titulares dos dados em causa e as categorias de dados pessoais tratados são definidos nos anexos.

3. A presente decisão não se aplica ao tratamento de dados pessoais relativos a denúncias de infrações ao direito da União ou ao direito nacional em matéria de supervisão prudencial das instituições de crédito apresentadas através do mecanismo de denúncia de irregularidades do BCE ou de uma ANC. Também não se aplica quando as ANC tratam dados pessoais ao abrigo de uma base jurídica diferente do Regulamento (UE) n.o 1024/2013.

4. A presente decisão não deve afetar a aplicabilidade de outros atos jurídicos da União que estabeleçam regras sobre a transmissão de informações de supervisão detidas pelo BCE às instituições e organismos da União, bem como aos tribunais e autoridades nacionais e internacionais.

Artigo 2.o

Definições

Para efeitos da presente decisão são aplicáveis as definições constantes do Regulamento (UE) n.o 1024/2013 e do Regulamento (UE) n.o 468/2014 (BCE/2014/17), salvo disposição em contrário, juntamente com as definições abaixo. Entende-se por:

1) «Tratamento», o tratamento na aceção do artigo 3.o, ponto 3), do Regulamento (UE) 2018/1725 ou do artigo 4.o, ponto 2), do Regulamento (UE) 2016/679;

2) «Dados pessoais», dados pessoais na aceção do artigo 3.o, ponto 1), do Regulamento (UE) 2018/1725 ou do artigo 4.o, ponto 1), do Regulamento (UE) 2016/679;

3) «Autoridade nacional competente» (ANC), uma autoridade nacional competente na aceção do artigo 2.o, ponto 9), do Regulamento (UE) n.o 468/2014 (BCE/2014/17);

4) «Atribuição de supervisão», a atribuição conferida ao BCE nos termos do artigo 4.o, n.os 1 e 2, e exercida no âmbito do artigo 6.o do Regulamento (UE) n.o 1024/2013;

5) «Responsável pelo tratamento», um responsável pelo tratamento na aceção do artigo 3.o, ponto 8), do Regulamento (UE) 2018/1725 ou do artigo 4.o, ponto 7), do Regulamento (UE) 2016/679;

6) «Responsável conjunto pelo tratamento», um responsável conjunto pelo tratamento na aceção do artigo 28.o, n.o 1, do Regulamento (UE) 2018/1725 ou do artigo 26.o, n.o 1, do Regulamento (UE) 2016/679;

7) «Subcontratante», um subcontratante na aceção do artigo 3.o, ponto 12), do Regulamento (UE) 2018/1725 ou do artigo 4.o, ponto 8), do Regulamento (UE) 2016/679;

8) «Instituições e órgãos da União», instituições e órgãos da União na aceção do artigo 3.o, ponto 10), do Regulamento (UE) 2018/1725;

9) «Declaração relativa à proteção de dados», um documento através do qual os titulares dos dados recebem informações de acordo com os artigos 15.o ou 16.o do Regulamento (UE) 2018/1725 ou com os artigos 13.o ou 14.o do Regulamento (UE) 2016/679;

10) «Pedido do titular dos dados», um pedido dirigido por um titular de dados a um ou mais responsáveis conjuntos pelo tratamento através do qual o titular dos dados exerce qualquer um dos seus direitos ao abrigo do capítulo III do Regulamento (UE) 2018/1725 ou do capítulo III do Regulamento (UE) 2016/679;

11) «Violação de dados pessoais», uma violação de dados pessoais na aceção do artigo 3.o, ponto 16), do Regulamento (UE) 2018/1725 ou do artigo 4.o, ponto 12), do Regulamento (UE) 2016/679;

12) «Autoridade de controlo», uma autoridade nacional de controlo na aceção do artigo 3.o, ponto 22), do Regulamento (UE) 2018/1725, uma autoridade de controlo na aceção do artigo 4.o, ponto 21), do Regulamento (UE) 2016/679, ou a Autoridade Europeia para a Proteção de Dados;

13) «Estado-Membro de origem», o Estado-Membro no qual uma instituição de crédito tenha sido autorizada;

14) «Estado-Membro de acolhimento», o Estado-Membro no qual uma instituição de crédito tem uma sucursal ou presta serviços.

Artigo 3.o

Fornecimento de informações ao titular dos dados

1. O responsável conjunto pelo tratamento de dados pessoais, que inclui a recolha de dados pessoais, deve fornecer as informações ao titular dos dados exigidas pelos artigos 15.o e 16.o do Regulamento (UE) 2018/1725, ou pelos artigos 13.o e 14.o do Regulamento (UE) 2016/679, e pelo artigo 28.o, n.o 2, segunda frase, do Regulamento (UE) 2018/1725 ou pelo artigo 26.o, n.o 2, segunda frase, do Regulamento (UE) 2016/679, respetivamente. Esse responsável conjunto pelo tratamento deve ser:

a)	No caso de dados pessoais apresentados através do portal do sistema de gestão de informação (Information Management System — IMAS), o BCE;

No caso de dados pessoais recebidos em todos os outros casos:

i)	relativamente a procedimentos de adequação e idoneidade relativos a entidades supervisionadas significativas, a ANC relevante nos termos dos artigos 93.o e 94.o do Regulamento (UE) n.o 468/2014 (BCE/2014/17);

ii)

relativamente a procedimentos de autorização:

1)	no caso de autorizações, a ANC que recebe o pedido de autorização para o acesso à atividade de uma instituição de crédito nos termos do artigo 14.o, n.o 1, do Regulamento (UE) n.o 1024/2013;

2)	no caso de participações qualificadas, a ANC que recebe a notificação ou qualquer informação relacionada nos termos do artigo 15.o, n.o 1, do Regulamento (UE) n.o 1024/2013;

3)	no caso de procedimentos iniciados por uma ANC para a revogação de uma autorização para o acesso à atividade de uma instituição de crédito, incluindo a revogação a pedido da instituição de crédito, nos termos do artigo 80.o do Regulamento (UE) n.o 468/2014 (BCE/2014/7), a ANC relevante;

4)	nos casos de procedimentos iniciados pelo BCE com vista à revogação de uma autorização para o acesso à atividade de uma instituição de crédito, o BCE;

5)	nos casos de estabelecimento de uma sucursal por uma entidade supervisionada significativa, a ANC do Estado-Membro de origem, em conformidade com o artigo 11.o do Regulamento (UE) n.o 468/2014 (BCE/2014/7);

nos casos de notificação de uma alteração na prestação de serviços por uma entidade supervisionada significativa ou por uma entidade supervisionada menos significativa; notificação de uma alteração da informação de sucursais por uma entidade supervisionada significativa ou uma entidade supervisionada menos significativa; ou o estabelecimento de uma sucursal por uma entidade supervisionada menos significativa, a ANC do Estado-Membro de origem;

7)	nos casos de estabelecimento de uma sucursal num Estado-Membro participante por uma instituição de crédito estabelecida num Estado-Membro não participante, a ANC do Estado-Membro de acolhimento;

8)	nos casos de prestação de serviços fora dos Estados-Membros participantes por uma entidade supervisionada significativa ou por uma entidade supervisionada menos significativa, a ANC do Estado-Membro de origem;

9)	nos casos de prestação de serviços num Estado-Membro participante por uma instituição de crédito estabelecida num Estado-Membro não participante, a ANC do Estado-Membro de acolhimento;

10)	nos casos de aprovação ou isenção de aprovação de companhias financeiras (mistas) que incluam entidades supervisionadas significativas ou grupos supervisionados significativos, o BCE;

11)

nos casos de aprovação ou isenção de aprovação de companhias financeiras (mistas) que incluam entidades supervisionadas menos significativas, ou grupos supervisionados menos significativos, a ANC que recebe o pedido nos termos do artigo 21.o-A da Diretiva 2013/36/UE do Parlamento Europeu e do Conselho (5);

12)	nos casos de fusões realizadas por instituições e por companhias financeiras (mistas) em que as entidades resultantes da operação proposta sejam entidades supervisionadas significativas, o BCE;

13)

nos casos de fusões realizadas por instituições e por companhias financeiras (mistas) em que as entidades resultantes dessa operação proposta sejam entidades supervisionadas menos significativas, a ANC que recebe a notificação nos termos do artigo 27.o-I, n.o 1, primeiro parágrafo, da Diretiva 2013/36/UE;

14)	nos casos de cisões realizadas por instituições e por companhias financeiras (mistas) que sejam entidades supervisionadas significativas, o BCE;

15)	nos casos de cisões realizadas por instituições e por companhias financeiras (mistas) que sejam entidades supervisionadas menos significativas, a ANC que recebe a notificação nos termos do artigo 27.o-I, n.o 1, segundo parágrafo, da Diretiva 2013/36/UE;

iii)	relativamente à supervisão permanente de entidades supervisionadas significativas, o BCE;

iv)	relativamente às medidas coercivas e sanções, o BCE;

v)	relativamente às inspeções no local de entidades supervisionadas significativas, o BCE;

vi)	relativamente ao controlo geral da supervisão de entidades supervisionadas menos significativas, o BCE;

vii)

relativamente à supervisão de entidades supervisionadas menos significativas:

1)	a ANC do Estado-Membro de origem; ou

2)	no caso de o BCE exercer diretamente todos os poderes relevantes em relação a uma entidade supervisionada menos significativa nos termos do artigo 6.o, n.o 5, alínea b), do Regulamento (UE) n.o 1024/2013, o BCE.

2. Cada responsável conjunto pelo tratamento publica uma declaração relativa à proteção de dados no seu sítio Web, para além do cumprimento da obrigação a que se refere o n.o 1.

3. Os responsáveis conjuntos pelo tratamento devem coordenar e chegar a acordo sobre o conteúdo coerente, se não idêntico, das informações a fornecer ao titular dos dados nos termos do artigo 28.o, n.o 2, segunda frase, do Regulamento (UE) 2018/1725 e do artigo 26.o, n.o 2, segunda frase, do Regulamento (UE) 2016/679, respetivamente.

Artigo 4.o

Tratamento de pedidos dos titulares dos dados

1. Os titulares dos dados podem exercer os seus direitos ao abrigo do Regulamento (UE) 2018/1725 ou do Regulamento (UE) 2016/679, consoante o que for aplicável, em relação a cada um dos responsáveis conjuntos pelo tratamento. Cada responsável conjunto pelo tratamento deve publicar o seu ponto de contacto e o ponto de contacto de cada um dos outros responsáveis conjuntos pelo tratamento na sua declaração relativa à proteção de dados no seu sítio Web.

2. O responsável conjunto pelo tratamento encarregue do tratamento do pedido do titular dos dados deve ser:

No caso de procedimentos de adequação e idoneidade relativos a entidades supervisionadas significativas, a ANC relevante de acordo com os artigos 93.o e 94.o do Regulamento (UE) n.o 468/2014 (BCE/2014/17) até a avaliação no procedimento de adequação e idoneidade ser atribuída ao BCE e, subsequentemente, o BCE;

No caso de procedimentos de autorização:

i)	nos casos de autorização, a ANC que recebe o pedido de autorização para o acesso à atividade de uma instituição de crédito nos termos do artigo 14.o, n.o 1, do Regulamento (UE) n.o 1024/2013 até o projeto de decisão elaborado pela ANC ser notificado ao BCE e, subsequentemente, o BCE;

ii)

no caso de participações qualificadas, a ANC que recebe a notificação ou qualquer informação conexa nos termos do artigo 15.o, n.o 1, do Regulamento (UE) n.o 1024/2013 até o projeto de proposta da ANC de decisão de oposição ou de não oposição à aquisição ser apresentado ao BCE e, subsequentemente, o BCE;

iii)

no caso de procedimentos iniciados por uma ANC para a revogação de uma autorização para o acesso à atividade de uma instituição de crédito, incluindo uma revogação a pedido da instituição de crédito, nos termos do artigo 80.o do Regulamento (UE) n.o 468/2014 (BCE/2014/17), a ANC relevante até o projeto de decisão de revogação elaborado pela ANC ser apresentado ao BCE e, subsequentemente, o BCE;

iv)	no caso de procedimentos iniciados pelo BCE com vista à revogação de uma autorização para o acesso à atividade de uma instituição de crédito, o BCE;

v)	no caso de estabelecimento de uma sucursal por uma entidade supervisionada significativa, a ANC do Estado-Membro de origem; nos termos do artigo 11.o do Regulamento (UE) n.o 468/2014 (BCE/2014/17); até a abertura do procedimento de passaporte ser notificada ao BCE e, subsequentemente, o BCE;

vi)

no caso de notificação de uma alteração na prestação de serviços por uma entidade supervisionada significativa ou por uma entidade supervisionada menos significativa; notificação de uma alteração da informação de sucursais por uma entidade supervisionada significativa ou uma entidade supervisionada menos significativa; ou o estabelecimento de uma sucursal por uma entidade supervisionada menos significativa, a ANC do Estado-Membro de origem até à abertura do procedimento de passaporte ser notificada ao BCE e, subsequentemente, o BCE;

vii)	no caso de estabelecimento de uma sucursal num Estado-Membro participante por uma instituição de crédito estabelecida num Estado-Membro não participante, a ANC do Estado-Membro de acolhimento até à abertura do procedimento de passaporte ser notificada ao BCE e, subsequentemente, o BCE;

viii)

no caso de prestação de serviços fora dos Estados-Membros participantes por uma entidade supervisionada significativa ou por uma entidade supervisionada menos significativa, a ANC do Estado-Membro de origem até à abertura do procedimento de passaporte ser notificada ao BCE e, subsequentemente, o BCE;

ix)	no caso de prestação de serviços num Estado-Membro participante por uma instituição de crédito estabelecida num Estado-Membro não participante, a ANC do Estado-Membro de acolhimento até à abertura do procedimento de passaporte ser notificada ao BCE e, subsequentemente, o BCE;

x)	no caso de aprovação ou isenção de aprovação de companhias financeiras (mistas) que incluam entidades supervisionadas significativas ou grupos supervisionados significativos, o BCE;

xi)	no caso de aprovação ou isenção de aprovação de companhias financeiras (mistas) que incluam entidades supervisionadas menos significativas, ou grupos supervisionados menos significativos, a ANC que recebe o pedido em conformidade com o artigo 21.o-A da Diretiva 2013/36/UE;

xii)	no caso de fusões realizadas por instituições e por companhias financeiras (mistas) em que as entidades resultantes da operação proposta sejam entidades supervisionadas significativas, o BCE;

xiii)

no caso de fusões realizadas por instituições e por companhias financeiras (mistas) nas quais as entidades resultantes da operação proposta sejam entidades supervisionadas menos significativas, a ANC que recebe a notificação nos termos do artigo 27.o-I, n.o 1, primeiro parágrafo, da Diretiva 2013/36/UE;

xiv)	no caso de cisões realizadas por instituições e por companhias financeiras (mistas) que sejam entidades supervisionadas significativas, o BCE;

xv)	no caso de cisões realizadas por instituições e por companhias financeiras (mistas) que sejam entidades supervisionadas menos significativas, a ANC que recebe a notificação nos termos do artigo 27.o-I, n.o 1, segundo parágrafo, da Diretiva 2013/36/UE;

c)	Relativamente à supervisão permanente de entidades supervisionadas significativas, o BCE;

d)	Relativamente às medidas coercivas e sanções, o BCE;

e)	Relativamente às inspeções no local de entidades supervisionadas significativas, o BCE;

f)	Relativamente ao controlo geral da supervisão de entidades supervisionadas menos significativas, o BCE;

Relativamente à supervisão de entidades supervisionadas menos significativas:

i)	a ANC do Estado-Membro de origem; ou

ii)	no caso de o BCE exercer diretamente todos os poderes relevantes em relação a uma entidade supervisionada menos significativa nos termos do artigo 6.o, n.o 5, alínea b), do Regulamento (UE) n.o 1024/2013, o BCE.

3. Um responsável conjunto pelo tratamento deve, quando tal lhe for solicitado pelo responsável conjunto pelo tratamento nos termos do n.o 2, prestar assistência rápida e eficiente a este último no tratamento de quaisquer pedidos dos titulares dos dados, em conformidade com o procedimento previsto no n.o 4.

4. Ao tratamento dos pedidos dos titulares dos dados devem aplicar-se as seguintes regras:

O responsável conjunto pelo tratamento que recebe o pedido do titular dos dados deve enviar ao titular dos dados um aviso de receção sem demora injustificada. Se o pedido do titular dos dados não for da sua responsabilidade, tal como determinado nos termos do n.o 2, o responsável conjunto pelo tratamento que recebe o pedido do titular dos dados deve transmitir o mesmo ao responsável conjunto pelo tratamento efetivamente responsável pelo tratamento desse pedido nos termos do n.o 2;

Se o responsável conjunto pelo tratamento a quem o pedido do titular dos dados foi transmitido confirmar que é o responsável conjunto pelo tratamento responsável pelo tratamento desse pedido nos termos do n.o 2, o responsável conjunto pelo tratamento que recebeu o pedido do titular dos dados deve informar o titular dos dados da transmissão do pedido do titular dos dados a esse responsável conjunto pelo tratamento;

Qualquer desacordo quanto a qual responsável conjunto pelo tratamento é responsável nos termos do n.o 2 deve ser resolvido numa reunião entre o responsável conjunto pelo tratamento que recebeu o pedido do titular dos dados, o responsável conjunto pelo tratamento ao qual o pedido do titular dos dados foi transmitido e qualquer outro responsável conjunto pelo tratamento que este último considere ser responsável nos termos do n.o 2. Na sequência dessa reunião, o responsável conjunto pelo tratamento que recebeu o pedido do titular dos dados deve informar o titular dos dados da transmissão do pedido do titular dos dados ao responsável conjunto pelo tratamento que confirmou que é responsável nos termos do n.o 2. Se o responsável conjunto pelo tratamento que recebe o pedido do titular dos dados for o responsável conjunto pelo tratamento nos termos do n.o 2, mas o pedido do titular dos dados também disser respeito a outras atribuições de supervisão a que se refere o n.o 2, alíneas a) a g), esse responsável conjunto pelo tratamento deve solicitar a assistência de outro responsável conjunto pelo tratamento ou responsáveis conjuntos pelo tratamento, em conformidade com o n.o 3;

d)	O responsável conjunto pelo tratamento responsável nos termos do n.o 2 deve enviar a resposta final ao titular dos dados, após ter incorporado os dados fornecidos por quaisquer outros responsáveis conjuntos pelo tratamento nos termos da alínea c), se for caso disso.

Artigo 5.o

Procedimento relativo a violações de dados pessoais

1. O responsável conjunto pelo tratamento que tome conhecimento de uma violação de dados pessoais deve notificar todos os outros responsáveis conjuntos da violação sem demora injustificada e, o mais tardar, no prazo de 24 horas após ter tomado conhecimento da ocorrência da violação de dados pessoais.

2. O responsável conjunto pelo tratamento que causou a violação de dados pessoais ou a quem a violação de dados pessoais seja imputável, incluindo violações causadas por ou imputáveis aos seus subcontratantes ou subcontratantes ulteriores, é responsável pela gestão dessa violação de dados pessoais, em conformidade com o Regulamento (UE) 2018/1725 ou o Regulamento (UE) 2016/679, respetivamente. Se não for possível determinar o responsável conjunto pelo tratamento a quem deve ser atribuída a responsabilidade no prazo de 24 horas a contar da receção da notificação a que se refere o n.o 1, todos os responsáveis conjuntos pelo tratamento são responsáveis pela gestão da violação de dados pessoais.

3. O responsável conjunto pelo tratamento, responsável nos termos do n.o 2, deve, em especial, notificar a sua autoridade de controlo e informar o titular dos dados da violação de dados pessoais, se adequado. Mesmo que não seja o responsável conjunto pelo tratamento a quem deva ser atribuída a responsabilidade, o BCE deve notificar igualmente a violação de dados pessoais à Autoridade Europeia para a Proteção de Dados, salvo se for improvável que essa violação implique um risco para os direitos e liberdades das pessoas singulares.

4. O responsável conjunto pelo tratamento, responsável nos termos do n.o 2, deve notificar todos os outros responsáveis conjuntos pelo tratamento, sem demora injustificada sobre a) as medidas aplicadas pelo responsável conjunto pelo tratamento para atenuar os riscos decorrentes da violação de dados pessoais; e b) se a violação de dados foi ou será notificada à autoridade de controlo e comunicada ao titular dos dados.

Artigo 6.o

Segurança do tratamento

1. Nos termos do artigo 33.o do Regulamento (UE) 2018/1725 e do artigo 32.o do Regulamento (UE) 2016/679, respetivamente, os responsáveis conjuntos pelo tratamento devem aplicar medidas técnicas e organizativas adequadas a fim de garantir a segurança dos dados pessoais tratados. Na avaliação do nível de segurança adequado, os responsáveis conjuntos pelo tratamento devem ter em conta o estado da técnica; os custos de implementação; a natureza, o âmbito, o contexto e as finalidades do tratamento; e os riscos envolvidos para os titulares dos dados.

2. Cada responsável conjunto pelo tratamento que mantenha e administre um sistema informático utilizado no tratamento de dados pessoais deve estabelecer e aplicar, ou assegurar que o subcontratante estabeleça e aplique, medidas técnicas e organizativas adequadas no que diz respeito a esse sistema.

3. Os responsáveis conjuntos pelo tratamento só devem conceder acesso aos dados pessoais tratados no contexto da presente decisão a pessoas singulares que atuem sob a sua autoridade e apenas na medida do necessário para cumprir as finalidades do tratamento estabelecidas nos anexos.

4. Os responsáveis conjuntos pelo tratamento devem assegurar que as pessoas autorizadas a tratar dados pessoais se comprometeram a respeitar a confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada.

Artigo 7.o

Avaliações de impacto sobre a proteção de dados

1. Os responsáveis conjuntos pelo tratamento devem acordar se é necessário proceder a uma avaliação de impacto sobre a proteção de dados e qual dos responsáveis conjuntos pelo tratamento deve preparar um projeto da avaliação de impacto sobre a proteção de dados.

2. Uma avaliação de impacto sobre a proteção de dados só pode ser considerada definitiva se tiver sido aprovada por todos os responsáveis conjuntos pelo tratamento.

3. Em casos justificados, como quando os responsáveis conjuntos pelo tratamento não estão envolvidos nas mesmas fases de uma operação de tratamento, os responsáveis conjuntos pelo tratamento devem efetuar uma avaliação de impacto sobre a proteção de dados separada para a fase específica da operação de tratamento na qual estão envolvidos.

4. Sempre que uma avaliação de impacto sobre a proteção de dados indicar que, na ausência de garantias, medidas de segurança e mecanismos para atenuar o risco, o tratamento resultaria num risco elevado para os direitos e liberdades das pessoas singulares e o responsável conjunto pelo tratamento, responsável pela elaboração do projeto nos termos do n.o 1, considerar que o risco não pode ser atenuado por meios razoáveis, tendo em conta as tecnologias disponíveis e os custos de implementação, esse responsável conjunto pelo tratamento deve consultar a sua autoridade de controlo. Nesse caso, o BCE deve também consultar a Autoridade Europeia para a Proteção de Dados nos termos do artigo 40.o do Regulamento (UE) 2018/1725, mesmo que não seja o responsável conjunto pelo tratamento responsável pelo projeto referido no n.o 1.

Artigo 8.o

Outras responsabilidades dos responsáveis conjuntos pelo tratamento

1. Sem prejuízo das obrigações a que os responsáveis conjuntos pelo tratamento estão sujeitos nos termos do Regulamento (UE) 2018/1725, do Regulamento (UE) 2016/679 ou da legislação nacional, cada responsável conjunto pelo tratamento deve ser responsável por:

a)	Determinar os prazos de conservação dos dados pessoais em conformidade com a legislação aplicável em matéria de proteção de dados;

Decidir limitar a aplicação dos direitos dos titulares dos dados, sempre que necessário e proporcionado, em conformidade com as regras aplicáveis em matéria de proteção de dados, incluindo as regras internas adotadas por um responsável conjunto pelo tratamento ou a legislação nacional em conformidade com o Regulamento (UE) 2018/1725 ou o Regulamento (UE) 2016/679, respetivamente, ou aplicar quaisquer exceções ao abrigo do artigo 16.o, n.o 5, do Regulamento (UE) 2018/1725 ou do artigo 14.o, n.o 5, do Regulamento (UE) 2016/679, respetivamente;

Identificar e avaliar a legalidade, a necessidade e a proporcionalidade das transferências de dados pessoais para um país terceiro ou uma organização internacional e cumprir as suas obrigações ao abrigo do capítulo V do Regulamento (UE) 2018/1725 ou do capítulo V do Regulamento (UE) 2016/679, respetivamente;

d)	Contratar apenas subcontratantes que forneçam garantias suficientes para aplicar medidas técnicas e organizativas adequadas, nos termos do artigo 29.o do Regulamento (UE) 2018/1725 e do artigo 28.o do Regulamento (UE) 2016/679, respetivamente;

e)	Fornecer aos outros responsáveis conjuntos pelo tratamento uma lista dos subcontratantes contratados por esse responsável conjunto pelo tratamento para tratar dados pessoais no exercício das atribuições de supervisão enumeradas no artigo 1.o, n.o 2.

2. Os responsáveis conjuntos pelo tratamento notificam-se mutuamente de todas as informações relevantes relacionadas com o cumprimento das obrigações estabelecidas no n.o 1, tendo devidamente em conta o regime de confidencialidade aplicável.

Artigo 9.o

Conformidade e documentação

1. Cada um dos responsáveis conjuntos pelo tratamento deve respeitar os princípios gerais da proteção de dados estabelecidos no artigo 4.o do Regulamento (UE) 2018/1725 ou no artigo 5.o do Regulamento (UE) 2016/679, respetivamente.

2. Cada responsável conjunto pelo tratamento deve conservar registos das atividades de tratamento sob a sua responsabilidade e conservar as informações necessárias para demonstrar a sua conformidade com a presente decisão.

Artigo 10.o

Cooperação entre os responsáveis conjuntos pelo tratamento

Os responsáveis conjuntos pelo tratamento devem prestar a assistência necessária para permitir que cada um cumpra os requisitos do Regulamento (UE) 2018/1725 ou do Regulamento (UE) 2016/679, respetivamente, bem como a presente decisão, num prazo compatível com os requisitos previstos nesses regulamentos.

Artigo 11.o

Repartição da indemnização

Os responsáveis conjuntos pelo tratamento devem liquidar entre si qualquer indemnização paga por um (ou mais) deles por danos sofridos decorrentes de uma infração ao Regulamento (UE) 2018/1725 ou ao Regulamento (UE) 2016/679, de acordo com o grau efetivo de responsabilidade. Um responsável conjunto pelo tratamento que demonstre que o facto danoso não lhe é, de modo algum, imputável, deve ser exonerado dessa liquidação entre si e outros responsáveis conjuntos pelo tratamento e ter o direito de recuperar do responsável conjunto pelo tratamento efetivamente responsável qualquer contribuição que tenha efetuado para efeitos da indemnização paga.

Artigo 12.o

Resolução de diferendos

1. Em caso de desacordo quanto à liquidação da indemnização paga por um dos responsáveis conjuntos pelo tratamento pelos danos sofridos em resultado de uma violação do Regulamento (UE) 2018/1725 ou do Regulamento (UE) 2016/679, deve ser criado um painel independente para facilitar a resolução do diferendo.

2. Qualquer responsável conjunto pelo tratamento pode enviar uma notificação de desacordo a um ou mais responsáveis conjuntos pelo tratamento e nomear um membro do painel. Os responsáveis conjuntos pelo tratamento que tenham sido notificados devem designar o respetivo membro do painel no prazo de duas semanas a contar da data de receção do aviso. O responsável conjunto pelo tratamento que procedeu à notificação de desacordo e os responsáveis conjuntos pelo tratamento que tenham sido notificados são considerados partes no diferendo.

3. O painel independente deve ter um número ímpar de membros e deve ser composto pelos membros do painel nomeados nos termos do n.o 2 e por um ou dois membros do painel nomeados conjuntamente por esses membros do painel. O membro do painel ou os membros do painel designados conjuntamente desempenham as funções de presidente, ou presidente e vice-presidente, respetivamente, de acordo com a sua senioridade, e são remunerados através de uma contribuição financeira igual por todas as partes do diferendo. O membro do painel ou os membros do painel conjuntamente nomeados devem ser independentes das partes no diferendo. O presidente deve notificar ao presidente do BCE a composição final do painel.

4. O painel independente deve trabalhar de acordo com os princípios da imparcialidade e da igualdade e do direito a ser ouvido.

5. O painel independente deve ter por objetivo emitir, no prazo de três meses a contar da data de notificação da sua composição final ao Presidente do BCE, uma recomendação fundamentada sobre a resolução do diferendo. A recomendação não vincula as partes no diferendo e pode ser apresentada como prova em processos judiciais.

Artigo 13.o

Revisão

A fim de assegurar a eficácia da determinação de responsabilidades, entre os responsáveis conjuntos pelo tratamento, pelo cumprimento das obrigações decorrentes do Regulamento (UE) 2018/1725 e do Regulamento (UE) 2016/679, respetivamente, o Conselho do BCE deve rever as disposições estabelecidas na presente decisão o mais tardar cinco anos após a data em que a presente decisão produz efeitos.

Artigo 14.o

Produção de efeitos

A presente decisão produz efeitos na data em que for notificada aos seus destinatários.

Artigo 15.o

Destinatários

As autoridades nacionais competentes dos Estados-Membros participantes são as destinatárias da presente decisão.

Feito em Frankfurt am Main, em 30 de julho de 2026.

A Presidente do BCE

Christine LAGARDE

(1) JO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj.

(2) JO L 119 de 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj.

(3) JO L 287 de 29.10.2013, p. 63, ELI: http://data.europa.eu/eli/reg/2013/1024/oj.

(4) Regulamento (UE) n.o 468/2014 do Banco Central Europeu, de 16 de abril de 2014, que estabelece o quadro de cooperação, no âmbito do Mecanismo Único de Supervisão, entre o Banco Central Europeu e as autoridades nacionais competentes e com as autoridades nacionais designadas (Regulamento-Quadro do MUS) (BCE/2014/17) (JO L 141 de 14.5.2014, p. 1, ELI: http://data.europa.eu/eli/reg/2014/468/oj).

(5) Diretiva 2013/36/UE do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativa ao acesso à atividade das instituições de crédito e à supervisão prudencial das instituições de crédito, que altera a Diretiva 2002/87/CE e revoga as Diretivas 2006/48/CE e 2006/49/CE (JO L 176 de 27.6.2013, p. 338, ELI: http://data.europa.eu/eli/dir/2013/36/oj).

ANEXO I

Avaliações de adequação e de idoneidade

1. OBJETO, NATUREZA E FINALIDADE DO TRATAMENTO

O BCE, em cooperação com as ANC, realiza avaliações e reavaliações da adequação das pessoas nomeadas para cargos de responsabilidade pela gestão e fiscalização de entidades supervisionadas significativas, tais como membros do órgão de administração e titulares de funções essenciais, bem como titulares de outros cargos indicados na legislação nacional de transposição da Diretiva 2013/36/UE, gestores de sucursais e determinadas outras pessoas responsáveis pela gestão de entidades supervisionadas significativas ou das suas sucursais (a seguir «procedimento de adequação e idoneidade»).

No contexto dos procedimentos de adequação e idoneidade, os dados pessoais são tratados para os seguintes fins:

a)	Avaliar se os nomeados cumprem os critérios de adequação e idoneidade;

b)	Realização de reavaliações para assegurar que os requisitos de adequação e idoneidade são cumpridos de forma continuada e, se os requisitos não forem cumpridos, destituir os membros em causa do órgão de administração da entidade supervisionada significativa;

Avaliar os pedidos de autorização de cargos adicionais de administrador não executivo dos membros do órgão de administração, bem como os pedidos para exercer simultaneamente, na entidade supervisionada significativa, o cargo de presidente do órgão de administração na sua função de fiscalização e o cargo de diretor executivo;

d)	Realizar investigação quantitativa, análises e relatórios estatísticos a nível agregado.

2. BASE JURÍDICA

a)	Artigo 5.o, n.o 1, alínea a), do Regulamento (UE) 2018/1725 ou o artigo 6.o, n.o 1, alínea e), e, em alguns Estados-Membros, alínea c), do Regulamento (UE) 2016/679, em conjugação com o artigo 4.o, n.o 1, alínea e), e os artigos 6.o, 7.°, 8.°, 9.° e 10.° do Regulamento (UE) n.o 1024/2013;

b)	Artigo 5.o, n.o 1, alínea a), do Regulamento (UE) 2018/1725 ou artigo 6.o, n.o 1, alínea e), e, em alguns Estados-Membros, alínea c), do Regulamento (UE) 2016/679, em conjugação com a Diretiva 2013/36/UE, conforme transposta para o direito nacional.

3. TITULARES DOS DADOS

Podem ser tratados dados pessoais relativos às seguintes categorias de titulares de dados:

a)	As pessoas nomeadas sujeitas a uma avaliação ao abrigo de um procedimento de adequação e idoneidade;

b)	Familiares próximos de uma pessoa nomeada, tais como cônjuge, unido de facto, coabitante, descendente, progenitor ou outras pessoas com as quais a pessoa nomeada partilhe alojamento;

c)	Associados de uma pessoa nomeada cujos dados pessoais sejam relevantes para a avaliação da pessoa nomeada, tais como pessoas que ocupem cargos de gestão na entidade supervisionada em que é feita a nomeação ou que sejam beneficiários efetivos dessa entidade;

d)	Representantes autorizados de uma pessoa nomeada para o procedimento de adequação e idoneidade.

4. CATEGORIAS DE DADOS PESSOAIS TRATADOS

Podem ser tratadas as seguintes categorias de dados pessoais:

a)	Dados de identificação, tais como nome, número do bilhete de identidade/passaporte, nacionalidade e assinatura da pessoa nomeada;

b)	Dados de contacto, tais como endereço postal, endereço de correio eletrónico e número de telefone da pessoa nomeada;

c)	Dados profissionais relativos à educação, formação, emprego e outros cargos detidos pela pessoa nomeada e pelos membros do órgão de administração da entidade supervisionada em que a nomeação é efetuada;

d)	Dados profissionais relativos a quaisquer outras atividades comerciais da pessoa nomeada;

e)	Pormenores dos registos criminais; e informações sobre investigações e processos penais, processos cíveis e administrativos relevantes e ações disciplinares, incluindo inibição do exercício do cargo de administrador da empresa, falência, insolvência e processos similares;

f)	Dados financeiros da pessoa nomeada;

Descrição das relações pessoais de familiares próximos da pessoa nomeada com outros membros do órgão de administração e/ou titulares de funções essenciais da entidade supervisionada em que a nomeação é efetuada, da sua empresa-mãe ou de filiais desta; e as suas relações profissionais e financeiras com a entidade supervisionada em que é efetuada a nomeação, a sua empresa-mãe ou filiais desta;

h)	Informações sobre se já foi realizada uma avaliação da adequação e idoneidade por outra autoridade competente e informações sobre o resultado dessa avaliação;

i)	Comentários do pessoal do BCE ou das ANC sobre o desempenho da pessoa nomeada no exercício das suas funções atuais ou anteriores que possam ter impacto no atual procedimento de adequação e idoneidade;

j)	Informações sobre a conduta da pessoa nomeada, no exercício das suas atuais funções, que possa ser relevante no contexto de reavaliações;

k)	Gravação de áudio da voz da pessoa nomeada.

ANEXO II

Procedimentos de autorização

1. OBJETO, NATUREZA E FINALIDADE DO TRATAMENTO

O BCE, em cooperação com as ANC, procede a avaliações no contexto de procedimentos de autorização que incluem a aquisição de participações qualificadas, a concessão e revogação de autorizações para o acesso à atividade de uma instituição de crédito, o direito de estabelecimento e a liberdade de prestação de serviços das entidades supervisionadas, a aprovação ou isenção de aprovação de companhias financeiras (mistas) que incluam entidades supervisionadas significativas ou grupos supervisionados significativos, bem como fusões e cisões notificadas.

No contexto dos procedimentos de autorização, os dados pessoais são tratados para os seguintes fins:

Autorização para o acesso à atividade de uma instituição de crédito: avaliar se a entidade requerente de uma autorização cumpre os requisitos pertinentes de direito nacional e da União, o que pode incluir a avaliação da organização estrutural, avaliações da adequação e idoneidade dos membros do órgão de administração e dos titulares de funções essenciais, bem como a análise da idoneidade dos acionistas ou sócios da mesma;

b)	Participações qualificadas: determinar a solidez financeira da aquisição proposta e a adequação do proposto adquirente;

c)	Revogações de autorização para o acesso à atividade de uma instituição de crédito: avaliar se uma entidade supervisionada preenche as condições para a revogação de uma autorização ao abrigo do direito nacional e da União;

Direito de estabelecimento e liberdade de prestação de serviços das entidades supervisionadas: avaliar se o estabelecimento de uma sucursal ou a prestação de serviços por entidades supervisionadas significativas e entidades supervisionadas menos significativas, o estabelecimento de uma sucursal num Estado-Membro participante por uma instituição de crédito estabelecida num Estado-Membro não participante, a prestação de serviços fora dos Estados-Membros participantes por uma entidade supervisionada significativa ou menos significativa, a prestação de serviços num Estado-Membro participante por uma instituição de crédito estabelecida num Estado-Membro não participante e alterações nas sucursais ou alterações na prestação de serviços por entidades supervisionadas significativas ou entidades supervisionadas menos significativas cumprem os requisitos relevantes do direito nacional e da União;

Aprovações ou isenções de aprovação de companhias financeiras (mistas): avaliar se estão preenchidos os critérios estabelecidos no direito nacional e da União para a concessão de aprovação ou isenção de aprovação de uma companhia financeira (mista), incluindo a avaliação dos mecanismos internos e da organização estrutural do grupo de que faz parte a companhia financeira (mista), bem como a distribuição interna de funções no seio desse grupo e a idoneidade dos membros do órgão de administração e dos acionistas (ou sócios) da companhia financeira (mista).

Fusões e cisões realizadas por instituições e por companhias financeiras (mistas): avaliar se estão preenchidos os critérios estabelecidos no direito nacional e da União relevantes para a aprovação de fusões e cisões, incluindo a avaliação da idoneidade e da solidez financeira das partes interessadas financeiras envolvidas e se a entidade resultante da operação proposta poderá cumprir e continuar a cumprir os requisitos prudenciais.

2. BASE JURÍDICA

Artigo 5.o, n.o 1, alínea a), do Regulamento (UE) 2018/1725 ou artigo 6.o, n.o 1, alínea e), e, em alguns Estados-Membros, alínea c), do Regulamento (UE) 2016/679, em conjugação com o artigo 4.o, n.o 1, alíneas a), b), c) e g), o artigo 4.o, n.o 2, e o artigo 6.o, n.o 4, os artigos 14.o e 15.° e o artigo 17.o, n.o 1, do Regulamento (UE) n.o 1024/2013;

b)	Artigo 5.o, n.o 1, alínea a), do Regulamento (UE) 2018/1725 ou artigo 6.o, n.o 1, alínea e), e, em alguns Estados-Membros, alínea c), do Regulamento (UE) 2016/679, em conjugação com os artigos 8.o, 11.° a 17.° e a parte V, títulos 1, 2 e 3, do Regulamento (UE) n.o 468/2014 (BCE/2014/17);

Artigo 5.o, n.o 1, alínea a), do Regulamento (UE) 2018/1725 ou artigo 6.o, n.o 1, alínea e), e, em alguns Estados-Membros, alínea c), do Regulamento (UE) 2016/679, em conjugação com os artigos 8.o, 8.°-A, 10.° a 14.°, 18.°, 21.°-A, 22.°, 23.°, 27.°-I, 27.°-J, 33.°, 34.°, 35.° e 39.° da Diretiva 2013/36/UE, tal como transpostas para o direito nacional.

3. TITULARES DOS DADOS

Podem ser tratados dados pessoais relativos às seguintes categorias de titulares de dados:

3.1.

Autorização para o acesso à atividade de uma instituição de crédito:

a)	Membros do pessoal da entidade requerente;

b)	Membros do órgão de administração, titulares de funções essenciais e acionistas ou sócios (no caso das pessoas coletivas, as pessoas que efetivamente dirigem a atividade) da entidade requerente ou de outras entidades ligadas à entidade requerente;

Pessoas com as quais a entidade requerente ou os membros do órgão de administração, os titulares de funções essenciais e os acionistas ou sócios (no caso das pessoas coletivas, as pessoas que efetivamente dirigem a atividade) da entidade requerente têm ou mantêm relações financeiras ou não financeiras relevantes;

d)	Representantes autorizados da entidade requerente no procedimento de autorização.

3.2.

Participações qualificadas:

a)	Membros do pessoal da entidade supervisionada objeto do procedimento; membros do órgão de administração e acionistas da entidade supervisionada sujeitos ao procedimento ou outras entidades relevantes;

As pessoas que efetivamente dirigem a atividade do adquirente e os membros do órgão de administração que dirigirão as atividades da entidade supervisionada sujeita ao procedimento em resultado da aquisição proposta da participação qualificada, bem como as pessoas com as quais tenham relações financeiras ou não financeiras relevantes;

c)	O adquirente de uma participação qualificada, bem como as pessoas com as quais tenha relações financeiras ou não financeiras relevantes;

d)	Membros do pessoal e representantes autorizados do adquirente.

3.3.

Revogações de autorização para o acesso à atividade de uma instituição de crédito:

a)	Membros do órgão de administração, titulares de funções essenciais e acionistas ou sócios (no caso das pessoas coletivas, as pessoas que efetivamente dirigem a atividade) da entidade supervisionada sujeita ao procedimento;

b)	Pessoas com quem os membros do órgão de administração e acionistas ou sócios (no caso das pessoas coletivas, as pessoas que efetivamente dirigem a atividade) da entidade supervisionada objeto do procedimento têm relações financeiras ou não financeiras relevantes;

c)	Membros do pessoal e representantes autorizados da entidade supervisionada sujeita ao procedimento.

3.4.

Direito de estabelecimento e liberdade de prestação de serviços das entidades supervisionadas:

a)	Membros do pessoal da entidade supervisionada sujeita ao procedimento;

b)	Membros do órgão de administração e acionistas da entidade supervisionada sujeitos ao procedimento;

c)	Representantes autorizados da entidade supervisionada sujeita ao procedimento.

3.5.

Aprovações ou isenções de aprovação de companhias financeiras (mistas):

a)	Membros do pessoal da companhia financeira (mista) sujeita ao procedimento e da entidade supervisionada que seja uma filial da companhia financeira (mista) sujeita ao procedimento;

Membros do órgão de administração e acionistas ou sócios (no caso das pessoas coletivas, as pessoas que efetivamente dirigem a atividade) da entidade supervisionada que seja uma filial da companhia financeira (mista) sujeita ao procedimento, bem como pessoas com as quais tenham relações financeiras ou não financeiras relevantes;

c)	Membros do órgão de administração e acionistas ou sócios (no caso das pessoas coletivas, as pessoas que efetivamente dirigem a atividade) da companhia financeira (mista) sujeita ao procedimento, bem como pessoas com as quais tenham relações financeiras ou não financeiras relevantes;

d)	Representantes autorizados da companhia financeira (mista) sujeita ao procedimento.

3.6.

Fusões e cisões efetuadas por instituições e por companhias financeiras (mistas):

a)	Membros do pessoal da entidade supervisionada sujeita ao procedimento;

b)	Membros do órgão de administração, titulares de funções essenciais e acionistas ou sócios (no caso de pessoas coletivas, as pessoas que efetivamente dirigem a atividade) da entidade supervisionada ou de outras entidades ligadas à entidade supervisionada sujeitas ao procedimento;

c)	Membros do órgão de administração que dirigirão as atividades da entidade supervisionada resultantes da operação proposta, bem como as pessoas com as quais tenham relações financeiras ou não financeiras relevantes;

d)	Representantes autorizados da entidade supervisionada sujeita ao procedimento.

4. CATEGORIAS DE DADOS PESSOAIS TRATADOS

Podem ser tratadas as seguintes categorias de dados pessoais:

a)	Dados de identificação, tais como nome, número do bilhete de identidade/passaporte, nacionalidade e assinatura;

b)	Dados de contacto, tais como endereço postal, endereço de correio eletrónico e número de telefone;

c)	Dados profissionais relacionados com a educação, a formação, o emprego e outros cargos exercidos;

d)	Dados profissionais relativos a quaisquer outras atividades comerciais;

e)	Pormenores dos registos criminais e informações sobre investigações e processos penais, processos cíveis e administrativos relevantes e ações disciplinares, incluindo inibição do exercício do cargo de administrador da empresa, falência, insolvência e processos similares;

f)	Dados financeiros;

g)	Descrição dos interesses ou relações financeiros e não financeiros relevantes;

Informações sobre qualquer recusa de registo, autorização, admissão a uma atividade comercial, empresarial ou profissional ou licença para o exercício de uma atividade comercial, empresarial ou profissional; retirada, revogação ou cessação desse registo, autorização, admissão ou licença; ou expulsão por um organismo regulador ou estatal ou por um organismo ou associação profissional;

i)	Informação sobre se uma avaliação da idoneidade já foi realizada por outra autoridade competente e informação sobre o resultado dessa avaliação;

j)	Comentários do pessoal do BCE ou das ANC sobre o desempenho da pessoa em causa no exercício das suas funções atuais ou anteriores que possa ter impacto na avaliação relevante;

k)	Gravação de áudio da voz da pessoa nomeada.

ANEXO III

Supervisão permanente das entidades supervisionadas significativas;

1. OBJETO, NATUREZA E FINALIDADE DO TRATAMENTO

No contexto da supervisão permanente de entidades supervisionadas significativas, os dados pessoais são tratados para os seguintes fins:

Assegurar que as entidades supervisionadas significativas cumprem a legislação aplicável da União, incluindo as transposições nacionais da mesma, impondo requisitos prudenciais nos domínios i) fundos próprios, da titularização, dos limites aos grandes riscos, da liquidez, da alavancagem e do reporte e divulgação pública de informações sobre essas matérias; e ii) governo, incluindo processos de gestão do risco, mecanismos de controlo interno, políticas e práticas de remuneração e processos internos eficazes de avaliação da adequação do capital e da liquidez, incluindo modelos baseados em notações internas;

Realizar análises para efeitos de supervisão e testes de esforço para determinar se as entidades supervisionadas significativas cumprem os requisitos pertinentes da legislação da UE e, com base naquela análise para efeitos de supervisão, impor às entidades supervisionadas requisitos específicos e outras medidas;

Exercer a supervisão das empresas-mãe das entidades supervisionadas estabelecidas num dos Estados-Membros participantes, incluindo companhias financeiras (mistas), e participar na supervisão em base consolidada, incluindo nos colégios de autoridades de supervisão, sem prejuízo da participação das ANC nesses colégios na qualidade de observadores, em relação a empresas-mãe não estabelecidas num dos Estados-Membros participantes;

Participar na supervisão complementar de conglomerados financeiros em relação às entidades supervisionadas que deles fazem parte e assumir as atribuições de coordenação quando o BCE for nomeado coordenador relativamente a um conglomerado financeiro, de acordo com os critérios estabelecidos na legislação aplicável da União;

e)	Desempenhar funções de supervisão relacionadas com planos de recuperação e intervenção precoce;

f)	Exercer funções de supervisão relativamente à avaliação de participações significativas que não sejam participações qualificadas;

Exercer, em relação às entidades supervisionadas significativas, os poderes de supervisão conferidos pelo direito nacional que se inserem no âmbito das atribuições do BCE, incluindo a aprovação de aquisições, por entidades supervisionadas significativas, de participações numa instituição que não seja uma instituição de crédito ou numa instituição de crédito fora da União, fusões ou cisões de instituições de crédito, a aquisição ou venda de ativos ou passivos, alterações aos estatutos das instituições de crédito, a nomeação de auditores externos, pedidos de informação e relatórios específicos de auditores externos, projetos de externalização (outsourcing), operações em países terceiros, o exercício de poderes em relação aos acionistas, a concessão ou limitação de crédito a partes relacionadas, decisões estratégicas e a criação de grupos bancários cooperativos;

Exercer, em relação às entidades supervisionadas significativas, os poderes de supervisão conferidos ao abrigo do direito da União, incluindo as faculdades e opções previstas no Regulamento (UE) n.o 575/2013 do Parlamento Europeu e do Conselho (1) e na Diretiva 2013/36/UE, tal como transpostas para o direito nacional;

2. BASE JURÍDICA

a) Artigo 5.o, n.o 1, alínea a), do Regulamento (UE) 2018/1725, ou artigo 6.o, n.o 1, alínea e), e, em alguns Estados-Membros, alínea c), do Regulamento (UE) 2016/679, em conjugação com o artigo 4.o, n.o 1, alíneas d), e), f), g), h) e i), o artigo 4.o, n.o 3, e os artigos 6.o e 9.°, do Regulamento (UE) n.o 1024/2013.

3. TITULARES DOS DADOS

Podem ser tratados dados pessoais relativos às seguintes categorias de titulares de dados:

a)	Membros do pessoal de uma entidade supervisionada significativa;

b)	Membros do órgão de administração, clientes e respetivos garantes, acionistas e credores, prestadores de serviços, consultores e auditores externos de uma entidade supervisionada significativa;

c)	Membros do pessoal ou representantes de associações bancárias;

d)	Membros do pessoal das instituições e organismos da União, bem como das autoridades nacionais e internacionais;

e)	Outros terceiros, tais como pessoas que apresentem reclamações ou que apresentem pedidos de informação relativos a uma entidade supervisionada significativa;

f)	Representantes autorizados de uma pessoa nomeada num procedimento de avaliação da adequação e idoneidade;

g)	Representantes autorizados do adquirente de uma participação significativa;

h)	Membros do pessoal do adquirente de uma participação significativa.

4. CATEGORIAS DE DADOS PESSOAIS TRATADOS

Podem ser tratadas as seguintes categorias de dados pessoais:

a)	Dados de identificação, tais como nome, número do bilhete de identidade/passaporte, nacionalidade e assinatura;

b)	Dados de contacto, tais como endereço postal, endereço de correio eletrónico e número de telefone;

c)	Dados profissionais relativos à educação, formação, emprego, outros cargos detidos e quaisquer outras atividades empresariais;

d)	Dados financeiros, tais como no contexto da análise de ficheiros de crédito de um cliente bancário ou no contexto de um empréstimo a um membro do órgão de administração, quando é necessária uma aprovação prévia;

e)	Dados de registos criminais e informações sobre investigações e processos penais, processos cíveis e administrativos relevantes e ações disciplinares, incluindo inibição do exercício do cargo de administrador da empresa, falência, insolvência e processos similares.

(1) Regulamento (UE) n.o 575/2013 do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativo aos requisitos prudenciais para as instituições de crédito e que altera o Regulamento (UE) n.o 648/2012 (JO L 176 de 27.6.2013, p., 1, ELI: http://data.europa.eu/eli/reg/2013/575/oj).

ANEXO IV

Aplicação de medidas coercivas e sanções

1. OBJETO, NATUREZA E FINALIDADE DO TRATAMENTO

No contexto dos procedimentos de aplicação de medidas coercivas e de sanções, os dados pessoais são tratados para os seguintes fins:

Investigar alegadas violações de um dever previsto nos atos pertinentes diretamente aplicáveis da legislação da União, cometidas por entidades supervisionadas em relação às quais possam ser impostas sanções administrativas pecuniárias nos termos do artigo 18.o, n.o 1, do Regulamento (UE) n.o 1024/2013 e elaborar propostas para a imposição dessas sanções;

b)	Investigar alegadas infrações, por parte das entidades supervisionadas, aos regulamentos ou decisões do BCE em relação às quais possam ser impostas sanções nos termos do artigo 18.o, n.o 7, do Regulamento (UE) n.o 1024/2013;

c)	Avaliar, no contexto dos casos previstos no artigo 18.o, n.o 5, do Regulamento (UE) n.o 1024/2013, se deve ser solicitado a uma ANC que instaure um processo e notificar a ANC desse pedido;

Solicitar informações nos termos do artigo 10.o do Regulamento (UE) n.o 1024/2013 e do artigo 139.o do Regulamento (UE) n.o 468/2014 (BCE/2014/17) e desempenhar as funções previstas nos artigos 125.o a 138.° do Regulamento (UE) n.o 468/2014 (BCE/2014/17) no contexto da investigação de alegadas infrações a que se referem o artigo 18.o, n.o 1 e 7, do Regulamento (UE) n.o 1024/2013;

e)	Avaliar se deve ser solicitado a uma ANC, nos termos do artigo 136.o do Regulamento (UE) n.o 468/2014 (BCE/2014/17), que remeta uma suspeita da prática de uma infração penal para as autoridades competentes para efeitos de investigação e possível ação penal e notificar a ANC desse pedido.

2. BASE JURÍDICA

a)	Artigo 5.o, n.o 1, alíneas a) e b), do Regulamento (UE) 2018/1725, ou artigo 6.o, n.o 1, alínea e), e, em alguns Estados-Membros, alínea c), do Regulamento (UE) 2016/679, em conjugação com os artigos 9.o, 10.°, 11.° e 18.° do Regulamento (UE) n.o 1024/2013;

Artigo 5.o, n.o 1, alíneas a) e b), do Regulamento (UE) 2018/1725 ou artigo 6.o, n.o 1, alínea e), e, em alguns Estados-Membros, alínea c), do Regulamento (UE) 2016/679, em conjugação com o artigo 113.o, n.o 3, e os artigos 120.o a 129.°, 134.°, 136.° e 139.° do Regulamento (UE) n.o 468/2014 (BCE/2014/17).

3. TITULARES DOS DADOS

Podem ser tratados dados pessoais relativos às seguintes categorias de titulares de dados:

a)	Membros do pessoal da entidade supervisionada sujeita ao procedimento;

b)	Membros do órgão de administração da entidade supervisionada sujeita ao procedimento;

c)	Membros do órgão de administração de entidades que pretendam adquirir uma participação qualificada na entidade supervisionada;

d)	Propostos adquirentes de uma participação qualificada;

e)	Representantes autorizados da entidade supervisionada sujeita ao procedimento.

4. CATEGORIAS DE DADOS PESSOAIS TRATADOS

Podem ser tratadas as seguintes categorias de dados pessoais:

a)	Dados de identificação, tais como nome, nacionalidade e assinatura;

b)	Dados de contacto, tais como endereço postal, endereço de correio eletrónico e número de telefone;

c)	Dados profissionais relacionados com a educação, a formação e o emprego;

d)	Dados financeiros;

e)	Informações sobre (suspeitas de) infrações e condenações penais.

ANEXO V

Inspeções no local de entidades supervisionadas significativas

1. OBJETO, NATUREZA E FINALIDADE DO TRATAMENTO

No contexto das inspeções no local de entidades supervisionadas significativas, os dados pessoais são tratados para os seguintes fins:

a)	Proceder a inspeções no local para realizar investigações aprofundadas dos riscos, dos controlos dos riscos e da governação das entidades supervisionadas;

b)	Avaliar os modelos internos utilizados para o cálculo dos requisitos de fundos próprios, em especial no que diz respeito às metodologias, à adequação económica, aos riscos, aos controlos de risco e à governação;

c)	Realização de análises da qualidade dos ativos para aumentar a transparência no que diz respeito às posições em risco das entidades supervisionadas, incluindo no que respeita à adequação das avaliações de ativos e das garantias e das provisões conexas.

2. BASE JURÍDICA

Artigo 5.o, n.o 1, alínea a), do Regulamento (UE) 2018/1725 ou o artigo 6.o, n.o 1, alínea e), e, em alguns Estados-Membros, alínea c), do Regulamento (UE) 2016/679, em conjugação com o artigo 4.o, n.o 1, alínea f), o artigo 6.o, n.o 4, e os artigos 10.o, 11.o e 12.o do Regulamento (UE) n.o 1024/2013;

b)	Artigo 5.o, n.o 1, alínea a), do Regulamento (UE) 2018/1725 ou artigo 6.o, n.o 1, alínea e), e, em alguns Estados-Membros, alínea c), do Regulamento (UE) 2016/679, em conjugação com os artigos 143.o a 146.o do Regulamento (UE) n.o 468/2014 (BCE/2014/17).

3. TITULARES DOS DADOS

Podem ser tratados dados pessoais relativos às seguintes categorias de titulares de dados:

a)	Membros do pessoal da entidade supervisionada;

b)	Acionistas da entidade supervisionada;

c)	Membros do órgão de administração da entidade supervisionada;

d)	Clientes da entidade supervisionada, seus garantes e partes ligadas;

e)	Auditores externos da entidade supervisionada;

f)	Prestadores de serviços e consultores da entidade supervisionada;

g)	Pessoal das instituições e organismos da União, bem como das autoridades nacionais e internacionais.

4. CATEGORIAS DE DADOS PESSOAIS TRATADOS

Podem ser tratadas as seguintes categorias de dados pessoais:

Dados dos clientes da entidade supervisionada, tais como:

i)	dados de identificação, tais como nome, número do bilhete de identidade/passaporte, nacionalidade e assinatura;

ii)	dados de contacto, tais como endereço postal, endereço de correio eletrónico e número de telefone;

iii)

situação e atividades financeiras, tais como informações relacionadas com o nível de rendimento, despesas, ativos, dívidas, derivados, compromissos financeiros, classificação de crédito, historial de pagamento, disputas e litígios com a entidade supervisionada, bem como indicadores gerais de saúde financeira;

iv)	composição do agregado doméstico, características da habitação, educação e informação e perspetivas relacionadas com o emprego.

Dados relativos aos membros do pessoal, acionistas e membros do órgão de administração da entidade supervisionada, tais como:

i)	dados de identificação, tais como nome, número do bilhete de identidade/passaporte, nacionalidade e assinatura;

ii)	dados de contacto, tais como endereço postal, endereço de correio eletrónico e número de telefone;

iii)	atividades financeiras relacionadas com a entidade supervisionada, tais como informações relacionadas com remuneração, ativos, dívidas, derivados e compromissos financeiros;

iv)	experiência profissional, qualificações, formação académica.

Dados dos auditores externos, prestadores de serviços e consultores da entidade supervisionada e dados dos membros do pessoal das instituições e organismos da União, bem como das autoridades nacionais e internacionais, tais como:

i)	Dados de identificação, tais como nome, número do bilhete de identidade/passaporte, nacionalidade e assinatura;

ii)	Dados de contacto, tais como endereço postal, endereço de correio eletrónico e número de telefone;

iii)

Descrição das relações pessoais de familiares próximos do titular dos dados com membros do órgão de administração e/ou titulares de funções essenciais da entidade supervisionada, da sua empresa-mãe ou das suas filiais, bem como uma descrição das relações profissionais e financeiras do titular dos dados com a entidade supervisionada, a sua empresa-mãe ou as suas filiais.

ANEXO VI

Controlo geral da supervisão de entidades supervisionadas menos significativas

1. OBJETO, NATUREZA E FINALIDADE DO TRATAMENTO

No contexto do controlo geral da supervisão de entidades supervisionadas menos significativas, os dados pessoais são tratados para os seguintes fins:

a)	Avaliar se as ANC estão a aplicar normas de supervisão de elevada qualidade de forma coerente e verificar se situações comparáveis conduzem a resultados comparáveis em todo o MUS;

b)	Receber notificações ex ante e ex post das ANC sobre procedimentos de supervisão relevantes e projetos de decisão respeitantes a entidades supervisionadas menos significativas de impacto elevado e de risco elevado e aconselhar as ANC a continuar a avaliar aspetos específicos desses procedimentos;

c)	Receber notificações das ANC em relação a circunstâncias específicas;

Realizar análises temáticas para fornecer informações específicas sobre a supervisão pelas ANC no que diz respeito a áreas de risco definidas a nível de entidades supervisionadas menos significativas individualmente consideradas ou classes de entidades supervisionadas menos significativas semelhantes, a fim de assegurar uma supervisão de elevada qualidade;

e)	Participar em inspeções no local de entidades supervisionadas menos significativas com vista a promover a compreensão, por parte do BCE, da condução da supervisão pelas ANC.

2. BASE JURÍDICA

3. TITULARES DOS DADOS

Podem ser tratados dados pessoais relativos às seguintes categorias de titulares de dados:

a)	Membros do pessoal de entidades supervisionadas menos significativas;

b)	Membros do órgão de administração de entidades supervisionadas, clientes e respetivos garantes, acionistas e credores, prestadores de serviços, consultores e auditores externos de entidades supervisionadas menos significativas;

c)	Membros do pessoal ou representantes de associações bancárias;

d)	Membros do pessoal das instituições e organismos da União, bem como das autoridades nacionais e internacionais.

4. CATEGORIAS DE DADOS PESSOAIS TRATADOS

Podem ser tratadas as seguintes categorias de dados pessoais:

a)	Dados de identificação, tais como nome, número do bilhete de identidade/passaporte, nacionalidade e assinatura;

b)	Dados de contacto, tais como endereço postal, endereço de correio eletrónico e número de telefone;

c)	Dados profissionais relativos à educação, formação, emprego e outros cargos detidos pela pessoa nomeada num procedimento de avaliação da adequação e idoneidade, e pelos membros do órgão de administração da entidade supervisionada em que a nomeação é efetuada;

d)	Dados profissionais relativos a quaisquer outras atividades comerciais da pessoa nomeada num procedimento de avaliação da adequação e idoneidade;

e)	Dados financeiros da pessoa nomeada num procedimento de avaliação da adequação e idoneidade;

f)	Dados de registos criminais e informações sobre investigações e processos penais, processos cíveis e administrativos relevantes e ações disciplinares, incluindo inibição do exercício do cargo de administrador da empresa, falência, insolvência e processos similares;

Descrição das relações pessoais de familiares próximos da pessoa nomeada, num procedimento de avaliação da adequação e idoneidade, com outros membros do órgão de administração e/ou titulares de funções essenciais da entidade supervisionada em que a nomeação é efetuada, da sua empresa-mãe ou de filiais desta; e as suas relações profissionais e financeiras com a entidade supervisionada em que é efetuada a nomeação, a sua empresa-mãe ou filiais desta;

h)	Informações sobre se já foi realizada uma avaliação da adequação e idoneidade por outra autoridade competente e informações acerca dos resultados desta avaliação;

i)	Comentários de membros do pessoal do BCE ou das ANC sobre o desempenho da pessoa nomeada no exercício das suas funções atuais ou anteriores que possam ter impacto no atual procedimento de adequação e idoneidade;

j)	Informação sobre a conduta da pessoa nomeada, no âmbito das funções atuais, que possa ser relevante no contexto de reavaliações.

ANEXO VII

Supervisão de entidades supervisionadas menos significativas

1. OBJETO, NATUREZA E FINALIDADE DO TRATAMENTO

No contexto da supervisão permanente de entidades supervisionadas menos significativas, os dados pessoais são tratados para os seguintes fins:

Assegurar que as entidades supervisionadas menos significativas cumprem a legislação aplicável da União, incluindo as transposições nacionais da mesma, impondo requisitos prudenciais nos domínios i) dos fundos próprios, da titularização, dos limites aos grandes riscos, da liquidez, da alavancagem e do reporte e divulgação pública de informações sobre essas matérias; e ii) do governo, incluindo processos de gestão do risco, mecanismos de controlo interno, políticas e práticas de remuneração e processos internos eficazes de avaliação da adequação do capital e da liquidez, incluindo modelos baseados em notações internas;

Realizar análises para efeitos de supervisão e testes de esforço para determinar se as entidades supervisionadas menos significativas cumprem os requisitos pertinentes da legislação da UE e, com base naquela análise para efeitos de supervisão, impor às entidades supervisionadas menos significativas requisitos específicos e outras medidas;

Exercer a supervisão das empresas-mãe das entidades supervisionadas menos significativas estabelecidas num dos Estados-Membros participantes, incluindo sobre companhias financeiras (mistas), e participar na supervisão em base consolidada, incluindo nos colégios de autoridades de supervisão, sem prejuízo da participação das ANC nesses colégios na qualidade de observadores, em relação a empresas-mãe não estabelecidas num dos Estados-Membros participantes;

d)	Desempenhar funções de supervisão relacionadas com planos de recuperação e intervenção precoce;

e)	Realização de inspeções no local a entidades supervisionadas menos significativas;

Exercer, em relação às entidades supervisionadas menos significativas, os poderes de supervisão conferidos pelo direito nacional, incluindo, nomeadamente, a aprovação de aquisições, por entidades supervisionadas menos significativas, de participações numa instituição que não seja uma instituição de crédito ou numa instituição de crédito fora da União, fusões ou cisões de instituições de crédito, a aquisição ou venda de ativos ou passivos, alterações aos estatutos das instituições de crédito, a nomeação de auditores externos, pedidos de informação e relatórios específicos de auditores externos, projetos de externalização (outsourcing), operações em países terceiros, o exercício de poderes em relação aos acionistas, a concessão ou limitação de crédito a partes relacionadas, decisões estratégicas e a criação de grupos bancários cooperativos;

g)	Exercer, em relação às entidades supervisionadas menos significativas, os poderes de supervisão conferidos às autoridades competentes ao abrigo do Regulamento (UE) n.o 575/2013 e da Diretiva 2013/36/UE, tal como transposta para o direito nacional.

2. BASE JURÍDICA

Artigo 5.o, n.o 1, alínea a), do Regulamento (UE) 2018/1725 ou artigo 6.o, n.o 1, alínea e), e, em alguns Estados-Membros, alínea c), do Regulamento (UE) 2016/679, em conjugação com o artigo 4.o, n.o 1, alíneas b), d), g) e i), e o artigo 6.o, n.o 6, do Regulamento (UE) n.o 1024/2013.

3. TITULARES DOS DADOS

Podem ser tratados dados pessoais relativos às seguintes categorias de titulares de dados:

a)	Membros do pessoal de entidades supervisionadas menos significativas;

b)	Membros do órgão de administração, clientes e respetivos garantes, acionistas e credores, prestadores de serviços, consultores e auditores externos de entidades supervisionadas menos significativas;

c)	Membros do pessoal ou representantes de associações bancárias;

d)	Membros do pessoal das instituições e organismos da União, bem como das autoridades nacionais e internacionais;

e)	Outros terceiros, tais como pessoas que apresentem reclamações ou que apresentem pedidos de informação relativos a uma entidade supervisionada menos significativa;

f)	Representantes autorizados de uma pessoa nomeada num procedimento de avaliação da adequação e idoneidade.

4. CATEGORIAS DE DADOS PESSOAIS TRATADOS

Podem ser tratadas as seguintes categorias de dados pessoais:

a)	Dados de identificação, tais como nome, número do bilhete de identidade/passaporte, nacionalidade e assinatura;

b)	Dados de contacto, tais como endereço postal, endereço de correio eletrónico e número de telefone;

c)	Dados profissionais relativos à educação, formação, emprego, e outros cargos detidos pela pessoa nomeada, num procedimento de avaliação da adequação e idoneidade, e aos membros do órgão de administração da entidade supervisionada em que a nomeação é efetuada;

d)	Dados profissionais relativos a quaisquer outras atividades comerciais da pessoa nomeada, num procedimento de avaliação da adequação e idoneidade;

e)	Dados de registos criminais; e informações sobre investigações e processos penais, processos cíveis e administrativos relevantes e ações disciplinares, incluindo inibição do exercício do cargo de administrador da empresa, falência, insolvência e processos similares;

f)	Dados financeiros da pessoa nomeada, num procedimento de avaliação da adequação e idoneidade;

h)	Informações sobre se já foi realizada uma avaliação da adequação e idoneidade por outra autoridade competente e informações sobre o resultado dessa avaliação;

i)	Comentários do pessoal do BCE ou das ANC sobre o desempenho da pessoa nomeada no exercício das suas funções atuais ou anteriores que possam ter impacto no atual procedimento de adequação e idoneidade;

j)	Informações sobre a conduta da pessoa nomeada, no exercício das suas atuais funções, que possa ser relevante no contexto de reavaliações;

k)	Dados financeiros, tais como no contexto da análise de ficheiros de crédito de um cliente bancário ou no contexto de um empréstimo a um membro do órgão de administração, quando é necessária uma aprovação prévia;

l)	Gravação de áudio da voz da pessoa nomeada num procedimento de adequação e idoneidade.