DECIZIA (UE) 2022/2359 A BĂNCII CENTRALE EUROPENE

din 22 noiembrie 2022

de adoptare a unor norme interne privind restricționarea drepturilor persoanelor vizate în legătură cu funcționarea internă a Băncii Centrale Europene (BCE/2022/42)

COMITETUL EXECUTIV AL BĂNCII CENTRALE EUROPENE,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Statutul Sistemului European al Băncilor Centrale și al Băncii Centrale Europene, în special articolul 11.6,

având în vedere Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (1), în special articolul 25,

întrucât:

(1)	Banca Centrală Europeană (BCE) își îndeplinește atribuțiile în conformitate cu tratatele.

(2)

Potrivit articolului 45 alineatul (3) din Regulamentul (UE) 2018/1725, Decizia (UE) 2020/655 a Băncii Centrale Europene (BCE/2020/28) (2) stabilește normele generale de punere în aplicare a Regulamentului (UE) 2018/1725 în ceea ce privește BCE. În special, aceasta prevede normele referitoare la numirea și rolul responsabilului cu protecția datelor (RPD) al BCE, inclusiv atribuțiile, obligațiile și competențele RPD.

(3)	În exercitarea atribuțiilor care îi sunt conferite, BCE și, în special, unitatea organizațională în cauză acționează în calitate de operator de date în măsura în care stabilește, singură sau împreună cu alte unități, scopurile și mijloacele de prelucrare a datelor cu caracter personal.

(4)

În ceea ce privește funcționarea internă a BCE, diverse departamente ale BCE (inclusiv Direcția generală resurse umane (DG/HR), Biroul de conformitate și guvernanță (CGO), Direcția audit intern (D/IA) și Direcția generală servicii juridice (DG/L)) au stabilite în cadrul juridic de reglementare a condițiilor de angajare la BCE atribuții care presupun prelucrarea datelor cu caracter personal. Printre aceste atribuții pot figura, de exemplu, acțiunile întreprinse în legătură cu eventualele încălcări ale îndatoririlor profesionale (inclusiv investigarea comportamentelor necorespunzătoare în conformitate cu cadrul BCE privind demnitatea la locul de muncă și monitorizarea raportării oricăror activități nelegale sau a oricăror încălcări ale îndatoririlor profesionale, transmise prin orice canal, inclusiv, printre altele, prin intermediul instrumentului BCE de avertizare de integritate); atribuții legate de procedurile de selecție; atribuții exercitate de DG/HR în îndeplinirea funcțiilor sale legate de gestionarea performanței, promovarea, numirea directă a personalului BCE, dezvoltarea profesională, inclusiv calibrarea talentelor în cadrul departamentelor și între departamente, majorări salariale și prime salariale și decizii privind mobilitatea și concediul; examinarea căilor de atac interne introduse de personalul BCE (inclusiv prin intermediul controlului administrativ, al procedurilor de soluționare a reclamațiilor, al procedurilor specifice de apel sau al comisiilor medicale) și acțiunile ulterioare; atribuțiile consultative ale CGO în temeiul Cadrului etic al BCE (prevăzut în partea 0 din Regulamentul BCE privind personalul) și atribuțiile CGO legate de monitorizarea conformității activităților financiare private (inclusiv cooperarea cu orice furnizor extern de servicii numit în conformitate cu articolul 0.4.3.3 din Regulamentul BCE privind personalul); precum și auditurile efectuate de D/IA și atribuțiile îndeplinite în contextul Circularei administrative nr. 1/2006 privind anchetele administrative interne (3) atunci când desfășoară activități de investigare și anchete administrative în situații care pot avea o posibilă dimensiune disciplinară care implică personalul BCE (inclusiv atribuțiile persoanelor care efectuează ancheta sau ale membrilor grupului de anchetă în cazul în care le este solicitat să strângă probe și să stabilească faptele relevante).

(5)

În conformitate cu Decizia (UE) 2016/456 a Băncii Centrale Europene (BCE/2016/3) (4), BCE trebuie să transmită Oficiului European Antifraudă, la solicitarea acestuia sau din proprie inițiativă, informații aflate în posesia BCE care generează suspiciuni privind existența unor posibile cazuri de fraudă, corupție sau de orice alte activități ilegale care afectează interesele financiare ale Uniunii. Decizia (UE) 2016/456 (BCE/2016/3) prevede că, într-un astfel de caz, părțile interesate sunt informate rapid despre o astfel de situație, cu condiția ca această informare să nu pericliteze investigația, și că, în orice caz, nu pot fi formulate concluzii care să se refere nominal la părțile interesate fără ca părțile interesate să fi avut posibilitatea de a-și exprima poziția cu privire la toate faptele care le privesc, inclusiv cu privire la orice dovezi existente împotriva lor.

(6)	Potrivit articolului 4 litera (b) din Decizia (UE) 2020/655 (BCE/2020/28), RPD trebuie să investigheze aspectele și incidentele legate de protecția datelor, fie din proprie inițiativă, fie la solicitarea BCE.

(7)	Serviciul protecție și pază din cadrul Direcției administrație este responsabil de efectuarea investigațiilor pentru asigurarea protecției securității fizice la BCE a persoanelor, sediilor și bunurilor, de colectarea de informații privind amenințările și de analizarea incidentelor de securitate.

(8)

BCE are datoria de a coopera loial cu autoritățile naționale, inclusiv cu autoritățile naționale de urmărire penală. În special, în temeiul Deciziei (UE) 2016/1162 a Băncii Centrale Europene (BCE/2016/19) (5), la solicitarea unei autorități naționale cu competență în materie penală, BCE poate furniza unei ANC sau unei BCN informațiile confidențiale pe care le deține și care au legătură cu atribuțiile conferite BCE prin Regulamentul (UE) nr. 1024/2013 al Consiliului (6) sau cu alte misiuni legate de SEBC/Eurosistem în vederea comunicării acestora, în anumite condiții, autorității naționale relevante cu competență în materie penală.

(9)	Potrivit Regulamentului (UE) 2017/1939 (7), atunci când este identificată o suspiciune de infracțiune în limitele competenței sale, BCE trebuie să furnizeze orice informație fără întârziere Parchetului European (EPPO).

(10)

BCE trebuie să coopereze cu organismele UE care exercită o funcție de supraveghere, de monitorizare sau de audit la care este supusă BCE, precum Autoritatea Europeană pentru Protecția Datelor, Curtea de Conturi Europeană și Ombudsmanul European, în îndeplinirea atribuțiilor respective. În acest context, BCE poate prelucra date cu caracter personal pentru a fi în măsură să răspundă solicitărilor acestor organisme, să se consulte cu ele și să le furnizeze informații.

(11)

În conformitate cu cadrul intern de soluționare a litigiilor al BCE, personalul BCE poate contacta un mediator în orice moment și prin orice mijloace pentru a solicita sprijinul mediatorului în soluționarea sau prevenirea unui conflict de muncă. Acest cadru prevede că orice comunicare cu mediatorul este supusă cerințelor de confidențialitate. Orice aspect menționat în cursul procedurii de mediere este considerat confidențial și fiecare parte implicată în mediere trebuie să utilizeze astfel de informații numai în scopul procesului de mediere, sub rezerva eventualelor proceduri judiciare. În mod excepțional, mediatorul poate divulga informații atunci când divulgarea pare necesară pentru a preveni un risc iminent de vătămare gravă a integrității fizice sau psihice a unei persoane.

(12)

BCE se străduiește să asigure condiții de muncă care să protejeze sănătatea și siguranța personalului său și să respecte demnitatea la locul de muncă a personalului, oferind servicii de consiliere în sprijinul personalului. Personalul BCE poate solicita serviciile unui consilier social cu privire la orice aspect, inclusiv emoțional, personal și profesional. Consilierul social nu poate avea acces la dosarul personal al unui membru al personalului BCE, cu excepția cazului în care este autorizat în mod explicit de către acesta. Nicio informație primită de consilierul social sau nicio afirmație adresată consilierului social nu poate fi divulgată, cu excepția cazului în care divulgarea este autorizată în mod explicit de persoana în cauză sau este impusă de lege.

(13)

În legătură cu funcționarea sa internă, BCE prelucrează mai multe categorii de date care pot fi legate de o persoană fizică identificată sau identificabilă. Listele neexhaustive ale categoriilor de date cu caracter personal care sunt prelucrate de BCE în legătură cu funcționarea sa internă sunt cuprinse în anexele la prezenta decizie. Datele cu caracter personal ar putea, de asemenea, să facă parte dintr-o evaluare care să includă o analiză efectuată de departamentul responsabil de aspectul examinat, inclusiv, de exemplu, o analiză efectuată de DG/HR, DG/L, D/IA ori de o comisie disciplinară sau de o comisie de anchetă cu privire la o încălcare a îndatoririlor profesionale.

(14)	În contextul considerentelor (4)-(13), este oportună precizarea motivelor pentru care BCE poate impune o restricție în privința drepturilor persoanelor vizate.

(15)

Scopul BCE în îndeplinirea atribuțiilor sale este de a urmări obiective importante de interes public general ale Uniunii. Prin urmare, îndeplinirea acestor atribuții ar trebui să fie garantată, astfel cum se prevede în Regulamentul (UE) 2018/1725, în special la articolul 25 alineatul (1) literele (b), (c), (d), (f), (g) și (h).

(16)

În conformitate cu articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, restricțiile privind aplicarea articolelor 14-22, 35 și 36, precum și a articolului 4 în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 14-22 din acest regulament ar trebui stabilite în normele interne sau în actele juridice adoptate în temeiul tratatelor. În consecință, BCE ar trebui să stabilească normele în temeiul cărora poate impune restricții în privința drepturilor persoanelor vizate, în îndeplinirea atribuțiilor sale.

(17)

BCE ar trebui să explice motivul pentru care astfel de restricții în privința drepturilor persoanelor vizate sunt strict necesare și proporționale într-o societate democratică pentru a proteja obiectivele urmărite în exercitarea autorității sale oficiale și a funcțiilor conexe, precum și modul în care, atunci când impune o astfel de restricție, BCE asigură respectarea esenței drepturilor și libertăților fundamentale.

(18)

În acest context, BCE are obligația de a respecta, în cea mai mare măsură posibilă, drepturile fundamentale ale persoanelor vizate, în special cele referitoare la dreptul de informare, dreptul de acces la datele cu caracter personal și de rectificare sau ștergere a acestora, dreptul la restricționarea prelucrării, dreptul la informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal sau dreptul la confidențialitatea comunicării, astfel cum sunt prevăzute în Regulamentul (UE) 2018/1725.

(19)

Cu toate acestea, BCE poate fi obligată să restricționeze informațiile furnizate persoanelor vizate și drepturile altor persoane vizate pentru a proteja îndeplinirea atribuțiilor sale, în special propriile investigații și proceduri, investigațiile și procedurile altor autorități publice și drepturile și libertățile fundamentale ale altor persoane care au legătură cu propriile investigații sau cu alte proceduri.

(20)	În măsura în care o restricție care a fost deja impusă nu mai este necesară, BCE ar trebui să o elimine.

(21)	RPD ar trebui să revizuiască modul în care sunt impuse restricțiile pentru a asigura respectarea prezentei decizii și a Regulamentului (UE) 2018/1725.

(22)

În timp ce prezenta decizie stabilește normele în temeiul cărora BCE poate impune restricții în privința drepturilor persoanelor vizate atunci când BCE prelucrează date cu caracter personal în legătură cu funcționarea sa internă, Comitetul executiv a adoptat o decizie separată privind stabilirea unor norme interne privind restricționarea drepturilor în îndeplinirea atribuțiilor sale de supraveghere.

(23)

BCE poate aplica o excepție în conformitate cu Regulamentul (UE) 2018/1725, care face inutilă luarea în considerare a unei restricții, inclusiv, în special, una dintre excepțiile prevăzute la articolul 15 alineatul (4), la articolul 16 alineatul (5), la articolul 19 alineatul (3) și la articolul 35 alineatul (3) din acest regulament.

(24)

Derogările de la drepturile persoanelor vizate menționate la articolele 17, 18, 20, 21, 22 și 23 din Regulamentul (UE) 2018/1725 în scopuri de arhivare în interes public pot fi prevăzute în normele interne sau în actele juridice adoptate în temeiul tratatelor de către BCE în ceea ce privește arhivarea realizată de BCE, sub rezerva condițiilor și a garanțiilor necesare în conformitate cu articolul 25 alineatul (4) din Regulamentul (UE) 2018/1725.

(25)	Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 41 alineatul (2) din Regulamentul (UE) 2018/1725 și a emis un aviz în acest sens la 12 martie 2021.

(26)	Comitetul pentru personal a fost consultat,

ADOPTĂ PREZENTA DECIZIE:

Articolul 1

Obiect și domeniu de aplicare

(1) Prezenta decizie stabilește normele referitoare la restricționarea de către BCE a drepturilor persoanelor vizate cu ocazia desfășurării activităților de prelucrare a datelor cu caracter personal, astfel cum sunt înregistrate în registrul central, în legătură cu funcționarea sa internă.

(2) Drepturile persoanelor vizate care pot fi restricționate sunt prevăzute la următoarele articole din Regulamentul (UE) 2018/1725:

(a)	articolul 14 (transparența informațiilor, a comunicărilor și a modalităților de exercitare a drepturilor persoanei vizate);

(b)	articolul 15 (informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată);

(c)	articolul 16 (informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată);

(d)	articolul 17 (dreptul de acces al persoanei vizate);

(e)	articolul 18 (dreptul la rectificare);

(f)	articolul 19 [dreptul la ștergerea datelor („dreptul de a fi uitat”)];

(g)	articolul 20 (dreptul la restricționarea prelucrării);

(h)	articolul 21 (obligația de notificare privind rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării);

(i)	articolul 22 (dreptul la portabilitatea datelor);

(j)	articolul 35 (informarea persoanei vizate cu privire la încălcarea securității datelor cu caracter personal);

(k)	articolul 36 (confidențialitatea comunicațiilor electronice);

(l)	articolul 4 în măsura în care dispozițiile sale corespund drepturilor și obligațiilor prevăzute la articolele 14-22 din Regulamentul (UE) 2018/1725.

Articolul 2

Definiții

În sensul prezentei decizii, se aplică următoarele definiții:

1.	„prelucrare” înseamnă prelucrare astfel cum este definită la articolul 3 punctul 3 din Regulamentul (UE) 2018/1725;

2.	„date cu caracter personal” înseamnă date cu caracter personal astfel cum sunt definite la articolul 3 punctul 1 din Regulamentul (UE) 2018/1725;

„persoană vizată” înseamnă o persoană fizică identificată sau identificabilă; o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau prin referire la unul sau mai multe elemente specifice, proprii identității fizice, fiziologice, genetice, psihice, economice, culturale sau sociale a persoanei fizice respective;

4.	„registru central” înseamnă registrul disponibil public al tuturor activităților de prelucrare a datelor cu caracter personal desfășurate la BCE, care este ținut de RPD și este menționat la articolul 9 din Decizia (UE) 2020/655 (BCE/2020/28);

5.	„operator” înseamnă BCE, în special unitatea organizațională competentă din cadrul BCE care, singură sau împreună cu alte unități, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal și care este responsabilă de operațiunea de prelucrare;

6.	„instituții și organe ale Uniunii” înseamnă instituții și organe ale Uniunii astfel cum sunt definite la articolul 3 punctul 10 din Regulamentul (UE) 2018/1725.

Articolul 3

Impunerea de restricții

(1) În ceea ce privește activitățile de prelucrare a datelor cu caracter personal prevăzute la articolul 1 alineatul (1), operatorul poate impune restricții în privința drepturilor menționate la articolul 1 alineatul (2) cu scopul de a garanta interesele și obiectivele menționate la articolul 25 alineatul (1) din Regulamentul (UE) 2018/1725, în cazul în care exercitarea drepturilor respective ar pune în pericol:

(a)

evaluarea și raportarea potențialelor încălcări ale îndatoririlor profesionale și, dacă este necesar, investigarea acestora și adoptarea de măsuri ulterioare, inclusiv suspendarea din funcție, a căror garantare este în conformitate cu articolul 25 alineatul (1) literele (b), (c), (f) și/sau (h) din Regulamentul (UE) 2018/1725;

(b)

procedurile informale și/sau formale privind demnitatea la locul de muncă, inclusiv examinarea cazurilor care pot conduce la o astfel de procedură, astfel cum se prevede în partea 0.5 din Regulamentul BCE privind personalul, a căror garantare este în conformitate cu articolul 25 alineatul (1) literele (b), (c), (f) și/sau (h) din Regulamentul (UE) 2018/1725;

(c)

îndeplinirea corespunzătoare a funcțiilor DG/HR potrivit cadrului juridic de reglementare a condițiilor de angajare la BCE în ceea ce privește gestionarea performanței, procedurile de promovare sau de numire directă a personalului BCE, procedurile de selecție și de dezvoltare profesională, a cărei garantare este în conformitate cu articolul 25 alineatul (1) literele (c) și/sau (h) din Regulamentul (UE) 2018/1725;

(d)

examinarea căilor de atac interne introduse de personalul BCE (inclusiv prin proceduri de revizuire administrativă sau soluționare a reclamațiilor, proceduri de apel specifice sau comisii medicale) și acțiunile ulterioare, a căror garantare este în conformitate cu articolul 25 alineatul (1) literele (b), (c) și/sau (h) din Regulamentul (UE) 2018/1725;

(e)

raportarea oricărei activități ilegale sau a oricărei încălcări a îndatoririlor profesionale prin intermediul instrumentului BCE de avertizare de integritate sau evaluarea de către Biroul de conformitate și guvernanță (CGO) a cererilor de protecție a avertizorilor de integritate sau a martorilor împotriva represaliilor, a căror garantare este în conformitate cu articolul 25 alineatul (1) literele (b), (c), (f) și/sau (h) din Regulamentul (UE) 2018/1725;

(f)

activitățile CGO în temeiul Cadrului etic al BCE prevăzut în partea 0 din Regulamentul BCE privind personalul și al normelor privind selecția și numirea prevăzute în partea 1A din Regulamentul BCE privind personalul, precum și monitorizarea, în scopul conformității, a activităților financiare private, inclusiv funcțiile exercitate de furnizorul extern de servicii numit în temeiul articolului 0.4.3.3 din Regulamentul BCE privind personalul, precum și evaluarea potențialelor încălcări și acțiunile ulterioare care rezultă din această monitorizare de către CGO, a căror garantare este în conformitate cu articolul 25 alineatul (1) literele (b), (c), (f) și/sau (h) din Regulamentul (UE) 2018/1725;

(g)	audituri efectuate de Direcția audit intern, activități de investigare și anchete administrative interne, a căror garantare este în conformitate cu articolul 25 alineatul (1) literele (b), (c) și/sau (h) din Regulamentul (UE) 2018/1725;

(h)	exercitarea funcțiilor BCE în temeiul Deciziei (UE) 2016/456 (BCE/2016/3), în special obligația BCE de a raporta orice informații despre activități ilegale, a cărei garantare este în conformitate cu articolul 25 alineatul (1) literele (b), (c), (g) și/sau (h) din Regulamentul (UE) 2018/1725;

(i)	investigațiile efectuate de RPD cu privire la activitățile de prelucrare desfășurate la BCE în temeiul articolului 4 litera (b) din Decizia (UE) 2020/655 (BCE/2020/28), a căror garantare este conformitate cu articolul 25 alineatul (1) litera (b) și/sau litera (h) din Regulamentul (UE) 2018/1725;

(j)

investigațiile efectuate în scopul asigurării securității fizice la BCE a persoanelor, a sediilor și a bunurilor, indiferent dacă sunt gestionate intern sau cu sprijin extern, colectarea de informații referitoare la amenințări și la analiza incidentelor de securitate, a căror garantare este în conformitate cu articolul 25 alineatul (1) literele (b), (c), (d) și/sau (h) din Regulamentul (UE) 2018/1725;

(k)	proceduri judiciare a căror garantare este în conformitate cu articolul 25 alineatul (1) literele (b), (c) și/ (h) din Regulamentul (UE) 2018/1725;

(l)

cooperarea dintre BCE și autoritățile naționale cu competență în materie penală, în special transmiterea informațiilor confidențiale deținute de BCE în scopul comunicării acestora unei autorități naționale cu competență în materie penală la solicitarea acesteia din urmă, a cărei garantare este în conformitate cu articolul 25 alineatul (1) literele (b), (c), (d) și/sau (h) din Regulamentul (UE) 2018/1725;

(m)	cooperarea dintre BCE și EPPO în temeiul Regulamentului (UE) 2017/1939, în special obligația BCE de a furniza informații cu privire la infracțiuni, a cărei garantare este în conformitate cu articolul 25 alineatul (1) literele (b), (c), (d) și/sau (h) din Regulamentul (UE) 2018/1725;

(n)	cooperarea cu organismele UE care exercită o funcție de supraveghere, de monitorizare sau de audit la care este supusă BCE, a cărei garantare este în conformitate cu articolul 25 alineatul (1) literele (c), (d), (g) și/sau (h) din Regulamentul (UE) 2018/1725;

(o)

îndeplinirea de către mediator a atribuțiilor care îi revin în conformitate cu cadrul intern de soluționare a litigiilor la nivelul BCE, în special acordarea de sprijin pentru a contribui la soluționarea sau prevenirea unui litigiu de muncă, a cărei garantare este în conformitate cu articolul 25 alineatul (1) litera (h) din Regulamentul (UE) 2018/1725;

(p)	furnizarea de servicii de consiliere de către consilierul social pentru a sprijini personalul BCE, a cărei garantare este în conformitate cu articolul 25 alineatul (1) litera (h) din Regulamentul (UE) 2018/1725.

Categoriile de date cu caracter personal în legătură cu care se pot aplica restricțiile menționate la alineatul (1) sunt specificate în anexele I-XIV la prezenta decizie.

(2) Operatorul poate aplica o restricție numai în cazul în care, în urma unei evaluări de la caz la caz, concluzionează că restricția:

(a)	este necesară și proporțională, ținând seama de riscurile la adresa drepturilor și libertăților persoanei vizate; și

(b)	respectă esența drepturilor și libertăților fundamentale într-o societate democratică.

(3) Operatorul își documentează evaluarea într-o notă de evaluare internă care include temeiul juridic, motivele pentru care a fost impusă restricția, drepturile restricționate ale persoanelor vizate, persoanele vizate afectate, necesitatea și proporționalitatea restricției și durata probabilă a acesteia.

(4) Decizia de a impune restricții în privința drepturilor unei persoane vizate în temeiul alineatului (1), care urmează a fi luată de operator, se ia la nivelul șefului sau adjunctului departamentului relevant în care se desfășoară principala operațiune de prelucrare a datelor cu caracter personal.

Articolul 4

Furnizarea de informații generale privind restricțiile

Operatorul furnizează informații generale cu privire la potențiala impunere de restricții în privința drepturilor persoanelor vizate după cum urmează:

(a)	operatorul precizează drepturile în privința cărora pot fi impuse restricții, motivele impunerii restricțiilor și potențiala durată a acestora;

(b)	operatorul include informațiile prevăzute la litera (a) în avizele sale privind protecția datelor, în declarațiile sale de confidențialitate și în evidențele activităților de prelucrare menționate la articolul 31 din Regulamentul (UE) 2018/1725.

Articolul 5

Impunerea de restricții în privința dreptului de acces al persoanelor vizate, dreptului la rectificare, dreptului de ștergerea datelor sau dreptului la restricționarea prelucrării

(1) În cazul în care operatorul restricționează, complet sau parțial, dreptul de acces, dreptul la rectificare, dreptul la ștergerea datelor sau dreptul la restricționarea prelucrării, drepturi prevăzute la articolul 17, la articolul 18, la articolul 19 alineatul (1) și la articolul 20 alineatul (1) din Regulamentul (UE) 2018/1725, în perioada prevăzută la articolul 11 alineatul (5) din Decizia (UE) 2020/655 (BCE/2020/28), operatorul informează persoana vizată, în răspunsul scris la solicitare, cu privire la restricția impusă, principalele motive pentru impunerea restricției și posibilitatea de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor și de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene.

(2) Operatorul păstrează nota de evaluare internă prevăzută la articolul 3 alineatul (3) și, după caz, documentele care conțin elementele de drept și de fapt subiacente și, la cerere, le pune la dispoziția RPD și a Autorității Europene pentru Protecția Datelor.

(3) Operatorul poate amâna, omite sau refuza să furnizeze informațiile privind motivele impunerii restricției prevăzute la alineatul (1) în condițiile în care furnizarea acestor informații ar compromite scopul pentru care a fost impusă restricția. Imediat ce operatorul stabilește că furnizarea informațiilor respective nu mai contravine scopului pentru care a fost impusă restricția, acesta furnizează informațiile respective persoanei vizate.

Articolul 6

Durata restricțiilor

(1) Operatorul elimină o restricție de îndată ce nu mai sunt aplicabile circumstanțele care au justificat impunerea acesteia.

(2) Atunci când operatorul elimină o restricție potrivit alineatului (1), acesta efectuează cu promptitudine următoarele:

(a)	în măsura în care nu a făcut-o deja, informează persoana vizată cu privire la principalele motive care au stat la baza impunerii restricției;

(b)	informează persoana vizată cu privire la dreptul pe care îl are de a depune o plângere la Autoritatea Europeană pentru Protecția Datelor sau de a introduce o cale de atac în fața Curții de Justiție a Uniunii Europene;

(c)	acordă persoanei vizate dreptul care a făcut obiectul restricției eliminate.

(3) Operatorul reevaluează la fiecare șase luni necesitatea menținerii unei restricții aplicate în temeiul prezentei decizii și documentează această reevaluare într-o notă de evaluare internă.

Articolul 7

Garanții

BCE aplică garanții organizaționale și tehnice pentru a preveni abuzul sau accesul ori transferul ilegal, astfel cum sunt prevăzute în anexa XV.

Articolul 8

Revizuirea de către RPD

(1) În cazul în care operatorul impune restricții în privința exercitării drepturilor unei persoane vizate, acesta îl implică în mod constant pe RPD. În special, se aplică următoarele:

(a)	operatorul îl consultă pe RPD fără întârzieri nejustificate;

(b)	la solicitarea RPD, operatorul îi furnizează acestuia accesul la orice documente care conțin elementele de drept și de fapt subiacente, inclusiv la nota de evaluare internă prevăzută la articolul 3 alineatul (3);

(c)	operatorul documentează modul în care RPD a fost implicat, inclusiv informațiile relevante care au fost comunicate, în special data primei sale consultări prevăzute la litera (a);

(d)	RPD poate solicita operatorului să revizuiască restricția;

(e)	operatorul îl informează în scris pe RPD cu privire la rezultatul revizuirii solicitate, fără întârzieri nejustificate și în orice caz înainte de impunerea oricărei restricții.

(2) Operatorul îl informează pe RPD cu privire la reevaluarea restricției în conformitate cu articolul 6 alineatul (3) sau cu privire la eliminarea acesteia.

Articolul 9

Intrarea în vigoare

Prezenta decizie intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Adoptată la Frankfurt pe Main, 22 noiembrie 2022.

Președinta BCE

Christine LAGARDE

(1) JO L 295, 21.11.2018, p. 39.

(2) Decizia (UE) 2020/655 a Băncii Centrale Europene din 5 mai 2020 de adoptare a normelor de punere în aplicare privind protecția datelor la Banca Centrală Europeană și de abrogare a Deciziei BCE/2007/1 (BCE/2020/28) (JO L 152, 15.5.2020, p. 13).

(3) Circulara administrativă nr. 1/2006 a fost adoptată la 21 martie 2006 și este disponibilă pe website-ul BCE.

(4) Decizia (UE) 2016/456 a Băncii Centrale Europene din 4 martie 2016 privind termenii și condițiile aplicabile investigațiilor efectuate de Oficiul European Antifraudă în cadrul Băncii Centrale Europene în materie de prevenire a fraudei, corupției și a oricăror alte activități ilegale care afectează interesele financiare ale Uniunii Europene (BCE/2016/3) (JO L 79, 30.3.2016, p. 34).

(5) Decizia (UE) 2016/1162 a Băncii Centrale Europene din 30 iunie 2016 privind divulgarea de informații confidențiale în contextul procedurilor desfășurate în materie penală (BCE/2016/19) (JO L 192, 16.7.2016, p. 73).

(6) Regulamentul (UE) nr. 1024/2013 al Consiliului din 15 octombrie 2013 de conferire a unor atribuții specifice Băncii Centrale Europene în ceea ce privește politicile legate de supravegherea prudențială a instituțiilor de credit (JO L 287, 29.10.2013, p. 63).

(7) Regulamentul (UE) 2017/1939 al Consiliului din 12 octombrie 2017 de punere în aplicare a unei forme de cooperare consolidată în ceea ce privește instituirea Parchetului European (EPPO) (JO L 283, 31.10.2017, p. 1).

ANEXA I

Evaluarea și raportarea potențialelor încălcări ale îndatoririlor profesionale și, dacă este necesar, investigarea acestora și adoptarea de acțiuni ulterioare

Restricția menționată la articolul 3 alineatul (1) litera (a) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	date financiare (de exemplu, informații cu privire la salarii, indemnizații sau tranzacții private);

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	date de localizare;

(g)	date privind bunurile sau serviciile furnizate;

(h)	date privind activitățile externe;

(i)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(j)	orice alte date referitoare la evaluarea și raportarea potențialelor încălcări ale îndatoririlor profesionale și, după caz, date referitoare la investigații și acțiuni ulterioare.

ANEXA II

Proceduri informale și/sau formale privind demnitatea la locul de muncă, inclusiv examinarea cazurilor care pot conduce la o astfel de procedură, astfel cum se prevede în partea 0.5 din Regulamentul BCE privind personalul

Restricția menționată la articolul 3 alineatul (1) litera (b) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	date financiare (de exemplu, informații cu privire la salarii, indemnizații sau tranzacții private);

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	date de localizare;

(g)	date privind bunurile sau serviciile furnizate;

(h)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(i)	orice alte date referitoare la procedurile informale și/sau formale privind demnitatea la locul de muncă, inclusiv examinarea cazurilor care pot conduce la o astfel de procedură, astfel cum se prevede în partea 0.5 din Regulamentul BCE privind personalul.

ANEXA III

Îndeplinirea funcțiilor DG/HR în conformitate cu cadrul juridic de reglementare a condițiilor de angajare la BCE

Restricția menționată la articolul 3 alineatul (1) litera (c) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	date financiare (de exemplu, informații cu privire la salarii, indemnizații sau tranzacții private);

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	date de localizare;

(g)	date privind bunurile sau serviciile furnizate;

(h)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(i)

orice alte date incluse în considerații privind cazuri individuale sau legate de acestea, în special cele care pot conduce la o decizie care afectează în mod negativ personalul BCE, precum și orice alte date legate de examinarea căilor de atac interne introduse de personalul BCE și de acțiunile ulterioare;

(j)	orice alte date referitoare la procedura de selecție.

ANEXA IV

Examinarea căilor de atac interne și acțiunile ulterioare

Restricția menționată la articolul 3 alineatul (1) litera (d) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	date financiare (de exemplu, informații cu privire la salarii, indemnizații sau tranzacții private);

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	date de localizare;

(g)	date privind bunurile sau serviciile furnizate;

(h)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(i)

ANEXA V

Raportarea oricărei activități ilegale sau a oricărei încălcări a îndatoririlor profesionale transmise prin orice canal, inclusiv prin intermediul instrumentului BCE de avertizare de integritate, sau evaluarea de către Biroul de conformitate și guvernanță a cererilor de protecție a avertizorilor sau a martorilor

Restricția menționată la articolul 3 alineatul (1) litera (e) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	date financiare (de exemplu, informații cu privire la salarii, indemnizații sau tranzacții private);

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	date de localizare;

(g)	date privind bunurile sau serviciile furnizate;

(h)	date privind activitățile externe;

(i)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(j)	orice alte date referitoare la orice presupusă activitate ilegală sau presupusă încălcare a îndatoririlor profesionale sau la orice cerere de protecție a avertizorilor sau a martorilor.

ANEXA VI

Activitățile CGO în temeiul Regulamentului BCE privind personalul

Restricția menționată la articolul 3 alineatul (1) litera (f) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	date financiare (de exemplu, informații privind tranzacțiile private);

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	date privind activitățile externe;

(g)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(h)	orice alte date referitoare la orice activități raportate CGO sau investigate de acesta.

ANEXA VII

Audituri efectuate de Direcția audit intern și activități de investigare sau anchete administrative interne

Restricția menționată la articolul 3 alineatul (1) litera (g) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	date financiare (de exemplu, informații cu privire la salarii, indemnizații sau tranzacții private);

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	date privind activitățile externe;

(g)	date de localizare;

(h)	date privind bunurile sau serviciile furnizate;

(i)	date sociale și comportamentale și alte tipuri de date specifice operațiunii de prelucrare;

(j)	informații privind procedurile administrative sau orice alte investigații;

(k)	datele privind traficul electronic;

(l)	date de supraveghere video;

(m)	înregistrări audio;

(n)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(o)	date referitoare la proceduri penale, sancțiuni de orice fel sau alte măsuri administrative;

(p)	orice alte date referitoare la audituri efectuate de Direcția audit intern și la orice activități de investigare sau anchete administrative interne.

ANEXA VIII

Exercitarea funcțiilor BCE în temeiul Deciziei (UE) 2016/456 (BCE/2016/3)

Restricția menționată la articolul 3 alineatul (1) litera (h) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	date financiare (de exemplu, informații cu privire la salarii sau indemnizații sau tranzacții private);

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	date privind activitățile externe;

(g)	date de localizare;

(h)	date privind bunurile sau serviciile furnizate;

(i)	datele privind traficul electronic;

(j)	date de supraveghere video;

(k)	înregistrări audio;

(l)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(m)	alte date privind exercitarea funcțiilor BCE în temeiul Deciziei (UE) 2016/456 (BCE/2016/3).

ANEXA IX

Investigații efectuate de RPD în temeiul articolului 4 litera (b) din Decizia (UE) 2020/655 (BCE/2020/28)

Restricția menționată la articolul 3 alineatul (1) litera (i) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	date financiare (de exemplu, informații cu privire la salarii sau indemnizații sau tranzacții private);

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	date privind activitățile externe;

(g)	localizarea datelor;

(h)	date privind bunurile sau serviciile furnizate;

(i)	date privind traficul electronic;

(j)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(k)	orice alte date privind orice investigații efectuate de RPD în temeiul articolului 4 litera (b) din Decizia (UE) 2020/655 (BCE/2020/28).

ANEXA X

Investigații în scopul asigurării securității fizice la BCE a persoanelor, a sediilor și a bunurilor, colectarea de informații referitoare la amenințări și analiza incidentelor de securitate

Restricția menționată la articolul 3 alineatul (1) litera (j) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	informații privind locul unde se află datele;

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	datele privind traficul electronic;

(g)	date de supraveghere video;

(h)	înregistrări audio;

(i)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(j)	date privind cauzele penale pendinte sau cazierele judiciare;

(k)	orice alte date referitoare la investigații efectuate în scopul asigurării securității fizice la BCE a persoanelor, a sediilor și a bunurilor, la informații privind amenințările sau la analiza incidentelor de securitate.

ANEXA XI

Proceduri judiciare

Restricția menționată la articolul 3 alineatul (1) litera (k) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	date financiare (de exemplu, informații cu privire la salarii, indemnizații sau tranzacții private);

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	date privind activitățile externe;

(g)	informații privind locul unde se află datele;

(h)	date privind traficul electronic;

(i)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(j)	orice alte date referitoare la proceduri judiciare.

ANEXA XII

Cooperarea BCE cu autoritățile naționale cu competență în materie penală, cu EPPO și cu organismele UE care exercită o funcție de supraveghere, de monitorizare sau de audit la care este supusă BCE

Restricția menționată la articolul 3 alineatul (1) literele (l)-(n) din prezenta decizie poate fi impusă în privința tuturor categoriilor de date cu caracter personal menționate în anexele I-XI, precum și a categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de identificare;

(b)	date de contact;

(c)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(d)	date financiare (de exemplu, informații cu privire la salarii, indemnizații sau tranzacții private);

(e)	date privind familia, stilul de viață și circumstanțele sociale;

(f)	date privind activitățile externe;

(g)	date de localizare;

(h)	date privind bunurile sau serviciile furnizate;

(i)	date de supraveghere video;

(j)	date privind traficul electronic;

(k)	înregistrări audio;

(l)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(m)	informații privind procedurile administrative sau orice alte investigații;

(n)	date referitoare la proceduri penale, sancțiuni de orice tip sau alte măsuri administrative;

(o)	orice alte date legate de cooperarea BCE cu autoritățile naționale cu competență în materie penală, cu EPPO și cu organismele UE care exercită o funcție de supraveghere, de monitorizare sau de audit la care este supusă BCE.

ANEXA XIII

Îndeplinirea atribuțiilor de către mediator

Restricția menționată la articolul 3 alineatul (1) litera (o) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de contact;

(b)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(c)	date financiare (de exemplu, informații cu privire la salarii, indemnizații sau tranzacții private);

(d)	date privind familia, stilul de viață și circumstanțele sociale;

(e)	date sociale și comportamentale și alte tipuri de date specifice operațiunii de prelucrare;

(f)	informații privind procedurile administrative sau orice alte investigații în scopuri de reglementare;

(g)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(h)	orice alte date referitoare la îndeplinirea de către mediator a atribuțiilor sale.

ANEXA XIV

Furnizarea serviciilor de consiliere de către consilierul social

Restricția menționată la articolul 3 alineatul (1) litera (p) din prezenta decizie poate fi impusă în privința categoriilor de date menționate în evidențele activităților de prelucrare relevante, în special a următoarelor categorii de date cu caracter personal:

(a)	date de contact;

(b)	date profesionale, inclusiv date privind educația, date privind formarea și locurile de muncă ocupate;

(c)	date financiare (de exemplu, informații cu privire la salarii, indemnizații sau tranzacții private);

(d)	date privind familia, stilul de viață și circumstanțele sociale;

(e)	date sociale și comportamentale și alte tipuri de date specifice operațiunii de prelucrare;

(f)	informații privind procedurile administrative sau orice alte investigații în scopuri de reglementare;

(g)	date care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice sau apartenența la sindicate; date genetice sau date biometrice; date privind sănătatea; sau date privind viața sexuală sau orientarea sexuală a unei persoane fizice;

(h)	orice alte date referitoare la furnizarea serviciilor de consiliere de către consilierul social.

ANEXA XV

Garanțiile organizaționale și tehnice aplicate la BCE pentru a preveni abuzul sau prelucrarea ilegală a datelor cu caracter personal includ:

(a)

în ceea ce privește persoanele:

(i)	obligația tuturor persoanelor cu acces la informațiile BCE care nu au caracter public de a cunoaște și de a aplica politica și normele BCE privind gestionarea și confidențialitatea informațiilor;

(ii)	un proces de autorizare de securitate care asigură faptul că numai persoanele verificate și autorizate au acces în incintele BCE și la informațiile BCE care nu au caracter public;

(iii)

măsuri de creștere a gradului de cunoaștere în ceea ce privește tehnologia informației și securitatea fizică și a informațiilor, precum și cursuri organizate periodic pentru personalul BCE și furnizorii de servicii externi;

(iv)	impunerea unor reguli stricte personalului BCE în ceea ce privește păstrarea secretului profesional, astfel cum sunt prevăzute în Condițiile de angajare și în Regulamentul privind personalul, a căror încălcare atrage sancțiuni disciplinare;

(v)	reguli și obligații, stipulate în acorduri contractuale, care reglementează accesul furnizorilor de servicii externi sau al contractanților la informațiile BCE care nu au caracter public;

(vi)	controale ale accesului, inclusiv stabilirea zonelor de securitate, care sunt aplicate și asigură faptul că accesul persoanelor la informațiile BCE care nu au caracter public este autorizat și restricționat în funcție de nevoile funcționale și de cerințele de securitate;

(b)

în ceea ce privește procesele:

(i)	instituirea de procese care asigură implementarea, funcționarea și mentenanța controlată a aplicațiilor informatice care susțin activitatea BCE;

(ii)	utilizarea, pentru activitățile BCE, a unor aplicații informatice care respectă standardele de securitate ale BCE;

(iii)

existența unui program de securitate fizică cuprinzător care evaluează permanent amenințările de securitate și cuprinde măsuri de securitate fizică pentru a asigura un nivel adecvat de securitate;

(c)

în ceea ce privește tehnologia:

(i)	stocarea tuturor datelor electronice în aplicații informatice conforme standardelor de securitate ale BCE și protejarea astfel a acestora împotriva accesului sau modificărilor neautorizate;

(ii)	implementarea, operarea și întreținerea aplicațiilor informatice la un nivel de securitate proporțional cu cerințele de confidențialitate, integritate și disponibilitate ale aplicațiilor informatice, pe baza unor analize ale impactului asupra activității;

(iii)

validarea periodică a nivelului de securitate al aplicațiilor informatice prin evaluări de securitate tehnice și non-tehnice;

(iv)	acordarea accesului la informațiile BCE care nu au caracter public în conformitate cu principiul necesității de a cunoaște, accesul privilegiat fiind strict limitat și atent controlat;

(v)	punerea în aplicare a unor controale pentru detectarea și monitorizarea încălcărilor efective și potențiale ale securității.