GEMENSAMMA RESOLUTIONSNÄMNDENS BESLUT

av den 18 september 2019

om interna regler angående begränsningar av vissa rättigheter som registrerade har med avseende på behandling av personuppgifter inom ramen för informella förfaranden rörande SRB:s policy om skydd av enskildas värdighet och förebyggande av psykologiska och sexuella trakasserier (SRB/ES/2019/33)

GEMENSAMMA RESOLUTIONSNÄMNDEN HAR FATTAT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) nr 806/2014 av den 15 juli 2014 om fastställande av enhetliga regler och ett enhetligt förfarande för resolution av kreditinstitut och vissa värdepappersföretag inom ramen för en gemensam resolutionsmekanism och en gemensam resolutionsfond och om ändring av förordning (EU) nr 1093/2010 (1), särskilt artiklarna 42, 43.5, 50.3, 56.1–56.3, 61, 63 och 64,

med beaktande av Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (2),

med beaktande av samrådet med Europeiska datatillsynsmannen, och

av följande skäl:

(1)

Gemensamma resolutionsnämnden (SRB) fullgör de uppgifter som tillkommer en resolutionsmyndighet som en del av den gemensamma resolutionsmekanismen i enlighet med Europaparlamentets och rådets förordning (EU) nr 806/2014. SRB:s uppdrag är att säkerställa att resolutionsbeslut om fallerande banker tas på ett ordnat sätt och med minimal påverkan på realekonomin, finanssystemet och de offentliga finanserna i de deltagande medlemsstaterna och övriga länder.

(2)

I artikel 12a i tjänsteföreskrifterna fördöms psykologiska och sexuella trakasserier. I SRB:s policy om skydd av enskildas värdighet och förebyggande av psykologiska och sexuella trakasserier avgränsas bestämmelserna i den ovannämnda artikeln närmare genom att främja en kultur som präglas av respekt och skydd av värdigheten för SRB:s samtliga anställda. Denna policy omfattar även enkla och verkningsfulla förfaranden för att skydda värdigheten hos varje enskild person som arbetar för SRB. Inom ramen för policyn får en anställd eller andra personer som arbetar för SRB inom ramen för nationell lagstiftning inleda ett informellt förfarande om de känner sig utsatta för sexuella eller psykologiska trakasserier, genom att begära stöd av en konfidentiell rådgivare.

(3)

Den SRB-enhet som ansvarar för personalförvaltningen ska meddela den SRB-enhet som ansvarar för regelefterlevnad om alla återkommande ärenden rörande samma person i enlighet med artikel 7.5 i SRB:s policy om skydd av enskildas värdighet och förebyggande av psykologiska och sexuella trakasserier. Den enhet som ansvarar för regelefterlevnad ska meddela tillsättningsmyndigheten, som i tillämpliga fall ska inleda det förfarande som föreskrivs i bilaga IX till tjänsteföreskrifterna.

(4)

SRB, som här företräds av sin samordnare mot trakasserier, behandlar flera olika kategorier personuppgifter, i synnerhet identifieringsdata, kontaktuppgifter och yrkesuppgifter. Personuppgifterna lagras i en säker elektronisk miljö som förhindrar olaglig åtkomst eller överföring av uppgifter till personer som inte har behov av att ta del av dem. De bearbetade personuppgifterna bevaras i enlighet med SRB:s regler om lagring av handlingar. I slutet av lagringsperioden överförs informationen rörande ärendet inklusive personuppgifterna till de historiska arkiven eller raderas i enlighet med principen om uppgiftsminimering och datanoggrannhet.

(5)	De interna reglerna bör gälla för all uppgiftsbehandling som utförs av SRB under dess verksamhet för förebyggande av psykologiska eller sexuella trakasserier samt för avslöjande och lagföring av överträdelser av bland annat mot SRB:s etiska riktlinjer och tjänsteföreskrifterna.

(6)

De interna reglerna bör gälla för uppgiftsbehandling som utförs under informella förfaranden, såväl som under övervakningen av uppföljningen av resultaten av dessa förfaranden. De interna reglerna bör gälla för uppgiftsbehandling som utgör en del av den verksamhet som är kopplad till SRB:s etik- och regelefterlevnadsansvarigs funktioner. Även bistånd och samarbete som SRB:s etik- och regelefterlevnadsansvarig tillhandahåller nationella myndigheter och internationella organisationer vid sidan av sina administrativa utredningar bör omfattas.

(7)	SRB måste lämna motiveringar som förklarar varför begränsningarna är absolut nödvändiga och proportionerliga i ett demokratiskt samhälle och förenliga med andemeningen i de grundläggande rättigheterna och friheterna.

(8)	Inom denna ram måste SRB under ovanstående förfaranden i största möjliga mån respektera de registrerades grundläggande rättigheter, i synnerhet de som rör rätten till tillgång och rättelse, rätten till radering, rätten till dataportabilitet osv. i enlighet med förordning (EU) 2018/1725.

(9)	SRB kan dock tvingas skjuta upp den registrerades tillgång till information samt andra rättigheter som tillkommer den registrerade för att skydda i synnerhet pågående informella förfaranden, och andra personers rättigheter avseende pågående eller avslutande informella förfaranden.

(10)	SRB kan således skjuta upp tillhandahållandet av informationen i syfte att skydda det påstådda offret och/eller det informella förfarandet och/eller databasen över processer för uppgiftshantering inom ramen för det informella förfarandet.

(11)	SRB bör upphöra med begränsningen så snart och i den mån de villkor som motiverar den inte längre uppfylls.

(12)	SRB bör regelbundet granska begränsningsvillkoren var sjätte månad och vid behov ändra dem.

(13)	SRB bör samråda med uppgiftsskyddsombudet under ändringsförfarandet.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Syfte och tillämpningsområde

1. I detta beslut fastställs interna regler rörande de omständigheter under vilka SRB inom ramen för informella förfaranden rörande SRB:s policy för skydd av enskildas värdighet och förebyggande av psykologiska och sexuella trakasserier får begränsa tillämpningen av de rättigheter som fastställs i artiklarna 14–21 och 35 samt i artikel 4, i överensstämmelse med artikel 25 i förordning (EU) 2018/1725.

2. Detta beslut gäller SRB:s behandling av personuppgifter i syfte att inleda, utföra och avsluta informella förfaranden inom ramen för SRB:s policy för skydd av enskildas värdighet och förebyggande av psykologiska och sexuella trakasserier. För SRB:s behandling av personuppgifter i syfte att utföra interna utredningar, administrativa utredningar och disciplinära förfaranden gäller ett annat beslut rörande begränsning av rättigheter (för referens: SRB/ES/2019/32).

3. De berörda uppgiftskategorierna är objektiva uppgifter (administrativa uppgifter, telefonnummer, privat adress, elektronisk kommunikation och trafikuppgifter) och/eller mjuka uppgifter (bedömningsrapporter, inledande av utredningar, rapporter om preliminära undersökningar) osv.

4. Med förbehåll för de villkor som fastställs i detta beslut kan begränsningarna gälla för följande rättigheter: åtkomst-, rättelse-, raderings- och portabilitetsrättigheter, rätt till information, rätt till konfidentiell behandling av kommunikation och principer för uppgiftsbehandlingen under förutsättning att de avser en rättighet.

Artikel 2

Specificering av den personuppgiftsansvarige och skyddsåtgärder

1. Följande skyddsåtgärder ska tillämpas för att undvika uppgiftsincidenter, dataläckor och obehörigt utlämnande: begränsning av åtkomsträttigheter till elektroniska mappar och till funktionsbrevlådan för inlämning av klagomål, skåp som kan låsas med nycklar, och särskild utbildning om konfidentialitet för de personer som hanterar informationen.

2. Personuppgiftsansvarig för denna uppgiftsbehandling är SRB, som här företräds av SRB:s samordnare mot trakasserier.

3. De insamlade personuppgifterna lagras och bevaras i enlighet med SRB:s regler om lagring av handlingar. Lagringsperioden är förenlig med principen om att uppgifter inte ska bevaras längre än nödvändigt för att fullgöra syftet med behandlingen, och i slutänden, för att möjliggöra rättsliga och administrativa tvister.

Artikel 3

Begränsningar

1. I enlighet med artikel 25.1 i förordning (EU) 2018/1725 ska en begränsning endast tillämpas för att säkerställa

—	förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten,

—	skydd av den registrerade eller av andras rättigheter och friheter,

—	förebyggande, förhindrande, utredning, avslöjande och lösning av överträdelser av etiska regler.

2. Begränsningar ska vara nödvändiga och proportionerliga i ett demokratiskt samhälle och förenliga med andemeningen i de grundläggande rättigheterna och friheterna.

3. Ett behovs- och proportionalitetstest ska genomföras på grundval av gällande interna regler. Detta ska dokumenteras genom en intern bedömningsnotering, i redovisningssyfte, och genomföras i varje enskilt fall.

4. Begränsningar ska övervakas i vederbörlig ordning, och en regelbunden översyn ska göras var sjätte månad.

5. Begränsningarna ska upphävas så snart som de omständigheter som motiverat dem inte längre gäller.

6. Risken för den registrerades rättigheter och friheter är en tillfällig begränsning av det faktiska utövandet av registrerades rättigheter, bland annat till information, radering eller försvar, i enlighet med vad som garanteras i förordning (EU) 2018/1725. Dessa risker ska tas med i beräkningen inom ramen för det behovs- och proportionalitetstest som avses i punkt 3 i denna artikel.

Artikel 4

Uppgiftsskyddsombudets roll

1. SRB ska, genom hela begränsningsförfarandet och utan onödigt dröjsmål, informera SRB:s uppgiftsskyddsombud närhelst tillämpningen av registrerades rättigheter begränsas i enlighet med detta beslut. SRB ska ge tillgång till uppgifterna om och bedömningen av begränsningens nödvändighet och proportionalitet.

2. Uppgiftsskyddsombudet kan skriftligen begära att den personuppgiftsansvarige omprövar tillämpningen av begränsningarna. SRB ska skriftligen informera uppgiftsskyddsombudet om resultatet av den begärda omprövningen och när begränsningen har upphävts.

Artikel 5

Tillhandahållande av information till registrerade

1. SRB ska, i de dataskyddsmeddelanden som offentliggörs på dess intranät och som informerar de registrerade om deras rättigheter i olika förfaranden, informera de registrerade om att dessa rättigheter kan komma att begränsas. Informationen ska omfatta vilka rättigheter som kan komma att begränsas, skälen till detta och möjlig varaktighet.

2. Dessutom ska SRB informera enskilda registrerade om deras rättigheter när det gäller nuvarande eller framtida begränsningar, utan onödigt dröjsmål och skriftligen, utan att det påverkar följande punkt.

3. De registrerade ska informeras om de huvudsakliga skälen till begränsningen och om deras rätt att inge klagomål till Europeiska datatillsynsmannen.

Artikel 6

Registrerades rätt till tillgång

1. Om registrerade, i överensstämmelse med artikel 17 i förordning (EU) 2018/1725, begär tillgång till egna personuppgifter som behandlats i samband med ett eller flera specifika ärenden eller till en specifik uppgiftsbehandling, ska SRB begränsa sin bedömning av denna begäran till att endast avse dessa personuppgifter.

2. Om SRB helt eller delvis begränsar den rätt till tillgång som avses i artikel 17 i förordning (EU) 2018/1725, ska följande åtgärder vidtas:

a)	SRB ska i sitt svar på den berörda registrerades begäran lämna information om den begränsning som tillämpas och om de huvudsakliga skälen till denna, samt om möjligheten att inge klagomål till Europeiska datatillsynsmannen eller att begära rättslig prövning vid Europeiska unionens domstol.

SRB ska dokumentera skälen till begränsningen samt göra en bedömning av begränsningens nödvändighet och proportionalitet. I detta syfte ska det i dokumentationen anges hur tillgången äventyrar syftet med SRB:s utredning eller med de begränsningar som tillämpas i enlighet med artikel 2.3, eller hur tillgången negativt påverkar andra registrerades rättigheter och friheter.

Tillhandahållandet av information som avses i led a får skjutas upp, utelämnas eller nekas i enlighet med artikel 25.8 i förordning (EU) 2018/1725.

3. Den dokumentation som avses i led b i punkt 2 och, i tillämpliga fall, de handlingar som innehåller de bakomliggande faktiska och rättsliga omständigheterna, ska registreras. De ska på begäran ställas till Europeiska datatillsynsmannens förfogande. Artikel 25.7 i förordning (EU) 2018/1725 ska tillämpas.

Artikel 7

Rätt till rättelse, radering och begränsning av behandling

Om SRB helt eller delvis begränsar tillämpningen av den rätt till rättelse, radering eller begränsning av behandling som avses i artiklarna 18, 19.1 och 20.1 i förordning (EU) 2018/1725, ska de åtgärder som anges i artikel 6.2 i detta beslut vidtas och dokumentationen registreras i enlighet med artikel 6.3.

Artikel 8

Ikraftträdande

Detta beslut träder i kraft dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Utfärdat i Bryssel den 18 september 2019.

För Gemensamma resolutionsnämnden

Elke KÖNIG

Ordförande

(1) EUT L 225, 30.7.2014, s. 1.

(2) EUT L 295, 21.11.2018, s. 39.