(1)

Europeiska centralbanken (ECB) utför sina uppgifter i enlighet med fördragen och rådets förordning (EU) nr 1024/2013 (2).

(2)

I enlighet med artikel 45.3 i Europaparlamentets och rådets förordning (EU) 2018/1725 fastställer Europeiska centralbankens beslut (EU) 2020/655 (ECB/2020/28) (3) de allmänna bestämmelserna som genomför förordning (EU) 2018/1725 vad gäller ECB. I synnerhet anges reglerna för utnämning av och rollen för dataskyddsombud (DPO) hos ECB, inbegripet dataskyddsombudets arbetsuppgifter, åligganden och befogenheter.

(3)

Vid utövandet av de uppgifter som ECB tilldelats fungerar ECB, och särskilt den berörda organisatoriska enheten, som personuppgiftsansvarig när den, ensam eller tillsammans med andra, fastställer ändamålen och medlen för att behandla personuppgifter.

(4)

Enligt artikel 4.1 i förordning (EU) nr 1024/2013 har ECB exklusiv befogenhet att för tillsynsändamål, i syfte att säkerställa kreditinstitutens säkerhet och sundhet och det finansiella systemets stabilitet, utföra specifika uppgifter i förhållande till alla kreditinstitut som är etablerade i de medlemsstater som deltar i den gemensamma tillsynsmekanismen (SSM).

(5)

När ECB utför dessa specifika uppgifter behandlar den flera olika informationskategorier som kan hänföra sig till en identifierad eller identifierbar fysisk person som t.ex. identifieringsuppgifter, kontaktuppgifter, yrkesrelaterade, ekonomiska eller administrativa uppgifter, uppgifter från specifika källor, uppgifter om elektronisk kommunikation samt elektroniska trafikuppgifter, uppgifter ur kriminalregister, översikt över ekonomiska och icke-ekonomiska intressen, information om en persons eller dennes nära anhörigas relationer till enheter som står under tillsyn eller till ledamöter i ett ledningsorgan för enheter som står under tillsyn samt uppgifter om de tjänster som en person har utnämnts eller kan komma att utnämnas till. Personuppgifter kan också ingå som en del i en bedömning som görs i samband med auktorisationen av ett kreditinstitut, återkallandet av ett kreditinstituts auktorisation och förfaranden för kvalificerade innehav, etableringsrätten för en betydande enhet som står under tillsyn, bedömningen av huruvida lämplighetskrav uppfylls, de ersättningspolicyer som en betydande enhet som står under tillsyn tillämpar, krediter som en sådan enhet beviljar personer i ledande ställning inom företaget eller personer som har en anknytning till sådana personer, samt i samband med anklagelser om eventuella brott mot de rättsakter som avses i artikel 4.3 i förordning (EU) nr 1024/2013.

(6)

När ECB utför dessa specifika uppgifter är målsättningen att uppnå unionens viktiga mål av generellt allmänt intresse. Av denna orsak bör utförandet av sådana uppgifter säkerställas enligt vad som diskuteras i förordning (EU) 2018/1725, särskilt artikel 25.1 c och g. När ECB utför sådana uppgifter arbetar den för unionens viktiga mål av generellt allmänt intresse, i egenskap av en myndighet som för tillsynsändamål ansvarar för att utföra specifika uppgifter i förhållande till alla kreditinstitut som är etablerade i de medlemsstater som deltar i SSM. Sådana uppgifter omfattar en tillsyns-, inspektions- eller regleringsfunktion som har ett samband med myndighetsutövning vid tillsynen över kreditinstitut.

(7)

I detta sammanhang är det lämpligt att ange de grunder på vilka ECB får begränsa de registrerades rättigheter avseende uppgifter som erhållits när ECB utför sina tillsynsuppgifter enligt förordning (EU) nr 1024/2013.

(8)

I enlighet med artikel 25.1 i förordning (EU) 2018/1725 bör begränsningar av tillämpningen av artiklarna 14–22, 35 och 36 och, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–22, artikel 4 i den förordningen fastställas i interna regler eller rättsakter som antas med stöd av fördragen. ECB bör därför fastställa de regler enligt vilka den får begränsa de registrerades rättigheter när den utför sina tillsynsuppgifter.

(9)

I detta beslut fastställs regler för ECB:s begränsning av de registrerades rättigheter när den utför sina tillsynsuppgifter, men direktionen avser att anta ett separat beslut om interna regler om begränsningar av dessa rättigheter när ECB behandlar personuppgifter inom ramen för sin interna verksamhet.

(10)

ECB kan eventuellt tillämpa ett undantag i enlighet med förordning (EU) 2018/1725 vilket gör en begränsning onödig, särskilt de som anges i artiklarna 15.4, 16.5, 19.3 och 35.3 i den förordningen. För behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål kan ECB eventuellt tillämpa ett undantag som anges i artikel 16.5 b eller artikel 19.3 d i förordning (EU) 2018/1725.

(11)

Utövandet av de registrerades rättigheter enligt artiklarna 17, 18, 20, 21, 22 och 23 i förordning (EU) 2018/1725 kan göra det omöjligt eller allvarligt försvåra möjligheten att uppnå vissa mål, däribland arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Därför bör det här beslutet föreskriva ett undantag från dessa rättigheter i enlighet med artikel 25.3 eller 25.4 i förordning (EU) 2018/1725, med förbehåll för lämpliga skyddsåtgärder.

(12)

ECB bör motivera varför sådana begränsningar av de registrerades rättigheter är absolut nödvändiga och proportionella i ett demokratiskt samhälle för att skydda de mål som eftersträvas vid utövandet av dess offentliga makt och de funktioner som är knutna till denna, samt hur ECB respekterar de grundläggande rättigheterna och friheterna samtidigt som sådana begränsningar införs.

(13)

Inom denna ram är ECB skyldig att i största möjliga utsträckning respektera de registrerades grundläggande rättigheter, särskilt de som rör rätten till information, tillgång och rättelse, rätt till radering, begränsning av behandling, underrättelse om en personuppgiftsincident till den registrerade eller konfidentialitet för kommunikation enligt förordning (EU) 2018/1725.

(14)

ECB kan dock vara skyldig att begränsa den information som lämnas till registrerade och registrerades rättigheter för att skydda utförandet av sina tillsynsuppgifter, särskilt sina egna utredningar och förfaranden, andra myndigheters utredningar och förfaranden samt andra personers grundläggande rättigheter och friheter i samband med ECB:s utredningar eller andra förfaranden.

(15)

ECB bör häva en begränsning som redan har tillämpats i den utsträckning som den inte längre behövs.

(16)

ECB:s dataskyddsombud bör granska tillämpningen av begränsningar för att säkerställa att detta beslut och förordning (EU) 2018/1725 följs.

(17)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 41.2 i förordning (EU) nr 2018/1725 och avgav ett yttrande den 12 mars 2021.

1.

behandling: behandling såsom detta definieras i artikel 3.3 i förordning (EU) 2018/1725.

2.

personuppgifter: personuppgifter såsom dessa definieras i artikel 3.1 i förordning (EU) 2018/1725.

3.

den registrerade: en identifierad eller identifierbar fysisk person, varvid en identifierbar person är en person som direkt eller indirekt kan identifieras, särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

4.

centralt register: den offentligt tillgängliga lagringsplats för all behandling av personuppgifter som utförs vid ECB, som förs av ECB:s dataskyddsombud och som avses i artikel 9 i beslut (EU) 2020/655 (ECB/2020/28).

5.

personuppgiftsansvarig: ECB, och särskilt den behöriga organisatoriska enhet inom ECB som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter och ansvarar för behandlingen.

6.

unionsinstitutioner och unionsorgan: unionsinstitutioner och unionsorgan enligt definitionen i artikel 3.10 i förordning (EU) 2018/1725.

a)

Den personuppgiftsansvarige ska ange vilka rättigheter som får begränsas, skälen till en begränsning och hur lång begränsningen kan vara.

b)

Den personuppgiftsansvarige ska inkludera den information som avses i led a i sina meddelanden om uppgiftsskydd, integritetsmeddelanden och register över behandlingar som utförts i enlighet med artikel 31 i förordning (EU) 2018/1725.