(1)

Europeiska centralbanken (ECB) utför sina uppgifter i enlighet med fördragen.

(2)

I enlighet med artikel 45.3 i förordning (EU) 2018/1725 fastställer Europeiska centralbankens beslut (EU) 2020/655 (ECB/2020/28) (2) de allmänna bestämmelserna som genomför förordning (EU) 2018/1725 vad gäller ECB. I synnerhet anges reglerna för utnämning av ECB:s dataskyddsombud (DPO) och dennes uppdrag, inbegripet arbetsuppgifter, åligganden och befogenheter.

(3)

Vid utövandet av de uppgifter som ECB tilldelats fungerar ECB, och särskilt den berörda organisatoriska enheten, som personuppgiftsansvarig när den, ensam eller tillsammans med andra, fastställer ändamålen och medlen för att behandla personuppgifter.

(4)

I samband med ECB:s interna verksamhet har olika affärsområden inom ECB (bland annat generaldirektoratet för personalfrågor (GD/HR), byrån för efterlevnad och organisationsstyrning (CGO), direktoratet för internrevision (D/IA) och generaldirektoratet för rättsfrågor (GD/L)) anförtrotts uppgifter inom den rättsliga ramen som reglerar anställningsfrågor vid ECB och som omfattar behandling av personuppgifter. Sådana uppgifter kan t.ex. omfatta åtgärder som vidtas i samband med eventuella överträdelser av tjänsterelaterade skyldigheter (inbegripet utredningar av olämpligt beteende i enlighet med ECB:s ramverk för värdighet på arbetsplatsen och uppföljning av rapporteringen av olaglig verksamhet eller varje överträdelse av tjänsterelaterade skyldigheter oavsett kanal, bland annat genom ECB:s verktyg för visselblåsning), uppgifter som rör urvalsförfaranden, uppgifter som GD/HR utför inom ramen för sitt uppdrag vad gäller resultatstyrning, befordran, direktutnämning av ECB-personal, kompetensutveckling, inbegripet talanggenomgångar inom och mellan affärsområden, lönehöjningar och bonusar samt beslut om rörlighet och semester, prövning av interna överklaganden från ECB:s personal (bland annat genom ett administrativt omprövningsförfarande, klagomålsförfaranden, särskilda former av överklaganden eller genom medicinska kommittéer) och uppföljning av dessa, CGO:s rådgivande uppgifter i enlighet med ECB:s etiska ramverk (som anges i del 0 i ECB:s personalföreskrifter), CGO:s uppgifter i samband med efterlevnadskontroll av privat finansiell verksamhet (inbegripet samarbete med en extern tjänsteleverantör som har utsetts i enlighet med artikel 0.4.3.3 i ECB:s personalföreskrifter) och de revisioner som utförs av D/IA samt de uppgifter som utförs i samband med det administrativa cirkuläret 01/2006 om interna administrativa utredningar (3) när direktoratet genomför utredningsverksamhet och administrativa utredningar i situationer som skulle kunna få en disciplinär dimension för ECB-personal (inbegripet uppgifter för de personer som utför utredningen eller som ingår i utredningsgruppen om dessa ska samla in underlag och fastställa relevanta omständigheter).

(5)

Enligt Europeiska centralbankens beslut (EU) 2016/456 (ECB/2016/3) (4) ska ECB till Europeiska byrån för bedrägeribekämpning, antingen på byråns begäran eller på eget initiativ, överföra uppgifter som ECB innehar och som tyder på förekomst av eventuella fall av bedrägeri, korruption eller annan olaglig verksamhet som riktar sig mot unionens ekonomiska intressen. Enligt beslut (EU) 2016/456 (ECB/2016/3) ska de berörda parterna i så fall snabbt informeras, förutsatt att detta inte skadar utredningen och att det inte under några omständigheter får dras slutsatser om en namngiven berörd part utan att den berörda personen getts möjlighet att yttra sig över alla uppgifter som rör denne, inbegripet bevis som finns mot vederbörande.

(6)

Enligt artikel 4 b i beslut (EU) 2020/655 (ECB/2020/28) måste dataskyddsombudet utreda frågor och incidenter som rör uppgiftsskydd, antingen på eget initiativ eller på begäran av ECB.

(7)

Avdelningen för skydd och säkerhet inom direktoratet för administration ansvarar för att göra utredningar i syfte att säkerställa det fysiska skyddet vid ECB för personer, lokaler och egendom, samt för att samla in hotunderrättelser och analysera säkerhetsincidenter.

(8)

ECB har en skyldighet att samarbeta lojalt med nationella myndigheter, inbegripet nationella straffrättsliga myndigheter. Framför allt gäller enligt Europeiska centralbankens beslut (EU) 2016/1162 (ECB/2016/19) (5) i så fall att om det inkommer en förfrågan från en nationell brottsutredande myndighet och informationen rör de uppgifter som ECB tilldelats genom rådets förordning (EU) nr 1024/2013 eller (6) andra uppgifter som rör ECBS/Eurosystemet, får ECB, under vissa förutsättningar, lämna ut förtrolig information som den innehar till en nationell behörig myndighet eller nationell centralbank för överlämnande till den nationella brottsutredande myndigheten i fråga.

(9)

Enligt rådets förordning (EU) 2017/1939 (7)ska ECB utan dröjsmål förse Europeiska åklagarmyndigheten (Eppo) med all information om misstänkta brott som omfattas av dess behörighet.

(10)

ECB ska samarbeta med de EU-organ som utövar en tillsyns-, övervaknings- eller revisionsfunktion över ECB, såsom Europeiska datatillsynsmannen, Europeiska revisionsrätten och Europeiska ombudsmannen, när de utför sina respektive uppgifter. ECB får i detta sammanhang behandla personuppgifter för att kunna besvara förfrågningar, samråda med och lämna ut information till sådana organ.

(11)

Enligt ECB:s interna ram för tvistlösning får ECB:s personal när och hur som helst kontakta en medlare för att begära medlarstöd med att lösa eller förhindra en arbetsrelaterad tvist. Enligt denna ram ska all kommunikation med medlaren skyddas av sekretess. Allt som nämns under medlingsförfarandet betraktas som konfidentiellt och varje part som deltar i medlingen får enbart använda denna information för medlingsförfarandet, utan att det påverkar eventuella rättsliga förfaranden. Medlaren får i undantagsfall lämna ut information när det framstår som nödvändigt för att förhindra en överhängande risk för allvarlig skada på en persons fysiska eller psykiska integritet.

(12)

ECB strävar efter att säkerställa arbetsvillkor som skyddar personalens hälsa och säkerhet och respekterar deras värdighet på arbetsplatsen genom att tillhandahålla rådgivningstjänster som stöd. ECB:s personal kan vända sig till en rådgivare i sociala frågor vad ärendet än gäller, inbegripet känslomässiga, personliga och arbetsrelaterade frågor. Rådgivaren i sociala frågor får inte ha tillgång till ECB-personalens personalakter, om de inte har gett sitt uttryckliga medgivande. Information som har lämnats eller uttalanden som har gjorts av en enskild person till rådgivaren i sociala frågor får inte offentliggöras, såvida inte denna person uttryckligen har gett sitt medgivande eller om detta krävs enligt lag.

(13)

I samband med sin interna verksamhet behandlar ECB olika kategorier av uppgifter som kan ha samband med en identifierad eller identifierbar fysisk person. Icke uttömmande förteckningar över de kategorier av personuppgifter som behandlas av ECB inom ramen för dess interna verksamhet återfinns i bilagorna till detta beslut. Personuppgifter kan också ingå i en bedömning, exempelvis det ansvariga affärsområdets bedömning av den fråga som undersöks – inbegripet t.ex. en bedömning av GD/HR, GD/L, D/IA eller av en disciplinkommitté eller undersökningskommitté om överträdelser av tjänsterelaterade skyldigheter.

(14)

Inom ramen för skäl 4–13 är det lämpligt att närmare ange på vilka grunder ECB får begränsa de registrerades rättigheter.

(15)

När ECB utför sina uppgifter är målsättningen att uppnå unionens viktiga mål av generellt allmänt intresse. Av denna orsak bör utförandet av sådana uppgifter säkerställas enligt vad som diskuteras i förordning (EU) 2018/1725, särskilt artikel 25.1 b, c, d, f, g och h.

(16)

I enlighet med artikel 25.1 i förordning (EU) 2018/1725 bör begränsningar av tillämpningen av artiklarna 14–22, 35 och 36 och, i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som föreskrivs i artiklarna 14–22, artikel 4 i den förordningen fastställas i interna regler eller rättsakter som antas med stöd av fördragen. ECB bör därför fastställa de regler enligt vilka den får begränsa de registrerades rättigheter när den utför sina uppgifter.

(17)

ECB bör motivera varför sådana begränsningar av de registrerades rättigheter är absolut nödvändiga och proportionella i ett demokratiskt samhälle för att skydda de mål som eftersträvas vid utövandet av dess offentliga makt och de funktioner som är knutna till denna, samt hur ECB respekterar de grundläggande rättigheterna och friheterna samtidigt som sådana begränsningar införs.

(18)

Inom denna ram är ECB skyldig att i största möjliga utsträckning respektera de registrerades grundläggande rättigheter, särskilt de som rör rätten till information, tillgång och rättelse, rätten till radering, begränsning av behandling, rätten till information till den registrerade om en personuppgiftsincident eller konfidentialitet för information i enlighet med förordning (EU) 2018/1725.

(19)

ECB kan dock vara skyldig att begränsa den information som lämnas till registrerade och andra registrerades rättigheter för att skydda utförandet av sina uppgifter, särskilt sina egna utredningar och förfaranden, andra myndigheters utredningar och förfaranden samt andra personers grundläggande rättigheter och friheter i samband med ECB:s utredningar eller andra förfaranden.

(20)

ECB bör häva en begränsning som redan har tillämpats i den utsträckning som den inte längre behövs.

(21)

Dataskyddsombudet bör granska tillämpningen av begränsningar för att säkerställa att detta beslut och förordning (EU) 2018/1725 följs.

(22)

I detta beslut fastställs regler för ECB:s begränsning av de registrerades rättigheter när ECB behandlar personuppgifter i samband med sin interna verksamhet, men direktionen har antagit ett separat beslut om interna regler om begränsningar av rättigheter när ECB utför sina tillsynsuppgifter.

(23)

ECB kan eventuellt tillämpa ett undantag i enlighet med förordning (EU) 2018/1725 vilket gör en begränsning onödig, särskilt de som anges i artiklarna 15.4, 16.5, 19.3 och 35.3 i den förordningen.

(24)

Undantag från de registrerades rättigheter enligt artiklarna 17, 18, 20, 21, 22 och 23 i förordning (EU) 2018/1725 vad gäller arkivändamål av allmänt intresse får föreskrivas i interna regler eller rättsakter som ECB antar på grundval av fördragen med avseende på dess arkivering, med förbehåll för de villkor och skyddsåtgärder som krävs i enlighet med artikel 25.4 i förordning (EU) 2018/1725.

(25)

Europeiska datatillsynsmannen har hörts i enlighet med artikel 41.2 i förordning (EU) 2018/1725 och avgav ett yttrande den 12 mars 2021.

(26)

ECB:s personalkommitté har hörts.

1.

behandling: behandling såsom detta definieras i artikel 3.3 i förordning (EU) 2018/1725.

2.

personuppgifter: personuppgifter såsom dessa definieras i artikel 3.1 i förordning (EU) 2018/1725.

3.

den registrerade: en identifierad eller identifierbar fysisk person, varvid en identifierbar person är en person som direkt eller indirekt kan identifieras, särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikator eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

4.

centralt register: den offentligt tillgängliga lagringsplatsen för all behandling av personuppgifter vid ECB, som förs av dataskyddsombudet och som avses i artikel 9 i beslut (EU) 2020/655 (ECB/2020/28).

5.

personuppgiftsansvarig: ECB, och särskilt den behöriga organisatoriska enhet inom ECB som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter och ansvarar för behandlingen.

6.

unionsinstitutioner och unionsorgan: unionsinstitutioner och unionsorgan enligt definitionen i artikel 3.10 i förordning (EU) 2018/1725.

a)

Den personuppgiftsansvarige ska ange vilka rättigheter som får begränsas, skälen till en begränsning och hur lång begränsningen kan vara.

b)

Den personuppgiftsansvarige ska inkludera den information som avses i led a i sina meddelanden om uppgiftsskydd, integritetsmeddelanden och register över behandlingar som utförts i enlighet med artikel 31 i förordning (EU) 2018/1725.