Decyzja Europejskiego Urzędu Nadzoru Bankowego z dnia 23 kwietnia 2021 r. ustanawiająca przepisy wewnętrzne dotyczące ograniczeń niektórych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach funkcjonowania Europejskiego Urzędu Nadzoru Bankowego.

DECYZJA EUROPEJSKIEGO URZĘDU NADZORU BANKOWEGO

z dnia 23 kwietnia 2021 r.

ustanawiająca przepisy wewnętrzne dotyczące ograniczeń niektórych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach funkcjonowania Europejskiego Urzędu Nadzoru Bankowego

(2021/C 196/06)

ZARZĄD

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE ¹ , w szczególności jego art. 25,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1093/2010 z dnia 24 listopada 2010 r. w sprawie ustanowienia Europejskiego Urzędu Nadzoru (Europejskiego Urzędu Nadzoru Bankowego), zmiany decyzji nr 716/2009/WE oraz uchylenia decyzji Komisji 2009/78/WE ² , w szczególności jego art. 47 ust. 1 i art. 71,

a także mając na uwadze, że:

(1) Europejski Urząd Nadzoru Bankowego ("EUNB") prowadzi działalność zgodnie z rozporządzeniem (UE) nr 1093/2010 z późniejszymi zmianami oraz z uwzględnieniem uchyleń lub nowych przepisów wprowadzanych w miejsce dotychczas obowiązujących;

(2) zgodnie z art. 25 ust. 1 rozporządzenia (UE) 2018/1725 ograniczenia w stosowaniu art. 14-22, 35 i 36 oraz art. 4 tego rozporządzenia w zakresie, w jakim jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 14-22, powinny opierać się na przepisach wewnętrznych przyjmowanych przez EUNB, jeżeli nie opierają się one na aktach prawnych przyjętych na podstawie Traktatów;

(3) wykonując swoje obowiązki w odniesieniu do praw osób, których dane dotyczą, na mocy rozporządzenia (UE) 2018/1725, EUNB rozważa, czy zastosowanie ma którykolwiek z wyjątków określonych w tym rozporządzeniu;

(4) EUNB przetwarza kilka kategorii danych osobowych, w tym dane "obiektywne" (takie jak dane identyfikacyjne, dane kontaktowe, dane zawodowe, informacje administracyjne, dane otrzymane z określonych źródeł, dane pochodzące z łączności elektronicznej i dane o ruchu) lub dane "subiektywne" (związane ze sprawą, takie jak uzasadnienie, dane behawioralne i dotyczące zachowań oraz dane dotyczące przedmiotu procedury lub działania lub przekazane w związku z nim);

(5) EUNB, reprezentowany przez dyrektora wykonawczego, działa jako administrator danych niezależnie od dalszego delegowania roli administratora w EUNB w celu odzwierciedlenia obowiązków operacyjnych w odniesieniu do konkretnych operacji przetwarzania danych osobowych;

(6) dane osobowe są bezpiecznie przechowywane w środowisku elektronicznym lub w wersji papierowej w sposób uniemożliwiający bezprawny dostęp lub przekazanie danych osobom, które nie muszą mieć do nich dostępu. Przetwarzane dane osobowe są przechowywane przez okres nie dłuższy niż to konieczne i właściwe dla celów, dla których są przetwarzane, wskazany w rejestrach dotyczących ochrony danych i oświadczeniach o ochronie prywatności EUNB;

(7) w ramach wykonywania swoich zadań EUNB jest zobowiązany do przestrzegania, w najszerszym możliwym zakresie, praw podstawowych osób, których dane dotyczą, w szczególności związanych z prawem do udzielania informacji, dostępu i sprostowania danych, prawem do usunięcia danych, ograniczenia przetwarzania, prawem do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych lub do poufności komunikacji, ustanowionych w rozporządzeniu (UE) 2018/1725;

(8) EUNB może być jednak zobowiązany do ograniczenia informacji udzielanych osobom, których dane dotyczą, lub innych praw osób, których dane dotyczą, w szczególności w celu ochrony poufności i skuteczności własnych postępowań przygotowawczych, postępowań przygotowawczych i postępowań prowadzonych przez inne organy publiczne, jak również praw innych osób związanych z prowadzonymi przez niego postępowaniami przygotowawczymi lub innymi procedurami;

(9) w ramach swojego funkcjonowania administracyjnego EUNB może prowadzić szereg postępowań przygotowawczych, takich jak administracyjne postępowania wyjaśniające, postępowania dyscyplinarne, wstępne działania związane z nadużyciami finansowymi, postępowania przygotowawcze będące wynikiem wewnętrznego sygnalizowania nieprawidłowości lub mające na celu zbadanie przypadków nękania, audyty wewnętrzne, postępowania przygotowawcze prowadzone przez inspektora ochrony danych (IOD) lub postępowania przygotowawcze w sprawie etyki, postępowania przygotowawcze ICT, postępowania przygotowawcze dotyczące bezpieczeństwa informacji oraz działania prowadzone w kontekście zarządzania ryzykiem dla bezpieczeństwa i zdarzeniami zagrażającymi bezpieczeństwu. Ponadto na potrzeby wykonywania swoich zadań EUNB może prowadzić postępowania przygotowawcze dotyczące potencjalnych naruszeń prawa Unii, rozstrzygania sporów między właściwymi organami lub mediacji prowadzonej między właściwymi organami, a także postępowania przygotowawcze związane z zapobieganiem praniu pieniędzy i finansowaniu terroryzmu oraz zwalczaniem tych zjawisk, postępowania wyjaśniające związane z ochroną konsumentów i działalnością finansową w celu oceny potencjalnych zagrożeń dla integralności rynków finansowych lub stabilności systemu finansowego w Unii;

(10) przepisy wewnętrzne powinny mieć zastosowanie do wszystkich operacji przetwarzania danych przeprowadzanych przez EUNB w ramach powyższych postępowań przygotowawczych. Przepisy te powinny również mieć zastosowanie do operacji przetwarzania dokonywanych przed rozpoczęciem postępowań przygotowawczych, o których mowa powyżej, podczas ich prowadzenia oraz podczas monitorowania działań następczych podejmowanych na podstawie wyników tych postępowań przygotowawczych. Powinny one również obejmować pomoc, koordynację lub współpracę oferowaną przez EUNB na wniosek organów krajowych i organizacji międzynarodowych w kontekście ich własnych postępowań administracyjnych;

(11) przed skorzystaniem z ograniczeń przewidzianych w przepisach wewnętrznych EUNB powinien rozważyć, czy zastosowanie ma którykolwiek z wyjątków określonych w rozporządzeniu (UE) 2018/1725. W przypadkach, w których zastosowanie mają ograniczenia wynikające z przepisów wewnętrznych, EUNB musi wyjaśnić, dlaczego ograniczenia te są absolutnie niezbędne i proporcjonalne w społeczeństwie demokratycznym oraz postępować z poszanowaniem istoty podstawowych praw i wolności.

(12) EUNB powinien monitorować, czy warunki uzasadniające ograniczenie nadal mają zastosowanie, i znieść ograniczenie, gdy przestaje mieć zastosowanie;

(13) administrator danych powinien informować inspektora ochrony danych o ograniczeniu stosowania niektórych praw osób, których dane dotyczą, na mocy niniejszej decyzji, o rozszerzeniu takiego ograniczenia lub o jego zniesieniu;

POSTANOWIŁ, CO NASTĘPUJE:

Artykuł  1

Przedmiot i zakres

1. Niniejsza decyzja ustanawia przepisy wewnętrzne dotyczące warunków, na jakich EUNB w ramach działań określonych w ust. 2-5 może ograniczyć stosowanie praw zapisanych w art. 14-21 i 35, a także w jej art. 4 zgodnie z art. 25 rozporządzenia (UE) 2018/1725. Ograniczenia te pozostają bez uszczerbku dla wyjątków dotyczących praw osób, których dane dotyczą, przewidzianych w rozporządzeniu (UE) 2018/1725.

2. W ramach funkcjonowania administracyjnego EUNB ograniczenia przewidziane w ust. 1 niniejszego artykułu mają zastosowanie do przetwarzania danych osobowych przez EUNB do celów:

(a) administracyjnych postępowań wyjaśniających i postępowań dyscyplinarnych, zgodnie z art. 25 ust. 1 lit. f) rozporządzenia (UE) 2018/1725;

(b) przetwarzania nieprawidłowości we współpracy z Europejskim Urzędem ds. Zwalczania Nadużyć Finansowych (OLAF), zgodnie z art. 25 ust. 1 lit. b) lub f) rozporządzenia (UE) 2018/1725;

(c) rozpatrywania przypadków wewnętrznego sygnalizowania nieprawidłowości, przypadków nękania (badanych z wykorzystaniem procedur formalnych i nieformalnych), a także wewnętrznych i zewnętrznych skarg, zgodnie z art. 25 ust. 1 lit. f) rozporządzenia (UE) 2018/1725;

(d) audytów wewnętrznych, postępowań przygotowawczych w sprawie etyki, postępowań wyjaśniających, postępowań i postępowań przygotowawczych przeprowadzanych przez inspektora ochrony danych (IOD) zgodnie z art. 25 ust. 1 lit. f) lub g) lub art. 45 ust. 2 rozporządzenia (UE) 2018/1725;

(e) postępowań przygotowawczych dotyczących ICT, postępowań przygotowawczych dotyczących bezpieczeństwa informacji oraz działań prowadzonych w kontekście zarządzania ryzykiem dla bezpieczeństwa i zdarzeniami zagrażającymi bezpieczeństwu, prowadzonych wewnętrznie lub z udziałem podmiotów zewnętrznych, zgodnie z art. 25 ust. 1 lit. d) rozporządzenia (UE) 2018/1725.

3. W ramach wykonywania zadań EUNB ograniczenia przewidziane w ust. 1 mają zastosowanie do przetwarzania danych osobowych przez EUNB do celów:

(a) postępowań przygotowawczych w sprawie potencjalnych naruszeń prawa Unii zgodnie z art. 17 rozporządzenia (UE) nr 1093/2010;

(b) postępowań wyjaśniających i postępowań związanych z ochroną konsumentów i działalnością finansową w celu oceny potencjalnych zagrożeń dla integralności rynków finansowych lub stabilności systemu finansowego w Unii zgodnie z art. 9 i 22 rozporządzenia (UE) nr 1093/2010;

(c) postępowań związanych z rozstrzyganiem sporów między właściwymi organami zgodnie z art. 19 rozporządzenia (UE) nr 1093/2010 i aktami ustawodawczymi, o których mowa w art. 1 ust. 2 tego rozporządzenia;

(d) postępowań związanych z niewiążącą mediacją prowadzoną przez EUNB zgodnie z art. 31 ust. 2 lit. c) rozporządzenia (UE) nr 1093/2010 oraz aktami ustawodawczymi, o których mowa w art. 1 ust. 2 tego rozporządzenia (UE);

(e) postępowań przygotowawczych związanych z zapobieganiem praniu pieniędzy i finansowaniu terroryzmu oraz zwalczaniem tych zjawisk na podstawie art. 9b rozporządzenia (UE) nr 1093/2010 oraz aktów ustawodawczych, o których mowa w art. 1 ust. 2 tego rozporządzenia.

4. Ponadto ograniczenia te mają zastosowanie do pomocy, koordynacji lub współpracy zapewnianej przez EUNB właściwym organom zdefiniowanym w art. 4 pkt 2 rozporządzenia (UE) nr 1093/2010, w tym organom państw trzecich, i organizacjom międzynarodowym w kontekście postępowań przygotowawczych prowadzonych w celu wykonywania ich zadań statutowych.

5. Ograniczenia, o których mowa w ust. 1 niniejszego artykułu, stosuje się również do operacji przetwarzania przeprowadzanych przed rozpoczęciem postępowań przygotowawczych lub innych administracyjnych postępowań wyjaśniających, o których mowa w ust. 2-4 powyżej, podczas ich prowadzenia oraz podczas monitorowania działań następczych podejmowanych na podstawie wyników tych postępowań przygotowawczych.

6. Niniejsza decyzja ma zastosowanie do każdej kategorii danych osobowych przetwarzanych w kontekście działań określonych w ust. 2-5.

7. Z zastrzeżeniem warunków określonych w niniejszej decyzji, ograniczenia mogą dotyczyć następujących praw: udzielania informacji osobom, których dane dotyczą, prawa dostępu, sprostowania, usunięcia danych lub ograniczenia przetwarzania i prawa do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych.

Artykuł  2

Administrator danych odpowiedzialny za postępowania przygotowawcze i mające zastosowanie zabezpieczenia

1. Stosowane są następujące zabezpieczenia mające na celu zapobieganie nadużyciom lub bezprawnemu dostępowi lub przekazywaniu danych w kontekście postępowań przygotowawczych, o których mowa w art. 1:

(a) dokumenty papierowe przechowuje się w zamkniętych szafkach, do których dostęp mają wyłącznie upoważnieni pracownicy na zasadzie ograniczonego dostępu. Aby zapewnić odpowiednie zabezpieczenia, należy również stworzyć system bezpieczeństwa pomieszczeń, ustanowić wewnętrzne zasady zarządzania dokumentacją oraz prowadzić szkolenia i audyty personelu;

(b) plikami elektronicznymi zarządza się za pomocą urządzeń, systemów informacyjnych, aplikacji i nośników informacji zatwierdzonych przez EUNB. Dane przechowuje się w bezpiecznym środowisku elektronicznym zaprojektowanym i utrzymywanym w taki sposób, aby zapobiec przypadkowemu lub bezprawnemu zniszczeniu, utracie, modyfikacji, bądź też przekazaniu lub nieuprawnionemu ujawnieniu danych osobowych lub umożliwieniu dostępu do danych osobowych partnerom wewnętrznym i zewnętrznym, którzy nie są upoważnieni do dostępu do takich danych. Do organizowania, wyszukiwania, udostępniania, utrzymywania i ochrony danych elektronicznych EUNB wykorzystuje się aplikacje systemu zarządzania dokumentami EUNB. Upoważnionym pracownikom EUNB udziela się dostępu do danych elektronicznych wyłącznie w oparciu o zasadę ograniczonego dostępu;

(c) bazy danych i pliki elektroniczne są chronione hasłem w ramach jednego systemu logowania i są automatycznie połączone z identyfikatorem i hasłem użytkownika. Bezwzględnie zakazane jest korzystanie z danych użytkownika przez inne osoby. Rejestry elektroniczne są przechowywane w sposób bezpieczny w celu ochrony poufności i prywatności zawartych w nich danych;

(d) wszystkie osoby mające dostęp do danych są zobowiązane do zachowania poufności i podpisują dokument potwierdzający ten obowiązek oraz wymogi określone w niniejszym ustępie.

2. Administratorem operacji przetwarzania danych jest EUNB, reprezentowany przez dyrektora wykonawczego. Osoby, których dane dotyczą, są informowane o administratorze delegowanym za pośrednictwem rejestrów ochrony danych publikowanych na stronie internetowej EUNB.

3. Okres przechowywania przetwarzanych danych osobowych jest nie dłuższy, niż jest to konieczne i właściwe ze względu na cele, dla których dane te są przetwarzane. Okres przechowywania danych określa się w rejestrach dotyczących ochrony danych i oświadczeniach o ochronie prywatności, o których mowa w art. 5 ust. 1.

4. Jeżeli EUNB rozważa zastosowanie ograniczenia, ryzyko naruszenia praw i wolności osoby, której dane dotyczą, wyważane jest w szczególności z ryzykiem naruszenia praw i wolności innych osób, których dane dotyczą, oraz z ryzykiem unieważnienia skutku postępowań przygotowawczych lub procedur EUNB, na przykład poprzez zniszczenie dowodów. Zagrożenia dla praw i wolności osób, których dane dotyczą, obejmują, między innymi, ryzyko utraty reputacji i zagrożenia dla prawa do obrony i prawa do bycia wysłuchanym.

Artykuł  3

Ograniczenia

1. Zgodnie z art. 25 ust. 1 rozporządzenia (UE) 2018/1725 wszelkie ograniczenia są stosowane przez EUNB wyłącznie w celu zabezpieczenia:

(a) zapobiegania przestępstwom, prowadzenia postępowań przygotowawczych w ich sprawie, wykrywania ich i ścigania lub wykonywania kar kryminalnych, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom, w szczególności w związku z operacjami przetwarzania na mocy art. 1 ust. 2 lit. b) niniejszej decyzji;

(b) innych ważnych celów leżących w ogólnym interesie publicznym Unii lub państwa członkowskiego, w szczególności celów wspólnej polityki zagranicznej i bezpieczeństwa Unii lub ważnego interesu gospodarczego lub finansowego Unii lub państwa członkowskiego, w tym kwestii pieniężnych, budżetowych i podatkowych, zdrowia publicznego i zabezpieczenia społecznego, w szczególności w odniesieniu do operacji przetwarzania na mocy art. 1 ust. 3 niniejszej decyzji;

(c) bezpieczeństwa wewnętrznego instytucji i organów Unii, w tym ich sieci łączności elektronicznej, w szczególności w odniesieniu do operacji przetwarzania na mocy art. 1 ust. 2 lit. c) niniejszej decyzji;

(d) zapobiegania naruszeniom zasad etyki w odniesieniu do zawodów regulowanych, prowadzenia postępowań przygotowawczych w ich sprawie, wykrywania ich i ścigania, w szczególności w odniesieniu do operacji przetwarzania, o których mowa w art. 1 ust. 2 lit. a) i c) niniejszej decyzji;

(e) funkcji kontrolnej, inspekcyjnej lub regulacyjnej związanej, nawet sporadycznie, z wykonywaniem władzy publicznej w przypadkach, o których mowa w lit. a) i b), w szczególności w odniesieniu do operacji przetwarzania, o których mowa w art. 1 ust. 2 lit. d) niniejszej decyzji;

(f) ochrony osób, których dane dotyczą, bądź praw i wolności innych osób.

2. W ramach szczególnego zastosowania celów opisanych w ust. 1 EUNB może stosować ograniczenia w odniesieniu do danych osobowych wymienianych ze służbami Komisji lub innymi instytucjami, organami, agencjami i urzędami Unii, właściwymi organami państw członkowskich lub państw trzecich lub organizacjami międzynarodowymi, jeżeli zachodzi co najmniej jedna z następujących okoliczności:

(a) jeżeli realizacja tych praw i obowiązków mogłaby być objęta ograniczeniem przez służby Komisji lub inne instytucje, organy, agencje lub urzędy Unii na podstawie innych aktów przewidzianych w art. 25 rozporządzenia (UE) 2018/1725 lub zgodnie z rozdziałem IX tego rozporządzenia, lub zgodnie z aktami założycielskimi innych instytucji, organów, agencji i urzędów Unii;

(b) jeżeli realizacja tych praw i obowiązków mogłaby zostać ograniczona przez właściwe organy państw członkowskich na podstawie aktów, o których mowa w art. 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 lub środków krajowych transponujących art. 13 ust. 3, art. 15 ust. 3 lub art. 16 ust. 3 dyrektywy Parlamentu i Rady (UE) 2016/680;

(c) jeżeli wykonywanie tych praw i obowiązków zagroziłoby współpracy EUNB z państwem trzecim lub organizacjami międzynarodowymi przy wykonywaniu jego zadań lub zadań państwa trzeciego lub organizacji międzynarodowych.

Przed zastosowaniem ograniczeń w okolicznościach, o których mowa w akapicie pierwszym lit. a) i b), EUNB konsultuje się z odpowiednimi służbami Komisji, instytucjami, organami, agencjami i urzędami Unii lub właściwymi organami państw członkowskich, chyba że dla EUNB jasne jest, że stosowanie ograniczenia jest przewidziane w jednym z aktów, o których mowa w podpunktach oznaczonych tymi literami.

3. Wszelkie ograniczenia muszą być konieczne i proporcjonalne oraz uwzględniać zagrożenia dla praw i wolności osób, których dane dotyczą, oraz muszą być stosowane z poszanowaniem istoty podstawowych praw i wolności w demokratycznym społeczeństwie.

4. Jeżeli rozważane jest zastosowanie ograniczenia, przeprowadza się analizę konieczności i proporcjonalności opartą na zasadach przedstawionych poniżej. Proces ten zostaje udokumentowany wewnętrzną notą oceny dla celów rozliczal- ności, osobno dla każdego przypadku.

5. Ograniczenia są znoszone, gdy tylko przestają występować okoliczności uzasadniające ich stosowanie. W szczególności, jeżeli uznaje się, że realizacja ograniczonego prawa nie unieważniałaby już skutku ograniczenia lub nie wpływałaby już negatywnie na prawa lub swobody innych osób, których dotyczą dane.

Artykuł  4

Przegląd przez inspektora ochrony danych

1. Administrator bez zbędnej zwłoki informuje inspektora ochrony danych (IOD) za każdym razem, gdy zamierza ograniczyć stosowanie praw osób, których dane dotyczą, lub rozszerzyć ograniczenie zgodnie z niniejszą decyzją. Administrator danych udziela inspektorowi ochrony danych dostępu do wewnętrznej noty zawierającej ocenę konieczności i proporcjonalności ograniczenia, a także, w stosownych przypadkach, informacji o okolicznościach stanowiących podstawę ustalenia stanu faktycznego i prawnego oraz odnotowuje datę powiadomienia inspektora ochrony danych.

2. Inspektor ochrony danych może na piśmie zażądać od administratora dokonania przeglądu stosowania ograniczeń. Administrator danych informuje inspektora ochrony danych na piśmie o wynikach tego przeglądu.

3. Administrator danych informuje inspektora ochrony danych o zniesieniu ograniczenia.

4. Począwszy od daty poinformowania inspektora ochrony danych, administrator danych dokumentuje udział inspektora ochrony danych w poszczególnych etapach procesu.

5. Notę wewnętrzną oraz, w stosownych przypadkach, informację o okolicznościach stanowiących podstawę ustalenia stanu faktycznego i prawnego udostępnia się Europejskiemu Inspektorowi Ochrony Danych na jego wniosek.

Artykuł  5

Udzielanie informacji osobie, której dane dotyczą

1. EUNB publikuje na swojej stronie internetowej rejestry ochrony danych, w których informuje wszystkie osoby, których dane dotyczą, o swojej działalności obejmującej przetwarzanie danych osobowych, w tym informacje dotyczące potencjalnego ograniczenia praw osób, których dane dotyczą, zgodnie z art. 3 niniejszej decyzji. W informacjach tych wskazuje, które prawa mogą być ograniczane, a także podstawy możliwego stosowania ograniczeń i ich potencjalny okres obowiązywania.

2. EUNB powiadamia indywidualnie, bez zbędnej zwłoki i w formie pisemnej, wszystkie osoby, których dane dotyczą, będące w jego opinii osobami, do których odnosi się postępowanie przygotowawcze lub postępowanie wyjaśniające, o rejestrze ochrony danych obejmującym konkretne operacje przetwarzania.

3. W należycie uzasadnionych przypadkach i z zastrzeżeniem warunków określonych w niniejszej decyzji EUNB może w całości lub w części ograniczyć udzielanie informacji osobom, których dane dotyczą, o których mowa w ust. 2. W takim przypadku EUNB sporządza notę wewnętrzną zawierającą informację o przyczynach zastosowanego ograniczenia oraz podstawę prawną zgodnie z art. 3 niniejszej decyzji, w tym wynik oceny konieczności i proporcjonalności ograniczenia.

4. Ograniczenie, o którym mowa w ust. 3, ma zastosowanie tak długo, jak długo występują przyczyny uzasadniające to ograniczenie.

Jeżeli przyczyny ograniczenia przestają mieć zastosowanie, EUNB powiadamia osobę, której dane dotyczą, o odpowiednim rejestrze ochrony danych oraz o głównych przyczynach ograniczenia. Powiadomienie takie może być połączone z zaproszeniem do przedstawienia opinii w sprawie ustaleń wynikających z trwającego postępowania przygotowawczego lub postępowania wyjaśniającego, w ramach wykonywania prawa do obrony przez osobę, której dane dotyczą. Jednocześnie EUNB informuje osobę, której dane dotyczą, o prawie do wniesienia w dowolnym momencie skargi do Europejskiego Inspektora Ochrony Danych lub do wniesienia środka zaskarżenia do Trybunału Sprawiedliwości Unii Europejskiej.

EUNB dokonuje przeglądu stosowania ograniczenia co sześć miesięcy od jego przyjęcia i po zamknięciu odpowiedniego postępowania wyjaśniającego lub postępowania przygotowawczego.

Artykuł  6

Prawo dostępu przysługujące osobie, której dane dotyczą

1. Na wniosek osoby, której dane dotyczą, EUNB może w całości lub w części ograniczyć prawo tej osoby do uzyskania potwierdzenia, czy dotyczące jej dane osobowe są przetwarzane przez EUNB w kontekście postępowania przygotowawczego lub postępowania wyjaśniającego, o których mowa w art. 1 niniejszej decyzji, a w przypadku, gdy czynności takie są prowadzone - prawo dostępu do tych danych i innych informacji, o których mowa w art. 17 rozporządzenia (UE) 2018/1725.

2. W przypadku gdy EUNB ogranicza prawo dostępu, w odpowiedzi na wniosek informuje osobę, której dane dotyczą, o zastosowanym ograniczeniu i jego głównych przyczynach oraz o możliwości wniesienia skargi do Europejskiego Inspektora Ochrony Danych lub wniesienia środka zaskarżenia do Trybunału Sprawiedliwości Unii Europejskiej.

3. Przekazanie informacji, o których mowa w ust. 2, można wstrzymać, pominąć je lub odmówić udzielenia informacji, jeżeli unieważniłoby ono skutek ograniczenia nałożonego zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725. W takim przypadku EUNB dokumentuje w nocie dotyczącej oceny wewnętrznej przyczyny ograniczenia, w tym ocenę konieczności i proporcjonalności ograniczenia oraz czas jego trwania.

4. EUNB dokonuje przeglądu stosowania ograniczenia co sześć miesięcy od jego przyjęcia i po zamknięciu odpowiedniego postępowania wyjaśniającego lub postępowania przygotowawczego.

Artykuł  7

Prawo do sprostowania danych, ich usunięcia i ograniczenia przetwarzania

1. W odpowiedzi na wniosek osoby, której dane dotyczą, EUNB może, w kontekście postępowania przygotowawczego lub postępowania wyjaśniającego, o których mowa w art. 1 niniejszej decyzji, w całości lub w części ograniczyć prawo tej osoby do uzyskania sprostowania dotyczących jej danych osobowych bądź też usunięcia lub ograniczenia przetwarzania jej danych osobowych, jak przewidziano w art. 18, 19 i 20 rozporządzenia (UE) 2018/1725.

2. Jeżeli EUNB ogranicza stosowanie prawa do sprostowania, usunięcia lub ograniczenia przetwarzania, o którym mowa powyżej, podejmuje kroki określone w art. 6 ust. 2 i dokumentuje je zgodnie z art. 6 ust. 3.

3. EUNB dokonuje przeglądu stosowania ograniczenia co sześć miesięcy od jego przyjęcia i po zamknięciu odpowiedniego postępowania wyjaśniającego lub postępowania przygotowawczego.

Artykuł  8

Zawiadomienie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

1. EUNB bez zbędnej zwłoki powiadamia osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych, jeżeli naruszenie to może powodować wysokie ryzyko naruszenia praw i wolności osób fizycznych, jak przewidziano w art. 35 rozporządzenia (UE) 2018/1725.

2. W należycie uzasadnionych przypadkach i z zastrzeżeniem warunków określonych w niniejszej decyzji EUNB może w całości lub w części ograniczyć udzielanie informacji osobom, których dane dotyczą, wskazanym w ust. 1 niniejszego artykułu. W takim przypadku EUNB sporządza notę wewnętrzną zawierającą informację o przyczynach zastosowanego ograniczenia oraz podstawę prawną zgodnie z art. 3 niniejszej decyzji, w tym wynik oceny konieczności i proporcjonalności ograniczenia.

3. Ograniczenie, o którym mowa w ust. 2, stosuje się tak długo, jak długo mają zastosowanie uzasadniające je przyczyny.

Jeżeli przyczyny ograniczenia przestają mieć zastosowanie, EUNB informuje osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych, a także o głównych przyczynach ograniczenia. Jednocześnie EUNB informuje osobę, której dane dotyczą, o prawie do wniesienia w dowolnym momencie skargi do Europejskiego Inspektora Ochrony Danych lub do wniesienia środka zaskarżenia do Trybunału Sprawiedliwości Unii Europejskiej.

EUNB dokonuje przeglądu stosowania ograniczenia co sześć miesięcy od jego przyjęcia i po zamknięciu odpowiedniego postępowania wyjaśniającego lub postępowania przygotowawczego.

Artykuł  9

Wejście w życie

Niniejsza decyzja wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Sporządzono w Paryżu, 23 kwietnia 2021.

	W imieniu zarządu
	José Manuel CAMPA
	Przewodniczący

1. Dz.U. L 295 z 21.11.2018, s. 39.

2. Dz.U. L 331 z 15.12.2010, s. 12.

• Identyfikator: Dz.U.UE.C.2021.196.13
• Rodzaj: Decyzja
• Tytuł: Decyzja Europejskiego Urzędu Nadzoru Bankowego z dnia 23 kwietnia 2021 r. ustanawiająca przepisy wewnętrzne dotyczące ograniczeń niektórych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach funkcjonowania Europejskiego Urzędu Nadzoru Bankowego.
• Data aktu: 23/04/2021
• Data ogłoszenia: 25/05/2021