Decyzja w sprawie wewnętrznych zasad dotyczących ograniczenia pewnych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach administracyjnych postępowań wyjaśniających/postępowań dyscyplinarnych/dochodzeń/innych czynności prowadzonych przez Jednolitą Radę ds. Restrukturyzacji i Uporządkowanej Likwidacji

DECYZJA JEDNOLITEJ RADY DS. RESTRUKTURYZACJI I UPORZĄDKOWANEJ LIKWIDACJI

z dnia 18 września 2019 r.

w sprawie wewnętrznych zasad dotyczących ograniczenia pewnych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach administracyjnych postępowań wyjaśniających/postępowań dyscyplinarnych/dochodzeń/innych czynności prowadzonych przez Jednolitą Radę ds. Restrukturyzacji i Uporządkowanej Likwidacji (SRB/PS/ 2019/32)

JEDNOLITA RADA DS. RESTRUKTURYZACJI I UPORZĄDKOWANEJ LIKWIDACJI,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 806/2014 z dnia 15 lipca 2014 r. ustanawiające jednolite zasady i jednolitą procedurę restrukturyzacji i uporządkowanej likwidacji instytucji kredytowych i niektórych firm inwestycyjnych w ramach jednolitego mechanizmu restrukturyzacji i uporządkowanej likwidacji oraz jednolitego funduszu restrukturyzacji i uporządkowanej likwidacji oraz zmieniające rozporządzenie (UE) nr 1093/2010, w szczególności jego art. 42, art. 43 ust. 5, art. 50 ust. 3, art. 56 ust. 1-3, art. 61, 63 i 64, ¹

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE ² ,

uwzględniając konsultacje z Europejskim Inspektorem Ochrony Danych,

a także mając na uwadze, co następuje:

(1) Jednolita Rada ds. Restrukturyzacji i Uporządkowanej Likwidacji (Single Resolution Board - "SRB") pełni rolę organu ds. restrukturyzacji i uporządkowanej likwidacji w ramach jednolitego mechanizmu restrukturyzacji i uporządkowanej likwidacji (Single Resolution Mechanism - "SRM") zgodnie z rozporządzeniem (UE) nr 806/2014. Misją SRB jest zapewnienie, aby restrukturyzacja i uporządkowana likwidacja banków znajdujących się w trudnej sytuacji przebiegały w sposób uporządkowany, wywierając jak najmniejszy wpływ na gospodarkę realną, system finansowy i finanse publiczne uczestniczących państw członkowskich i innych państw.

(2) SRB może prowadzić dochodzenia wewnętrzne lub administracyjne postępowania wyjaśniające z urzędu lub w następstwie uzyskania poufnej informacji od członków personelu SRB w ramach procedury sygnalizowania nieprawidłowości. SRB może również prowadzić postępowania dyscyplinarne zgodnie z załącznikiem IX do regulaminu pracowniczego urzędników Unii Europejskiej.

(3) SRB może w kontekście dochodzenia wewnętrznego, administracyjnego postępowania wyjaśniającego lub postępowania dyscyplinarnego zgłaszać sprawy do Biura Dochodzeń i Postępowań Dyscyplinarnych Komisji (IDOC) oraz Europejskiego Urzędu ds. Zwalczania Nadużyć Finansowych (OLAF) zgodnie z decyzją Zarządu z sesji wykonawczej z dnia 6 listopada 2015 r. w sprawie warunków dochodzeń wewnętrznych w związku z walką z przestępstwami finansowymi, korupcją oraz wszelką nielegalną działalnością szkodliwą dla interesów Wspólnot (SRB/ES/2015/01);

(4) SRB, reprezentowana w tym przypadku przez urzędnika SRB ds. etyki i zgodności z przepisami, bądź odpowiednio inspektora ochrony danych SRB, przetwarza kilka kategorii danych osobowych, w szczególności dane umożliwiające identyfikację, dane kontaktowe i dane służbowe, a także pełni rolę administratora danych. Dane osobowe są przechowywane w zabezpieczonym środowisku elektronicznym uniemożliwiającym bezprawny dostęp lub przekazanie danych osobom, które nie muszą mieć do nich dostępu. Przetwarzane dane osobowe są zatrzymywane zgodnie z zasadami SRB dotyczącymi zatrzymywania dokumentów. Po upływie okresu zatrzymania informacje dotyczące sprawy, w tym dane osobowe, są przenoszone do archiwów lub usuwane zgodnie z zasadą minimalizacji danych i prawidłowości danych;

(5) Wewnętrzne zasady powinny mieć zastosowanie do wszystkich procesów przetwarzania prowadzonych przez SRB w trakcie wykonywania działalności służącej zapobieganiu naruszeniom m.in. kodeksu etyki SRB i regulaminu pracowniczego oraz ich śledzeniu, wykrywaniu i ściganiu;

(6) Wewnętrzne zasady powinny mieć zastosowanie do procesów przetwarzania prowadzonych zarówno w trakcie wewnętrznych, jak i zewnętrznych dochodzeń, a także w trakcie monitorowania działań następczych podejmowanych w rezultacie tych dochodzeń. Wewnętrzne zasady powinny mieć zastosowanie do procesów przetwarzania, które stanowią część działań powiązanych z funkcjami urzędnika SRB ds. etyki i zgodności z przepisami SRB, a w stosowanych przypadkach - inspektora ochrony danych SRB. Powinny one również obejmować pomoc i współpracę ze strony urzędnika SRB ds. etyki i zgodności z przepisami, a odpowiednio - na żądanie - inspektora ochrony danych SRB, udzielaną organom krajowym i organizacjom międzynarodowym poza dochodzeniami administracyjnymi;

(7) SRB musi przedstawić uzasadnienie ścisłej konieczności i proporcjonalności ograniczeń w społeczeństwie demokratycznym oraz postępować z poszanowaniem istoty podstawowych praw i wolności;

(8) W ramach powyższego SRB ma obowiązek przestrzegać w możliwie szerokim zakresie w trakcie realizacji powyższych procedur praw podstawowych osób, których dane dotyczą, w szczególności tych związanych z prawem dostępu, prawem do sprostowania danych, prawem do usunięcia danych, prawem do przenoszenia danych itp., które to prawa przewidziano w rozporządzeniu (UE) 2018/1725;

(9) SRB może być jednak zobowiązana do wstrzymania przekazania informacji udzielanych osobie, której dane dotyczą, i innych praw takiej osoby w celu zabezpieczenia - w szczególności - własnych dochodzeń, dochodzeń i postępowań innych organów publicznych, w tym IDOC i OLAF, jak również praw innych osób w związku z dochodzeniami, a także w celu zabezpieczenia własnych postępowań dyscyplinarnych;

(10) SRB może zatem wstrzymać przekazanie informacji w celu zabezpieczenia dochodzeń lub postępowań dyscyplinarnych;

(11) SRB powinna znieść ograniczenia, gdy tylko przestaną występować warunki uzasadniające ograniczenie;

(12) SRB powinna regularnie, w odstępach sześciu miesięcy, monitorować warunki ograniczające i w razie konieczności dokonywać ich rewizji;

(13) SRB powinna w trakcie dokonywania rewizji konsultować się z inspektorem ochrony danych, PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł  1

Przedmiot i zakres stosowania

1. Niniejsza decyzja określa wewnętrzne zasady dotyczące warunków, w jakich SRB w ramach dochodzeń wewnętrznych, administracyjnych postępowań wyjaśniających i postępowań dyscyplinarnych prowadzonych przez urzędnika SRB ds. etyki i zgodności z przepisami lub dochodzeń prowadzonych przez inspektora ochrony danych SRB na podstawie art. 45 ust. 2 rozporządzenia (UE) 2018/1725 może zgodnie z art. 25 rozporządzenia (UE) 2018/1725 ograniczyć stosowanie praw przewidzianych w art. 14-21 i 35, a także art. 4.

2. Niniejsza decyzja ma zastosowanie do procesów przetwarzania danych osobowych przez SRB w celu prowadzenia dochodzeń wewnętrznych, administracyjnych postępowań wyjaśniających i postępowań dyscyplinarnych. Do procesów przetwarzania danych osobowych przez SRB w celu inicjowania, prowadzenia i zakończenia nieformalnej procedury przewidzianej polityką SRB dotyczącą ochrony godności i zapobiegania mobbingowi i molestowaniu seksualnemu zastosowanie ma odrębna decyzja w sprawie ograniczenia praw (zob. SRB/ES/2019/33).

3. Do kategorii danych podlegających przetwarzaniu należą tzw. dane twarde [dane administracyjne, numer telefonu, prywatny adres, środki łączności elektronicznej i dane o ruchu (korzystanie z aplikacji ICT, dane internetowe)] lub tzw. dane miękkie (oceny, wszczęcia postępowań wyjaśniających, sprawozdania z dochodzeń wstępnych) itp.

4. Z zastrzeżeniem warunków określonych w niniejszej decyzji ograniczenia te mogą mieć zastosowanie do następujących praw: prawo dostępu do informacji, prawo do sprostowania, prawo do usunięcia i prawo do przenoszenia, prawo do informacji, poufność komunikacji, jak również do zasad procesu przetwarzania danych, o ile mają one związek z którymkolwiek z praw.

Artykuł  2

Wyznaczenie administratora i zabezpieczenia

1. W celu uniknięcia naruszenia, wycieku lub nieuprawnionego ujawnienia danych wprowadzono następujące zabezpieczenia: ograniczenie praw dostępu do folderów elektronicznych oraz funkcyjnej skrzynki pocztowej służącej do składania skarg, szafki na klucz, szczegółowe szkolenie dotyczące poufności dla osób przetwarzających informacje.

2. Administratorem tych procesów przetwarzania jest SRB, reprezentowana w tym przypadku przez urzędnika SRB ds. etyki i zgodności z przepisami, a odpowiednio przez inspektora ochrony danych SRB.

3. Zebrane dane osobowe są przechowywane i zatrzymywane zgodnie z zasadami SRB dotyczącymi zatrzymywania dokumentów. Dane są zatrzymywane zgodnie z zasadą, w myśl której danych nie zatrzymuje się na okres dłuższy niż jest to konieczne do realizacji procesu przetwarzania i - ewentualnie - rozstrzygnięcia sporów sądowych lub administracyjnych.

Artykuł  3

Ograniczenia

1. Zgodnie z art. 25 ust. 1 rozporządzenia (UE) 2018/1725 wszelkie ograniczenia mają zastosowanie jedynie w celu:

- zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom,

- zabezpieczenia bezpieczeństwa wewnętrznego instytucji i organów Unii, w tym ich sieci łączności elektronicznej,

- ochrony postępowania sądowego,

- zapobiegania naruszeniom zasad etyki w zawodach regulowanych, prowadzenia postępowań w takich sprawach, ich wykrywania oraz ścigania,

- ochrony osoby, której dane dotyczą, lub praw i wolności innych osób.

2. Ograniczenia muszą być ściśle konieczne i proporcjonalne w społeczeństwie demokratycznym oraz zgodne z poszanowaniem istoty podstawowych praw i wolności.

3. Test konieczności i proporcjonalności należy przeprowadzić w oparciu o obowiązujące zasady wewnętrzne. Proces ten zostaje udokumentowany przez administratora konkretnego procesu przetwarzania wewnętrzną notą oceny dla celów rozliczalności, osobno dla każdego przypadku.

4. Ograniczenia są należycie monitorowane i poddawane okresowej weryfikacji co sześć miesięcy.

5. Ograniczenia są znoszone, gdy tylko przestają występować okoliczności uzasadniające ich stosowanie.

6. Ryzykiem dla praw i wolności osób, których dane dotyczą, jest czasowe ograniczenie skutecznego wykonywania praw osób, których dane dotyczą, między innymi prawa do informacji, prawa do usunięcia danych czy prawa do obrony, przewidzianych w rozporządzeniu (UE) 2018/1725. Ryzyko to powinno być uwzględnione w zakresie testu konieczności i proporcjonalności, o którym mowa w ust. 3 niniejszego artykułu.

Artykuł  4

Zaangażowanie inspektora ochrony danych

1. SRB w trakcie całej procedury ograniczania praw informuje inspektora ochrony danych SRB ("inspektora ochrony danych") bez zbędnej zwłoki o wprowadzonych ograniczeniach zastosowania praw osób, których dane dotyczą, zgodnie z niniejszą decyzją. SRB udziela dostępu do dokumentacji oraz oceny konieczności i proporcjonalności tego ograniczenia.

2. Inspektor ochrony danych może na piśmie wymagać od administratora przedstawienia przeglądu stosowania ograniczeń. SRB informuje inspektora ochrony danych na piśmie o rezultacie żądanego przeglądu i zniesieniu ograniczenia.

Artykuł  5

Udzielanie informacji osobom, których dane dotyczą

1. SRB uwzględnia w klauzuli o ochronie danych opublikowanej w intranecie, zawierającej informację o prawach przysługujących w ramach danej procedury osobom, których dane dotyczą, informacje dotyczące ewentualnego ograniczenia tych praw. Informacja zawiera wskazanie danych, które mogą podlegać ograniczeniu, przyczyny ograniczenia oraz potencjalny okres obowiązywania ograniczenia.

2. Ponadto SRB, bez uszczerbku dla kolejnego ustępu, bez zbędnej zwłoki i w formie pisemnej informuje indywidualnie osoby, których dane dotyczą, o ich prawach dotyczących obecnych lub przyszłych ograniczeń.

3. Osoby, których dane dotyczą, są informowane o głównych przyczynach zastosowania ograniczenia oraz prawie do wniesienia skargi do Europejskiego Inspektora Ochrony Danych.

Artykuł  6

Prawo dostępu do danych przez osobę, której dane dotyczą

1. Jeżeli osoby, których dane dotyczą, żądają dostępu do swoich danych osobowych przetwarzanych w kontekście co najmniej jednej sprawy lub konkretnej operacji przetwarzania, zgodnie z art. 17 rozporządzenia (UE) 2018/1725 SRB ogranicza się w ocenie wniosku wyłącznie do takich danych osobowych.

2. Jeżeli SRB ogranicza, w całości lub częściowo, prawo dostępu, o którym mowa w art. 17 rozporządzenia (UE) 2018/1725, podejmuje następujące kroki:

a) w odpowiedzi na wniosek informuje osobę, której dane dotyczą, o stosowanym ograniczeniu i jego głównych przyczynach, jak również o możliwości złożenia skargi do Europejskiego Inspektora Ochrony Danych i możliwości skorzystania ze środka ochrony prawnej przed Trybunałem Sprawiedliwości Unii Europejskiej;

b) dokumentuje przyczyny ograniczenia, w tym ocenę jego konieczności i proporcjonalności; w tym celu dokumentacja określa, w jaki sposób udzielenie dostępu do danych zagroziłoby działalności dochodzeniowej SRB lub ograniczeniom stosowanym na podstawie art. 2 ust. 3. bądź też negatywnie wpłynęłoby na prawa i wolności innych osób, których dane dotyczą.

Zgodnie z art. 25 ust. 8 rozporządzenia (UE) 2018/1725 można wstrzymać przekazanie informacji, o których mowa w lit. a), pominąć je lub odmówić go.

3. Dokumentacja, o której mowa w ust. 2 lit. b), jak również - w stosownych przypadkach - dokumenty zawierające informację o okolicznościach faktycznych i prawnych stanowiących jej podstawę - są rejestrowane. Udostępnia się je Europejskiemu Inspektorowi Ochrony Danych na żądanie. Zastosowanie ma art. 25 ust. 7 rozporządzenia (UE) 2018/1725.

Artykuł  7

Prawo do sprostowania, usunięcia i ograniczenia przetwarzania

Jeżeli SRB ogranicza w całości lub częściowo stosowanie prawa do sprostowania danych, ich usunięcia lub ograniczenia przetwarzania, o których mowa w art. 18, art. 19 ust. 1 i art. 20 ust. 1 rozporządzenia (UE) 2018/1725, podejmuje kroki określone w art. 6 ust. 2 niniejszej decyzji oraz dokonuje wpisu w rejestrze zgodnie z art. 6 ust. 3 decyzji.

Artykuł  8

Zawiadomienie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych

Jeżeli SRB ogranicza prawo do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, o którym mowa w art. 35 rozporządzenia (UE) 2018/1725, dokumentuje i rejestruje powody ograniczenia zgodnie z art. 3 ust. 3 niniejszej decyzji. Zastosowanie ma art. 3 ust. 4 niniejszej decyzji.

Artykuł  9

Wejście w życie

Niniejsza decyzja wchodzi w życie następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Sporządzono w Brukseli, dnia 18 września 2019 r.

	W imieniu Jednolitej Rady ds. Restrukturyzacji i Uporządkowanej Likwidacji
	Elke KÖNIG
	Przewodniczący

1 Dz.U. L 225 z 30.7.2014, s. 1.

2 Dz.U. L 295 z 21.11.2018, s. 39.

• Identyfikator: Dz.U.UE.L.2019.301.5
• Rodzaj: Decyzja
• Tytuł: Decyzja w sprawie wewnętrznych zasad dotyczących ograniczenia pewnych praw osób, których dane dotyczą, w związku z przetwarzaniem danych osobowych w ramach administracyjnych postępowań wyjaśniających/postępowań dyscyplinarnych/dochodzeń/innych czynności prowadzonych przez Jednolitą Radę ds. Restrukturyzacji i Uporządkowanej Likwidacji
• Data aktu: 18/09/2019
• Data ogłoszenia: 22/11/2019
• Data wejścia w życie: 23/11/2019